Wer durch Phishing Geld von seinem Bankkonto verliert, kann unter bestimmten Voraussetzungen eine schnelle Erstattung verlangen. Der Europäische Gerichtshof (EuGH) hat am 15. Oktober 2026 entschieden, dass Banken eine nicht autorisierte Zahlung grundsätzlich unverzüglich erstatten müssen. Das gilt auch dann, wenn sie ihren Kunden grobe Fahrlässigkeit vorwerfen. Parallel dazu warnt die Verbraucherzentrale am Montag, 19. Oktober 2026, vor gefälschten E-Mails im Namen der ING, die mit einem angeblichen Sicherheitsupdate zur Preisgabe persönlicher Daten verleiten sollen.
Die Erstattung nach Phishing darf bei nicht autorisierten Zahlungen nicht allein deshalb verweigert werden, weil ein Kunde möglicherweise gegen Sicherheitsvorgaben verstoßen hat. Allerdings können Banken unter bestimmten Bedingungen anschließend Schadensersatz verlangen. Für Betroffene in Deutschland konkretisiert das Urteil damit die Anwendung bestehender europäischer und deutscher Vorschriften.
Ausgangspunkt des Verfahrens war ein Fall aus Polen. Eine Bankkundin hatte über eine Onlineplattform einen Artikel zum Verkauf angeboten. Eine andere Person gab sich als Kaufinteressent aus und übermittelte ihr einen Link, der angeblich der Bestätigung des Verkaufs dienen sollte. Tatsächlich führte dieser auf eine manipulierte Internetseite, die das Erscheinungsbild ihrer Bank nachahmte. Dort gab die Frau ihre Zugangsdaten für das Onlinebanking ein.
Mithilfe dieser Informationen wurde anschließend ein Betrag im Gegenwert von rund 700 Euro von ihrem Konto auf ein fremdes Konto überwiesen. Die Kundin meldete den Vorfall am folgenden Tag ihrer Bank. Das Kreditinstitut lehnte eine Erstattung jedoch ab und begründete dies damit, dass die Frau ihre Zugangsdaten nicht ausreichend geschützt und dadurch grob fahrlässig gehandelt habe. Der Streit gelangte vor ein polnisches Gericht, das den EuGH um die Auslegung der europäischen Zahlungsdiensterichtlinie bat.
In seinem Urteil vom 15. Oktober 2026 in der Rechtssache C-70/25 stellte der Gerichtshof klar, dass die Pflicht zur unverzüglichen Erstattung nicht von einer vorherigen abschließenden Prüfung möglicher grober Fahrlässigkeit abhängig gemacht werden darf. Bei einer nicht autorisierten Zahlung muss die Bank den Betrag grundsätzlich spätestens bis zum Ende des folgenden Geschäftstags erstatten, nachdem sie von dem Vorgang Kenntnis erhalten hat oder darüber unterrichtet wurde.
Eine Ausnahme besteht, wenn die Bank berechtigte Gründe für den Verdacht hat, dass der Kunde selbst betrügerisch gehandelt hat, und diese Gründe der zuständigen nationalen Behörde schriftlich mitteilt. Die bloße Behauptung mangelnder Sorgfalt genügt dagegen nicht.
Mit der Entscheidung entfallen nicht die Pflichten von Bankkunden zum Schutz ihrer Konten. Nach der europäischen Zahlungsdiensterichtlinie müssen sie ihre personalisierten Sicherheitsmerkmale vor unbefugtem Zugriff schützen. Dazu gehören insbesondere Passwörter, PINs und andere Zugangsdaten.
Der EuGH unterscheidet jedoch zwischen dem Anspruch auf eine schnelle Rückzahlung und der Frage, wer den finanziellen Schaden letztlich tragen muss. Zunächst ist der Zahlungsdienstleister zur Erstattung verpflichtet. Kann die Bank anschließend nachweisen, dass der Kunde seine Pflichten vorsätzlich oder grob fahrlässig verletzt und dadurch den Schaden verursacht hat, kann sie Ersatz verlangen. Die Beweislast für eine solche Pflichtverletzung liegt beim Zahlungsdienstleister.
Für Bankkunden in Deutschland sind insbesondere die Paragrafen 675u, 675v und 675w des Bürgerlichen Gesetzbuches relevant. Sie regeln die Erstattung nicht autorisierter Zahlungen, eine mögliche Haftung des Kontoinhabers und die erforderlichen Nachweise. Dabei reicht die technische Bestätigung, dass beispielsweise eine PIN oder ein anderes Authentifizierungsverfahren verwendet wurde, für sich genommen nicht unbedingt aus, um die Autorisierung einer Zahlung oder grobe Fahrlässigkeit zu beweisen.
Entscheidend bleibt, ob eine Zahlung tatsächlich autorisiert wurde. Wer selbst eine Überweisung veranlasst und ihr wirksam zugestimmt hat, kann sich nicht allein deshalb auf die Erstattungsregeln für nicht autorisierte Zahlungen berufen, weil er zuvor durch falsche Angaben dazu veranlasst wurde. Ob eine Autorisierung vorliegt, hängt von den konkreten Umständen ab. Das Urteil schafft deshalb keinen allgemeinen Anspruch auf Erstattung sämtlicher durch Phishing verursachter Verluste.
Während die rechtlichen Folgen von Phishing erneut im Mittelpunkt stehen, macht die Verbraucherzentrale auf einen aktuellen Versuch aufmerksam, an sensible Bankdaten zu gelangen. Am 19. Oktober 2026 veröffentlichte sie eine Warnung zu E-Mails, die vermeintlich von der ING stammen und eine verpflichtende Sicherheitsaktualisierung ankündigen.
Die Nachrichten tragen den Betreff „Warnung: neue wichtige Nachricht!!“. Darin behaupten die Absender, die digitale Infrastruktur der Bank werde aktualisiert, um persönliche Informationen und Kontodaten weiterhin zu schützen. Damit der Zugang zum Onlinebanking erhalten bleibe, müssten Empfänger ihre Identität bestätigen.
Dafür enthält die E-Mail einen Link mit der Beschriftung „Sicherheit bestätigen“. Die angebliche Überprüfung müsse innerhalb von 48 Stunden abgeschlossen werden. Andernfalls werde das Konto vorübergehend gesperrt. Nach Angaben der Verbraucherzentrale sprechen mehrere Merkmale für einen Phishing-Versuch: eine unseriöse Absenderadresse, eine unpersönliche Anrede, auffällige Warnformulierungen und die Verbindung einer kurzen Frist mit der angedrohten Kontosperrung.
Die Verbraucherzentrale empfiehlt, solche Nachrichten zu ignorieren und unbeantwortet in den Spam-Ordner zu verschieben. Kunden sollten Hinweise auf angebliche Sicherheitsprobleme ausschließlich über die offizielle ING-App oder die bekannte Internetseite der Bank überprüfen. Auch die ING selbst warnt grundsätzlich davor, Passwörter über Links aus E-Mails einzugeben oder unbekannte Banking-Aufträge freizugeben.
Wer eine verdächtige Nachricht erhält, sollte keine enthaltenen Links öffnen und weder Zugangsdaten noch Freigabecodes eingeben. Wurden bereits sensible Informationen weitergegeben, ist schnelles Handeln erforderlich. Die betroffene Bank sollte umgehend über ihre offiziellen Kontaktwege informiert werden, damit sie Kontozugänge oder Karten sperren und mögliche unberechtigte Zahlungen prüfen kann.
Sind bereits unbekannte Abbuchungen erfolgt, sollten Betroffene jeden entsprechenden Zahlungsvorgang ausdrücklich als nicht autorisiert melden und eine Erstattung verlangen. Die Verbraucherzentrale empfiehlt außerdem, die Kommunikation schriftlich festzuhalten, verdächtige Nachrichten und weitere Belege zu sichern sowie Strafanzeige zu erstatten. Bei Überweisungen kann zusätzlich die Empfängerbank informiert werden, um mögliche Sicherungsmaßnahmen zu prüfen.
Für die Meldung nicht autorisierter Zahlungen gelten Fristen. Nach Paragraf 676b BGB müssen Kunden ihre Bank unverzüglich nach Feststellung informieren. Grundsätzlich gilt zudem eine Ausschlussfrist von 13 Monaten ab der Belastung, sofern die gesetzlichen Voraussetzungen für den Fristbeginn erfüllt sind.
Verweigert eine Bank die Erstattung und beruft sich ausschließlich auf angeblich grobe Fahrlässigkeit, können betroffene Kunden das EuGH-Urteil C-70/25 anführen. Die Verbraucherzentralen empfehlen bei anhaltenden Streitigkeiten, eine zuständige Schlichtungsstelle einzuschalten oder anwaltliche Unterstützung zu prüfen.
Die Entscheidung des Europäischen Gerichtshofs gilt für die Auslegung der europäischen Zahlungsdiensterichtlinie und ist deshalb auch für entsprechende Rechtsstreitigkeiten in Deutschland maßgeblich. Das Ausgangsverfahren muss das polnische Gericht unter Beachtung der EuGH-Entscheidung abschließen. Für Verbraucher bedeutet das Urteil vor allem, dass die gesetzlich vorgesehene schnelle Erstattung nicht allein mit der Behauptung grober Fahrlässigkeit hinausgeschoben werden darf.
Texte werden mit Unterstützung von KI-Tools erstellt und vor Veröffentlichung redaktionell geprüft. Mehr dazu