Phishing ist kein eigener Straftatbestand, sondern wird über mehrere Vorschriften erfasst: das Abgreifen von Zugangsdaten über gefälschte Seiten oder Nachrichten nach überwiegender Auffassung als Fälschung beweiserheblicher Daten (§ 269 StGB), das Beschaffen von Zugangsdaten als Vorbereitung nach § 263a Abs. 3 StGB, das spätere Abbuchen mit den Daten als Computerbetrug (§ 263a StGB). Beides wird mit Freiheitsstrafe bis zu fünf Jahren oder Geldstrafe bestraft, gewerbs- und bandenmäßig mit einem bis zu zehn Jahren. Wer nur sein Konto für die Beute bereitstellt oder Geld abhebt, wird meist wegen Geldwäsche oder Beihilfe verfolgt.
Fragen zu Ihrem Fall?+49 211 17179062Mo. bis Fr. 09:00 bis 18:00 UhrRückruf anfordern
Phishing: die einschlägigen Vorschriften
| Computerbetrug (§ 263a Abs. 1 StGB) | Freiheitsstrafe bis zu fünf Jahren oder Geldstrafe, Versuch strafbar |
|---|---|
| Vorbereitung (§ 263a Abs. 3 StGB) | Freiheitsstrafe bis zu drei Jahren oder Geldstrafe, etwa für das Verschaffen von Passwörtern oder Phishing-Kits |
| Fälschung beweiserheblicher Daten (§ 269 StGB) | Freiheitsstrafe bis zu fünf Jahren oder Geldstrafe |
| Ausspähen und Abfangen von Daten (§§ 202a, 202b StGB) | bis zu drei bzw. zwei Jahre oder Geldstrafe |
| Gewerbsmäßig als Bande (§ 263a Abs. 2 in Verbindung mit § 263 Abs. 5 StGB) | ein Jahr bis zehn Jahre, Verbrechen |
| Geldwäsche durch Kontoinhaber (§ 261 StGB) | bis fünf Jahre, leichtfertig bis zwei Jahre |
Ist Phishing in Deutschland strafbar?
Ja, Phishing ist in jeder Phase strafbar, auch wenn das Wort im Gesetz nicht vorkommt. Wer eine Bank- oder Paketdienstseite nachbaut und Opfer per E-Mail oder SMS dorthin lockt, täuscht im Rechtsverkehr mit falschen Daten. Nach überwiegender Auffassung ist das eine Fälschung beweiserheblicher Daten nach § 269 StGB, weil die Nachricht einen Aussteller vorspiegelt, der sie nicht erstellt hat. Wer Zugangsdaten oder Phishing-Software beschafft, um damit später abzubuchen, erfüllt bereits die Vorbereitung des Computerbetrugs (§ 263a Abs. 3 StGB).
Der eigentliche Schaden entsteht, wenn die Täter mit den erbeuteten Daten Überweisungen ausführen oder Echtzeitzahlungen auslösen. Das ist Computerbetrug nach § 263a Abs. 1 StGB, denn das Bankensystem wird mit unbefugt verwendeten Daten gesteuert. Wird statt der Bank ein Mensch am Telefon getäuscht, etwa durch einen angeblichen Bankmitarbeiter, der den Kunden eine TAN bestätigen lässt, liegt meist ein Betrug nach § 263 StGB vor. Den Unterschied erklärt die Seite Computerbetrug.
Wer gerät bei Phishing-Ermittlungen in Verdacht?
In Verdacht geraten vor allem die Personen, deren Namen in der Geldspur auftauchen, nicht die Hintermänner. Phishing-Gruppen arbeiten arbeitsteilig: Programmierer und Anbieter von Phishing-Kits, Versender der Nachrichten, Personen, die Konten eröffnen oder zur Verfügung stellen, und Abheber, die das Geld am Automaten holen. Ermittelt wird rückwärts vom Empfängerkonto der Überweisung.
| Rolle | Typischer Vorwurf | Strafrahmen |
|---|---|---|
| Versand der Phishing-Nachrichten, Betrieb der Seite | § 269, § 263a Abs. 3 StGB, bei Abbuchung § 263a Abs. 1 | bis fünf Jahre, bandenmäßig ein bis zehn Jahre |
| Kontoinhaber, auf dessen Konto die Beute eingeht | Geldwäsche § 261 StGB, Beihilfe zum Computerbetrug | bis fünf Jahre, leichtfertig bis zwei Jahre |
| Abheber am Geldautomaten | Geldwäsche, Beihilfe oder Mittäterschaft | je nach Rolle |
| Käufer von Zugangsdaten oder Kits | § 263a Abs. 3, § 202c StGB | bis drei bzw. zwei Jahre |
Wer nur sein Konto oder seine Karte gegen Geld weitergegeben hat, sollte den Ratgeber Konto zur Verfügung gestellt lesen. Dort stehen die typischen Abläufe und die Frage der Leichtfertigkeit.
Wann wird aus Phishing ein Bandenvorwurf?
Ein Bandenvorwurf entsteht, wenn sich mindestens drei Personen verbunden haben, um für eine gewisse Zeit fortgesetzt Taten dieser Art zu begehen. Kommt Gewerbsmäßigkeit hinzu, gilt über § 263a Abs. 2 StGB der Strafrahmen des § 263 Abs. 5 StGB: ein Jahr bis zehn Jahre Freiheitsstrafe. Die Tat ist dann ein Verbrechen. Eine Einstellung nach § 153a StPO ist ausgeschlossen, und Untersuchungshaft wird häufiger angeordnet.
In Phishing-Verfahren greifen Staatsanwaltschaften den Bandenvorwurf schnell auf, weil die Arbeitsteilung offensichtlich ist. Für den Einzelnen kommt es aber darauf an, ob er sich mit den anderen auf eine fortgesetzte Tatbegehung geeinigt hat oder ob er nur gelegentlich, ohne Einbindung, einen Beitrag geleistet hat. Ein Kontoinhaber, der einmal angeworben wurde und die Hintermänner nicht kennt, ist nicht automatisch Bandenmitglied. Mehr dazu im Ratgeber Bandenbetrug.
Wie ermitteln Polizei und Staatsanwaltschaft bei Phishing?
Ermittelt wird über das Empfängerkonto, über die technischen Spuren der Phishing-Seite und über die Kommunikation der Beteiligten. Banken liefern Kontoinhaber und Umsätze, Provider Registrierungsdaten von Domains und Servern, Messengerdienste teilweise Bestandsdaten. Bei Durchsuchungen werden Smartphones und Rechner sichergestellt und ausgewertet. Chats über Telegram oder Signal sind dann häufig die zentrale Beweisquelle.
In Nordrhein-Westfalen werden größere Cybercrime-Verfahren häufig bei der Zentral- und Ansprechstelle Cybercrime (ZAC NRW) der Staatsanwaltschaft Köln geführt. Für Beschuldigte bedeutet das: Die Ermittler sind auf IT-Verfahren eingestellt, und die Auswertung von Geräten dauert oft viele Monate. Was bei einer Beschlagnahme des Telefons zu beachten ist, steht unter Handy beschlagnahmt.
Welche Strafe droht bei Phishing?
Die Strafe hängt stark von der Rolle ab. Wer als Kontoinhaber leichtfertig Phishing-Erlöse weitergeleitet hat und nicht vorbestraft ist, kann mit einer Einstellung gegen Auflage oder einer Geldstrafe rechnen. Wer Nachrichten versendet, Seiten betreibt oder Abbuchungen ausführt, muss bei mehreren Taten mit Freiheitsstrafe rechnen, bei gewerbsmäßiger Bandenbegehung mit mindestens einem Jahr je Tat.
Neben der Strafe steht fast immer die Einziehung. Das Gericht kann den Wert dessen einziehen, was der Einzelne aus der Tat erlangt hat (§§ 73, 73c StGB). Bei mehreren Beteiligten ist genau zu prüfen, wer tatsächlich Verfügungsgewalt über das Geld hatte. Für Geschädigte wird der eingezogene Wert nach Rechtskraft ausgekehrt (§ 459h StPO). Wie sich eine frühe Rückzahlung an die Bank oder die Geschädigten auswirkt, erklärt der Ratgeber Schadenswiedergutmachung.
Was sollten Sie bei einem Phishing-Vorwurf tun?
Machen Sie keine Angaben zur Sache und löschen Sie nichts. Das Löschen von Chats oder Daten nach Kenntnis vom Verfahren kann als Verdunkelung gewertet werden und einen Haftgrund liefern. Gleichzeitig sind die Nachrichten mit Auftraggebern oft das einzige Beweismittel dafür, dass Sie getäuscht oder nur am Rand beteiligt waren.
- Keine Aussage bei Polizei oder Bank, Angaben zur Person genügen.
- Kein Kontakt zu Mitbeschuldigten über das Verfahren.
- Akteneinsicht über einen Verteidiger.
- Pflichtverteidigung prüfen, wenn ein Verbrechen vorgeworfen wird oder Haft droht; Sie können den Verteidiger selbst benennen (Pflichtverteidiger).
Haben Sie selbst eine Phishing-Nachricht erhalten und Daten eingegeben, sind Sie Geschädigter und nicht Beschuldigter. Dann gilt: sofort die Bank informieren, Zugänge sperren lassen und Anzeige erstatten. Schwierig wird es erst, wenn Täter danach Ihr Konto für weitere Überweisungen genutzt haben und Sie die Eingänge weitergeleitet haben. Dann sollten Sie vor jeder Erklärung anwaltlichen Rat einholen.
Wie verteidigt Dr. Löw in Phishing-Verfahren?
Dr. Löw hat als Staatsanwalt im Sonderdezernat für Datenschutz und Cybercrime selbst Verfahren dieser Art geführt. Er weiß, wie Ermittler aus Kontodaten, Logdateien und Chatverläufen Rollen und Tatbeiträge ableiten und wo diese Schlüsse auf Annahmen beruhen. Die Verteidigung prüft, welche Taten Ihnen konkret nachgewiesen werden, ob Vorsatz oder nur Leichtfertigkeit belegt ist und ob die Bandenabrede wirklich besteht.
Daraus ergibt sich die Strategie: eine Einstellung mangels Tatverdachts, die Beschränkung auf den Vorwurf der leichtfertigen Geldwäsche, eine Begrenzung der Einziehung oder eine Verständigung im Hauptverfahren. Ein bestimmtes Ergebnis kann niemand versprechen. Eine frühe Verteidigung erweitert aber die Möglichkeiten. Hintergründe zu verwandten Vorwürfen finden Sie unter Hacking und Datendelikte.
Häufige Fragen
Ist es strafbar, eine Phishing-Seite nur zu erstellen?
Ja, schon das Herstellen oder Verschaffen von Programmen, deren Zweck ein Computerbetrug ist, ist nach § 263a Abs. 3 StGB strafbar. Wer eine Seite tatsächlich zum Täuschen einsetzt, kommt zusätzlich für § 269 StGB in Betracht.
Ich habe nur Geld am Automaten abgehoben. Was droht mir?
Abheber werden je nach Wissen wegen Geldwäsche, Beihilfe zum Computerbetrug oder als Mittäter verfolgt. Entscheidend ist, was Sie über die Herkunft wussten und ob Sie in eine Gruppe eingebunden waren.
Gilt Phishing als Verbrechen?
Nur bei gewerbsmäßiger Begehung als Mitglied einer Bande (§ 263a Abs. 2 in Verbindung mit § 263 Abs. 5 StGB). Dann beträgt die Mindeststrafe ein Jahr. In allen anderen Fällen ist es ein Vergehen.
Wie lange dauert ein Ermittlungsverfahren wegen Phishing?
Oft ein Jahr oder länger, weil Geräte ausgewertet, Auskünfte von Banken und Providern eingeholt und weitere Beteiligte ermittelt werden. In dieser Zeit sind Konten nicht selten durch einen Arrest blockiert.
Muss ich der Bank den Schaden ersetzen?
Kontoinhaber, über deren Konto Phishing-Erlöse liefen, werden oft zivilrechtlich auf Schadensersatz in Anspruch genommen. Ob und in welcher Höhe das berechtigt ist, sollte im Zusammenhang mit dem Strafverfahren geprüft werden.
Quellen
Dieser Text erklärt die allgemeine Rechtslage (Stand Oktober 2026, zuletzt geprüft am 5. Oktober 2026) und ersetzt keine Beratung im Einzelfall. Fachbegriffe erklärt das Glossar. Fragen zur Zusammenarbeit beantworten die häufigen Fragen.
Rückruf oder Nachricht
Ermittlungsverfahren wegen Phishing oder Online-Banking-Betrug? Löschen Sie nichts, sagen Sie nichts zur Sache und rufen Sie uns an.
Aus dem Blog
Haftstrafe im Fraudster-Prozess
Das Landgericht Bad-Kreuznach hat am 02.03.2020 den ehemaligen Administrator „Ebola“ des illegalen Marktplatzes „Fraudsters“ wegen Bildung einer …
Download von Hacker-Tools strafbar?
Darf ich mir aus Interesse „Kali-Linux“ herunterladen? Kann ich die vorinstallierten Tools wie „Sqlmap“ oder „Wireshark“ ausprobieren um die …