Der Europäische Gerichtshof (EuGH) hat mit Urteil vom 15. Oktober 2026 (Az. C-70/25 – Tukowiecka) eine wichtige Entscheidung zugunsten von Opfern des Online-Banking-Betrugs bzw. Phishings getroffen. Banken sind grundsätzlich verpflichtet, nicht autorisierte Zahlungen unverzüglich zu erstatten – selbst wenn sie ihren Kunden vorwerfen, den Betrug durch grobe Fahrlässigkeit ermöglicht zu haben. Ein möglicher Schadensersatzanspruch der Bank muss hiervon rechtlich getrennt betrachtet werden. Das Urteil hat weitreichende Bedeutung für Bankkunden in Deutschland, denen durch Phishing, gefälschte Bankwebseiten oder den Missbrauch von Zugangsdaten Geld vom Konto entwendet wurde.
Viele Bankkunden kennen das Problem: Kriminelle verschaffen sich durch täuschend echt gestaltete E-Mails, SMS oder Internetseiten Zugang zum Online-Banking. Anschließend werden Überweisungen ausgeführt, die der Kontoinhaber weder veranlasst noch genehmigt hat.
Verlangen die Betroffenen von ihrer Bank die Rückerstattung, erhalten sie nicht selten eine ablehnende Antwort. Die Begründung lautet häufig, der Kunde habe seine Zugangsdaten preisgegeben, Sicherheitswarnungen ignoriert oder eine TAN beziehungsweise eine Zahlung in der Banking-App freigegeben. Deshalb liege grobe Fahrlässigkeit vor, für die die Bank nicht einstehen müsse.
Dieser Argumentation hat der EuGH nun eine klare Grenze gesetzt.
Die Bank darf ihre gesetzliche Verpflichtung zur unverzüglichen Erstattung einer nicht autorisierten Zahlung grundsätzlich nicht allein deshalb verweigern, weil sie dem Kunden grobe Fahrlässigkeit vorwirft.
1. Der Fall: Gefälschte Bankwebseite führt zu unberechtigter Überweisung
Der Entscheidung des EuGH lag ein Phishing-Angriff auf eine Kundin einer polnischen Bank zugrunde. Die Frau hatte auf einer Online-Verkaufsplattform einen Artikel zum Verkauf angeboten. Ein vermeintlicher Kaufinteressent meldete sich bei ihr und übersandte einen Link, über den sie angeblich den Verkauf bestätigen sollte. Tatsächlich handelte es sich um einen betrügerischen Link. Dieser führte zu einer Internetseite, die das Erscheinungsbild der Webseite ihrer Bank nachahmte. Im Vertrauen auf die Echtheit der Seite gab die Kundin dort ihre Zugangsdaten für das Online-Banking ein. Die Betrüger verwendeten diese Informationen, um eine Überweisung von umgerechnet rund 700 Euro von ihrem Konto auf ein fremdes Konto auszuführen. Bereits am folgenden Tag bemerkte die Kundin den Betrug, informierte ihre Bank und verlangte die Rückerstattung. Die Bank verweigerte jedoch die Zahlung. Sie vertrat die Auffassung, die Kundin habe den Betrug durch grobe Fahrlässigkeit ermöglicht, indem sie ihre personalisierten Sicherheitsmerkmale nicht ausreichend geschützt habe.
Die Kundin erhob daraufhin Klage.
Das zuständige polnische Gericht legte dem Europäischen Gerichtshof die Frage vor, ob eine Bank die sofortige Erstattung einer nicht autorisierten Zahlung unter Berufung auf eine grob fahrlässige Pflichtverletzung des Kontoinhabers verweigern darf.
2. Die Entscheidung des EuGH: Erst erstatten, dann mögliche Haftungsansprüche prüfen
Der EuGH beantwortete die Vorlagefrage mit Urteil vom 15. Oktober 2026 eindeutig zugunsten der grundsätzlichen Erstattungspflicht.
Nach Art. 73 Abs. 1 der europäischen Zahlungsdiensterichtlinie (Richtlinie (EU) 2015/2366 – PSD2) muss ein Zahlungsdienstleister den Betrag eines nicht autorisierten Zahlungsvorgangs grundsätzlich unverzüglich zurückerstatten. Die Erstattung muss spätestens bis zum Ende des Geschäftstags erfolgen, der auf den Tag folgt, an dem der Zahlungsdienstleister von dem nicht autorisierten Zahlungsvorgang Kenntnis erlangt oder entsprechend informiert wird.
Entscheidend ist: Diese gesetzliche Erstattungspflicht besteht grundsätzlich auch dann, wenn die Bank dem Kunden grobe Fahrlässigkeit vorwirft.
Der Gerichtshof unterscheidet zwei eigenständige rechtliche Fragen:
Erstens: Wurde eine Zahlung ohne wirksame Autorisierung des Kontoinhabers ausgeführt, muss die Bank den Betrag grundsätzlich zunächst erstatten und den ursprünglichen Kontostand wiederherstellen.
Zweitens: Davon zu unterscheiden ist ein möglicher Schadensersatzanspruch der Bank. Dieser kann bestehen, wenn der Kunde seine gesetzlichen oder vertraglichen Pflichten vorsätzlich oder grob fahrlässig verletzt und dadurch den Schaden verursacht hat.
Die Bank muss die hierfür erforderlichen Voraussetzungen allerdings nachweisen.
Der EuGH stellt damit klar, dass die Verpflichtung zur sofortigen Erstattung nicht dadurch ausgehöhlt werden darf, dass Zahlungsdienstleister bereits im Vorfeld eine mögliche Haftung ihrer Kunden behaupten.
Die Bank kann unter den gesetzlichen Voraussetzungen später Ersatz des entstandenen Schadens verlangen. Der bloße Vorwurf grober Fahrlässigkeit rechtfertigt jedoch keine Verweigerung der zunächst geschuldeten Rückerstattung.
3. Welche Bedeutung hat das Urteil für Bankkunden in Deutschland?
Die Entscheidung betrifft unmittelbar die Auslegung der Zweiten Zahlungsdiensterichtlinie PSD2. Deren Vorgaben wurden in Deutschland insbesondere in den §§ 675c ff. BGB umgesetzt.
Von zentraler Bedeutung ist § 675u BGB. Danach hat der Zahlungsdienstleister bei einem nicht autorisierten Zahlungsvorgang grundsätzlich keinen Anspruch auf Erstattung seiner Aufwendungen gegen den Zahler.
Darüber hinaus ist die Bank verpflichtet, den Zahlungsbetrag unverzüglich zurückzuerstatten und das belastete Zahlungskonto wieder auf den Stand zu bringen, auf dem es sich ohne den nicht autorisierten Zahlungsvorgang befunden hätte.
Damit besteht bereits nach deutschem Recht ein unmittelbarer Anspruch auf Rückerstattung.
Das neue EuGH-Urteil verdeutlicht nun, dass dieser Anspruch nicht allein mit dem Hinweis auf eine mögliche grob fahrlässige Pflichtverletzung des Bankkunden von vornherein verweigert werden darf.
Für die Praxis ist diese Klarstellung erheblich. Banken berufen sich bei Phishing-Fällen häufig darauf, dass ein Kunde auf einen betrügerischen Link geklickt oder seine Zugangsdaten auf einer gefälschten Internetseite eingegeben habe. Teilweise wird bereits aus der erfolgreichen technischen Authentifizierung einer Zahlung geschlossen, dass der Kunde entweder selbst gehandelt oder jedenfalls grob fahrlässig die Ausführung ermöglicht habe. Diese Gesichtspunkte können im Rahmen einer möglichen Kundenhaftung relevant sein. Sie beseitigen jedoch nicht automatisch die eigenständige gesetzliche Verpflichtung zur unverzüglichen Erstattung.
Der EuGH stärkt damit insbesondere diejenigen Verbraucher, denen die Bank eine Rückzahlung bislang pauschal unter Hinweis auf angebliche grobe Fahrlässigkeit verweigert hat.
4. Wann liegt überhaupt eine nicht autorisierte Zahlung vor?
Voraussetzung für den Erstattungsanspruch ist, dass der betreffende Zahlungsvorgang nicht autorisiert war. Eine Autorisierung liegt gemäß § 675j Abs. 1 BGB grundsätzlich dann vor, wenn der Zahler dem Zahlungsvorgang in der vereinbarten Form zugestimmt hat. Hierbei ist zwischen der technischen Authentifizierung und der rechtlichen Autorisierung zu unterscheiden. Die bloße Verwendung korrekter Online-Banking-Zugangsdaten bedeutet noch nicht zwangsläufig, dass der Kontoinhaber eine Zahlung wirksam autorisiert hat. Das gilt insbesondere dann, wenn Dritte die Zugangsdaten durch Phishing erlangt und anschließend eigenständig Überweisungen veranlasst haben. Auch die Verwendung einer TAN oder eines anderen Authentifizierungsverfahrens führt nicht in jedem Fall automatisch zum Nachweis einer wirksamen Autorisierung.
Entscheidend sind die konkreten Umstände des jeweiligen Zahlungsvorgangs.
Wichtig ist allerdings die Abgrenzung zu Fällen, in denen ein Bankkunde aufgrund einer Täuschung selbst eine Überweisung an einen Betrüger veranlasst und autorisiert hat. Nicht jede durch Betrug veranlasste Überweisung ist rechtlich zugleich ein nicht autorisierter Zahlungsvorgang. Die Rechtsprechung zu § 675u BGB und das neue EuGH-Urteil betreffen unmittelbar die Haftungsverteilung bei fehlender Autorisierung.
Ob ein solcher Fall vorliegt, muss daher sorgfältig geprüft werden.
5. Grobe Fahrlässigkeit beim Online-Banking: Wann kann die Bank Schadensersatz verlangen?
Das EuGH-Urteil bedeutet nicht, dass Bankkunden künftig unabhängig von ihrem Verhalten stets endgültig von jeder Haftung befreit sind. Nach § 675v Abs. 3 BGB kann der Kontoinhaber zum Ersatz des entstandenen Schadens verpflichtet sein, wenn er diesen durch eine vorsätzliche oder grob fahrlässige Verletzung der einschlägigen Pflichten herbeigeführt hat. Dazu gehört insbesondere die Verpflichtung nach § 675l Abs. 1 BGB, personalisierte Sicherheitsmerkmale vor unbefugtem Zugriff zu schützen. Ob eine grob fahrlässige Pflichtverletzung vorliegt, hängt jedoch von den konkreten Umständen ab. Nicht jeder Fehler bei der Nutzung des Online-Bankings ist automatisch grob fahrlässig.
Zu berücksichtigen sind beispielsweise folgende Fragen:
-
War die gefälschte Internetseite für den Kunden als solche erkennbar?
-
Wie professionell und überzeugend war die betrügerische Nachricht gestaltet?
-
Wurden Sicherheitswarnungen der Bank angezeigt?
-
Welche Informationen waren bei einer etwaigen TAN-Freigabe oder Bestätigung in der Banking-App sichtbar?
-
Hat der Kunde lediglich Zugangsdaten eingegeben oder darüber hinaus eine konkrete Zahlung freigegeben?
-
Welche technischen Schutzmaßnahmen hatte die Bank eingerichtet?
-
War der Betrug angesichts der konkreten Täuschungssituation für den Kunden überhaupt erkennbar?
Gerade moderne Phishing-Angriffe sind häufig hochprofessionell gestaltet. Kriminelle verwenden gefälschte Bankwebseiten, manipulierte Telefonnummern, nachgeahmte Nachrichten und psychologisch ausgefeilte Täuschungsmethoden. Deshalb lässt sich grobe Fahrlässigkeit nicht allein daraus ableiten, dass ein Verbraucher auf einen betrügerischen Link geklickt oder seine Zugangsdaten auf einer gefälschten Webseite eingegeben hat. Selbst wenn eine grob fahrlässige Pflichtverletzung im Einzelfall nachgewiesen werden kann, bleibt nach der Entscheidung des EuGH die grundsätzlich vorrangige Verpflichtung zur unverzüglichen Erstattung bestehen.
Ein etwaiger Schadensersatzanspruch der Bank ist hiervon rechtlich zu unterscheiden.
6. Die Bank trägt die Beweislast – eine erfolgreiche TAN-Prüfung genügt nicht automatisch
Von erheblicher Bedeutung ist außerdem die Beweislastverteilung. Nach § 675w BGB hat der Zahlungsdienstleister im Streit über die Autorisierung eines Zahlungsvorgangs insbesondere nachzuweisen, dass eine Authentifizierung erfolgt ist und der Zahlungsvorgang ordnungsgemäß aufgezeichnet und verbucht wurde. Die erfolgreiche technische Authentifizierung allein beweist jedoch nicht zwangsläufig die rechtliche Autorisierung. Ebenso wenig genügt sie ohne Weiteres, um dem Kunden betrügerisches Verhalten oder eine vorsätzliche beziehungsweise grob fahrlässige Pflichtverletzung nachzuweisen. Der Zahlungsdienstleister muss hierfür entsprechende unterstützende Beweismittel vorlegen.
Der EuGH bestätigt in seinem Urteil vom 15. Oktober 2026 ausdrücklich, dass die Bank die grobe Fahrlässigkeit des Kunden nachzuweisen hat, wenn sie daraus einen Schadensersatzanspruch ableiten möchte.
Daher reicht es nicht, pauschal auf die Verwendung korrekter Zugangsdaten, einer TAN oder einer Banking-App zu verweisen. Vielmehr kommt es auf die konkreten technischen Abläufe, die dem Kunden angezeigten Informationen und die Umstände der betrügerischen Handlung an.
7. Gibt es Ausnahmen von der Pflicht zur unverzüglichen Erstattung?
Ja. Allerdings sind diese eng begrenzt.
Art. 73 Abs. 1 PSD2 sieht eine ausdrückliche Ausnahme für Fälle vor, in denen der Zahlungsdienstleister berechtigte Gründe für den Verdacht eines betrügerischen Verhaltens des Kunden selbst hat und diese Gründe der zuständigen nationalen Behörde schriftlich mitteilt.
Die deutsche Umsetzung findet sich in § 675u BGB. Entscheidend ist hierbei die Unterscheidung zwischen einem Betrugsverdacht gegen den Kontoinhaber und dem Vorwurf einer bloß fahrlässigen oder grob fahrlässigen Pflichtverletzung. Die Bank darf einen Kunden nicht allein deshalb wie einen Betrüger behandeln, weil dieser möglicherweise unvorsichtig mit seinen Zugangsdaten umgegangen ist. Ein Verdacht grober Fahrlässigkeit ersetzt nicht den gesetzlich vorausgesetzten Betrugsverdacht.
Daneben können weitere gesetzliche Voraussetzungen und Haftungsausschlüsse relevant werden, beispielsweise die Regelungen über die starke Kundenauthentifizierung nach § 675v Abs. 4 BGB.
8. Was bedeutet das Urteil für Kunden, deren Bank die Rückzahlung bereits verweigert hat?
Besonders bedeutsam ist die Entscheidung für Verbraucher, die nach einem Phishing-Angriff bereits eine ablehnende Entscheidung ihrer Bank erhalten haben. Häufig argumentieren Kreditinstitute, der Kunde habe gegen Sicherheitsvorschriften verstoßen, indem er Zugangsdaten preisgegeben oder einen Vorgang bestätigt habe. Nach dem neuen EuGH-Urteil sollte in diesen Fällen sorgfältig geprüft werden, ob die Bank ihre eigenständige Pflicht zur unverzüglichen Erstattung nach § 675u BGB verletzt hat.
Dabei sind insbesondere folgende Fragen entscheidend:
War die Zahlung tatsächlich nicht autorisiert?
Wenn der Betrüger eigenständig auf das Konto zugegriffen und eine Zahlung ohne wirksame Zustimmung des Kontoinhabers ausgeführt hat, kann ein Erstattungsanspruch bestehen.
Hat die Bank die Erstattung lediglich unter Hinweis auf angebliche grobe Fahrlässigkeit verweigert?
Eine solche Begründung trägt für sich genommen nach der aktuellen Entscheidung des EuGH grundsätzlich keine Verweigerung der sofortigen Erstattung.
Kann die Bank einen eigenständigen Schadensersatzanspruch nachweisen?
Hierzu muss sie die gesetzlichen Voraussetzungen substantiiert darlegen und beweisen. Auch die Frage einer möglichen Aufrechnung mit einem Gegenanspruch bedarf einer gesonderten rechtlichen Prüfung.
Die Entscheidung des EuGH kann damit Anlass geben, bereits abgelehnte Rückzahlungsansprüche erneut rechtlich überprüfen zu lassen.
9. Was sollten Opfer von Phishing und Online-Banking-Betrug jetzt tun?
Wer feststellt, dass von seinem Konto eine nicht autorisierte Überweisung ausgeführt wurde, sollte unverzüglich handeln.
Bank sofort informieren und Zugang sperren lassen
Informieren Sie Ihre Bank über den Betrug und veranlassen Sie die Sperrung betroffener Online-Banking-Zugänge und Zahlungsinstrumente. Soweit noch möglich, sollte die Bank auch eine Rückholung der Überweisung versuchen.
Rückerstattung ausdrücklich verlangen
Fordern Sie unter Berufung auf § 675u BGB die unverzügliche Erstattung des nicht autorisierten Zahlungsbetrags sowie die Wiederherstellung des ursprünglichen Kontostands.
Beweise sichern
Bewahren Sie insbesondere betrügerische Nachrichten, E-Mails, SMS, Links, Screenshots, Kontoauszüge und die bisherige Korrespondenz mit Ihrer Bank auf.
Ablehnung wegen angeblicher grober Fahrlässigkeit überprüfen lassen
Akzeptieren Sie nicht ungeprüft die Behauptung, die Bank müsse wegen Ihres Verhaltens nicht für den Schaden aufkommen.
Gesetzliche Fristen beachten
Nicht autorisierte Zahlungsvorgänge müssen der Bank grundsätzlich spätestens innerhalb von 13 Monaten nach der Belastung angezeigt werden (§ 676b Abs. 2 BGB). Für den Fristbeginn sind die gesetzlichen Informationsvoraussetzungen maßgeblich. Daneben ist eine unverzügliche Anzeige nach Feststellung des Vorgangs erforderlich.
Rechtliche Unterstützung in Anspruch nehmen
Verweigert die Bank weiterhin die Erstattung, kann eine anwaltliche Prüfung klären, ob und in welcher Höhe Ansprüche bestehen und wie sie außergerichtlich oder gerichtlich durchgesetzt werden können.