Was Opfer von Phishing und Kontobetrug nach der Entscheidung vom 15. Oktober 2026 wissen sollten. Wurde Ihr Konto durch Phishing geplündert, muss Ihre Bank den Betrag grundsätzlich bis zum Ende des folgenden Geschäftstags erstatten. Das gilt nach einem aktuellen Urteil des Europäischen Gerichtshofs auch dann, wenn die Bank Ihnen grobe Fahrlässigkeit vorwirft. Rogert & Ulbrich prüft Ihren Fall und setzt Ihren Erstattungsanspruch gegenüber der Bank durch.
Was der EuGH am 15. Oktober 2026 entschieden hat
Der Europäische Gerichtshof hat mit Urteil vom 15. Oktober 2026 in der Rechtssache C-70/25 (Tukowiecka) die Rechte von Bankkunden deutlich gestärkt. Im Ausgangsfall hatte eine Kundin in Polen ihre Zugangsdaten auf einer gefälschten Internetseite eingegeben, die wie die Seite ihrer Bank aussah. Betrüger lösten daraufhin Zahlungen von ihrem Konto aus. Die Kundin meldete den Vorfall am nächsten Tag. Die Bank verweigerte die Erstattung mit der Begründung, die Kundin habe ihre Zugangsdaten grob fahrlässig preisgegeben.
Das zuständige polnische Gericht in Koszalin legte dem EuGH die Frage vor, ob eine Bank die Rückzahlung mit diesem Vorwurf ablehnen darf. Die Antwort aus Luxemburg ist eindeutig: Sie darf es nicht.
Maßgeblich ist Art. 73 der Zweiten Zahlungsdiensterichtlinie (Richtlinie (EU) 2015/2366, kurz PSD2). Danach muss der Zahlungsdienstleister den Betrag eines nicht autorisierten Zahlungsvorgangs unverzüglich erstatten, spätestens bis zum Ende des folgenden Geschäftstags, nachdem er von dem Vorgang Kenntnis erlangt hat oder darüber informiert wurde. Die Richtlinie kennt nur eine Ausnahme: Die Bank hat berechtigte Gründe für den Verdacht, dass der Kunde selbst betrügerisch gehandelt hat, und teilt diese Gründe der zuständigen nationalen Behörde schriftlich mit.
Grobe Fahrlässigkeit gehört nicht zu dieser Ausnahme. Der EuGH begründet das mit dem Ziel eines hohen Verbraucherschutzniveaus. Könnte die Bank die Erstattung schon beim bloßen Vorwurf grober Fahrlässigkeit zurückhalten, müssten Betroffene selbst ein Verfahren führen, um an ihr Geld zu kommen. Genau dieses Risiko soll nach dem Willen des Gesetzgebers zunächst die Bank tragen.
Die Bank verweigert die Erstattung mit Hinweis auf grobe Fahrlässigkeit? Nach dem EuGH-Urteil ist das in dieser Form nicht zulässig. Lassen Sie die Ablehnung prüfen.
Warum das Urteil auch für Bankkunden in Deutschland gilt
Der Fall stammt aus Polen, die Entscheidung betrifft aber alle Bankkunden in der Europäischen Union. Der EuGH legt europäisches Recht aus, und diese Auslegung ist für die Gerichte aller Mitgliedstaaten verbindlich.
In Deutschland ist Art. 73 PSD2 in § 675u BGB umgesetzt. Die Vorschrift regelt, dass die Bank bei einem nicht autorisierten Zahlungsvorgang keinen Anspruch auf Erstattung ihrer Aufwendungen gegen den Kunden hat. Sie muss den Zahlungsbetrag unverzüglich erstatten und das belastete Konto wieder auf den Stand bringen, auf dem es sich ohne die Belastung befunden hätte. Auch hier gilt die Frist bis zum Ende des Geschäftstags, der auf die Anzeige oder Kenntnis folgt. Die einzige Ausnahme entspricht der europäischen Vorgabe: ein begründeter und schriftlich an die Behörde gemeldeter Betrugsverdacht gegen den Kunden selbst.
In der Praxis haben viele Banken Erstattungen bisher mit Verweis auf eine angebliche grobe Fahrlässigkeit des Kunden abgelehnt. Betroffene standen dann vor der Wahl, den Verlust hinzunehmen oder selbst zu klagen. Diese Praxis lässt sich nach dem Urteil nicht mehr aufrechterhalten. Deutsche Gerichte müssen § 675u BGB im Licht der EuGH-Entscheidung auslegen.
Eine Frage hat das Urteil nach unserem bisherigen Kenntnisstand nicht ausdrücklich beantwortet: ob eine Bank einen behaupteten Schadensersatzanspruch sofort mit dem Erstattungsanspruch verrechnen darf. Eine solche Verrechnung würde im Ergebnis dasselbe bewirken wie eine Verweigerung der Erstattung. Wie deutsche Gerichte damit umgehen, bleibt abzuwarten.
Ihre Bank verweist auf ihre bisherige Praxis? Das Urteil des EuGH verändert die Ausgangslage. Lassen Sie Ihre Ansprüche im Bankrecht prüfen.
Erstattung und Haftung: Die zwei Schritte nach dem Urteil
Der EuGH trennt klar zwischen zwei Fragen. Die erste lautet: Muss die Bank den Betrag zunächst erstatten? Die zweite lautet: Wer trägt den Schaden am Ende?
Im ersten Schritt erhält der Kunde sein Geld zurück. Die Bank darf diese Erstattung nicht aufschieben, nur weil sie den Kunden für sorglos hält.
Im zweiten Schritt kann die Bank versuchen, das Geld vom Kunden zurückzufordern. Das setzt voraus, dass der Kunde seine Pflichten vorsätzlich oder grob fahrlässig verletzt hat und dass genau diese Pflichtverletzung den Schaden verursacht hat. Im deutschen Recht ergibt sich diese Haftung aus § 675v Abs. 3 BGB. Zu den Pflichten des Kunden gehört nach § 675l BGB insbesondere, seine personalisierten Sicherheitsmerkmale (etwa PIN, Passwort oder TAN-Verfahren) vor unbefugtem Zugriff zu schützen und einen Missbrauch unverzüglich anzuzeigen.
Für den Kunden ist dabei die Beweislast entscheidend. Nicht der Kunde muss beweisen, dass er sorgfältig war. Die Bank muss beweisen, dass der Kunde grob fahrlässig gehandelt hat. § 675w BGB stellt ausdrücklich klar, dass die bloße Aufzeichnung der Authentifizierung nicht notwendigerweise ausreicht, um grobe Fahrlässigkeit nachzuweisen. Die Bank muss unterstützende Beweismittel vorlegen.
Hinzu kommt eine weitere Schutzregel: Hat die Bank für die Zahlung keine starke Kundenauthentifizierung verlangt, haftet der Kunde nach § 675v Abs. 4 BGB grundsätzlich nicht, es sei denn, er hat in betrügerischer Absicht gehandelt. Und für Zahlungen nach der Anzeige des Missbrauchs haftet der Kunde ebenfalls grundsätzlich nicht.
Fordert Ihre Bank erstattetes Geld zurück? Sie muss Ihre grobe Fahrlässigkeit beweisen. Zahlen Sie nicht, bevor diese Frage geklärt ist.
Wann liegt beim Phishing grobe Fahrlässigkeit vor?
Ob ein Kunde grob fahrlässig gehandelt hat, lässt sich nicht pauschal beantworten. Gerichte bewerten die Umstände des Einzelfalls. Das EuGH-Urteil schafft keine Regel, nach der jeder Phishing-Schaden dauerhaft bei der Bank bleibt. Es verhindert aber, dass der Vorwurf allein die Erstattung blockiert.
Wie raffiniert die Maschen inzwischen sind, zeigt ein Fall, über den die ARD berichtet hat: Ein Arzt aus Thüringen erhielt einen Brief, der wie ein Schreiben seiner Bank aussah und einen QR-Code enthielt. Nachdem er den Code gescannt hatte, buchten Betrüger mehr als 100.000 Euro von seinem Konto ab. Der Brief wirkte so echt, dass er keinen Verdacht schöpfte.
Typische Maschen, mit denen Betrüger an Zugangsdaten gelangen:
- Gefälschte E-Mails und SMS: Nachrichten im Design der Bank fordern zur Bestätigung von Daten oder zur Aktualisierung eines Sicherheitsverfahrens auf.
- QR-Codes in Briefen: Täuschend echte Schreiben per Post leiten über einen QR-Code auf gefälschte Seiten weiter (sogenanntes Quishing).
- Anrufe falscher Bankmitarbeiter: Täter geben sich am Telefon als Sicherheitsabteilung aus und bringen Kunden dazu, Freigaben zu erteilen.
- Gefälschte Bankseiten: Nachgebaute Login-Seiten fangen Zugangsdaten und TANs ab, oft über Links in Nachrichten oder Suchergebnissen.
- Registrierung digitaler Karten: Betrüger verknüpfen die Karte des Opfers mit einem eigenen Smartphone und bezahlen damit.
Bei der Bewertung kommt es unter anderem darauf an, wie echt die Täuschung wirkte, ob der Kunde unter Zeitdruck gesetzt wurde, welche Warnhinweise die Bank gegeben hatte und was dem Kunden bei der Freigabe angezeigt wurde. Je professioneller die Masche, desto schwerer fällt der Bank in der Regel der Nachweis grober Fahrlässigkeit.
Ihnen wird Sorglosigkeit vorgeworfen? Ob das rechtlich trägt, entscheidet nicht die Bank. Lassen Sie den Vorwurf anwaltlich prüfen.
Wichtige Grenze: nicht autorisierte und autorisierte Zahlungen
Die Erstattungspflicht aus § 675u BGB gilt nur für nicht autorisierte Zahlungen. Nicht autorisiert ist eine Zahlung, der Sie nicht zugestimmt haben. Das ist beim klassischen Phishing der Fall: Betrüger nutzen Ihre Daten und lösen selbst eine Überweisung oder Kartenzahlung aus.
Anders kann es aussehen, wenn Sie selbst eine Überweisung in Auftrag gegeben haben, etwa weil ein angeblicher Bankmitarbeiter Sie aufgefordert hat, Geld auf ein sogenanntes Sicherheitskonto zu überweisen. Dann liegt rechtlich meist eine autorisierte Zahlung vor, und die Erstattungspflicht nach § 675u BGB greift nicht ohne Weiteres. In solchen Fällen kommen andere Ansprüche in Betracht, die gesondert geprüft werden müssen.
Schwieriger sind Zwischenfälle, in denen Kunden eine Freigabe erteilen, weil ihnen ein anderer Vorgang vorgetäuscht wurde, zum Beispiel eine angebliche Stornierung. Ob darin eine wirksame Autorisierung liegt, hängt von den Umständen ab, etwa davon, welche Angaben die Freigabe-App tatsächlich anzeigte. Banken werten solche Fälle häufig als autorisiert. Das muss nicht zutreffen.
Die Erstattungspflicht ist nicht auf das Online-Banking beschränkt. Sie gilt ebenso für missbräuchliche Zahlungen mit Kredit- oder Debitkarten und digitalen Karten. Mehr dazu finden Sie auf unserer Seite für Opfer von Kreditkartenbetrug.
Achten Sie auf die Fristen: Nach § 676b Abs. 2 BGB sind Ansprüche wegen nicht autorisierter Zahlungen ausgeschlossen, wenn Sie die Bank nicht spätestens 13 Monate nach der Belastung unterrichtet haben.
Ihre Bank stuft die Zahlung als autorisiert ein? Diese Einordnung entscheidet über Ihren Anspruch. Lassen Sie sie überprüfen, bevor Sie aufgeben.
Was Sie nach einem Phishing-Angriff jetzt konkret tun sollten
Wer Opfer von Phishing oder Online-Banking-Betrug geworden ist, sollte schnell und strukturiert handeln. Die folgenden Schritte sichern Ihre Rechte:
- Bank sofort informieren: Melden Sie den Vorfall unverzüglich und lassen Sie Online-Banking und Karten sperren. Der zentrale Sperr-Notruf ist unter 116 116 erreichbar.
- Erstattung schriftlich verlangen: Fordern Sie die Erstattung ausdrücklich unter Hinweis auf § 675u BGB und das EuGH-Urteil C-70/25 an und setzen Sie eine kurze Frist.
- Zahlungen genau bezeichnen: Benennen Sie jede einzelne Zahlung, der Sie nicht zugestimmt haben, mit Datum und Betrag.
- Beweise sichern: Bewahren Sie E-Mails, SMS, Briefe, QR-Codes, Screenshots, Anruflisten und Kontoauszüge auf.
- Strafanzeige erstatten: Zeigen Sie den Betrug bei der Polizei an und notieren Sie das Aktenzeichen.
- Vorsicht bei Fragebögen: Banken versenden nach Betrugsfällen oft Formulare zum Tathergang. Ihre Antworten können später als Beleg für grobe Fahrlässigkeit dienen.
Füllen Sie Fragebögen der Bank nicht vorschnell aus. Jede Formulierung kann im Streit um die Haftung eine Rolle spielen.
Hat Ihre Bank die Erstattung bereits abgelehnt, ist der Fall damit nicht erledigt. Sie können die Erstattung unter Berufung auf das Urteil erneut verlangen und eine schriftliche Begründung der Ablehnung anfordern. Ob und in welchem Umfang ältere Fälle noch durchsetzbar sind, hängt von den Fristen und den Umständen des Einzelfalls ab.
Geld weg, Bank blockt ab? Jetzt zählt ein sauberes Vorgehen. Lassen Sie sich beraten, bevor Sie weitere Erklärungen gegenüber der Bank abgeben.
Rogert & Ulbrich – Ihre Anwälte im Bankrecht
Rogert & Ulbrich vertritt seit vielen Jahren Verbraucher gegenüber Banken, Zahlungsdienstleistern und großen Unternehmen. Die Partner Dr. Marco Rogert und Tobias Ulbrich verfügen über umfangreiche Erfahrung in der Durchsetzung von Verbraucheransprüchen, auch in komplexen Fällen von Online-Betrug und unberechtigten Kontobelastungen.
Wir prüfen, ob Ihre Zahlung nicht autorisiert war, ob die Ablehnung Ihrer Bank rechtlich haltbar ist und ob der Vorwurf grober Fahrlässigkeit trägt. Wir fordern die Erstattung außergerichtlich ein, wehren Rückforderungen der Bank ab und vertreten Sie bei Bedarf vor Gericht. Bei grenzüberschreitenden Zahlungen unterstützt Sie unser mehrsprachiges Team.
Sie sind Opfer von Phishing geworden und Ihre Bank verweigert die Erstattung? Das EuGH-Urteil gibt Ihnen ein starkes Argument an die Hand. Nehmen Sie Kontakt auf und sichern Sie Ihre Ansprüche.
