Nicht autorisierte Zahlungen von Karte oder Konto entdeckt man meist auf die unangenehmste Weise: eine Benachrichtigung auf dem Handy um zwei Uhr nachts, eine Zahlung in einem unbekannten Onlineshop oder eine Überweisung auf ein Konto, das Sie noch nie gesehen haben. In einem solchen Moment ist Panik verständlich, doch gerade die ersten Stunden entscheiden darüber, wie leicht Sie Ihr Geld zurückbekommen. Das Gesetz steht auf der Seite des Verbrauchers – aber nur, wenn er schnell handelt und eine schriftliche Spur hinterlässt.
In diesem Beitrag erklären wir, was Sie in den ersten 24 Stunden nach Entdeckung eines nicht autorisierten Zahlungsvorgangs tun sollten, welche Pflichten die Bank nach dem bulgarischen Gesetz über Zahlungsdienste und Zahlungssysteme (Закон за платежните услуги и платежните системи, ЗПУПС) hat, bis zu welchem Betrag Sie selbst haften und wann Sie überhaupt nicht haften. Gesondert behandeln wir Phishing- und Vishing-Betrug, bei dem der Kunde selbst einen Code eingegeben oder eine Überweisung bestätigt hat.
Was ist eine „nicht autorisierte“ Zahlung im Sinne des Gesetzes?
Nach Art. 70 ЗПУПС ist ein Zahlungsvorgang autorisiert, wenn der Zahler ihn angewiesen oder seiner Ausführung zugestimmt hat. Fehlt die Zustimmung, ist der Vorgang nicht autorisiert. Typische Beispiele sind:
- Zahlungen mit einer gestohlenen oder verlorenen Karte;
- Onlinezahlungen mit kopierten Kartendaten (Nummer, Ablaufdatum, CVC-Code);
- Überweisungen im Onlinebanking, die ein Dritter angewiesen hat, der Zugang zu Ihrem Konto erlangt hat;
- Abhebungen am Geldautomaten mit einer geklonten Karte.
Anders liegt der Fall, wenn Sie die Überweisung selbst angewiesen haben, wenn auch unter dem Einfluss eines Betrügers (etwa für eine „Investition“ oder zur „Rettung des Geldes“ auf Anweisung eines falschen Bankmitarbeiters). Dann liegt formal Ihre Zustimmung vor, und der Schutz ist eingeschränkter – auf diese Unterscheidung gehen wir weiter unten ein.
Nicht autorisierte Zahlungen: was Sie in den ersten 24 Stunden tun sollten
Die „24 Stunden“ sind keine gesetzliche, sondern eine praktische Frist: Das Gesetz verlangt eine unverzügliche Anzeige, und jede verlorene Stunde gibt den Betrügern Zeit, das Geld weiterzuschieben.
- Sperren Sie die Karte sofort. Nutzen Sie die mobile App oder die rund um die Uhr erreichbare Hotline der Bank. Der Kartenaussteller ist verpflichtet, eine Anzeigemöglichkeit zu jeder Zeit sicherzustellen (Art. 76 Abs. 1 Nr. 4 ЗПУПС). Ist das Onlinebanking betroffen, lassen Sie auch den Zugang sperren und ändern Sie die Passwörter.
- Benachrichtigen Sie die Bank schriftlich. Der Anruf sperrt die Karte, ersetzt aber nicht die schriftliche Anzeige. Schicken Sie eine E-Mail oder reichen Sie in einer Filiale einen Antrag ein, in dem Sie ausdrücklich angeben, welche Vorgänge Sie beanstanden (Datum, Betrag, Empfänger) und dass Sie sie nicht autorisiert haben. Verlangen Sie eine Eingangsnummer.
- Erstatten Sie Anzeige bei der Polizei. Die Anzeige wird bei der nächstgelegenen Polizeidienststelle oder online bei der Hauptdirektion zur Bekämpfung der organisierten Kriminalität (ГДБОП) erstattet, die eine spezialisierte Einheit für Cyberkriminalität hat. Das Aktenzeichen benötigen Sie gegenüber der Bank und in einem etwaigen Gerichtsverfahren.
- Sichern Sie die Beweise. Machen Sie Screenshots von SMS, Benachrichtigungen, E-Mails, der Anrufliste, Nachrichten des Betrügers und Links, die Sie angeklickt haben. Löschen Sie nichts, auch wenn es Ihnen unangenehm ist.
- Verlangen Sie einen Nachweis über die Anzeige. Die Bank ist verpflichtet, Ihnen auf Verlangen innerhalb von 18 Monaten Nachweise darüber zur Verfügung zu stellen, dass Sie sie benachrichtigt haben (Art. 76 Abs. 1 Nr. 5 ЗПУПС).
Dieselben Schritte gelten, wenn die nicht autorisierten Vorgänge das Konto eines verstorbenen Angehörigen betreffen: Die Erben teilen der Bank den Tod mit, verlangen die Sperrung der Karten und eine Übersicht über die Kontobewegungen. Wie Erben feststellen, welche Konten und Forderungen der Verstorbene hatte, beschreiben wir im Beitrag über die Ermittlung eines Nachlasses: Konten, Immobilien und Anteile.
Wichtig aus der Praxis: Der häufigste Fehler: Der Kunde gibt sich mit einem Telefonat und einem „Wir prüfen das“ zufrieden. Monate später behauptet die Bank, die Anzeige sei verspätet erfolgt, und der Kunde kann das Gegenteil nicht beweisen. Die schriftliche Anzeige am ersten Tag ist die billigste Versicherung gegen einen solchen Streit.
Wann muss die Bank Ihnen das Geld erstatten?
Die Grundregel steht in Art. 79 Abs. 1 ЗПУПС: Bei einem nicht autorisierten Zahlungsvorgang erstattet der Zahlungsdienstleister des Zahlers dessen Betrag unverzüglich, in jedem Fall aber spätestens bis zum Ende des folgenden Geschäftstags, nachdem er den Vorgang bemerkt hat oder darüber benachrichtigt wurde. Das Konto muss in den Zustand versetzt werden, in dem es sich ohne den nicht autorisierten Vorgang befunden hätte, wobei die Wertstellung spätestens zum Datum der Belastung erfolgt.
Das Gesetz lässt eine Ausnahme zu: Die Bank kann die Erstattung innerhalb dieser Frist unterlassen, wenn sie berechtigte Gründe für einen Betrugsverdacht hat und die zuständigen Behörden benachrichtigt. Beruft sich die Bank darauf, verlangen Sie schriftlich, dass sie den Verdacht benennt und angibt, bei welcher Behörde die Meldung erstattet wurde.
Wie viel Zeit haben Sie, die Bank zu benachrichtigen?
Nach Art. 77 Abs. 1 ЗПУПС berichtigt die Bank den nicht autorisierten Vorgang nur, wenn Sie sie unverzüglich, nachdem Sie davon erfahren haben, benachrichtigt haben, jedoch spätestens 13 Monate nach dem Tag der Belastung des Kontos. Es wird angenommen, dass Sie spätestens mit dem Erhalt der Information über den Vorgang (Kontoauszug, Benachrichtigung) davon erfahren haben. Die dreizehn Monate sind eine äußerste Grenze, keine Empfehlung.
Bis zu welchem Betrag haften Sie?
Das ЗПУПС verteilt das Risiko zwischen Bank und Kunde je nach den Umständen. Die Übersicht in der Tabelle:
| Situation | Wer den Verlust trägt | Rechtsgrundlage |
|---|---|---|
| Verlorene, gestohlene oder missbräuchlich verwendete Karte (bis zur Anzeige) | Der Kunde – bis zum vereinbarten Betrag, jedoch höchstens 50 Euro | Art. 80 Abs. 1 ЗПУПС |
| Der Verlust oder Diebstahl war für den Kunden vor der Zahlung nicht bemerkbar | Die Bank (außer bei Betrug durch den Kunden) | Art. 80 Abs. 2 Nr. 1 |
| Der Schaden wurde von einem Mitarbeiter oder Auslagerungsunternehmen der Bank verursacht | Die Bank | Art. 80 Abs. 2 Nr. 2 |
| Vorgänge nach der Anzeige bei der Bank | Die Bank (außer bei Betrug durch den Kunden) | Art. 80 Abs. 5 |
| Die Bank hat keine starke Kundenauthentifizierung verlangt | Die Bank (außer bei Betrug durch den Kunden) | Art. 80 Abs. 4 |
| Der Kunde hat betrügerisch gehandelt oder Karte und Codes vorsätzlich/grob fahrlässig nicht geschützt | Der Kunde – vollständig, ohne Begrenzung | Art. 80 Abs. 3 |
Die Grenze von 50 Euro gilt seit dem 1. Januar 2026 (Änderung im Staatsanzeiger, ДВ, Nr. 64 von 2025). Zuvor war der Betrag in Lewa festgelegt. Bei einem gewöhnlichen Kartendiebstahl ohne Fahrlässigkeit Ihrerseits beträgt Ihr Risiko bis zu 50 Euro, nach der Anzeige bei der Bank – null.
Die Beweislast liegt bei der Bank
Das ist vielleicht der wichtigste Schutz für den Verbraucher. Wenn Sie behaupten, den Vorgang nicht autorisiert zu haben, trägt die Bank die Beweislast dafür, dass der Vorgang authentifiziert, ordnungsgemäß aufgezeichnet und verbucht wurde und nicht durch eine technische Störung beeinträchtigt war (Art. 78 Abs. 1 ЗПУПС).
Noch wesentlicher ist die Regel des Art. 78 Abs. 4: Die aufgezeichnete Nutzung der Karte oder der Codes allein ist kein ausreichender Beweis dafür, dass Sie den Vorgang autorisiert oder grob fahrlässig gehandelt haben. Die Bank muss Beweise für Betrug oder grobe Fahrlässigkeit Ihrerseits vorlegen.
Was bedeutet das Fehlen einer starken Kundenauthentifizierung (SCA)?
Die starke Kundenauthentifizierung (strong customer authentication, SCA) nach Art. 100 ЗПУПС verlangt mindestens zwei unabhängige Elemente aus drei Kategorien: etwas, das nur Sie wissen (PIN, Passwort), etwas, das nur Sie besitzen (Telefon, Karte), und ein Inhärenzmerkmal (Fingerabdruck, Gesichtserkennung). Bei Onlinezahlungen müssen diese Elemente den Vorgang mit einem bestimmten Betrag und Empfänger verknüpfen.
Hat die Bank eine solche Authentifizierung nicht verlangt, trägt der Zahler keine Verluste, es sei denn, er hat selbst in betrügerischer Absicht gehandelt (Art. 80 Abs. 4). Ist die Zahlung nur mit den Kartendaten ohne zusätzliche Bestätigung durchgegangen, verbessert sich Ihre Position erheblich.
Phishing und Vishing: wenn Sie selbst „bestätigt“ haben
Die häufigsten Streitigkeiten betreffen heute Betrug über gefälschte Websites, SMS und Anrufe von einem „Bankmitarbeiter“ oder der „Polizei“. Hier sind zwei verschiedene Konstellationen zu unterscheiden.
Der Betrüger hat den Vorgang mit Ihren Daten angewiesen
Sie haben die Kartendaten oder den Code aus der SMS auf einer gefälschten Website eingegeben, und die Zahlung hat der Betrüger ausgeführt. Der Vorgang wurde nicht von Ihnen angewiesen und ist daher in der Regel nicht autorisiert. Die Bank wendet meist ein, Sie hätten grob fahrlässig gehandelt, doch nach dem Gesetz muss sie das beweisen. Ob die Preisgabe eines Codes grobe oder einfache Fahrlässigkeit ist, hängt von den Tatsachen ab: wie überzeugend der Betrug war, was in der SMS mit dem Code stand, ob die Bank vor solchen Maschen gewarnt hat. Eine automatische Antwort gibt es nicht.
Sie haben die Überweisung selbst angewiesen
Haben Sie sich auf Anweisung eines Betrügers selbst ins Onlinebanking eingeloggt und eine Überweisung auf ein „sicheres Konto“ oder eine „Investmentplattform“ angewiesen, ist der Vorgang formal von Ihnen autorisiert. Der Mechanismus der unverzüglichen Erstattung nach Art. 79 greift grundsätzlich nicht. Das bedeutet nicht unbedingt, dass das Geld verloren ist, der Weg ist aber ein anderer:
- verlangen Sie sofort von Ihrer Bank, sich mit der Bank des Empfängers in Verbindung zu setzen, um eine Rückholung zu versuchen (je früher, desto größer die Chance, dass der Betrag noch dort ist);
- erstatten Sie Anzeige bei der Polizei mit allen Daten zum Konto des Empfängers;
- prüfen Sie, ob die Bank ihre Sicherheits- und Informationspflichten erfüllt hat; bei Überweisungen in Euro verpflichtet die Verordnung (EU) 2024/886 die Bank zu prüfen, ob der Name des Empfängers zur IBAN passt, und Sie bei Abweichungen zu warnen. Die Verordnung gilt unmittelbar und wird in Bulgarien ohne eigenes Gesetz angewandt. Hat die Bank diese Prüfung nicht vorgenommen, kann das für ihre Haftung von Bedeutung sein;
- machen Sie Ansprüche gegen den Empfänger des Geldes geltend.
Der Empfänger ist häufig ein sogenannter „Finanzagent“ (money mule) – eine Person, die ihr Konto gegen Bezahlung zur Verfügung gestellt hat. Gegen ihn kann eine Klage auf Herausgabe des ohne Rechtsgrund Erlangten erhoben werden (Art. 55 des bulgarischen Gesetzes über Schuldverhältnisse und Verträge). Wie ein solches Verfahren bis zur Zwangsvollstreckung durch einen privaten Gerichtsvollzieher (ЧСИ) abläuft, beschreiben wir im Beitrag über das Eintreiben offener Forderungen.
Die Bank lehnt ab: wie geht es weiter?
Die Standardablehnung mit Verweis auf einen „erfolgreich bestätigten Vorgang“ ist nicht endgültig.
- Schriftliche Beschwerde bei der Bank. Jede Bank hat ein internes Beschwerdeverfahren. Sie muss innerhalb von 15 Geschäftstagen nach Eingang der Beschwerde schriftlich Stellung nehmen; ausnahmsweise, aus Gründen außerhalb ihres Einflusses und mit ausdrücklicher Mitteilung über die Verzögerung, kann die Frist verlängert werden, jedoch auf höchstens 35 Geschäftstage (Art. 174 Abs. 3 und 4 ЗПУПС). Berufen Sie sich in der Beschwerde ausdrücklich auf Art. 78 und Art. 80 ЗПУПС und verlangen Sie die Beweise, auf die die Bank ihre Ablehnung stützt.
- Schlichtungskommission für Zahlungsstreitigkeiten. Antwortet die Bank nicht fristgerecht oder stellt Sie die Antwort nicht zufrieden, können Sie die Schlichtungskommission für Zahlungsstreitigkeiten (Помирителна комисия за платежни спорове) bei der Kommission für Verbraucherschutz (КЗП) anrufen (Art. 174 Abs. 5 und Art. 175 ЗПУПС). Das Verfahren ist für die Parteien kostenlos (Art. 180), und der Antrag kann auch online über die Website der КЗП gestellt werden. Der Vorschlag der Kommission bindet die Parteien nur, wenn beide ihn annehmen.
- Meldung an die BNB. Die Bulgarische Nationalbank beaufsichtigt Banken und Zahlungsinstitute. Eine Meldung kann zu einer Prüfung und zu Maßnahmen gegen die Bank führen, doch die BNB entscheidet nicht über den Einzelstreit und spricht keine Beträge zu.
- Klage vor Gericht. Eine endgültige Entscheidung über die Rückzahlung des Geldes kann nur das Gericht treffen. Bei einer Klage gegen die Bank wirkt die Beweislast nach Art. 78 ЗПУПС wieder zugunsten des Verbrauchers, und neben der Hauptforderung können auch gesetzliche Zinsen verlangt werden.
Wie bereiten Sie einen starken Anspruch vor?
Ein guter Anspruch wird schon in den ersten Tagen aufgebaut. Erstellen Sie eine Chronologie mit genauen Uhrzeiten: wann Sie die Nachricht erhalten haben, wann Sie von dem Vorgang erfahren haben, wann Sie die Bank benachrichtigt haben. Fügen Sie Kontoauszug, Polizeianzeige und den Schriftverkehr mit der Bank bei. Verlangen Sie von der Bank schriftlich Auskunft darüber, mit welchen Authentifizierungselementen jeder Vorgang bestätigt wurde, von welchem Gerät und von welcher IP-Adresse.
Prüfen Sie auch Ihre Versicherungspolicen: Manche Versicherer bieten Deckung für Kartenmissbrauch als Zusatzrisiko an, und bei einem Einbruchdiebstahl kann auch für das Gestohlene Entschädigung verlangt werden. Mehr dazu im Beitrag über die Wohnungsversicherung bei Wasserschaden, Brand und Diebstahl.
Ist der Betrag erheblich oder lehnt die Bank hartnäckig ab, kann die Beratung durch einen Anwalt für Bankrecht den Ausgang verändern. Wie Sie beurteilen, ob ein Anwalt für den konkreten Streit geeignet ist, erklären wir im Beitrag wie Sie einen guten Anwalt wählen und was Sie ihn fragen sollten.
Häufig gestellte Fragen (FAQ)
Innerhalb welcher Zeit muss die Bank das gestohlene Geld erstatten?
Nach Art. 79 ЗПУПС muss die Bank den Betrag eines nicht autorisierten Vorgangs unverzüglich erstatten, spätestens bis zum Ende des folgenden Geschäftstags, nachdem sie benachrichtigt wurde. Eine Ausnahme gilt nur bei berechtigtem Verdacht auf Betrug durch den Kunden, über den die Bank die zuständigen Behörden benachrichtigen muss.
Bis zu welchem Betrag hafte ich, wenn meine Karte gestohlen wird?
Haben Sie weder betrügerisch noch grob fahrlässig gehandelt, ist Ihre Haftung für Vorgänge vor der Anzeige bei der Bank auf den vereinbarten Betrag begrenzt, höchstens jedoch 50 Euro (Art. 80 Abs. 1 ЗПУПС, in Kraft seit 1. Januar 2026). Für Vorgänge nach der Anzeige haften Sie überhaupt nicht.
Die Bank sagt, der Vorgang sei mit meinem Code bestätigt worden. Verliere ich den Streit?
Nicht unbedingt. Nach Art. 78 Abs. 4 ЗПУПС beweist die aufgezeichnete Nutzung der Karte oder der Codes für sich allein nicht, dass Sie den Vorgang autorisiert oder grob fahrlässig gehandelt haben. Die Bank muss dafür Beweise vorlegen.
Welche Frist gilt äußerstenfalls, um eine Zahlung zu beanstanden?
Die gesetzliche Höchstfrist beträgt 13 Monate ab dem Tag der Belastung des Kontos (Art. 77 ЗПУПС). Das Gesetz verlangt jedoch eine Anzeige ohne unangemessene Verzögerung nach Kenntnis, deshalb benachrichtigen Sie die Bank am besten noch an dem Tag, an dem Sie den Vorgang entdecken.
Bekomme ich mein Geld zurück, wenn ich selbst an einen Betrüger überwiesen habe?
Der Vorgang ist formal autorisiert, und die Regel der unverzüglichen Erstattung greift nicht. Es bleiben der Rückholversuch über die Bank des Empfängers, die Anzeige bei der Polizei und die Klage gegen den Empfänger auf Herausgabe des ohne Rechtsgrund Erlangten. Wie eine solche Forderung eingetrieben wird, beschreiben wir im Beitrag über das Eintreiben offener Forderungen von der Mahnung bis zum Gerichtsvollzieher.
Muss ich Anzeige bei der Polizei erstatten, wenn die Bank mir das Geld erstattet?
Ja. Die Anzeige dokumentiert den Betrug, ermöglicht die Ermittlung der Täter und wird oft von der Bank selbst verlangt. Das Aktenzeichen ist auch vor der Schlichtungskommission oder dem Gericht nützlich.
Wie viel Zeit hat die Bank, um auf meine Beschwerde zu antworten?
Die Bank muss innerhalb von 15 Geschäftstagen nach Eingang der Beschwerde schriftlich Stellung nehmen. Ausnahmsweise, wenn die Verzögerung auf Gründe außerhalb ihres Einflusses zurückgeht und sie Sie darüber informiert, kann die Frist bis zu 35 Geschäftstage betragen (Art. 174 ЗПУПС).
Was macht die Schlichtungskommission für Zahlungsstreitigkeiten?
Sie ist eine Stelle zur außergerichtlichen Streitbeilegung bei der Kommission für Verbraucherschutz. Das Verfahren ist kostenlos, und der Vorschlag der Kommission hat nur dann die Wirkung einer Vereinbarung, wenn beide Parteien ihn annehmen. Nimmt die Bank ihn nicht an, bleibt der Weg zum Gericht.
Deckt die Hausratversicherung den Missbrauch einer Bankkarte?
Die Standard-Sachversicherung deckt Kartenmissbrauch in der Regel nicht. Manche Versicherer bieten eine solche Deckung als Zusatzrisiko an, prüfen Sie daher die Allgemeinen Versicherungsbedingungen Ihrer Police. Mehr zu Deckungen und Ablehnungen in unserem Beitrag über die Wohnungsversicherung und die Ablehnung von Entschädigungen.
Was tun, wenn es nicht autorisierte Vorgänge auf dem Konto eines verstorbenen Angehörigen gibt?
Die Erben teilen der Bank den Tod unter Vorlage der Erbenbescheinigung mit und verlangen die Sperrung der Karten und eine Übersicht über die Kontobewegungen. Wie die Konten eines Verstorbenen ermittelt werden, erklären wir im Beitrag über die Ermittlung von Bankkonten und Immobilien eines Verstorbenen.
Wann lohnt es sich, einen Anwalt zu beauftragen?
Wenn der Betrag erheblich ist, die Bank sich auf grobe Fahrlässigkeit beruft oder es um eine Überweisung geht, die Sie unter dem Einfluss eines Betrügers selbst angewiesen haben. Lesen Sie, was Sie den Anwalt beim ersten Beratungsgespräch fragen sollten.
Wie können wir Ihnen helfen?
Die Anwaltskanzlei „Mechkova & Dimitrova“ unterstützt Mandanten bei Streitigkeiten mit Banken und Zahlungsinstituten wegen nicht autorisierter Zahlungen: von der Abfassung der schriftlichen Anzeige und der Beschwerde an die Bank über das Verfahren vor der Schlichtungskommission für Zahlungsstreitigkeiten bis hin zur Klage vor Gericht und zu Ansprüchen gegen die Empfänger des Geldes.
Jeder Fall hängt von den konkreten Tatsachen ab, und wir können kein Ergebnis im Voraus versprechen, aber wir können Ihre Chancen einschätzen und schnell die richtigen Schritte einleiten. Kontaktieren Sie uns für eine Beratung zu Ihrem Fall – so bald wie möglich, nachdem Sie den nicht autorisierten Vorgang entdeckt haben.
