Kryptobetrug: Haftungsrisiken für Banken, Zahlungsdienstleister und Börsen

Kryptobetrugsfälle nehmen stetig zu und hinterlassen bei den Opfern oft nicht nur finanzielle, sondern auch psychische Schäden. Viele Betroffene fragen sich, ob und inwieweit Banken, Zahlungsdienstleister oder Kryptobörsen für die entstandenen Schäden haften könnten. Als Rechtsanwalt Dr. Kurth aus Frankfurt am Main, mit Tätigkeitsschwerpunkt Krypto-Betrugsopferhilfe, möchte ich Ihnen einen Überblick über die rechtlichen Möglichkeiten geben.

Haftungsrisiken für Banken und Zahlungsdienstleister bei Kryptobetrug

Die Frage der Haftung von Banken und Zahlungsdienstleistern bei Kryptobetrug ist komplex und hängt maßgeblich von den Umständen des Einzelfalls ab. Grundsätzlich lassen sich zwei Hauptansatzpunkte unterscheiden: die Haftung bei nicht autorisierten Zahlungsvorgängen und die Haftung bei Verletzung von Warn- und Schutzpflichten.

Nicht autorisierte Zahlungsvorgänge: Ihr Schutz nach § 675u BGB

§ 675u BGB greift ausschließlich bei nicht autorisierten Zahlungsvorgängen. Wenn eine Zahlung ohne Ihre wirksame Zustimmung ausgeführt wurde, muss der Zahlungsdienstleister (Ihre Bank) Ihnen den Betrag in aller Regel unverzüglich erstatten. Die Beweislast dafür, dass eine Zahlung ordnungsgemäß autorisiert wurde, liegt dabei vollständig bei der Bank. Der Bundesgerichtshof hat dies in mehreren Urteilen, zuletzt im März 2024 (BGH XI ZR 107/22), bekräftigt: Der bloße Nachweis einer technisch korrekten Authentifizierung reicht nicht aus; die Bank muss beweisen, dass die Autorisierung wirksam war.

Wichtig ist die Abgrenzung zu Täuschungsfällen: Wenn Sie eine Überweisung selbst freigeben – auch wenn Sie dabei durch Betrüger getäuscht wurden – liegt aus zahlungsdiensterechtlicher Sicht eine autorisierte Zahlung vor. § 675u BGB ist dann nicht einschlägig. In solchen Konstellationen läuft eine mögliche Haftung der Bank nicht über § 675u BGB, sondern über die Verletzung von Warn- und Schutzpflichten (dazu sogleich).

Der Anwendungsbereich von § 675u BGB ist demgegenüber insbesondere bei Phishing-Angriffen oder sogenanntem Credential-Phishing relevant, bei dem Täter Ihre Zugangsdaten erschleichen und dann eigenmächtig, ohne Ihre wirksame Zustimmung, Transaktionen ausführen.

Warn- und Schutzpflichten: Wenn die Bank hätte handeln müssen

Oftmals führen Betrugsopfer die Überweisung auf Anweisung der Betrüger selbst aus. In solchen Fällen ist die Zahlung zwar scheinbar autorisiert, aber die Zustimmung wurde durch Betrug erschlichen. Hier kommt eine Haftung der Bank wegen Verletzung ihrer Schutz- und Warnpflichten nach §§ 241 Abs. 2, 280 Abs. 1 BGB in Betracht.

Die Rechtsprechung, etwa durch den BGH in einem wegweisenden Urteil vom 6. Mai 2008 (Az. XI ZR 56/07), hat Banken eine Warnpflicht auferlegt, wenn objektiv evidente und massive Verdachtsmomente für einen Betrug vorliegen. Dies ist beispielsweise der Fall bei:

• Ungewöhnlich hohen oder gehäuften Überweisungen in kurzer Zeit, die nicht zum üblichen Transaktionsverhalten des Kunden passen.
• Zahlungen an auffällige IBANs, die bereits in Warnhinweisen der BaFin oder anderen behördlichen Sperrlisten auftauchen.
• Transaktionen, die auf typische Betrugsmaschen hindeuten, wie etwa Pig Butchering, Romance Scam oder Fake Investment Plattformen, bei denen die Gelder oft über Finanzagenten oder Mule-Konten weitergeleitet werden.

Eine Bank muss ihre Kunden vor solchen verdächtigen Transaktionen warnen und darf die Überweisung nicht einfach ausführen. Wenn sie dies unterlässt, kann sie sich schadensersatzpflichtig machen. Das OLG München (19 U 1508/23, September 2023) hat hinsichtlich der Verwendung des Online-Bankings festgestellt, dass ein Fehlverhalten des Kunden die Haftung der Bank nicht automatisch ausschließt, wenn bei dieser ein Organisationsverschulden wegen fehlender technischer Schutzmechanismen vorliegt.

Auch die Empfängerbank kann in bestimmten Konstellationen haften. Der BGH hat im Mai 2024 (XI ZR 327/22) angedeutet, dass eine Empfängerbank bei objektiv evidenter Gefährdungslage – beispielsweise einer BaFin-Warnung bezüglich des Empfängerkontos – zur Warnung verpflichtet sein kann, was über die Drittschadensliquidation Ansprüche des geschädigten Senders eröffnen könnte.

Haftung von Kryptobörsen und Plattformen

Die Haftung von Kryptobörsen ist ein weiterer wichtiger Aspekt. Hier ist zu unterscheiden, ob die Börse selbst als Vertragspartner, Verwahrerin oder Zahlungsdienstleisterin agiert oder ob sie lediglich eine technische Infrastruktur bereitstellt.

Pflichten nach dem KWG und ZAG

Kryptobörsen, die in Deutschland oder der EU tätig sind, unterliegen zunehmend strengeren Regulierungen. Gemäß § 32 KWG benötigen sie in vielen Fällen eine Lizenz der BaFin. Das Fehlen einer solchen Lizenz kann ein starkes Indiz für eine betrügerische Plattform sein und für die Bank eine Warnpflicht begründen. Zudem haben viele Börsen AML-Pflichten (Anti-Money Laundering) zu erfüllen und müssen Maßnahmen gegen Geldwäsche und Betrug ergreifen (§ 25h KWG).

Wenn eine Kryptobörse Kundengelder verwahrt oder Zahlungsabwicklungen anbietet, können sich daraus vertragliche oder aufsichtsrechtliche Haftungspflichten ergeben. In der Praxis ist es jedoch oft schwierig, diese Ansprüche durchzusetzen, insbesondere wenn die Börse ihren Sitz im Ausland hat und keine Niederlassung in der EU unterhält.

Herausforderungen bei der Geltendmachung von Ansprüchen

Die Durchsetzung von Ansprüchen gegen Kryptobörsen oder ausländische Zahlungsdienstleister ist oft mit erheblichen Hürden verbunden:

• Jurisdiktion: Welches Recht ist anwendbar und wo kann geklagt werden?
• Sitz der Börse: Viele betrügerische Plattformen haben ihren Sitz in Ländern, in denen eine Vollstreckung kaum möglich ist.
• Identifizierung der Täter: Die Anonymität im Kryptobereich erschwert die Identifizierung der tatsächlichen Betrüger.

Dennoch gibt es Möglichkeiten. Mithilfe der Blockchain-Forensik kann der Weg der gestohlenen Kryptowährungen nachverfolgt werden. Führt die Spur zu einer zentralisierten Kryptobörse (CEX) wie Binance, Bitpanda, Crypto.com, Kraken oder OKX, die KYC-Verfahren (Know Your Customer) durchführt und in der EU oder einem kooperierenden Land sitzt, kann ich als Rechtsanwalt Dr. Kurth aus Frankfurt am Main einen dinglichen Arrest nach §§ 916 ff. ZPO beantragen. Das Landgericht ordnet den Arrest an, und die Börse vollzieht die Sperre der betrügerisch erlangten Vermögenswerte.

Typische Betrugsmaschen und ihre rechtliche Relevanz

Die Betrüger entwickeln ständig neue, raffinierte Maschen. Hier sind einige der häufigsten, die ich in meiner Kanzlei in Frankfurt am Main immer wieder sehe:

1. Pig Butchering / Romance Scam

Hierbei bauen Täter über längere Zeit eine persönliche oder romantische Beziehung zum Opfer auf. Sobald Vertrauen geschaffen ist, wird das Opfer dazu überredet, in angeblich hochprofitable Krypto-Anlagen zu investieren. Die Opfer überweisen Geld auf Konten oder Krypto-Wallets der Täter. Auszahlungen werden verweigert, stattdessen werden weitere Zahlungen für angebliche Steuern oder Gebühren gefordert. Diese Vorgehensweise ist ein klassischer Krypto-Anlagebetrug.

2. Phishing / Credential-Phishing

Opfer erhalten gefälschte Nachrichten (E-Mail, SMS) von angeblich ihrer Bank oder einer Börse, die sie auf gefälschte Webseiten locken. Dort geben sie ihre Login-Daten, Passwörter und/oder TANs ein, die dann von den Tätern genutzt werden, um Konten zu übernehmen und Transaktionen auszuführen. Dies fällt unter die Kategorie Krypto-Phishing.

3. Fake Investment Plattform / Fake Exchange

Opfer werden durch professionell aussehende, aber gefälschte Handelsplattformen gelockt, oft mit unrealistisch hohen Gewinnversprechen. Nach einer Ersteinzahlung werden fiktive Gewinne angezeigt, um weitere Einzahlungen zu motivieren. Eine Auszahlung wird jedoch verweigert, und es werden zusätzliche Zahlungen für angebliche Steuern oder Compliance-Prüfungen gefordert.

4. Technischer Identitätsdiebstahl / Wallet Draining

Durch Malware, SIM-Swapping oder manipulierte Webseiten verschaffen sich Täter Zugriff auf die Krypto-Wallets der Opfer und räumen diese vollständig leer. Hierbei ist oft die fehlende starke Kundenauthentifizierung (SCA) oder ein unsicherer Prozess zur Aktivierung von Banking-Apps ein Ansatzpunkt für die Haftung der Bank, wie das LG Itzehoe (7 O 114/24, Januar 2025) in einem ähnlich gelagerten Fall entschieden hat.

Was tun, wenn Sie betroffen sind?

Wenn Sie Opfer von Kryptobetrug geworden sind, ist schnelles Handeln entscheidend.

• Sichern Sie alle Beweise: Screenshots, Kommunikationsverläufe, Transaktionsnachweise, E-Mails, SMS – alles, was den Betrug dokumentiert.
• Erstatten Sie Strafanzeige: Dies können Sie bei jeder Polizeidienststelle oder online tun. Ich begleite Sie bei der Anzeigeerstattung und bereite die Beweise auf. Die Staatsanwaltschaft kann im Rahmen des Strafverfahrens einen Vermögensarrest nach § 111e StPO beantragen, um Gelder zu sichern.
• Kontaktieren Sie Ihre Bank: Informieren Sie Ihre Bank unverzüglich über den Betrug und fordern Sie eine Rückbuchung oder Sperrung der Transaktionen.
• Suchen Sie rechtlichen Beistand: Als Rechtsanwalt Dr. Kurth mit Schwerpunkt Krypto-Betrugsopferhilfe unterstütze ich Sie bei der rechtlichen Aufarbeitung. Ich beauftrage spezialisierte Dienstleister für die Blockchain-Forensik, um die Spur der Kryptowährungen zu verfolgen. Führt diese Spur zu einer zentralisierten Börse, kann ich einen dinglichen Arrest beantragen, um die gestohlenen Vermögenswerte zu sichern.

Warnung vor Recovery-Scams

Seien Sie äußerst vorsichtig vor sogenannten Recovery-Scams. Dies sind Betrüger, die sich als "Hacker", "Insider" oder "private Ermittler" ausgeben und versprechen, Ihr verlorenes Geld gegen eine Vorauszahlung zurückzuholen. Seriöse Anwälte wie ich arbeiten auf Basis der gesetzlichen Gebührenordnungen (RVG) oder schriftlicher Vergütungsvereinbarungen, niemals mit Cold Calls, Telegram-Nachrichten oder Forderungen nach Krypto-Zahlungen ohne Mandatsvertrag. Ein seriöser Anwalt wird Ihnen niemals eine rechtliche Wege zur Rückführung versprechen.