Wie untersuchen Banken nicht autorisierte Transaktionen?

Zuletzt aktualisiert: 2. November 2026 · Erstveröffentlichung: 12. März 2024

Eine Bank untersucht eine unautorisierte Transaktion, indem sie die Meldung des Kunden entgegennimmt und mit Zeitstempel erfasst, Transaktions- und Gerätedaten sammelt, klärt, ob ein Fehler oder Betrug vorliegt, und dann innerhalb der gesetzlichen Fristen erstattet, dem Kunden Bericht erstattet und korrigiert. Die Fristen hängen vom Rechtsraum ab: In der EU verlangt die PSD2 die Erstattung unverzüglich, spätestens bis zum Ende des folgenden Geschäftstags, es sei denn, die Bank hat berechtigte Gründe für einen Betrugsverdacht und teilt diese der zuständigen nationalen Behörde schriftlich mit. In den USA gibt Regulation E 10 Geschäftstage für die Entscheidung vor (bis zu 45 Tage, wenn die Bank vorläufig gutschreibt). Im Vereinigten Königreich regeln die APP-Erstattungsregeln einen anderen Fall, nämlich autorisierte Push-Zahlungen nach Täuschung. Dieser Beitrag behandelt die Regime getrennt und zeigt dann, wo KI-Agenten den Fall vorbereiten, damit ein menschlicher Ermittler schneller und mit besserer Dokumentation entscheidet.

Was ist eine unautorisierte Transaktion, und wie unterscheidet sie sich von autorisiertem Betrug?

Eine unautorisierte Transaktion ist eine Zahlung, die der Kontoinhaber weder ausgelöst noch freigegeben hat. Beim Authorised-Push-Payment-Betrug (APP) gibt der Kunde die Zahlung selbst frei, wurde dazu aber getäuscht. Beide Fälle unterliegen unterschiedlichen Regeln, daher ist die Klassifizierung der erste Schritt jeder Untersuchung.

Die britische Payment Systems Regulator formuliert es auf ihrer Seite so: “APP fraud is different to unauthorised fraud” (PSR). Eine Kartenzahlung mit gestohlenen Kartendaten ist unautorisiert. Eine Überweisung, die ein Kunde an einen vermeintlichen Lieferanten freigibt, ist autorisiert, obwohl der Kunde betrogen wurde.

Ermittler ordnen Fälle meist drei Gruppen zu:

1. Echter Betrug. Ein Täter nutzt gestohlene Kartendaten oder Zugangsdaten.
2. Friendly Fraud. Der Karteninhaber bestreitet eine berechtigte Belastung, etwa ein vergessenes Probeabo oder einen In-App-Kauf des Kindes.
3. Familienbetrug. Ein Angehöriger oder Freund nutzt die Karte ohne Erlaubnis.

Die Gruppe bestimmt, welche Belege die Bank braucht und in manchen Regimen, wer den Schaden trägt.

Welche Warnsignale lösen eine Untersuchung aus?

Die meisten Untersuchungen beginnen mit einer Kundenmeldung, Banken eröffnen Fälle aber auch aus dem eigenen Monitoring. Typische Auslöser sind Zahlungen, die der Kunde nicht kennt, plötzliche Überziehungen, unbekannte Konten auf den Namen des Kunden, Mahnschreiben zu nie eröffneten Konten, ungewöhnlich hohe Belastungen und Belastungen an ungewöhnlichen Orten.

Kontaktlose Karten sind ein Risikobereich: Auch nach Kündigung des zugrunde liegenden Kontos können in einigen Fällen noch betrügerische Belastungen durchgehen. Kunden sollten ihre Abrechnungen deshalb regelmässig prüfen.

Wie läuft eine Untersuchung Schritt für Schritt ab?

Im Prinzip ist der Ablauf überall gleich, nur die Fristen unterscheiden sich.

1. Erfassung und Zeitstempel. Genau festhalten, wann und wie die Meldung einging (mündlich, schriftlich, App). Die meisten gesetzlichen Fristen beginnen mit dem Eingang.
2. Klassifizierung. Unautorisiert, autorisiert-aber-getäuscht (APP), Händlerstreit oder Friendly Fraud.
3. Beweissicherung. Transaktionszeitstempel, Kanal, Geräte- und IP-Daten, Geolokalisierung, Login-Historie, Karten- bzw. Token-Status und die Schilderung des Kunden.
4. Musterprüfung. Die strittigen Posten mit dem üblichen Verhalten des Kunden und bekannten Betrugsmustern abgleichen.
5. Vorläufige Entscheidung und Kundenkommunikation. Entscheiden, ob vorläufig gutgeschrieben wird, innerhalb der jeweiligen Frist.
6. Endgültige Entscheidung. Ein Ermittler, nicht ein Modell, entscheidet, ob ein Fehler oder Betrug vorlag.
7. Rückmeldung und Korrektur. Ergebnis mitteilen, das Konto korrigieren, die Begründung dokumentieren.
8. Rückforderung. Bei Händlerbeteiligung kann die Bank einen Chargeback einleiten; der Händler kann ihn per Chargeback-Representment bestreiten, die Bank prüft dann dessen Belege.

Muss eine EU-Bank sofort erstatten? (PSD2)

Nach der PSD2 muss die Bank des Zahlers eine nicht autorisierte Zahlung unverzüglich und spätestens bis zum Ende des folgenden Geschäftstags erstatten. Ausnahme: Sie hat berechtigte Gründe für einen Betrugsverdacht und teilt diese der zuständigen nationalen Behörde schriftlich mit. Da die PSD2 eine Richtlinie ist, gelten zusätzlich die nationalen Umsetzungsgesetze des jeweiligen Mitgliedstaats.

Art. 73 Abs. 1 der Richtlinie (EU) 2015/2366 verpflichtet die Mitgliedstaaten sicherzustellen, dass der Zahlungsdienstleister des Zahlers diesem den Betrag des nicht autorisierten Zahlungsvorgangs „unverzüglich, auf jeden Fall spätestens bis zum Ende des folgenden Geschäftstags erstattet, nachdem er von dem Zahlungsvorgang Kenntnis erhalten hat oder dieser ihm angezeigt wurde, es sei denn, er hat berechtigte Gründe für den Verdacht, dass Betrug vorliegt, und teilt der zuständigen nationalen Behörde diese Gründe schriftlich mit.“ (PSD2, EUR-Lex)

Zwei weitere Punkte:

• Anzeigefrist (Art. 71 Abs. 1). Der Zahlungsdienstnutzer muss seinen Zahlungsdienstleister „unverzüglich nach Feststellung“ unterrichten, „jedoch spätestens 13 Monate nach dem Tag der Belastung“. Die Fristen gelten nicht, wenn der Zahlungsdienstleister die Angaben nach Titel III zu dem Vorgang nicht mitgeteilt oder nicht zugänglich gemacht hat.
• Haftung (Art. 74 Abs. 1). Die Haftung des Zahlers beträgt bis zu 50 EUR bei verlorenem oder gestohlenem Zahlungsinstrument, entfällt in bestimmten Fällen, und der Zahler trägt alle Verluste, wenn er sie „in betrügerischer Absicht oder durch vorsätzliche oder grob fahrlässige Verletzung einer oder mehrerer der Pflichten nach Artikel 69“ herbeigeführt hat.

Ändert die PSD3 etwas daran?

Noch nicht. Das PSD3/PSR-Paket ist noch nicht verabschiedet; die formale Annahme steht aus. Bis dahin bleibt die PSD2 mit den nationalen Umsetzungsgesetzen massgeblich. Planen Sie nicht anhand von Erstattungsfristen oder Anwendungsterminen aus Pressezusammenfassungen des Entwurfs.

Wie lange hat eine US-Bank Zeit? (Regulation E, kurz)

Für Institute mit US-Geschäft: Nach Regulation E muss die Bank innerhalb von 10 Geschäftstagen nach Eingang einer Fehlermeldung feststellen, ob ein Fehler vorlag. Braucht sie bis zu 45 Tage, muss sie dem Kunden innerhalb dieser 10 Geschäftstage vorläufig gutschreiben (12 CFR 1005.11(c)). Es zählen Geschäftstage, nicht Kalendertage. Die Verlängerung auf 45 Tage ist keine blosse Fristverlängerung auf Antrag, sondern an die vorläufige Gutschrift geknüpft. Dieser Abschnitt behandelt nur Regulation E; Kreditkarten fallen unter ein anderes Regime (Regulation Z), das hier nicht behandelt wird. Quelle: eCFR 1005.11.

Die Haftung des Kunden hängt von der Meldegeschwindigkeit ab (12 CFR 1005.6, eCFR): Meldet der Kunde “within two business days after learning of the loss or theft of the access device” (innerhalb von zwei Geschäftstagen), haftet er höchstens mit dem geringeren Betrag aus 50 USD und den bis zur Meldung eingetretenen unautorisierten Abbuchungen; bei späterer Meldung gilt die Obergrenze von 500 USD bzw. die Summe der in (b)(2) genannten Beträge. Weitere Sonderfälle (20 bzw. 90 statt 10 bzw. 45 Tage, etwa bei neuen Konten oder POS-Debitkartentransaktionen) regelt 1005.11(c)(3). Stand: eCFR-Text vom 29. Oktober 2026.

Was gilt im Vereinigten Königreich? (APP-Erstattung)

Die britischen Regeln betreffen den autorisierten Push-Payment-Betrug, also einen anderen Fall als die unautorisierten Transaktionen oben. Der Schutz des PSR gilt seit dem 7. Oktober 2024, betrifft Zahlungen über Faster Payments oder CHAPS, und laut PSR-Seite (abgerufen am 2. November 2026) beträgt der maximale Erstattungsbetrag 85.000 GBP.

Kernpunkte der PSR-Seite:

• Ansprüche müssen “within 13 months of making the fraudulent payment” geltend gemacht werden (13 Monate).
• Ein Institut darf optional einen Selbstbehalt von bis zu 100 GBP ansetzen; für schutzbedürftige Verbraucher gilt er nicht.
• “You can expect to be reimbursed within 5 business days of making your claim”: Institute können aber die Uhr anhalten (“stop the clock”), wenn sie weitere Informationen brauchen, und müssen innerhalb von 35 Geschäftstagen zu einem Ergebnis kommen.

Die 5 Geschäftstage sind die Ausgangserwartung, nicht die Obergrenze: Lesen Sie sie zusammen mit der Stop-the-clock-Regel und der 35-Geschäftstage-Frist.

Wer trägt den Schaden? Die drei Regime im Vergleich

Die Tabelle ist eine Orientierung, keine Rechtsberatung. Prüfen Sie nationales Recht und Ihre Verträge, bevor Sie daraus eine Richtlinie ableiten.

Darf KI die Erstattungsentscheidung treffen?

Nein, nicht allein, und die Betrugserkennungs-Ausnahme im EU AI Act ändert daran nichts. Eine Untersuchung endet in einer Entscheidung über Geld und Rechte eines Kunden, und diese Entscheidung sollte bei einem benannten menschlichen Ermittler bleiben.

Die EU-KI-Verordnung (Verordnung (EU) 2024/1689), Anhang III Nr. 5 Buchst. b, nennt KI-Systeme, die „bestimmungsgemäss für die Kreditwürdigkeitsprüfung und Bonitätsbewertung natürlicher Personen verwendet werden sollen, mit Ausnahme von KI-Systemen, die zur Aufdeckung von Finanzbetrug verwendet werden“ (EUR-Lex). Das ist eine Ausnahme von einer einzelnen Hochrisiko-Kategorie. Sie bedeutet nicht, dass Betrugs-KI vom AI Act ausgenommen wäre: Andere Nummern des Anhangs III und andere Vorschriften können je nach Anwendungsfall greifen. Ordnen Sie jedes System danach ein, was es tut.

Die Termine haben sich 2026 verschoben. Die Verordnung (EU) 2026/1744 (Digital Omnibus on AI) vom 8. Juli 2026 ist am 27. Juli 2026 in Kraft getreten. Sie ändert Art. 113 Abs. 3 Buchst. c der KI-Verordnung und wendet die Hochrisiko-Vorschriften für Systeme nach Art. 6 Abs. 2 und Anhang III ab dem 2. Dezember 2027 an, für Systeme nach Art. 6 Abs. 1 und Anhang I ab dem 2. August 2028; ursprünglich war es der 2. August 2026 (EUR-Lex). Anhang III Nr. 5 Buchst. b bleibt vom Omnibus unberührt.

Wie unterstützen KI-Agenten die Untersuchung unautorisierter Transaktionen?

Ein KI-Agent bereitet den Fall vor und überwacht die Fristen; der Ermittler entscheidet. Das ist dasselbe Muster, das Banken bereits bei der AML-Alarmbearbeitung nutzen: Agenten triagieren Alarme und stellen die Fallakte für einen menschlichen Ermittler zusammen.

Bei einer Reklamation oder Betrugsmeldung kann ein Agent:

1. Den Fall eröffnen und die Uhr starten. Meldung lesen, Eingangszeit und Kanal erfassen und die regionalen Fristen berechnen (etwa den Ablauf des nächsten Geschäftstags unter der PSD2 oder den 10-Geschäftstage-Punkt und die Entscheidung zur vorläufigen Gutschrift unter Reg E).
2. Belege sammeln. Transaktionsdatensatz, Geräte- und IP-Daten, Geolokalisierung, Login- und Kartenstatus-Historie sowie frühere Reklamationen desselben Kunden oder Händlers abrufen.
3. Die Zeitleiste erstellen. Ereignisse von der letzten normalen Aktivität bis zu den strittigen Posten ordnen und Lücken markieren.
4. Die Fallakte vorbefüllen. Klassifizierung (unautorisiert, APP, Friendly Fraud), Belegzusammenfassung und Kundenschreiben zur Prüfung entwerfen.
5. Ausnahmen markieren. Punkte hervorheben, die ein Mensch beurteilen muss: Gründe für Betrugsverdacht, Marker für schutzbedürftige Verbraucher, mündliche Meldung mit ausstehender schriftlicher Bestätigung.
6. Den Audit-Trail schreiben. Protokollieren, welche Datenquellen gelesen wurden und was der Agent vorgeschlagen hat.

Was beim Menschen bleibt:

S-PRO hat eine eigene Agentenplattform, S-PRO Agents, den Kern unserer Produkte und Kundenlösungen. Für Agenten in Transaktionsüberwachung und Fallbearbeitung siehe KI-Agenten für AML und Transaktionsüberwachung in Banken.

Sie planen einen Agenten für die Bearbeitung von Reklamations- und Betrugsfällen? Sprechen Sie mit unseren Ingenieuren über den AML- und Transaktionsüberwachungs-Anwendungsfall: KI-Agenten für AML-Transaktionsüberwachung.

Wie sieht ein belastbarer Audit-Trail aus?

Ein belastbarer Audit-Trail erlaubt es einer Aufsicht oder einem Ombudsmann, nachzuvollziehen, was die Bank wusste, wann sie es wusste und wer entschieden hat. Checkliste:

• Eingangszeit der Meldung, Kanal und die Person oder das System, die sie erfasst hat.
• Die Fristberechnung und welches Regime galt (und warum).
• Jede gelesene Datenquelle, mit Zeitstempel und Version.
• Vorschlag des Agenten und menschliche Entscheidung als zwei getrennte Datensätze.
• Die Begründung eines Betrugsverdacht-Vorbehalts, einschliesslich der schriftlichen Mitteilung an die Behörde, wo die PSD2 sie verlangt.
• Die Entscheidung zur vorläufigen Gutschrift und ihr Datum (Reg E) bzw. das Erstattungsdatum (PSD2).
• Die Kundenkommunikation, so wie versendet.
• Abweichungen: wo der Ermittler vom Vorschlag des Agenten abwich, und warum.

Was geht in der Praxis schief?

• Falsche Uhr. “10 Geschäftstage” als “10 Tage” lesen oder den 45-Tage-Weg für automatisch halten. Unter Reg E hängt er von der vorläufigen Gutschrift ab.
• Fehlender Ausnahmetext. Die PSD2-Erstattung am Folgetag ohne die Betrugsverdacht-Ausnahme zitieren oder die britischen 5 Geschäftstage ohne Stop-the-clock.
• Fehlklassifizierung. Einen APP-Fall als unautorisiert behandeln oder umgekehrt und das falsche Regime anwenden.
• Überschreitung durch den Agenten. Ein Modell über Erstattung oder Ablehnung entscheiden lassen. Die Entscheidung bleibt beim Menschen und wird protokolliert.
• Dünne Dokumentation. Eine Entscheidung ohne Beweisprotokoll ist später schwer zu verteidigen.
• Vermischte Regime. Eine Bank mit mehreren Rechtsräumen braucht das Regime pro Fall, nicht eine einheitliche Mischrichtlinie.

Wie können Banken unautorisierte Transaktionen von vornherein verringern?

Auf Seiten der Bank: regelmässige Prüfungen, Funktionstrennung bei der Zahlungsabwicklung, Vier-Augen-Freigabe bei Überweisungen und ACH, tägliche Abstimmung, eingeschränkter Fernzugriff für Mitarbeitende sowie ACH-Filter und -Sperren. Auf Seiten der Kunden: sichere Zahlungsverbindungen, Kartendaten geheim halten, PIN-Eingabe abschirmen und die Kontaktdaten der Bank griffbereit halten, damit ein Verlust schnell gemeldet wird; das verringert auch das Risiko in den oben genannten Meldestufen.

FAQ

Wie lange hat eine Bank in den USA Zeit, eine unautorisierte Transaktion zu untersuchen?

Nach Regulation E, 12 CFR 1005.11(c)(1), muss die Bank innerhalb von 10 Geschäftstagen nach Eingang der Meldung feststellen, ob ein Fehler vorlag. Bis zu 45 Tage darf sie nur nehmen, wenn sie dem Kunden innerhalb dieser 10 Geschäftstage vorläufig gutschreibt. In bestimmten Fällen, etwa bei neuen Konten, gelten längere Fristen.

Muss eine EU-Bank eine nicht autorisierte Zahlung sofort erstatten?

Nach PSD2 Art. 73 Abs. 1 muss die Bank unverzüglich erstatten, spätestens bis zum Ende des folgenden Geschäftstags. Ausnahme: Die Bank hat berechtigte Gründe für einen Betrugsverdacht und teilt diese der nationalen Behörde schriftlich mit. Zusätzlich gilt das nationale Umsetzungsrecht.

Ist UK-APP-Betrug dasselbe wie nicht autorisierter Betrug?

Nein. Das PSR stellt fest, dass APP-Betrug sich von unautorisiertem Betrug unterscheidet: Beim APP-Betrug autorisiert der Kunde die Zahlung, nachdem er getäuscht wurde. Die britischen Erstattungsregeln gelten seit dem 7. Oktober 2024; laut PSR-Seite vom 2. November 2026 liegt der Höchstbetrag bei 85.000 GBP.

Kann KI entscheiden, ob eine strittige Transaktion erstattet wird?

Nicht allein. Ein KI-Agent kann Belege sammeln, die Zeitleiste aufbauen und Fristen überwachen, aber Erstattung und Betrugsverdacht sollten bei einem menschlichen Ermittler bleiben; Vorschlag des Agenten und menschliche Entscheidung werden getrennt protokolliert.

Ist Betrugserkennungs-KI vom EU AI Act ausgenommen?

Nein. Anhang III Nr. 5 Buchst. b nimmt KI-Systeme zur Aufdeckung von Finanzbetrug nur aus der Hochrisiko-Kategorie Kreditwürdigkeitsprüfung heraus. Andere Nummern des Anhangs III und andere Vorschriften können je nach Anwendungsfall gelten. Nach der Verordnung (EU) 2026/1744 gelten die Hochrisiko-Pflichten des Anhangs III ab dem 2. Dezember 2027.

Ändert die PSD3 die Erstattungsregeln?

Das PSD3/PSR-Paket ist noch nicht verabschiedet; die formale Annahme steht aus. Bis dahin gelten die PSD2 und ihre nationalen Umsetzungsgesetze. Planen Sie mit der PSD2 und prüfen Sie den endgültigen Text nach seiner Veröffentlichung.

Haben Sie eine Projektidee?

Besprechen Sie es mit unseren Ingenieuren. Teilen Sie uns Ihre Ideen, Erkenntnisse und Fragen mit.

In Kontakt treten

Sprechen Sie mit S-PRO über KI-Agenten für die Bearbeitung von Reklamations- und Betrugsfällen

Wenn Ihre Ermittler ihre Zeit mit Beweissammlung und Fristenjagd statt mit Entscheidungen verbringen, kann ein Agent Akte und Uhr vorbereiten, während Ihr Team die Entscheidung behält. S-PRO ist ein internationales schweizerisch-amerikanisches Unternehmen mit Büros in Zürich und Salt Lake City und globaler Delivery und mehr als 250 Ingenieurinnen und Ingenieuren. Beginnen Sie mit dem Anwendungsfall: KI-Agenten für AML und Transaktionsüberwachung in Banken. Für Konzeption und Bau des Agenten siehe KI-Agenten-Entwicklung, oder vereinbaren Sie ein Erstgespräch.

Weiterführend: Fintech-Softwareentwicklung · EU-AI-Act-konforme KI-Agenten für Banken

Quellen

1. 12 CFR 1005.11, Procedures for resolving errors: https://www.ecfr.gov/current/title-12/chapter-X/part-1005/section-1005.11
2. 12 CFR 1005.6, Liability of consumer for unauthorized transfers: https://www.ecfr.gov/current/title-12/chapter-X/part-1005/section-1005.6
3. Richtlinie (EU) 2015/2366 (PSD2), Art. 71, 73, 74: https://eur-lex.europa.eu/eli/dir/2015/2366/oj
4. Verordnung (EU) 2024/1689 (KI-Verordnung), Anhang III Nr. 5 Buchst. b: https://eur-lex.europa.eu/eli/reg/2024/1689/oj
5. Verordnung (EU) 2026/1744 (Digital Omnibus on AI), Änderung von Art. 113 Abs. 3 der Verordnung (EU) 2024/1689: https://eur-lex.europa.eu/eli/reg/2026/1744/oj
6. PSR, APP fraud reimbursement protections: https://www.psr.org.uk/information-for-consumers/app-fraud-reimbursement-protections/
7. Europäisches Parlament, Legislative Observatory, Verfahren 2023/0210(COD), Status PSD3/PSR: https://oeil.europarl.europa.eu/oeil/en/procedure-file?reference=2023/0210(COD)