Phishing-Opfer dürfen nach einem nicht autorisierten Zahlungsvorgang grundsätzlich eine schnelle Erstattung von ihrer Bank verlangen. Der Europäische Gerichtshof hat mit Urteil vom 15.10.2026, Az. C-70/25, klargestellt: Der Vorwurf grober Fahrlässigkeit reicht nicht aus, um die Rückzahlung zunächst zu verweigern.
Im entschiedenen Fall hatte eine Bankkundin auf einer gefälschten Internetseite ihre Zugangsdaten eingegeben. Ein Betrüger nutzte die Daten und überwies rund 700 Euro auf sein eigenes Konto. Die Bank lehnte die Erstattung ab, weil sie der Kundin vorwarf, ihre personalisierten Sicherheitsmerkmale nicht ausreichend geschützt zu haben.
Der EuGH trennt nun deutlich zwischen der sofortigen Erstattung und der späteren Frage, wer den Verlust endgültig trägt. Für Bankkunden ist das eine wichtige Klarstellung, weil die Bank eine behauptete grobe Fahrlässigkeit beweisen muss, wenn sie den Schaden später ersetzt verlangen will.
Worum es beim Phishing-Opfer vor dem EuGH ging
Ausgangspunkt der Entscheidung war ein typischer Online-Banking-Betrug. Eine Kundin einer polnischen Bank bot auf einer Online-Verkaufsplattform einen Artikel zum Verkauf an. Ein Dritter gab sich als Kaufinteressent aus und übersandte ihr einen Link. Dieser Link sollte angeblich der Bestätigung des Verkaufs dienen.
Tatsächlich führte der Link auf eine gefälschte Seite der Verkaufsplattform. Von dort gelangte die Kundin auf eine weitere Internetseite, die der Webseite ihrer Bank täuschend ähnlich sah. Dort gab sie ihre Zugangsdaten für das Online-Banking ein. Der Betrüger nutzte diese Daten, um rund 700 Euro auf ein eigenes Konto zu überweisen.
Am folgenden Tag meldete die Kundin den Vorgang ihrer Bank. Diese verweigerte die Erstattung. Sie war der Ansicht, die Kundin habe ihre Zugangsdaten nicht ausreichend geschützt und dadurch grob fahrlässig gehandelt.
Die Kundin klagte auf Erstattung. Das polnische Gericht sah für die Entscheidung des Rechtsstreits Fragen des europäischen Rechts als maßgeblich an und wandte sich im Wege eines Vorabentscheidungsersuchens an den EuGH. Der Gerichtshof entscheidet nach Art. 267 AEUV verbindlich über die Auslegung von EU-Recht, wenn nationale Gerichte ihm entsprechende Fragen vorlegen.
Zahlungsdiensterichtlinie und BGB: Die rechtliche Ausgangslage
Im Mittelpunkt steht die Zweite Zahlungsdiensterichtlinie, die Richtlinie (EU) 2015/2366, kurz PSD II. Sie regelt unter anderem, wie Zahlungsdienstleister und Kunden mit nicht autorisierten Zahlungsvorgängen umgehen müssen. Ein Zahlungsvorgang ist nicht autorisiert, wenn der Kunde ihm rechtlich nicht zugestimmt hat.
Art. 73 Abs. 1 PSD II verpflichtet den Zahlungsdienstleister, den Betrag eines nicht autorisierten Zahlungsvorgangs unverzüglich zu erstatten. Die Erstattung muss spätestens bis zum Ende des folgenden Geschäftstags erfolgen, nachdem der Zahlungsdienstleister von dem Vorgang Kenntnis erhalten hat oder darüber unterrichtet wurde.
Die Norm enthält nach der Faktenbasis eine ausdrückliche Ausnahme. Die Bank darf die unverzügliche Erstattung nur dann verweigern, wenn konkrete beziehungsweise berechtigte Gründe für den Verdacht bestehen, dass der Kunde selbst betrügerisch gehandelt hat, und wenn diese Gründe der zuständigen nationalen Behörde schriftlich mitgeteilt werden.
Daneben regelt Art. 74 Abs. 1 PSD II, dass ein Kunde den entstandenen Verlust grundsätzlich selbst tragen muss, wenn er vorsätzlich oder grob fahrlässig gehandelt hat. Art. 69 Abs. 2 PSD II verpflichtet Nutzer von Zahlungsdiensten außerdem, personalisierte Sicherheitsmerkmale vor unbefugtem Zugriff zu schützen.
In Deutschland finden sich die entsprechenden Regeln insbesondere in den §§ 675c ff. BGB. Für den Erstattungsanspruch ist § 675u BGB zentral. Danach ist der Zahlungsdienstleister verpflichtet, den Zahlungsbetrag unverzüglich zu erstatten und ein belastetes Zahlungskonto wieder auf den Stand zu bringen, auf dem es sich ohne die nicht autorisierte Belastung befunden hätte. Ein möglicher Ersatzanspruch der Bank bei vorsätzlicher oder grob fahrlässiger Pflichtverletzung des Kunden richtet sich nach § 675v Abs. 3 BGB. Die Beweislastfragen werden in der Faktenbasis außerdem mit § 675w BGB verbunden.
Warum Phishing-Opfer zunächst Erstattung verlangen können
Der EuGH hat die Vorlagefrage zugunsten der Bankkundin beantwortet. Nach seiner Entscheidung muss der Zahlungsdienstleister den Betrag eines nicht autorisierten Zahlungsvorgangs grundsätzlich unverzüglich erstatten, spätestens bis zum Ende des folgenden Geschäftstags nach der Meldung oder Kenntniserlangung.
Entscheidend ist die Trennung zweier Ebenen. Die erste Ebene betrifft den Erstattungsanspruch des Kunden. Die zweite Ebene betrifft die spätere Frage, wer den Verlust wirtschaftlich endgültig tragen muss. Diese Unterscheidung ist für Phishing-Opfer besonders wichtig, weil Banken die Erstattung bislang häufig mit dem Hinweis auf eine angebliche grobe Fahrlässigkeit ablehnten.
Der EuGH stellt klar, dass der Vorwurf grober Fahrlässigkeit die Pflicht zur unverzüglichen Erstattung nicht beseitigt. Die Bank darf die Rückzahlung also nicht allein deshalb verweigern oder aufschieben, weil sie meint, der Kunde habe auf einen betrügerischen Link geklickt, Zugangsdaten eingegeben oder Sicherheitsmerkmale nicht ausreichend geschützt.
Eine Ausnahme kommt nach Art. 73 Abs. 1 PSD II nur in Betracht, wenn die Bank berechtigte Gründe für den Verdacht hat, dass der Kunde selbst einen Betrug begangen hat, und diese Gründe der zuständigen nationalen Behörde schriftlich mitteilt. Grobe Fahrlässigkeit ist nach der Entscheidung des EuGH nicht mit einem Betrugsverdacht gegen den Kunden gleichzusetzen.
Der Gerichtshof begründet dies mit dem Ziel eines hohen Verbraucherschutzniveaus. Wenn Banken die Erstattung bereits durch den bloßen Hinweis auf grobe Fahrlässigkeit verweigern könnten, müsste der Kunde regelmäßig selbst klagen, um sein Geld zurückzuerhalten. Dadurch würde die gesetzlich vorgesehene schnelle Erstattung erheblich entwertet.
Beweislast, grobe Fahrlässigkeit und spätere Rückforderung
Das Urteil bedeutet nicht, dass Kunden bei jedem Phishing-Fall endgültig von jeder Haftung frei sind. Der EuGH hebt ausdrücklich hervor, dass die Bank in einem zweiten Schritt unter bestimmten Voraussetzungen Ersatz der Verluste verlangen kann. Dafür muss sie aber nachweisen, dass der Kunde seine Pflichten vorsätzlich oder grob fahrlässig verletzt hat.
Grobe Fahrlässigkeit bedeutet in diesem Zusammenhang mehr als ein einfacher Fehler oder eine Unachtsamkeit. Nach der Faktenbasis kommt es auf die Pflicht an, personalisierte Sicherheitsmerkmale vor unbefugtem Zugriff zu schützen. Ob diese Pflicht grob fahrlässig verletzt wurde, lässt sich nicht pauschal aus dem bloßen Erfolg des Betrugs ableiten.
Gerade moderne Phishing-Angriffe können täuschend echt gestaltet sein. Im Ausgangsfall führte der betrügerische Ablauf über eine gefälschte Verkaufsplattform und anschließend auf eine Seite, die der Bankwebseite ähnelte. Aus Sicht des EuGH genügt der Vorwurf, die Kundin habe dadurch grob fahrlässig gehandelt, nicht für eine Verweigerung der sofortigen Erstattung.
Für die spätere Verlustverteilung trägt die Bank die Beweislast. Sie muss darlegen und beweisen, dass der Kunde seine Pflichten vorsätzlich oder grob fahrlässig verletzt hat und dass die Verluste darauf zurückzuführen sind. Pauschale Hinweise auf die Nutzung richtiger Zugangsdaten oder auf eine technische Authentifizierung reichen nach der in der Faktenbasis dargestellten Rechtslage nicht ohne Weiteres aus.
§ 675w BGB verdeutlicht diesen Gedanken für das deutsche Recht. Die Aufzeichnung der Nutzung eines Zahlungsinstruments einschließlich der Authentifizierung genügt allein nicht notwendigerweise, um eine Autorisierung, ein betrügerisches Verhalten oder eine vorsätzliche beziehungsweise grob fahrlässige Pflichtverletzung nachzuweisen. Die Bank benötigt unterstützende Beweismittel.
Einordnung für deutsche Bankkunden
Die Entscheidung des EuGH betrifft die Auslegung der PSD II und ist damit auch für die deutsche Anwendung der §§ 675c ff. BGB bedeutsam. § 675u BGB enthält bereits den Grundsatz, dass die Bank bei einem nicht autorisierten Zahlungsvorgang den Betrag unverzüglich erstatten und das Konto wieder auf den richtigen Stand bringen muss.
In der Praxis hatten Banken Erstattungen häufig unter Hinweis auf § 675v Abs. 3 BGB abgelehnt. Danach kann ein Kunde zum Ersatz des Schadens verpflichtet sein, wenn er durch eine vorsätzliche oder grob fahrlässige Verletzung seiner Pflichten den Schaden herbeigeführt hat. Nach der Faktenbasis wurde in Deutschland außerdem diskutiert, ob der Erstattungsanspruch über den Einwand unzulässiger Rechtsausübung nach § 242 BGB zu Fall gebracht werden kann.
In der Faktenbasis ist genannt, dass der BGH mit Urteil vom 22.07.2025, Az. XI ZR 107/24, eine solche Handhabung gebilligt hatte. Außerdem hatte das OLG Oldenburg 2025 in einem ähnlichen Fall einen Erstattungsanspruch wegen grober Fahrlässigkeit unter Bezug auf § 675v Abs. 3 Nr. 2 BGB abgelehnt.
Das EuGH-Urteil verschiebt den Schwerpunkt. Die Bank muss zunächst erstatten, sofern keine der ausdrücklich genannten Ausnahmen greift. Will sie den Betrag später vom Kunden zurückverlangen, muss sie ihren Anspruch gesondert begründen und die Voraussetzungen nachweisen. Das Geld liegt während des Streits damit nicht mehr automatisch bei der Bank.
Auch eine weitere Entscheidung aus der Faktenbasis zeigt, dass grobe Fahrlässigkeit keine Selbstverständlichkeit ist. Das OLG Koblenz hat mit Urteil vom 17.04.2026, Az. 8 U 682/24, eine Bank nach einem Fake-Anruf mit angeblicher Push-TAN-Umstellung zur Erstattung von über 56.000 Euro verurteilt, weil sie die grobe Fahrlässigkeit nicht beweisen konnte.
Folgen für die Praxis
Für Verbraucher bedeutet die EuGH-Entscheidung, dass sie eine pauschale Ablehnung nach Phishing oder Online-Banking-Betrug nicht ungeprüft hinnehmen sollten. Wenn eine Zahlung nicht autorisiert war, kommt ein Anspruch auf unverzügliche Erstattung nach § 675u BGB in Betracht. Der Vorwurf grober Fahrlässigkeit genügt nach der Entscheidung C-70/25 nicht, um die Erstattung zunächst zu blockieren.
Betroffene sollten den nicht autorisierten Zahlungsvorgang so schnell wie möglich ihrer Bank melden. Die Faktenbasis nennt zudem die Frist des § 676b Abs. 2 BGB: Die Bank muss grundsätzlich spätestens 13 Monate nach der Belastung unterrichtet werden. Unabhängig davon ist eine zeitnahe Meldung wichtig, weil die Erstattungspflicht an die Kenntnis beziehungsweise Anzeige des Zahlungsvorgangs anknüpft.
Wichtig ist außerdem, Beweise zu sichern. Dazu gehören Nachrichten, E-Mails, SMS, Screenshots, Kontoauszüge, Anruflisten und ein Gedächtnisprotokoll zum Ablauf. Diese Unterlagen können entscheidend sein, wenn später gestritten wird, ob eine Zahlung autorisiert war oder ob die Bank einen Vorwurf grober Fahrlässigkeit beweisen kann.
Solo-Selbständige und kleine Unternehmen sollten ihre internen Abläufe für Online-Banking-Vorgänge überprüfen. Wer Zahlungsfreigaben dokumentiert, verdächtige Nachrichten intern festhält und unklare Vorgänge sofort meldet, schafft eine bessere Grundlage für die spätere rechtliche Prüfung. Auch bei betrieblichen Konten kann die Unterscheidung zwischen technischer Authentifizierung und rechtlicher Autorisierung bedeutsam sein, soweit ein nicht autorisierter Zahlungsvorgang im Raum steht.
Bankkunden sollten Erklärungen oder Fragebögen der Bank nicht vorschnell unterschreiben, wenn sie den Inhalt nicht sicher einschätzen können. Solche Angaben können später für die Bewertung des Ablaufs herangezogen werden. Sinnvoll ist es, den Sachverhalt zunächst vollständig zu rekonstruieren und dann gezielt die Erstattung zu verlangen.
Häufige Fragen
Muss die Bank nach einem Phishing-Angriff immer endgültig zahlen?
Nein. Der EuGH entscheidet über die Pflicht zur unverzüglichen Erstattung bei nicht autorisierten Zahlungsvorgängen. Die Bank kann später Ersatz verlangen, wenn sie nachweist, dass der Kunde vorsätzlich oder grob fahrlässig seine Pflichten verletzt hat und der Verlust darauf beruht.
Darf die Bank die Erstattung wegen grober Fahrlässigkeit verweigern?
Nach dem Urteil des EuGH vom 15.10.2026, Az. C-70/25, darf die Bank die unverzügliche Erstattung nicht allein mit dem Vorwurf grober Fahrlässigkeit verweigern. Eine Ausnahme besteht nur bei berechtigten Gründen für den Verdacht eines Betrugs durch den Kunden und schriftlicher Mitteilung an die zuständige nationale Behörde.
Wer muss grobe Fahrlässigkeit beweisen?
Die Bank muss beweisen, dass der Kunde vorsätzlich oder grob fahrlässig gehandelt hat. Der EuGH stellt ausdrücklich klar, dass der Zahlungsdienstleister diesen Nachweis erbringen muss, wenn er später Ersatz der Verluste verlangt.
Welche Frist gilt für die Meldung an die Bank?
Nach der Faktenbasis muss die Bank grundsätzlich spätestens 13 Monate nach der Belastung unterrichtet werden, § 676b Abs. 2 BGB. Wer einen nicht autorisierten Zahlungsvorgang bemerkt, sollte ihn dennoch unverzüglich melden.
Gilt das Urteil auch für deutsche Bankkunden?
Ja, die Entscheidung betrifft die Auslegung der europäischen Zahlungsdiensterichtlinie PSD II. Diese wurde in Deutschland insbesondere durch die §§ 675c ff. BGB umgesetzt. Deshalb ist das Urteil auch für die Anwendung von § 675u BGB und § 675v BGB in Deutschland wichtig.
Fazit
Der EuGH stärkt mit seinem Urteil vom 15.10.2026, Az. C-70/25, die Position von Bankkunden bei Phishing und Online-Banking-Betrug. Bei nicht autorisierten Zahlungsvorgängen muss die Bank grundsätzlich unverzüglich erstatten, spätestens bis zum Ende des folgenden Geschäftstags nach Kenntnis oder Anzeige. Der bloße Vorwurf grober Fahrlässigkeit reicht nicht aus, um diese Erstattung zu verweigern.
Die endgültige Verlustverteilung ist davon zu trennen. Wenn die Bank meint, der Kunde habe vorsätzlich oder grob fahrlässig gehandelt, muss sie dies in einem zweiten Schritt darlegen und beweisen. Für Betroffene kann diese Unterscheidung entscheidend sein, weil sie nicht schon wegen einer pauschalen Ablehnung der Bank auf den gesamten Schaden verwiesen werden dürfen.
Unterstützung nach Online-Banking-Betrug
Wenn Ihre Bank nach einem Phishing-Angriff oder einer nicht autorisierten Online-Banking-Überweisung die Erstattung verweigert, können Sie den Fall rechtlich prüfen lassen. LEGAL SMART bewertet, ob ein Erstattungsanspruch in Betracht kommt, welche Einwände der Bank tragfähig sind und welche nächsten Schritte sinnvoll erscheinen.
Für die Prüfung sind insbesondere der zeitliche Ablauf, die Mitteilungen der Bank, Kontoauszüge und vorhandene Nachrichten oder Screenshots wichtig. Auf dieser Grundlage lässt sich einschätzen, ob die Bank zunächst erstatten muss oder ob ein nachweisbarer Einwand wegen vorsätzlicher oder grob fahrlässiger Pflichtverletzung im Raum steht.
Dieser Beitrag gibt den Stand zum Zeitpunkt der Veröffentlichung wieder und ersetzt keine individuelle Rechtsberatung.