Phishing Geld zurück: Bank muss nach EuGH zuerst erstatten

Was das Urteil C-70/25 für Opfer von Phishing bedeutet, wann die Bank zahlen muss und wann Sie den Schaden doch selbst tragen

Ein Klick auf einen gefälschten Link, die Zugangsdaten auf einer täuschend echten Bankseite eingegeben, und kurz darauf ist Geld vom Konto verschwunden. Viele Betroffene erleben danach den zweiten Schock: Die Bank verweigert die Erstattung mit dem Hinweis, man habe grob fahrlässig gehandelt. Der Europäische Gerichtshof hat dieser Praxis eine klare Grenze gesetzt. Wer nach Phishing Geld zurück verlangt, hat bei nicht autorisierten Zahlungen zunächst Anspruch auf schnelle Erstattung. Erst danach wird geklärt, wer den Verlust endgültig trägt.

EuGH-Urteil C-70/25: Bank muss Phishing-Opfer zunächst entschädigen

Mit Urteil vom 15. Oktober 2026 (Az. C-70/25) hat der EuGH entschieden, dass eine Bank den Betrag eines nicht autorisierten Zahlungsvorgangs auch dann unverzüglich erstatten muss, wenn sie dem Kunden grobe Fahrlässigkeit vorwirft. Der bloße Vorwurf genügt nicht, um die Rückzahlung zu verweigern oder hinauszuschieben.

Dem Verfahren lag ein Fall aus Polen zugrunde. Eine Bankkundin wollte einen Artikel über eine Online-Verkaufsplattform verkaufen. Ein angeblicher Kaufinteressent schickte ihr einen Link, der zunächst auf eine gefälschte Seite der Plattform und von dort auf eine Seite führte, die dem Online-Banking ihrer Bank täuschend ähnlich sah. Dort gab sie ihre Zugangsdaten ein. Der Täter überwies daraufhin rund 700 Euro auf sein eigenes Konto. Die Kundin meldete den Vorfall am nächsten Tag, die Bank lehnte die Erstattung ab. Das polnische Gericht legte dem EuGH die Frage vor, ob diese Ablehnung mit EU-Recht vereinbar ist.

Der EuGH trennt in seiner Entscheidung zwei Fragen streng voneinander: Erstens, ob die Bank das Geld zunächst zurückzahlen muss. Zweitens, wer den Schaden am Ende trägt. Die erste Frage beantwortet das Gericht zugunsten der Kunden. Die zweite bleibt offen und muss gesondert geklärt werden, wobei die Bank die grobe Fahrlässigkeit beweisen muss.

Rechtsgrundlagen: PSD2 und die Erstattung nicht autorisierter Zahlungen im BGB

Maßgeblich ist die EU-Zahlungsdiensterichtlinie 2015/2366, kurz PSD2. Nach Art. 73 Abs. 1 PSD2 muss der Zahlungsdienstleister einen nicht autorisierten Zahlungsvorgang unverzüglich erstatten, spätestens bis zum Ende des folgenden Geschäftstags, nachdem er davon Kenntnis erlangt hat oder der Vorgang angezeigt wurde. Eine Ausnahme sieht die Richtlinie nur vor, wenn die Bank berechtigte Gründe für den Verdacht hat, dass der Kunde selbst betrügerisch handelt, und diese Gründe der zuständigen nationalen Behörde schriftlich mitteilt.

Davon zu unterscheiden ist Art. 74 Abs. 1 PSD2. Danach trägt der Kunde den Schaden selbst, wenn er vorsätzlich oder grob fahrlässig gegen seine Pflichten verstoßen hat, etwa gegen die Pflicht aus Art. 69 PSD2, seine personalisierten Sicherheitsmerkmale vor unbefugtem Zugriff zu schützen.

In Deutschland sind diese Vorgaben im Bürgerlichen Gesetzbuch umgesetzt. Die wichtigsten Normen im Überblick:

• § 675u Satz 2 BGB: Erstattungspflicht der Bank bei nicht autorisierten Zahlungen, unverzüglich und spätestens bis zum Ende des folgenden Geschäftstags.
• § 675l BGB: Pflicht des Kunden, seine Sicherheitsmerkmale vor unbefugtem Zugriff zu schützen.
• § 675v BGB: Haftung des Kunden, bei leichter Fahrlässigkeit bis höchstens 50 Euro, bei Vorsatz oder grober Fahrlässigkeit in voller Höhe.
• § 675w BGB: Beweislast der Bank für Authentifizierung und ordnungsgemäße Buchung.
• § 676b BGB: Anzeigepflicht des Kunden, spätestens 13 Monate nach der Belastung.

Weil diese Vorschriften auf der PSD2 beruhen, müssen deutsche Gerichte sie im Licht der EuGH-Rechtsprechung auslegen. Das Urteil C-70/25 betrifft deshalb unmittelbar auch Kunden deutscher Banken und Sparkassen.

Phishing und grobe Fahrlässigkeit: Wann der Kunde den Schaden trägt

Das Urteil bedeutet nicht, dass Banken bei Phishing immer endgültig zahlen. Hat der Kunde grob fahrlässig gehandelt, kann die Bank Ersatz für den entstandenen Schaden verlangen. Grob fahrlässig handelt nach der Rechtsprechung, wer die im Verkehr erforderliche Sorgfalt in ungewöhnlich hohem Maße verletzt und nicht beachtet, was im konkreten Fall jedem hätte einleuchten müssen. Dabei sind nach dem Bundesgerichtshof auch die persönlichen Umstände des Handelnden zu berücksichtigen (BGH, Urteil vom 26.01.2016, Az. XI ZR 91/14).

Deutsche Gerichte haben grobe Fahrlässigkeit in den vergangenen Jahren häufig bejaht. Der BGH sah sie etwa bei der Freigabe von TANs nach einem betrügerischen Anruf, obwohl die Kundin einen ganzen Tag Bedenkzeit hatte (BGH, Urteil vom 22.07.2025, Az. XI ZR 107/24). Das OLG Oldenburg lehnte die Erstattung einer Kundin ab, die einer fehlerhaft formulierten E-Mail mit unpersönlicher Anrede gefolgt war (OLG Oldenburg, Urteil vom 24.04.2025, Az. 8 U 103/23). Das OLG Dresden bejahte zwar grobe Fahrlässigkeit des Kunden, kürzte den Gegenanspruch der Sparkasse aber wegen deren Mitverschuldens um ein Fünftel, weil für den Login Passwort und PIN genügten (OLG Dresden, Urteil vom 05.06.2025, Az. 8 U 1482/24).

Ob die Eingabe von Zugangsdaten auf einer gefälschten Bankseite grob fahrlässig ist, lässt sich nicht pauschal beantworten. Es kommt darauf an, wie professionell die Fälschung war, welche Warnsignale erkennbar waren, ob die Bank vor genau dieser Masche gewarnt hatte und wie der Kunde reagiert hat.

Lassen Sie den Vorwurf grober Fahrlässigkeit rechtlich prüfen, bevor Sie eine Ablehnung der Bank hinnehmen.

Beweislast nach Phishing: Die Bank muss das Fehlverhalten nachweisen

Für Betroffene ist die Beweislast der entscheidende Punkt. Will die Bank den Schaden auf den Kunden abwälzen, muss sie dessen Vorsatz oder grobe Fahrlässigkeit nachweisen. Der EuGH hat das ausdrücklich klargestellt. Auch § 675w BGB sieht vor, dass die bloße Aufzeichnung einer Nutzung des Zahlungsinstruments samt Authentifizierung nicht ohne Weiteres ausreicht, um eine Autorisierung oder grobe Fahrlässigkeit zu belegen. Die Bank muss weitere Beweismittel vorlegen.

Bislang haben deutsche Gerichte in vielen Fällen eine Erstattung im Ergebnis abgelehnt, weil die Bank dem Erstattungsanspruch aus § 675u BGB ihren eigenen Schadensersatzanspruch aus § 675v Abs. 3 BGB entgegenhalten konnte. Nach dem EuGH darf diese Prüfung die Erstattung aber nicht blockieren: Die Bank muss zunächst zahlen und ihren Anspruch anschließend selbst geltend machen und beweisen. Wie deutsche Gerichte diese Vorgabe im Einzelnen umsetzen, wird sich in den kommenden Verfahren zeigen. Die Verhandlungsposition von Betroffenen hat sich jedenfalls deutlich verbessert.

Eine Ausnahme bleibt eng: Nur wenn die Bank konkrete Anhaltspunkte dafür hat, dass der Kunde selbst betrügt, und dies der zuständigen Behörde schriftlich meldet, darf sie die sofortige Erstattung verweigern. Ein allgemeiner Hinweis auf Sorgfaltspflichtverletzungen genügt dafür nicht.

Fordern Sie bei einer Ablehnung eine schriftliche Begründung an und lassen Sie diese anwaltlich bewerten.

Was Sie nach einem Phishing-Angriff sofort tun sollten

Wer schnell und richtig handelt, sichert seine Ansprüche und begrenzt den Schaden. Folgende Schritte haben sich bewährt:

• Konto sperren: Online-Banking und Karten über die Bank oder den Sperr-Notruf 116 116 sperren lassen.
• Bank informieren: Den nicht autorisierten Zahlungsvorgang unverzüglich und nachweisbar anzeigen, möglichst zusätzlich schriftlich.
• Erstattung verlangen: Ausdrücklich die Rückzahlung nach § 675u BGB fordern und auf das EuGH-Urteil C-70/25 hinweisen.
• Strafanzeige erstatten: Den Betrug bei der Polizei anzeigen und das Aktenzeichen notieren.
• Beweise sichern: E-Mails, SMS, Links, Screenshots, Kontoauszüge und Gesprächsnotizen aufbewahren.
• Fristen beachten: Nicht autorisierte Belastungen spätestens innerhalb von 13 Monaten anzeigen, besser sofort.

Wichtig ist die Abgrenzung zu autorisierten Zahlungen. Wer selbst eine Überweisung in Auftrag gibt, etwa weil er auf ein betrügerisches Anlageangebot oder einen falschen Zahlungsempfänger hereingefallen ist, kann sich nicht auf das Urteil berufen. Dann kommen andere Ansprüche in Betracht, zum Beispiel gegen beteiligte Plattformen oder Zahlungsdienstleister. Mehr dazu, wie Betroffene nach einem Krypto-Betrug Geld zurückholen können, lesen Sie in unserem gesonderten Beitrag.

Auf europäischer Ebene steht zudem die neue Zahlungsdiensteverordnung (Payment Services Regulation, PSR) vor dem Abschluss des Gesetzgebungsverfahrens. Sie soll unter anderem die Haftung von Banken stärken, wenn Betrüger sich als Mitarbeiter der eigenen Bank ausgeben. Bis die neuen Regeln nach einer Übergangsfrist gelten, bleibt es bei den bestehenden Vorschriften des BGB.

Wann lohnt sich anwaltliche Beratung bei Phishing und Bankbetrug?

Anwaltliche Unterstützung lohnt sich vor allem, wenn die Bank die Erstattung ablehnt, nur einen Teil erstattet oder die Prüfung über Wochen hinauszögert. Gleiches gilt, wenn die Bank einen bereits erstatteten Betrag zurückfordert oder das Konto ohne Ihre Zustimmung wieder belastet. Bei höheren Schadensbeträgen ist eine frühe Prüfung ohnehin sinnvoll, weil sich die Beweislage mit jedem Tag verschlechtern kann.

Ob ein Verhalten als grob fahrlässig gilt, hängt stark vom Einzelfall ab. Die Rechtsprechung ist umfangreich und nicht einheitlich. Eine sorgfältige Aufarbeitung des Ablaufs, der technischen Sicherheitsverfahren der Bank und etwaiger Warnhinweise entscheidet häufig darüber, ob ein Anspruch durchsetzbar ist und ob die Bank ein Mitverschulden trifft.

Bei Artz & Partner Rechtsanwälte unterstützen wir Betroffene von unseren Standorten in München, Berlin und Landshut aus. Wir prüfen die Ablehnung der Bank, fordern die Erstattung außergerichtlich ein und setzen Ihre Ansprüche bei Bedarf gerichtlich durch. Gegen die Vorwürfe der Bank argumentieren wir auf Basis der aktuellen Rechtsprechung, einschließlich des EuGH-Urteils C-70/25. Bei Fragen rund um Schadensersatz und Verbraucheransprüche im allgemeinen Zivilrecht sind wir Ihr Ansprechpartner.

Schildern Sie uns Ihren Fall über unser Kontaktformular, am besten mit den Unterlagen zur Ablehnung durch die Bank.

Fazit: Phishing-Opfer haben Anspruch auf schnelle Erstattung

Das EuGH-Urteil C-70/25 stärkt die Rechte von Bankkunden erheblich. Banken dürfen die Erstattung nicht autorisierter Zahlungen nicht mit dem pauschalen Vorwurf grober Fahrlässigkeit verweigern oder verzögern. Sie müssen zunächst zahlen und können den Schaden nur zurückverlangen, wenn sie dem Kunden grobe Fahrlässigkeit nachweisen.

Für Betroffene heißt das: Melden Sie den Vorfall sofort, verlangen Sie die Erstattung ausdrücklich und lassen Sie sich von einer Ablehnung nicht entmutigen. Ob Sie den Schaden am Ende tatsächlich tragen müssen, entscheidet sich erst in einem zweiten Schritt, und dort liegt die Beweislast bei der Bank.

FAQs: Häufig gestellte Fragen zu Phishing und Bankerstattung

1. Muss die Bank mir nach Phishing das Geld zurückzahlen?

Bei einem nicht autorisierten Zahlungsvorgang muss die Bank den Betrag grundsätzlich unverzüglich erstatten, spätestens bis zum Ende des folgenden Geschäftstags nach der Anzeige. Das ergibt sich aus § 675u BGB und Art. 73 PSD2. Nach dem EuGH gilt das auch dann, wenn die Bank Ihnen grobe Fahrlässigkeit vorwirft. Ob Sie den Schaden später selbst tragen müssen, ist eine gesonderte Frage.

2. Was hat der EuGH im Urteil C-70/25 entschieden?

Der EuGH hat am 15. Oktober 2026 entschieden, dass die Bank die Erstattung einer nicht autorisierten Zahlung nicht mit dem bloßen Vorwurf grober Fahrlässigkeit verweigern oder aufschieben darf. Sie muss zunächst erstatten. Will sie den Schaden auf den Kunden abwälzen, muss sie dessen grobe Fahrlässigkeit nachweisen.

3. Gilt das EuGH-Urteil auch für deutsche Banken?

Ja. Die deutschen Regelungen in den §§ 675u ff. BGB beruhen auf der PSD2. Deutsche Gerichte müssen sie deshalb im Einklang mit der Auslegung des EuGH anwenden. Das betrifft Banken, Sparkassen und andere Zahlungsdienstleister gleichermaßen.

4. Was ist eine nicht autorisierte Zahlung?

Eine Zahlung ist nicht autorisiert, wenn Sie ihr nicht zugestimmt haben. Das ist typischerweise der Fall, wenn Betrüger mit erbeuteten Zugangsdaten selbst eine Überweisung auslösen. Haben Sie die Überweisung dagegen selbst in Auftrag gegeben, etwa an einen vermeintlichen Geschäftspartner, liegt in der Regel eine autorisierte Zahlung vor.

5. Wann handle ich bei Phishing grob fahrlässig?

Grobe Fahrlässigkeit liegt vor, wenn die erforderliche Sorgfalt in ungewöhnlich hohem Maße verletzt wird. Gerichte haben dies etwa bei der Weitergabe von TANs am Telefon oder beim Befolgen offensichtlich fehlerhafter E-Mails angenommen. Entscheidend sind immer die Umstände des Einzelfalls, auch die persönliche Situation des Kunden.

6. Wer muss die grobe Fahrlässigkeit beweisen?

Die Bank. Sie muss nachweisen, dass Sie Ihre Pflichten vorsätzlich oder grob fahrlässig verletzt haben. Die bloße Aufzeichnung, dass Ihre Zugangsdaten und Ihr Authentifizierungsverfahren genutzt wurden, reicht dafür nach § 675w BGB nicht ohne Weiteres aus.

7. Wie viel muss ich bei leichter Fahrlässigkeit selbst zahlen?

Bei leichter Fahrlässigkeit ist Ihre Haftung nach § 675v Abs. 1 BGB auf höchstens 50 Euro begrenzt. Nur bei Vorsatz oder grober Fahrlässigkeit haften Sie für den gesamten Schaden. Hat die Bank keine starke Kundenauthentifizierung verlangt, ist Ihre Haftung nach § 675v Abs. 4 BGB grundsätzlich ausgeschlossen, sofern Sie nicht in betrügerischer Absicht gehandelt haben.

8. Wie schnell muss ich den Phishing-Schaden melden?

Melden Sie den Vorfall sofort nach Entdeckung, damit die Bank weitere Abbuchungen verhindern kann. Die gesetzliche Ausschlussfrist nach § 676b BGB beträgt 13 Monate ab der Belastung. Eine verspätete Meldung kann aber schon vorher zu Nachteilen führen, etwa beim Vorwurf mangelnder Sorgfalt.

9. Darf die Bank eine Erstattung später zurückfordern?

Ja, wenn sie Ihnen grobe Fahrlässigkeit oder Vorsatz nachweisen kann. Die Erstattung ist also nicht in jedem Fall endgültig. Gerade deshalb lohnt es sich, den Ablauf frühzeitig zu dokumentieren und die Argumentation der Bank rechtlich prüfen zu lassen.

10. Wann lohnt sich ein Anwalt bei Phishing?

Ein Anwalt lohnt sich, wenn die Bank die Erstattung ablehnt, hinauszögert oder einen erstatteten Betrag zurückfordert, und bei höheren Schäden. Er prüft, ob die Vorwürfe der Bank tragen, ob ein Mitverschulden der Bank vorliegt und welche Ansprüche sich durchsetzen lassen. Je früher die Prüfung erfolgt, desto besser lassen sich Beweise sichern.