700 € weg: EuGH zwingt Banken zur Phishing-Erstattung

Phishing, Bank, Erstattung – der Europäische Gerichtshof hat die Reihenfolge jetzt festgelegt: Die Bank zahlt zuerst, gestritten wird danach. Mit Urteil vom 15. Oktober 2026 (Az. C-70/25, Tukowiecka) entschied der EuGH, dass eine Bank den Betrag einer nicht autorisierten Zahlung spätestens bis zum Ende des folgenden Geschäftstags erstatten muss. Das gilt auch dann, wenn sie dem Kunden grobe Fahrlässigkeit vorwirft. Ausgelöst hat das Verfahren eine Verkäuferin, die auf einer Online-Plattform einem gefälschten Käufer aufgesessen ist. Die Masche kennt jeder Onlinehändler, der auf Kleinanzeigen oder einem Marktplatz verkauft.

Gefälschter Käufer, gefälschte Bank: 700 € in einer Nacht weg

Die Kundin einer polnischen Bank bot einen Artikel auf einer Verkaufsplattform an. Ein angeblicher Kaufinteressent schickte ihr einen Link. Der führte auf eine Kopie der Plattform und von dort auf eine Seite, die dem Online-Banking ihrer Bank täuschend ähnlich sah. Dort gab sie ihre Zugangsdaten ein. Der Betrüger überwies rund 700 Euro auf sein eigenes Konto, wie LTO berichtet .

Am nächsten Tag meldete die Frau den Vorfall. Die Bank lehnte die Erstattung ab: Die Kundin habe ihre Zugangsdaten nicht ausreichend geschützt und damit grob fahrlässig gehandelt. Die Frau klagte, das polnische Gericht legte die Frage dem EuGH vor. Es wollte wissen, ob eine Bank die Erstattung mit dem Vorwurf grober Fahrlässigkeit von vornherein verweigern darf.

Erst zahlen, dann klagen: Der EuGH dreht die Reihenfolge um

Nein, sagt der EuGH. Grundlage ist die Zahlungsdiensterichtlinie PSD II (Richtlinie (EU) 2015/2366). Art. 73 Abs. 1 PSD II verpflichtet den Zahlungsdienstleister, den Betrag eines nicht autorisierten Zahlungsvorgangs unverzüglich zu erstatten, spätestens bis zum Ende des folgenden Geschäftstags nach der Meldung. Eine einzige Ausnahme sieht die Norm vor: Die Bank hat konkrete Gründe für den Verdacht, dass der Kunde selbst betrügt, und meldet diese Gründe schriftlich der zuständigen nationalen Behörde.

Grobe Fahrlässigkeit steht dort nicht. Der Vorwurf, der Kunde habe seine Sicherheitsmerkmale schlecht geschützt, reicht dem EuGH deshalb nicht aus, um die Erstattung zu verweigern oder aufzuschieben. Die Richter trennen zwei Fragen, die Banken bislang gern vermischt haben: die Pflicht zur sofortigen Erstattung und die endgültige Haftung für den Verlust. Dürfte die Bank die Erstattung mit dem Hinweis auf Fahrlässigkeit blockieren, wäre die Frist der Richtlinie wirkungslos. Der Kunde müsste dann klagen, um an sein Geld zu kommen – mit allen Kosten und Risiken eines Verfahrens.

Die Haftungsfrage ist damit nicht vom Tisch. Nach Art. 74 Abs. 1 PSD II trägt der Kunde den Verlust, wenn er vorsätzlich oder grob fahrlässig gegen seine Pflichten verstoßen hat, etwa gegen die Pflicht aus Art. 69 Abs. 2 PSD II, seine Zugangsdaten vor unbefugtem Zugriff zu schützen. Diesen Verstoß muss aber die Bank beweisen. Und sie muss ihn in einem zweiten Schritt geltend machen: erstatten, dann Rückforderung verlangen und notfalls selbst klagen.

Deutsche Banken verweigern reihenweise – damit ist jetzt Schluss

Das Urteil legt EU-Recht aus und bindet damit jedes Gericht in Deutschland und Österreich. In Deutschland steckt Art. 73 PSD II in § 675u BGB (Erstattungspflicht bei nicht autorisierten Zahlungen), Art. 74 in § 675v BGB (Haftung des Zahlers bei grober Fahrlässigkeit). Die Praxis sah bisher anders aus: Der Verbraucherzentrale Bundesverband wirft Banken seit Langem vor, Erstattungen nach Kontobetrug pauschal abzulehnen. Betroffene bekommen ein Schreiben mit dem Hinweis auf grobe Fahrlässigkeit und müssen dann selbst vor Gericht ziehen.

Gerichte haben das gedeckt. Das OLG Oldenburg lehnte 2025 einen Erstattungsanspruch nach einem Phishing-Fall unter Verweis auf § 675v Abs. 3 Nr. 2 BGB ab. Diese Linie ist mit dem EuGH-Urteil nicht mehr haltbar, soweit sie die Erstattungspflicht selbst betrifft. Die Bank kann die grobe Fahrlässigkeit weiterhin einwenden, aber erst nachdem das Geld zurück auf dem Konto ist.

Geschäftskonto: Warum Onlinehändler trotzdem ins Kleingedruckte schauen müssen

Die Betrugsmasche aus dem Fall trifft Onlinehändler: ein Käufer, der einen Zahlungslink schickt, eine angebliche „Sicher bezahlen“-Seite, eine nachgebaute Bank-Login-Maske. Die Erstattungspflicht aus Art. 73 PSD II gilt nicht nur für Verbraucher. Sie gehört nicht zu den Vorschriften, von denen Banken bei Geschäftskunden per Vertrag abweichen dürfen (Art. 61 Abs. 1 PSD II). Wer mit dem Firmenkonto in eine Phishing-Falle tappt, hat denselben Anspruch auf Erstattung bis zum nächsten Geschäftstag wie ein Privatkunde.

Anders sieht es beim zweiten Schritt aus. Die Haftungsregel des Art. 74 PSD II (§ 675v BGB) dürfen Banken mit Nicht-Verbrauchern abbedingen (§ 675e Abs. 4 BGB). Viele Geschäftskonto-AGB enthalten deshalb verschärfte Haftungsklauseln, teils ohne die Beschränkung auf grobe Fahrlässigkeit. Prüfe deine Kontobedingungen: Dort entscheidet sich, ob die Bank das erstattete Geld später leichter zurückholen kann als bei einem Privatkunden.

Phishing passiert: So holst du dein Geld zurück

Melde die Transaktion sofort und schriftlich. Art. 71 PSD II (§ 676b BGB) verlangt eine unverzügliche Anzeige, spätestens 13 Monate nach der Belastung. Ohne diese Meldung entfällt die Erstattungspflicht. Nenne die Buchung konkret, erkläre, dass du sie nicht autorisiert hast, und fordere die Erstattung bis zum Ende des folgenden Geschäftstags unter Verweis auf § 675u BGB und das EuGH-Urteil C-70/25.

Lehnt die Bank mit dem Argument „grobe Fahrlässigkeit“ ab, ist das nach dem Urteil kein Grund mehr, die Erstattung zu verweigern. Verlange eine schriftliche Begründung und weise auf die Beweislast hin: Die Bank muss den Verstoß nachweisen, nicht du deine Sorgfalt. Sichere die Phishing-Nachricht, die gefälschte Seite und den Zeitpunkt deiner Meldung. Diese Beweise brauchst du spätestens dann, wenn die Bank das Geld im zweiten Schritt zurückfordert.

Das Ende der Ablehnung per Textbaustein

Jahrelang reichte Banken ein Standardbrief, um Phishing-Opfer loszuwerden. Wer sein Geld wollte, musste klagen, und die meisten taten es bei 700 Euro nicht. Diese Rechnung geht nicht mehr auf. Der EuGH verlagert das Prozessrisiko dorthin, wo es die Richtlinie immer vorgesehen hat: zur Bank. Sie muss erstatten, sie muss beweisen, sie muss klagen.

Für Betrüger ändert sich nichts, für Banken alles. Wer bisher auf die Trägheit seiner Kunden gesetzt hat, zahlt jetzt zuerst und streitet danach auf eigene Kosten.