Ein vermeintlicher Brief der apoBank fordert Sie auf, einen QR-Code zu scannen und Ihre Zugangsdaten zu bestätigen? Dahinter kann ein Betrugsversuch stecken: Mit gefälschten Bankschreiben versuchen Täter, Kunden der Deutschen Apotheker- und Ärztebank auf manipulierte Internetseiten zu locken. Besonders tückisch ist die Drohung, Online-Banking, apoBank-App oder apoTAN würden ohne eine angebliche Verifizierung deaktiviert. Hier erfahren Sie, wie die Betrugsmasche funktioniert, welche Schritte jetzt wichtig sind und welche rechtlichen Möglichkeiten bei unberechtigten Abbuchungen bestehen.
Gefälschte apoBank-Briefe: So funktioniert die Betrugsmasche
Phishing findet nicht nur per E-Mail oder SMS statt. Betrüger verschicken auch Briefe, die durch ihre Gestaltung den Eindruck offizieller Bankpost vermitteln. Die Ärztekammer Niedersachsen warnt unter Bezugnahme auf einen Sicherheitshinweis der apoBank ausdrücklich vor solchen Schreiben mit QR-Code.
In den Schreiben wird behauptet, dass
- eine erforderliche „Verifizierung“ noch nicht abgeschlossen sei,
- die Zugangsdaten aktualisiert werden müssten oder
- digitale Bankzugänge ohne eine zeitnahe Bestätigung deaktiviert würden.
Um die vermeintliche Sperrung zu verhindern, sollen die Empfänger einen abgedruckten QR-Code scannen. Dieser führt jedoch nicht zur Bank, sondern auf eine gefälschte Internetseite.
Warum der Brief besonders glaubwürdig wirken kann
Die Betrüger verbinden den seriösen Eindruck eines Bankbriefs mit einer angeblich dringenden Sicherheitsmaßnahme. Die Botschaft lautet sinngemäß: Wer seinen Kontozugang behalten möchte, muss jetzt handeln.
Genau dieser Druck soll verhindern, dass Betroffene die Aufforderung überprüfen. Ein professionelles Erscheinungsbild ist jedoch kein Beleg dafür, dass ein Schreiben tatsächlich von der apoBank stammt.
Was nach dem Scannen des QR-Codes passiert
Auf der verlinkten Internetseite werden persönliche Informationen, Telefonnummern, Zugangsdaten oder weitere sensible Daten abgefragt. Die Täter können diese Informationen für weitere Betrugsversuche nutzen.
Wichtig: Nach dem veröffentlichten Sicherheitshinweis fordert die apoBank ihre Kunden nicht per E-Mail, SMS oder Brief dazu auf, sensible Daten über zugesandte Links oder QR-Codes einzugeben.
Woran erkennen Sie einen betrügerischen apoBank-Brief?
Besondere Vorsicht ist geboten, wenn ein Schreiben mehrere dieser Merkmale aufweist:
- Ein QR-Code soll zur Verifizierung oder Aktualisierung des Bankzugangs führen.
- Die Eingabe persönlicher Daten oder von Online-Banking-Zugangsdaten wird verlangt.
- Mit einer Deaktivierung von apoBank-App, Online-Banking oder apoTAN wird gedroht.
- Begriffe wie „verpflichtend“ oder „zeitnah“ erzeugen Handlungsdruck.
- Die verlangten Schritte sollen über einen im Brief vorgegebenen Zugang erfolgen.
Entscheidend ist nicht allein, ob Logo, Briefkopf oder Sprache überzeugend wirken. Prüfen Sie vielmehr, was Sie tun sollen und über welchen Weg sensible Daten abgefragt werden.
apoBank-Phishing: Was sollten Betroffene sofort tun?
Welche Maßnahmen erforderlich sind, hängt davon ab, ob Sie lediglich den Brief erhalten, bereits Daten eingegeben oder unbekannte Abbuchungen festgestellt haben.
1. Brief erhalten, aber noch nicht reagiert
Scannen Sie den QR-Code nicht und geben Sie keine Daten über die angegebene Internetseite ein. Klären Sie mögliche Rückfragen ausschließlich über bekannte Kontaktwege der Bank. Rufen Sie die Bankseite selbst im Browser auf, statt den Zugang aus dem verdächtigen Schreiben zu verwenden.
2. QR-Code gescannt, aber keine Daten eingegeben
Schließen Sie die aufgerufene Seite und führen Sie dort keine weiteren Schritte aus. Allein der Aufruf der Seite bedeutet noch nicht, dass Sie Zugangsdaten übermittelt oder eine Zahlung freigegeben haben. Für die weitere Einordnung kommt es darauf an, welche Handlungen tatsächlich erfolgt sind.
3. Zugangsdaten eingegeben oder eine Freigabe bestätigt
Informieren Sie unverzüglich die Bank. Lassen Sie klären, welche Zugangssperren und weiteren Sicherungsmaßnahmen erforderlich sind. Eine bloße Passwortänderung sollte nicht an die Stelle der unmittelbaren Kontaktaufnahme mit der Bank treten.
Halten Sie möglichst genau fest, welche Daten Sie eingegeben und welche Vorgänge Sie bestätigt haben.
4. Unbekannte Abbuchungen festgestellt
Melden Sie die betroffenen Zahlungen unverzüglich der Bank und beanstanden Sie diese, wenn Sie ihnen nicht zugestimmt haben. Sichern Sie insbesondere:
- den gefälschten Brief und den Umschlag,
- vorhandene Screenshots und Nachrichten,
- Datum und Ablauf Ihrer Eingaben oder Bestätigungen,
- Kontoauszüge mit den betroffenen Buchungen,
- die Kommunikation mit der Bank.
Bei einem Betrugsverdacht kommt außerdem eine Strafanzeige in Betracht. Diese ersetzt jedoch nicht die sofortige Meldung an die Bank.
Wer haftet bei QR-Code-Betrug und unberechtigten Abbuchungen?
Ob die Bank einen Schaden erstatten muss, hängt insbesondere davon ab, ob die Zahlung autorisiert wurde und ob dem Kunden eine haftungsbegründende Pflichtverletzung vorzuwerfen ist.
Erstattung nicht autorisierter Zahlungen
Bei einem nicht autorisierten Zahlungsvorgang besteht grundsätzlich ein Erstattungsanspruch gegen die Bank nach § 675u BGB. „Nicht autorisiert“ bedeutet vereinfacht, dass der Kontoinhaber der konkreten Zahlung nicht in der rechtlich erforderlichen Weise zugestimmt hat.
Nicht jeder durch Betrug veranlasste Zahlungsvorgang ist allerdings automatisch nicht autorisiert. Deshalb muss genau geprüft werden, ob Täter selbst eine Zahlung ausgelöst haben oder welche Erklärung der Kunde durch eine eigene Bestätigung abgegeben hat.
Einwand der groben Fahrlässigkeit
Die Bank kann Ihnen unter Umständen Schadensersatzansprüche entgegenhalten, insbesondere bei einer vorsätzlichen oder grob fahrlässigen Verletzung von Sicherheitspflichten.
Ob grobe Fahrlässigkeit vorliegt, lässt sich nicht pauschal beantworten. Dafür sind unter anderem die Gestaltung des Schreibens, die erkennbaren Warnsignale und die konkret vorgenommenen Eingaben oder Freigaben relevant. Der erfolgreiche Betrug allein beantwortet die Haftungsfrage noch nicht. Wie der Europäische Gerichtshof die Erstattungspflicht der Bank in solchen Fällen zuletzt gestärkt hat, lesen Sie in unserem Beitrag Phishing: Bank verweigert Erstattung?
Eine technische Authentifizierung entscheidet nicht alles
Nach § 675w BGB beweist die dokumentierte Nutzung eines Zahlungsinstruments einschließlich der Authentifizierung nicht notwendigerweise, dass der Kunde die Zahlung autorisiert oder grob fahrlässig gehandelt hat.
Eine Ablehnung der Erstattung mit dem bloßen Hinweis auf eine technisch erfolgreiche Bestätigung sollte deshalb anhand des konkreten Ablaufs geprüft werden.
Bei Praxis- und Apothekenkonten sind zusätzlich die Vertragsbedingungen zu berücksichtigen: Gegenüber Nichtverbrauchern sind in bestimmten Bereichen abweichende Vereinbarungen zulässig.
Anwaltliche Hilfe bei apoBank-Phishing in Hannover und Niedersachsen
Für Betroffene aus Hannover und Niedersachsen stehen nach einem Phishing-Vorfall vor allem zwei Fragen im Mittelpunkt: Wie lässt sich weiterer Schaden verhindern – und können bereits abgebuchte Beträge zurückverlangt werden?
Ihr Ansprechpartner ist Rechtsanwalt Mirco Ewert; mehr zu unserer Beratung finden Sie im Bereich Bank- und Kapitalmarktrecht.
apoBank lehnt die Erstattung ab? Lassen Sie Ihre Ansprüche prüfen
Sie haben nach einem gefälschten apoBank-Brief Zugangsdaten eingegeben oder unberechtigte Abbuchungen festgestellt? Die Bank verweist auf eine Freigabe und lehnt die Erstattung ab?
Kontaktieren Sie uns über die auf unserer Kontaktseite angegebenen Kontaktmöglichkeiten für eine rechtliche Ersteinschätzung. Für die Prüfung sind insbesondere das verdächtige Schreiben, die betroffenen Buchungen und die bisherige Korrespondenz mit der Bank hilfreich.