Nach einem Phishing-Angriff ist Geld vom Giro- oder Kreditkartenkonto verschwunden – doch die Bank verweigert die Erstattung und wirft Ihnen grobe Fahrlässigkeit vor? Der Europäische Gerichtshof (EuGH) hat mit Urteil vom 15. Oktober 2026 in der Rechtssache C-70/25 klargestellt: Bei nicht autorisierten Zahlungen muss die Bank den Betrag grundsätzlich zunächst unverzüglich erstatten. Der Vorwurf grober Fahrlässigkeit rechtfertigt es nicht, diese Erstattung zurückzuhalten. Für Betroffene kommt es deshalb darauf an, den Erstattungsanspruch von einer möglichen späteren Haftung zu unterscheiden und die eigenen Rechte gezielt geltend zu machen.
Was hat der EuGH zur Erstattung nach Phishing entschieden?
Die zentrale Aussage des Urteils lautet: Bei einer nicht autorisierten Zahlung muss die Bank grundsätzlich zunächst erstatten. Ob der Kunde den Schaden wegen einer grob fahrlässigen Pflichtverletzung letztlich selbst tragen muss, ist davon getrennt zu prüfen.
Ein Streit über die Haftungsfrage darf die Erfüllung der Erstattungspflicht grundsätzlich nicht blockieren. Die Bank kann die Erstattung deshalb nicht allein mit der Begründung verweigern, der Kunde habe seine Zugangsdaten nicht ausreichend geschützt.
Der Ausgangsfall: Bankkundin verliert Geld über eine gefälschte Internetseite
Das Verfahren betraf eine Bankkundin aus Polen, die über eine Online-Verkaufsplattform einen Artikel angeboten hatte. Ein vermeintlicher Kaufinteressent schickte ihr einen Link. Über gefälschte Internetseiten gelangte sie auf eine Seite, die dem Online-Auftritt ihrer Bank ähnelte. Dort gab sie ihre Zugangsdaten ein. Ein Betrüger nutzte diese anschließend für eine Überweisung von rund 700 Euro.
Die Kundin meldete den Vorfall ihrer Bank. Diese verweigerte jedoch die Erstattung unter Hinweis auf grobe Fahrlässigkeit. Das zuständige polnische Gericht wollte vom EuGH wissen, ob dieser Einwand die unverzügliche Erstattung ausschließen darf.
Der EuGH verneinte dies. Ob die Kundin tatsächlich grob fahrlässig gehandelt hatte, hat er damit nicht entschieden. Diese Frage bleibt im Ausgangsverfahren zu klären.
Was ist an dem EuGH-Urteil neu?
Die gesetzliche Pflicht zur schnellen Erstattung nicht autorisierter Zahlungen bestand bereits vor dem Urteil. Neu ist die ausdrückliche Klarstellung des EuGH zum Verhältnis zwischen dieser Erstattungspflicht und einer möglichen Haftung des Kunden: Selbst der Vorwurf einer grob fahrlässigen Pflichtverletzung berechtigt die Bank nicht dazu, die zunächst geschuldete Erstattung zu verweigern.
Das hat erhebliche praktische Bedeutung. Verweigert eine Bank die Rückzahlung, fehlt den Betroffenen das Geld häufig während der gesamten Auseinandersetzung. Nach der Klarstellung des EuGH soll der Kunde bei einer nicht autorisierten Zahlung grundsätzlich nicht erst den Haftungsstreit durchstehen müssen, bevor sein Konto wieder ausgeglichen wird.
Das Urteil ist allerdings kein Freibrief: Hat die Bank einen begründeten Ersatzanspruch gegen den Kunden, kann sie diesen nach der Erstattung geltend machen.
Nicht autorisierte Zahlung: Welche Ansprüche bestehen gegen die Bank?
Im deutschen Recht regelt § 675u BGB die Erstattung bei nicht autorisierten Zahlungsvorgängen. Die Bank muss den Zahlungsbetrag grundsätzlich unverzüglich erstatten und ein belastetes Konto wieder auf den Stand bringen, auf dem es sich ohne die nicht autorisierte Zahlung befunden hätte.
Das Gesetz nennt auch eine zeitliche Grenze: Die Erstattung muss grundsätzlich spätestens bis zum Ende des Geschäftstags erfolgen, der auf den Tag folgt, an dem die Bank über die fehlende Autorisierung informiert wurde oder auf andere Weise davon Kenntnis erhalten hat. Es geht damit nicht pauschal um eine Frist von 24 Stunden.
Nicht jeder Betrugsfall ist automatisch eine nicht autorisierte Zahlung
Entscheidend ist, ob der Kontoinhaber dem konkreten Zahlungsvorgang wirksam zugestimmt hat. Hat ein Täter ohne eine solche Zustimmung eine Zahlung ausgelöst, kommt ein Erstattungsanspruch wegen einer nicht autorisierten Zahlung in Betracht.
Anders kann die rechtliche Ausgangslage sein, wenn ein Kunde durch Täuschung dazu gebracht wurde, selbst eine Überweisung an einen Betrüger zu veranlassen. Eine betrugsbedingt vorgenommene Zahlung ist nicht allein wegen der Täuschung automatisch nicht autorisiert. Deshalb müssen der Ablauf, die angezeigten Zahlungsdaten und die vorgenommenen Freigaben im Einzelfall geprüft werden.
Grobe Fahrlässigkeit: Wer haftet nach einem Phishing-Angriff?
Grobe Fahrlässigkeit bedeutet vereinfacht, dass jemand die erforderliche Sorgfalt in besonders schwerem Maße verletzt. Im Zusammenhang mit Online-Banking kann die Bank beispielsweise geltend machen, dass Sicherheitsmerkmale unter besonders vorwerfbaren Umständen weitergegeben wurden. Ob tatsächlich grobe Fahrlässigkeit vorliegt, hängt jedoch von den konkreten Umständen ab und darf nicht lediglich unterstellt werden.
Die Bank muss die Voraussetzungen eines gegen den Kunden gerichteten Ersatzanspruchs nachweisen. Dazu gehört insbesondere, dass eine entsprechende Pflichtverletzung vorlag und der Verlust darauf beruht.
Wann darf die Bank die sofortige Erstattung ausnahmsweise zurückhalten?
Eine Ausnahme sieht das europäische Recht bei berechtigten Gründen für den Verdacht vor, dass der Kunde selbst betrügerisch handelt. Die Bank muss diese Gründe der zuständigen nationalen Behörde schriftlich mitteilen.
Das ist etwas anderes als der Vorwurf, ein Kunde sei auf einen Betrug hereingefallen und habe dabei grob fahrlässig gehandelt. Der Verdacht eines eigenen Betrugs des Kunden und eine unvorsichtige Mitwirkung an einem fremden Betrug dürfen nicht gleichgesetzt werden.
Verbraucherschützer sehen auch in Deutschland Probleme
Die Entscheidung betrifft eine Problematik, die nach Angaben des Verbraucherzentrale Bundesverbands auch in Deutschland auftritt. Wie die Nachrichtenagentur dpa unter Berufung auf eine Expertin des Verbands berichtet, verweigern Zahlungsdienstleister in vergleichbaren Fällen zunächst die Erstattung. Betroffene müssten dann erheblichen Aufwand betreiben, um ihre Ansprüche durchzusetzen.
Manche gäben auf oder akzeptierten ungünstige Vergleichsangebote. Andere scheuten den Rechtsweg wegen des Prozesskostenrisikos. Die vom EuGH betonte Trennung zwischen schneller Erstattung und anschließender Haftungsprüfung setzt an dieser Belastung an.
Werden Banken erstatten – oder müssen Kunden weiterhin klagen?
Abzuwarten bleibt, ob Banken und andere Zahlungsdienstleister ihre Erstattungspraxis tatsächlich an der Klarstellung des EuGH ausrichten. Rechtlich handelt es sich nicht um eine Regelung, deren Anerkennung die Institute nach Belieben verweigern können: Die Auslegung des europäischen Zahlungsdiensterechts ist bei der rechtlichen Beurteilung entsprechender Fälle zu berücksichtigen.
Das Urteil führt allerdings nicht automatisch dazu, dass jede Bank jeden geltend gemachten Anspruch erfüllt. Verweigert ein Institut die Zahlung weiterhin, kann es notwendig werden, den Erstattungsanspruch anwaltlich und gegebenenfalls gerichtlich durchzusetzen.
Die Entscheidung stärkt dabei die Position der Betroffenen: Der Einwand grober Fahrlässigkeit darf die grundsätzlich unverzügliche Erstattung nicht blockieren. Ein Prozess kann dennoch erforderlich sein, etwa wenn die Bank bereits bestreitet, dass die Zahlung nicht autorisiert war.
Bank verweigert Erstattung nach Phishing: Was können Betroffene tun?
Für die Prüfung und Durchsetzung eines Erstattungsanspruchs ist eine nachvollziehbare Dokumentation des Vorfalls wichtig. Denn sowohl die fehlende Zustimmung zur Zahlung als auch eine mögliche Pflichtverletzung können im Streit entscheidend werden.
- Zeitnah melden: Informieren Sie Ihre Bank so schnell wie möglich über die Zahlungen, die Sie nicht autorisiert haben.
- Konkret benennen: Führen Sie jede betroffene Zahlung mit Datum und Betrag auf und verlangen Sie ausdrücklich deren Erstattung.
- Vorfall dokumentieren: Sichern Sie Kontoumsätze, erhaltene Nachrichten und Links sowie Bildschirmfotos der gefälschten Seite.
- Korrespondenz aufbewahren: Heben Sie alle Schreiben und E-Mails der Bank auf, vor allem eine Ablehnung und ihre Begründung.
Eine zeitnahe Meldung ist wichtig: Das EuGH-Urteil ersetzt nicht die Voraussetzungen und Mitteilungspflichten, die für den jeweiligen Anspruch gelten.
Anwaltliche Unterstützung bei Phishing und Bankrecht in Hannover
Wenn Ihre Bank die Erstattung ablehnt, sollte zunächst geklärt werden, worauf sie ihre Entscheidung stützt: Bestreitet sie die fehlende Autorisierung? Wirft sie Ihnen grobe Fahrlässigkeit vor? Oder verlangt sie nach einer bereits erfolgten Erstattung Geld zurück? Diese Konstellationen erfordern unterschiedliche rechtliche Prüfungen.
Für Betroffene in Hannover, in der Region Niedersachsen und bundesweit prüft Rechtsanwalt Mirco Ewert gemeinsam mit Ihnen den konkreten Ablauf, die Begründung der Bank und die verfügbaren Nachweise. Dabei berücksichtigen wir auch die wirtschaftlichen Chancen und Risiken einer außergerichtlichen oder gerichtlichen Durchsetzung. Mehr zu unserer Beratung finden Sie im Bereich Bank- und Kapitalmarktrecht.
Kontakt bei verweigerter Erstattung nach Online-Banking-Betrug
Ihre Bank verweigert nach einem Phishing-Angriff die Rückzahlung oder fordert bereits erstattetes Geld zurück? Kontaktieren Sie unsere Kanzlei für eine Ersteinschätzung Ihres Falls in Hannover, der Region Niedersachsen oder bundesweit, oder buchen Sie direkt einen Termin. Halten Sie dafür möglichst die betroffenen Kontoumsätze sowie die bisherige Korrespondenz mit Ihrer Bank bereit.