EuGH zu Phishing-Betrug: Banken müssen erst erstatten, dann über Fahrlässigkeit streiten

Lesezeit ca. 5 Minuten.

Das Wichtigste in Kürze

➟ Der EuGH hat entschieden: Bei nicht autorisierten Zahlungen müssen Banken den Betrag grundsätzlich unverzüglich erstatten, spätestens bis zum Ende des folgenden Geschäftstags.

➟ Der Vorwurf grober Fahrlässigkeit reicht nicht aus, um die Erstattung zu verweigern. Eine Ausnahme besteht bei einem begründeten, der zuständigen Behörde schriftlich gemeldeten Betrugsverdacht gegen den Kunden.

➟ Die Bank kann das Geld später zurückfordern, wenn sie eine vorsätzliche oder grob fahrlässige Pflichtverletzung des Kunden und die weiteren Haftungsvoraussetzungen nachweist.

➟ Das Urteil ist auch für Kreditkartenbetrug relevant. Voraussetzung ist, dass die Zahlung nicht autorisiert wurde. Die bloße Verwendung einer TAN oder eines Sicherheitscodes beweist noch keine Autorisierung.

Phishing über eine Verkaufsplattform: Rund 700 Euro verschwunden

Ausgangspunkt des Verfahrens war ein Betrugsfall in Polen. Eine Frau hatte einen Artikel über eine Online-Verkaufsplattform angeboten. Ein angeblicher Kaufinteressent schickte ihr einen Link, über den sie den Verkauf bestätigen sollte. Tatsächlich führte dieser auf eine gefälschte Website, die wie die Internetseite ihrer Bank aussah. Dort gab die Frau ihre Online-Banking-Zugangsdaten ein. Der Betrüger verschaffte sich außerdem einen per SMS übermittelten Bestätigungscode. Damit überwies er 3.000 polnische Zloty, umgerechnet rund 705 Euro, auf sein eigenes Konto. Die Frau bemerkte den Betrug am folgenden Tag und informierte ihre Bank. Diese verweigerte jedoch die Erstattung. Sie warf ihrer Kundin vor, durch grobe Fahrlässigkeit den Zugriff auf ihre Zugangsdaten ermöglicht zu haben.

Die Frau klagte gegen ihre Bank, die PKO BP S.A., vor dem zuständigen polnischen Gericht in Koszalin. Dieses legte dem EuGH die Frage vor, ob die Bank die sofortige Erstattung wegen eines solchen Fahrlässigkeitsvorwurfs verweigern darf.

EuGH trennt Erstattung und Haftung

Der EuGH verneint das. Nach Art. 73 Abs. 1 der Zahlungsdiensterichtlinie (EU) 2015/2366 (PSD2) muss ein Zahlungsdienstleister den Betrag eines nicht autorisierten Zahlungsvorgangs grundsätzlich unverzüglich erstatten. Spätestens bis zum Ende des folgenden Geschäftstags nach Kenntnis oder Anzeige des Vorgangs muss das Geld zurückgezahlt werden, sofern die gesetzlichen Voraussetzungen vorliegen.

Eine Ausnahme besteht nur, wenn die Bank berechtigte Gründe für den Verdacht hat, dass der Kunde selbst betrügerisch gehandelt hat, und diese Gründe der zuständigen nationalen Behörde schriftlich mitteilt. Der bloße Verdacht einer groben Fahrlässigkeit genügt dafür nicht.

Die Haftung des Kunden regelt dagegen Art. 74 PSD2. Danach kann ein Kunde unter bestimmten Voraussetzungen für Verluste haften, die er durch eine vorsätzliche oder grob fahrlässige Verletzung seiner Pflichten verursacht hat.

Beide Fragen müssen nach Auffassung des EuGH getrennt behandelt werden. Zunächst ist die Bank zur Erstattung verpflichtet. Erst anschließend kann sie einen möglichen Ersatzanspruch gegen den Kunden geltend machen. Dabei muss die Bank nachweisen, dass der Schaden auf einer entsprechenden Pflichtverletzung beruht.

Der Gerichtshof begründet diese Reihenfolge mit dem Ziel eines hohen Verbraucherschutzniveaus. Könnte eine Bank die Erstattung bereits aufgrund eines Fahrlässigkeitsvorwurfs verweigern, müsste der Kunde selbst vor Gericht ziehen, um sein Geld zurückzubekommen. Damit würde die gesetzliche Pflicht zur unverzüglichen Erstattung ihre praktische Wirksamkeit verlieren. Ob die polnische Kundin tatsächlich grob fahrlässig gehandelt hat, hat der EuGH nicht entschieden. Darüber muss das vorlegende Gericht befinden.

Was gilt für deutsche Banken?

Die europäische Zahlungsdiensterichtlinie ist in Deutschland bereits umgesetzt. Nach § 675u BGB müssen Banken nicht autorisierte Zahlungen grundsätzlich unverzüglich erstatten. § 675v BGB regelt, unter welchen Voraussetzungen Kunden für Schäden durch missbräuchlich verwendete Zahlungsinstrumente haften. Die Erstattungspflicht ist also nicht neu. Der EuGH stellt aber verbindlich klar, dass Banken sie nicht allein unter Berufung auf eine mögliche grobe Fahrlässigkeit umgehen dürfen. Das ist auch für Fälle von Kreditkartenbetrug und nicht autorisierten Kartenzahlungen relevant. Denn die zugrunde liegenden Vorschriften gelten grundsätzlich nicht nur für Überweisungen, sondern auch für Kartenzahlungen.

Ein weiterer wichtiger Punkt ist die Beweislast: Nach § 675w BGB reicht die technische Authentifizierung einer Zahlung allein nicht notwendigerweise aus, um nachzuweisen, dass der Kunde die Zahlung tatsächlich autorisiert oder grob fahrlässig gehandelt hat. Die Bank muss hierfür unterstützende Beweismittel vorlegen.

Darf die Bank den Erstattungsanspruch einfach verrechnen?

Eine bislang nicht abschließend geklärte Frage könnte durch das EuGH-Urteil neue Bedeutung bekommen: Dürfen Banken die Erstattung verweigern, indem sie mit einem eigenen Schadensersatzanspruch wegen grober Fahrlässigkeit aufrechnen?

Dass dies in Deutschland praktiziert wird, zeigt ein Urteil des LG Lübeck vom 3. Januar 2024 (3 O 83/23). Dort hatte eine Bank die Aufrechnung mit einem Schadensersatzanspruch erklärt. Das Gericht wies die Klage des Phishing-Opfers ab, weil es dessen möglichen Erstattungsanspruch dadurch als erloschen ansah.

Nach der neuen EuGH-Entscheidung könnte diese Vorgehensweise auf den Prüfstand geraten. Denn der Gerichtshof verlangt ausdrücklich, dass Banken zuerst erstatten und mögliche Ersatzansprüche erst anschließend geltend machen. Würde eine sofortige Aufrechnung dazu führen, dass der Kunde weiterhin auf sein Geld warten und selbst klagen muss, könnte dies dem Zweck der europäischen Erstattungspflicht widersprechen.

Was das für Betrugsopfer bedeuten könnte

Das EuGH-Urteil verändert vor allem die Ausgangslage im Streit mit der Bank. Nicht das Betrugsopfer soll zunächst einen Prozess führen müssen, um die gesetzlich vorgesehene Erstattung zu erhalten. Vielmehr muss die Bank grundsätzlich zahlen und einen möglichen Ersatzanspruch anschließend gesondert geltend machen.

Für Betroffene ergeben sich daraus mehrere mögliche Konsequenzen:

1. Eine Ablehnung wegen grober Fahrlässigkeit reicht nicht aus

Wer nach einem Phishing-Angriff sein Geld zurückfordert und von seiner Bank mit dem Hinweis auf angeblich grobe Fahrlässigkeit abgewiesen wird, kann sich auf die Entscheidung des EuGH berufen. Auch bereits abgelehnte Erstattungsansprüche könnten erneut überprüft werden, sofern sie noch durchsetzbar sind.

2. Die Bank muss eine mögliche Haftung nachweisen

Will die Bank das erstattete Geld zurückverlangen, muss sie die Voraussetzungen ihres Ersatzanspruchs belegen. Der Vorwurf, der Kunde habe Zugangsdaten preisgegeben oder eine TAN verwendet, genügt dafür nicht automatisch. Entscheidend sind die konkreten Umstände des Betrugs.

3. Eine TAN-Freigabe bedeutet nicht automatisch eine autorisierte Zahlung

Gerade bei Kreditkartenbetrug und Online-Banking-Betrug kann diese Unterscheidung wichtig werden. Eine technisch bestätigte Zahlung muss nicht zwangsläufig vom Kontoinhaber autorisiert worden sein.

Das zeigt auch der entschiedene Fall: Der Betrüger verwendete einen per SMS übermittelten Bestätigungscode. Dennoch lag dem Verfahren ein nicht autorisierter Zahlungsvorgang zugrunde.

4. Die endgültige Haftung bleibt offen

Das Urteil bedeutet nicht, dass Betrugsopfer ihr Geld in jedem Fall behalten dürfen. Kann die Bank nachweisen, dass der Kunde den Schaden durch eine vorsätzliche oder grob fahrlässige Pflichtverletzung verursacht hat, kommt weiterhin ein Ersatzanspruch in Betracht.

Auch die Abgrenzung zwischen autorisierten und nicht autorisierten Zahlungen bleibt entscheidend. Wer eine Überweisung selbst wirksam autorisiert, etwa an einen vermeintlichen Anlageberater, kann sich nicht ohne Weiteres auf den vom EuGH behandelten Erstattungsanspruch berufen.

Offen bleibt für die deutsche Praxis insbesondere, wie Banken mögliche Gegenansprüche nach der Entscheidung geltend machen dürfen und welche Rolle dabei eine Aufrechnung spielt. Der EuGH hat die Reihenfolge von Erstattung und Haftungsprüfung klargestellt, aber nicht jede Frage ihrer praktischen Umsetzung entschieden.

Für Betrugsopfer kommt es deshalb weiterhin darauf an, wie die Zahlung ausgelöst wurde, welche Sicherheitsverfahren verwendet wurden und worauf die Bank ihre Ablehnung stützt.

Mueller.legal bietet Betroffenen einen kostenfreien Kreditkartenbetrug-Check und prüft, ob Erstattungsansprüche bestehen und welche Schritte gegenüber der Bank sinnvoll sind.

Die Entscheidung auf einen Blick

• Gericht: Europäischer Gerichtshof (EuGH), Erste Kammer
• Entscheidung: Urteil vom 15.10.2026
• Aktenzeichen: C-70/25 (Tukowiecka)
• Vorlagegericht: Sąd Rejonowy w Koszalinie (Rayongericht Koszalin, Polen), Vorlageentscheidung vom 23.01.2025
• Parteien: N.O. ./. PKO BP S.A.
• Verfahrensart: Vorabentscheidungsverfahren nach Art. 267 AEUV
• Normen: Art. 69, 73 und 74 der Richtlinie (EU) 2015/2366 (PSD2); in Deutschland insbesondere §§ 675u, 675v und 675w BGB
• Status: Verbindliche Auslegung des Unionsrechts durch den EuGH. Über den konkreten Ausgangsrechtsstreit entscheidet das polnische Gericht.
• Fundstelle: Volltext der Entscheidung