ADAC-Kreditkarte Betrug: Solarisbank-Kunden aufgepasst

Seit dem Wechsel der ADAC-Kreditkartenverwaltung zur Solarisbank im September 2024 melden zahlreiche Mitglieder unautorisierte Abbuchungen zwischen 2.000 und 3.000 Euro. Betroffen sind auch Kundinnen und Kunden, die ihre Karte monatelang gar nicht genutzt hatten. Die BaFin prüft die Vorfälle. Ob Betroffene ihr Geld nach § 675u BGB zurückbekommen, hängt vor allem davon ab, ob Solaris eine Freigabe durch den Kunden oder grobe Fahrlässigkeit nachweisen kann. Die Gerichte entscheiden dazu bislang nicht einheitlich.

Wie läuft der Kreditkartenbetrug bei der ADAC-Kreditkarte ab?

Im Zuge der Migration von rund 1,1 Millionen ADAC-Kreditkarten zur Solarisbank im September 2024 kam es zu einer massiven Häufung von Betrugsfällen. Zahlreiche Kundinnen und Kunden meldeten unautorisierte Abbuchungen im vierstelligen Bereich, obwohl sie die entsprechenden Transaktionen nie ausgelöst hatten. Die Täter setzten dabei unter anderem auf klassisches Phishing über gefälschte E-Mails, nachgebaute Webseiten und irreführende Google-Anzeigen, um an Zahlungsdaten zu gelangen. Wie sich solche Maschen von Smishing über Vishing bis zu KI-Stimmen erkennen lassen, zeigt der Ratgeber Phishing erkennen: Smishing, Vishing, Quishing und KI-Stimmen im Online-Banking.

Die ADAC-Kreditkarten wurden ursprünglich von der Landesbank Berlin AG ausgegeben. Im September 2024 übernahm die Solaris SE die Kartenherausgabe; die bestehenden Vertragsverhältnisse gingen auf sie über.

Auffällig ist, dass auch Personen betroffen waren, die ihre Karte über Monate oder Jahre nicht aktiv genutzt und keine verdächtigen Aktivitäten bemerkt hatten, bis plötzlich erhebliche Summen abgebucht wurden. Das deutet darauf hin, dass neben individuellem Fehlverhalten auch technische Schwachstellen im System der Solarisbank eine Rolle gespielt haben könnten.

Was tun, wenn Sie bereits vom ADAC-Kreditkartenbetrug betroffen sind?

Schnelles Handeln entscheidet, und zwar in dieser Reihenfolge:

1. Karte sofort sperren. Über die Hotline Ihres Kartenherausgebers oder über den zentralen Sperr-Notruf 116 116, kostenfrei aus allen Netzen, aus dem Ausland +49 116 116. Der Sperr-Notruf greift nur bei Herausgebern, die sich ihm angeschlossen haben. Rufen Sie im Zweifel zusätzlich die Nummer auf Ihrer Abrechnung an. Notieren Sie Datum und Uhrzeit der Sperrung.
2. Umsätze sichern. Screenshots aller unbekannten Buchungen, dazu die Abrechnung als PDF. Halten Sie fest, wann Ihnen die Abbuchung zum ersten Mal aufgefallen ist. Davon hängt ab, ob Sie „unverzüglich" gemeldet haben (§ 676b Abs. 1 BGB). Bewahren Sie außerdem jede Korrespondenz mit Solaris und sämtliche Transaktionsprotokolle auf: Diese Unterlagen werden im Streitfall zu Beweismitteln.
3. Schriftlich bei der Bank widersprechen. Nicht nur anrufen. Verlangen Sie ausdrücklich die Erstattung nach § 675u BGB und setzen Sie eine Frist. Ein Telefonat lässt sich später nicht beweisen. Bei Solaris nutzen Sie dafür das Formular „Zahlungsreklamation/Dispute Form“ und lassen sich den Zugang schriftlich bestätigen.
4. Anzeige bei der Polizei erstatten. Das dokumentiert den Vorfall und ist gegenüber der Bank oft das Argument, das eine pauschale Ablehnung beendet.
5. Ablehnung nicht hinnehmen. Lehnt die Bank ab, fordern Sie schriftlich die Nachweise an, die sie nach § 675w BGB vorlegen muss. Bleibt es bei der Ablehnung, lassen Sie den Fall anwaltlich prüfen. Die Frist von 13 Monaten (§ 676b Abs. 2 BGB) läuft weiter.

Von einer schnellen Zahlung oder einem vorschnellen Vergleichsangebot raten wir grundsätzlich ab, solange nicht geklärt ist, wer die Beweislast tatsächlich trägt und ob Solaris über das bloße Authentifizierungsprotokoll hinaus etwas vorlegen kann. Wer feststellt, dass sein Mobiltelefon plötzlich über längere Zeit kein Netz mehr hat, sollte das ernst nehmen und umgehend beim Mobilfunkanbieter nachfragen, ob die eigene Rufnummer portiert oder eine Ersatz-SIM aktiviert wurde, ein möglicher Hinweis auf einen SIM-Swap, also eine Rufnummernübernahme durch Dritte.

Nach § 675u BGB ist die Bank verpflichtet, eine nicht autorisierte Zahlung zu erstatten und das Konto unverzüglich, spätestens bis zum Ende des folgenden Geschäftstags nach Ihrer Meldung, wieder auf den ursprünglichen Stand zu bringen. Wann die Bank darüber hinaus für einen Betrugsschaden haftet und wann grobe Fahrlässigkeit des Kunden dagegenspricht, erklärt der Beitrag Online-Banking-Betrug: Wann die Bank haftet und Ihr Geld erstatten muss. Die Beweislast liegt bei der Bank: Sie muss nachweisen, dass die Zahlung tatsächlich autorisiert war oder dass grobe Fahrlässigkeit vorlag. In der Praxis reagieren Banken auf die erste Anfrage trotzdem häufig zögerlich oder lehnen eine Rückzahlung zunächst ab.

Dass sich eine konsequente Durchsetzung lohnt, zeigen bereits ergangene Gerichtsentscheidungen: In mehreren Verfahren hat die Solaris SE nach gerichtlicher Auseinandersetzung eine vollständige Entschädigung inklusive Zinsen und Kosten geleistet. Wer eine erste Ablehnung der Bank nicht hinnimmt, kann seinen Anspruch also erfolgreich durchsetzen.

Wer zahlt bei Kreditkartenbetrug?

Grundsätzlich die Bank, nicht Sie. Bei einer nicht autorisierten Zahlung muss der Zahlungsdienstleister den Betrag unverzüglich erstatten (§ 675u BGB). Von Ihnen kann er höchstens 50 Euro verlangen, und auch die nur, wenn Sie den Missbrauch hätten bemerken können (§ 675v Abs. 1 und 2 BGB). Den vollen Schaden tragen Sie nur ausnahmsweise: bei Betrugsabsicht oder grob fahrlässiger Pflichtverletzung.

Bis wann muss ich eine unautorisierte Abbuchung melden?

Unverzüglich, nachdem Sie sie bemerkt haben, und spätestens 13 Monate nach dem Belastungstag. Die Anzeigepflicht steht in § 676b Abs. 1 BGB. Melden Sie sich nicht spätestens 13 Monate nach der Belastung, sind Ihre Ansprüche ausgeschlossen (§ 676b Abs. 2 BGB). Diese Frist beginnt allerdings erst zu laufen, wenn die Bank Sie ordnungsgemäß über den Zahlungsvorgang unterrichtet hat. Wer nie eine Abrechnung erhalten hat, verliert seine Ansprüche also nicht automatisch.

Weil bei der ADAC-Kreditkarte gerade auch Karten betroffen waren, die über Monate nicht genutzt wurden, ist das praktisch wichtig: Prüfen Sie jede Abrechnung, auch wenn Sie die Karte gar nicht einsetzen. Eine Abbuchung, die ein Jahr lang unbemerkt bleibt, ist am Ende möglicherweise nicht mehr durchsetzbar.

Was gilt, wenn die Bank Ihnen grobe Fahrlässigkeit vorwirft?

Dann kommt es auf drei Normen an, und die stehen überwiegend auf Ihrer Seite. Bei missbräuchlicher Nutzung eines Zahlungsinstruments kann die Bank grundsätzlich höchstens 50 Euro von Ihnen verlangen (§ 675v Abs. 1 BGB). Selbst diese 50 Euro entfallen, wenn Sie den Missbrauch vor der Zahlung nicht bemerken konnten (§ 675v Abs. 2 Nr. 1 BGB). Den vollen Schaden tragen Sie nur, wenn Sie betrügerisch gehandelt oder Ihre Pflichten vorsätzlich oder grob fahrlässig verletzt haben (§ 675v Abs. 3 BGB).

Entscheidend ist Absatz 4: Hat Ihre Bank keine starke Kundenauthentifizierung verlangt, sind Sie überhaupt nicht zum Schadensersatz verpflichtet, auch dann nicht, wenn man Ihnen grobe Fahrlässigkeit vorhält (§ 675v Abs. 4 Nr. 1 BGB). Genau hier setzen die Beschwerden über die Sicherheitsvorkehrungen bei der Kartenmigration an.

Und die Beweislast liegt nicht bei Ihnen. Ist streitig, ob Sie die Zahlung autorisiert haben, muss die Bank nachweisen, dass eine Authentifizierung erfolgt und der Vorgang ordnungsgemäß aufgezeichnet und verbucht wurde (§ 675w Satz 1 BGB). Das bloße Protokoll der Kartennutzung reicht dafür allein nicht notwendigerweise aus, um Ihnen Autorisierung, Betrug oder grobe Fahrlässigkeit nachzuweisen (§ 675w Satz 3 BGB). Legt die Bank nur dieses Protokoll vor, sollten Sie weitere Nachweise schriftlich einfordern. Wer eine pauschale Ablehnung erhält, sollte genau das schriftlich einfordern.

Eindeutig zugunsten des Karteninhabers ist die Rechtslage aber nicht: Der BGH hat anerkannt, dass sich der Zahlungsdienstleister unter engen Voraussetzungen auf einen Anscheinsbeweis stützen kann; gelingt ihm das, trifft den Kunden seinerseits eine sekundäre Darlegungslast, ein plausibles Alternativgeschehen aufzuzeigen.

Wer trägt die Beweislast bei bestrittenen Kartenzahlungen?

§ 675w BGB: Nachweis der Authentifizierung

Ist die Autorisierung eines ausgeführten Zahlungsvorgangs streitig, hat der Zahlungsdienstleister nachzuweisen, dass eine Authentifizierung erfolgt ist und der Zahlungsvorgang ordnungsgemäß aufgezeichnet, verbucht sowie nicht durch eine Störung beeinträchtigt wurde. Eine Authentifizierung ist erfolgt, wenn der Zahlungsdienstleister die Nutzung eines bestimmten Zahlungsinstruments, einschließlich seiner personalisierten Sicherheitsmerkmale, mit Hilfe eines Verfahrens überprüft hat. Wurde der Zahlungsvorgang mittels eines Zahlungsinstruments ausgelöst, reicht die Aufzeichnung der Nutzung des Zahlungsinstruments einschließlich der Authentifizierung durch den Zahlungsdienstleister und gegebenenfalls einen Zahlungsauslösedienstleister allein nicht notwendigerweise aus, um nachzuweisen, dass der Zahler den Zahlungsvorgang autorisiert, in betrügerischer Absicht gehandelt, eine oder mehrere Pflichten gemäß § 675l Absatz 1 verletzt oder vorsätzlich oder grob fahrlässig gegen eine oder mehrere Bedingungen für die Ausgabe und Nutzung des Zahlungsinstruments verstoßen hat. Der Zahlungsdienstleister muss unterstützende Beweismittel vorlegen, um Betrug, Vorsatz oder grobe Fahrlässigkeit des Zahlungsdienstnutzers nachzuweisen.

Der BGH hat diese Grundsätze bereits 2016 in einem Fall von Online-Banking-Missbrauch entwickelt (BGH, Urteil vom 26.01.2016, Az. XI ZR 91/14): Es gibt keinen Erfahrungssatz, wonach eine korrekt aufgezeichnete und beanstandungsfrei geprüfte Authentifizierung automatisch auf eine grob fahrlässige Pflichtverletzung des Nutzers schließen lässt. Ein Anscheinsbeweis zugunsten der Bank setzt zudem voraus, dass das eingesetzte Sicherungsverfahren nach aktuellem Erkenntnisstand praktisch nicht zu überwinden ist und im konkreten Fall auch fehlerfrei angewendet wurde. Zum damals verwendeten SMS-TAN-Verfahren äußerte der BGH selbst Zweifel, ob es diesen Sicherheitsstandard überhaupt erreicht. Der Kunde muss zur Erschütterung eines etwaigen Anscheinsbeweises keinen erfolgreichen Angriff auf das Sicherungsverfahren nachweisen; ein substantiierter Hinweis auf eine außerhalb des Banksystems liegende Ursache genügt. Was als solcher Hinweis ausreicht, hat der BGH nicht abschließend festgelegt. Das ist eine Frage des Einzelfalls.

Wie stark es dabei auf das konkrete Verhalten und die konkrete Beweisführung ankommt, zeigen drei Entscheidungen, auf die sich Banken in vergleichbaren Verfahren regelmäßig berufen: Das OLG Frankfurt am Main bejahte grobe Fahrlässigkeit, weil ein Kunde eine telefonisch erfragte TAN an einen vermeintlichen Bankmitarbeiter weitergegeben hatte (OLG Frankfurt a. M., Beschluss vom 22.09.2023, Az. 3 U 84/23). Das OLG München ordnete einen vergleichbaren Fall der Weitergabe von Zugangsdaten ähnlich ein (OLG München, Beschluss vom 04.09.2023, Az. 19 U 1508/23e). Das Amtsgericht München kam bei einer Kreditkartenzahlung zu einem ähnlichen Ergebnis, allerdings auf andere Weise: Dort war nur unstreitig, dass der Kunde seine Kartendaten auf einer Phishing-Seite eingegeben und im fraglichen Zeitraum eine SMS-TAN erhalten hatte. Dass er diese TAN auch tatsächlich dort eingab, war nicht bewiesen; das Gericht folgerte dies vielmehr daraus, dass der Kunde keine plausible andere Erklärung dafür liefern konnte, wie die TAN sonst zeitnah zum Täter gelangt sein sollte, eine sogenannte sekundäre Darlegungslast (AG München, Urteil vom 21.01.2025, Az. 222 C 15098/24).

Ein aktueller Fall aus unserer Kanzlei gegen Solaris

Rechtsanwalt Hermann Kaufmann vertritt aktuell selbst einen betroffenen ADAC-Kreditkartenkunden in einem laufenden Rechtsstreit gegen Solaris. Der Fall zeigt, wie unterschiedlich sich ein und derselbe Sachverhalt aus Bank- und aus Kundensicht darstellen lässt, wenn es um 3-D Secure und grobe Fahrlässigkeit geht.

In dem Fall, den unsere Kanzlei begleitet, wurde die Karte unseres Mandanten im Februar 2025 mit drei Zahlungen belastet: 4.100 Euro unter der Bezeichnung „Reflex Auto“ am 3. Februar, 10 Euro unter „startselect.help“ am 12. Februar und ein Betrag von rund 18 Euro unter „SGL/Telegram Premium“ am 22. Februar. Unser Mandant bestreitet, diese Zahlungen autorisiert zu haben, und macht gegen Solaris eine Hauptforderung von 4.128,30 Euro nebst Zinsen sowie außergerichtlichen Rechtsanwaltskosten geltend. Er bestreitet dabei ausdrücklich, jemals eine gefälschte Login-Seite aufgerufen, Zugangsdaten eingegeben oder eine SMS-TAN weitergegeben zu haben.

Wie reagiert Solaris auf bestrittene Kartenzahlungen?

Solaris verteidigt sich in solchen Verfahren zweistufig. In erster Linie beruft sich das Unternehmen darauf, dass die Zahlungen über 3-D Secure authentifiziert worden seien und eine Ausführung ohne entsprechende Freigabe des Karteninhabers technisch ausgeschlossen sei. Die vorgelegten VISA-Transaktionsprotokolle weisen die Zahlungen dabei als „Challenged“ beziehungsweise „Frictionless“ aus. Das ist aus Sicht von Solaris ein Beleg für eine ordnungsgemäße Authentifizierung.

Hilfsweise trägt Solaris vor, der Karteninhaber habe, sofern er selbst keine Freigabe erteilt habe, Dritten zwingend sowohl die Kreditkarten- und Zugangsdaten (etwa durch Eingabe auf einer Phishing-Website) als auch zusätzlich die per SMS erhaltene TAN zugänglich gemacht. Solaris stützt diesen Vorwurf auf ein detailliert geschildertes Phishing-Szenario: mehr als 200 gefälschte Websites, die der echten ADAC-Login-Seite nachempfunden gewesen seien; Kunden seien über Suchmaschinen dorthin geraten, hätten dort Zugangsdaten und anschließend eine TAN eingegeben, woraufhin die Täter ein eigenes Gerät an das Konto gebunden hätten. Für den Fall einer nicht autorisierten Zahlung erklärt Solaris hilfsweise die Aufrechnung mit einem Schadensersatzanspruch aus § 675v Abs. 3 BGB in Höhe der Klageforderung.

Was hat ein SIM-Swap mit den bestrittenen Zahlungen zu tun?

Dem hält unser Mandant einen sogenannten SIM-Swap beziehungsweise Port-Out entgegen, also einen Hinweis auf eine außerhalb des Banksystems liegende Ursache. Dabei verschaffen sich Täter mit leicht zugänglichen Stammdaten (Name, Anschrift, Geburtsdatum, Rufnummer) beim Mobilfunkanbieter Zugriff auf die Rufnummer des Opfers, etwa durch eine Ersatz-SIM oder eine Portierung zu einem anderen Anbieter, ganz ohne dass dieses eine Phishing-Seite besuchen oder eine TAN preisgeben müsste. Ab diesem Zeitpunkt laufen sämtliche SMS-TANs und App-Freigabecodes am Täter-Gerät auf; die Banksysteme verzeichnen anschließend eine „erfolgreiche“ Freigabe, obwohl nicht der Karteninhaber, sondern der Täter sie ausgelöst hat. Ob ein solcher SIM-Swap tatsächlich stattgefunden hat, ist, ebenso wie das von Solaris behauptete Phishing-Szenario, zwischen den Parteien streitig und noch nicht gerichtlich geklärt.

Hier setzt der Vortrag unseres Mandanten an, und zwar bei der oben beschriebenen sekundären Darlegungslast: Mit dem SIM-Swap nennt er eine konkrete, in sich schlüssige Alternativerklärung dafür, wie SMS-TAN und App-Freigaben ohne sein Zutun beim Täter ankommen konnten. Ob sich dieser Vortrag im Verfahren bestätigt, ist offen, er genügt aber grundsätzlich, um der sekundären Darlegungslast nachzukommen, an der der Kläger im Fall des Amtsgerichts München mangels einer solchen Erklärung gescheitert ist.

Was bedeuten die Verfahren der Verbraucherzentrale gegen Solaris für Betroffene?

Neben den individuellen Streitigkeiten wie der unseres Mandanten führt die Verbraucherzentrale Baden-Württemberg zwei wettbewerbsrechtliche Unterlassungsklagen gegen Solaris.

Im ersten Verfahren ging es um einen Verbraucher, dessen ADAC-Kreditkarte im Oktober 2024 mit einer Zahlung über 4.616,85 Euro belastet wurde, die er über das von Solaris selbst bereitgestellte Formular „Zahlungsreklamation/Dispute Form“ beanstandet hatte. Die Verbraucherzentrale wollte Solaris untersagen lassen, in solchen Fällen dennoch Aufwendungsersatz zu verlangen, wenn dem Verbraucher keine grobe Fahrlässigkeit vorzuwerfen ist. Das Landgericht Berlin II hat die Klage mit Urteil vom 25.11.2025 (Az. 103 O 49/25) abgewiesen. Das Urteil ist nicht rechtskräftig, die Verbraucherzentrale hat Berufung zum Kammergericht Berlin eingelegt (Az. 5 U 2/26); eine Entscheidung darüber steht bislang aus.

Im zweiten, weiterhin beim Landgericht Berlin II anhängigen Verfahren (Az. 97 O 83/25) beanstandet die Verbraucherzentrale zwei konkrete Praktiken: Zum einen, dass Solaris von einem Verbraucher trotz bestrittener Autorisierung den Ausgleich des angeblich ausstehenden Betrags verlangt und gleichzeitig eine vorübergehende Sperrung der Kreditkarte androht. Zum anderen, dass Solaris sich gegenüber dem Verbraucher auf angebliche interne Nachweise für eine ordnungsgemäße Autorisierung beruft, diese aber als „ausschließlich für interne Prüfungszwecke bestimmt“ bezeichnet und damit dem Kunden nicht offenlegt.

Beide Verfahren sind Unterlassungsklagen nach dem UWG. Sie verschaffen einzelnen Betroffenen keinen direkten Zahlungsanspruch, klären aber grundsätzlich, ob bestimmte Praktiken von Solaris zulässig sind. Ein rechtskräftiges Verbot würde die Position individueller Kläger in eigenen Verfahren stärken.

Was hat die BaFin bislang unternommen?

Die Bundesanstalt für Finanzdienstleistungsaufsicht prüft seit dem Bekanntwerden der Betrugsfälle Verbraucherbeschwerden gegen die Solarisbank wegen mangelhafter Sicherheitsvorkehrungen und unklarer Rückerstattungsverfahren. Bereits davor war die Solarisbank aufsichtsrechtlich auffällig geworden: Mit seit dem 7. März 2024 bestandskräftigem Bescheid verhängte die BaFin ein Bußgeld von 6,5 Millionen Euro gegen die Solaris SE, weil das Institut Geldwäscheverdachtsmeldungen systematisch verspätet an die Financial Intelligence Unit weitergeleitet hatte. Im Juni 2025 kamen weitere Bußgelder von insgesamt 500.000 Euro hinzu, weil die Solaris SE von Januar 2022 bis März 2024 wiederholt Großkreditgrenzen der europäischen Eigenkapitalverordnung überschritten hatte.

Diese Historie zeigt, dass die aktuellen Betrugsvorwürfe nicht isoliert stehen, sondern in eine Reihe aufsichtsrechtlicher Beanstandungen fallen.

Wie schützen Sie sich jetzt vor einem Kreditkartenbetrug?

Einen absoluten Schutz gibt es nicht, mehrere Maßnahmen senken das Risiko aber deutlich. Einen Überblick über weitere aktuelle Betrugsmaschen im Online-Banking gibt die Themenseite Online-Banking und Betrug. Kontrollieren Sie Ihre Kartenumsätze regelmäßig, idealerweise über die Benachrichtigungsfunktion der Banking-App, die Sie bei jeder Transaktion sofort informiert. Nutzen Sie die Zwei-Faktor-Authentifizierung, wo immer sie angeboten wird. Geben Sie Kreditkartendaten nur bei seriösen Anbietern ein und speichern Sie sie nicht dauerhaft auf fremden Webseiten.

Rechtsanwalt Hermann Kaufmann prüft für betroffene ADAC-Kreditkarteninhaber, ob Solaris seiner Beweislast tatsächlich nachgekommen ist.

Rechtsstand: September 2026.