Plötzlich fehlen mehrere Hundert Euro auf Eurem Konto, weil Betrüger Eure Online-Banking-Daten abgegriffen haben. Bisher verweigerten Banken in solchen Fällen teilweise die Erstattung mit dem Vorwurf, der Kunde habe grob fahrlässig gehandelt. Ein neues Urteil des Europäischen Gerichtshofs (EuGH) vom 15. Oktober 2026 stellt jetzt klar: Bei nicht autorisierten Zahlungen müssen Banken das Geld grundsätzlich unverzüglich zurückerstatten, selbst wenn sie ihren Kunden grobe Fahrlässigkeit vorwerfen.
Für Betroffene ist das eine wichtige Entscheidung. Allerdings bedeutet sie nicht, dass Phishing-Opfer ihr verlorenes Geld in jedem Fall dauerhaft behalten dürfen. Unter bestimmten Voraussetzungen kann die Bank den erstatteten Betrag später zurückfordern.
EuGH-Urteil zu Phishing: Was wurde entschieden?
Der Europäische Gerichtshof hat am 15. Oktober 2026 in der Rechtssache C-70/25 (Tukowiecka) eine wichtige Frage zum europäischen Zahlungsverkehr geklärt.
Im Mittelpunkt steht die Erstattung von Geld, das durch einen nicht autorisierten Zahlungsvorgang vom Bankkonto verschwindet.
Die Entscheidung unterscheidet zwischen zwei rechtlich getrennten Fragen:
- Sofortige Erstattung: Die Bank muss den Betrag einer nicht autorisierten Zahlung grundsätzlich unverzüglich zurückzahlen.
- Mögliche spätere Haftung: Hat der Kunde den Schaden durch eine vorsätzliche oder grob fahrlässige Verletzung seiner Sicherheitspflichten verursacht, kann die Bank unter den gesetzlichen Voraussetzungen Ersatz verlangen.
Entscheidend ist damit die Reihenfolge. Banken dürfen die gesetzlich vorgeschriebene Erstattung grundsätzlich nicht allein deshalb verweigern, weil sie dem Kunden einen schwerwiegenden Sicherheitsfehler vorwerfen.
Die Entscheidung konkretisiert die europäische Zahlungsdiensterichtlinie PSD2. Da die entsprechenden Vorschriften auch in Deutschland umgesetzt wurden, ist das Urteil für deutsche Bankkunden ebenfalls von Bedeutung.
Wie ein gefälschter Verkaufslink zum Verlust von 700 Euro führte
Ausgangspunkt war ein Betrugsfall in Polen. Eine Bankkundin wollte über eine Online-Verkaufsplattform einen Gegenstand verkaufen.
Ein angeblicher Kaufinteressent meldete sich und schickte ihr einen Link. Darüber sollte sie vermeintlich den Verkauf bestätigen.
Tatsächlich führte der Link zu einer gefälschten Banking-Webseite, die wie der Internetauftritt ihrer Bank gestaltet war.
Die Frau gab dort ihre Zugangsdaten für das Online-Banking ein. Der Betrüger nutzte diese Informationen anschließend, um umgerechnet rund 700 Euro von ihrem Konto auf ein anderes Konto zu überweisen.
Die Kundin meldete den Vorfall am folgenden Tag ihrer Bank. Diese verweigerte die Rückerstattung und argumentierte, die Frau habe durch die Eingabe ihrer Bankdaten grob fahrlässig gehandelt.
Der Rechtsstreit führte schließlich zum Europäischen Gerichtshof.
Die Richter stellten klar, dass ein Vorwurf grober Fahrlässigkeit die Pflicht zur unverzüglichen Erstattung nicht automatisch entfallen lässt.
Wann muss die Bank das Geld zurückzahlen?
Für Verbraucher in Deutschland findet sich die entsprechende Regelung in § 675u Bürgerliches Gesetzbuch (BGB).
Wurde eine Zahlung ohne Eure Zustimmung ausgeführt, muss die Bank den Betrag grundsätzlich unverzüglich erstatten und das Konto wieder auf den Stand bringen, auf dem es sich ohne die unberechtigte Belastung befunden hätte.
Dafür gilt eine konkrete Frist:
Die Erstattung muss grundsätzlich spätestens bis zum Ende des folgenden Geschäftstags erfolgen, nachdem die Bank über die nicht autorisierte Zahlung informiert wurde oder anderweitig davon Kenntnis erhalten hat.
Dabei handelt es sich um Geschäftstage der Bank, nicht automatisch um Kalendertage.
Eine gesetzlich geregelte Ausnahme besteht, wenn die Bank berechtigte Gründe für den Verdacht hat, dass der Kontoinhaber selbst betrügerisch gehandelt hat, und diesen Verdacht der zuständigen Behörde schriftlich mitteilt.
Ein bloßer Vorwurf, der Kunde habe einen Phishing-Link angeklickt oder seine Zugangsdaten unvorsichtig behandelt, reicht nach der EuGH-Entscheidung dagegen nicht aus, um die unmittelbare Erstattungspflicht zu umgehen.
Die rechtlichen Grundlagen findet Ihr direkt in § 675u BGB.
Muss die Bank auch bei grober Fahrlässigkeit zahlen?
Hier liegt der wichtigste Punkt des Urteils: Die Bank muss grundsätzlich zunächst erstatten, obwohl eine spätere Haftung des Kunden möglich bleibt.
Wer beispielsweise sensible Bankdaten auf einer gefälschten Internetseite eingibt, kann gegen vertragliche Sicherheitspflichten verstoßen haben.
Ob dieses Verhalten bereits grob fahrlässig war, hängt allerdings von den konkreten Umständen ab.
Nicht jeder Klick auf eine betrügerische Nachricht und nicht jede erfolgreiche Täuschung ist automatisch grobe Fahrlässigkeit.
In Deutschland regelt § 675v BGB, unter welchen Voraussetzungen Bankkunden bei einer missbräuchlichen Nutzung eines Zahlungsinstruments für entstandene Schäden haften.
Kann das Kreditinstitut die gesetzlichen Voraussetzungen einer Haftung nachweisen, kann es den entstandenen Schaden später geltend machen.
Wer muss die grobe Fahrlässigkeit beweisen?
Die Bank muss die für ihren Anspruch erforderlichen Tatsachen belegen. Allein die technische Aufzeichnung einer Authentifizierung reicht nicht zwangsläufig als Nachweis dafür, dass Ihr die Zahlung selbst autorisiert oder grob fahrlässig gehandelt habt.
Das ist gerade bei professionell gestalteten Phishing-Seiten wichtig, denn solche Internetseiten können ihren echten Vorbildern täuschend ähnlich sehen.
Für Euch bedeutet das: Eine Bank darf nicht einfach jede erfolgreiche Phishing-Attacke automatisch als grobe Fahrlässigkeit des Kunden behandeln.
Was gilt, wenn Ihr die Überweisung selbst bestätigt habt?
Das Urteil betrifft ausdrücklich nicht autorisierte Zahlungsvorgänge.
Hier muss zwischen zwei Betrugssituationen unterschieden werden.
Fall 1: Ein Betrüger überweist ohne Eure Zustimmung Geld.
Kriminelle gelangen beispielsweise an Eure Zugangsdaten und führen selbst eine Überweisung aus. Ihr habt dem konkreten Zahlungsvorgang nicht zugestimmt.
In einer solchen Situation kommt die gesetzliche Erstattungspflicht für nicht autorisierte Zahlungen grundsätzlich in Betracht.
Fall 2: Ihr überweist selbst Geld an einen Betrüger.
Ihr erhaltet beispielsweise eine gefälschte Rechnung oder kauft auf einer betrügerischen Webseite ein. Anschließend gebt Ihr die Überweisung selbst frei.
Dann kann die Zahlung trotz der Täuschung rechtlich autorisiert sein. Eine automatische Erstattung nach § 675u BGB besteht in dieser Konstellation nicht schon deshalb, weil Ihr betrogen wurdet.
Schwieriger wird die Einordnung, wenn Ihr zwar eine TAN bestätigt habt, dabei aber über den tatsächlichen Zahlungsvorgang getäuscht wurdet. Hier kommt es auf die genaue Art der Zustimmung und die Umstände des Einzelfalls an.
Geld durch Phishing verloren: Diese Schritte solltet Ihr jetzt unternehmen
Wenn Ihr unbekannte Abbuchungen oder Überweisungen entdeckt, ist schnelles Handeln entscheidend. Je früher Ihr reagiert, desto eher lassen sich mögliche Folgeschäden begrenzen.
- Informiert sofort Eure Bank. Meldet den Vorfall über einen offiziellen Kontaktweg und weist ausdrücklich darauf hin, wenn Ihr die Zahlung nicht autorisiert habt.
- Lasst den Online-Banking-Zugang sperren. Wurden Zugangsdaten oder Sicherheitsmerkmale abgegriffen, sollten diese unverzüglich gesperrt beziehungsweise geändert werden. Prüft gegebenenfalls auch Eure hinterlegten Geräte und Freigabeverfahren.
- Fordert die Erstattung schriftlich an. Bezeichnet die betroffenen Umsätze möglichst genau und verlangt bei tatsächlich nicht autorisierten Zahlungen die Erstattung nach § 675u BGB.
- Sichert sämtliche Beweise. Bewahrt verdächtige Nachrichten, Links, Screenshots, Transaktionsdaten und die Kommunikation mit der Bank auf. Gebt sensible Zugangsdaten dabei nicht an Dritte weiter.
- Erstattet Strafanzeige. Eine Anzeige bei der Polizei kann bei der Dokumentation des Betrugs helfen.
- Prüft bei einer Ablehnung Eure Möglichkeiten. Eine Verbraucherzentrale, die zuständige Schlichtungsstelle oder ein auf Bankrecht spezialisierter Rechtsanwalt kann Euch dabei unterstützen, die Begründung der Bank rechtlich einzuordnen.
Wichtig ist außerdem, den Vorfall nicht aufzuschieben. Nach § 676b BGB müssen nicht autorisierte Zahlungen unverzüglich nach ihrer Feststellung gemeldet werden. Zusätzlich besteht grundsätzlich eine gesetzliche Ausschlussfrist von 13 Monaten, deren Beginn von weiteren Voraussetzungen abhängt.
Diese Frist solltet Ihr keinesfalls als Empfehlung verstehen, mit der Meldung zu warten.
Was tun, wenn die Bank die Rückzahlung verweigert?
Wenn Eure Bank einen Erstattungsantrag mit dem Hinweis auf grobe Fahrlässigkeit ablehnt, solltet Ihr eine nachvollziehbare schriftliche Begründung verlangen.
Dabei könnt Ihr ausdrücklich auf das EuGH-Urteil vom 15. Oktober 2026 in der Rechtssache C-70/25 hinweisen.
Die Entscheidung stärkt Eure Position insbesondere dann, wenn das Kreditinstitut die sofortige Erstattung allein mit einem möglichen Sicherheitsverstoß begründet.
Bei einem Streit über die Haftung kann eine rechtliche Prüfung sinnvoll sein. Die Frage, ob Ihr eine Zahlung autorisiert habt und ob Euch gegebenenfalls grobe Fahrlässigkeit vorzuwerfen ist, muss anhand der konkreten Umstände beantwortet werden.
Auch die Verbraucherzentrale informiert über die richtigen Schritte bei Kreditkarten- und Kontobetrug.
So schützt Ihr Euch vor Phishing beim Online-Banking
Die neue Entscheidung verbessert die rechtliche Ausgangslage vieler Betroffener. Noch besser ist es allerdings, wenn Kriminelle gar nicht erst an Eure Bankdaten gelangen.
Phishing funktioniert längst nicht mehr ausschließlich über offensichtlich gefälschte E-Mails. Betrüger nutzen auch SMS, Messenger, Verkaufsplattformen und sogar klassische Briefe.
Auf Preis-King haben wir bereits erklärt, wie gefährlich Phishing per Bankpost und gefälschte QR-Codes sein können.
Wenn Ihr eine überraschende Aufforderung zur Bestätigung von Bankdaten erhaltet, solltet Ihr die Webseite Eurer Bank selbst aufrufen oder die offizielle Banking-App öffnen.
Kontrolliert außerdem bei jeder Transaktionsfreigabe den tatsächlichen Betrag und den Empfänger. Bestätigt keine Banking-Anfrage, die Ihr nicht selbst ausgelöst habt.
Weitere Beispiele für betrügerische Nachrichten findet Ihr in unserem Ratgeber zum Schutz vor Phishing-Mails und SMS-Betrug.
Fazit: Das EuGH-Urteil stärkt Phishing-Opfer, aber nicht ohne Einschränkungen
Mit seiner Entscheidung vom 15. Oktober 2026 stärkt der Europäische Gerichtshof die Rechte von Bankkunden, deren Geld durch nicht autorisierte Zahlungen verschwunden ist.
Die Bank muss grundsätzlich zunächst erstatten. Eine mögliche grobe Fahrlässigkeit des Kunden darf nicht pauschal als Begründung dienen, um diese unmittelbare Pflicht zu umgehen.
Allerdings ist eine spätere Rückforderung weiterhin möglich, wenn die gesetzlichen Haftungsvoraussetzungen erfüllt sind.
Wer von Phishing betroffen ist, sollte deshalb schnell handeln, den Vorfall dokumentieren und bei einer verweigerten Erstattung seine Ansprüche prüfen lassen.
Habt Ihr selbst schon einmal Geld durch Phishing verloren oder Probleme bei der Erstattung durch Eure Bank erlebt? Schreibt Eure Erfahrungen gerne in die Kommentare. Besonders interessant ist, wie Eure Bank auf die Meldung reagiert hat.
Christian Schröder
Gründer & Redakteur
Expertise: Deals, Gutscheine, Preisvergleiche, Verbraucher-News, Mobilfunk und Onlinehandel. Christian Schröder prüft Aktionsbedingungen, Vergleichspreise, Versandkosten und mögliche Folgekosten und bereitet relevante Informationen verständlich für Leser auf.
Christian Schröder ist seit 2016 bei Preis-King tätig und schreibt dort täglich über Angebote, Verbraucher-News, Produktrückrufe, Mobilfunk, Technik und aktuelle Entwicklungen im Onlinehandel. Zuvor betreute er bereits weitere Blogs und ist auch heute noch an verschiedenen redaktionellen Projekten beteiligt.
Durch seine Ausbildung zum Immobilienkaufmann verfügt er zusätzlich über Erfahrung in den Bereichen Verträge, Kosten, Finanzierung und wirtschaftliche Zusammenhänge. Bei Preis-King prüft und bewertet er unter anderem Aktionsbedingungen, Vergleichspreise, Versandkosten und mögliche Folgekosten.
Sein Ziel ist es, Informationen verständlich einzuordnen und Leser frühzeitig auf relevante Änderungen, Einschränkungen und mögliche Preisfallen hinzuweisen.
