belabw
Dass du die Transaktion nicht auf deinem Handy freigegeben hast, ist nicht der Punkt, sondern der Registrierungsmissbrauch der Karte.
Ich bezweifle eine Lücke im Sicherheitsverfahren 3D-Secure. Falls die Bank ohne 3D-Secure, also nur mit CVC freigegeben hätte, wäre sie erstattungspflichtig.
Zur missbräuchlichen Registrierung deiner Karte sehe ich 2 Möglichkeiten:
- Phishing: Dazu müsstest du einem Dritten die Registrierung deiner Karte auf seinem Handy ermöglicht haben, z.B. indem du ihm den Registrierungscode (TAN) genannt hast, ihn auf einer gefälschten Website eingegeben hast, oder Malware den Code auf deinem Handy abgefangen hat.
- SIM-Swap: Der Täter kontrollierte durch Täuschung deines Mobilfunkanbieters vorübergehend deine Mobilfunknummer, um den Registrierungscode abzufangen und deine Karte zu registrieren. Der Verlust des Mobilfunknetzes hätte dir aber auffallen müssen.
Der Fall ist jetzt abgeschlossen.
Aus dem nun sehr ausführlichen zweiten Schreiben der Bank geht hervor, dass zum Einrichten der Google Pay App (mit dem der Umsatz getätigt wurde, auf meinem Mobiltelefon wurde aber noch nie Google Pay eingerichtet!) folgende Kundendaten erforderlich sind: Kreditkartennummer
Ablaufdatum
CVV-Code
Name und Adresse des Karteninhabers
Mobilfunknummer
Alle diese Daten sind vermutlich dem Profibetrüger/Hacker wie auch immer vorgelegen, obwohl ich nie auf irgendwelche Pishingmails reagiert habe und meine Kreditkarte nie aus der Hand gegeben habe.
Aber nun das entscheidende Detail aus dem Brief in meinem Fall:
Beim Hinterlegen einer Kreditkarte bei Google Pay erfolgt keine Freigabe über die BW-Secure App (die wirklich nur ich auf meinem Mobiltelefon habe), sondern nur über einen Registriercode, der per einfacher SMS (!) an die Mobilfunknummer gesendet und innerhalb von 30 min bestätigt werden muss. Ein versierter Hacker dürfte in der Lage sein, wenn er alle oben genannten Daten sich auch die SMS mit meiner Mobilfunknummer per SIM Swap (wie pmeinl beschreibt) zu erschleichen und an sein Mobiltelefon zu leiten.
In dem Schreiben wurde nun versucht, mir grobe Fahrlässigkeit zu unterstellen, ich hätte an besagtem Tag (11.09.2025 um 19:31 Uhr) die Registrier-SMS erhalten (habe ich aber definitiv nicht) und dann ignoriert anstatt die Bank zu informieren. Klar ist doch, wenn ich plötzlich einen nicht veranlassten Registriercode erhalte, würde ich sehr wohl sofort reagieren. Hier gibt die Bank meiner Ansicht nach letztlich indirekt zu, dass die SMS auch noch an ein anderes Mobiltelefon gegangen sein muss. Allerdings habe ich nie eine SMS erhalten, die ging dann wirklich nur an den Betrüger. Mein Anwalt hält das so für wahrscheinlich, gerade wenn echte „Profis“ am Werk waren.
Die Bank hat in dem Schreiben abschließend angeboten, die Hälfte des Schadens zu übernehmen, „um einen langwierigen Rechtsstreit zu vermeiden“, was laut meines Anwalts quasi ein Schuldeingeständnis ist, weil das bei klarer Lage unüblich sei. Ich sehe das bei jetzt 250 Euro Schaden auch so, und habe dem Vergleich zugestimmt, zumal ich rechtsschutzversichert ohne SB bin.
Die Betrüger hatten immerhin das Pech (und ich das Glück), dass mein Verfügungsrahmen im September schon so weit ausgeschöpft war.
Danke noch einmal für die Vielzahl eurer Beiträge!