Kurz gesagt: Meist nur, wenn ein Cyber-Baustein vereinbart ist – und dann streng nach Wortlaut
Phishing, Smishing (Betrug per SMS) und gefälschte Bankseiten gehören längst zum Alltag. Wer dabei Geld verliert, hofft oft auf die eigene Versicherung. Doch die klassische Hausratversicherung deckt Vermögensschäden durch Online-Betrug grundsätzlich nicht ab. Sie schützt Ihr Hab und Gut gegen Risiken wie Einbruchdiebstahl, Feuer oder Leitungswasser. Sie schützt aber nicht das, was nach einem Klick auf einen betrügerischen Link vom Konto verschwindet.
Ein Schutz besteht in der Regel nur dann, wenn ein gesonderter Zusatzbaustein vereinbart ist, häufig unter Bezeichnungen wie „Cyberschutz“, „Internet-Schutz“ oder „Zahlungsverkehr im Internet“. Und selbst dann gilt: Entscheidend ist der genaue Wortlaut der Bedingungen. Genau das hat eine aktuelle Gerichtsentscheidung sehr deutlich gemacht.
Der Fall: Phishing per SMS – Versicherung zahlt nicht
Ein Bankkunde hatte zu seiner Hausratversicherung einen Zusatzbaustein für den Zahlungsverkehr im Internet abgeschlossen. Versichert waren danach Schäden durch „Phishing“ und „Pharming“ bis zu einer bestimmten Höhe. Nach dem Bedingungswortlaut bezogen auf gefälschte E-Mails und manipulierte Bankseiten.
Über die Weihnachtsfeiertage 2022 erhielt der Kunde eine SMS, die ihn aufforderte, seine Registrierung für ein Banking-Freigabeverfahren (SecureGo) zu erneuern. Er folgte dem Link auf eine gefälschte Seite und gab dort seine Daten ein. Die Täter erstellten daraufhin eine digitale Girocard und kauften damit für rund 4.860 Euro ein.
Die Versicherung lehnte die Regulierung ab: Der Angriff sei nicht per E-Mail, sondern per SMS erfolgt und damit nicht vom Wortlaut der Bedingungen erfasst. Das Amtsgericht Halle (Westfalen) gab der Versicherung recht; das Landgericht Bielefeld bestätigte diese Entscheidung in der Berufung.
Ihre Hausratversicherung zahlt nicht?
Warum die Gerichte gegen den Versicherungsnehmer entschieden
Im Kern ging es um die Auslegung der Versicherungsbedingungen. Die Gerichte stellten darauf ab, dass eine SMS mit einer E-Mail nicht gleichzusetzen ist. Der Versicherungsschutz sei auf die ausdrücklich genannten Betrugsformen beschränkt.
Die Argumentation des Kunden, „E-Mail“ sei als Oberbegriff für elektronische Nachrichten zu verstehen und der Schutz müsse sich an neue Betrugsmaschen anpassen, überzeugte das Gericht nicht. Ein durchschnittlicher Versicherungsnehmer dürfe zwar erwarten, dass eine Versicherung technische Entwicklungen berücksichtige, er könne aber nicht annehmen, dass der Wortlaut der Bedingungen stillschweigend erweitert werde. Maßgeblich ist also die konkrete Formulierung der Police, nicht das allgemeine Sicherheitsgefühl, das ein „Cyberschutz“ vermittelt.
Diese Linie ist kein Einzelfall: Gerichte legen die Bedingungen von Cyber- und Internet-Bausteinen regelmäßig eng aus. Wird in den Bedingungen ausdrücklich auf Phishing per E-Mail abgestellt, können andere Wege – SMS, Messenger-Nachrichten oder Anrufe – von vornherein ausgeschlossen sein.
Versicherung oder Bank – wer haftet bei Phishing?
Neben der Versicherungsfrage stellt sich fast immer eine zweite, oft wichtigere Frage: Muss die Bank den Schaden erstatten?
Hier kommt es entscheidend darauf an, ob die Zahlung autorisiert war:
- Nicht autorisierte Zahlungen muss die Bank dem Kunden grundsätzlich erstatten (§ 675u BGB). Das betrifft Fälle, in denen Zahlungen ohne wirksame Freigabe des Kunden ausgelöst wurden.
- Hat der Kunde die Zahlung – etwa durch Eingabe einer TAN oder eine App-Freigabe – selbst freigegeben, gilt sie regelmäßig als autorisiert. Die Bank kann dann unter Umständen Schadensersatz verlangen, wenn der Kunde seine Sorgfaltspflichten grob fahrlässig verletzt hat (§ 675v BGB).
Ob im Einzelfall grobe Fahrlässigkeit vorliegt, ist eine Frage des konkreten Geschehensablaufs und höchst umstritten – die Rechtsprechung dazu ist uneinheitlich. Pauschale Aussagen verbieten sich; eine anwaltliche Prüfung des Einzelfalls ist hier besonders sinnvoll.
Was Versicherungsnehmer jetzt tun sollten
- Bedingungen genau lesen: Prüfen Sie, ob ein Cyber- bzw. Internet-Baustein überhaupt vereinbart ist und welche Angriffswege er erfasst (nur E-Mail? auch SMS, Messenger, gefälschte Apps?).
- Auf Deckungssummen und Ausschlüsse achten: Häufig gelten Höchstentschädigungen und Ausschlüsse bei grober Fahrlässigkeit.
- Im Schadensfall beide Wege prüfen: Sowohl einen möglichen Anspruch gegen die Versicherung als auch gegen die Bank prüfen lassen.
- Beweise sichern: Betrugsnachricht, Kontoauszüge und Kommunikation mit Bank und Versicherer aufbewahren; Anzeige bei der Polizei erstatten.
- Fristen beachten und ablehnende Schreiben nicht ungeprüft hinnehmen: Eine Ablehnung ist nicht das letzte Wort, sie sollte rechtlich überprüft werden.
Was das Urteil für Versicherungsmakler bedeutet
Für Vermittler ist die Entscheidung ein deutliches Warnsignal:
- Deckungslücken aktiv ansprechen: Kunden überschätzen den Umfang eines „Cyberschutzes“ regelmäßig. Auf die enge Reichweite vieler Bedingungen sollte hingewiesen werden.
- Bedingungswerke vergleichen: Achten Sie darauf, ob Bausteine alle relevanten Angriffsvektoren (E-Mail, SMS, Messenger, manipulierte Apps) abdecken oder ob Lücken bestehen.
- Beratung dokumentieren: Gerade bei der Absicherung digitaler Risiken ist eine sorgfältige Dokumentation zur Vermeidung von Haftungsrisiken unerlässlich.
Fazit
Die klassische Hausratversicherung zahlt bei Phishing grundsätzlich nicht. Ein Schutz besteht nur über einen passenden Cyber- oder Internet-Baustein und dieser greift ausschließlich im Rahmen seines konkreten Wortlauts. Die Entscheidung des Landgerichts Bielefeld zeigt, wie eng diese Grenzen gezogen werden: Schon der Unterschied zwischen E-Mail und SMS kann über die Erstattung entscheiden. Wer digitalen Betrug absichern möchte, sollte seine Police kritisch prüfen und im Schadensfall sowohl die Versicherung als auch die Bank in den Blick nehmen.
