Phishing-Betrug: Muss die Bank das Geld sofort erstatten? Das EuGH-Urteil C-70/25

Kurzübersicht: Wurde Ihr Konto nach einem Phishing-Angriff belastet, darf die Bank die Rückerstattung einer nicht autorisierten Zahlung nicht allein mit dem Hinweis auf grobe Fahrlässigkeit verweigern. Dies entschied der Europäische Gerichtshof am 15. Oktober 2026 (C-70/25). Die Bank muss den Betrag zunächst erstatten. Sie kann anschließend Schadensersatz fordern, sofern sie nachweisen kann, dass der Kunde grob fahrlässig gehandelt hat. Ob eine Zahlung als „nicht autorisiert“ einzustufen ist, muss jeweils im Einzelfall entschieden werden.

Was hat der EuGH am 15. Oktober 2026 entschieden?

Eine Bank darf die unverzügliche Rückerstattung einer nicht autorisierten Zahlung nicht mit der Begründung verweigern, dass der Kunde die Transaktion durch grobe Fahrlässigkeit ermöglicht habe. Dies ist das zentrale Ergebnis des Urteils in der Rechtssache C-70/25.

Der Fall aus Polen

Eine Kundin einer polnischen Bank wollte einen Artikel über ein Online-Portal verkaufen. Ein vermeintlicher Käufer schickte ihr einen Link. Dieser führte zu einer Seite, die der Website ihrer Bank täuschend ähnlich sah. Dort gab sie ihre Zugangsdaten ein. Der Täter veranlasste eine Überweisung von rund 705 Euro (3.000 Złoty) und autorisierte diese mit einem SMS-Code, den er durch Betrug erlangt hatte. Die Kundin meldete den Betrug am folgenden Tag. Die Bank weigerte sich, ihr den Betrag zu erstatten. Sie warf der Kundin grobe Fahrlässigkeit bei der Weitergabe ihrer Zugangsdaten vor.

Erst erstatten, dann streiten

Die europäische Zahlungsdiensterichtlinie sieht für die Regelung zur unverzüglichen Rückerstattung nur eine einzige Ausnahme vor: wenn die Bank berechtigte Gründe zu der Annahme hat, dass der Kunde Betrug begangen hat, und sie die zuständige Behörde schriftlich darüber in Kenntnis setzt. Grobe Fahrlässigkeit stellt keinen solchen Grund dar.

Sie kommt erst in einem zweiten Schritt zum Tragen. Nach erfolgter Rückerstattung kann die Bank vom Kunden Schadensersatz verlangen, sofern dieser grob fahrlässig gehandelt hat. Der Europäische Gerichtshof begründet dies zudem mit dem Verbraucherschutz: Müsste der Kunde erst gerichtlich gegen die Bank vorgehen, um sein Geld zurückzuerhalten, so lägen die damit verbundenen Lasten und Kosten bei ihm.

Gilt das Urteil auch in Deutschland?

Ja, die Rechtslage ist in Deutschland identisch. § 675u des Bürgerlichen Gesetzbuchs (BGB) verpflichtet die Bank dazu, bei einem nicht autorisierten Zahlungsvorgang den Betrag unverzüglich zu erstatten. Dies muss spätestens bis zum Ende des Geschäftstages erfolgen, der auf den Tag folgt, an dem der Bank der Zahlungsvorgang gemeldet wurde oder sie anderweitig davon Kenntnis erlangt hat. Eine gesetzliche Ausnahme ist lediglich für den Fall vorgesehen, dass ein Betrugsverdacht besteht, den die Bank schriftlich bei einer Behörde gemeldet hat. Für Fälle grober Fahrlässigkeit sieht § 675u BGB hingegen keine Ausnahme vor.

Der Vorwurf grober Fahrlässigkeit betrifft die spätere Haftung des Kunden nach § 675v Abs. 3 Nr. 2 BGB. Das Urteil bestätigt damit, wie die Richtlinie auszulegen ist, auf der diese Vorschriften beruhen.

Banken in Polen und in Deutschland

In seinem Vorabentscheidungsersuchen schildert das polnische Gericht die dortige Situation: Banken gehen nur selten gegen Kunden vor, verweigern aber häufig Rückerstattungen, sodass Verbraucher gezwungen sind, den Rechtsweg zu beschreiten. Dies ist die Darstellung des vorlegenden Gerichts, keine Feststellung des EuGH.

Der Verbraucherzentrale Bundesverband beschreibt ein ähnliches Muster in Deutschland. In einem Bericht vom April 2026 werden 100 Verbraucherbeschwerden analysiert, bei denen Banken eine Rückerstattung mit dem Verweis auf grobe Fahrlässigkeit verweigerten. Der Bericht ist nicht repräsentativ. Rechtlich gilt in Deutschland jedoch dasselbe Prinzip wie in Polen: Die Bank muss zunächst eine Rückerstattung leisten. Ob die Bank dies letztlich auch tut, steht jedoch auf einem anderen Blatt.

Wann hilft das Urteil nicht weiter?

Das Urteil bezieht sich ausschließlich auf nicht autorisierte Zahlungsvorgänge. Der EuGH legte diese Einordnung im vorliegenden Fall zugrunde, ohne sie selbst zu prüfen.

Dies ist in der Praxis der entscheidende Punkt. Banken argumentieren häufig, dass der Kunde die Zahlung selbst autorisiert habe – etwa mittels einer TAN oder über eine App. Eine autorisierte Zahlung fällt nicht in den Anwendungsbereich des § 675u des Bürgerlichen Gesetzbuchs (BGB). Unter einer Autorisierung ist die Zustimmung zum Zahlungsvorgang zu verstehen (§ 675j Abs. 1 BGB). In der deutschen Rechtsprechung wird unterschiedlich beurteilt, ob eine durch Täuschung erwirkte Autorisierung eine solche Zustimmung darstellt. Das Urteil des EuGH enthält hierzu keine Aussage.

Wie Gerichte grobe Fahrlässigkeit beim Weitergeben von Daten beurteilen, zeigt mein Beitrag zu BGH XI ZR 107/24. Eine Entscheidung zur Haftung bei Social Engineering behandle ich im Beitrag zum OLG Brandenburg. Hier kommt es auf die jeweilige individuelle Fallkonstellation an.

Wer muss grobe Fahrlässigkeit beweisen?

Die Bank. Der EuGH weist in den Gründen auf Art. 72 Abs. 2 der Zahlungsdiensterichtlinie hin. Gemäß dieser Bestimmung muss der Zahlungsdienstleister Nachweise vorlegen, wenn er dem Kunden Betrug oder eine vorsätzlich beziehungsweise grob fahrlässig begangene Pflichtverletzung vorwirft. Die dazu passende Regelung findet sich dann in 675w BGB.

Es handelt sich hierbei um einen Hinweis in der Begründung und nicht um eine eigenständige Feststellung im Tenor der Entscheidung. Der Tenor bezieht sich ausschließlich auf die Erstattungspflicht. Dennoch ist dieser Hinweis für die Betroffenen von Bedeutung. Allgemeine Behauptungen der Bank reichen als Nachweis nicht aus. Zudem erfordert die Annahme grober Fahrlässigkeit stets eine Prüfung des Einzelfalls.

Was das Urteil in der Praxis bedeutet

Für Verbraucher ist das Urteil sehr positiv. Es stärkt den Anspruch auf sofortige Erstattung und nimmt der Bank ein häufig genutztes Argument.

Es bleibt abzuwarten, wie sich dies in der Praxis gestalten wird. Meiner Einschätzung nach ist es eher unwahrscheinlich, dass deutsche Banken ihre derzeitige Praxis kurzfristig ändern werden. Viele der Betroffenen werden ihre Ansprüche zunächst weiterhin ausdrücklich geltend machen müssen – gegebenenfalls unter Inanspruchnahme rechtlichen Beistands. Zudem bleibt abzuwarten, wie deutsche Gerichte das Urteil anwenden und wie sie es mit ihrer bisherigen Rechtsprechung in Einklang bringen werden.

Phishing-Opfer: Was Sie jetzt tun sollten

• Bank sofort informieren. Melden Sie den Vorgang telefonisch, sperren Sie Zugang und Karte und bestätigen Sie das in Textform (E-Mail, Brief, Banking-Postfach). Die Meldung löst die Frist für die Erstattung aus.
• Erstattung ausdrücklich verlangen. Fordern Sie schriftlich die Erstattung nach § 675u BGB und nennen Sie die Frist (Ende des folgenden Geschäftstags).
• Beweise sichern. Speichern Sie Nachrichten, Links, Screenshots, Kontoauszüge und Anrufdaten, bevor sie verloren gehen.
• Anzeige erstatten. Eine Strafanzeige bei der Polizei ist rechtlich nicht Voraussetzung, hilft aber bei der Dokumentation.
• Nichts vorschnell unterschreiben. Prüfen Sie Vergleichsangebote und Erklärungen der Bank in Ruhe. Der vzbv berichtet von Angeboten, bei denen Banken nur einen Teil des Schadens übernehmen wollten.
• Frist beachten. Nach der Richtlinie müssen Sie die nicht autorisierte Zahlung unverzüglich anzeigen, spätestens 13 Monate nach der Belastung (§676b ABs. 2 BGB).
• Bei Ablehnung Rat einholen. Lassen Sie die Ablehnung der Bank prüfen, vor allem wenn sie sich auf Autorisierung oder grobe Fahrlässigkeit beruft.

Häufige Fragen

Muss die Bank bei Phishing immer sofort erstatten?

Nein. Die Pflicht gilt für nicht autorisierte Zahlungen. Ausnahme ist ein berechtigter Betrugsverdacht gegen den Kunden, den die Bank einer Behörde schriftlich mitteilt.

Bis wann muss die Bank erstatten?

Unverzüglich, spätestens bis zum Ende des Geschäftstags, der auf den Tag folgt, an dem ihr der Vorgang angezeigt wurde oder sie davon Kenntnis erhielt (§ 675u BGB).

Kann die Bank das Geld später zurückverlangen?

Ja, wenn sie dem Kunden grobe Fahrlässigkeit nachweisen kann. Das ist die zweite Stufe nach der Erstattung (§ 675v Abs. 3 Nr. 2 BGB).

Wie lange habe ich Zeit, den Betrug zu melden?

Unverzüglich, spätestens 13 Monate nach der Belastung (§676 Abs. 2 BGB).

Gilt das Urteil auch, wenn ich die Überweisung selbst freigegeben habe?

Das Urteil betrifft nur nicht autorisierte Zahlungsvorgänge. Wie eine durch Täuschung erlangte Freigabe zu bewerten ist, beurteilen deutsche Gerichte im Einzelfall.

Fazit

Das EuGH-Urteil C-70/25 stärkt Phishing-Opfer: Die Bank muss zunächst erstatten und darf sich nicht allein auf grobe Fahrlässigkeit berufen. Für Deutschland entspricht das dem Wortlaut von § 675u BGB. Entscheidend bleibt, ob die Zahlung als nicht autorisiert gilt und wie die Praxis auf das Urteil reagiert. Wer betroffen ist, sollte die Bank sofort informieren, die Erstattung ausdrücklich verlangen und Beweise sichern. Bei einer wohl zu erwartenden Ablehnung sollten Sie sich anwaltlich beraten lassen.

Dieser Beitrag ersetzt keine individuelle Rechtsberatung. Für eine verbindliche Einschätzung Ihres Einzelfalls wenden Sie sich bitte an eine Rechtsanwältin oder einen Rechtsanwalt.