Abbuchungen über Apple Pay oder Google Pay, die Sie nie getätigt haben: Was jetzt zu tun ist

Sie öffnen morgens Ihre Banking-App und sehen Zahlungen, die Sie nie getätigt haben: mehrere Einkäufe in kurzer Folge, oft bei Elektronikhändlern oder an Tankstellen, manchmal in einer anderen Stadt. Dabei steckt Ihre Kreditkarte oder Debitkarte ganz normal in Ihrem Portemonnaie. Bei der Bank erfahren Sie dann: Die Karte wurde in Apple Pay oder Google Pay auf einem Handy hinterlegt, das nicht Ihres ist.

Genau diese Masche häuft sich, wenn viel online eingekauft wird, also besonders in den Wochen rund um Black Friday und Weihnachten. Die gute Nachricht vorweg: Sie sind in dieser Lage nicht rechtlos. Die Rechtsprechung hat die Position betroffener Kundinnen und Kunden zuletzt deutlich gestärkt.

Wie die Masche typischerweise abläuft

Am Anfang steht fast immer eine täuschend echte Seite: ein günstiger Online-Shop, eine angebliche Paketbenachrichtigung oder eine Mail, die wie ein Gruß Ihres Lieblingsanbieters aussieht. Sie geben dort Ihre Kartendaten ein. Kurz danach kommt ein Code per SMS oder eine Freigabe-Anfrage in Ihrer Banking-App. Die Seite fordert Sie auf, den Code einzugeben, angeblich um die Zahlung zu bestätigen.

In Wirklichkeit richten die Täter mit diesem Code Ihre Karte in ihrer eigenen digitalen Geldbörse (Wallet) ein. Ab diesem Moment können sie mit dem Handy kontaktlos bezahlen, als hätten sie Ihre Karte in der Hand. Die Verbraucherzentralen warnen seit Längerem davor, solche Codes in Webformulare einzutippen.

Sofort handeln: Die ersten Schritte

1. Karte sperren. Über die App Ihrer Bank, die Hotline Ihrer Bank oder den zentralen Sperrnotruf 116 116. Mit der Kartensperre wird in der Regel auch der Wallet-Zugang der Täter wertlos. Fragen Sie trotzdem ausdrücklich nach, ob die digitale Karte auf dem fremden Gerät gelöscht ist.
2. Bank schriftlich informieren. Teilen Sie per Mail, Kontaktformular oder Brief mit, welche Zahlungen Sie nicht autorisiert haben, und verlangen Sie ausdrücklich die Erstattung. Ein Telefonat allein reicht als Nachweis nicht.
3. Strafanzeige erstatten. Das geht in Berlin und Brandenburg auch online über die Internetwache der Polizei. Die Vorgangsnummer brauchen Sie später.
4. Beweise sichern. Screenshots der Fake-Seite, der SMS, der App-Nachrichten und der Umsätze, dazu die Adresse der Seite und den Zeitpunkt. Löschen Sie nichts, auch wenn es unangenehm ist.

Was das Gesetz sagt

Nicht autorisiert heißt: Die Bank muss erstatten

Hat nicht Sie, sondern ein Dritter bezahlt, ist die Zahlung nicht von Ihnen autorisiert. Nach § 675u BGB muss die Bank den Betrag dann unverzüglich erstatten, spätestens bis zum Ende des folgenden Geschäftstags, nachdem sie von der Zahlung erfahren hat. Eine Ausnahme gibt es nur, wenn die Bank einen begründeten Verdacht hat, dass Sie selbst betrügerisch handeln, und dies der Aufsichtsbehörde schriftlich mitteilt.

Der Europäische Gerichtshof hat am 15. Oktober 2026 (C-70/25) bestätigt: Die Bank muss zunächst erstatten, auch wenn sie Ihnen grobe Fahrlässigkeit vorwirft. Über ihren angeblichen Schaden kann sie erst danach mit Ihnen streiten, und die grobe Fahrlässigkeit muss sie beweisen. Mehr dazu lesen Sie in unserem Beitrag zum EuGH-Urteil zur sofortigen Erstattung.

Haftung des Kunden: 50 Euro, grobe Fahrlässigkeit und eine wichtige Grenze

§ 675v BGB regelt, wann Sie selbst für den Schaden einstehen müssen:

• Grundsätzlich höchstens 50 Euro, wenn die Karte verloren, gestohlen oder missbraucht wurde.
• Den vollen Schaden nur bei Betrug, Vorsatz oder grober Fahrlässigkeit. Genau darauf berufen sich Banken häufig, etwa mit dem Argument, Sie hätten den Code nicht weitergeben dürfen.
• Gar keine Haftung, wenn die Bank keine starke Kundenauthentifizierung verlangt hat (§ 675v Abs. 4 BGB), es sei denn, Sie haben selbst betrügerisch gehandelt.

Dieser letzte Punkt ist bei Wallet-Betrug oft entscheidend. Das Oberlandesgericht Karlsruhe hat am 23. Dezember 2025 (17 U 113/23) entschieden: Die Freigabe zum Registrieren der Karte in Apple Pay ist keine Freigabe der späteren einzelnen Zahlungen. Hat die Bank für die Zahlungen selbst keine starke Kundenauthentifizierung verlangt, kann sie vom Kunden keinen Schadensersatz fordern. Die Revision zum Bundesgerichtshof wurde zugelassen, das letzte Wort ist also noch nicht gesprochen. Hintergründe finden Sie in unserem Artikel zum Urteil des OLG Karlsruhe zu Apple Pay und Google Pay.

Die 13-Monats-Frist

Nach § 676b BGB verlieren Sie Ihre Ansprüche, wenn Sie die Bank nicht spätestens 13 Monate nach der Belastung über die nicht autorisierte Zahlung unterrichten. Das klingt nach viel Zeit. Je länger Sie warten, desto schwerer wird es aber, den Ablauf zu belegen. Melden Sie sich deshalb sofort.

Und der Chargeback?

Bei Kreditkarten hören Sie oft den Begriff Chargeback. Das ist ein Rückbuchungsverfahren nach den Regeln der Kartenorganisationen wie Visa oder Mastercard, kein gesetzlicher Anspruch, und es hat eigene, deutlich kürzere Fristen. Ihr Erstattungsanspruch aus § 675u BGB besteht unabhängig davon.

Typische Fehler, die Geld kosten

• Abwarten, ob sich alles von selbst klärt. Jede Stunde ohne Sperre kann weitere Zahlungen bedeuten.
• Nur telefonieren. Ohne schriftliche Meldung fehlt Ihnen später der Nachweis, wann Sie die Bank informiert haben.
• Sich selbst belasten. Schildern Sie den Ablauf sachlich und vollständig, aber schreiben Sie nicht vorschnell, Sie seien leichtsinnig gewesen. Ob Ihr Verhalten grob fahrlässig war, ist eine Rechtsfrage, die die Bank beweisen muss.
• Die Ablehnung der Bank als Endstation sehen. Viele Banken lehnen zunächst pauschal ab. Das heißt nicht, dass die Bank im Recht ist. Was Betroffene bei Karten- und Wallet-Missbrauch tun können, haben wir auf unserer Seite zu EC- und Kreditkartenmissbrauch zusammengefasst.

Wie wir Ihnen helfen können

Ob sich die Bank zu Recht auf grobe Fahrlässigkeit beruft und ob bei den Zahlungen eine starke Kundenauthentifizierung stattgefunden hat, hängt vom Einzelfall ab. Ihren Erstkontakt und eine erste Einschätzung, ob sich ein Vorgehen lohnen kann, erhalten Sie bei uns kostenlos. Die ausführliche Prüfung Ihrer Unterlagen und die Vertretung gegenüber der Bank sind danach eine kostenpflichtige Leistung, über die wir Sie vorher offen informieren. Einen Überblick über unsere Arbeit finden Sie im Bereich Bankrecht.

Häufige Fragen

Ich habe den Code selbst eingegeben. Habe ich jetzt verloren?

Nicht unbedingt. Ob das grob fahrlässig war, hängt davon ab, wie überzeugend die Täuschung war und was in der Nachricht stand. Außerdem kann es darauf ankommen, ob die Bank die einzelnen Zahlungen nochmals mit starker Kundenauthentifizierung abgesichert hat.

Darf die Bank die Erstattung bis zur Klärung verweigern?

Nach dem EuGH-Urteil vom 15. Oktober 2026 grundsätzlich nicht. Die Bank muss erst erstatten und kann ihren Anspruch danach geltend machen. Eine Ausnahme gilt nur bei einem begründeten, der Aufsicht gemeldeten Betrugsverdacht gegen Sie.

Wie lange habe ich Zeit?

Spätestens 13 Monate nach der Belastung müssen Sie die Bank informieren. Sperren und melden sollten Sie aber sofort.