EuGH zu Phishing: Erstattung trotz Fahrlässigkeitsvorwurf (Az. C-70/25)
EuGH zu Phishing
Oktober 2026: Der EuGH stärkt bei Phishing den Anspruch auf Erstattung: Banken müssen nicht autorisierte Zahlungen grundsätzlich zunächst zurückzahlen. Der bloße Vorwurf grober Fahrlässigkeit reicht nicht aus, um die Erstattung zu verweigern. Eine spätere Rückforderung durch die Bank bleibt jedoch möglich.
Ihre Bank lehnt die Rückzahlung nach einem Phishing-Angriff ab? Entscheidend ist die Unterscheidung zwischen der zunächst geschuldeten Erstattung und der Frage, wer den Schaden endgültig tragen muss. Auch die rechtzeitige Meldung des nicht autorisierten Zahlungsvorgangs an die Bank spielt eine wichtige Rolle.
RAK Rechtsanwälte verbinden Fachanwaltskompetenz im IT-Recht mit Bank- und Kapitalmarktrecht. Wir prüfen den technischen Ablauf des Angriffs, die Begründung Ihrer Bank und mögliche Erstattungsansprüche.
Was bedeutet das EuGH-Urteil für die Erstattung nach Phishing?
Die zentrale Aussage lautet: Bei nicht autorisierten Zahlungen darf die Bank die zunächst geschuldete Erstattung nicht allein mit dem Vorwurf verweigern, der Kunde habe grob fahrlässig gehandelt. Das Urteil trennt zwei rechtliche Fragen:
- Zunächst geht es darum, ob die Bank den nicht autorisierten Zahlungsbetrag unverzüglich erstatten muss.
- Anschließend kann sich die Frage stellen, ob die Bank wegen einer grob fahrlässigen Pflichtverletzung Ersatz vom Kunden verlangen kann.
Erstattung und endgültige Haftung sind damit nicht gleichzusetzen. Die mögliche spätere Haftung des Kunden rechtfertigt es nicht automatisch, die zunächst geschuldete Rückzahlung zurückzuhalten.
Für Betroffene ist das besonders relevant, wenn die Bank die Rückzahlung mit einem pauschalen Hinweis auf angebliche grobe Fahrlässigkeit ablehnt.
Welcher Phishing-Fall lag der Entscheidung zugrunde?
Ausgangspunkt war ein Fall aus Polen. Eine Bankkundin hatte einen Artikel auf einer Online-Verkaufsplattform angeboten. Ein Betrüger gab sich als Kaufinteressent aus und schickte ihr einen Link, über den sie angeblich den Verkauf bestätigen sollte.
Die Frau folgte dem Link und gelangte auf eine gefälschte Website, die wie die Internetseite ihrer Bank aussah. Dort gab sie ihre Online-Banking-Zugangsdaten ein. Der Täter erlangte dadurch ihre Daten und überwies rund 700 Euro auf ein eigenes Konto.
Die Kundin meldete den Vorgang am folgenden Tag ihrer Bank. Diese verweigerte die Erstattung mit der Begründung, die Frau habe den Betrug grob fahrlässig ermöglicht. Die Kundin klagte. Das zuständige polnische Gericht legte dem EuGH Fragen zur Klärung vor.
Darf die Bank die Erstattung wegen grober Fahrlässigkeit ablehnen?
Der bloße Vorwurf grober Fahrlässigkeit reicht nach der Entscheidung nicht aus, um die unverzügliche Erstattung einer nicht autorisierten Zahlung zu verweigern. Die Bank kann die Frage nach einer möglichen Haftung des Kunden nicht ohne Weiteres vor die zunächst geschuldete Rückzahlung stellen.
Das bedeutet allerdings nicht, dass grobe Fahrlässigkeit rechtlich bedeutungslos wäre. Wenn die Voraussetzungen einer entsprechenden Kundenhaftung vorliegen, kann die Bank anschließend Ersatz verlangen. Ein solches Fehlverhalten muss sie nach der Urteilsberichterstattung nachweisen.
Ein Ablehnungsschreiben der Bank ist deshalb noch keine abschließende Antwort darauf, ob ein Erstattungsanspruch besteht und wer den Schaden endgültig tragen muss.
Kann die Bank bereits erstattetes Geld zurückfordern?
Ja. Nach der Berichterstattung lässt die Entscheidung eine Rückforderung zu, wenn der Verlust auf grobe Fahrlässigkeit des Kunden zurückzuführen ist und die Voraussetzungen seiner Haftung vorliegen.
Die zunächst erfolgte Erstattung ist deshalb nicht automatisch eine endgültige Entscheidung zugunsten des Kunden. Umgekehrt bedeutet die Behauptung grober Fahrlässigkeit nicht, dass die Bank einen solchen Anspruch tatsächlich hat. Dafür kommt es auf den konkreten Betrugsablauf und die rechtliche Bewertung des Verhaltens an.
Für die Prüfung müssen daher sowohl der Erstattungsanspruch als auch ein möglicher Gegenanspruch der Bank berücksichtigt werden.
Welche Ausnahme gibt es von der sofortigen Erstattung?
Eine Ausnahme besteht nach der Berichterstattung, wenn begründete Anhaltspunkte dafür vorliegen, dass der Kunde selbst betrügerisch handelt. Die Bank muss die Gründe für diesen Verdacht der zuständigen nationalen Behörde schriftlich mitteilen.
Dieser Verdacht ist vom Vorwurf grober Fahrlässigkeit zu unterscheiden. Die Behauptung, ein Kunde habe durch unvorsichtiges Verhalten einen Phishing-Angriff ermöglicht, ist nicht mit dem Verdacht gleichzusetzen, er habe selbst betrügerisch gehandelt.
Warum muss der Phishing-Betrug rechtzeitig gemeldet werden?
Die rechtzeitige Information der Bank ist eine wichtige Voraussetzung für die Erstattung. Wer eine nicht autorisierte Zahlung entdeckt, sollte seine Bank daher umgehend darüber informieren.
Im Ausgangsfall meldete die Kundin den Betrug am nächsten Tag. Das beschreibt den konkreten Ablauf dieses Falls und bedeutet nicht, dass allgemein nur eine eintägige Meldefrist besteht.
Auch wenn die Bank bereits informiert wurde und anschließend die Erstattung ablehnt, bleibt zu prüfen, ob ihre Begründung mit der Entscheidung des EuGH vereinbar ist.
Gilt das Urteil für jeden Online-Betrug?
Die Entscheidung betrifft nicht autorisierte Zahlungsvorgänge. Daraus folgt kein pauschaler Erstattungsanspruch für sämtliche Zahlungen, die im Zusammenhang mit einem Betrug stehen.
Für die rechtliche Einordnung ist insbesondere entscheidend, ob eine Zahlung ohne wirksame Zustimmung des Betroffenen ausgeführt wurde oder ob dieser selbst eine Zahlung an einen Betrüger autorisiert hat. Deshalb muss der konkrete Zahlungsablauf betrachtet werden.
Die Aussage „Bei Online-Betrug muss die Bank immer bezahlen“ wäre daher zu weitgehend. Das Urteil stärkt die Position bei nicht autorisierten Zahlungen, ersetzt aber nicht die Prüfung des Einzelfalls.
Welche Bedeutung hat die Entscheidung für Bankkunden in Deutschland?
Auch in Deutschland ist die Ablehnung von Erstattungsforderungen ein Thema. Nach den Medienberichten beobachtet der Verbraucherzentrale Bundesverband, wie auch unsere Experten, pauschale Abwehrmuster von Banken, darunter Standardschreiben und eine langsame Bearbeitung.
Die Entscheidung des EuGH macht deutlich, warum eine genaue rechtliche Prüfung wichtig ist: Die zunächst geschuldete Erstattung und eine mögliche spätere Haftung wegen grober Fahrlässigkeit dürfen nicht miteinander vermischt werden.
Bank verweigert die Rückzahlung? Wir prüfen Ihren Erstattungsanspruch
Bei Phishing treffen technische Abläufe und bankrechtliche Haftungsfragen aufeinander. Wie gelangten die Täter an die Zugangsdaten? Wer veranlasste die Zahlung? Welche Zustimmung wurde tatsächlich erteilt? Und womit begründet die Bank ihre Ablehnung?
RAK Rechtsanwälte verbinden IT-Recht mit Bank- und Kapitalmarktrecht. Wir prüfen den Ablauf des Angriffs und mögliche Ansprüche gegenüber Ihrer Bank und setzen berechtigte Erstattungsansprüche außergerichtlich und, falls erforderlich, gerichtlich durch.