Phishing in der Arztpraxis: Wer haftet, wenn Betrüger:innen das Praxiskonto leerräumen?

Während der laufenden Sprechstunde klingelt das Telefon. Ein vermeintlicher Mitarbeiter bzw. eine vermeintliche Mitarbeiterin der Hausbank meldet verdächtige Vorgänge auf dem Praxiskonto. Um weitere Abbuchungen zu verhindern, müsse sofort gehandelt werden. Der Anrufer bzw. die Anruferin kennt persönliche Daten oder einzelne Kontoinformationen und wirkt dadurch glaubwürdig. Der Praxisinhaber bzw. die Praxisinhaberin folgt den Anweisungen und gibt eine TAN weiter oder bestätigt einen Vorgang in der Banking-App. Kurz darauf fehlen mehrere zehntausend Euro. 

Das Beispiel ist fiktiv, die rechtlichen Fragen hinter einem solchen Phishing-Angriff auf eine Arztpraxis sind es nicht: Muss die Bank den Schaden erstatten? Wann kann dem Praxisinhaber bzw. der Praxisinhaberin grobe Fahrlässigkeit vorgeworfen werden? Und was ist zu tun, wenn der Phishing-Schaden in der Arztpraxis neben dem Praxiskonto möglicherweise auch sensible Patientendaten betrifft? 

Was versteht man unter Phishing? 

Beim Phishing versuchen Täter:innen, durch Täuschung an Zugangsdaten, Sicherheitsmerkmale oder andere vertrauliche Informationen zu gelangen oder ihr Opfer zu bestimmten Handlungen zu bewegen. Erfolgt der Angriff telefonisch, wird häufig von „Vishing" gesprochen. Social Engineering bezeichnet dabei die psychologische Manipulationsmethode: Die Täter:innen nutzen etwa Vertrauen, Zeitdruck oder eine hohe Arbeitsbelastung aus, um Sicherheitsmechanismen zu umgehen. 

Für die rechtliche Beurteilung ist die genaue Bezeichnung weniger wichtig als der konkrete Ablauf des Phishing-Angriffs in der Arztpraxis. 

Muss die Bank einen Phishing-Schaden erstatten? 

Ausgangspunkt für die Frage nach einer Erstattung bei Phishing ist § 675u BGB. Ist eine Zahlung nicht autorisiert, muss die Bank den belasteten Betrag grundsätzlich erstatten und das Konto wieder auf den Stand bringen, auf dem es sich ohne die Belastung befunden hätte. 

Wichtig ist die Unterscheidung zwischen Authentifizierung und Autorisierung. Eine Zahlung kann technisch mit einer TAN, einer PushTAN oder einer Freigabe in der Banking-App authentifiziert worden sein, ohne dass der Kontoinhaber bzw. die Kontoinhaberin gerade diese Überweisung rechtlich autorisiert hat. § 675w BGB stellt deshalb klar, dass die dokumentierte Nutzung eines Zahlungsinstruments allein nicht notwendig beweist, dass der Zahler der konkreten Zahlung zugestimmt hat. 

Das bedeutet allerdings nicht, dass jede unter Täuschung vorgenommene Handlung automatisch als nicht autorisierte Zahlung einzuordnen ist. Entscheidend bleiben der konkrete Ablauf, die abgegebenen Erklärungen und das vereinbarte Zahlungs- und Authentifizierungsverfahren. 

Wann kann die Praxis trotzdem auf dem Phishing-Schaden sitzen bleiben? 

Auch bei einer nicht autorisierten Zahlung kann die Bank einen eigenen Schadensersatzanspruch gegen den Kontoinhaber bzw. die Kontoinhaberin haben. Nach § 675v Abs. 3 BGB kommt dies insbesondere in Betracht, wenn der Phishing-Schaden in der Arztpraxis durch eine vorsätzliche oder grob fahrlässige Verletzung von Sicherheits- oder Sorgfaltspflichten verursacht wurde. In wirtschaftlicher Hinsicht kann der Erstattungsanspruch dadurch vollständig aufgebraucht werden. 

Was grobe Fahrlässigkeit z.B. beim Online-Banking bedeutet, hängt stets von den Umständen des Einzelfalls ab. Einen wichtigen Maßstab liefert der Bundesgerichtshof mit Urteil vom 22. Juli 2025, Az. XI ZR 107/24. Dort hatte eine Bankkundin TANs an eine vermeintliche Bankmitarbeiterin weitergegeben. Der BGH bestätigte den Vorwurf grober Fahrlässigkeit. Dabei war besonders relevant, dass die entscheidende TAN-Weitergabe erst bei einem vereinbarten zweiten Telefonat am Folgetag erfolgte. Die Kundin hatte damit fast einen ganzen Tag Zeit, die ungewöhnlichen Umstände zu hinterfragen und sich bei ihrer Bank rückzuversichern. 

Für den Praxisalltag folgt daraus keine Sonderregel zugunsten von Ärzten und Ärztinnen. Eine tatsächliche Überrumpelungs- oder Drucksituation kann bei der Gesamtwürdigung des Phishing-Angriffs in der Arztpraxis aber eine Rolle spielen. Ein überraschender Anruf in einer vollen Sprechstunde ist deshalb nicht ohne Weiteres mit einem Fall gleichzusetzen, in dem der bzw. die Betroffene über einen längeren Zeitraum mehrfach Gelegenheit hatte, den Vorgang zu überprüfen. Zeitdruck allein entschuldigt die Weitergabe von TANs oder Sicherheitscodes allerdings nicht. 

Besonders interessant für Praxisinhaber:innen ist das BGH-Urteil vom 3. März 2026, Az. XI ZR 20/24. Betroffen war das Geschäftsgirokonto eines selbstständigen Handwerkers. Seine über das Konto verfügungsberechtigte Ehefrau erzeugte nach einer Phishing-Mail und telefonischen Anweisungen mehrfach TANs und gab diese an einen unbekannten Anrufer weiter. Insgesamt wurden 39.454 Euro überwiesen. Die Zahlungen waren nach den Feststellungen nicht autorisiert. Gleichwohl hielt der BGH die Annahme grober Fahrlässigkeit für rechtsfehlerfrei. Der Fall zeigt zugleich, dass auch das Verhalten einer mit dem Zahlungsverkehr betrauten und verfügungsberechtigten Person erhebliche Folgen für den Kontoinhaber bzw. die Kontoinhaberin haben kann. 

Kann auch die Bank mitverantwortlich sein? 

Die Haftungsprüfung endet nicht beim Verhalten des Kunden bzw. der Kundin. Auch mögliche Sicherheits- und Organisationsfehler der Bank können eine Rolle spielen, wenn ein Betrug beim Online-Banking der Arztpraxis stattfindet. 

Das zeigt das OLG Brandenburg mit Urteil vom 27. Mai 2026, Az. 4 U 131/25. Dort hatte der Kunde einem vermeintlichen Bankmitarbeiter per TeamViewer Zugriff auf seinen Rechner ermöglicht und zusätzlich eine TAN weitergegeben. Das Gericht wertete dieses Verhalten als grob fahrlässig. Es berücksichtigte aber zugleich ein Mitverschulden der Bank und sprach dem Kunden ein Drittel des Schadens zu. Nach Auffassung des Gerichts hätte unter anderem eine Bankmitarbeiterin, die der Kunde während des laufenden Geschehens selbst kontaktiert hatte, den Betrugsverdacht erkennen und ihn warnen können. 

Auch die starke Kundenauthentifizierung kann für die Haftung für Phishing-Schäden in einer Arztpraxis bedeutsam sein. § 675v Abs. 4 BGB schließt bei fehlender, gesetzlich erforderlicher starker Kundenauthentifizierung die Haftung des Zahlers grundsätzlich aus. Der BGH hat allerdings klargestellt, dass es dabei auf die Authentifizierung des schadensverursachenden Zahlungsvorgangs ankommt. Ein Sicherheitsdefizit beim bloßen Login in das Onlinebanking führt daher nicht automatisch zum Haftungsausschluss. Es kann je nach Fall aber bei einem Mitverschulden der Bank zu berücksichtigen sein. 

Was gilt bei einem Praxiskonto? 

Bei einem geschäftlich genutzten Praxiskonto gelten zunächst ebenfalls die gesetzlichen Regeln über nicht autorisierte Zahlungsvorgänge. Der Erstattungsanspruch aus § 675u BGB bleibt damit der gesetzliche Ausgangspunkt. 

Praxisinhaber:innen handeln bei ihrem Geschäftskonto jedoch regelmäßig nicht als Verbraucher:innen. § 675e Abs. 4 BGB erlaubt deshalb bei bestimmten Vorschriften weitergehende vertragliche Abweichungen. Das betrifft insbesondere Teile der Haftungs-, Nachweis- und Fristenregelungen. Welche Regeln im konkreten Fall gelten, hängt daher nicht allein von der Bezeichnung „Praxiskonto" ab, sondern auch vom Kontovertrag und den vereinbarten Onlinebanking-Bedingungen. Im Schadensfall durch Phishing in der Arztpraxis sollten diese Vertragsunterlagen deshalb immer mitgeprüft werden. 

Was sollten Ärztinnen und Ärzte nach einem Phishing-Angriff sofort tun? 

Bei einem erfolgreichen Angriff zählt Geschwindigkeit. Sinnvoll sind insbesondere folgende Schritte: 

1. Die Bank sofort informieren, Onlinebanking und gegebenenfalls Zahlungsinstrumente sperren lassen und unverzüglich einen Rückruf der Überweisung versuchen zu erwirken.  
2. Zugangsdaten ändern. Haben Phishing-Mails die Arztpraxis erreicht und/oder Systeme infiziert, das IT-Dienstleistungsunternehmen einschalten. 
3. Beweise sichern: Telefonnummern, E-Mails, Screenshots, Zeitpunkte, angezeigte Empfänger:innen, Beträge und Warnhinweise der Banking-App dokumentieren. 
4. Strafanzeige erstatten: Einen Phishing-Angriff auf die Arztpraxis umgehend bei der Polizei anzeigen. 
5. Prüfen, ob neben dem Bankkonto auch E-Mail-Postfächer, Praxissoftware, Endgeräte oder Patientendaten betroffen sein könnten. 
6. Kontovertrag und Onlinebanking-Bedingungen sichern, damit die vereinbarten Sicherheits- und Haftungsregeln geprüft werden können. 
7. Frühzeitig Rechtsbeistand einbinden. 

Gerade die Beweissicherung ist bei Phishing in der Arztpraxis wichtig. In einem späteren Streit kann entscheidend sein, welche Informationen auf dem Bildschirm oder TAN-Generator angezeigt wurden, welche Sicherheitswarnungen bestanden und wie der konkrete Kontakt mit den Täter:innen ablief. 

Was gilt, wenn auch Patientendaten betroffen sein könnten? 

Nicht jeder Phishing-Angriff auf das Praxiskonto ist automatisch ein Datenschutzvorfall. Hat eine Täterin bzw. ein Täter ausschließlich den Praxisinhaber bzw. die Praxisinhaberin telefonisch manipuliert und keinen Zugriff auf personenbezogene Daten erhalten, entsteht daraus allein noch keine Meldepflicht nach der DSGVO. 

Anders kann es aussehen, wenn ein E-Mail-Postfach, ein Praxisrechner, die Praxissoftware oder ein Server kompromittiert wurde. Dann muss geprüft werden, ob eine Verletzung des Schutzes personenbezogener Daten vorliegt. Ist ein Risiko für die Rechte und Freiheiten der Betroffenen zu erwarten, ist die Datenschutzverletzung nach Art. 33 DSGVO grundsätzlich unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde zu melden. Bei einem voraussichtlich hohen Risiko kann zusätzlich eine Benachrichtigung der betroffenen Personen nach Art. 34 DSGVO erforderlich sein. 

Die Praxis muss dabei nicht warten, bis sämtliche technischen Ermittlungen abgeschlossen sind. Können zunächst noch nicht alle erforderlichen Informationen angegeben werden, dürfen sie nach Art. 33 Abs. 4 DSGVO schrittweise nachgereicht werden. Zudem sind Datenschutzverletzungen nach Art. 33 Abs. 5 DSGVO zu dokumentieren, auch wenn die Risikoprüfung im Ergebnis ergibt, dass keine Meldung an die Aufsichtsbehörde erforderlich ist. 

Wie können Arztpraxen Phishing-Schäden vorbeugen? 

Ein wirksames Schutzkonzept muss zur Größe und Organisation der Praxis passen. Entscheidend ist weniger ein umfangreiches Handbuch als die Frage, ob bei einem Phishing-Angriff auf die Arztpraxis klare Abläufe bestehen. 

Praxisinhaber:innen sollten insbesondere festlegen, wer Zahlungen vom Praxiskonto veranlassen oder freigeben darf, wie mit unerwarteten Anrufen angeblicher Bankmitarbeiter:innen umzugehen ist und wer im Verdachtsfall Bank, IT-Dienstleister und gegebenenfalls Datenschutzbeauftragte oder externe Berater:innen kontaktiert. 

Für größere Zahlungen können angemessene Überweisungslimits oder ein Vier-Augen-Prinzip sinnvoll sein. TANs, Aktivierungscodes und Passwörter sollten niemals telefonisch weitergegeben werden. Rückrufe bei der Bank sollten ausschließlich über bekannte oder selbst recherchierte Kontaktdaten erfolgen. Auch Mitarbeitende am Empfang sollten wissen, dass Anrufer:innen nicht an die für das Onlinebanking zuständige Person „durchgestellt" werden, nur weil sie sich als Bankmitarbeiter:innen ausgeben. 

Unsere Einschätzung zu Phishing in Arztpraxen 

Bei Phishing-Schäden gibt es keine einfache Regel, nach der stets die Bank oder stets der Kunde bzw. die Kundin den Verlust tragen muss. Ausgangspunkt ist die Frage, ob die Zahlung autorisiert war. Danach kommt es insbesondere darauf an, ob auf Seiten des Kontoinhabers bzw. der Kontoinhaberin eine grob fahrlässige Pflichtverletzung vorlag, ob die Bank selbst zur Schadensentstehung beigetragen hat und welche Regelungen für das Geschäftskonto vereinbart wurden. 

Die neuere Rechtsprechung zeigt zugleich, dass Gerichte bei der telefonischen Weitergabe von TANs und bei ungewöhnlichen Anweisungen vermeintlicher Bankmitarbeiter:innen hohe Sorgfaltsanforderungen stellen. Für Arztpraxen sind deshalb klare Zuständigkeiten und ein einfacher Notfallplan besonders wichtig. Kommt es dennoch zu einem Phishing-Angriff in der Arztpraxis, sollten Bankrecht, Vertragsbedingungen, IT-Sicherheit und gegebenenfalls Datenschutzrecht von Beginn an gemeinsam betrachtet werden.