Vorsicht Phishing: Wann zahlt die Versicherung?

Wer auf einer Verkaufsplattform auf Betrüger hereinfällt und selbst eine Kreditkartenzahlung in der Banking-App freigibt, kann sich nicht ohne Weiteres auf eine Cyberklausel in der Hausratversicherung berufen. Das Amtsgericht Bernau entschied, dass die Weitergabe von IBAN und Kreditkartendaten in einem Chatraum kein „Phishing“ im Sinne der Versicherungsbedingungen sein muss. Darauf weist das Rechtsportal anwaltauskunft.de unter Verweis auf ein Urteil des Amtsgerichts Bernau vom 4. Dezember 2025 hin (AZ: 10 C 212/25).

Verkauf über Vinted endet mit hoher Kontobelastung

In dem nun entschiedenen Fall wollte eine Versicherungsnehmerin über die Plattform Vinted eine Babytrage verkaufen. Die Frau wurde über die Plattform von einem angeblichen Interessenten angeschrieben. Dieser teilte ihr mit, der Kaufpreis sei bereits bezahlt, und sie werde von der Plattform kontaktiert, um den weiteren Ablauf zu klären.

Kurz darauf erhielt die Frau eine E-Mail, die auf den ersten Blick von Vinted zu stammen schien. In der E-Mail befand sich ein Link, der sie in einen Chatraum führte. Dort meldete sich ein angeblicher Mitarbeiter der Plattform. In diesem Chat wurde die Verkäuferin aufgefordert, ihre IBAN und ihre Kreditkartendaten anzugeben, angeblich um die Zahlung abwickeln zu können. Das tat sie.

Der Täter nutzte diese Daten nach der Darstellung offenbar in Echtzeit, um über eine echte Bezahlseite eine Transaktion auszulösen. Die Bank der Frau erkannte die Zahlungsanfrage und sendete eine 3-D-Secure-Freigabe an das Smartphone der Kundin. Auf ihrem Handy erschien eine Push-Nachricht in ihrer Sparkassen-App, die sie bestätigen sollte.

Die Versicherungsnehmerin ging davon aus, dass sie mit dieser Freigabe den Eingang des Kaufpreises für die Babytrage ermöglicht. Tatsächlich genehmigte sie damit eine Zahlung an einen Dritten. In der Folge wurde ihr Konto mit 1.968,55 Euro belastet – deutlich mehr, als sie für die Babytrage eigentlich erhalten sollte.

Gericht sieht keinen versicherten Phishing-Fall

Die Frau verlangte von ihrer Hausratversicherung Ersatz des entstandenen Schadens. Grundlage war eine Cyberklausel in den Versicherungsbedingungen, die unter anderem Schäden durch Phishing abdeckt. Die Versicherung lehnte die Regulierung ab. Sie argumentierte, es habe kein Phishing im Sinne der vereinbarten Bedingungen vorgelegen.

Das Amtsgericht Bernau gab der Versicherung Recht und wies die Klage ab. Ein Versicherungsfall sei nicht eingetreten. Nach Auffassung des Gerichts lagen zwei zentrale Voraussetzungen der Klausel nicht vor.

IBAN und Kreditkartendaten keine vertraulichen Zugangsdaten

Zunächst prüfte das Gericht, ob die von der Klägerin im Chat mitgeteilten Informationen – IBAN und Kreditkartendaten – überhaupt unter den Begriff der „vertraulichen Zugangsdaten“ fallen. Die Klausel in der Hausratversicherung knüpft daran an, dass Kriminelle vertrauliche Zugangs- und Identifikationsdaten erlangen.

Nach Ansicht des Amtsgerichts Bernau ist dies bei IBAN und Kreditkartendaten nicht der Fall. Vertrauliche Zugangsdaten im Zusammenhang mit dem privaten Onlinebanking seien etwa die persönliche Identifikationsnummer (PIN), Transaktionsnummern (TAN) oder Passwörter für das Banking-Portal. Diese Informationen seien von ihrer Funktion her gerade nicht zur Weitergabe bestimmt.

Anders verhalte es sich bei Kontonummern, IBAN und Kreditkartendaten. Diese würden im Zahlungsverkehr regelmäßig mitgeteilt, etwa bei Online-Bestellungen oder Überweisungen. Ohne Weitergabe dieser Daten sei eine bargeldlose Zahlung häufig gar nicht möglich. Schon aus diesem Grund könnten IBAN und Kreditkartennummer nicht als „vertrauliche“ Zugangsdaten im Sinne der speziellen Cyberklausel verstanden werden.

Entscheidend: Die Freigabe der Zahlung durch die Kundin selbst

Als zweiten Punkt hob das Gericht hervor, dass der Schaden nicht durch einen unbefugten Zugriff des Täters auf das Onlinebanking der Klägerin entstanden sei. Der Täter habe sich gerade keinen eigenen Zugang zu ihrem Konto verschafft, sondern eine Kreditkartenzahlung ausgelöst, die die Versicherungsnehmerin selbst in ihrer Banking-App freigegeben habe.

Die eigentliche Ursache des Schadens sei daher die bewusste Freigabe einer Zahlung an einen Dritten durch die Kontoinhaberin. Die Richter betonten, dass aus der Freigabeaufforderung für die Kundin erkennbar gewesen sei, dass es um eine Zahlung an einen Dritten ging und nicht um den Eingang eines Kaufpreises. Auch der verhältnismäßig hohe Betrag von 1.968,55 Euro hätte Anlass zum Nachdenken geben können.

Auf die Frage, ob es für den Versicherungsschutz überhaupt darauf ankäme, ob die Daten über gefälschte E-Mails oder – wie hier – über einen Chatraum erlangt wurden, kam es nach Ansicht des Gerichts nicht mehr entscheidend an. Diese Auslegungsfrage ließ es ausdrücklich offen, weil bereits die beiden genannten Voraussetzungen nicht erfüllt waren.

Was bedeutet das Urteil für Verbraucherinnen und Verbraucher?

Nach Einschätzung von anwaltauskunft.de zeigt der Fall, dass viele Phishing-Klauseln in Hausratversicherungen relativ eng formuliert sind. Oft sind nur Fälle erfasst, in denen Täter über gefälschte E-Mails an echte Zugangsdaten wie PIN, TAN oder Onlinebanking-Passwörter gelangen und sich so in das Konto einloggen.

Checkliste: So erkennen Sie typische Fallen beim Online-Verkauf

Eine Checkliste kann helfen, typische Risiken beim Verkauf über Plattformen besser einzuschätzen:

• Niemals Zugangsdaten wie PIN, TAN oder Onlinebanking-Passwörter weitergeben – weder per E-Mail, Chat, Telefon noch über Links.
• Misstrauisch werden, wenn Käufer oder vermeintliche Plattformmitarbeiter Sie aus der offiziellen App oder Webseite in externe Chats oder auf fremde Seiten lotsen.
• E-Mails und Links genau prüfen: Stimmt die Absenderadresse wirklich mit der offiziellen Domain der Plattform überein?
• Push-Freigaben in Banking-Apps immer sorgfältig lesen: Wer ist Zahlungsempfänger, in welcher Höhe soll gezahlt werden, handelt es sich wirklich um eine erwartete Transaktion?
• Bei ungewöhnlich hohen Beträgen oder unklaren Angaben die Freigabe abbrechen und direkt bei der eigenen Bank nachfragen.
• Im Zweifel eigene Zahlungen oder Rückzahlungen immer selbst aus dem bekannten Onlinebanking heraus anstoßen – nicht über Links in Nachrichten.

Quelle: www.anwaltauskunft.de