---

Eine gefälschte SMS, ein täuschend echter Link oder ein Anruf angeblich von der Bank: Phishing-Angriffe treffen Verbraucher oft unerwartet. Gelangen Täter auf diesem Weg an Zugangsdaten oder veranlassen sie eine Überweisung, folgt häufig der nächste Schock: Die Bank lehnt die Erstattung ab und wirft dem Kontoinhaber grobe Fahrlässigkeit vor.

Der Europäische Gerichtshof (EuGH) hat die Rechte von Bankkunden mit Urteil vom 15. Oktober 2026, Rechtssache C-70/25 (Tukowiecka), erheblich gestärkt: Bei einem nicht autorisierten Zahlungsvorgang muss die Bank den Betrag grundsätzlich unverzüglich erstatten. Der bloße Vorwurf, der Kunde habe grob fahrlässig gehandelt, berechtigt die Bank nicht, die Erstattung von vornherein zu verweigern. EuGH, Pressemitteilung Nr. 147/26 zur Rechtssache C-70/25

Das Wichtigste in Kürze

• Wurde eine Überweisung, Lastschrift oder Kartenzahlung nicht vom Kontoinhaber autorisiert, besteht grundsätzlich ein Erstattungsanspruch gegen die Bank.
• Die Bank muss den Betrag unverzüglich, spätestens bis zum Ende des auf die Meldung folgenden Geschäftstags, erstatten.
• Der Vorwurf grober Fahrlässigkeit – etwa wegen eines angeklickten Phishing-Links – erlaubt es der Bank nicht, die erste Erstattung einfach abzulehnen.
• Die Frage, wer den Schaden am Ende tragen muss, wird rechtlich erst in einem zweiten Schritt geprüft.
• Die Bank muss eine behauptete grobe Fahrlässigkeit des Kunden beweisen. Die bloße Protokollierung einer TAN-Eingabe oder App-Freigabe genügt dafür nicht automatisch.

Was hat der EuGH entschieden?

Dem Urteil lag ein Phishing-Fall zugrunde: Eine Bankkundin wurde über einen vermeintlichen Link einer Verkaufsplattform auf eine gefälschte Bankseite geleitet. Dort gab sie ihre Online-Banking-Zugangsdaten ein. Ein Täter nutzte diese Daten anschließend für eine Überweisung vom Konto der Kundin.

Die Bank verweigerte die Erstattung mit der Begründung, die Kundin habe ihre Sicherheitsmerkmale nicht ausreichend geschützt und damit grob fahrlässig gehandelt.

Der EuGH hat klargestellt: Die Erstattungspflicht der Bank und die endgültige Haftungsfrage sind voneinander zu trennen. Zunächst muss der Zahlungsdienstleister den Betrag eines nicht autorisierten Zahlungsvorgangs erstatten. Erst anschließend kann die Bank gegebenenfalls einen eigenen Anspruch gegen den Kunden geltend machen, wenn sie dessen vorsätzliche oder grob fahrlässige Pflichtverletzung nachweisen kann. EuGH, Pressemitteilung Nr. 147/26 zur Rechtssache C-70/25

Was gilt nach deutschem Recht?

Die deutsche Regelung findet sich vor allem in § 675u BGB. Danach hat der Zahlungsdienstleister bei einem nicht autorisierten Zahlungsvorgang den Zahlungsbetrag unverzüglich zu erstatten und das Konto so wiederherzustellen, als wäre die Belastung nicht erfolgt. Die Erstattung muss grundsätzlich spätestens bis zum Ende des Geschäftstags erfolgen, der auf die Anzeige oder Kenntniserlangung folgt.

Eine Ausnahme kommt nur unter engen Voraussetzungen in Betracht: Die Bank muss berechtigte Gründe für den Verdacht haben, dass der Kunde selbst betrügerisch gehandelt hat, und diese Gründe der zuständigen nationalen Behörde schriftlich mitteilen. Ein allgemeiner Verdacht oder der pauschale Hinweis auf ein möglicherweise unvorsichtiges Verhalten des Kunden reicht nicht aus. EuGH, Pressemitteilung Nr. 147/26 zur Rechtssache C-70/25

„Sie haben doch die TAN bestätigt“ – reicht das für eine Ablehnung?

Nein. Dass eine TAN eingegeben, eine Push-TAN bestätigt oder ein anderes Authentifizierungsverfahren genutzt wurde, beweist nicht automatisch, dass der Kontoinhaber die konkrete Zahlung rechtlich autorisiert hat.

Nach § 675w BGB muss die Bank zwar die Authentifizierung und die ordnungsgemäße technische Aufzeichnung des Zahlungsvorgangs nachweisen. Die Aufzeichnung der Nutzung des Zahlungsinstruments allein genügt jedoch nicht zwingend, um eine Autorisierung, Betrug, Vorsatz oder grobe Fahrlässigkeit des Kunden nachzuweisen. Hierfür sind weitere Beweismittel erforderlich.

Gerade bei modernen Phishing-Angriffen kann es vorkommen, dass Betroffene zwar eine TAN oder eine App-Freigabe auslösen, sich aber aufgrund einer Täuschung über Inhalt und Bedeutung des Vorgangs irren. Ob eine wirksame Zustimmung zur konkreten Zahlung vorliegt, ist deshalb stets anhand des Einzelfalls zu prüfen.

Grobe Fahrlässigkeit: Muss der Kunde am Ende doch zahlen?

Die Entscheidung des EuGH bedeutet nicht, dass jede betroffene Person den Schaden endgültig nicht tragen muss. Hat ein Kunde seine Pflichten vorsätzlich oder grob fahrlässig verletzt, kann ein Ersatzanspruch der Bank nach § 675v BGB in Betracht kommen.

Entscheidend ist aber die Reihenfolge:

1. Zuerst: Die Bank erstattet den Betrag des nicht autorisierten Zahlungsvorgangs.
2. Danach: Die Bank kann einen eigenen Ersatzanspruch geltend machen.
3. Dabei: Die Bank trägt die Darlegungs- und Beweislast für die Voraussetzungen einer groben Fahrlässigkeit.

Die Bank darf daher nicht einfach erklären: „Sie haben einen Link angeklickt – deshalb zahlen wir nicht.“ Sie muss die rechtlichen Voraussetzungen sorgfältig darlegen und beweisen. EuGH, Pressemitteilung Nr. 147/26 zur Rechtssache C-70/25

Was sollten Betroffene nach Phishing sofort tun?

Wer eine verdächtige Kontobewegung feststellt oder Opfer eines Phishing-Angriffs geworden ist, sollte unverzüglich handeln:

• Online-Banking sperren: Bank sofort telefonisch über die bekannte Rufnummer kontaktieren; nicht über Links aus SMS oder E-Mails.
• Nicht autorisierte Zahlung melden: Der Bank klar und nachweisbar mitteilen, welche Überweisung, Lastschrift oder Zahlung nicht autorisiert wurde.
• Erstattung verlangen: Die Bank zur unverzüglichen Wiederherstellung des Kontostands auffordern.
• Beweise sichern: Screenshots, SMS, E-Mails, Chatverläufe, Anruflisten, Kontoauszüge und die Kommunikation mit der Bank speichern.
• Strafanzeige erwägen: Eine Strafanzeige kann sinnvoll sein, ersetzt aber nicht die unverzügliche Meldung und Anspruchsanmeldung gegenüber der Bank.
• Ablehnung rechtlich prüfen lassen: Insbesondere dann, wenn die Bank sich pauschal auf eine angebliche grobe Fahrlässigkeit beruft.

Welche Fristen gelten?

Nicht autorisierte Zahlungsvorgänge müssen der Bank unverzüglich nach Feststellung angezeigt werden. Darüber hinaus gilt grundsätzlich eine 13-monatige Ausschlussfrist ab Belastung des Kontos; deren genauer Beginn und mögliche Besonderheiten hängen vom Einzelfall und von der ordnungsgemäßen Unterrichtung durch die Bank ab. Deshalb sollte bei Phishing oder unbekannten Kontobelastungen nicht abgewartet werden.

Gilt das EuGH-Urteil auch für bereits laufende Fälle?

Das Urteil betrifft die Auslegung der europäischen Zahlungsdiensterichtlinie. Die deutschen Vorschriften der §§ 675u ff. BGB müssen richtlinienkonform ausgelegt werden. Die Entscheidung ist deshalb auch für bereits laufende außergerichtliche Auseinandersetzungen und Gerichtsverfahren von erheblicher Bedeutung, sofern die Ansprüche noch nicht endgültig erledigt oder verjährt sind.

Gerade in laufenden Verfahren ist zu prüfen, ob die Bank die Erstattung bislang allein mit einem behaupteten Anspruch wegen grober Fahrlässigkeit verweigert hat. Nach der Entscheidung des EuGH ist zwischen dem sofortigen Erstattungsanspruch und einer möglichen späteren Rückforderung der Bank klar zu unterscheiden.

Aktuelle Beratungspraxis: Die Kanzlei Brandt vertritt bereits Mandanten bei der gerichtlichen Durchsetzung von Ansprüchen gegen Kreditinstitute nach nicht autorisierten Zahlungsvorgängen. Die konkrete rechtliche Bewertung hängt jedoch stets vom Ablauf des Einzelfalls, den Sicherheitsverfahren der Bank und der vorhandenen Dokumentation ab.

Unterstützung nach Online-Banking-Betrug und Phishing

Die Kanzlei Brandt prüft Ansprüche nach Phishing, unberechtigten Überweisungen, betrügerischen Lastschriften und sonstigen nicht autorisierten Kontobelastungen. Maßgeblich sind dabei insbesondere die Frage der Autorisierung, die Reaktion der Bank, der konkrete Ablauf des Betrugs sowie die Beweislage zu einem möglichen Fahrlässigkeitsvorwurf.

Wenn Ihre Bank eine Erstattung abgelehnt hat oder auf Ihre Anzeige nicht reagiert, können Sie uns über unser Kontaktformular erreichen oder an kanzlei@rain-brandt.de schreiben.

Hinweis: Dieser Beitrag ersetzt keine individuelle Rechtsberatung. Ob ein Erstattungsanspruch besteht und ob die Bank einen Gegenanspruch geltend machen kann, hängt stets von den Umständen des konkreten Einzelfalls ab.

FAQ

Muss meine Bank nach Phishing das Geld zurückzahlen?

Bei einer nicht autorisierten Überweisung muss die Bank den Betrag grundsätzlich unverzüglich erstatten. Nach dem EuGH-Urteil vom 15. Oktober 2026 darf die Bank die Erstattung nicht allein wegen des Vorwurfs grober Fahrlässigkeit verweigern.

Wie schnell muss die Bank nach einer unberechtigten Überweisung erstatten?

Grundsätzlich unverzüglich, spätestens bis zum Ende des auf die Anzeige oder Kenntniserlangung folgenden Geschäftstags.

Reicht eine bestätigte TAN aus, damit die Bank nicht zahlen muss?

Nein. Die Nutzung einer TAN oder Banking-App belegt nicht automatisch, dass der Kunde die konkrete Zahlung autorisiert oder grob fahrlässig gehandelt hat. Die Bank muss weitere Beweismittel vorlegen.

Darf die Bank mir grobe Fahrlässigkeit vorwerfen?

Die Bank kann sich auf grobe Fahrlässigkeit berufen. Sie darf deshalb aber nicht ohne Weiteres die unverzügliche Erstattung verweigern. Zudem muss sie die Voraussetzungen einer groben Fahrlässigkeit darlegen und beweisen.

Was muss ich nach einem Phishing-Angriff tun?

Sperren Sie unverzüglich den Zugang zum Online-Banking, melden Sie die unberechtigte Zahlung nachweisbar der Bank, sichern Sie alle Unterlagen und lassen Sie eine Ablehnung der Bank rechtlich überprüfen.