Wer nach einem Phishing-Angriff plötzlich eine unbekannte Überweisung oder Abbuchung auf dem Konto entdeckt, erhält von der Bank häufig die Auskunft, die Zugangsdaten, TANs oder Freigabecodes seien „leichtfertig“ weitergegeben worden. Der Europäische Gerichtshof hat mit Urteil vom 15. Oktober 2026 (Az. C‑70/25 – Tukowiecka) klargestellt: Ein solcher Vorwurf hindert die Bank grundsätzlich nicht daran, eine nicht autorisierte Zahlung zunächst zu erstatten.
Was der EuGH entschieden hat
Der EuGH stellt klar, dass der Zahlungsdienstleister die gesetzlich vorgesehene Erstattung eines nicht autorisierten Zahlungsvorgangs nicht deshalb verweigern darf, weil der Kunde den Vorgang möglicherweise durch grob fahrlässiges Verhalten ermöglicht hat. Die Erstattungspflicht besteht grundsätzlich unabhängig davon.
Die Bank muss den Betrag daher grundsätzlich unverzüglich zurückzahlen, spätestens bis zum Ende des auf die Kenntnis oder die Anzeige des Vorgangs folgenden Geschäftstags. Erst danach kann sie prüfen, ob sie den Verlust gleichwohl vom Kunden ersetzt verlangen kann.
Für eine solche Rückforderung muss die Bank darlegen und beweisen, dass der Kunde seine Pflichten vorsätzlich oder grob fahrlässig verletzt hat. Der bloße Verdacht, der Kunde habe Zugangsdaten oder Bestätigungscodes zu leichtfertig weitergegeben, genügt dafür nicht.
Praktische Bedeutung für Bankkunden
Das Urteil verlagert die praktische Ausgangslage deutlich zugunsten der Geschädigten. Nach einer Phishing-Attacke muss das Geld zunächst wieder auf dem Konto landen; die Auseinandersetzung darüber, ob die Bank später Regress nehmen kann, erfolgt in einem zweiten Schritt.
| Frage | Rechtsfolge nach dem EuGH-Urteil |
|---|---|
| Muss die Bank bei Phishing sofort erstatten? | Ja, bei nicht autorisierten Zahlungen grundsätzlich unverzüglich. xn--anwlte-giessen-7hb |
| Reicht der Vorwurf grober Fahrlässigkeit? | Nein, er rechtfertigt keine Verweigerung der Soforterstattung. xn--anwlte-giessen-7hb |
| Wann darf die Bank zurückhalten? | Nur ausnahmsweise bei konkreten Anhaltspunkten für einen Betrug des Kunden selbst, die der zuständigen Behörde schriftlich mitgeteilt werden. xn--anwlte-giessen-7hb |
| Wer muss grobe Fahrlässigkeit beweisen? | Die Bank, wenn sie später Ersatz vom Kunden verlangen will. xn--anwlte-giessen-7hb |
Typische Phishing-Fälle
Die Entscheidung ist vor allem für Fälle relevant, in denen Betrüger mit gestohlenen Zugangsdaten, nachgebauten Bankseiten, manipulierten Links oder gefälschten Telefonnummern Zahlungen auslösen. Entscheidend ist dabei, dass die Zahlung tatsächlich nicht vom Kunden autorisiert wurde.
Gerade weil Betrüger häufig eine plausibel wirkende Bankkommunikation vortäuschen, sollte der Vorwurf einer „leichtfertigen“ Mitwirkung des Kunden nicht unkritisch akzeptiert werden. Ob eine Pflichtverletzung überhaupt vorliegt und ob sie grob fahrlässig war, ist eine Einzelfallprüfung – nicht eine pauschale Bankformel.
Was Betroffene jetzt tun sollten
- Die Bank unverzüglich schriftlich über den nicht autorisierten Zahlungsvorgang informieren und die Erstattung ausdrücklich verlangen.
- Alle Umstände sichern: Screenshots, E-Mails, SMS, Anrufdaten, Kontoauszüge, Überweisungsbelege und gegebenenfalls eine polizeiliche Anzeige.
- Darauf hinweisen, dass der Vorwurf grober Fahrlässigkeit die Soforterstattung nach der EuGH-Entscheidung nicht blockiert.
- Bei Ablehnung, Verzögerung oder einer pauschalen Haftungsmitteilung der Bank zeitnah rechtliche Schritte prüfen lassen.
Unterstützung durch ZRWD
Die Rechtsanwältinnen und Rechtsanwälte der Kanzlei ZRWD prüfen, ob ein Zahlungsvorgang rechtlich als nicht autorisiert einzuordnen ist und ob die Bank ihrer Erstattungspflicht nachgekommen ist. Dabei werden die konkreten Kommunikationsabläufe, Sicherheitsvorkehrungen, Kontounterlagen und die Argumentation des Kreditinstituts ausgewertet.
Wir übernehmen insbesondere:
- die rechtliche Bewertung des Phishing- oder Betrugsfalls;
- die Geltendmachung des Erstattungsanspruchs gegenüber Bank oder Zahlungsdienstleister;
- die Gegenargumentation gegen pauschale Vorwürfe grober Fahrlässigkeit;
- die Durchsetzung des Anspruchs außergerichtlich und, wenn erforderlich, gerichtlich;
- die Prüfung möglicher Schadensersatz- oder Regressrisiken nach einer Erstattung.
Gerade weil die Bank die Beweislast für eine spätere Rückforderung trägt, ist eine frühzeitige, sachlich fundierte Korrespondenz häufig entscheidend. Das EuGH-Urteil gibt Betroffenen damit einen deutlich stärkeren Ausgangspunkt, verlorene Beträge zeitnah zurückzufordern.
Dieser Beitrag ersetzt keine individuelle Rechtsberatung. Die Beurteilung eines konkreten Falls hängt insbesondere davon ab, ob die Zahlung tatsächlich nicht autorisiert war und welche Umstände zu dem Verlust geführt haben.
