EuGH zu Phishing: Bank darf Erstattung nicht allein wegen grober Fahrlässigkeit verweigern

Was der EuGH tatsächlich entschieden hat

Eine Verbraucherin wollte über eine Verkaufsplattform Waren verkaufen. Ein angeblicher Käufer schickte ihr einen Link, der zu einer gefälschten Bankseite führte. Durch die abgegriffenen Zugangsdaten und einen erschlichenen SMS-Code konnte der Täter 3.000 polnische Złoty überweisen. Die Kundin bemerkte dies am nächsten Tag und informierte Bank und Polizei. Ihre Bank verweigerte die Erstattung wegen angeblich grob fahrlässigen Verhaltens.

Der EuGH trennt zwei Fragen: Muss die Bank zunächst erstatten? Und wer trägt den Schaden am Ende? Nach dem Urteil vom 15. Oktober 2026, C-70/25, kann der Vorwurf grober Fahrlässigkeit die erste Pflicht nicht aussetzen. Maßgeblich sind insbesondere Randnummern 31 bis 42 und 46 bis 52.

Das Verfahren stammt aus Polen. Der EuGH beantwortet eine Vorlagefrage zur Zahlungsdiensterichtlinie PSD2. Er spricht der Kundin nicht selbst abschließend einen Geldbetrag zu; über das Ausgangsverfahren entscheidet das nationale Gericht.

Erst erstatten heißt nicht: endgültig nichts haften

Bei einer nicht autorisierten Zahlung verlangt Artikel 73 Absatz 1 PSD2 grundsätzlich eine unverzügliche Erstattung, spätestens bis zum Ende des folgenden Geschäftstags nach Kenntnis oder Anzeige. Die Bank darf nicht zunächst die gesamte Streitfrage grober Fahrlässigkeit zulasten des Kunden offenlassen und deshalb die Erstattung verweigern.

Eine besondere Ausnahme betrifft einen begründeten Verdacht auf betrügerisches Verhalten des Kunden, dessen Gründe der zuständigen nationalen Behörde schriftlich mitgeteilt werden. Der bloße Umstand, dass ein fremder Täter einen Phishing-Betrug begangen hat, ist damit nicht gemeint. Das verdeutlicht Randnummer 39.

Nach der Erstattung kann die Bank aber Ersatz verlangen, wenn die gesetzlichen Voraussetzungen vorliegen, etwa weil der Kunde den Schaden durch eine grob fahrlässige Verletzung seiner Sicherheitspflichten verursacht hat. Die Bank muss die grobe Fahrlässigkeit beweisen. Das Urteil beseitigt diese mögliche endgültige Haftung ausdrücklich nicht.

Was bedeutet das für Bankkunden in Deutschland?

Unsere Einordnung: Das Urteil ist auch für deutsche Fälle relevant, weil §§ 675u, 675v und 675w BGB die unionsrechtlichen Regeln umsetzen. § 675u regelt die Erstattung, § 675v mögliche Ersatzansprüche der Bank und § 675w den Nachweis. Ein Ablehnungsschreiben, das nur auf eine angebliche grobe Fahrlässigkeit verweist, sollte deshalb anhand des Urteils erneut geprüft werden.

Der EuGH hebt hervor, dass sich die heutige PSD2-Regelung von der früheren Zahlungsdiensterichtlinie unterscheidet. Ältere Entscheidungen lassen sich deshalb nicht ohne Prüfung des damals geltenden Rechts übertragen. Ein pauschales „Die Bank muss bei jedem Betrug zahlen“ folgt aus C-70/25 nicht.

Nicht autorisiert oder selbst überwiesen?

Das Urteil betrifft nicht autorisierte Zahlungen. Ob eine Zahlung autorisiert wurde, richtet sich nach der Zustimmung zum konkreten Zahlungsvorgang; in Deutschland ist § 675j BGB maßgeblich. Wer eine konkrete Überweisung selbst wirksam freigegeben hat, kann nicht allein wegen einer Täuschung automatisch dieselbe Erstattungsregel beanspruchen.

Deshalb kommt es darauf an, was tatsächlich angezeigt und freigegeben wurde: eine Zahlung mit Betrag und Empfänger, die Registrierung eines neuen Geräts oder etwas anderes. Eine TAN oder App-Bestätigung beweist nach § 675w BGB für sich allein nicht notwendigerweise die Autorisierung oder grobe Fahrlässigkeit. Der technische Ablauf und weitere Belege bleiben entscheidend.

Was Sie nach Phishing sofort tun sollten

Kontaktieren Sie die Bank über eine selbst ermittelte, verlässliche Telefonnummer. Lassen Sie betroffene Zugänge und Zahlungsinstrumente sperren, melden Sie die beanstandeten Buchungen und fragen Sie nach einem Überweisungsrückruf. Ein Rückruf garantiert keine Rückzahlung. Sichern Sie die Eingangsbestätigung Ihrer Meldung.

§ 676b BGB verlangt eine unverzügliche Anzeige nach Feststellung. Die grundsätzlich geltende Höchstfrist von 13 Monaten nach Belastung ist keine Wartefrist; ihr Beginn hängt zudem von der gesetzlich vorgeschriebenen Information ab. Eine Strafanzeige ersetzt die Meldung an die Bank nicht.

Diese Unterlagen helfen bei einer Ablehnung

Halten Sie den Ablauf ehrlich und möglichst zeitnah fest. Kennzeichnen Sie Erinnerungslücken, statt Vermutungen als Tatsachen darzustellen. Übermitteln Sie niemals PIN, TAN oder Passwörter. Für eine Prüfung sind insbesondere hilfreich:

• Kontoauszüge mit Datum, Betrag und Empfänger der beanstandeten Zahlungen.
• SMS, E-Mails, Anruflisten und vorhandene Screenshots der Freigabeanzeigen.
• Zeitpunkte von Feststellung, Bankmeldung und Sperre sowie Vorgangsnummern.
• Das vollständige Ablehnungsschreiben und die bisherige Bankkorrespondenz.

Bank lehnt ab: Was wir prüfen

DR. SARAFI Rechtsanwälte prüft den Erstattungsanspruch, die Beweislage und mögliche Gegenansprüche der Bank. Dazu gehören die konkrete Freigabe, Sicherheitsanforderungen, Warnhinweise und die Bankmeldung. Ob eine außergerichtliche Aufforderung oder ein gerichtliches Vorgehen sinnvoll ist, hängt auch von Schadenshöhe, Kosten und Beweismöglichkeiten ab.

Das Urteil verbessert die Ausgangslage bei nicht autorisierten Zahlungen. Es ersetzt weder die Prüfung Ihres Einzelfalls noch garantiert es, dass Sie das Geld endgültig behalten dürfen.