Der Europäische Gerichtshof stärkt die Rechte von Bankkunden nach Phishing-Angriffen erheblich. Mit Urteil vom 15. Oktober 2026 (Az. C-70/25) hat er klargestellt, dass Banken oder andere Zahlungsdienstleister die Erstattung nicht autorisierter Zahlungsvorgänge nicht mit der Begründung verweigern dürfen, der Kunde habe den Betrug durch grobe Fahrlässigkeit ermöglicht.
Für Betroffene bedeutet das eine entscheidende Verbesserung ihrer Rechtsposition: Die Bank muss grundsätzlich zunächst erstatten. Ob der Kunde den entstandenen Schaden letztlich selbst tragen muss, ist eine davon getrennte Frage.
Phishing über eine gefälschte Bankseite
Der Entscheidung des EuGH in der Rechtssache C-70/25 lag ein typischer Phishing-Fall zugrunde.
Eine Kundin einer polnischen Bank bot auf einer Online-Verkaufsplattform einen Artikel zum Verkauf an. Ein vermeintlicher Kaufinteressent übersandte ihr einen Link, der den Eindruck erweckte, von der Verkaufsplattform zu stammen und der Bestätigung des Verkaufs zu dienen. Tatsächlich führte der Link auf eine betrügerische Internetseite, die der Website ihrer Bank nachempfunden war.
Die Kundin gab auf der betrügerischen Webseite ihre Online-Banking-Zugangsdaten ein. Die Betrüger konnten diese Daten anschließend nutzen, um Geld vom Konto der Kundin auf ein eigenes Konto zu überweisen.
Bank verweigert Erstattung
Die Kundin meldete den Vorfall bereits am folgenden Tag ihrer Bank. Diese verweigerte die Erstattung jedoch mit der Begründung, die Kundin habe den nicht autorisierten Zahlungsvorgang durch grobe Fahrlässigkeit ermöglicht, indem sie ihre personalisierten Sicherheitsmerkmale nicht ausreichend geschützt habe.
Durfte Bank die unverzügliche Erstattung verweigern?
Das vorlegende polnische Gericht wollte vom EuGH wissen, ob ein Zahlungsdienstleister die Erstattung eines nicht autorisierten Zahlungsvorgangs aus diesem Grund verweigern darf.
Der EuGH verneinte dies. Die grobe Fahrlässigkeit des Kunden berechtigt die Bank nicht dazu, die nach dem Unionsrecht grundsätzlich unverzüglich geschuldete Erstattung zu verweigern. Die Frage, wer den finanziellen Verlust endgültig zu tragen hat, ist vielmehr gesondert zu beurteilen.
Die Wirkung der Entscheidung beschränkt sich nicht auf Polen, da der EuGH die Zahlungsdiensterichtlinie (EU) 2015/2366 für alle Mitgliedstaaten verbindlich auslegt. Das Urteil ist dementsprechend auch in Deutschland von Bedeutung.
Erstattungspflicht der Bank
Nach Art. 73 Abs. 1 der Zahlungsdiensterichtlinie (EU) 2015/2366 ist der Zahlungsdienstleister bei einem nicht autorisierten Zahlungsvorgang grundsätzlich verpflichtet, dem Zahler den Betrag unverzüglich zu erstatten. Die Erstattung muss spätestens bis zum Ende des Geschäftstags erfolgen, der auf die Kenntnisnahme beziehungsweise Anzeige des Zahlungsvorgangs folgt. Eine Ausnahme gilt insbesondere dann, wenn der Zahlungsdienstleister berechtigte Gründe für den Verdacht hat, dass der Zahler selbst einen Betrug begangen hat, und er diese Gründe der zuständigen nationalen Behörde schriftlich mitteilt.
Grobe Fahrlässigkeit
Die Bank darf die Erstattung hingegen nicht allein deshalb verweigern, weil sie dem Kunden eine grob fahrlässige Verletzung seiner Pflichten aus Art. 69 der Richtlinie vorwirft.
Diese Vorschrift verpflichtet Zahlungsdienstnutzer unter anderem dazu, ihre personalisierten Sicherheitsmerkmale angemessen zu schützen. Ein Verstoß gegen diese Pflichten kann haftungsrechtliche Konsequenzen haben. Er beseitigt jedoch nicht die vorgelagerte Erstattungspflicht des Zahlungsdienstleisters.
EuGH trennt zwei rechtlich unterschiedliche Fragen
Der EuGH trennt damit zwei rechtlich unterschiedliche Fragen:
-
Erstattungspflicht: Muss die Bank den Betrag des nicht autorisierten Zahlungsvorgangs zunächst zurückzahlen?
-
Endgültige Verlusttragung: Kann die Bank anschließend verlangen, dass der Kunde den erstatteten Betrag wegen einer vorsätzlichen oder grob fahrlässigen Pflichtverletzung wieder ausgleicht?
Die entscheidende Neuerung liegt in der verbindlichen Trennung dieser beiden Prüfungsschritte. Die Bank darf einen Erstattungsanspruch nicht einfach mit dem Hinweis abweisen, der Kunde habe sich beim Umgang mit seinen Zugangsdaten grob fahrlässig verhalten.
Konsequenzen des EuGH-Urteils für Bankkunden
In der Praxis lehnen Banken die Erstattung nach Phishing-Angriffen häufig mit der Begründung ab, der Kunde habe durch die Weitergabe von Zugangsdaten, die Eingabe einer TAN auf einer gefälschten Website oder die Bestätigung einer vermeintlich legitimen Transaktion grob fahrlässig gehandelt.
Diese Argumentation reicht nach dem Urteil des EuGH nicht aus, um die unverzügliche Erstattung zu verweigern.
Für betroffene Bankkunden ist das von erheblicher Bedeutung. Selbst wenn der Verdacht einer grob fahrlässigen Pflichtverletzung im Raum steht, muss die Bank zunächst ihrer Erstattungspflicht nachkommen. Sie darf die Prüfung der endgültigen Haftungsverteilung nicht vorziehen, um die Rückzahlung des Geldes zu verhindern.
§ 675u BGB relevant
Für das deutsche Recht ist insbesondere § 675u BGB relevant. Danach ist der Zahlungsdienstleister bei einem nicht autorisierten Zahlungsvorgang grundsätzlich verpflichtet, den Zahlungsbetrag unverzüglich zu erstatten und das belastete Zahlungskonto gegebenenfalls wieder auf den Stand zu bringen, auf dem es sich ohne die Belastung befunden hätte.
Kontoinhaber nicht grundsätzlich aus der Haftung
Das EuGH-Urteil bedeutet nicht, dass Kunden nach jedem Phishing-Angriff unter allen Umständen endgültig von der finanziellen Verantwortung befreit sind.
Art. 74 Abs. 1 der Richtlinie sieht unter bestimmten Voraussetzungen eine Haftung des Zahlers für nicht autorisierte Zahlungsvorgänge vor, wenn dieser vorsätzlich oder grob fahrlässig bestimmte Pflichten verletzt hat.
Die Bank kann daher nach erfolgter Erstattung grundsätzlich versuchen, den entstandenen Verlust vom Kunden zurückzufordern. Dafür muss sie jedoch die Voraussetzungen eines entsprechenden Anspruchs darlegen und beweisen.
Haftung des Bankkunden nach § 675v BGB
Im deutschen Recht ist dabei insbesondere § 675v BGB zu berücksichtigen. Die Vorschrift regelt die Haftung des Zahlers bei missbräuchlicher Nutzung eines Zahlungsinstruments und differenziert unter anderem nach dem Grad des Verschuldens.
Danach kommt eine Haftung des Zahlers für den gesamten entstandenen Schaden in Betracht, wenn er den nicht autorisierten Zahlungsvorgang in betrügerischer Absicht ermöglicht oder seine Pflichten vorsätzlich oder grob fahrlässig verletzt hat. Der EuGH stellte klar, dass der Zahlungsdienstleister später vom Kunden die Erstattung der auf dessen grobe Fahrlässigkeit zurückzuführenden Verluste verlangen kann. Das zunächst erstattete Geld kann also im Wege des Rückgriffs wieder zurückgefordert werden, wobei die Voraussetzungen dieses Anspruchs gesondert darzulegen sind.
Die Rückforderung ist damit ein eigener, zeitlich nachgelagerter Verfahrensschritt: Die Bank muss den Schaden zunächst erstatten und kann den Betrag erst danach auf separatem Weg zurückverlangen. Dazu muss sie dem Kunden ein Fehlverhalten aber nachweisen. Die Beweislast für Vorsatz oder grobe Fahrlässigkeit liegt damit in diesem zweiten Schritt bei der Bank, während der Kunde in der Zwischenzeit über den erstatteten Betrag verfügt.
Für die Praxis bedeutet das: Die Frage, ob ein Kunde tatsächlich grob fahrlässig gehandelt hat, bleibt relevant. Sie entscheidet aber nicht mehr darüber, ob die Bank die zunächst geschuldete Erstattung verweigern darf, sondern kann für die spätere Verteilung des Schadens maßgeblich sein.
Prüfung im Einzelfall erforderlich
Dabei ist stets der konkrete Sachverhalt zu prüfen. Nicht jede Eingabe von Zugangsdaten auf einer gefälschten Website begründet automatisch grobe Fahrlässigkeit. Zu berücksichtigen sind beispielsweise die Gestaltung des betrügerischen Internetauftritts, die Art der Kontaktaufnahme, mögliche Warnhinweise, die konkrete Transaktionsfreigabe und die Erkennbarkeit der Täuschung.
Urteil auch für ältere Phishing-Fälle interessant
Das Urteil ist auch für Bankkunden interessant, deren Erstattungsbegehren bereits vor dem 15. Oktober 2026 abgelehnt wurde.
Wer nach einem Phishing-Angriff eine Ablehnung erhalten hat, die im Wesentlichen auf den Vorwurf grober Fahrlässigkeit gestützt wurde, sollte prüfen lassen, ob weiterhin Ansprüche geltend gemacht werden können.
Der EuGH hat in seiner Entscheidung keine zeitliche Begrenzung der Urteilswirkungen angeordnet. Das spricht grundsätzlich dafür, dass die Auslegung des Unionsrechts auch in noch offenen Streitigkeiten zu berücksichtigen ist.
Nicht alle Fälle können wieder aufgerollt werden
Daraus folgt allerdings nicht, dass sämtliche abgeschlossenen Fälle automatisch wieder aufgerollt werden können. Ob eine erneute Geltendmachung möglich ist, hängt unter anderem von der Verjährung, der Rechtskraft gerichtlicher Entscheidungen, etwaigen Vergleichen und den sonstigen Umständen des Einzelfalls ab.
Bei älteren Fällen sollte daher insbesondere geprüft werden, ob der Anspruch noch durchsetzbar ist und welche rechtlichen Schritte bereits unternommen wurden.
Das gilt besonders für ältere Phishing-Fälle, die allein mit dem Hinweis auf grobe Fahrlässigkeit abgelehnt wurden, solange sie weder verjährt noch rechtskräftig entschieden sind. Eine erneute Nachforderung gegenüber dem Zahlungsdienstleister kommt danach insbesondere dann in Betracht, wenn die Ablehnung ausschließlich auf den Verschuldensvorwurf gestützt wurde und der Vorgang unstreitig nicht autorisiert war.
Wichtiger Schritt zugunsten von Phishing-Opfern
Mit seinem Urteil vom 15. Oktober 2026 in der Rechtssache C-70/25 stärkt der EuGH die Position von Bankkunden, die Opfer nicht autorisierter Zahlungsvorgänge geworden sind.
Die zentrale Botschaft lautet: Die Bank darf die unverzügliche Erstattung nicht allein mit dem Argument verweigern, der Kunde habe den Betrug durch grobe Fahrlässigkeit ermöglicht.
Damit wird verhindert, dass die Erstattung zunächst von einer häufig komplexen und streitigen Verschuldensprüfung abhängig gemacht wird.
Das Urteil bedeutet allerdings nicht, dass jede Erstattung endgültig beim Kunden verbleiben muss. Eine vorsätzliche oder grob fahrlässige Pflichtverletzung kann unter den gesetzlichen Voraussetzungen weiterhin zu einer Haftung des Kunden führen. Diese Frage ist jedoch getrennt von der zunächst bestehenden Erstattungspflicht zu prüfen.
Einordnung durch MTR Legal
Digitale Angriffe auf Bankkonten berühren regelmäßig bank- und zahlungsdiensterechtliche Fragen, oft verbunden mit anspruchsvollen Abgrenzungen zur Autorisierung und zur Risikoverteilung. MTR Legal Rechtsanwälte begleitet Mandanten, wenn im Zusammenhang mit unklaren Kontobelastungen, Zugriffsvorfällen oder blockierten Online-Banking-Zugängen rechtliche Fragen im Raum stehen und bietet einer Rechtsberatung im Bankrecht an.
