Für Opfer von Onlinebanking-Betrug ist das eine wichtige Entscheidung: Der Europäische Gerichtshof (EuGH) hat am 15. Oktober 2026 entschieden, dass Banken nicht autorisierte Zahlungen grundsätzlich unverzüglich erstatten müssen, auch wenn sie ihren Kunden einen grob fahrlässigen Umgang mit Zugangsdaten vorwerfen. Das Urteil in der Rechtssache C-70/25 betrifft einen Phishing-Schaden von umgerechnet rund 700 Euro und hat auch für Bankkunden in Deutschland Bedeutung. Allerdings bedeutet die Entscheidung nicht, dass Betroffene das erstattete Geld in jedem Fall endgültig behalten dürfen. Unter bestimmten Voraussetzungen kann die Bank den Betrag später zurückfordern.

EuGH-Urteil: Warum Banken nach Phishing zunächst zahlen müssen

Ausgangspunkt der Entscheidung war ein Betrugsfall in Polen. Eine Frau hatte über eine Online-Verkaufsplattform einen Artikel angeboten und wurde von einem vermeintlichen Kaufinteressenten kontaktiert. Dieser schickte ihr einen Link, über den sie angeblich den Verkauf bestätigen sollte. Tatsächlich führte der Link auf eine gefälschte Internetseite, die das Erscheinungsbild ihrer Bank nachahmte.

Die Frau gab dort ihre Zugangsdaten für das Onlinebanking ein. Mit diesen Informationen gelang es dem Betrüger, einen Betrag von umgerechnet rund 700 Euro auf ein anderes Konto zu überweisen. Als die Kundin den Vorfall am folgenden Tag ihrer Bank meldete, verweigerte diese die Rückzahlung. Zur Begründung erklärte das Geldinstitut, die Frau habe ihre Zugangsdaten nicht ausreichend geschützt und dadurch grob fahrlässig gehandelt.

Der Streit gelangte vor ein polnisches Gericht, das den Europäischen Gerichtshof um eine Auslegung des europäischen Zahlungsdiensterechts bat. Am 15. Oktober 2026 entschied der EuGH zugunsten einer klaren Trennung zwischen der sofortigen Erstattung und der späteren Frage, wer den finanziellen Schaden endgültig tragen muss. Eine Bank darf die unverzügliche Rückzahlung nicht allein deshalb verweigern, weil sie ihrem Kunden grobe Fahrlässigkeit vorwirft.

Das Urteil ist für Deutschland besonders relevant, weil die zugrunde liegenden europäischen Vorschriften bereits im Bürgerlichen Gesetzbuch umgesetzt sind. Es handelt sich deshalb nicht um eine neue gesetzliche Rückzahlungspflicht, sondern um eine verbindliche Klarstellung, wie die bestehenden Regeln bei nicht autorisierten Zahlungsvorgängen anzuwenden sind.

Wann muss die Bank das gestohlene Geld zurückzahlen?

Bei einem nicht autorisierten Zahlungsvorgang muss die Bank den abgebuchten Betrag grundsätzlich unverzüglich erstatten. Nach § 675u BGB muss dies spätestens bis zum Ende des Geschäftstags geschehen, der auf den Tag folgt, an dem die Bank über die nicht autorisierte Zahlung informiert wurde oder anderweitig davon Kenntnis erhalten hat. Das Konto muss wieder auf den Stand gebracht werden, auf dem es sich ohne die unberechtigte Belastung befunden hätte.

Entscheidend ist zunächst, ob der Kontoinhaber der betreffenden Zahlung tatsächlich zugestimmt hat. Wurden Zugangsdaten durch Kriminelle gestohlen und anschließend ohne Zustimmung des Kontoinhabers für eine Überweisung verwendet, kann ein nicht autorisierter Zahlungsvorgang vorliegen. Dass die Überweisung technisch mit gültigen Zugangsdaten ausgeführt wurde, bedeutet nicht automatisch, dass der Kontoinhaber sie rechtlich autorisiert hat.

Für Verbraucher ist vor allem die kurze Erstattungsfrist wichtig. Banken dürfen die Rückzahlung nicht einfach über Wochen zurückstellen, um zunächst abschließend zu prüfen, ob der Kunde möglicherweise Sicherheitsregeln verletzt hat. Die Prüfung einer späteren Kundenhaftung ist grundsätzlich von der gesetzlichen Pflicht zur schnellen Erstattung zu unterscheiden.

Die Ausnahme: Wenn die Bank einen Betrug des Kunden vermutet

Von der Pflicht zur unverzüglichen Erstattung gibt es eine eng begrenzte Ausnahme. Sie greift, wenn die Bank berechtigte Gründe für den Verdacht hat, dass der Kontoinhaber selbst einen Betrug begangen hat, und diese Gründe der zuständigen nationalen Behörde schriftlich mitteilt. Bestätigt sich der Betrugsverdacht nicht, muss die Bank ihre Erstattungspflicht unverzüglich prüfen und erfüllen.

Ein bloßer Verdacht, der Kunde sei auf eine gefälschte Internetseite hereingefallen oder habe Zugangsdaten unvorsichtig behandelt, genügt für diese Ausnahme nicht. Das EuGH-Urteil unterscheidet ausdrücklich zwischen einem Betrugsverdacht gegen den Kunden und dem Vorwurf grober Fahrlässigkeit. Diese Unterscheidung verhindert, dass Banken die gesetzliche Rückzahlungsfrist allein mit allgemeinen Vorwürfen zum Sicherheitsverhalten umgehen.

Grobe Fahrlässigkeit: Wann Kunden das Geld trotzdem zurückzahlen müssen

Die Entscheidung des Europäischen Gerichtshofs stärkt die Position von Betrugsopfern, beseitigt aber nicht deren eigene Pflichten beim Onlinebanking. Kunden müssen ihre persönlichen Sicherheitsmerkmale schützen und dürfen beispielsweise PINs, Passwörter oder andere Zugangsdaten nicht leichtfertig an Unbefugte weitergeben. Verstoßen sie vorsätzlich oder grob fahrlässig gegen ihre Pflichten und entsteht dadurch ein Schaden, kann die Bank unter den gesetzlichen Voraussetzungen Ersatz verlangen.

Grobe Fahrlässigkeit liegt vor, wenn jemand die erforderliche Sorgfalt in besonders schwerem Maße verletzt und naheliegende Sicherheitsmaßnahmen außer Acht lässt. Ob dies bei einem Phishing-Angriff der Fall ist, hängt allerdings von den konkreten Umständen ab. Eine überzeugend gestaltete Betrugsseite, die Vorgehensweise der Täter und die erkennbaren Warnzeichen können bei der rechtlichen Bewertung eine Rolle spielen.

Besonders wichtig ist die Beweislast. Nach § 675w BGB muss die Bank unterstützende Beweismittel vorlegen, wenn sie Betrug, Vorsatz oder grobe Fahrlässigkeit des Kunden nachweisen will. Die bloße Feststellung, dass eine Zahlung mit den richtigen Zugangsdaten oder einem technischen Sicherheitsverfahren ausgeführt wurde, reicht dafür nicht notwendigerweise aus.

Die Bank kann also zur sofortigen Erstattung verpflichtet sein und später trotzdem einen Anspruch gegen den Kunden geltend machen. Genau diese zeitliche Trennung hat der EuGH mit seinem Urteil hervorgehoben. Ob eine spätere Rückforderung tatsächlich berechtigt ist, muss anhand des jeweiligen Einzelfalls geprüft werden.

Wie viel müssen Bankkunden im Schadensfall selbst tragen?

Das deutsche Recht unterscheidet bei bestimmten Missbrauchsfällen zwischen einer begrenzten Haftung und einer weitergehenden Schadensersatzpflicht. Nach § 675v BGB kann bei einer missbräuchlichen Verwendung eines Zahlungsinstruments unter den gesetzlichen Voraussetzungen eine Eigenhaftung von bis zu 50 Euro bestehen. Diese Haftung entfällt allerdings in bestimmten Fällen, beispielsweise wenn der Missbrauch vor der unberechtigten Zahlung nicht bemerkt werden konnte.

Bei nachgewiesenem vorsätzlichem oder grob fahrlässigem Pflichtverstoß kann eine Haftung für den gesamten entstandenen Schaden in Betracht kommen. Auch hierfür gelten gesetzliche Einschränkungen, etwa im Zusammenhang mit der vorgeschriebenen starken Kundenauthentifizierung. Eine pauschale Aussage, dass Opfer eines Phishing-Angriffs grundsätzlich 50 Euro oder sogar den vollständigen Schaden selbst tragen müssten, wäre deshalb falsch.

Was das Urteil konkret für Ihr Geld bedeutet

Der finanzielle Vorteil des Urteils liegt vor allem darin, dass Bankkunden ihr Geld bei nicht autorisierten Zahlungen grundsätzlich schnell zurückerhalten sollen. Gerade wenn mehrere Hundert oder Tausend Euro vom Girokonto verschwinden, kann eine lange Auseinandersetzung mit der Bank erhebliche Probleme verursachen. Miete, Kreditraten, Stromabschläge und andere laufende Verpflichtungen müssen schließlich weiterhin bezahlt werden.

Angenommen, Betrüger überweisen ohne Ihre Zustimmung 2.500 Euro von Ihrem Girokonto. Sie bemerken die Abbuchung, melden den Vorfall unverzüglich und verlangen die Erstattung. Liegen die gesetzlichen Voraussetzungen vor und besteht kein ordnungsgemäß angezeigter begründeter Betrugsverdacht gegen Sie selbst, muss Ihre Bank das Konto grundsätzlich innerhalb der vorgeschriebenen Frist wieder ausgleichen.

Beispielrechnung: Rückzahlung nach einem Phishing-Angriff

Kontoguthaben vor dem Betrug: 3.200 €

Nicht autorisierte Überweisung: 2.500 €

Guthaben unmittelbar nach dem Betrug: 700 €

Grundsätzlich zu erstattender Betrag: 2.500 €

Ergebnis: Kontoguthaben nach vollständiger Erstattung 3.200 €

Hinweis: Vereinfachtes Beispiel ohne weitere Kontobewegungen oder Gebühren. Die Erstattung setzt einen nicht autorisierten Zahlungsvorgang und die gesetzlichen Voraussetzungen voraus. Eine spätere berechtigte Rückforderung durch die Bank bleibt möglich.

Der Unterschied zwischen schneller Erstattung und endgültiger Haftung ist finanziell erheblich. Im dargestellten Beispiel stehen nach einer vollständigen Rückbuchung zunächst wieder 3.200 Euro zur Verfügung, obwohl die Frage einer möglichen groben Fahrlässigkeit noch nicht abschließend geklärt sein muss. Der Betrag von 2.500 Euro sollte allerdings nicht als endgültig gesichert betrachtet werden, solange eine rechtlich begründete Rückforderung im Raum steht.

Wenn die Bank später nachweisen kann, dass der Kunde den Schaden durch eine vorsätzliche oder grob fahrlässige Pflichtverletzung verursacht hat und die weiteren gesetzlichen Voraussetzungen erfüllt sind, kann sie den Schaden ganz oder teilweise zurückfordern. Das Urteil schafft deshalb keinen allgemeinen Anspruch auf dauerhaft kostenlosen Ersatz jedes Betrugsschadens, sondern verbessert insbesondere die Position des Kunden in der ersten Phase nach dem Betrug.

Welche Betrugsfälle sind vom EuGH-Urteil betroffen?

Die Entscheidung betrifft nicht autorisierte Zahlungsvorgänge im Anwendungsbereich des europäischen Zahlungsdiensterechts. Dazu können beispielsweise Überweisungen gehören, die Kriminelle nach dem Diebstahl von Zugangsdaten ohne Zustimmung des Kontoinhabers veranlassen. Auch andere Fälle eines missbräuchlichen Kontozugriffs können unter die entsprechenden Vorschriften fallen.

Besonders relevant ist das Urteil bei gefälschten Bankwebseiten, betrügerischen Nachrichten mit Anmeldelinks oder manipulierten Verkaufsplattformen. Allerdings kommt es immer darauf an, wie die jeweilige Zahlung zustande gekommen ist. Für Bankkunden macht es rechtlich einen erheblichen Unterschied, ob ein Täter selbst eine Überweisung veranlasst oder ob der Kunde den Zahlungsauftrag eigenständig freigegeben hat.

Vorsicht bei selbst freigegebenen Überweisungen

Nicht jeder Betrug beim Onlinebanking führt automatisch zu einem Erstattungsanspruch nach § 675u BGB. Überweisen Verbraucher beispielsweise auf ausdrückliche Aufforderung eines Betrügers selbst Geld auf ein fremdes Konto und autorisieren diesen konkreten Zahlungsauftrag wirksam, kann die Zahlung trotz der Täuschung rechtlich autorisiert sein. In solchen Fällen gelten andere Voraussetzungen und möglicherweise andere rechtliche Ansprüche.

Anders kann die Situation aussehen, wenn Kriminelle eine Zahlung ohne die erforderliche Zustimmung auslösen oder sich eine vermeintliche Sicherheitsbestätigung tatsächlich auf einen anderen Zahlungsvorgang bezieht. Entscheidend ist, welche Erklärung der Kontoinhaber abgegeben hat, welche Zahlung er freigeben wollte und ob eine wirksame Autorisierung vorlag. Gerade bei komplexen Phishing-Angriffen lässt sich diese Frage nicht allein aus der Tatsache beantworten, dass eine TAN eingegeben oder eine Banking-App benutzt wurde.

Nach Phishing Geld zurückholen: So sollten Betroffene vorgehen

Wer eine verdächtige oder bereits ausgeführte Kontobewegung entdeckt, sollte möglichst schnell handeln. Neben der Sicherung des Bankkontos kommt es darauf an, den Vorfall nachvollziehbar zu dokumentieren und gegenüber der Bank ausdrücklich als nicht autorisierte Zahlung zu melden, sofern tatsächlich keine Zustimmung zur Zahlung erteilt wurde. Je schneller die Bank informiert wird, desto eher können weitere Schäden verhindert und möglicherweise noch laufende Zahlungsvorgänge gestoppt werden.

1. Bank sofort informieren und Zugang sperren lassen. Kontaktieren Sie Ihre Bank über eine offiziell bekannte Telefonnummer oder die Banking-App und melden Sie den Verdacht auf Kontomissbrauch. Lassen Sie kompromittierte Onlinebanking-Zugänge oder Zahlungsinstrumente sperren und klären Sie, welche weiteren Sicherungsmaßnahmen notwendig sind.
2. Nicht autorisierte Zahlung ausdrücklich melden. Teilen Sie der Bank mit, welche konkrete Überweisung Sie nicht veranlasst oder genehmigt haben. Verlangen Sie die Erstattung nach § 675u BGB und bitten Sie um eine schriftliche Eingangsbestätigung Ihrer Meldung.
3. Beweise vollständig sichern. Bewahren Sie Kontoauszüge, Screenshots, verdächtige Nachrichten, Internetadressen und sonstige Informationen zum Betrugsablauf auf. Notieren Sie außerdem, wann Sie die Abbuchung entdeckt, wann Sie die Bank informiert und mit welchen Ansprechpartnern Sie gesprochen haben.
4. Passwörter ändern und Geräte überprüfen. Ändern Sie möglicherweise ausgespähte Zugangsdaten über einen sicheren Zugang und kontrollieren Sie, ob weitere Konten betroffen sind. Prüfen Sie außerdem Ihr Smartphone oder Ihren Computer auf verdächtige Anwendungen und beachten Sie die Sicherheitsanweisungen Ihrer Bank.
5. Strafanzeige erstatten. Melden Sie den Betrug bei der Polizei und bewahren Sie das Aktenzeichen auf. Eine Strafanzeige kann die Aufklärung unterstützen und bei der weiteren Kommunikation mit der Bank hilfreich sein, ersetzt aber nicht die erforderliche Meldung des Zahlungsvorgangs an die Bank.
6. Erstattung und weitere Kontobewegungen kontrollieren. Prüfen Sie, ob Ihre Bank den reklamierten Betrag innerhalb der gesetzlichen Frist wieder gutgeschrieben hat. Überwachen Sie anschließend Ihr Konto, damit weitere unberechtigte Abbuchungen möglichst früh auffallen.

Gerade bei professionellen Phishing-Angriffen versuchen Kriminelle häufig, ihre Opfer unter Zeitdruck zu setzen. Deshalb sollten Betroffene nicht auf weitere Nachrichten des vermeintlichen Käufers, Bankmitarbeiters oder Sicherheitsdienstes reagieren. Sicherheitsrelevante Maßnahmen sollten ausschließlich über die offiziellen Kontaktwege der eigenen Bank erfolgen.

Welche Fristen gelten bei einer nicht autorisierten Überweisung?

Für Betroffene sind zwei unterschiedliche Fristen entscheidend: die Frist zur Meldung eines nicht autorisierten Zahlungsvorgangs und die Frist, innerhalb derer die Bank grundsätzlich erstatten muss. Diese Fristen dürfen nicht miteinander verwechselt werden, weil sie unterschiedliche rechtliche Funktionen erfüllen.

Die 13-Monats-Frist aus § 676b BGB bedeutet ausdrücklich nicht, dass Verbraucher mit ihrer Meldung beliebig lange warten sollten. Das Gesetz verlangt eine unverzügliche Information nach Feststellung des nicht autorisierten Vorgangs. Außerdem beginnt die gesetzliche Höchstfrist grundsätzlich nur dann mit der Kontobelastung, wenn die Bank die vorgeschriebenen Angaben zum betreffenden Zahlungsvorgang bereitgestellt hat.

Auch bei der Erstattungsfrist kommt es auf den maßgeblichen Geschäftstag der Bank an. Wird ein Betrug beispielsweise an einem Wochenende gemeldet, lässt sich der genaue späteste Erstattungszeitpunkt nicht ohne Berücksichtigung der geltenden Geschäftstage bestimmen. Unabhängig davon sollten Betroffene ihre Bank unmittelbar informieren, statt bis zum nächsten Werktag zu warten.

Was tun, wenn die Bank das gestohlene Geld nicht erstattet?

Weigert sich eine Bank, einen gemeldeten nicht autorisierten Zahlungsvorgang zu erstatten, sollten Betroffene zunächst eine schriftliche Begründung verlangen. Dabei ist besonders wichtig, ob die Bank tatsächlich die Autorisierung der Zahlung bestreitet, dem Kunden grobe Fahrlässigkeit vorwirft oder sich auf einen begründeten Betrugsverdacht gegen den Kontoinhaber beruft. Diese Begründungen haben unterschiedliche rechtliche Bedeutung und können nicht ohne Weiteres gleichgesetzt werden.

Beruft sich die Bank ausschließlich auf grobe Fahrlässigkeit, können betroffene Kunden auf das EuGH-Urteil vom 15. Oktober 2026 in der Rechtssache C-70/25 hinweisen. Zusammen mit § 675u BGB ergibt sich daraus die klare Aussage, dass der bloße Vorwurf grober Fahrlässigkeit die gesetzlich vorgesehene unverzügliche Erstattung nicht ausschließt. Eine spätere Prüfung möglicher Schadensersatzansprüche bleibt davon unberührt.

Verweigert die Bank weiterhin die Rückzahlung, kommt eine Beschwerde beim Geldinstitut und anschließend die Einschaltung einer zuständigen Schlichtungsstelle in Betracht. Je nach Bank können unterschiedliche anerkannte Schlichtungseinrichtungen zuständig sein. Auch eine Beschwerde bei der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) ist möglich, wobei die Aufsichtsbehörde individuelle Zahlungsansprüche nicht verbindlich anstelle eines Gerichts durchsetzt.

Bei größeren Schäden kann es sinnvoll sein, zusätzlich eine Verbraucherzentrale oder einen auf Bankrecht spezialisierten Rechtsanwalt einzuschalten. Das gilt insbesondere dann, wenn die Bank eine konkrete grob fahrlässige Pflichtverletzung behauptet, umfangreiche Unterlagen zur Zahlungsfreigabe vorlegt oder bereits eine Rückforderung ausgesprochen hat. Betroffene sollten entsprechende Schreiben und Fristen nicht ignorieren.

Was bedeutet das Urteil für bereits abgelehnte Erstattungen?

Das EuGH-Urteil kann auch für Bankkunden von Bedeutung sein, deren Erstattungsforderung bereits vor dem 15. Oktober 2026 abgelehnt wurde. Schließlich erläutert der Gerichtshof die Auslegung bereits bestehender europäischer Rechtsvorschriften. Betroffene können deshalb prüfen, ob eine frühere Ablehnung ausschließlich mit dem Vorwurf grober Fahrlässigkeit begründet wurde und ob ihr Anspruch rechtlich noch geltend gemacht werden kann.

Ob eine erneute Forderung Aussicht auf Erfolg hat, hängt allerdings vom Einzelfall ab. Wichtige Fragen sind beispielsweise, wann der Betrug entdeckt und gemeldet wurde, ob die Zahlung tatsächlich nicht autorisiert war und ob bereits eine gerichtliche Entscheidung oder ein verbindlicher Vergleich vorliegt. Auch mögliche Verjährungsfragen und andere rechtliche Einwendungen müssen berücksichtigt werden.

Wer noch über eine schriftliche Ablehnung seiner Bank verfügt, sollte diese deshalb zusammen mit den ursprünglichen Unterlagen erneut prüfen lassen. Besonders bei hohen Verlusten kann das neue Urteil ein wichtiger rechtlicher Gesichtspunkt sein, ohne automatisch eine Wiederaufnahme bereits endgültig abgeschlossener Verfahren zu ermöglichen.

Wie geht es nach der Entscheidung des Europäischen Gerichtshofs weiter?

Das Urteil vom 15. Oktober 2026 ist eine verbindliche Entscheidung zur Auslegung des europäischen Zahlungsdiensterechts. Das polnische Ausgangsgericht muss den konkreten Rechtsstreit nun unter Berücksichtigung dieser Auslegung entscheiden. Auch Gerichte in Deutschland haben die europarechtlichen Vorgaben bei vergleichbaren Streitigkeiten zu beachten.

Für Verbraucher ist deshalb kein weiteres Gesetzgebungsverfahren erforderlich, damit die grundlegenden Aussagen des Urteils berücksichtigt werden können. Die entsprechenden Erstattungsvorschriften sind im deutschen Recht bereits vorhanden. Offen bleibt allerdings, wie einzelne Banken ihre Bearbeitung von Phishing-Fällen in der Praxis anpassen und welche Auswirkungen die Entscheidung auf noch laufende Rechtsstreitigkeiten haben wird.

Insbesondere die Abgrenzung zwischen autorisierten und nicht autorisierten Überweisungen dürfte weiterhin eine wichtige Rolle spielen. Ebenso bleibt bei möglichen Rückforderungen zu prüfen, wann tatsächlich eine grob fahrlässige Pflichtverletzung vorliegt und welche Beweise eine Bank dafür vorlegen kann. Das Urteil beantwortet die Frage nach dem Zeitpunkt der Erstattung eindeutig, ersetzt aber nicht die rechtliche Prüfung jedes einzelnen Betrugsfalls.

Fazit: Phishing-Opfer haben bessere Chancen auf eine schnelle Rückzahlung

Das EuGH-Urteil vom 15. Oktober 2026 stärkt Bankkunden, die durch nicht autorisierte Zahlungen Geld verloren haben. Banken dürfen eine gesetzlich geschuldete unverzügliche Erstattung grundsätzlich nicht allein deshalb verweigern, weil sie dem Kunden grobe Fahrlässigkeit vorwerfen. Damit wird insbesondere verhindert, dass Betrugsopfer ihr Geld zunächst über längere Zeit entbehren müssen, während die endgültige Haftungsfrage noch ungeklärt ist.

Für Betroffene ist entscheidend, einen möglichen Kontomissbrauch sofort zu melden, Beweise zu sichern und die Erstattung ausdrücklich einzufordern. Wer bereits eine Ablehnung seiner Bank erhalten hat, sollte prüfen, ob diese mit der neuen EuGH-Entscheidung vereinbar ist. Gleichzeitig bleibt Vorsicht geboten: Kann eine Bank später eine rechtlich relevante vorsätzliche oder grob fahrlässige Pflichtverletzung nachweisen, kann sie unter den gesetzlichen Voraussetzungen Geld zurückverlangen. Das Urteil verbessert damit vor allem den schnellen Zugang zum eigenen Geld, ohne die persönliche Verantwortung beim Onlinebanking vollständig aufzuheben.