--- title: "PayPal-Sicherheitslücken: Betrugsmaschen erkennen, Käuferschutz nutzen" description: "PayPal-Betrug 2026: No-Phish-Domains, KI-Phishing-SMS und Gastzahlungs-Betrug erkennen. Käuferschutz-Fristen und Rückbuchung bei Lastschrift im Überblick." url: "https://rechtsanwaltkaufmann.de/bank-und-kapitalmarktrecht/paypal-sicherheitsluecke" lang: "de" breadcrumb: "Start › Rechtsgebiete › Bank- und Kapitalmarktrecht › PayPal-Sicherheitslücken: Betrugsmaschen erkennen, Käuferschutz nutzen" section: "Bank- und Kapitalmarktrecht" datePublished: "2025-09-18" dateModified: "2026-07-02" author: "Jana Caroline Tuszynski" authorMarkdown: "https://rechtsanwaltkaufmann.de/kanzlei/jana-caroline-tuszynski.md" reviewedBy: "Hermann Kaufmann" note: "Allgemeine Information, keine Rechtsberatung. Zitierfähig ist die Adresse unter url." --- [Bank- und Kapitalmarktrecht](https://rechtsanwaltkaufmann.de/rechtsgebiete/bank-und-kapitalmarktrecht.md) # PayPal-Sicherheitslücken: Betrugsmaschen erkennen, Käuferschutz nutzen PayPal gilt als sicherer Zahlungsdienst, doch Betrüger passen ihre Maschen laufend an. Aktuell besonders verbreitet: gefälschte Domains, KI-geschriebene Phishing-SMS und der Missbrauch der Gastzahlung. So erkennen Sie die Betrugsmasche und holen sich Ihr Geld zurück. Aktualisiert: 2\. Juli 2026 · 5 min Lesezeit · Fachlich geprüft von [Hermann Kaufmann](https://rechtsanwaltkaufmann.de/kanzlei/hermann-kaufmann.md) Das Wichtigste in Kürze PayPal wurde nicht gehackt, doch Betrüger nutzen 2026 verstärkt No-Phish-Angriffe über eigene Domains, die das echte PayPal-Portal für Zahlungsanforderungen missbrauchen, sowie KI-generierte Phishing-SMS ohne die üblichen Fehler. Beim Käuferschutz gilt eine Frist von 180 Tagen ab Zahlung. Bei unautorisierten SEPA-Lastschriften ist eine Rückbuchung über die Bank binnen 13 Monaten möglich, bei einer autorisierten, aber ungewollten Lastschrift beträgt die Frist ohne Angabe von Gründen 8 Wochen. - PayPal selbst hatte 2026 keine belegte Sicherheitslücke im System, aktuelle Warnungen betreffen vor allem Phishing und Social Engineering rund um den Dienst - Neue Betrugswelle: No-Phish-Angriffe mit eigens registrierten Domains, über die Täter das echte PayPal-Portal zum Versand von Zahlungsanforderungen nutzen - KI-generierte Phishing-SMS sind seit Ende April 2026 dokumentiert, sie sind fehlerfrei formuliert und dadurch schwerer zu erkennen als frühere Maschen - Der PayPal-Käuferschutz greift nur innerhalb von 180 Tagen nach der Zahlung und setzt ein beanstandungsfreies Konto sowie den vorherigen Kontaktversuch mit dem Verkäufer voraus - Bei nicht autorisierten SEPA-Lastschriften ist eine Rückbuchung über die eigene Bank innerhalb von 13 Monaten möglich, bei autorisierten Lastschriften beträgt die Frist ohne Angabe von Gründen 8 Wochen ab Belastung ![Titelbild zum Thema PayPal: Foto mit rotem Titelbalken und dem Logo der Kanzlei Rechtsanwalt Hermann Kaufmann](https://cms.rechtsanwaltkaufmann.de/api/media/file/paypal-sicherheitsluecke-titelbild.webp) PayPal selbst wurde 2026 nicht gehackt. Weitere Betrugsmaschen und Rechte rund ums [Online-Banking](https://rechtsanwaltkaufmann.de/themen/online-banking-betrug.md) bündelt der zugehörige Themenbereich. Was in Medienberichten oft als „PayPal-Sicherheitslücke“ bezeichnet wird, ist überwiegend Phishing und Social Engineering, bei dem Betrüger die Marke PayPal missbrauchen, ohne dass die Systeme des Zahlungsdienstes selbst kompromittiert sind. Für Betroffene macht das finanziell keinen Unterschied, entscheidend ist, welche Rechte sie in welcher Frist geltend machen können. **Abgrenzung vorab:** Dieser Beitrag behandelt Betrug rund um PayPal als Zahlungsdienst. Geht es um einen Betrugsfall direkt im klassischen Online-Banking Ihrer Bank, etwa durch Phishing-Mail, Fake-Anruf oder Banking-Trojaner, erklärt der [Beitrag zu Online-Banking-Betrug und Bankhaftung](https://rechtsanwaltkaufmann.de/bank-und-kapitalmarktrecht/online-banking-betrug-bank-haftet.md), wann die Bank nach § 675u BGB erstatten muss. ## Welche Betrugsmaschen rund um PayPal sind 2026 aktuell? **No-Phish-Angriffe über eigene Domains.** Sicherheitsforscher dokumentieren eine Masche, bei der Täter eine eigene, unauffällige Domain registrieren und darüber das echte PayPal-Portal missbrauchen, um von dort aus Zahlungsanforderungen an ihre Opfer zu versenden. Die eigentliche Zahlungsaufforderung stammt technisch tatsächlich von paypal.com, wirkt dadurch besonders vertrauenswürdig und lässt sich allein am Absender kaum als Betrug erkennen. **KI-geschriebene Phishing-SMS.** Ende April 2026 wurde eine neue Welle von Phishing-SMS bekannt, deren Texte fehlerfrei formuliert sind, weil sie mit Künstlicher Intelligenz erstellt wurden. Die früher verlässlichen Warnzeichen wie holprige Grammatik oder falsche Anrede fallen damit weitgehend weg. **Missbrauch der Gastzahlung.** Bei der Option „Zahlen ohne PayPal-Konto“ können Täter mit fremden IBAN-Daten Einkäufe bis zu 1.500 Euro tätigen, ohne dass die Abbuchung in der PayPal-App des Opfers erscheint. PayPal hat die Sicherheitsmaßnahmen für Gastzahlungen inzwischen verschärft, betroffen sind trotzdem weiterhin Verbraucher, die ihre Kontoauszüge nicht regelmäßig kontrollieren. **Klassisches Phishing per E-Mail.** Nach wie vor verbreitet sind gefälschte E-Mails, die zur „Verifizierung“ des Kontos oder zur Bestätigung einer angeblichen Zahlung auffordern und auf nachgebaute Login-Seiten verlinken. > **Kommentar vom Anwalt:** > > Mandanten fragen mich oft, ob PayPal weniger sicher geworden ist. Das sehe ich nicht so. Die Angreifer sind raffinierter geworden, nicht die Plattform unsicherer. Gerade die No-Phish-Masche zeigt, dass man sich nicht mehr allein auf „kommt die Nachricht wirklich von paypal.com“ verlassen kann, sondern den Inhalt jeder unerwarteten Zahlungsaufforderung kritisch prüfen muss. > > — Hermann Kaufmann, Fachanwalt für Bank- und Kapitalmarktrecht ## Woran erkennt man PayPal-Phishing? Achten Sie auf folgende Anzeichen, auch wenn Absender oder Formulierung inzwischen täuschend echt wirken können: - Sie werden aufgefordert, Ihr Konto zu „verifizieren“ oder eine Zahlung zu bestätigen, obwohl Sie keine Transaktion erwartet haben. - Eine Nachricht enthält Zeitdruck („Ihr Konto wird in 24 Stunden gesperrt“) oder droht mit Konsequenzen. - Ein Link führt zu einer Seite, deren Adresse bei genauem Hinsehen von paypal.com abweicht, etwa durch Zusätze oder eine andere Endung. - Sie sehen Abbuchungen auf Ihrem Girokonto, die nicht in der PayPal-App auftauchen, ein typisches Anzeichen für missbrauchte Gastzahlungen. Wenn Sie Zweifel an der Echtheit einer Nachricht haben, klicken Sie keinen enthaltenen Link an. Dieselbe Vorsicht gilt bei den aktuellen [Phishing-Varianten im klassischen Online-Banking](https://rechtsanwaltkaufmann.de/bank-und-kapitalmarktrecht/online-banking-phishing-erkennen.md), etwa bei Quishing oder KI-geklonten Anrufer-Stimmen. Öffnen Sie stattdessen die PayPal-Website direkt über die Adresszeile oder die offizielle App und prüfen Sie dort, ob tatsächlich eine Aktion erforderlich ist. ## Wann greift der PayPal-Käuferschutz? Der Käuferschutz erstattet bei Vorliegen der Voraussetzungen den vollen Kaufpreis zuzüglich der ursprünglichen Versandkosten. Damit er greift, müssen mehrere Bedingungen erfüllt sein: 1. Der Konflikt muss innerhalb von 180 Tagen nach dem Datum der Zahlung eröffnet werden. 2. Zunächst ist über die Funktion „Konfliktlösungen“ der direkte Kontakt mit dem Verkäufer zu suchen, bevor ein förmlicher Antrag auf Käuferschutz gestellt werden kann. 3. Das eigene PayPal-Konto darf nicht wegen eines Verstoßes gegen die Nutzungsbedingungen eingeschränkt sein. 4. Der Kauf muss über PayPal abgewickelt worden sein und in der Regel einen körperlichen Artikel oder eine vergleichbare Leistung betreffen, bestimmte Kategorien sind laut den PayPal-Nutzungsbedingungen vom Käuferschutz ausgenommen. Der Käuferschutz ist eine vertragliche Leistung von PayPal und ersetzt nicht die gesetzlichen Gewährleistungsrechte gegenüber dem Verkäufer, ergänzt sie aber in der Praxis meist wirkungsvoll, weil PayPal als Zahlungsmittler direkt eingreifen kann. ## Wie bekommt man eine unberechtigte PayPal-Lastschrift zurück? Zieht PayPal Geld per SEPA-Lastschrift von Ihrem Girokonto ein, entstehen rechtlich zwei getrennte Verhältnisse: eines zwischen Ihnen und PayPal, eines zwischen Ihnen und Ihrer Bank. Für die Rückbuchung über die Bank gelten die allgemeinen SEPA-Fristen: - **Autorisierte Lastschrift** (ein gültiges Mandat lag vor, Sie wollen die Zahlung aber nicht mehr): Widerspruch ohne Angabe von Gründen innerhalb von 8 Wochen nach der Kontobelastung. - **Nicht autorisierte Lastschrift** (kein gültiges Mandat, etwa nach Identitätsdiebstahl oder Kontoübernahme): Erstattung innerhalb von 13 Monaten nach der Belastung, hier müssen Sie belegen können, dass kein wirksames Mandat bestand. Die Achtwochenfrist beginnt mit dem Tag der tatsächlichen Kontobelastung, nicht erst mit der Kenntnisnahme durch den Kontoinhaber. Wer den Zeitpunkt verpasst und eine autorisierte Zahlung zurückholen will, ist auf eine Einigung mit PayPal oder dem Verkäufer angewiesen. > **Kommentar vom Anwalt:** > > In der Praxis unterschätzen viele Mandanten den Unterschied zwischen autorisierter und nicht autorisierter Lastschrift. Wer selbst eine Zahlung freigegeben hat und es sich später anders überlegt, hat acht Wochen Zeit und muss nichts begründen. Wer Opfer eines fremden Zugriffs wurde, hat mit 13 Monaten deutlich mehr Zeit, muss dafür aber den fehlenden Mandat-Nachweis führen, etwa durch eine Kopie des eigenen Widerspruchs oder den Nachweis, dass die Zahlung nie autorisiert wurde. > > — Hermann Kaufmann, Fachanwalt für Bank- und Kapitalmarktrecht ## Was tun, wenn Sie bereits Opfer eines PayPal-Betrugs geworden sind? 1. **PayPal informieren.** Melden Sie den Vorfall über die Konfliktlösung oder den PayPal-Kundendienst, PayPal erstattet unautorisierte Zahlungen in vielen Fällen direkt. 2. **Bank kontaktieren.** Prüfen Sie parallel, ob eine Rückbuchung über Ihre Bank innerhalb der SEPA-Fristen möglich ist. 3. **Kontoauszüge kontrollieren.** Besonders bei Gastzahlungs-Missbrauch erscheinen Abbuchungen nur auf dem Girokonto, nicht in der PayPal-App. 4. **Beweise sichern.** Screenshots der Phishing-Nachricht, der gefälschten Seite und aller Kommunikationswege dokumentieren. 5. **Strafanzeige erstatten.** Insbesondere bei größeren Schäden oder erkennbar organisierter Kriminalität. 6. **Rechtlichen Rat einholen.** Wenn PayPal oder die Bank eine Erstattung verweigern, lohnt sich eine anwaltliche Prüfung der konkreten Umstände. Rechtsstand: Juli 2026. ## Fragen & Antworten ### Wurde PayPal 2026 gehackt? Nein, es gibt keine belegte Sicherheitslücke in den Systemen von PayPal selbst. Aktuelle Warnungen betreffen Phishing und Social Engineering, bei dem Betrüger die Marke PayPal missbrauchen, etwa über eigens registrierte Domains oder KI-generierte Phishing-SMS. ### Was ist ein No-Phish-Angriff bei PayPal? Dabei registrieren Täter eine eigene, unauffällige Domain und nutzen das echte PayPal-Portal, um darüber Zahlungsanforderungen an ihre Opfer zu versenden. Die Nachricht stammt technisch tatsächlich von PayPal, lässt sich also nicht allein am Absender als Betrug erkennen. ### Innerhalb welcher Frist muss ich den PayPal-Käuferschutz beantragen? Der Konflikt muss innerhalb von 180 Tagen nach dem Zahlungsdatum eröffnet werden. Vorher ist über die Funktion Konfliktlösungen zunächst der direkte Kontakt mit dem Verkäufer zu suchen. ### Wie lange kann ich eine PayPal-Lastschrift zurückbuchen lassen? Bei einer autorisierten Lastschrift, die Sie sich anders überlegt haben, beträgt die Frist 8 Wochen ab Kontobelastung ohne Angabe von Gründen. Bei einer nicht autorisierten Lastschrift, etwa nach Identitätsdiebstahl, können Sie die Erstattung innerhalb von 13 Monaten verlangen, müssen dann aber das fehlende Mandat nachweisen. ### Was tun bei Missbrauch der PayPal-Gastzahlung? Kontrollieren Sie regelmäßig Ihre Girokonto-Umsätze, da missbräuchliche Gastzahlungen nicht in der PayPal-App erscheinen. Informieren Sie bei einem Fund umgehend Ihre Bank und PayPal und sichern Sie alle Belege für eine mögliche Rückbuchung oder Strafanzeige. Quellen 1. [PayPal-Käuferschutz, offizielle Bedingungen (paypal.com)](https://www.paypal.com/de/legalhub/paypal/buyer-protection) 2. [PayPal-Nutzungsbedingungen, Stand 22.1.2026 (paypal.com)](https://www.paypal.com/de/legalhub/paypal/useragreement-full) 3. [Verbraucherzentrale, Phishingradar: aktuelle Warnungen](https://www.verbraucherzentrale.de/wissen/digitale-welt/datenschutz/phishingradar/phishingradar-aktuelle-warnungen-6059) 4. [Verbraucherzentrale, PayPal-Datenleck: was Sie jetzt tun sollten](https://www.verbraucherzentrale.de/wissen/digitale-welt/datenschutz/paypaldatenleck-was-sie-jetzt-tun-sollten-110052) 5. [§ 675x BGB, Erstattung bei mittels Lastschrift ausgelösten Zahlungsvorgängen (gesetze-im-internet.de)](https://www.gesetze-im-internet.de/bgb/__675x.html) 6. [tagesschau.de, PayPal-Sicherheit: Nutzer über Ausfälle informiert](https://www.tagesschau.de/wirtschaft/verbraucher/paypal-sicherheit-nutzer-ausfaelle-100.html) 7. [§ 676b BGB, Anzeige nicht autorisierter Zahlungsvorgänge (13-Monats-Frist)](https://www.gesetze-im-internet.de/bgb/__676b.html) **Hinweis:** Dieser Artikel dient ausschließlich der allgemeinen rechtlichen Information und stellt keine Rechtsberatung im Einzelfall dar. Für die Beurteilung Ihrer konkreten Situation wenden Sie sich bitte direkt an Rechtsanwalt Hermann Kaufmann. Eine rechtliche Prüfung Ihres Falls erfolgt erst im Rahmen eines Mandats. Die Inhalte sind teilweise KI-modifiziert und werden redaktionell geprüft. Über die Autorin · Jana Caroline Tuszynski · Diplom-Juristin Diplom-Juristin (Dipl.-Jur.). Sie schreibt für die Kanzlei praxisnahe Beiträge, schwerpunktmäßig zum Bank- und Kapitalmarktrecht sowie zum Bau- und Immobilienrecht. [Zum Profil →](https://rechtsanwaltkaufmann.de/kanzlei/jana-caroline-tuszynski.md) ## Das könnte Sie auch interessieren - [Online-Banking-Betrug: Wann die Bank haftet und Ihr Geld erstatten muss](https://rechtsanwaltkaufmann.de/bank-und-kapitalmarktrecht/online-banking-betrug-bank-haftet.md) – Phishing-Mail, Fake-Anruf oder Banking-Trojaner: Wird Ihr Konto ohne Ihre Zustimmung belastet, muss die Bank nach § 675u BGB grundsätzlich zahlen. Wann sie sich mit grober Fahrlässigkeit herausreden kann und wann nicht, zeigen aktuelle BGH- und OLG-Urteile am Beispiel N26 und anderer Banken. - [Phishing erkennen: Smishing, Vishing, Quishing und KI-Stimmen im Online-Banking](https://rechtsanwaltkaufmann.de/bank-und-kapitalmarktrecht/online-banking-phishing-erkennen.md) – Phishing-Mails werden heute zu einem großen Teil von KI generiert, dazu kommen QR-Code-Betrug (Quishing) und geklonte Bankmitarbeiter-Stimmen am Telefon. So erkennen Sie die aktuellen Betrugsmaschen, bevor Ihr Konto geplündert wird. - [Kontoeröffnungsbetrug und Identitätsdiebstahl: Was tun, wenn ein Konto auf Ihren Namen läuft?](https://rechtsanwaltkaufmann.de/bank-und-kapitalmarktrecht/kontoeroeffnungsbetrug.md) – Kriminelle nutzen gestohlene Identitäten oder überreden Menschen in finanzieller Not, ein Konto im eigenen Namen zu eröffnen und die Zugangsdaten weiterzugeben. Was strafrechtlich passiert, wie Sie sich bei SCHUFA und Bank wehren, und warum auch gutgläubige Kontoinhaber Ärger bekommen, zeigt ein Fall aus unserer Kanzlei. - [Betrugsmasche Brief: Phishing-Briefe von Commerzbank und Sparkasse erkennen](https://rechtsanwaltkaufmann.de/bank-und-kapitalmarktrecht/betrugsmasche-brief.md) – Gefälschte Bankbriefe mit QR-Code locken Kunden auf nachgebaute Login-Seiten. So erkennen Sie Quishing-Post von echten Bankschreiben, und das gilt rechtlich, wenn bereits Geld abgebucht wurde.