AKTUELL
Phishing-Betrug: Bank muss nicht autorisierte Zahlung zunächst erstatten
Banken müssen eine nicht autorisierte Zahlung nach einem Phishing-Betrug zunächst unverzüglich erstatten, selbst wenn sie ihrem Kunden grobe Fahrlässigkeit vorwerfen. Das hat der Europäische Gerichtshof am 15. Oktober 2026 in der Rechtssache C-70/25 entschieden. Die mögliche Haftung des Kunden verschwindet dadurch nicht. Sie darf aber nicht mehr als Grund dienen, die gesetzlich vorgesehene erste Erstattung von vornherein zu verweigern.
Die Entscheidung betrifft unmittelbar die Auslegung der europäischen Zahlungsdiensterichtlinie und ist auch für vergleichbare Fälle in Deutschland wichtig. Hier setzt Paragraf 675u des Bürgerlichen Gesetzbuchs denselben Grundmechanismus um: Eine nicht autorisierte Zahlung ist grundsätzlich unverzüglich auszugleichen, spätestens bis zum Ende des folgenden Geschäftstags nach der Meldung oder Kenntnis der Bank. Erst getrennt davon wird geklärt, wer den Verlust am Ende tragen muss.
Nicht autorisierte Zahlung erstatten: Zwei Schritte statt einer Vorentscheidung
Der EuGH trennt den Streit um eine betrügerische Zahlung in zwei Schritte. Zunächst muss der Zahlungsdienstleister das belastete Konto wieder auf den Stand bringen, den es ohne den nicht autorisierten Vorgang gehabt hätte. Nach dem deutschen Paragrafen 675u BGB muss das unverzüglich geschehen, spätestens bis zum Ende des Geschäftstags, der auf die Anzeige oder anderweitige Kenntnis folgt.
Eine Bank darf diese erste Gutschrift nicht allein deshalb zurückhalten, weil sie das Verhalten des Kunden für grob fahrlässig hält. Genau diese Praxis würde nach Auffassung des Gerichts die schnelle Erstattung wirkungslos machen: Betroffene müssten sonst zuerst ein Verfahren führen und die damit verbundenen Kosten und Nachteile tragen, bevor ihr Konto wiederhergestellt wird.
Die einzige in diesem Erstattungsmechanismus vorgesehene Ausnahme betrifft einen begründeten Verdacht, dass der Kontoinhaber selbst betrügerisch handelt. Dafür genügt kein allgemeines Misstrauen und auch nicht der bloße Vorwurf, auf einen Phishing-Link hereingefallen zu sein. Der Zahlungsdienstleister muss die Gründe für den Verdacht der zuständigen Behörde schriftlich mitteilen. Bestätigt sich der Verdacht nicht, ist die Erstattung unverzüglich zu prüfen und zu erfüllen.
Warum grobe Fahrlässigkeit weiterhin Folgen haben kann
Die erste Erstattung ist noch keine endgültige Entscheidung darüber, wer den Schaden trägt. Nach der Gutschrift kann die Bank vom Kunden Ersatz verlangen, wenn sie nachweist, dass dieser vorsätzlich oder grob fahrlässig gegen seine Pflichten verstoßen und dadurch den Verlust verursacht hat. In Deutschland bildet dafür insbesondere Paragraf 675v BGB die Grundlage.
Damit schafft das Urteil keinen allgemeinen Freibrief für die Weitergabe von Zugangsdaten, PIN oder TAN. Es verschiebt vielmehr die Reihenfolge: Erst wird der gesetzliche Ausgangszustand des Kontos wiederhergestellt, anschließend kann über einen möglichen Gegenanspruch der Bank gestritten werden. Die Bank darf ihre Bewertung der Fahrlässigkeit nicht vorwegnehmen und wie eine bereits bewiesene Tatsache behandeln.
Auch die Beweislast bleibt entscheidend. Nach Paragraf 675w BGB genügt die technische Aufzeichnung, dass ein Zahlungsinstrument oder ein Authentifizierungsverfahren verwendet wurde, nicht zwangsläufig als Nachweis für eine Autorisierung, einen Betrug oder grobe Fahrlässigkeit. Der Zahlungsdienstleister muss unterstützende Beweismittel vorlegen. Ob das Verhalten im konkreten Fall tatsächlich grob fahrlässig war, lässt sich deshalb nicht allein aus dem Einsatz korrekter Zugangsdaten ableiten.
So verlief der Phishing-Fall vor dem EuGH
Im Ausgangsfall bot eine Kundin einer polnischen Bank einen Gegenstand auf einer Online-Verkaufsplattform an. Ein vermeintlicher Kaufinteressent schickte ihr einen Link, der angeblich der Bestätigung des Verkaufs diente. Tatsächlich führte er zu einer nachgebauten Bankseite. Dort gab die Kundin ihre Zugangsdaten für das Onlinebanking ein. Ein Dritter nutzte diese Informationen anschließend, um umgerechnet rund 700 Euro auf ein eigenes Konto zu überweisen.
Die Kundin meldete den Vorgang am folgenden Tag. Ihre Bank verweigerte die Erstattung mit der Begründung, sie habe ihre personalisierten Sicherheitsmerkmale grob fahrlässig nicht vor unbefugtem Zugriff geschützt. Ein polnisches Gericht fragte daraufhin den EuGH, ob dieser Vorwurf die sofortige Erstattung ausschließen kann. Der Gerichtshof verneinte das, wie seine Pressemitteilung zum Urteil in der Rechtssache C-70/25 erläutert.
Über den konkreten Anspruch der Kundin entscheidet nun weiterhin das polnische Ausgangsgericht. Es muss dabei die Auslegung des EuGH zugrunde legen. Die Entscheidung aus Luxemburg ersetzt also nicht das nationale Urteil über alle Einzelheiten des Falls, bindet aber Gerichte in anderen Mitgliedstaaten, wenn sie über dieselbe unionsrechtliche Frage in vergleichbaren Konstellationen entscheiden.
Nicht jeder Betrugsfall betrifft eine nicht autorisierte Zahlung
Für die Reichweite des Urteils ist ein Begriff besonders wichtig: nicht autorisiert. Eine Zahlung ist nach Paragraf 675j BGB nur wirksam, wenn der Kontoinhaber ihr zugestimmt hat. Im entschiedenen Fall gab die Kundin ihre Zugangsdaten auf einer falschen Website ein; die eigentliche Überweisung nahm anschließend ein Dritter vor.
Das lässt sich nicht automatisch auf jede Zahlung übertragen, die im Zusammenhang mit einem Betrug steht. Gibt ein Kontoinhaber eine konkret angezeigte Überweisung selbst frei, weil ein Täter ihn über den Empfänger oder den Zweck täuscht, kann die Frage der Autorisierung anders zu beurteilen sein. Auch bei vermeintlichen Sicherheitskonten, manipulierten Freigabeanzeigen oder unklaren Bestätigungsschritten kommt es auf den genauen Ablauf an.
Betroffene sollten deshalb nicht nur mitteilen, dass sie Opfer eines Betrugs geworden sind. Sie sollten möglichst genau festhalten, welche Daten sie eingegeben, welche Anzeige sie gesehen und welchen Vorgang sie tatsächlich bestätigt haben. Die Behauptung der Bank, eine Transaktion sei technisch authentifiziert worden, beendet die Prüfung nicht. Umgekehrt macht der Phishing-Hintergrund eine bewusst freigegebene Zahlung nicht automatisch zu einem nicht autorisierten Vorgang.
Was Betroffene nach einer unbekannten Abbuchung tun sollten
Wer eine unbekannte Überweisung, Kartenzahlung oder sonstige Kontobelastung bemerkt, sollte Bankzugang oder betroffenes Zahlungsinstrument sofort über einen bekannten offiziellen Kontakt sperren lassen. Danach sollte der Vorgang unverzüglich gegenüber der Bank als nicht autorisiert angezeigt und die Wiederherstellung des Kontostands verlangt werden. Paragraf 676b BGB nennt zwar grundsätzlich eine äußerste Ausschlussfrist von 13 Monaten nach der Belastung, verlangt aber zugleich die unverzügliche Meldung nach der Feststellung. Die lange Höchstfrist ist deshalb kein Grund, mit der Anzeige zu warten.
Hilfreich sind eine schriftliche Zusammenfassung des Ablaufs, Kontoauszüge, Zeitpunkte, Bildschirmfotos, Nachrichten, Telefonnummern und die Adresse der betrügerischen Seite. Zugangsdaten sollten ausschließlich über den echten Bankzugang geändert werden. Die Verbraucherzentrale empfiehlt außerdem, Strafanzeige zu erstatten, die Empfängerbank zu informieren und die Erstattung schriftlich einzufordern.
Lehnt die Bank ab, sollten Betroffene eine schriftliche Begründung verlangen. Je nach Institut kommt anschließend die zuständige Ombuds- oder Schlichtungsstelle in Betracht. Eine Beschwerde bei der BaFin kann auf aufsichtsrechtliche Probleme hinweisen, entscheidet aber keinen individuellen Zahlungsanspruch. Dafür sind nach den Hinweisen der BaFinSchlichtungsstellen oder Gerichte zuständig. Bei hohen Beträgen, komplizierten Freigabeabläufen oder einem Gegenanspruch der Bank kann unabhängige rechtliche Beratung sinnvoll sein.
Was das Urteil für Bankkunden in Deutschland bedeutet
Das EuGH-Urteil führt in Deutschland keine völlig neue Erstattungsfrist ein. Die Pflicht zur unverzüglichen Gutschrift steht bereits im BGB. Neu ist die autoritative Klarstellung, dass eine Bank diese Pflicht nicht mit ihrem eigenen Vorwurf grober Fahrlässigkeit überspringen darf. Die schnelle Kontowiederherstellung und die endgültige Verteilung des Schadens sind rechtlich getrennte Fragen.
Für Bankkunden bedeutet das weder eine garantierte dauerhafte Erstattung noch die Pflicht, eine Rückforderung ungeprüft zu akzeptieren. Entscheidend bleiben die Autorisierung, der genaue Betrugsablauf, die unverzügliche Anzeige und die Beweise beider Seiten. Weitere Urteile, Fristen und Regeln mit unmittelbaren Folgen für Verbraucher ordnet GadgetChecks fortlaufend unter Alltag Aktuell ein.
Stand der Recherche: 15. Oktober 2026, 13:33 Uhr MESZ.
Hauptquellen
- Gerichtshof der Europäischen Union: Pressemitteilung zum Urteil in der Rechtssache C-70/25 Tukowiecka
- Bundesministerium der Justiz und Bundesamt für Justiz: Paragraf 675u BGB zur Erstattung nicht autorisierter Zahlungen
- Bundesministerium der Justiz und Bundesamt für Justiz: Paragraf 675v BGB zur Haftung bei missbräuchlicher Nutzung
- Bundesministerium der Justiz und Bundesamt für Justiz: Paragraf 675w BGB zum Nachweis der Authentifizierung
- Verbraucherzentrale: Vorgehen bei Kreditkarten- und Kontobetrug
Deals im Überblick
Ausgewählte Angebote und zeitlich begrenzte Preisaktionen im Überblick.
Mehr auf gadgetChecks
Transparenzbericht
Affiliate-Links: Dieser Beitrag kann Affiliate-Links enthalten. Wenn du über einen solchen Link einkaufst, können wir eine Provision erhalten. Für dich entstehen dadurch keine zusätzlichen Kosten. Unsere redaktionelle Einschätzung und Themenauswahl werden dadurch nicht beeinflusst.
Externe Links: Verlinkungen können zu Angeboten oder Informationen von Drittanbietern führen. Preise, Verfügbarkeiten und Konditionen können sich nach der Veröffentlichung ändern. Maßgeblich sind die Angaben des jeweiligen Anbieters.
Unabhängigkeit: gadgetChecks.de und Alltag Aktuell sind unabhängige redaktionelle Angebote. Besteht bei einem Beitrag eine Kooperation, Produktbereitstellung oder eine andere relevante Beziehung zu einem Unternehmen, weisen wir darauf gesondert hin.
Einsatz von KI: Unsere Redaktion nutzt KI teilweise zur Erstellung von Bildern sowie zur sprachlichen und stilistischen Unterstützung. Recherche, inhaltliche Einordnung und Veröffentlichung erfolgen durch unsere Redaktion.