EuGH: Wann Banken nach Phishing sofort erstatten müssen

Nach einem Phishing-Betrug fehlt Geld auf dem Konto, und die Bank lehnt die Erstattung ab: Die betroffene Person habe ihre Zugangsdaten zu sorglos behandelt. Für nicht autorisierte Zahlungen reicht diese Begründung nicht aus. Das hat der Europäische Gerichtshof am 15. Oktober 2026 in der Rechtssache C-70/25, „Tukowiecka“, entschieden. Die Bank muss grundsätzlich unverzüglich erstatten, auch wenn sie dem Kunden grobe Fahrlässigkeit vorwirft. Ob der Kunde den Schaden letztlich selbst tragen muss, wird davon getrennt beurteilt.

Eine Verkaufsanzeige führte zur gefälschten Bankseite

Ausgangspunkt war der Fall einer Kundin der polnischen Bank PKO BP. Sie hatte einen Gegenstand auf einer Online-Verkaufsplattform angeboten. Ein angeblicher Kaufinteressent schickte ihr einen Link, mit dem sie vermeintlich den Verkauf bestätigen sollte. Dahinter lag eine Website, die wie die Seite ihrer Bank aussah. Die Frau gab dort ihre Zugangsdaten ein. Der Täter erlangte durch die Täuschung außerdem einen per SMS übermittelten Bestätigungscode und überwies 3.000 Złoty, umgerechnet rund 700 Euro, auf sein eigenes Konto.

Die Kundin bemerkte den Betrug am nächsten Tag und verständigte sofort ihre Bank sowie die Polizei. Die Bank verweigerte die Erstattung unter Berufung auf grobe Fahrlässigkeit. Daraufhin klagte die Frau. Das Gericht in Koszalin wollte vom EuGH wissen, ob eine Bank die sofortige Rückzahlung mit dieser Begründung ablehnen darf. Der EuGH hat diese Frage verbindlich zur Auslegung des EU-Rechts beantwortet. Den konkreten Rechtsstreit muss das polnische Gericht auf dieser Grundlage entscheiden.

Wie schnell die Bank erstatten muss

Der Gerichtshof legt die Zahlungsdiensterichtlinie PSD2 aus. Nach Artikel 73 muss der Zahlungsdienstleister den Betrag einer nicht autorisierten Zahlung unverzüglich erstatten, spätestens bis zum Ende des folgenden Geschäftstags, nachdem er davon erfahren hat oder informiert wurde. Das belastete Konto ist grundsätzlich wieder auf den Stand zu bringen, auf dem es sich ohne die Zahlung befunden hätte. Eine wochenlange Prüfung der möglichen groben Fahrlässigkeit darf diese Erstattung nicht aufschieben.

Vorausgesetzt ist, dass Betroffene die Bank nach Entdeckung der nicht autorisierten Zahlung ohne ungerechtfertigte Verzögerung verständigen. Die Frist der Bank ist auch keine pauschale Zusage „innerhalb von 24 Stunden“: Das Gesetz stellt auf Geschäftstage ab.

Eine Ausnahme besteht bei berechtigten Gründen für den Verdacht, dass der Kunde selbst betrügerisch handelt. Die Bank muss diese Gründe der zuständigen nationalen Behörde schriftlich mitteilen. Der Umstand, dass ein außenstehender Täter jemanden betrogen hat, genügt dafür ebenso wenig wie der Vorwurf unvorsichtigen Verhaltens. In Österreich sieht § 67 Absatz 2 ZaDiG 2018 dafür ausdrücklich eine unverzügliche schriftliche Meldung an die Finanzmarktaufsicht vor.

Die spätere Haftung bleibt offen

Artikel 74 regelt, wer den Verlust endgültig tragen muss. Hat ein Kunde den Schaden durch eine vorsätzliche oder grob fahrlässige Verletzung seiner Pflichten verursacht, kann die Bank nach der Erstattung unter den gesetzlichen Voraussetzungen Ersatz verlangen. Dazu gehören Pflichten zum Schutz der persönlichen Sicherheitsmerkmale. Die Bank muss die grobe Fahrlässigkeit nachweisen; ein pauschaler Vorwurf ersetzt diesen Nachweis nicht. Auch der Zusammenhang zwischen der Pflichtverletzung und dem entstandenen Verlust muss gegeben sein.

Damit legt das Urteil die Reihenfolge fest: Zuerst erhält der Kunde den Betrag der nicht autorisierten Zahlung zurück. Einen möglichen Ersatzanspruch muss die Bank anschließend auf den dafür vorgesehenen rechtlichen Wegen verfolgen. Die Gutschrift bedeutet daher noch keine endgültige Entscheidung darüber, wer den Schaden trägt.

Der EuGH begründet das mit dem Verbraucherschutz. Könnte die Bank bereits die erste Erstattung wegen angeblicher grober Fahrlässigkeit verweigern, müssten Kunden selbst ein Verfahren beginnen, um an ihr Geld zu kommen, und die damit verbundenen Nachteile und möglichen Kosten tragen. Die gesetzlich vorgesehene schnelle Erstattung würde dadurch ihre Wirkung verlieren.

Welche Zustimmung bei einer Zahlung zählt

Die Entscheidung betrifft Zahlungen, denen der Kontoinhaber nicht zugestimmt hat. Wer dagegen selbst eine konkrete Überweisung beauftragt und autorisiert, etwa im Glauben an ein seriöses Anlageangebot, kann aus diesem Urteil keinen pauschalen Anspruch auf sofortige Erstattung ableiten. Auch eine betrügerisch veranlasste Zahlung kann rechtlich autorisiert sein. Entscheidend ist, ob eine Zustimmung zur konkreten Zahlung vorlag; der Betrug allein beantwortet diese Frage nicht.

Ebenso wenig darf man aus der Verwendung eines Passworts oder eines Bestätigungscodes automatisch auf eine wirksame Zustimmung schließen. Das Gesetz unterscheidet zwischen der technischen Prüfung der Sicherheitsmerkmale, der sogenannten Authentifizierung, und der Autorisierung einer Zahlung. Nach § 66 ZaDiG 2018 und § 675w des deutschen Bürgerlichen Gesetzbuchs reicht die aufgezeichnete Nutzung eines Zahlungsinstruments allein nicht notwendigerweise aus, um eine Autorisierung oder grobe Fahrlässigkeit zu beweisen. Im polnischen Ausgangsfall hatte der Täter den SMS-Code durch Täuschung erlangt. Die dem EuGH vorgelegte Frage betraf dennoch ausdrücklich eine nicht autorisierte Zahlung.

Was das für Österreich und Deutschland bedeutet

Das Urteil betrifft die Auslegung gemeinsamer EU-Regeln und ist daher auch für vergleichbare Fälle in Österreich und Deutschland relevant. Die Erstattungspflicht steht in Österreich in § 67 ZaDiG 2018, in Deutschland in § 675u BGB. Die anschließende Kundenhaftung regeln insbesondere § 68 ZaDiG 2018 und § 675v BGB. Sie hängt von den gesetzlichen Voraussetzungen und den Umständen des jeweiligen Falls ab. Über Erstattungsansprüche nach Schweizer Recht trifft das Urteil keine Entscheidung.

Was Betroffene jetzt tun können

Wer eine unbekannte Zahlung entdeckt oder Bankdaten auf einer verdächtigen Seite eingegeben hat, sollte die Bank sofort über einen selbst gewählten offiziellen Kontakt verständigen und betroffene Zugänge oder Zahlungsinstrumente sperren lassen. Für die Meldung helfen Betrag und Buchungsdatum. Zusätzlich sollten Betroffene den Ablauf möglichst genau festhalten: Welche Nachricht kam an, welche Daten wurden eingegeben und was wurde in einer App oder per SMS angezeigt? Nachrichten und Buchungsbelege sollten gesichert werden.

Gegenüber der Bank sollte wahrheitsgemäß und konkret erklärt werden, welcher Zahlung nicht zugestimmt wurde. Dazu gehört die ausdrückliche Forderung nach unverzüglicher Erstattung und Berichtigung des Kontos. Wer selbst eine Überweisung beauftragt hat, sollte diesen Ablauf ebenfalls genau schildern. Bei einer Ablehnung wegen grober Fahrlässigkeit können Betroffene auf das Urteil C-70/25 hinweisen und eine schriftliche Begründung verlangen. Bleibt der Streit bestehen oder fordert die Bank das Geld später zurück, helfen Verbraucherberatung oder eine rechtliche Prüfung dabei, die konkrete Forderung zu beurteilen.