EuGH: Banken müssen Phishing-Opfern den Schaden zunächst erstatten

Der Gerichtshof der Europäischen Union hat die Rechte von Bankkunden gestärkt, die Opfer von Phishing werden. Nach einem Urteil vom 15. Oktober 2026 in der Rechtssache C-70/25 muss ein Zahlungsdienstleister den Betrag einer nicht autorisierten Zahlung grundsätzlich unverzüglich erstatten, sobald der Kunde den Vorgang rechtzeitig meldet. Der bloße Vorwurf, der Kunde habe grob fahrlässig gehandelt, berechtigt die Bank nicht, die Erstattung zu verweigern oder hinauszuzögern.

Der Fall aus Polen

Dem Verfahren liegt die Vorlage eines polnischen Gerichts zugrunde. Eine Kundin hatte auf einer Onlineplattform einen Gegenstand zum Verkauf angeboten. Ein angeblicher Käufer schickte ihr einen Link, der als Schritt zur Bestätigung des Verkaufs ausgegeben wurde. Er führte auf eine gefälschte Seite, die der Internetpräsenz ihrer Bank nachempfunden war. Dort gab die Frau ihre Zugangsdaten zum Onlinebanking ein. Der Täter nutzte sie, um rund 700 Euro auf sein eigenes Konto zu überweisen. Die Kundin meldete den Betrug am folgenden Tag. Die Bank lehnte eine Erstattung ab, weil die Frau ihre Zugangsdaten nicht ausreichend geschützt und damit grob fahrlässig gehandelt habe. Die Kundin klagte.

Erst erstatten, dann über die Haftung streiten

Der Gerichtshof stützt sich auf die zweite Zahlungsdiensterichtlinie (EU) 2015/2366. Danach ist der Betrag einer nicht autorisierten Zahlung spätestens bis zum Ende des Geschäftstags zu erstatten, der auf die Meldung des Kunden folgt. Eine Ausnahme sieht die Richtlinie nur vor, wenn die Bank berechtigte Gründe für den Verdacht hat, dass der Kunde selbst betrügerisch handelt, und diese Gründe der zuständigen nationalen Behörde schriftlich mitteilt. Ein Verdacht auf Nachlässigkeit im Umgang mit Zugangsdaten genügt dafür nach Auffassung der Luxemburger Richter nicht. Sie verweisen auf das Ziel der Richtlinie, ein hohes Verbraucherschutzniveau zu gewährleisten.

Die Erstattung ist damit allerdings nicht endgültig. Der Gerichtshof trennt die sofortige Rückzahlung von der späteren Frage, wer den Schaden trägt. Kann die Bank nachweisen, dass der Kunde vorsätzlich oder grob fahrlässig gegen seine Pflichten verstoßen hat, insbesondere beim Schutz seiner personalisierten Sicherheitsmerkmale, kann sie verlangen, dass er den Schaden trägt. Die Beweislast liegt bei der Bank. Die Sorgfaltspflichten der Kunden bleiben von dem Urteil unberührt.

Der Gerichtshof folgt im Ergebnis den Schlussanträgen von Generalanwalt Athanasios Rantos vom März 2026. Dieser hatte ausgeführt, die Richtlinie lasse den Mitgliedstaaten keinen Spielraum für eine Ausnahme bei grober Fahrlässigkeit. Weigere sich ein Kunde später, den Betrag zurückzuzahlen, müsse die Bank klagen.

Folgen für Banken in Deutschland

Die Entscheidung betrifft auch deutsche Institute, denn die Richtlinie ist im Bürgerlichen Gesetzbuch umgesetzt. In vergleichbaren Fällen verweigern Zahlungsdienstleister hierzulande ebenfalls zunächst die Erstattung und berufen sich auf grobe Fahrlässigkeit der Kunden. Das Oberlandesgericht Oldenburg hatte 2025 in einem ähnlichen Fall einen Erstattungsanspruch unter Verweis auf grobe Fahrlässigkeit abgelehnt. Wie sich das Luxemburger Urteil auf solche Entscheidungen auswirkt, werden die nationalen Gerichte klären müssen.

Der Verbraucherzentrale Bundesverband wirft Banken seit Längerem vor, Erstattungen unrechtmäßig zu verweigern, und fordert, die Erstattungspflicht durchzusetzen. Betroffene stünden in solchen Auseinandersetzungen vor erheblichem Aufwand, erklärte der Verband. Manche gäben auf, andere nähmen ungünstige Vergleichsangebote an oder scheuten wegen des Kostenrisikos den Gang vor Gericht. Nach der Logik des Urteils liegt es künftig an der Bank, selbst aktiv zu werden, wenn sie einen Kunden für den Schaden in Anspruch nehmen will.

Einordnung der Bundesverbraucherhilfe

Die Bundesverbraucherhilfe begrüßt die Entscheidung. „Wir begrüßen das Urteil. Bedauerlich ist allerdings, dass der Streit erst vor einem europäischen Gericht geklärt werden musste, statt dass sich die Bank von Anfang an redlich verhält“, sagte Ricardo Dietl, Präsident der Bundesverbraucherhilfe e. V.