Der EuGH hat mit seinem Phishing-Urteil entschieden, dass Banken nicht autorisierte Zahlungen zunächst erstatten müssen, auch wenn sie dem Kunden grobe Fahrlässigkeit vorwerfen. Für Betroffene von Online-Betrug ändert sich damit die Lage grundlegend, denn den Streit über die endgültige Haftung muss künftig die Bank führen.
Kontext und Bedeutung für Betroffene des Phishing-Urteils
Phishing im Online-Banking ist in Deutschland weit verbreitet. Nach den in der Berichterstattung genannten Zahlen war im Jahr 2025 etwa jeder zehnte Deutsche von Cyberkriminalität betroffen. Die Bundesrepublik gilt zudem als eines der weltweit am häufigsten angegriffenen Länder bei Phishing-Attacken.
Bisher stellte sich Betroffenen oft dasselbe Problem: Die Bank lehnte die Erstattung unter Hinweis auf grob fahrlässiges Verhalten ab, und die Kundinnen und Kunden mussten klagen. Damit trugen sie Kosten- und Beweisrisiko. Diese Verteilung der Klagelast dürfte sich nach der Entscheidung der Luxemburger Richter umkehren.
Unsicher bei einer Rechtsfrage? Holen Sie sich jetzt eine schnelle Einschätzung – ab 29,99 €.
- PDF-Antwort in 5 klaren Kapiteln
- Rechtliche Einordnung & nächste Schritte
- Optional: Doku-Check & Anwaltstelefon
Geprüft gem.EU AI-Act
Rechtlicher Hintergrund: Erstattung und Haftung sind zwei Stufen
Das Zahlungsdiensterecht beruht auf der zweiten Zahlungsdiensterichtlinie (PSD2, Richtlinie 2015/2366), die in Deutschland insbesondere in den §§ 675j ff. BGB umgesetzt ist. Der Grundgedanke: Wer die technische Infrastruktur betreibt und die anvertrauten Gelder schützen muss, trägt grundsätzlich das Risiko nicht autorisierter Zahlungen.
Die wichtigsten Vorschriften
- Art. 73 Abs. 1 PSD2 und § 675u S. 2 und 3 BGB: Die Bank muss den Betrag einer nicht autorisierten Zahlung unverzüglich erstatten, spätestens bis zum Ende des folgenden Geschäftstags, nachdem sie davon Kenntnis erlangt hat.
- § 675u S. 4 BGB: Nur bei berechtigtem Verdacht auf betrügerisches Verhalten des Kunden darf die Bank die Erstattung vorläufig zurückhalten, wenn sie den Verdacht der zuständigen Behörde schriftlich mitteilt.
- Art. 69 PSD2 und § 675l BGB: Pflichten des Zahlers im Umgang mit Zahlungsinstrumenten und personalisierten Sicherheitsmerkmalen.
- Art. 74 Abs. 1 PSD2 und § 675v Abs. 3 Nr. 2 BGB: Der Zahler trägt Verluste, wenn er seine Sorgfaltspflichten vorsätzlich oder grob fahrlässig verletzt hat.
Entscheidend ist die Trennung der beiden Ebenen: Die Erstattungspflicht auf der ersten Stufe kennt als Ausnahme nur den begründeten Betrugsverdacht gegen den Kunden. Grobe Fahrlässigkeit spielt nach dem EuGH erst auf der zweiten Stufe eine Rolle, also bei der endgültigen Verteilung der Haftung.
Aktuelle Entwicklung beim Phishing-Urteil des EuGH
Dem Verfahren lag ein Fall aus Polen zugrunde. Eine Bankkundin bot Waren auf einer Online-Plattform an. Ein vermeintlicher Interessent schickte ihr einen Link auf eine gefälschte Plattform-Seite, über die sie auf eine ebenfalls gefälschte Bankseite gelangte. Dort gab sie ihre Zugangsdaten und einen SMS-Code ein. Der Täter überwies daraufhin 3.000 Zloty, rund 705 Euro, auf sein eigenes Konto. Die Kundin informierte am nächsten Tag Bank und Polizei. Die Bank verweigerte die Erstattung mit dem Vorwurf grob fahrlässiger Pflichtverletzung.
Das vorlegende Gericht im polnischen Koszalin wollte wissen, ob Art. 73 Abs. 1 PSD2 es der Bank verwehrt, sich auf grobe Fahrlässigkeit zu berufen. Es verwies auf ein strukturelles Ungleichgewicht: Banken hätten keine Verbraucher wegen grober Fahrlässigkeit verklagt, während sich Klagen von Verbrauchern gegen Banken häuften. Die Banken entschieden die Haftungsfrage faktisch in eigener Sache.
Der EuGH verneinte die Vorlagefrage (EuGH, Urteil vom 15.10.2026, Az. C-70/25). Er folgte damit vollständig den Schlussanträgen von Generalanwalt Athanasios Rantos vom 5. März 2026.
Praktische Einordnung
Die Entscheidung entzieht der bisherigen Rechtsprechung zur sogenannten Dolo-agit-Einrede nach § 242 BGB den Boden. Danach konnte sich die Bank gegen einen Erstattungsanspruch wehren, wenn sie ihrerseits einen Schadensersatzanspruch gegen den Kunden hatte. Künftig muss die Bank zunächst zahlen und kann ihren Anspruch wegen grober Fahrlässigkeit anschließend gegen den Kunden geltend machen und beweisen.
Was bedeutet das für Sie?
Wenn Sie Opfer von Phishing geworden sind, sollten Sie schnell handeln:
- Informieren Sie Ihre Bank unverzüglich und lassen Sie Konto und Zugänge sperren.
- Erstatten Sie Anzeige bei der Polizei und sichern Sie Nachrichten, Links und Screenshots.
- Fordern Sie die Erstattung schriftlich ein und verweisen Sie auf die Pflicht zur Erstattung bis zum Ende des folgenden Geschäftstags.
- Lassen Sie sich nicht allein mit dem Vorwurf grober Fahrlässigkeit abspeisen, denn dieser ist nach der Entscheidung nicht mehr geeignet, die Erstattung zu verweigern.
Wichtig: Das Urteil bedeutet nicht, dass Kundinnen und Kunden in jedem Fall dauerhaft von der Haftung befreit sind. Die Bank kann ihre Ansprüche bei grober Fahrlässigkeit weiterverfolgen, trägt dafür aber die Last, den Vorwurf darzulegen und zu beweisen.
Tabelle: Übersicht zur Rechtslage bei Phishing
| Frage | Bisherige Praxis | Nach dem EuGH-Urteil |
|---|---|---|
| Erstattung bei nicht autorisierter Zahlung | Oft verweigert wegen Vorwurfs grober Fahrlässigkeit | Unverzüglich, spätestens bis Ende des folgenden Geschäftstags |
| Wer muss klagen? | In der Regel der Kunde | Die Bank, wenn sie Haftung des Kunden geltend machen will |
| Ausnahme von der Erstattung | Dolo-agit-Einrede nach § 242 BGB | Nur begründeter Betrugsverdacht gegen den Kunden mit schriftlicher Meldung an die Behörde |
| Rolle der groben Fahrlässigkeit | Rechtfertigte häufig die Zahlungsverweigerung | Nur relevant für die endgültige Haftungsverteilung |
Fazit
Das Phishing-Urteil des EuGH stärkt Verbraucher deutlich. Banken müssen nicht autorisierte Zahlungen zunächst erstatten und können ihre Einwände wegen grober Fahrlässigkeit erst anschließend verfolgen. Für die deutsche Rechtspraxis dürfte das eine spürbare Veränderung bedeuten. Betroffene sollten ihre Ansprüche konsequent geltend machen und sich im Zweifel rechtlich beraten lassen.
Hinweis
Hinweis: Dieser Artikel und das Symbolbild wurden mit Hilfe von KI erstellt.
Das könnte Sie auch interessieren
Bei konkreten
rechtlichen Fragen finden Sie hier den passenden
Rechtsanwalt,
erhalten eine erste, rechtliche Einschätzung ab 29,99€ per
LexBot-KI-Rechtsberatung
oder nutzen ab 34,99€ die
telefonische Rechtsberatung.
Quellen und weiterführende Links
Sollte Ihnen dieser Beitrag geholfen haben, so können Sie uns etwas zurückgeben in dem Sie uns bei Google bewerten.