Unerlaubt abgebucht? So bekommen Sie Ihr Geld zurück

Der Grundsatz: Autorisierung entscheidet — und grobe Fahrlässigkeit kann teuer werden

Ob Sie einen Anspruch auf Rückerstattung haben, hängt an einem einzigen Begriff: der Autorisierung (§ 675j BGB). Autorisiert bedeutet: Sie haben der Abbuchung vorher zugestimmt — durch Unterschrift, PIN-Eingabe, TAN-Freigabe oder ein SEPA-Lastschriftmandat. Fehlt diese Zustimmung, etwa weil ein Dritter Ihre Karten- oder Zugangsdaten missbraucht hat, ist der Zahlungsvorgang nicht autorisiert.

Für diesen Fall ist die Rechtslage eindeutig: Ihre Bank hat keinen Anspruch auf Aufwendungsersatz gegen Sie und muss den Betrag unverzüglich zurückbuchen — spätestens bis zum Ende des auf Ihre Meldung folgenden Geschäftstags (§ 675u BGB).

Die wichtigste Ausnahme: grobe Fahrlässigkeit. Haben Sie z. B. eine TAN trotz eindeutiger Warnhinweise weitergegeben oder Ihre PIN auf der Karte notiert, kann die Bank sich nach § 675v Abs. 3 BGB auf volle Haftung berufen — der sonst geltende Selbstbehalt entfällt dann komplett. Die Hürden dafür sind hoch: Ein bloßer Flüchtigkeitsfehler reicht nicht. Und selbst wenn die Bank Ihnen grobe Fahrlässigkeit vorwirft, muss sie das beweisen, nicht Sie das Gegenteil (§ 675w BGB) — ein häufiges Missverständnis. Wie hoch die Hürde in der Praxis liegt, zeigen aktuelle Entscheidungen:

• Mehrere TANs auf Zuruf eingegeben: Wer nach einer betrügerischen Anfrage gleich mehrere TANs eingibt, handelt grob fahrlässig — es sei allgemein bekannt, dass für eine Zahlung nie mehr als eine TAN nötig ist. AG Krefeld, Urt. v. 06.07.2012 – 7 C 605/11
• Freischaltcode am Telefon weitergegeben: Auch die telefonische Weitergabe eines Freischaltcodes für ein neues TAN-Verfahren an einen unbekannten Anrufer gilt regelmäßig als grob fahrlässig. OLG München, Beschl. v. 04.09.2023 – 19 U 1508/23; OLG Naumburg, Urt. v. 30.10.2024 – 5 U 35/24
• Auch eine angezeigte Bank-Telefonnummer schützt nicht automatisch: Beim sogenannten Call-ID-Spoofing täuschen Betrüger die echte Nummer der Bank vor. Der BGH nimmt hier eine Gesamtwürdigung aller Umstände vor — weder die vorgetäuschte Nummer noch Unerfahrenheit mit dem TAN-Verfahren schließen grobe Fahrlässigkeit automatisch aus, insbesondere wenn zwischen den verdächtigen Vorgängen genug Zeit zum Nachdenken blieb. BGH, Urt. v. 22.07.2025 – XI ZR 107/24

Wichtig dabei: Authentifizierung ist nicht automatisch Autorisierung. Dass die Bank Ihre Identität technisch korrekt geprüft hat, heißt nicht zwingend, dass Sie dem konkreten Zahlungsvorgang auch zugestimmt haben — hat ein Betrüger Ihre Zugangsdaten erbeutet und selbst eine Überweisung ausgelöst, bleibt es trotz erfolgreicher Authentifizierung ein nicht autorisierter Vorgang. Die pauschale Aussage einer Bank, der Vorgang sei "ordnungsgemäß mit TAN bestätigt worden", ist deshalb für sich genommen kein Beweis Ihrer Autorisierung.

Die Frist: 13 Monate — aber warten Sie nicht so lange

Ihr Erstattungsanspruch erlischt, wenn Sie die Bank nicht spätestens 13 Monate nach dem Tag der Belastung über den nicht autorisierten Zahlungsvorgang informieren (§ 676b Abs. 2 BGB). Die Frist ist großzügig bemessen, sollte aber keinesfalls ausgereizt werden: Je länger Sie warten, desto schwerer wird es, die fehlende Autorisierung zu belegen — und desto eher wirft Ihnen die Bank vor, den Schaden durch spätes Handeln vergrößert zu haben.

Ein wichtiges Detail dabei: Diese Frist beginnt erst zu laufen, wenn Ihre Bank Sie überhaupt über die betreffende Abbuchung informiert hat — etwa durch einen zugänglichen Kontoauszug. Fehlt diese Information, verschiebt sich der Fristbeginn entsprechend nach hinten (§ 676b Abs. 2 Satz 2 BGB).

Konstellation	Frist
Nicht autorisierte Abbuchung (§ 676b BGB)	13 Monate ab Belastung
SEPA-Basislastschrift, autorisiert, ohne Grund	8 Wochen ab Belastung
SEPA-Lastschrift ohne gültiges Mandat	13 Monate ab Belastung

Die Szenarien — und ihre Rechtsfolge

In der Praxis lassen sich fast alle Fälle einer der folgenden vier Konstellationen zuordnen. Welche davon vorliegt, entscheidet direkt darüber, was Sie am Ende bekommen:

Kurz zusammengefasst: Das sollten Sie jetzt tun

Besonderheit: PayPal, Klarna & Co.

Wenn Sie online bestellen und als Zahlungsart PayPal wählen, passiert beim Klick auf „Kaufen" genau eines: Sie autorisieren eine konkrete Zahlung. Kurz darauf kommt die E-Mail „Sie haben eine Zahlung autorisiert" — das ist Ihre Zustimmung im Sinne des § 675j BGB, und zwar für genau diese eine Zahlung an genau diesen Händler.

Erst danach setzt sich die Kette in Gang: PayPal zahlt dem Händler sofort aus und holt sich den Betrag anschließend dort, wo Ihre hinterlegte Zahlungsquelle liegt — meist per SEPA-Lastschrift von Ihrem Bankkonto, manchmal aus Ihrem PayPal-Guthaben. Wichtig ist dabei, dass PayPal rechtlich kein bloßer Vermittler ist, sondern selbst ein lizenzierter Zahlungsdienstleister. Es gelten deshalb dieselben Vorschriften wie für Ihre Bank (§§ 675c ff. BGB).

PayPal zahlt dem Händler sofort aus und holt sich den Betrag anschließend bei Ihrer Bank.
Beide Schritte setzen voraus, dass am Anfang Ihre Autorisierung stand.

Genau daran hakt es in den Missbrauchsfällen — und hier liegt auch das Missverständnis, mit dem Betroffene häufig abgespeist werden. Dass bei PayPal ein Lastschriftmandat hinterlegt ist, heißt nicht, dass PayPal sich jederzeit bedienen darf. Das Mandat erlaubt nur den technischen Einzug; es ersetzt nicht Ihre Zustimmung zu der einzelnen Zahlung. Fehlt diese Zustimmung — weil etwa ein Dritter Ihr PayPal-Konto übernommen und die Zahlung ausgelöst hat —, ist der Zahlungsvorgang nicht autorisiert. Und dann gilt gegenüber PayPal dasselbe wie gegenüber einer Bank: Sie haben Anspruch auf Erstattung nach § 675u BGB. Für Beträge, die aus Ihrem PayPal-Guthaben abgeflossen sind, gilt nichts anderes.

Auch eine frühere Zustimmung deckt nur das ab, wozu Sie tatsächlich zugestimmt haben. Zwei Varianten begegnen einem dabei immer wieder: Sie haben zuvor eine kleine Zahlung freigegeben, kurz darauf wird ein deutlich höherer Betrag abgebucht — die Freigabe der ersten Zahlung deckt die zweite nicht. Oder beim Händler ist Ihre PayPal-Zahlungsart hinterlegt, und dort wird aus welchem Grund auch immer eine Zahlung ausgelöst, ohne dass Sie sie freigegeben haben. In beiden Fällen bleibt es dabei: autorisiert ist nur die konkrete Zahlung, der Sie zugestimmt haben.

Was Sie tun sollten

Mein Rat für diesen Fall: Lassen Sie die Lastschrift bei Ihrer Bank zurückgehen — bei der SEPA-Basislastschrift geht das innerhalb von acht Wochen ohne Angabe von Gründen — und berufen Sie sich gleichzeitig gegenüber PayPal ausdrücklich darauf, dass die Zahlung nicht autorisiert war. Damit landet der Vorgang dort, wo er hingehört: PayPal muss die Sache dann mit dem Händler klären, nicht Sie.

Der Käuferschutz ist die Alternative, aber nicht immer erfolgversprechend — er ist für nicht gelieferte oder mangelhafte Ware gedacht, nicht für eine Zahlung, die Sie nie veranlasst haben.

Ihre Bank ist dabei ausdrücklich nicht Ihr Gegner. Wer sich für die Rücklastschrift entscheidet, sollte aber wissen, dass sie allein das Problem nicht löst: Sie holt das Geld nur auf Ihre Kontoseite zurück. PayPal hat den Betrag zu diesem Zeitpunkt längst an den Händler ausgezahlt und wird ihn bei einer geplatzten Lastschrift direkt bei Ihnen einfordern — mit Mahnungen und am Ende über ein Inkassobüro. Genau deshalb gehört die Meldung an PayPal zwingend dazu, und zwar sofort und nicht erst, wenn die erste Mahnung kommt.

Und noch ein Punkt, der in der Praxis viel Zeit kostet: sich an den richtigen Gegner zu halten. Weder Ihre Bank noch der Händler ist es. Bezahlt wurde der Händler nämlich nicht von Ihnen, sondern von PayPal — aus eigener Verpflichtung gegenüber dem Händler. Die maßgebliche Leistungsbeziehung besteht damit zwischen PayPal und dem Händler, und Sie können sie nicht überspringen. Bei einer nicht autorisierten Zahlung fehlt zwischen Ihnen und dem Händler ohnehin jede Leistungsbeziehung — es gibt ja nicht einmal einen Vertrag, den man rückabwickeln könnte. Etwas anderes gilt nur, wenn der Händler selbst der Täter ist: dann bestehen Ansprüche auch gegen ihn, allerdings auf Schadensersatz und nicht auf Rückabwicklung der Zahlung.

• Läuft noch eine Lastschrift: bei Ihrer Bank zurückgeben lassen und gleichzeitig die Zahlung gegenüber PayPal als nicht autorisiert melden.
• Ist das Geld aus dem PayPal-Guthaben abgeflossen: hier kann Ihre Bank nicht helfen, der Anspruch richtet sich allein gegen PayPal.

Bei Klarna und vergleichbaren Diensten gilt im Kern derselbe Mechanismus.

So gehen wir vor

Ich prüfe zunächst anhand Ihrer Kontoauszüge und der Kommunikation mit der Bank, welches Szenario vorliegt und ob die Bank sich zu Recht auf grobe Fahrlässigkeit beruft. Anschließend fordere ich die Erstattung schriftlich unter Fristsetzung — bei Bedarf begleite ich Sie auch bei der Strafanzeige und der Kommunikation mit PayPal, Klarna oder dem Zahlungsdienstleister. Rückmeldung erhalten Sie von mir innerhalb eines Werktags.