EuGH stärkt Phishing-Opfer: Bank muss zunächst erstatten – auch bei grober Fahrlässigkeit

EuGH, Urteil vom 15.10.2026 – C‑70/25 („Tukowiecka“)

Eine täuschend echte Nachricht, ein Klick auf einen Link – und plötzlich fehlt Geld auf dem Konto. Wer Opfer von Phishing wird, erhält von seiner Bank nicht selten die Antwort: Sie hätten besser aufpassen müssen.

Mit seinem Urteil vom 15.10.2026 – C‑70/25 stärkt der Europäische Gerichtshof (EuGH) die Rechte betroffener Bankkunden: Bei einem nicht autorisierten Zahlungsvorgang rechtfertigt der Vorwurf grober Fahrlässigkeit keine Verweigerung der unverzüglichen Erstattung.

Ich erläutere, worum es ging, was die Entscheidung bedeutet und welche Schritte für Betroffene sinnvoll sind.

Worum ging es in dem Fall?

Eine Kundin einer polnischen Bank bot einen Gegenstand auf einer Online-Verkaufsplattform an. Ein vermeintlicher Käufer schickte ihr einen Link, der angeblich zur Bestätigung des Verkaufs diente.

Tatsächlich führte der Link auf eine gefälschte Bankseite. Die Kundin gab dort ihre Zugangsdaten ein. Der Täter konnte anschließend 3.000 polnische Złoty – rund 700 Euro – von ihrem Konto überweisen.

Am nächsten Tag meldete sie den Vorgang ihrer Bank. Diese lehnte die Erstattung ab: Die Kundin habe ihre Sicherheitsdaten nicht ausreichend geschützt und dadurch grob fahrlässig gehandelt.

Das mit dem Rechtsstreit befasste polnische Gericht legte dem EuGH die Frage vor, ob die Bank deshalb die sofortige Erstattung verweigern darf. Zum Sachverhalt: Pressemitteilung des EuGH

Die zentrale Aussage: Erstattung und endgültige Haftung getrennt prüfen

Der EuGH unterscheidet zwei Schritte:

1. Zunächst muss die Bank den nicht autorisierten Zahlungsbetrag grundsätzlich unverzüglich erstatten. Die Annahme, der Kunde habe grob fahrlässig gehandelt, beseitigt diese Pflicht nicht.
2. Anschließend kann die Bank gegebenenfalls Ersatz ihres Schadens verlangen. Dafür muss sie die Voraussetzungen einer Haftung des Kunden nachweisen.

Für Betroffene ist diese Reihenfolge wichtig: Sie sollen ihr Geld nicht schon deshalb auf unbestimmte Zeit entbehren müssen, weil die Bank ihnen einen Sorgfaltsverstoß vorwirft. Die Erstattung entscheidet allerdings noch nicht darüber, wer den Schaden endgültig trägt. EuGH, C‑70/25, insbesondere Rn. 38–47

Wie schnell muss die Bank reagieren?

Im deutschen Recht regelt § 675u BGB die Erstattung nicht autorisierter Zahlungen. Die Bank muss den Betrag grundsätzlich unverzüglich, spätestens bis zum Ende des folgenden Geschäftstags, zurückzahlen, nachdem ihr die fehlende Autorisierung angezeigt wurde oder sie anderweitig davon erfahren hat. Ein belastetes Zahlungskonto ist entsprechend wiederherzustellen.

Eine besondere Ausnahme betrifft berechtigte Anhaltspunkte für einen Betrug des Kunden selbst, die die Bank der zuständigen Behörde schriftlich mitteilt. Der Umstand, dass ein unbekannter Dritter den Kunden betrogen hat, genügt dafür nicht. Auch der Vorwurf grober Fahrlässigkeit ist mit einem solchen Betrugsverdacht nicht gleichzusetzen.

Haftet der Kunde damit überhaupt nicht mehr?

Doch. Nach § 675v BGB kann eine Haftung insbesondere dann bestehen, wenn der Kunde den Schaden durch eine vorsätzliche oder grob fahrlässige Verletzung seiner Pflichten verursacht hat. Dabei sind auch gesetzliche Haftungsausschlüsse zu berücksichtigen, etwa bei fehlender starker Kundenauthentifizierung.

Ob ein konkretes Verhalten grob fahrlässig war, lässt sich nicht allein daran festmachen, dass ein Betrug erfolgreich war. Zu prüfen sind unter anderem die Gestaltung der Täuschung, erkennbare Warnhinweise und die tatsächlich vorgenommenen Freigaben.

Eine schnelle Rückzahlung ist deshalb ein wichtiger Schutz, aber keine Garantie, dass später keine berechtigte Gegenforderung der Bank besteht.

Wichtig: War die Zahlung tatsächlich nicht autorisiert?

Die Entscheidung betrifft nicht autorisierte Zahlungsvorgänge. Deshalb muss genau geklärt werden, welche Handlung der Kunde vorgenommen und welcher Zahlung er tatsächlich zugestimmt hat.

Hat ein Betrüger fremde Zugangsdaten missbraucht, ist das anders zu prüfen als eine Überweisung, die der Kunde selbst bewusst anweist, weil er über den Anlass oder den Empfänger getäuscht wurde. Das Urteil führt nicht dazu, dass jede betrugsbedingte Überweisung automatisch erstattet werden muss.

Auch der Hinweis auf eine verwendete PIN, TAN oder App-Freigabe beantwortet noch nicht sämtliche Beweisfragen. § 675w BGB unterscheidet zwischen technischer Authentifizierung und dem Nachweis einer Autorisierung beziehungsweise eines schuldhaften Pflichtverstoßes.

Was sollten Betroffene jetzt konkret tun?

1. Bank sofort informieren und Zugänge sperren lassen. Melden Sie verdächtige Buchungen unverzüglich nach ihrer Entdeckung. Die grundsätzlich geltende Ausschlussfrist von 13 Monaten ist keine Wartefrist; Einzelheiten zum Fristbeginn regelt § 676b BGB.
2. Unterlagen sichern. Bewahren Sie Kontoauszüge, Nachrichten, Screenshots der Täuschung und den Schriftwechsel mit der Bank auf. Halten Sie den zeitlichen Ablauf möglichst genau fest.
3. Den Sachverhalt präzise schildern. Beschreiben Sie, was Sie eingegeben, gesehen und bestätigt haben. Pauschale Schuldzuweisungen oder vorschnelle rechtliche Bewertungen helfen bei der Aufklärung nicht weiter.
4. Erstattung schriftlich verlangen. Benennen Sie die betroffenen Buchungen und erklären Sie, soweit zutreffend, dass Sie diese nicht autorisiert haben.
5. Eine Ablehnung prüfen lassen. Fordern Sie eine konkrete Begründung an. Gerade wenn die Bank lediglich auf grobe Fahrlässigkeit verweist, ist die neue EuGH-Entscheidung für die weitere Prüfung besonders relevant.

Meine Unterstützung bei Phishing und Online-Banking-Betrug

Wenn nach einem Betrug Geld von Ihrem Konto verschwunden ist, prüfe ich insbesondere:

• ob ein Erstattungsanspruch gegen Ihre Bank besteht,
• welche Bedeutung die vorliegenden Freigaben und technischen Nachweise haben,
• ob der Vorwurf grober Fahrlässigkeit trägt,
• und welche außergerichtlichen oder gerichtlichen Schritte in Ihrem Fall zweckmäßig sind.

Ich berate Sie in Bergneustadt und Umgebung sowie deutschlandweit digital – telefonisch, per Videokonferenz und mit sicherem Dokumentenaustausch.

Wenn Ihre Bank die Erstattung ablehnt oder verzögert, können Sie sich gerne an mich wenden. Wir klären gemeinsam, wie Ihr Fall rechtlich einzuordnen ist und welches Vorgehen sinnvoll erscheint.

Hinweis: Dieser Beitrag ersetzt keine individuelle Rechtsberatung. Er gibt einen Überblick zum EuGH-Urteil vom 15.10.2026 – C‑70/25 und zu ausgewählten Vorschriften des deutschen Zahlungsdiensterechts. Stand: 19.10.2026.