Der Europäische Gerichtshof stellt klar: Banken müssen nicht autorisierte Zahlungsvorgänge grundsätzlich zunächst erstatten – auch wenn sie dem Kunden grobe Fahrlässigkeit vorwerfen. Ob der Kunde den Schaden letztlich selbst tragen muss, ist in einem zweiten Schritt zu prüfen.
Dr. Kim Manuel Künstner berät Unternehmen zu rechtlichen und regulatorischen Fragestellungen in den Bereichen Data, Digital & Governance. Seine Schwerpunkte liegen insbesondere im Datenschutz, der Cybersicherheit, der KI-Regulierung sowie der Data Governance.
Dr. Tilmann Dittrich ist Teil der Praxisgruppe Data, Digital & Governance. Seine Beratungsschwerpunkte liegen insbesondere an der Schnittstelle von Datenrecht, Cybersecurity, NIS-2-Compliance sowie im Healthcare- und Life-Sciences-Bereich.
Phishing-Angriffe werden immer professioneller. Kriminelle geben sich nicht mehr nur per E-Mail als Bank oder Verkaufsplattform aus. Sie kombinieren gefälschte Internetseiten mit SMS, Telefonanrufen und Nachrichten über Online-Marktplätze. Oftmals kommt auch Künstliche Intelligenz zum Einsatz. Häufig verfügen sie bereits über einzelne Informationen zum Konto oder zur Person ihres Opfers. Das macht es für Betroffene besonders schwierig, einen Angriff zu erkennen.
Wenn die Phishing-Masche funktioniert und der Bankkunde Zahlungen freigibt, stellt sich für Banken und Kunden anschließend regelmäßig die Frage, wer für den entstandenen Schaden aufkommen muss. Der Europäische Gerichtshof hat diese Frage nun für einen wichtigen Teilbereich geklärt.
Der Fall: Phishing über eine Verkaufsplattform.
In dem Verfahren „Tukowiecka“ hatte eine Kundin einen Gegenstand über eine Online-Plattform zum Verkauf angeboten. Ein vermeintlicher Käufer übersandte ihr einen Link zur Bestätigung des Verkaufs. Der Link führte zunächst auf eine gefälschte Internetseite der Verkaufsplattform und anschließend auf eine täuschend echt nachgebildete Bankseite.
Dort gab die Kundin ihre Zugangsdaten zum Online-Banking ein. Mit diesen Daten und einem per SMS übermittelten Bestätigungscode veranlasste der Täter eine Überweisung über 3.000 polnische Złoty, also rund 705 Euro. Die Kundin bemerkte den Vorgang am folgenden Tag und informierte ihre Bank. Die Bank verweigerte die Erstattung mit der Begründung, die Kundin habe ihre Zugangsdaten nicht ausreichend geschützt und deshalb grob fahrlässig gehandelt.
Die Entscheidung des EuGH.
Der EuGH hat mit Urteil vom 15. Oktober 2026 entschieden, dass die Bank die unverzügliche Erstattung nicht allein mit dem Hinweis auf eine mögliche grobe Fahrlässigkeit des Kunden verweigern darf.
Nach Art. 73 Abs. 1 der Richtlinie (EU) 2015/2366 über Zahlungsdienste im Binnenmarkt – der sogenannten PSD II – muss der Zahlungsdienstleister einen nicht autorisierten Zahlungsvorgang grundsätzlich unverzüglich erstatten, spätestens bis zum Ende des folgenden Geschäftstags. Die Richtlinie sieht davon nur eine ausdrückliche Ausnahme vor: Die Bank darf die Erstattung zunächst zurückhalten, wenn sie konkrete Gründe für den Verdacht eines Betrugs hat und diese Gründe der zuständigen nationalen Behörde schriftlich mitteilt.
Der bloße Verdacht, der Kunde habe den Zahlungsvorgang durch grobe Fahrlässigkeit ermöglicht, genügt dafür nicht. Ein angeklickter Link oder die Eingabe von Zugangsdaten auf einer gefälschten Internetseite erlauben es der Bank daher nicht, die Erstattung zunächst zu verweigern oder von einer längeren Prüfung abhängig zu machen.
Erstattung und endgültige Haftung sind zwei verschiedene Fragen.
Die Entscheidung bedeutet allerdings nicht, dass Kunden in jedem Fall endgültig von der Haftung frei sind.
Das deutsche Recht sieht in § 675u Bürgerliches Gesetzbuch (BGB) grundsätzlich eine Pflicht der Bank zur Erstattung nicht autorisierter Zahlungsvorgänge vor. Nach § 675v BGB kann die Bank jedoch Ersatz verlangen, wenn der Kunde den Schaden vorsätzlich oder grob fahrlässig verursacht hat. Die maßgeblichen Schutzpflichten des Kunden ergeben sich aus § 675l BGB. Danach muss der Kunde insbesondere seine personalisierten Sicherheitsmerkmale – etwa PIN, TAN oder Freischaltcodes – vor dem Zugriff Dritter schützen.
Der EuGH trennt diese beiden Prüfungsschritte ausdrücklich: Die Bank muss zunächst erstatten. Anschließend kann sie prüfen, ob sie den erstatteten Betrag vom Kunden zurückfordern kann. Dafür muss sie insbesondere nachweisen, dass der Kunde seine Pflichten tatsächlich grob fahrlässig verletzt hat und diese Pflichtverletzung den Schaden verursacht hat.
Eine ordnungsgemäß aufgezeichnete Authentifizierung reicht dafür allein nicht aus. Nach der Rechtsprechung des Bundesgerichtshofs muss die Bank zusätzliche Beweismittel vorlegen; aus der bloßen Nutzung eines Zahlungsinstruments folgt nicht automatisch, dass der Kunde grob fahrlässig gehandelt hat.
Was ändert sich gegenüber der bisherigen Rechtsprechung?
Die Entscheidung des EuGH betrifft vor allem den Zeitpunkt der Erstattung. Sie sagt nicht, dass jede Täuschung durch Phishing zulasten der Bank geht und Kunden niemals haften.
Das zeigt der Vergleich mit den bereits dargestellten Entscheidungen des OLG Koblenz und des LG Berlin II in unserem Blog. In beiden Fällen kam es darauf an, ob der Angriff für den Kunden erkennbar war, welche Informationen der Kunde tatsächlich preisgegeben oder bestätigt hatte und ob die Bank ungewöhnliche Vorgänge hätte erkennen können.
In den dort behandelten Fällen sprachen insbesondere die mehrstufige Täuschung über mehrere Kommunikationskanäle, die Nutzung scheinbar authentischer Bankkommunikation und nicht ohne Weiteres erkennbare technische Abläufe gegen den Vorwurf grober Fahrlässigkeit. Entscheidend war also jeweils eine konkrete Bewertung des Einzelfalls. Auch die bisherige Rechtsprechung stellt darauf ab, dass Unerfahrenheit, technische Unbeholfenheit und die konkrete Ausgestaltung des Angriffs berücksichtigt werden müssen.
Der EuGH verschiebt nun zusätzlich die prozessuale Ausgangslage: Kunden müssen nicht zunächst selbst gegen die Bank auf Erstattung klagen, während die Bank den Vorwurf der groben Fahrlässigkeit lediglich behauptet. Vielmehr muss die Bank den Betrag grundsätzlich zunächst gutschreiben und ihren Rückforderungsanspruch anschließend konkret begründen und beweisen.
Ob Erstattungsansprüche, Haftungsfragen oder die Abwehr unberechtigter Forderungen: Wir beraten Sie zu den rechtlichen Folgen von Phishing-Angriffen und unterstützen Sie bei der Durchsetzung Ihrer Interessen.
Jetzt kontakt aufnehmen →
Praktische Folgen für Banken und Kunden.
Für Banken bedeutet das Urteil, dass Erstattungsprozesse und Betrugsprüfung organisatorisch klar voneinander getrennt werden müssen. Eine Prüfung des Kundenverhaltens darf die gesetzliche Erstattungsfrist grundsätzlich nicht verlängern. Gleichzeitig müssen die für eine spätere Rückforderung erforderlichen Daten frühzeitig gesichert werden.
Dazu können – je nach Einzelfall – insbesondere folgende Informationen gehören:
verwendete Geräte und IP-Adressen,
Änderungen oder Neuregistrierungen von Sicherheitsverfahren,
ungewöhnliche Empfänger oder Beträge,
mehrere Transaktionen in kurzer Zeit,
Abweichungen vom bisherigen Nutzungsverhalten,
technische Hinweise auf eine Manipulation oder einen Zugriff durch Dritte.
Eine Pflicht der Bank zur Verhinderung jedes einzelnen Phishing-Angriffs folgt daraus nicht. Auffällige Transaktionen müssen aber angemessen bewertet werden. Die Rechtsprechung verlangt keine lückenlose Überwachung sämtlicher Kontobewegungen, kann bei konkreten und kumulierten Verdachtsmomenten jedoch eine weitergehende Reaktion der Bank nahelegen.
Kunden sollten verdächtige Zahlungsvorgänge unverzüglich melden, den Zugang sperren lassen und den gesamten Ablauf dokumentieren. Dazu gehören insbesondere Nachrichten, Telefonnummern, Links, Screenshots und der zeitliche Ablauf des Geschehens. Für die spätere rechtliche Bewertung kann entscheidend sein, ob der Kunde lediglich auf eine täuschend echte Kommunikation reagiert oder ob er trotz eindeutiger Warnsignale mehrfach Sicherheitsmerkmale an unbekannte Dritte weitergibt.
Fazit und Handlungsempfehlungen: EuGH-Urteil zu Phishing.
Das Urteil des EuGH erhöht den Handlungsdruck auf Banken, ohne die Verantwortung der Kunden vollständig auszuschließen. Entscheidend bleibt die saubere Trennung zwischen der sofortigen Erstattung und der späteren Prüfung einer endgültigen Haftung.
Wir unterstützen Banken bei der rechtlichen und technischen Überprüfung ihrer Erstattungsprozesse, Betrugserkennung und Beweissicherung. Unternehmen und Privatkunden beraten wir bei der Durchsetzung oder Abwehr von Ansprüchen nach Phishing-Angriffen – insbesondere bei der Einordnung der konkreten Kommunikation, der technischen Abläufe und der Frage, ob tatsächlich grobe Fahrlässigkeit vorliegt.