Banken müssen ihren Kunden nach nicht autorisierten Zahlungen grundsätzlich unverzüglich das verlorene Geld erstatten. Das gilt auch dann, wenn sie den Betroffenen grobe Fahrlässigkeit vorwerfen. Das hat der Europäische Gerichtshof am Donnerstag, 15. Oktober 2026, entschieden. Eine spätere Rückforderung bleibt allerdings möglich. Das Urteil hat auch für Bankkunden in Deutschland Bedeutung.
Ausgangspunkt der Entscheidung war ein Fall aus Polen. Eine Bankkundin hatte einen Artikel auf einer Onlineplattform zum Verkauf angeboten. Ein vermeintlicher Interessent schickte ihr einen Link, über den sie den Verkauf bestätigen sollte. Tatsächlich führte dieser auf eine gefälschte Internetseite, die dem Onlinebanking ihrer Bank nachempfunden war.
Die Frau gab dort ihre Zugangsdaten ein. Ein Dritter nutzte diese anschließend, um einen Betrag im Gegenwert von rund 700 Euro von ihrem Konto auf ein anderes Konto zu überweisen. Als die Kundin den Vorgang am folgenden Tag meldete, verweigerte die Bank die Erstattung. Sie warf der Frau vor, ihre Zugangsdaten grob fahrlässig preisgegeben zu haben.
Der Rechtsstreit gelangte vor ein polnisches Gericht, das den Europäischen Gerichtshof um die Auslegung der europäischen Zahlungsdiensterichtlinie bat. Die Luxemburger Richter stellten in der Rechtssache C-70/25 klar, dass grobe Fahrlässigkeit allein keine sofortige Ablehnung der Rückzahlung rechtfertigt.
Nach der europäischen Zahlungsdiensterichtlinie PSD2 müssen Zahlungsdienstleister nicht autorisierte Zahlungen grundsätzlich unverzüglich erstatten. Spätestens bis zum Ende des folgenden Geschäftstags nach Kenntnis oder entsprechender Mitteilung muss der Betrag zurückgezahlt werden, sofern die gesetzlichen Voraussetzungen erfüllt sind.
Eine Ausnahme besteht, wenn die Bank berechtigte Gründe für den Verdacht hat, dass der Kunde selbst betrügerisch gehandelt hat, und diese Gründe der zuständigen nationalen Behörde schriftlich mitteilt. Der bloße Verdacht, dass jemand sorglos mit Zugangsdaten umgegangen sei, genügt dafür nicht.
Der EuGH unterscheidet damit ausdrücklich zwischen der zunächst erforderlichen Rückzahlung und der endgültigen Verteilung des finanziellen Schadens. Banken dürfen die unmittelbare Erstattung nicht von einer vorherigen abschließenden Klärung möglicher Sorgfaltspflichtverletzungen abhängig machen.
Das Urteil bedeutet allerdings nicht, dass Bankkunden nach einem Phishingangriff grundsätzlich von jeder Verantwortung befreit sind. Hat ein Kunde seine Pflichten vorsätzlich oder grob fahrlässig verletzt und dadurch den Schaden verursacht, kann die Bank anschließend Ersatz verlangen.
Die Beweislast liegt dabei beim Zahlungsdienstleister. Er muss nachweisen, dass eine entsprechende Pflichtverletzung vorlag und für den entstandenen Verlust verantwortlich war.
Ob bereits die Eingabe von Zugangsdaten auf einer täuschend echt gestalteten Internetseite als grobe Fahrlässigkeit einzustufen ist, lässt sich nicht pauschal beantworten. Entscheidend sind die konkreten Umstände des Einzelfalls. Der EuGH hat mit seiner Entscheidung keine allgemeine Regel geschaffen, nach der jede durch Phishing ausgelöste Zahlung dauerhaft von der Bank getragen werden muss.
Das EuGH-Urteil zu Phishing ist auch für Deutschland relevant. Die europäische Zahlungsdiensterichtlinie wurde hier insbesondere durch die Paragrafen 675u und 675v des Bürgerlichen Gesetzbuchs umgesetzt. Sie regeln die Erstattung nicht autorisierter Zahlungen und die mögliche Haftung der Kontoinhaber.
Nach Paragraf 675w BGB muss die Bank außerdem entsprechende Nachweise vorlegen, wenn sie Kunden eine vorsätzliche oder grob fahrlässige Pflichtverletzung vorwirft. Allein die technische Authentifizierung einer Zahlung reicht dafür nicht zwangsläufig aus.
Verbraucherschützer kritisieren seit Längerem, dass Banken Erstattungsforderungen teilweise unter Verweis auf angebliche Sorgfaltspflichtverletzungen zurückweisen. Für Betroffene können daraus langwierige Auseinandersetzungen und finanzielle Risiken entstehen. Die Entscheidung des EuGH stärkt ihre Position, weil die Bank eine mögliche Haftung des Kunden grundsätzlich erst nach der Erstattung geltend machen kann.
Wer eine nicht autorisierte Abbuchung auf seinem Konto entdeckt, sollte seine Bank unverzüglich informieren, betroffene Zugänge sperren lassen und die Erstattung schriftlich verlangen. Die Verbraucherzentralen empfehlen außerdem, den Vorfall bei der Polizei anzuzeigen und relevante Nachrichten sowie Zahlungsinformationen zu sichern.
Wichtig bleibt die Unterscheidung zwischen einer nicht autorisierten Zahlung und einer Überweisung, die ein Kunde selbst wirksam freigegeben hat, obwohl er über den Empfänger getäuscht wurde. Nicht jede durch irreführende Angaben veranlasste Überweisung fällt automatisch unter die vom EuGH behandelte Erstattungspflicht.
Das polnische Gericht muss nun den konkreten Ausgangsfall unter Berücksichtigung der Entscheidung aus Luxemburg beurteilen. Die Auslegung des europäischen Rechts ist zugleich für vergleichbare Streitfälle in anderen EU-Mitgliedstaaten maßgeblich.
Texte werden mit Unterstützung von KI-Tools erstellt und vor Veröffentlichung redaktionell geprüft. Mehr dazu