Wer ist hier eigentlich noch echt?

Der Sachverhalt, über den der Bundesgerichtshof im Juli 2025 entschieden hat, folgt einem Muster, das zu den am schnellsten wachsenden Formen des Zahlungsbetrugs zählt. Eine Bankkundin erhielt einen Anruf, auf ihrem Display erschien die echte Rufnummer ihres Instituts, und am anderen Ende gab sich jemand als Mitarbeiter aus. Diesem Anrufer gab die Kundin über mehrere Tage hinweg TANs heraus, der Schaden lag bei über 35.000 Euro. Die Weitergabe der TANs könne zwar grundsätzlich grob fahrlässig sein. Gleichzeitig machte der BGH deutlich: Wer unter massivem psychischem Druck handelt und in einer solchen Situation einen folgenschweren Fehler macht, handelt nicht automatisch grob fahrlässig.

Seither bewegt sich die Rechtsprechung sichtbar stärker in Richtung der Geschädigten. Auch auf europäischer Ebene wird derzeit darüber verhandelt, wie weit Banken bei nicht autorisierten Zahlungen haften müssen. In einem Verfahren vor dem Europäischen Gerichtshof geht es um die Frage, unter welchen Voraussetzungen Zahlungsdienstleister ihren Kund:innen betrügerisch ausgelöste Zahlungen erstatten müssen und wann sie sich auf ein Fehlverhalten der Kund:innen berufen können. Der Generalanwalt am EuGH argumentierte in seinen Schlussanträgen vom 5. März 2026 dafür, die Erstattungspflicht nach Artikel 73 der zweiten EU-Zahlungsdiensterichtlinie PSD2 stärker in den Vordergrund zu rücken und die Schuldfrage der Kund:innen nachzuordnen.

Auch deutsche Gerichte verschärfen die Anforderungen an Banken: Das Oberlandesgericht Koblenz sprach am 17. April 2026 einem Phishing-Opfer mehr als 56.000 Euro zu. Und der Verbraucherzentrale Bundesverband fordert im selben Monat, die Anforderungen an den Nachweis grober Fahrlässigkeit deutlich zu erhöhen. Die Haftung verschiebt sich damit zunehmend zurück zu den Instituten – gerade in einer Zeit, in der Betrugsmaschen immer professioneller und für Kund:innen schwerer zu erkennen sind.

Die Person, die es nie gegeben hat

Am Anfang jeder Bankbeziehung steht die Frage, ob der Mensch auf dem Bildschirm existiert. Eine im April 2026 veröffentlichte Recherche der MIT Technology Review zeigt, wie leicht sich die Prüfung dieser Frage inzwischen aushebeln lässt. Die Reporter identifizierten 22 offene Telegram-Kanäle in chinesischer, vietnamesischer und englischer Sprache, auf denen virtuelle Kamerasoftware, gestohlene biometrische Vorlagen, Deepfake-Generatoren und Programme, die Schwachstellen im Smartphone-Betriebssystem Android ausnutzen, gehandelt werden. Mit ihnen soll sich das Onboarding bei Instituten wie Binance, BBVA und Revolut gezielt umgehen lassen. Die beobachteten Preise beginnen bei etwa 30 bis 60 US-Dollar für einen einfachen Kameratreiber, ein komplettes Identitätsbündel aus Ausweisdokument, Adressnachweis und passendem Selfie kostet je nach Zielland zwischen 100 und 300 Dollar.

Die Angriffsmethode erklärt, warum die etablierte Abwehr hier an ihre Grenzen stößt. Der Treiber meldet dem Betriebssystem eine Kamera, die keine ist, und speist den Videostrom eines Deepfakes direkt in das Prüfmodul ein. Fordert die Software eine Kopfbewegung, führt das gerenderte Gesicht sie aus. Wie stark solche Angriffe zunehmen, zeigen Zahlen der Identitätsprüfer: Sumsub beziffert den Anteil von Deepfakes an der weltweit erfassten Betrugsaktivität für 2026 auf elf Prozent gegenüber sieben Prozent im Jahr 2024. iProov wiederum registrierte binnen eines Jahres einen Anstieg von 2.665 Prozent bei Angriffen über native virtuelle Kameras. Klassische Lebendigkeitsprüfungen sollen feststellen, ob tatsächlich ein Mensch vor der Kamera sitzt. Bei diesen Angriffen wird jedoch bereits der Kamerastream selbst manipuliert. Die Prüfung bekommt damit ein künstlich erzeugtes Bild geliefert, das sich wie eine echte Aufnahme verhält.

Für die Institute verschiebt sich damit die Verteidigungslinie vom Bild zum Gerät. Erkennung setzt inzwischen an der Frage an, ob überhaupt eine physische Kamera beteiligt war, ergänzt um Gerätemetadaten, Tiefensensorik und eine fortlaufende Beobachtung des Kontoverhaltens nach der Eröffnung, weil eine synthetische Identität keine echte Historie mitbringt, die sie über Monate durchhalten könnte.

Der Markt für diese Abwehr ist eng und stark spezialisiert. Als unabhängiger Maßstab gilt die Prüfung iBeta Level 3. Dabei wird getestet, ob biometrische Systeme auch besonders aufwendige Täuschungsversuche erkennen, etwa hochwertige Masken und andere Verfahren, mit denen sich die Lebendigkeitserkennung umgehen lässt. Im Mai 2026 hatten weltweit nur drei Anbieter diese höchste iBeta-Prüfstufe bestanden: Yoti, Incode und Shufti. Wer heute ausschreibt, kauft also in einem Markt ein, in dem die Nachweisdichte gering und die Halbwertszeit einer Erkennungsmethode kurz ist. Einen Vertrag mit einem Anbieter über mehrere Jahre abzuschließen, ergibt unter diesen Bedingungen kaum Sinn.

Die europäische Regulierung greift an dieser Stelle von zwei Seiten. Artikel 50 des AI Act verpflichtet ab August 2026 zur Kennzeichnung künstlich erzeugter Inhalte und sanktioniert Verstöße mit bis zu 35 Millionen Euro oder sieben Prozent des weltweiten Umsatzes, was allerdings vor allem reguläre Anbieter künstlich erzeugter Inhalte erreicht. Kriminelle, die Deepfake-Software und andere Werkzeuge zur Umgehung von Identitätsprüfungen über Telegram anbieten und einsetzen, dürften sich von einer solchen Kennzeichnungspflicht kaum abschrecken lassen. Für Banken bleibt es damit bei einer Prüfpflicht, die sie technisch selbst einlösen müssen.

Die Kunden:innen sind der wichtigste Sensor

Auf der zweiten Ebene, der Zahlung selbst, haben die Institute erhebliche Summen in Systeme gesteckt, die Betrug am Verhalten erkennen. Gemessen werden Tippgeschwindigkeit und Mausführung, der Gerätefingerabdruck, die Empfängerhistorie und die Sekunden, die jemand vor dem Bestätigungsfeld verharrt. Eine Kundin, die unter Anleitung eines Anrufers zum ersten Mal eine hohe Summe an eine unbekannte IBAN schickt, verhält sich messbar anders als dieselbe Kundin bei ihrer Monatsmiete. Die starke Kundenauthentifizierung nach PSD2 erschwert es Betrügern, allein mit gestohlenen Zugangsdaten eine Zahlung auszulösen. Deshalb hat sich der Angriff verlagert: Statt die technische Authentifizierung zu umgehen, bringen Täter:innen ihre Opfer zunehmend dazu, eine betrügerische Zahlung selbst zu bestätigen. Genau hier stoßen technische Schutzmechanismen an ihre Grenzen. Denn eine korrekt authentifizierte Zahlung kann trotzdem auf einer Täuschung beruhen.

Wie stark die Betrugsprävention inzwischen auf die Aufmerksamkeit der Kund:innen setzt, zeigt die Einführung der Empfängerüberprüfung im Oktober 2025. Seit dem 9. Oktober 2025 verpflichtet die Instant-Payments-Verordnung EU 2024/886 alle Zahlungsdienstleister im Euroraum zur Empfängerüberprüfung, im Fachjargon Verification of Payee. Vor der Autorisierung gleicht das System den eingegebenen Empfängernamen mit dem Kontoinhaber ab und meldet das Ergebnis nach einem Ampelprinzip aus Treffer, Beinahe-Treffer und Abweichung. Wer die Warnung übergeht und trotzdem freigibt, übernimmt nach den Erläuterungen der Deutschen Bundesbank die Verantwortung für die Folgen. Der Schutz funktioniert damit nur, wenn Kund:innen die Warnung wahrnehmen, richtig einordnen und im Zweifel die Zahlung abbrechen.

Zeitgleich ist das Fenster für eine Korrektur praktisch verschwunden. Seit demselben Stichtag müssen Banken Echtzeitüberweisungen ohne Aufpreis anbieten, die Ausführungsfrist beträgt zehn Sekunden, und die frühere Betragsgrenze von 100.000 Euro ist ersatzlos entfallen. Eine Zahlung, die durchgeht, ist sofort weg und unwiderruflich. Die Vorwarnung an den Kunden ist damit zumindest bei Echtzeitüberweisungen zur letzten wirksamen Kontrollinstanz geworden.

Auch die geplante Reform des europäischen Zahlungsrechts verschiebt mehr Verantwortung zu Banken und Zahlungsdienstleistern. Ende 2025 einigten sich EU-Parlament und Mitgliedstaaten politisch auf die Überarbeitung der Zahlungsdiensterichtlinie (PSD3) und die neue Payment Services Regulation, auf Deutsch Zahlungsdiensteverordnung (PSR). Ein zentraler Punkt betrifft Betrugsfälle, bei denen Kriminelle sich etwa als Bankmitarbeiter ausgeben und Kund:innen zu einer Zahlung verleiten. Unter bestimmten Voraussetzungen sollen Zahlungsdienstleister für solche Schäden künftig haften. Auch große Online-Plattformen werden stärker in die Verantwortung genommen, wenn betrügerische Werbung auf ihren Seiten zu finanziellen Schäden führt. Mit der formalen Verabschiedung wird bis Ende 2026 gerechnet; die neuen Regeln sollen anschließend nach einer Übergangsfrist gelten. Die Institute können sich also bis weit ins Jahr 2028 hinein auf ein Betrugsbild einrichten, dessen zentrale Figur der getäuschte Anrufempfänger ist.

Wenn der Zahler eine Maschine ist

Dieses Konstrukt bekommt gerade Konkurrenz. Mastercard stellte am 29. April 2025 Agent Pay vor, ein Verfahren, das eine tokenisierte Kartenreferenz an einen bestimmten Agenten, einen Händlerkontext und eine Einwilligungspolitik bindet. Visa legte im Oktober 2025 das Trusted Agent Protocol nach, das eine vom Netzwerk ausgestellte Agenten-Identität mit einem vom Issuer signierten Einwilligungsnachweis verbindet. Google präsentierte am 16. September 2025 das Agent Payments Protocol mit über 60 Partnern von American Express über Adyen und Paypal bis Revolut und übergab es im Mai 2026 an die FIDO Alliance, einen internationalen Branchenverband für sichere digitale Authentifizierung, wo zwei Arbeitsgruppen daran weiterarbeiten, eine davon unter dem Vorsitz von Mastercard und Visa. Aufschlussreich ist die Besetzung, denn im Vorsitz der Gruppe zur Agenten-Authentifizierung sitzt neben Google auch OpenAI. Für diese Riege kursiert inzwischen das Kürzel MANGO, gebildet aus Meta, Anthropic, Nvidia, Google und OpenAI. Die Unternehmen, die den Zugang zu den Modellen kontrollieren, schreiben damit auch die Regeln, nach denen eine Zahlung freigegeben wird.

Aus Ankündigungen ist inzwischen Betrieb geworden. Mastercard führte am 29. September 2025 die erste echte agentische Transaktion durch, im Frühjahr 2026 folgten authentifizierte Live-Zahlungen in Hongkong und Thailand, und Visa bündelte seine Bausteine im April 2026 zu einem händlerfähigen Produkt im Pilotbetrieb. Parallel dazu dokumentierte das IT-Sicherheitsunternehmen Zscaler im Sommer 2026 zwei Kampagnen, in denen Angreifer über Suchmaschinenmanipulation und versteckte Anweisungen auf präparierten Webseiten Agenten dazu brachten, Zahlungen auszulösen. Eine der Seiten tarnte sich als API-Dokumentation und gaukelte Entwickler:innen vor, sie müssten eine Zahlung leisten, um einen API-Schlüssel für den Zugriff auf den vermeintlichen Dienst zu erhalten. Das Payment Ecosystem Risk and Control Team von Visa meldete für das erste Halbjahr 2026 einen Anstieg von über 450 Prozent bei Darknet-Beiträgen zu KI-Agenten, überwiegend mit der Frage, wie man sie übernimmt.

Das Ergebnis eines solchen Angriffs kann eine Zahlung sein, die technisch vollkommen legitim aussieht: Der KI-Agent handelt innerhalb seines von Kund:innen erteilten Mandats, verwendet die vorgesehenen Zugangsdaten und autorisiert die Transaktion ordnungsgemäß. Für die Betrugserkennung kann sie deshalb wie eine gewöhnliche Überweisung wirken. Selbst die Empfängerüberprüfung kann korrekt funktionieren – schließlich wurde die Zahlung formal an den angegebenen Empfänger freigegeben.

Rechtlich ist bislang nicht eindeutig geklärt, wie solche Fälle zu behandeln sind. Die neuen europäischen Zahlungsregeln gehen grundsätzlich davon aus, dass ein Mensch eine Zahlung veranlasst und ein Zahlungsdienstleister sie ausführt. Ein autonom handelnder KI-Agent passt in dieses Modell bislang nur bedingt. Auch der neue Haftungsanspruch bei Betrug durch vorgetäuschte Identitäten, etwa wenn sich Kriminelle als Bankmitarbeiter ausgeben, erfasst solche Agenten-Angriffe nicht ohne Weiteres. Ob Kund:innen beispielsweise grob fahrlässig handeln, wenn sie einem KI-Agenten weitreichende Zahlungsbefugnisse erteilen, ist bislang ebenfalls nicht gerichtlich geklärt.

Geld, das sich schneller bewegt als die Aufsicht

Auf der dritten Ebene verändert sich das Geld selbst. Der Crypto Crime Report 2026 von Chainalysis weist für 2025 mindestens 154 Milliarden Dollar aus, die auf kriminell zugeordnete Adressen flossen, ein Zuwachs von 162 Prozent gegenüber dem Vorjahr. Bemerkenswerter als die Summe ist die Verschiebung im Asset-Mix, denn Stablecoins stehen inzwischen für 84 Prozent des illegalen Transaktionsvolumens, nachdem 2020 noch Bitcoin rund 70 Prozent ausmachte. Die Financial Action Task Force (FATF), ein internationales Gremium zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung, griff diese Entwicklung in ihrem Bericht vom März 2026 auf und forderte strengere Kontrollen durch Staaten und die Privatwirtschaft. Sanktionierte Akteure vereinnahmten laut Chainalysis 104 Milliarden Dollar, der rubelgedeckte Stablecoin A7A5 allein wickelte in weniger als einem Jahr 93,3 Milliarden Dollar ab, und chinesischsprachige Geldwäschenetzwerke verarbeiteten rund 16,1 Milliarden Dollar über etwa 1799 aktive Wallets.

Der Schluss, dass die zunehmende Nutzung von Stablecoins kriminelle Geldströme schwerer nachvollziehbar macht, führt allerdings in die Irre. Stablecoin-Transaktionen liegen auf einem öffentlichen Register, sie sind forensisch nachvollziehbar, und Emittenten wie Tether und Circle können Guthaben einfrieren, was bei einer bestätigten Bitcoin-Transaktion ausgeschlossen ist. Chainalysis verweist ausdrücklich auf Rekordbeschlagnahmungen, darunter 61.000 Bitcoin in Großbritannien. Das eigentliche Problem der Institute liegt in Tempo und Menge, denn die Analyse ist möglich, sie kommt nur regelmäßig zu spät, und der illegale Anteil bleibt bei unter einem Prozent des gesamten On-Chain-Volumens, was die Nadel im Heuhaufen kleiner macht.

Europa hat auf diese Lage bereits geantwortet, und die Antwort fällt ungewöhnlich streng aus. Die MiCA-Regeln für E-Geld-Token und wertreferenzierte Token gelten seit dem 30. Juni 2024, das vollständige Regime für Krypto-Dienstleister seit dem 30. Dezember 2024, und mit dem 1. Juli 2026 ist die Übergangsfrist für bereits vor MiCA tätige Krypto-Dienstleister ausgelaufen. Seitdem benötigen auch diese Anbieter eine Zulassung nach MiCA. In Deutschland endete die entsprechende Übergangsregelung bereits zum Jahreswechsel. Einen Euro-Stablecoin darf nur ausgeben, wer eine Zulassung als Kredit- oder E-Geld-Institut besitzt, die Deckung muss vollständig und jederzeit zum Nennwert einlösbar sein, ein wesentlicher Teil der Reserven liegt bei europäischen Banken. Ergänzend erfasst die Transfer-of-Funds-Verordnung (EU) 2023/1113 seit Ende 2024 auch Krypto-Transfers. Sie soll Geldwäsche und Terrorismusfinanzierung erschweren, indem Krypto-Transaktionen nachvollziehbarer werden: Anbieter müssen deshalb unabhängig vom Betrag bestimmte Angaben zu Auftraggeber und Empfänger übermitteln.

Die Wirkung dieser Strenge ist zweischneidig. Anfang 2026 hatten die nationalen Aufsichtsbehörden rund 20 Emittenten von E-Geld-Token zugelassen und keinen einzigen Emittenten wertreferenzierter Token, weil die Anforderungen der zweiten Kategorie bisher niemand auf sich nehmen wollte. Tether hat für USDT nie eine Zulassung beantragt, woraufhin Binance, Coinbase und Kraken den meistgehandelten Stablecoin der Welt für europäische Kund:innen zurückzogen. Der regulierte Euro-Markt, den Circles EURC mit rund 41 Prozent Anteil anführt, bewegt sich dafür im niedrigen dreistelligen Millionenbereich. Gegen die 93,3 Milliarden Dollar, die ein einziger rubelgedeckter Token in weniger als einem Jahr bewegt hat, ist das eine Randnotiz. Die europäische Aufsicht hat den Teil des Marktes sauber geordnet, der ohnehin unter ihrer Beobachtung stand. Die Ströme, um die es geht, laufen weiterhin daneben vorbei.

Was Banken jetzt entscheiden müssen

Über alle drei Ebenen hinweg zeigt sich dieselbe Bruchstelle. Die Kontrollen prüfen ein Erscheinungsbild, das sich beliebig erzeugen lässt, ein Gesicht im Onboarding, ein Verhalten in der Freigabe, eine Wallet in der Transaktionsanalyse. Was sich nicht erzeugen lässt, ist Herkunft. Deshalb verschiebt sich die Abwehr in allen drei Fällen von der Prüfung des Bildes zur Prüfung der Kette, also zu der Frage, welches Gerät beteiligt war, welcher Agent mit welchem Mandat gehandelt hat und über welche Adressen ein Betrag zuvor gelaufen ist.

Daraus folgt eine Investitionsentscheidung, die bislang in kaum einer Betrugs-Roadmap für 2027 steht. Injektionserkennung im Onboarding, Agenten-Identität und Mandatsprüfung in Echtzeit im Zahlungsverkehr und Kettenanalyse in der Geldwäscheabwehr sind technisch drei verschiedene Vorhaben mit einer gemeinsamen Logik, und sie konkurrieren gerade mit den Umsetzungsprojekten für PSD3 und PSR um dieselben Budgets.

Interessanter ist die strategische Ebene. Das Mandat, unter dem ein Agent zahlen darf, ist ein Vertrauensnachweis, und irgendjemand wird ihn ausstellen. Visa hat den signierten Einwilligungsnachweis in seinem Verfahren bereits beim kartenausgebenden Institut verortet, was für Banken eine offene Tür bedeutet. Wer diese Rolle annimmt, sitzt in dem Moment am Tisch, in dem entschieden wird, was eine Maschine im Namen eines Menschen darf.

Was am Ende zählt

Zwei Zeitachsen laufen gegeneinander. Die europäische Betrugsregulierung erreicht ihre volle Wirkung frühestens 2028 und beschreibt bis dahin eine Welt, in der ein Mensch die letzte Prüfinstanz ist. Die Verfahren, die diesen Menschen aus dem Vorgang nehmen, sind seit diesem Frühjahr im Markt. In dieser Lücke entstehen Schäden, für die noch niemand zuständig ist.

Vertrauen ist das eine Produkt, das Banken bisher konkurrenzlos besitzen. Es steckt weniger im Konto als in der Zusage, dass jemand haftet, wenn etwas schiefgeht, und diese Zusage ist der Grund, warum die Plattformen die Institute weiterhin brauchen. Wer die Hoheit darüber abgibt, wer echt ist und wer in wessen Namen handeln darf, gibt dieses Produkt gleich mit ab und behält die Haftung. Die Häuser, die jetzt entscheiden, unter welchen Bedingungen ein Gesicht, ein Agent und eine Zahlung als verifiziert gelten, verhandeln in fünf Jahren die Regeln mit. Alle anderen bekommen sie zugestellt.

Wer im Zeitalter synthetischer Identitäten noch echt ist und wer am Ende haftet, diskutieren wir am 4. November auf der Banking Exchange (BEX) in Frankfurt.