Das Phishing-Urteil des EuGH stärkt Verbraucher: Wer Opfer eines nicht autorisierten Zahlungsvorgangs wird, kann von seiner Bank grundsätzlich eine schnelle Rückerstattung verlangen, auch wenn die Bank dem Kunden grobe Fahrlässigkeit vorwirft. Die Entscheidung des Europäischen Gerichtshofs betrifft Millionen Bankkunden im Online-Banking und dürfte auch die Praxis deutscher Kreditinstitute spürbar beeinflussen.
Kontext und Bedeutung für Betroffene beim Phishing-Urteil
Phishing gehört zu den häufigsten Betrugsmaschen im Internet. Täter täuschen Nutzer mit gefälschten Webseiten, E-Mails oder Nachrichten und greifen so Zugangsdaten für das Online-Banking ab. Anschließend veranlassen sie Überweisungen auf eigene Konten. Für die Betroffenen steht dann schnell die Frage im Raum, ob sie auf dem Schaden sitzen bleiben.
Dem Fall lag nach den vorliegenden Informationen folgender Sachverhalt zugrunde: Eine Kundin einer polnischen Bank wollte einen Artikel über eine Online-Plattform verkaufen. Ein vermeintlicher Kaufinteressent schickte ihr einen Link, der auf eine gefälschte Seite der Verkaufsplattform führte. Von dort gelangte sie auf eine weitere Seite, die der Internetseite ihrer Bank täuschend ähnlich sah. Dort gab sie ihre Zugangsdaten für das Online-Banking ein. Der Betrüger nutzte diese Daten und überwies rund 700 Euro auf sein eigenes Konto.
Unsicher bei einer Rechtsfrage? Holen Sie sich jetzt eine schnelle Einschätzung – ab 29,99 €.
- PDF-Antwort in 5 klaren Kapiteln
- Rechtliche Einordnung & nächste Schritte
- Optional: Doku-Check & Anwaltstelefon
Geprüft gem.EU AI-Act
Die Kundin meldete den Vorfall am nächsten Tag ihrer Bank. Diese lehnte eine Erstattung ab und warf der Frau vor, ihre Zugangsdaten nicht ausreichend geschützt und damit grob fahrlässig gehandelt zu haben. Die Kundin klagte daraufhin vor einem polnischen Gericht, das den Fall dem EuGH zur Auslegung europäischen Rechts vorlegte.
Rechtlicher Hintergrund der Rückerstattungspflicht
Maßgeblich ist die europäische Zahlungsdiensterichtlinie 2015/2366, kurz PSD II. Sie regelt, wann Banken und andere Zahlungsdienstleister für nicht autorisierte Zahlungsvorgänge einzustehen haben und wann Kunden selbst haften.
Die wichtigsten Vorschriften
- Art. 73 Abs. 1 PSD II: Der Zahlungsdienstleister muss einen nicht autorisierten Zahlungsvorgang unverzüglich, spätestens bis zum Ende des folgenden Geschäftstags, erstatten. Eine Ausnahme gilt nur, wenn die Bank konkrete Gründe für den Verdacht auf einen Betrug durch den Kunden hat und diese der zuständigen nationalen Behörde schriftlich mitteilt.
- Art. 74 Abs. 1 PSD II: Handelt der Kunde vorsätzlich oder grob fahrlässig, muss er den entstandenen Verlust grundsätzlich selbst tragen.
- Art. 69 Abs. 2 PSD II: Nutzer von Zahlungsdiensten müssen die personalisierten Sicherheitsmerkmale vor unbefugtem Zugriff schützen.
- Art. 267 AEUV: Der EuGH entscheidet im Vorabentscheidungsverfahren letztverbindlich über die Auslegung des Unionsrechts.
- § 675v Abs. 3 Nr. 2 BGB: Die deutsche Umsetzung der Haftungsregel bei grober Fahrlässigkeit, die auf der PSD II beruht.
Aktuelle Entwicklung: Erst erstatten, dann klären
Der EuGH hat einen Anspruch der Kunden gegenüber der Bank auch für den Fall bejaht, dass der Bank zufolge grobe Fahrlässigkeit vorliegt. Nach der Zahlungsdiensterichtlinie muss die Bank den Betrag eines nicht autorisierten Zahlungsvorgangs spätestens bis zum Ende des nächsten Geschäftstags nach der Meldung durch den Kunden erstatten (EuGH, Urteil vom 15.10.2026, Az. C-70/25).
Eine Ausnahme sieht Art. 73 Abs. 1 PSD II ausdrücklich nur vor, wenn die Bank konkrete Gründe für den Verdacht auf einen Betrug durch den Kunden selbst hat. Der bloße Vorwurf einer grob fahrlässigen Handlung genügt dafür nicht. Die Bank darf die Erstattung deshalb weder verweigern noch aufschieben.
Praktische Einordnung
Die Entscheidung trennt zwei Fragen voneinander: Zunächst muss die Bank erstatten. Erst danach kann geklärt werden, wer den Verlust am Ende tatsächlich trägt. Dabei profitieren Kunden von der Beweislast. Will die Bank einen Anspruch aus Art. 74 Abs. 1 PSD II geltend machen, muss sie nachweisen, dass der Kunde seine Pflichten vorsätzlich oder grob fahrlässig verletzt hat. Nur dann kann sie Ersatz für den entstandenen Schaden verlangen.
Das Urteil ist auch für Deutschland relevant. Die Verbraucherzentrale des Bundes wirft Kreditinstituten vor, Erstattungen unrechtmäßig zu verweigern, und fordert seit Längerem die Durchsetzung der Rückerstattungspflicht. In einem ähnlichen Fall hatte das Oberlandesgericht Oldenburg 2025 einen Erstattungsanspruch noch abgelehnt und sich dabei wegen grober Fahrlässigkeit auf § 675v Abs. 3 Nr. 2 BGB gestützt. Es bleibt abzuwarten, wie deutsche Gerichte ihre Rechtsprechung im Lichte der neuen EuGH-Entscheidung weiterentwickeln.
Was bedeutet das für Sie?
Sind Sie Opfer eines Phishing-Angriffs geworden, sollten Sie schnell und strukturiert handeln:
- Sofort melden: Informieren Sie Ihre Bank unverzüglich über die nicht autorisierte Zahlung und lassen Sie den Zugang sperren.
- Erstattung verlangen: Fordern Sie die Rückerstattung schriftlich und verweisen Sie auf die Frist bis zum Ende des folgenden Geschäftstags.
- Beweise sichern: Bewahren Sie Nachrichten, Links, Screenshots und Kontoauszüge auf.
- Anzeige erstatten: Eine Strafanzeige bei der Polizei dokumentiert den Vorfall und kann bei der Durchsetzung helfen.
- Ablehnung prüfen lassen: Beruft sich die Bank lediglich auf grobe Fahrlässigkeit, ohne einen konkreten Betrugsverdacht gegen Sie zu belegen, sollten Sie rechtlichen Rat einholen.
Tabelle: Übersicht zur Rückerstattung bei Phishing
| Frage | Einordnung |
|---|---|
| Wann muss die Bank erstatten? | Unverzüglich, spätestens bis zum Ende des folgenden Geschäftstags nach der Meldung (Art. 73 Abs. 1 PSD II) |
| Reicht der Vorwurf grober Fahrlässigkeit zur Verweigerung? | Nein, nach der Entscheidung des EuGH nicht |
| Wann darf die Bank die Erstattung ausnahmsweise verweigern? | Bei konkreten Gründen für einen Betrugsverdacht gegen den Kunden, die der Behörde schriftlich mitgeteilt werden |
| Wer muss grobe Fahrlässigkeit beweisen? | Die Bank (Art. 74 Abs. 1 PSD II) |
| Wer trägt den Verlust am Ende? | Der Kunde nur bei nachgewiesenem Vorsatz oder grober Fahrlässigkeit |
Fazit
Der EuGH stärkt Phishing-Opfer deutlich: Die Bank muss zunächst zahlen und kann erst danach versuchen, dem Kunden grobe Fahrlässigkeit nachzuweisen. Die Beweislast liegt dabei bei der Bank. Für Verbraucher verbessert das die Verhandlungsposition erheblich, auch wenn die Frage der Haftung im Einzelfall weiterhin sorgfältig geprüft werden muss. Wer von einer Bank eine Erstattung verweigert bekommt, sollte die Ablehnung nicht hinnehmen, sondern rechtlich überprüfen lassen.
Hinweis
Hinweis: Dieser Artikel und das Symbolbild wurden mit Hilfe von KI erstellt.
Das könnte Sie auch interessieren
Bei konkreten
rechtlichen Fragen finden Sie hier den passenden
Rechtsanwalt,
erhalten eine erste, rechtliche Einschätzung ab 29,99€ per
LexBot-KI-Rechtsberatung
oder nutzen ab 34,99€ die
telefonische Rechtsberatung.
Quellen und weiterführende Links
Sollte Ihnen dieser Beitrag geholfen haben, so können Sie uns etwas zurückgeben in dem Sie uns bei Google bewerten.
