EuGH stärkt Bankkunden bei Phishing: Banken müssen unberechtigte Abbuchungen unverzüglich erstatten

Phishing-Betrug: Kundin verliert nach gefälschtem Bank-Login rund 700 Euro

Ausgangspunkt des Verfahrens vor dem Europäischen Gerichtshof war ein Betrugsfall in Polen. Eine Bankkundin hatte einen Artikel über eine Online-Verkaufsplattform zum Verkauf angeboten. Daraufhin meldete sich ein vermeintlicher Interessent und übersandte ihr einen Link. Über diesen sollte sie angeblich den Verkauf bestätigen.

Tatsächlich führte der Link auf eine manipulierte Internetseite, die das Erscheinungsbild ihrer Bank nachahmte. Die Frau gab dort ihre Zugangsdaten für das Online-Banking ein. Der Betrüger nutzte diese Informationen anschließend, um ohne ihre Zustimmung eine Überweisung über umgerechnet etwa 700 Euro auszuführen. Obwohl die Kundin den Vorfall bereits am folgenden Tag meldete, lehnte die Bank eine Rückzahlung ab. Sie vertrat die Auffassung, die Frau habe den Schaden durch grob fahrlässiges Verhalten selbst verursacht.

EuGH unterscheidet zwischen sofortiger Erstattung und späterer Kundenhaftung

Der Rechtsstreit warf eine grundlegende Frage des europäischen Zahlungsdiensterechts auf: Darf eine Bank die Erstattung einer nicht autorisierten Zahlung von vornherein verweigern, wenn sie dem Kontoinhaber grobe Fahrlässigkeit vorwirft?
Der EuGH beantwortete diese Frage zugunsten einer klaren zeitlichen und rechtlichen Trennung. Zunächst muss die Bank ihrer gesetzlichen Erstattungspflicht nachkommen. Ob der Kunde durch eine vorsätzliche oder grob fahrlässige Pflichtverletzung für den Schaden verantwortlich ist, betrifft einen möglichen anschließenden Ersatzanspruch des Kreditinstituts. Ein solcher Vorwurf beseitigt die ursprüngliche Erstattungspflicht nicht.

„Für geschädigte Bankkunden ist diese Unterscheidung von großer praktischer Bedeutung“, erklärt Rechtsanwalt Dr. Gerrit W. Hartung, Gründer und Geschäftsführer der Dr. Hartung Rechtsanwaltsgesellschaft mbH. „Eine Bank kann die Rückzahlung einer nicht autorisierten Überweisung grundsätzlich nicht allein mit der Behauptung verweigern, der Kunde habe seine Zugangsdaten grob fahrlässig preisgegeben. Sie muss zunächst erstatten. Ob anschließend ein Schadensersatzanspruch gegen den Kunden besteht, ist gesondert zu prüfen.“

Die Dr. Hartung Rechtsanwaltsgesellschaft mbH vertritt Verbraucher unter anderem im Bank- und Kapitalmarktrecht. Zu ihren Tätigkeitsschwerpunkten gehören Auseinandersetzungen mit Kreditinstituten wegen nicht autorisierter Online-Banking-Transaktionen, Phishing und anderer Formen des Kontobetrugs sowie die Durchsetzung entsprechender Erstattungs- und Schadensersatzansprüche.

Zahlungsdiensterichtlinie PSD2 verpflichtet Banken zur unverzüglichen Rückzahlung

Die rechtliche Grundlage der Entscheidung bildet Art. 73 Abs. 1 der europäischen Zahlungsdiensterichtlinie PSD2. Danach muss ein Zahlungsdienstleister den Betrag eines nicht autorisierten Zahlungsvorgangs grundsätzlich unverzüglich erstatten. Spätestens bis zum Ende des folgenden Geschäftstags muss die Rückzahlung erfolgen.
Eine ausdrücklich vorgesehene Ausnahme betrifft Fälle, in denen berechtigte Gründe für den Verdacht bestehen, dass der Kunde selbst betrügerisch gehandelt hat. Voraussetzung ist außerdem, dass der Zahlungsdienstleister diesen Verdacht der zuständigen nationalen Behörde schriftlich mitteilt.
Der Verdacht einer grob fahrlässigen Verletzung von Sorgfaltspflichten ist damit nicht gleichzusetzen. Selbst wenn die Bank davon ausgeht, dass ein Kunde seine persönlichen Sicherheitsmerkmale unzureichend geschützt hat, darf sie daraus nach der Entscheidung des EuGH nicht ohne Weiteres das Recht ableiten, die gesetzlich vorgesehene Erstattung zunächst zurückzuhalten.

Warum der Kunde sein Geld nicht erst einklagen müssen soll

Der Gerichtshof begründet seine Auslegung auch mit dem Schutzzweck der europäischen Zahlungsdiensterichtlinie. Könnte ein Kreditinstitut die Erstattung bereits durch den Vorwurf grober Fahrlässigkeit verweigern, müsste der betroffene Verbraucher zunächst selbst ein Gerichtsverfahren einleiten, um den abgebuchten Betrag zurückzuerhalten.
Damit wären die Kosten und Risiken eines Rechtsstreits zunächst auf den Kunden verlagert. Die gesetzliche Pflicht zur schnellen Erstattung könnte ihre praktische Wirkung weitgehend verlieren. Gerade dies soll die vom EuGH hervorgehobene Reihenfolge verhindern.

Die Entscheidung bedeutet allerdings nicht, dass Bankkunden unabhängig von ihrem eigenen Verhalten endgültig von jeder Haftung befreit wären. Hat der Kontoinhaber den Schaden durch eine vorsätzliche oder grob fahrlässige Verletzung seiner Pflichten verursacht, kann der Zahlungsdienstleister unter den gesetzlichen Voraussetzungen Ersatz verlangen. Die Beweislast für eine solche grobe Fahrlässigkeit liegt nach den Ausführungen des Gerichtshofs bei der Bank.

§ 675u BGB: Auch in Deutschland besteht eine gesetzliche Erstattungspflicht

Die europarechtlichen Vorgaben sind im deutschen Recht insbesondere in § 675u BGB umgesetzt. Bei einem nicht autorisierten Zahlungsvorgang steht dem Zahlungsdienstleister grundsätzlich kein Aufwendungsersatzanspruch gegen den Zahler zu. Wurde das Konto bereits belastet, muss die Bank den entsprechenden Betrag erstatten und den Kontostand wiederherstellen.
Die Erstattung hat grundsätzlich unverzüglich zu erfolgen, spätestens bis zum Ende des Geschäftstags, der auf die Anzeige des nicht autorisierten Zahlungsvorgangs folgt. Für betroffene Verbraucher ist diese Regelung der zentrale Ausgangspunkt, wenn Geld ohne ihre Zustimmung vom Konto überwiesen oder anderweitig abgebucht wurde.

Daneben enthält § 675v Abs. 3 BGB Vorschriften über die Haftung des Kunden. Verursacht dieser den Schaden durch eine vorsätzliche oder grob fahrlässige Verletzung seiner gesetzlichen oder vertraglichen Pflichten, kann die Bank unter den dort geregelten Voraussetzungen Ersatz des gesamten Schadens verlangen.

Authentifizierung einer Überweisung beweist noch keine grobe Fahrlässigkeit

In Streitigkeiten über Online-Banking-Betrug berufen sich Kreditinstitute häufig darauf, dass eine Überweisung technisch ordnungsgemäß authentifiziert worden sei. Beispielsweise wurden Zugangsdaten verwendet oder Sicherheitsverfahren erfolgreich durchlaufen. Allein daraus folgt jedoch nicht, dass der Kontoinhaber die Zahlung tatsächlich autorisiert oder seine Pflichten grob fahrlässig verletzt hat. Für einen entsprechenden Haftungsvorwurf benötigt die Bank weitere unterstützende Beweismittel.
Gerade bei Phishing-Angriffen ist deshalb sorgfältig zu untersuchen, wie die Täter an die benötigten Informationen gelangt sind, welche Sicherheitsmerkmale verwendet wurden und welche Handlungen der Kunde selbst vorgenommen hat. Der technische Ablauf einer Transaktion und ihre rechtliche Autorisierung sind nicht zwangsläufig identisch.

EuGH-Urteil stellt bisherige deutsche Rechtsprechung auf den Prüfstand

Besondere Bedeutung erhält die Entscheidung für den Umgang deutscher Gerichte mit möglichen Gegenansprüchen der Banken. In der bisherigen Rechtsprechung wurde der Erstattungsanspruch nach § 675u BGB teilweise zwar zunächst bejaht, anschließend aber durch einen Schadensersatzanspruch des Kreditinstituts wirtschaftlich unmittelbar ausgeglichen. Eine solche rechtliche Konstruktion kann dazu führen, dass der Verbraucher trotz eines grundsätzlich bestehenden Erstattungsanspruchs tatsächlich keine Rückzahlung erhält. Nach der Entscheidung des Europäischen Gerichtshofs muss nun geprüft werden, ob dieses Vorgehen mit der unionsrechtlich vorgeschriebenen unverzüglichen Erstattung vereinbar ist. Das betrifft insbesondere Konstellationen, in denen Kreditinstitute mit einem behaupteten Gegenanspruch aufrechnen oder sich auf § 242 BGB berufen, um eine Rückzahlung von vornherein zu verhindern. Entscheidend ist, ob dadurch die praktische Wirksamkeit der europäischen Erstattungspflicht unterlaufen wird.

Deutsche Gerichte müssen die Auslegung des EuGH berücksichtigen

„Die Entscheidung kann die bisherige Behandlung von Phishing-Fällen vor deutschen Gerichten erheblich verändern“, sagt Rechtsanwalt Dr. Gerrit W. Hartung. „Bislang wurde teilweise argumentiert, der Kunde habe zwar einen Erstattungsanspruch, dieser werde aber sofort durch einen Schadensersatzanspruch der Bank ausgeglichen. Nach den Vorgaben des EuGH muss kritisch hinterfragt werden, ob eine solche unmittelbare Neutralisierung mit der gesetzlich angeordneten vorherigen Erstattung vereinbar ist.“

Die Auslegung des europäischen Rechts durch den Gerichtshof ist nicht auf den polnischen Ausgangsfall beschränkt. Auch deutsche Gerichte müssen die Entscheidung berücksichtigen, wenn sie vergleichbare Rechtsfragen im Zusammenhang mit nicht autorisierten Zahlungsvorgängen beurteilen.

Nicht jeder Online-Banking-Betrug ist eine nicht autorisierte Zahlung

Trotz ihrer Bedeutung lässt sich die Entscheidung nicht uneingeschränkt auf sämtliche Formen des Online-Banking-Betrugs übertragen. Maßgeblich ist, dass tatsächlich ein nicht autorisierter Zahlungsvorgang vorliegt. Im entschiedenen Fall hatte die Bankkundin ihre Zugangsdaten auf einer gefälschten Internetseite eingegeben. Die anschließende Überweisung wurde jedoch vom Täter vorgenommen. Die Kundin hatte diese Zahlung weder selbst ausgelöst noch genehmigt.

Anders können Sachverhalte zu beurteilen sein, in denen Betrüger ihre Opfer durch Täuschung dazu bringen, selbst eine Überweisung vorzunehmen und freizugeben. Solche Fälle treten beispielsweise beim sogenannten Social Engineering oder bei telefonischen Betrugsmaschen auf. Ob die Zahlung dann rechtlich als autorisiert oder nicht autorisiert einzuordnen ist, bedarf einer eigenständigen Prüfung.

Grobe Fahrlässigkeit bleibt eine Frage des konkreten Einzelfalls

Der Europäische Gerichtshof hat in der Rechtssache C-70/25 nicht abschließend entschieden, ob die polnische Bankkundin durch die Eingabe ihrer Zugangsdaten auf der gefälschten Internetseite grob fahrlässig gehandelt hatte. Die Entscheidung betrifft vielmehr die Frage, welche rechtlichen Folgen ein entsprechender Vorwurf für die sofortige Erstattungspflicht hat. Ob tatsächlich eine grobe Fahrlässigkeit vorliegt und ob daraus ein Ersatzanspruch der Bank entsteht, muss anhand der konkreten Umstände beurteilt werden. Daher begründet das Urteil keinen allgemeinen Anspruch darauf, sämtliche Schäden aus Phishing, Telefonbetrug oder anderen Täuschungshandlungen unabhängig vom Ablauf des jeweiligen Zahlungsvorgangs ersetzt zu bekommen.

Nach einem Phishing-Angriff sollten Bankkunden sofort reagieren

Wer eine unbekannte Überweisung oder eine andere verdächtige Kontobelastung bemerkt, sollte den Vorfall unverzüglich gegenüber seiner Bank anzeigen. Zugleich sollten die betroffenen Zahlungsinstrumente beziehungsweise der Online-Banking-Zugang gesperrt werden, um weitere missbräuchliche Transaktionen zu verhindern. Für die spätere rechtliche Auseinandersetzung ist eine möglichst vollständige Dokumentation hilfreich. Dazu gehören Kontoauszüge und Buchungsdaten ebenso wie betrügerische E-Mails, SMS, Chatverläufe, Screenshots gefälschter Internetseiten, Anrufinformationen und der Schriftwechsel mit dem Kreditinstitut.
Besonders sorgfältig sollte festgehalten werden, welche Daten der Kunde eingegeben und welche Vorgänge er selbst bestätigt oder freigegeben hat. Diese Einzelheiten können ausschlaggebend dafür sein, ob eine Zahlung als nicht autorisiert einzustufen ist und welche Einwendungen die Bank anschließend erheben kann.

§ 676b BGB: Meldefristen bei unbefugten Kontobelastungen beachten

Neben der unverzüglichen Anzeige nach Kenntnis des Vorfalls sind die gesetzlichen Ausschlussfristen zu berücksichtigen. Nach § 676b BGB müssen nicht autorisierte Zahlungsvorgänge ohne schuldhaftes Zögern angezeigt werden. Daneben gilt grundsätzlich eine Ausschlussfrist von 13 Monaten ab der Belastung des Kontos. Für betroffene Verbraucher kann es deshalb nachteilig sein, eine verdächtige Abbuchung längere Zeit ungeklärt zu lassen.

Wer bereits eine ablehnende Entscheidung seiner Bank erhalten hat, sollte außerdem prüfen lassen, auf welche rechtlichen und tatsächlichen Argumente das Kreditinstitut seine Haltung gestützt hat. Insbesondere der pauschale Vorwurf grober Fahrlässigkeit kann nach der neuen EuGH-Entscheidung einer erneuten rechtlichen Bewertung bedürfen.

Bereits abgelehnte Erstattungsansprüche können erneut geprüft werden

Das Urteil vom 15. Oktober 2026 liefert Bankkunden eine wichtige zusätzliche Argumentationsgrundlage, wenn ihre Bank die Rückzahlung einer nicht autorisierten Transaktion allein wegen angeblich grob fahrlässigen Verhaltens verweigert hat. Das gilt insbesondere für Fälle, in denen das Kreditinstitut den fehlenden Autorisierungswillen des Kunden nicht bestreitet, sich aber darauf beruft, dieser habe den Betrug durch einen unsachgemäßen Umgang mit seinen Sicherheitsmerkmalen ermöglicht.

„Auch bei bereits zurückgewiesenen Erstattungsforderungen kann sich eine erneute rechtliche Prüfung lohnen“, erklärt Bankrechtsexperte Dr. Gerrit W. Hartung. „Wenn die Bank eine nicht autorisierte Zahlung nicht bestreitet, ihre Erstattung aber allein mit angeblicher grober Fahrlässigkeit verweigert, ist die Entscheidung des EuGH unmittelbar relevant. Sie verändert die rechtliche Ausgangslage für die Durchsetzung solcher Forderungen erheblich.“

Bankrecht nach dem EuGH-Urteil: Erstattungsanspruch und Kundenhaftung getrennt prüfen

Mit seinem Urteil in der Rechtssache C-70/25 stärkt der Europäische Gerichtshof die Position von Bankkunden, deren Konten durch nicht autorisierte Zahlungsvorgänge belastet wurden. Der Zahlungsdienstleister muss grundsätzlich zunächst erstatten. Ein möglicher Schadensersatzanspruch wegen vorsätzlicher oder grob fahrlässiger Pflichtverletzungen des Kunden ist davon rechtlich zu unterscheiden.
Für deutsche Phishing-Verfahren ist insbesondere die Frage relevant, ob Banken die gesetzliche Erstattungspflicht durch eine sofortige Aufrechnung oder andere rechtliche Einwendungen wirtschaftlich vollständig neutralisieren dürfen. Solche Ansätze müssen sich künftig an der Auslegung der PSD2 durch den EuGH messen lassen.

Betroffene sollten deshalb nicht allein aufgrund des Vorwurfs grober Fahrlässigkeit auf ihre Ansprüche verzichten. Entscheidend bleiben die tatsächliche Autorisierung der Zahlung, der konkrete Betrugsablauf, die gesetzlichen Haftungsvoraussetzungen und die vorhandenen Beweismittel. Eine frühzeitige bankrechtliche Prüfung kann klären, ob und in welchem Umfang ein Erstattungsanspruch gegen das Kreditinstitut durchsetzbar ist.