Bankrecht / IT-Recht · EuGH, Urteil vom 15.10.2026 – C-70/25 (Tukowiecka)
Phishing beim Onlinebanking
EuGH stärkt den Erstattungsanspruch von Bankkunden
Banken dürfen die Erstattung einer nicht autorisierten Zahlung grundsätzlich nicht mit dem Hinweis verweigern, der Kunde habe grob fahrlässig gehandelt. Das hat der Europäische Gerichtshof mit Urteil vom 15. Oktober 2026 – C-70/25 – klargestellt. Die Bank muss den Betrag zunächst unverzüglich erstatten. Ob sie anschließend Schadensersatz vom Kunden verlangen kann, ist gesondert zu beurteilen.
Für Betroffene von Phishing-Angriffen ist diese Unterscheidung entscheidend: Ein Streit über den sorgfältigen Umgang mit Zugangsdaten darf die gesetzlich vorgesehene schnelle Erstattung nicht ersetzen.
Der Fall
Eine Kundin einer polnischen Bank wollte einen Gegenstand über eine Online-Verkaufsplattform verkaufen. Ein vermeintlicher Kaufinteressent schickte ihr einen Link, der angeblich der Bestätigung des Verkaufs diente. Über diesen Link gelangte sie auf eine gefälschte Internetseite ihrer Bank und gab dort ihre Zugangsdaten ein. Mithilfe dieser Daten und eines durch Täuschung erlangten SMS-Codes überwies der Täter 3.000 polnische Złoty, rund 705 Euro, auf sein Konto.
Am nächsten Tag bemerkte die Kundin den Betrug und informierte ihre Bank sowie die Polizei. Die Bank verweigerte die Erstattung. Sie warf der Kundin vor, ihre Sicherheitsmerkmale grob fahrlässig nicht ausreichend geschützt zu haben. Das mit dem Fall befasste polnische Gericht legte dem EuGH die Frage vor, ob die Bank deshalb die unverzügliche Erstattung ablehnen darf.
Die Bank muss grundsätzlich unverzüglich erstatten
Der EuGH hat diese Frage verneint. Nach der europäischen Zahlungsdiensterichtlinie PSD2 muss die Bank eine nicht autorisierte Zahlung grundsätzlich unverzüglich erstatten, spätestens bis zum Ende des Geschäftstags, der auf die Anzeige oder anderweitige Kenntnis der Bank folgt. Voraussetzung ist insbesondere, dass der Kunde den Vorgang nach seiner Entdeckung unverzüglich meldet.
Eine Ausnahme von der Pflicht zur sofortigen Erstattung besteht bei berechtigten Gründen für den Verdacht, dass der Kunde selbst betrügerisch gehandelt hat. Die Bank muss diese Gründe der zuständigen nationalen Behörde schriftlich mitteilen. Der Vorwurf grober Fahrlässigkeit reicht hierfür nicht aus.
Die Entscheidung schützt Kunden davor, die gesetzlich vorgesehene schnelle Rückzahlung zunächst in einem möglicherweise aufwendigen Verfahren erstreiten zu müssen. Die Frage, wer den Verlust endgültig trägt, bleibt einer anschließenden Prüfung vorbehalten.
Eine spätere Haftung des Kunden bleibt möglich
Im deutschen Recht ist der Erstattungsanspruch bei nicht autorisierten Zahlungen in § 675u BGB geregelt. Davon zu unterscheiden ist ein möglicher Schadensersatzanspruch der Bank nach § 675v BGB. Diese Vorschriften sind im Licht der unionsrechtlichen Vorgaben auszulegen.
Hat ein Kunde den Schaden durch eine vorsätzliche oder grob fahrlässige Verletzung seiner gesetzlichen Schutzpflichten oder wirksam vereinbarter Nutzungsbedingungen verursacht, kann er unter den Voraussetzungen des § 675v Abs. 3 BGB zum Ersatz des gesamten Schadens verpflichtet sein. Gesetzliche Haftungsausschlüsse bleiben zu berücksichtigen.
Die Bank muss die Voraussetzungen ihres Anspruchs darlegen und beweisen. Ein pauschaler Vorwurf genügt nicht. Ob grobe Fahrlässigkeit vorliegt, hängt von den konkreten Umständen ab. Die zunächst geschuldete Erstattung bedeutet deshalb noch keine endgültige Entscheidung darüber, wer den finanziellen Verlust tragen muss.
Eine verwendete TAN beweist nicht automatisch die Zustimmung
Die Entscheidung betrifft nicht autorisierte Zahlungsvorgänge. Nach § 675j BGB kommt es darauf an, ob der Kunde dem konkreten Zahlungsvorgang zugestimmt hat. Die technische Verwendung korrekter Zugangsdaten oder eines TAN-Codes beantwortet diese Frage nicht automatisch.
§ 675w BGB stellt klar, dass die aufgezeichnete Nutzung eines Zahlungsinstruments einschließlich seiner Authentifizierung allein nicht notwendigerweise genügt, um eine Autorisierung oder grobe Fahrlässigkeit nachzuweisen. Hat der Kunde eine Zahlung aufgrund einer Täuschung selbst wirksam freigegeben, lässt sich das Urteil hingegen nicht ohne Weiteres übertragen. Der genaue Ablauf des Betrugs muss deshalb sorgfältig aufgeklärt werden.
Was Betroffene jetzt tun sollten
Wer eine unbekannte Abbuchung oder Überweisung feststellt, sollte umgehend handeln:
- ▸Bank unverzüglich informieren. Den nicht autorisierten Zahlungsvorgang konkret benennen und sich die Meldung möglichst bestätigen lassen.
- ▸Zugang sichern. Den betroffenen Onlinebanking-Zugang und gegebenenfalls betroffene Karten über die offiziellen Kontaktwege der Bank sperren lassen.
- ▸Beweise aufbewahren. Nachrichten, E-Mails, Screenshots, Links und Kontobewegungen sichern sowie den zeitlichen Ablauf festhalten.
- ▸Erstattung schriftlich verlangen. Den Anspruch unter Hinweis auf § 675u BGB geltend machen und eine ablehnende Antwort der Bank rechtlich prüfen lassen.
Neben der Pflicht zur unverzüglichen Anzeige ist die grundsätzlich geltende Ausschlussfrist von 13 Monaten nach § 676b BGB zu beachten. Ihr Beginn setzt die gesetzlich vorgesehene Unterrichtung über den Zahlungsvorgang voraus. Mit der Meldung eines bereits erkannten Vorgangs darf deshalb nicht bis zum Ablauf dieser Frist gewartet werden.
Unterstützung bei verweigerter Erstattung
Lehnt Ihre Bank nach einem Phishing-Angriff die Erstattung ab, prüfen wir Ihre Ansprüche und die Begründung der Bank. Dabei klären wir insbesondere, ob eine nicht autorisierte Zahlung vorliegt und ob der Vorwurf grober Fahrlässigkeit tragfähig ist.
Entscheidung: EuGH, Urteil vom 15. Oktober 2026 – C-70/25 (Tukowiecka), ECLI:EU:C:2026:852. · Amtlicher Volltext · Pressemitteilung des EuGH Nr. 147/26 · Stand 9. November 2026
