Phishing-Betrug: EuGH stärkt Bankkunden – Banken müssen gestohlenes Geld sofort erstatten
Wer Opfer eines Phishing-Betrugs wird, hat grundsätzlich Anspruch auf sofortige Erstattung des gestohlenen Geldes durch seine Bank. Das gilt selbst dann, wenn die Bank dem Kunden grobe Fahrlässigkeit vorwirft. Mit seinem Urteil vom 15. Oktober 2026 (Az. C-70/25, Tukowiecka) stärkt der Europäische Gerichtshof (EuGH) die Rechte von Bankkunden erheblich.
Die Entscheidung betrifft einen häufigen Streitfall: Betrüger verschaffen sich durch gefälschte Internetseiten Zugang zum Online-Banking und überweisen Geld auf fremde Konten. Viele Banken verweigern anschließend die Erstattung. Sie argumentieren, der Kunde habe seine Zugangsdaten nicht ausreichend geschützt.
Damit ist nach dem Urteil des EuGH zunächst Schluß.
Leitsatz: Bei Phishing muß die Bank zunächst zahlen
Eine Bank darf die unverzügliche Erstattung einer nicht autorisierten Überweisung nicht deshalb verweigern, weil sie ihrem Kunden grobe Fahrlässigkeit vorwirft.
Die Bank muß das Geld grundsätzlich sofort zurückzahlen. Erst anschließend darf sie prüfen, ob der Kunde den Schaden wegen einer grob fahrlässigen Pflichtverletzung selbst tragen muß, und gegebenenfalls einen entsprechenden Anspruch geltend machen.
Das Urteil trennt damit zwei Fragen: Wann muß die Bank erstatten? Und wer trägt den Schaden am Ende?
Tenor: EuGH verpflichtet Banken zur unverzüglichen Erstattung
Der EuGH entschied am 15. Oktober 2026 (C-70/25), daß Banken die sofortige Erstattung nicht autorisierter Zahlungen nicht mit dem Hinweis auf grobe Fahrlässigkeit verweigern dürfen.
Nach Art. 73 Abs. 1 der europäischen Zahlungsdiensterichtlinie (EU) 2015/2366 müssen Banken den Betrag grundsätzlich unverzüglich, spätestens bis zum Ende des folgenden Geschäftstags, erstatten, nachdem sie von der nicht autorisierten Zahlung erfahren haben.
Eine Ausnahme gilt, wenn die Bank berechtigte Gründe für den Verdacht hat, daß der Kunde selbst betrügerisch handelt, und diese Gründe der zuständigen Behörde schriftlich mitteilt.
In Deutschland regelt § 675u BGB diesen Erstattungsanspruch.
Sachverhalt: Gefälschte Bankseite führt zu einem Schaden von 705 Euro
Eine polnische Bankkundin bot einen Artikel auf einer Online-Verkaufsplattform an. Ein vermeintlicher Käufer schickte ihr einen Link, über den sie den Verkauf bestätigen sollte.
Der Link führte zunächst auf eine gefälschte Internetseite der Verkaufsplattform und anschließend auf eine Seite, die wie das Online-Banking ihrer Bank aussah.
Die Kundin gab dort ihre Zugangsdaten ein. Außerdem gelangte der Betrüger durch die Täuschung an einen SMS-Bestätigungscode.
Mit diesen Informationen überwies der Täter 3.000 polnische Zloty, umgerechnet etwa 705 Euro, auf sein eigenes Konto.
Die Kundin bemerkte den Betrug am nächsten Tag und informierte sofort ihre Bank und die Polizei.
Die Bank verweigerte die Erstattung. Ihre Begründung: Die Kundin habe ihre Zugangsdaten grob fahrlässig preisgegeben und damit den Schaden selbst verursacht.
Die Kundin klagte auf Rückzahlung. Das polnische Gericht legte den Fall dem EuGH vor.
Entscheidungsgründe: Warum die Bank zuerst erstatten muß
1. Die Bank darf nicht selbst über die Haftung entscheiden
Der EuGH stellt klar, daß die Pflicht zur sofortigen Erstattung unabhängig von der Frage besteht, ob der Kunde grob fahrlässig gehandelt hat.
Art. 73 der Zahlungsdiensterichtlinie verpflichtet die Bank zur unverzüglichen Erstattung. Art. 74 regelt dagegen, wer den Schaden endgültig trägt.
Die Bank darf diese beiden Regelungen nicht vermischen.
Das ist für Verbraucher entscheidend: Die Bank kann nicht einfach behaupten, der Kunde habe grob fahrlässig gehandelt, und deshalb die Rückzahlung verweigern.
2. Die Bank muß grobe Fahrlässigkeit beweisen
Grobe Fahrlässigkeit liegt nicht schon deshalb vor, weil ein Kunde auf eine gefälschte Internetseite hereingefallen ist.
Entscheidend sind die Umstände des Einzelfalls. Dazu gehören insbesondere die Gestaltung der betrügerischen Internetseite, die Erkennbarkeit der Täuschung und das konkrete Verhalten des Kunden.
Will die Bank den Schaden wegen grober Fahrlässigkeit auf den Kunden abwälzen, muß sie die Voraussetzungen dafür beweisen.
Die bloße Tatsache, daß Zugangsdaten oder Sicherheitscodes verwendet wurden, reicht dafür nicht aus.
3. Das Urteil verändert die bisherige deutsche Rechtsprechung
Bislang konnten Banken nach der Rechtsprechung des Bundesgerichtshofs unter bestimmten Voraussetzungen die sofortige Erstattung verweigern, wenn ihnen gegen den Kunden ein eigener Schadensersatzanspruch zustand.
Der BGH ließ dies unter anderem mit Urteil vom 17. November 2020 (XI ZR 294/19) zu.
Dahinter stand die Überlegung, daß niemand eine Zahlung verlangen darf, die er anschließend sofort zurückzahlen müßte.
Diese Rechtsprechung läßt sich mit der neuen Entscheidung des EuGH kaum noch vereinbaren.
Denn der EuGH verlangt ausdrücklich, daß die Bank zunächst erstattet und einen möglichen Schadensersatzanspruch erst anschließend durchsetzt.
Damit verändert sich auch das Prozeßrisiko. Bislang mußten häufig die geschädigten Bankkunden klagen, um ihr Geld zurückzubekommen. Künftig liegt es grundsätzlich an der Bank, einen möglichen Schadensersatzanspruch gegen den Kunden durchzusetzen.
4. Grobe Fahrlässigkeit bleibt für die endgültige Haftung wichtig
Das Urteil bedeutet nicht, daß Bankkunden sorglos mit ihren Zugangsdaten umgehen dürfen.
Nach § 675v Abs. 3 BGB kann ein Kunde für den gesamten Schaden haften, wenn er seine Pflichten vorsätzlich oder grob fahrlässig verletzt hat.
Die Bank muß einen solchen Anspruch jedoch gesondert durchsetzen.
Der EuGH hat im konkreten Fall nicht entschieden, ob die polnische Kundin grob fahrlässig gehandelt hat. Darüber muß das zuständige nationale Gericht entscheiden.
Was bedeutet das Urteil für Opfer von Phishing-Betrug?
Wer durch Phishing Geld verliert, sollte seine Rechte konsequent geltend machen.
1. Bank sofort informieren und Zugang sperren
Melden Sie jede verdächtige Überweisung unverzüglich Ihrer Bank. Lassen Sie den Online-Banking-Zugang und betroffene Zahlungsinstrumente sperren. Veranlassen Sie möglichst sofort einen Überweisungsrückruf.
2. Beweise sichern
Bewahren Sie Kontoauszüge, SMS, E-Mails, Chatverläufe und die gesamte Korrespondenz mit der Bank auf. Dokumentieren Sie die betrügerische Internetseite, soweit dies gefahrlos möglich ist.
3. Strafanzeige erstatten
Erstatten Sie Anzeige bei der Polizei. Das erleichtert die Dokumentation des Betrugs und kann helfen, den Täter zu ermitteln.
4. Erstattung schriftlich verlangen
Fordern Sie Ihre Bank unter Hinweis auf § 675u BGB und das EuGH-Urteil vom 15. Oktober 2026 (C-70/25) auf, den nicht autorisiert überwiesenen Betrag unverzüglich zu erstatten.
5. Eine Ablehnung nicht ungeprüft akzeptieren
Verweigert die Bank die Erstattung mit dem Hinweis auf grobe Fahrlässigkeit, sollten Sie diese Entscheidung rechtlich überprüfen lassen.
Wichtig ist allerdings die Unterscheidung zwischen einer nicht autorisierten Zahlung und einer Überweisung, die Sie selbst im Glauben an die Angaben eines Betrügers veranlaßt haben. Das Urteil betrifft unmittelbar nur nicht autorisierte Zahlungen.
Fazit: Der EuGH stärkt die Rechte von Bankkunden erheblich
Das Urteil vom 15. Oktober 2026 verbessert die Position von Verbrauchern nach einem Phishing-Betrug.
Banken müssen nicht autorisierte Zahlungen grundsätzlich sofort erstatten. Der bloße Vorwurf grober Fahrlässigkeit rechtfertigt keine Zahlungsverweigerung.
Für betroffene Verbraucher bedeutet das eine erhebliche Erleichterung. Sie müssen nicht mehr zunächst einen möglicherweise langwierigen Rechtsstreit über ihre eigene Fahrlässigkeit führen, um die gesetzlich vorgesehene Erstattung zu erhalten.
Die Bank trägt grundsätzlich das Risiko, einen eigenen Schadensersatzanspruch anschließend durchsetzen zu müssen.
Meine Empfehlung: Wenn Ihre Bank nach einem Phishing-Betrug die Erstattung verweigert, sollten Sie sich nicht vorschnell mit dieser Entscheidung abfinden. Ich prüfe, ob ein Anspruch auf Rückzahlung besteht und welche Möglichkeiten Sie haben, Ihr Geld zurückzubekommen.
EuGH, Urteil vom 15. Oktober 2026, C-70/25 (Tukowiecka), zur Auslegung von Art. 73 Abs. 1 und Art. 74 Abs. 1 der Richtlinie (EU) 2015/2366
