Miles & More Konto gehackt? So bekommen Sie die Meilen zurück

Autor: Rechtsanwalt Dr. Marc Maisch / Headerbild: KI-generiert

Immer häufiger gelingt es Tätern auf verschiedenen Wegen, Miles & More Accounts zu übernehmen und Meilen zu stehlen. Als Rechtsanwaltskanzlei für IT/KI, Datenschutz und Cybercrime erreichen uns mittlerweile wöchentlich Anfragen von Geschädigten. Die Täter gehen ganz unterschiedlich vor.

Es gibt aber gute Chancen auf Wiederherstellung der Meilen, wenn man nichts dafür kann, dass sie gestohlen wurden. Wer also nicht fahrlässig gehandelt hat, wie das Juristen nennen, hat nichts zu befürchten. Allgemein gilt: Wenn Sie einen Meilendiebstahl erkennen, lassen Sie das Konto sofort sperren, dokumentieren Sie alles gut und fordern Sie die Miles and More GmbH schriftlich auf, Ihnen die Meilen wieder gut zu schreiben.

In diesem Beitrag lernen Sie, wie das geht und profitieren von unserem Praxiswissen mit Miles & More Fällen.

Meilen sind kein Spielgeld. Der Bundesgerichtshof hat Bonusmeilen einen echten Vermögenswert zugesprochen und entschieden, dass eine Reiserücktrittsversicherung eingesetzte Meilen als Rücktrittskosten erstatten muss (BGH, Urteil vom 1. März 2023, Az. IV ZR 112/22). Genau deshalb sind Vielfliegerkonten für Kriminelle attraktiv. Sie bieten hohe Werte, werden selten kontrolliert und lassen sich schnell in Gutscheine oder Prämienflüge umwandeln.

Wurden auch Ihre Miles & More Meilen gestohlen? Nehmen Sie jetzt Kontakt zu uns auf: In der Kanzlei Maisch.law Rechtsanwälte sind wir auf Betrug und Cybercrime spezialisiert. So läuft das Mandat ab:

• Sie schicken uns eine erste Anfrage und erhalten eine kostenfreie Einschätzung
• Wir machen Ihnen ein Angebot für Interessenten mit oder ohne Rechtschutzversicherung
• Wir fordern die Miles & More GmbH außergerichtlich auf, die Meilen wiederherzustellen
• Klappt nicht? Dann erheben wir für Sie Klage auf Wiederherstellung der Meilen

Hinweise: Alle Leistungen werden nach Festpreisen abgerechnet, auch die Erstellung einer Deckungsanfrage für einen Versicherten. Die Erstattung einer Strafanzeige kann optional dazu gebucht werden. Haben Sie eine Rechtschutzversicherung, die die Kosten der Vertretung übernimmt und eine Deckungszusage erteilt hat? Prima, dann rechnen die Kosten der Vertretung über die Versicherung ab.

Was sind Meilen von Miles & More wert?

Der Wert von z.B. 100.000 Miles & More Meilen liegt im Durchschnitt bei etwa 1.500 bis 1.700 Euro, kann sich jedoch je nach Einlöseart extrem unterscheiden und von 300 Euro bis über 5.000 Euro reichen.

Der tatsächliche Gegenwert hängt allein davon ab, wofür die Meilen eingesetzt werden. 

Der Wert von Meilen für First Class Flüge liegt bei 3,0 bis 6,0 Cent pro Meile, also 3.000 € bis 6.000 €. Bei Business Class (Langstrecke), 1,7 bis 4,0 Cent, also 1.700 € bis 4.000 €. Bei Economy Class (Langstrecke), 0,7 bis 1,0 Cent, 700 € bis 1.000 €.

So holen Sie das Maximum aus 100.000 Meilen heraus: Business Class Meilenschnäppchen: Für nur 55.000 Meilen erhalten Sie regelmäßig reduzierte Hin- und Rückflüge in der Business Class auf der Langstrecke (z. B. in die USA). Mit 100.000 Meilen können Sie fast zwei dieser Tickets buchen und erzielen problemlos einen Gegenwert von mehreren tausend Euro.

First Class Upgrades oder Oneway-Tickets: Ein Oneway-Flug in der Lufthansa First Class kostet auf bestimmten Strecken rund 100.000 Meilen. Da diese Tickets regulär oft 4.000 Euro oder mehr kosten, erzielen Sie hier den höchsten rechnerischen Nutzen.

Wie läuft so ein ,,Diebstahl“ ab?

Phishing per E-Mail und SMS, um Miles & More Meilen zu stehlen

Die häufigste Masche sind gefälschte Nachrichten im Namen des Programms. Typisch ist die Drohung, die Meilen verfielen in wenigen Tagen, verbunden mit einem Link auf eine nachgebaute Anmeldeseite. Miles & More stellt selbst klar, dass es niemals per E-Mail nach Zugangsdaten oder PIN fragt.

Meilen Diebstahl: Passwort-Recycling und Credential Stuffing

Hier wird das Meilenkonto selbst gar nicht angegriffen. Kriminelle kaufen Zugangsdaten aus fremden Datenlecks, etwa aus einem Onlineshop, und probieren die Kombination automatisiert bei Bonusprogrammen durch. Wer dieselbe E-Mail-Adresse und dasselbe Passwort mehrfach nutzt, verliert sein Meilenkonto ohne jeden aktuellen Fehler.

Das gekaperte E-Mail-Postfach

Das E-Mail-Konto ist der Generalschlüssel. Wer es kontrolliert, fordert beim Bonusprogramm eine neue PIN an und fängt die Bestätigungsmail ab. Eine Geschädigte bemerkte den Angriff erst Wochen später, weil die Täter eine Weiterleitungsregel angelegt hatten und alle Nachrichten des Programms automatisch im Papierkorb landeten.

Schadsoftware und gestohlene Sitzungen (Browser offengelassen)

Sogenannte Infostealer lesen gespeicherte Passwörter und Sitzungs-Cookies aus dem Browser aus. Mit einem gültigen Cookie umgehen Täter sogar die Zwei-Faktor-Abfrage, weil das System die Sitzung für bereits angemeldet hält.

Meilendiebstahl durch Angriff auf den Menschen und die Telefonnummer

Täter rufen den Kundenservice an, geben sich als Kontoinhaber aus und nennen Daten aus einem Datenleck, etwa Geburtsdatum und Adresse. Parallel funktioniert SIM-Swapping: Der Täter lässt die Rufnummer auf eine eigene SIM-Karte portieren und fängt die SMS-TAN ab. Das BSI hält die SMS-TAN deshalb für das schwächste der gängigen Verfahren.

Fehler und Angriffe beim Anbieter

Auch die Betreiberseite ist eine Fehlerquelle. Am 9. Dezember 2019 kam es bei Miles & More zu einer technischen Störung, bei der angemeldete Nutzer fremde Profile mit Namen und Meilenständen sehen konnten. 2025 griff die Tätergruppe Scattered Spider mehrere Fluggesellschaften an, unter anderem Qantas, WestJet und Hawaiian Airlines. Der Einstieg gelang über Servicedesks und Dienstleister, nicht über die Kunden.

Meilenhandel und falsche Verkaufsportale

Der Handel mit Meilen ist nach Ziffer 2.1.3 der Teilnahmebedingungen von Miles & More verboten. Wer Meilen trotzdem über ein Portal verkaufen will, übergibt seine Zugangsdaten an Unbekannte. Danach ist das Konto leer und der Teilnehmer steht zusätzlich im Verdacht, selbst gegen die Bedingungen verstoßen zu haben.

Was machen Täter mit den Meilen?

Die Täter buchen Prämienflüge auf fremde Namen, wandeln Meilen in Gutscheine um und bestellen Elektronik im Prämienshop. Eine besonders unangenehme Variante ist der Meilen-Pool. In einem Fall wurden die Meilen eines Mandanten ohne Zustimmung in einen Pool übertragen und dort von einer dritten Person genutzt. Nach den Pooling-Bedingungen ist die Aufnahme in einen Pool nur mit Zustimmung des eingeladenen Teilnehmers zulässig. Fehlt sie, ist der Transfer unwirksam.

Sofortmaßnahmen bei gestohlenen Meilen

Handeln Sie am selben Tag. Jede Stunde erhöht das Risiko, dass Prämien abgeflogen und die Meilen nicht mehr rückverfolgbar sind.

• Konto sperren: Rufen Sie den Kundenservice der Airline an und lassen Sie Ihr Meilenkonto sofort sperren. Bestehen Sie auf einer schriftlichen Bestätigung mit Uhrzeit.
• Passwörter ändern: Ändern Sie die PIN für Ihr Meilenkonto und das Passwort Ihrer verknüpften E-Mail-Adresse. Nutzen Sie dafür ein anderes, geprüftes Gerät und aktivieren Sie eine Zwei-Faktor-Authentisierung, am besten mit App oder Sicherheitsschlüssel.
• Umsätze prüfen: Kontrollieren Sie die letzten Aktivitäten auf Ihrem Konto und notieren Sie jede unberechtigte Flug- oder Prämienbuchung mit Datum, Meilenzahl und Buchungsnummer. Sichern Sie Bildschirmfotos, bevor der Anbieter die Ansicht sperrt.
• Polizei einschalten: Erstatten Sie online oder bei einer Dienststelle Anzeige wegen Datenmissbrauchs und Betrugs. In Betracht kommen das Ausspähen von Daten nach Paragraf 202a StGB und der Computerbetrug nach Paragraf 263a StGB. Das Aktenzeichen hilft später gegenüber dem Anbieter.

Tipp: Lassen Sie die Strafanzeige über uns direkt bei der Staatsanwaltschaft einreichen. Sie sparen sich einen Termin und wir reichen die Anzeige sofort digital ein. Prüfen Sie zusätzlich Ihr E-Mail-Postfach auf Weiterleitungsregeln.

Die rechtliche Anspruchsgrundlage

Ihr Anspruch auf Wiederherstellung verlorener Meilen folgt aus dem Teilnahmevertrag mit dem Bonusprogramm. Gesammelte Meilen sind vertraglich zugesagte Bonusansprüche. Ein Dritter kann diesen Anspruch nicht zum Erlöschen bringen. Wurden die Meilen ohne Ihre Autorisierung eingelöst, besteht Ihr Erfüllungsanspruch fort und Sie verlangen die Wiedergutschrift.

Entscheidend ist die Beweislast. Wer sich darauf beruft, der Anspruch sei durch Einlösung erfüllt, muss die wirksame Autorisierung beweisen. Die bloße Verwendung der richtigen Zugangsdaten genügt dafür nicht. Der Bundesgerichtshof hat für das Online-Banking entschieden, dass bei missbräuchlicher Nutzung kein Anscheinsbeweis für ein grob fahrlässiges Verhalten des Kontoinhabers spricht (BGH, Urteil vom 26. Januar 2016, Az. XI ZR 91/14). Der Betreiber muss zunächst darlegen, dass sein Sicherungsverfahren praktisch unüberwindbar war und fehlerfrei funktioniert hat. Diese Grundsätze sind auf Bonusprogramme übertragbar, auch wenn Meilen kein Zahlungsdienst im Sinne der Paragrafen 675c ff. BGB sind.

Ehrlich bleibt festzuhalten: Ziffer 1.3 der Teilnahmebedingungen von Miles & More schließt die Haftung aus, wenn der Teilnehmer sein Konto nicht mit der angebotenen Zwei- oder Multi-Faktor-Authentifizierung geschützt hat. Diese Klausel ist angreifbar, soweit sie die Haftung auch für Organisationsmängel des Betreibers ausschließt, weil sie den Teilnehmer dann entgegen Paragraf 307 BGB unangemessen benachteiligt. Wer die Zwei-Faktor-Authentisierung aktiviert hatte, steht deutlich besser.

Daneben greift das Datenschutzrecht. Der Betreiber schuldet nach Artikel 32 DSGVO angemessene technische und organisatorische Maßnahmen. Beruht der Missbrauch auf einem Sicherheitsmangel, kommt ein Schadensersatzanspruch nach Artikel 82 DSGVO hinzu. Der Bundesgerichtshof hat entschieden, dass bereits der bloße Kontrollverlust über personenbezogene Daten einen ersatzfähigen immateriellen Schaden darstellt (BGH, Urteil vom 18. November 2024, Az. VI ZR 10/24).

Sehr wirksam ist der Auskunftsanspruch aus Artikel 15 DSGVO. Fordern Sie die Zugriffsprotokolle, IP-Adressen, Gerätekennungen und den Schriftverkehr zu Ihrem Konto an. Damit lässt sich oft belegen, dass der Zugriff aus einem anderen Land oder von einem unbekannten Gerät erfolgte. Ansprüche verjähren regelmäßig in drei Jahren zum Jahresende, Paragraf 195 BGB. Warten Sie trotzdem nicht ab, denn Protokolldaten werden oft nach wenigen Monaten gelöscht.

Musterschreiben an das Bonusprogramm

Das folgende Muster passt für Phishing, Credential Stuffing, Pool-Missbrauch und Prämienbetrug. Passen Sie die eckigen Klammern an. Versenden Sie das Schreiben per E-Mail und zusätzlich per Einschreiben.

Betreff: Unbefugte Nutzung meines Teilnehmerkontos Nr. [Kontonummer], Forderung auf Wiedergutschrift der Meilen

Sehr geehrte Damen und Herren,

ich bin Teilnehmer Ihres Vielfliegerprogramms und Inhaber des Kontos Nr. [Kontonummer].

Am [Datum] habe ich festgestellt, dass von meinem Konto [Anzahl] Meilen ohne meine Kenntnis und ohne meine Zustimmung abgebucht wurden. Im Einzelnen handelt es sich um folgende Vorgänge: [Datum, Vorgang, Meilenzahl, Buchungsnummer].

Ich habe diese Vorgänge weder veranlasst noch genehmigt. Ich habe meine Zugangsdaten nicht an Dritte weitergegeben, nicht auf Phishing-Nachrichten reagiert und mein Passwort nicht mehrfach verwendet. Den Vorfall habe ich am [Datum] bei der Polizei [Dienststelle] unter dem Aktenzeichen [Az.] angezeigt.

Die auf meinem Konto gesammelten Meilen sind vertraglich gewährte Bonusansprüche. Da sie durch einen unbefugten Zugriff abgebucht wurden, ist mein Erfüllungsanspruch nicht erloschen. Ich verlange die Wiederherstellung des vertragsgemäßen Zustands.

Die Beweislast dafür, dass die Einlösung durch mich wirksam autorisiert war, liegt bei Ihnen. Allein die Nutzung der korrekten Zugangsdaten beweist nicht, dass ich selbst gehandelt habe. Sie sind verpflichtet, angemessene technische und organisatorische Maßnahmen zum Schutz der Kundenkonten zu treffen, Artikel 32 DSGVO. Ich muss davon ausgehen, dass dies hier nicht oder nur unzureichend erfolgt ist.

Ich fordere Sie daher auf,

1. die abhandengekommenen [Anzahl] Meilen meinem Konto wieder gutzuschreiben,

2. mein Konto zu sperren und mir neue Zugangsdaten auszustellen,

3. mir nach Artikel 15 DSGVO Auskunft über sämtliche Zugriffe auf mein Konto im Zeitraum [Zeitraum] zu erteilen, einschließlich Zugriffsprotokollen, IP-Adressen, Gerätekennungen, Änderungen der Kontaktdaten und des gesamten Schriftverkehrs.

Hierfür setze ich Ihnen eine Frist bis zum [Datum, 14 Tage].

Nach fruchtlosem Fristablauf werde ich anwaltliche Hilfe in Anspruch nehmen und gerichtliche Schritte einleiten. Weitergehende Ansprüche, insbesondere auf Schadensersatz nach Artikel 82 DSGVO und auf Erstattung der Rechtsverfolgungskosten, behalte ich mir ausdrücklich vor.

Mit freundlichen Grüßen

[Name]

Warum Maisch.law der richtige Ansprechpartner ist

Dr. Marc Maisch ist Fachanwalt für IT-Recht in München und externer Datenschutzbeauftragter. Er hat über 3.000 Mandanten in Cybercrime-Fällen vertreten, von Kontoübernahmen über Phishing bis zu Krypto-Betrug. Diese Kombination aus IT-Recht, Datenschutzrecht und IT-Forensik ist beim Meilendiebstahl entscheidend, weil der Streit fast immer über die Beweise geführt wird. Die Kanzlei sichert Protokolldaten, setzt Auskunftsansprüche durch und verhandelt mit dem Anbieter.

FAQ

Wie schnell muss ich einen Meilendiebstahl melden?

Melden Sie den Verlust am Tag der Entdeckung. Die Teilnahmebedingungen verlangen eine unverzügliche Benachrichtigung des Service Teams bei Missbrauchsverdacht. Eine späte Meldung schwächt Ihre Position, weil der Anbieter einwendet, er hätte die Prämienbuchung sonst noch stornieren können.

Wer muss beweisen, dass ich die Prämienbuchung selbst veranlasst habe?

Der Anbieter muss die wirksame Autorisierung beweisen. Er beruft sich darauf, dass sein Anspruch durch Einlösung erfüllt sei, und trägt deshalb die Darlegungs- und Beweislast. Die Verwendung der richtigen Zugangsdaten genügt dafür nicht. Der Bundesgerichtshof hat für das Online-Banking klargestellt, dass kein Anscheinsbeweis gegen den Kontoinhaber spricht.

Bekomme ich gestohlene Meilen immer zurück?

Nein, denn eine Erstattung scheidet aus, wenn der Anbieter eine grobe Pflichtverletzung nachweist, etwa die Eingabe der PIN auf einer Phishing-Seite trotz klarer Warnung oder die Weitergabe der Zugangsdaten an ein Meilenverkaufsportal. Ohne aktivierte Zwei-Faktor-Authentisierung wird der Anbieter zusätzlich auf seine Haftungsklausel verweisen. Die Erfolgsaussichten hängen vom Einzelfall ab.

Kann ich Schadensersatz nach der DSGVO verlangen?

Ja, wenn der Missbrauch auf einem Sicherheitsmangel des Anbieters beruht. Artikel 82 DSGVO gibt einen Anspruch auf Ersatz materieller und immaterieller Schäden. Der Bundesgerichtshof hat entschieden, dass bereits der Kontrollverlust über personenbezogene Daten ein ersatzfähiger Schaden ist. Die Beträge liegen in solchen Fällen allerdings meist im unteren dreistelligen Bereich.

Lohnt sich eine Strafanzeige bei gestohlenen Meilen?

Ja, denn eine Anzeige dokumentiert den Vorfall mit Datum und Aktenzeichen und erhöht den Druck auf den Anbieter. Strafrechtlich kommen das Ausspähen von Daten nach Paragraf 202a StGB und der Computerbetrug nach Paragraf 263a StGB in Betracht. Über Akteneinsicht erhalten Sie später oft Hinweise auf den Täter.

Wie schütze ich mein Meilenkonto wirksam?

Aktivieren Sie die Zwei-Faktor-Authentisierung, am besten mit Authenticator-App oder Sicherheitsschlüssel. Vergeben Sie für das Meilenkonto und das verknüpfte E-Mail-Postfach je ein eigenes langes Passwort aus einem Passwortmanager. Kontrollieren Sie den Meilenstand monatlich und geben Sie die Adresse des Programms immer selbst im Browser ein.

Was kostet die anwaltliche Durchsetzung?

Die Kosten richten sich nach dem Gegenstandswert, also dem Geldwert der gestohlenen Meilen, und dem Rechtsanwaltsvergütungsgesetz. Viele Rechtsschutzversicherungen übernehmen den Vertragsrechtsschutz für solche Fälle. Ist der Anbieter im Verzug, schuldet er die Kosten der Rechtsverfolgung. Maisch.law nennt Ihnen die voraussichtlichen Kosten vor der Beauftragung.

Nützliche Quellen

Sicherheitshinweise von Miles & More zum Phishing (https://www.miles-and-more.com/de/de/general-information/privacy-statement/security-advice-phishing.html): Der Betreiber erklärt, welche Nachrichten niemals von ihm stammen.

Erste Hilfe bei gehackten Onlinekonten, Verbraucherzentrale (https://www.verbraucherzentrale.de/wissen/digitale-welt/datenschutz/erste-hilfe-bei-gehackten-onlinekonten-63228): Eine Anleitung für die ersten Stunden nach dem Angriff.

Zwei-Faktor-Authentisierung, BSI (https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Cyber-Sicherheitsempfehlungen/Accountschutz/Zwei-Faktor-Authentisierung/zwei-faktor-authentisierung_node.html): Welche Verfahren wirklich schützen und warum die SMS-TAN das schwächste ist.

Cybercrime-Beratung von Maisch.law (https://www.maisch.law/leistungen/cybercrime/): Das Leistungsangebot der Kanzlei bei Kontoübernahmen, Phishing und digitalem Vermögensverlust.

Ihre Meilen sind weg? Melden Sie sich

Wenn Meilen von Ihrem Konto verschwunden sind, prüfen wir Ihren Fall und fordern die Wiedergutschrift ein. Schreiben Sie uns gerne über das Kontaktformular auf www.maisch.law und halten Sie Kontoübersicht, Schriftverkehr und polizeiliches Aktenzeichen bereit. Wir sagen Ihnen offen, wie Ihre Chancen stehen.