Der Fall: Ein vermeintlicher Käufer, eine gefälschte Bankwebsite und 705 Euro Schaden
Die Klägerin des Ausgangsverfahrens wollte über eine Onlineplattform einen Artikel verkaufen. Ein vermeintlicher Kaufinteressent schickte ihr einen Link, der angeblich zur Bestätigung des Verkaufs dienen sollte. Tatsächlich führte der Link zu einer gefälschten Website, die das Erscheinungsbild ihrer Bank nachahmte.
Die Frau gab dort ihre Zugangsdaten für das Onlinebanking ein. Der Täter erlangte außerdem einen SMS-Bestätigungscode und konnte damit eine Überweisung über 3.000 polnische Zloty, umgerechnet etwa 705 Euro, auf sein eigenes Konto veranlassen.
Am folgenden Tag bemerkte die Kundin den Betrug und informierte sowohl ihre Bank als auch die Polizei. Die Bank verweigerte jedoch die Erstattung. Sie war der Auffassung, die Kundin habe ihre Sicherheitsobliegenheiten grob fahrlässig verletzt, indem sie ihre Zugangsdaten und den Bestätigungscode preisgegeben hatte.
Die Kundin klagte auf Erstattung. Das polnische Gericht legte dem EuGH daraufhin die Frage vor, ob eine Bank die unverzügliche Erstattung verweigern darf, wenn sie dem Kunden eine grob fahrlässige Verletzung seiner Pflichten vorwirft.Quelle: EuGH, Urteil vom 15.10.2026, C-70/25, Rn. 14–28.
Die Entscheidung: Die Bank muss zunächst erstatten
Der EuGH beantwortet diese Frage eindeutig: Nach Art. 73 Abs. 1 der Zahlungsdiensterichtlinie (EU) 2015/2366 (PSD2) muss ein Zahlungsdienstleister einen nicht autorisierten Zahlungsvorgang grundsätzlich unverzüglich erstatten.Der Gerichtshof stellt fest (Randnummer 33 des Urteils), dass die Vorschrift nur eine ausdrücklich geregelte Ausnahme von dieser Pflicht enthält: einen begründeten Betrugsverdacht, dessen Gründe der zuständigen nationalen Behörde schriftlich mitgeteilt werden.
Ein bloßer Vorwurf grober Fahrlässigkeit gehört nicht dazu.
Der EuGH führt in Randnummer 34 aus, dass Art. 73 Abs. 1 PSD2„keine Ausnahme von der Pflicht zur unverzüglichen Erstattung vorsieht“für den Fall, dass der Zahler den Zahlungsvorgang durch eine grob fahrlässige Pflichtverletzung ermöglicht haben soll.
Die Bank darf die Erstattung also nicht allein deshalb verweigern, weil sie meint, der Kunde hätte den Betrug erkennen müssen.
Das bedeutet allerdings nicht, dass der Kunde in jedem Fall endgültig von einer Haftung befreit ist.Zwei unterschiedliche Fragen: Erstattung und endgültige Haftung
Der rechtlich entscheidende Punkt des Urteils liegt in der Unterscheidung zwischen zwei Ansprüchen.1. Der Anspruch des Kunden auf unverzügliche Erstattung
Art. 73 PSD2 verpflichtet den Zahlungsdienstleister, den Betrag eines nicht autorisierten Zahlungsvorgangs grundsätzlich unverzüglich zu erstatten. Damit soll verhindert werden, dass der Kunde den finanziellen Schaden zunächst selbst tragen und gegebenenfalls einen langwierigen Rechtsstreit führen muss, um sein Geld zurückzuerhalten.2. Ein möglicher Schadensersatzanspruch der Bank
Art. 74 PSD2 regelt dagegen, unter welchen Voraussetzungen der Kunde für Schäden aus nicht autorisierten Zahlungsvorgängen haftet. Hat er den Schaden durch eine vorsätzliche oder grob fahrlässige Verletzung seiner gesetzlichen Pflichten verursacht, kann eine umfassende Haftung in Betracht kommen.
Diese Haftungsfrage wird jedoch nicht dadurch vorweggenommen, dass die Bank die ursprüngliche Erstattung verweigert. Der EuGH beschreibt die Trennung in seiner Entscheidung (Randnummer 42): Art. 73 regelt die unverzügliche Erstattung, während Art. 74 die spätere Haftungsverteilung betrifft.
Später (Randnummer 46) bestätigt der Gerichtshof ausdrücklich, dass der Zahlungsdienstleister später Ersatz der Verluste verlangen kann, die auf eine grob fahrlässige Pflichtverletzung des Kunden zurückzuführen sind.
Die Reihenfolge lautet damit: zunächst Erstattung, anschließend gegebenenfalls Prüfung und Durchsetzung eines Schadensersatzanspruchs.Warum diese Reihenfolge so wichtig ist
Die Unterscheidung mag auf den ersten Blick formal erscheinen. Für die betroffenen Bankkunden hat sie jedoch erhebliche praktische Bedeutung. Bislang kann eine Auseinandersetzung über den Vorwurf grober Fahrlässigkeit dazu führen, dass der Kunde zunächst ohne sein Geld dasteht und selbst klagen muss.
Gerade bei hohen Schadenssummen kann das eine erhebliche Belastung darstellen. Der EuGH berücksichtigt diesen Gesichtspunkt ausdrücklich. Er weist darauf hin, dass eine andere Auslegung dazu führen würde, dass der Zahlungsdienstnutzer seine Ansprüche selbst gerichtlich geltend machen und die damit verbundenen Nachteile, insbesondere Verfahrenskosten, tragen müsste.
Das wäre mit dem Ziel der Zahlungsdiensterichtlinie, ein hohes Verbraucherschutzniveau zu gewährleisten, schwer vereinbar.
Die Entscheidung betrifft daher nicht nur die materielle Haftungsverteilung. Sie hat auch erhebliche Bedeutung dafür, wer zunächst die wirtschaftlichen Folgen des Betrugs und das Risiko eines anschließenden Rechtsstreits trägt.Was bedeutet das Urteil für deutsche Bankkunden?
Die Entscheidung betrifft zwar einen Rechtsstreit zwischen einer polnischen Bank und ihrer Kundin. Ausgelegt wird jedoch die europäische Zahlungsdiensterichtlinie PSD2. Deren Vorgaben wurden auch in deutsches Recht umgesetzt.§ 675u BGB: Erstattung bei nicht autorisierten Zahlungen
Nach § 675u BGB ist der Zahlungsdienstleister bei einem nicht autorisierten Zahlungsvorgang grundsätzlich verpflichtet, den Zahlungsbetrag unverzüglich zu erstatten und das belastete Konto wiederherzustellen. Die Erstattung muss spätestens bis zum Ende des Geschäftstags erfolgen, der auf die Anzeige oder anderweitige Kenntniserlangung folgt.Das Gesetz enthält außerdem eine Sonderregelung für den Fall, dass der Zahlungsdienstleister einer zuständigen Behörde berechtigte Gründe für den Verdacht eines betrügerischen Verhaltens des Zahlers schriftlich mitgeteilt hat.Der Verdacht grober Fahrlässigkeit ist nicht mit einem Verdacht auf betrügerisches Verhalten gleichzusetzen.
Die Entscheidung des EuGH bestätigt damit die unionsrechtlich gebotene Trennung zwischen dem Erstattungsanspruch und einem möglichen Schadensersatzanspruch.
§ 675v BGB: Wann haftet der Kunde?
§ 675v BGB regelt die Haftung des Zahlers bei missbräuchlicher Nutzung eines Zahlungsinstruments. Nach § 675v Abs. 3 BGB kann der Kunde zum Ersatz des gesamten Schadens verpflichtet sein, wenn er diesen durch eine vorsätzliche oder grob fahrlässige Verletzung bestimmter Pflichten herbeigeführt hat. Das kann beispielsweise relevant werden, wenn personalisierte Sicherheitsmerkmale nicht ausreichend vor unbefugtem Zugriff geschützt wurden.
Allerdings ist nicht jede Unachtsamkeit automatisch grob fahrlässig. Ob grobe Fahrlässigkeit vorliegt, muss anhand der konkreten Umstände beurteilt werden. Zudem enthält § 675v BGB weitere Haftungsausschlüsse, etwa im Zusammenhang mit einer fehlenden starken Kundenauthentifizierung oder mit bestimmten Zahlungen nach einer Missbrauchsanzeige.§ 675w BGB: Die Bank muss ihre Vorwürfe beweisen
Besonders wichtig ist die Beweislast. Nach § 675w BGB reicht es nicht ohne Weiteres aus, dass die Bank die technische Authentifizierung eines Zahlungsvorgangs nachweisen kann.
Der Gesetzgeber unterscheidet zwischen dem Nachweis, dass ein Sicherheitsverfahren verwendet wurde, und dem Nachweis, dass der Kunde die Zahlung tatsächlich autorisiert oder seine Pflichten vorsätzlich beziehungsweise grob fahrlässig verletzt hat.
Die Bank muss für Betrug, Vorsatz oder grobe Fahrlässigkeit unterstützende Beweismittel vorlegen.
Auch der EuGH hebt hervor, dass Art. 72 Abs. 2 PSD2 dem Zahlungsdienstleister die Beweislast für die grobe Fahrlässigkeit des Zahlers auferlegt.
Dass eine Überweisung technisch ordnungsgemäß authentifiziert wurde, beweist deshalb noch nicht, dass der Kunde sie selbst autorisiert hat oder grob fahrlässig handelte. Nicht jede betrügerische Überweisung ist automatisch „nicht autorisiert“Ein wichtiger Punkt darf bei der praktischen Anwendung des Urteils nicht übersehen werden. Die Entscheidung betrifft ausdrücklich nicht autorisierte Zahlungsvorgänge. Ob ein Zahlungsvorgang autorisiert wurde, richtet sich nach den einschlägigen gesetzlichen und vertraglichen Anforderungen, insbesondere nach § 675j BGB.
Dabei muss zwischen unterschiedlichen Betrugskonstellationen unterschieden werden. Veranlasst ein Täter mithilfe erlangter Zugangsdaten selbst eine Überweisung, kann ein nicht autorisierter Zahlungsvorgang vorliegen. Anders kann die Situation zu beurteilen sein, wenn ein Kunde aufgrund einer Täuschung selbst eine Überweisung an einen vermeintlich berechtigten Empfänger ausführt.
Nicht jede durch Betrug veranlasste Zahlung ist deshalb automatisch ein nicht autorisierter Zahlungsvorgang im Sinne des Zahlungsdiensterechts.
Gerade diese Abgrenzung kann im Einzelfall entscheidend sein. Was sollten Betroffene nach einem Phishing-Angriff tun? Wer einen unberechtigten Zahlungsvorgang feststellt, sollte möglichst schnell handeln.
Zunächst sollte die Bank unverzüglich informiert werden. Betroffene sollten den Zahlungsvorgang ausdrücklich als nicht autorisiert beanstanden und die Sperrung kompromittierter Zugangsdaten oder Zahlungsinstrumente veranlassen.
Außerdem empfiehlt es sich, Beweise zu sichern. Dazu gehören insbesondere betrügerische Nachrichten, Links, Screenshots, Kontoauszüge und die Kommunikation mit der Bank. Auch eine Strafanzeige kann sinnvoll sein.Lehnt die Bank die Erstattung unter Hinweis auf grobe Fahrlässigkeit ab, sollte geprüft werden, ob diese Ablehnung mit § 675u BGB und der aktuellen Rechtsprechung des EuGH vereinbar ist.
Dabei sind die gesetzlichen Anzeige- und Ausschlussfristen zu beachten. Insbesondere sieht § 676b BGB grundsätzlich eine Ausschlussfrist von 13 Monaten vor, wobei die gesetzlichen Voraussetzungen und Ausnahmen im Einzelfall zu prüfen sind.
Eine pauschale Ablehnung mit dem Hinweis, der Kunde sei auf eine Phishing-Nachricht hereingefallen, genügt jedenfalls nicht, um die vom EuGH bestätigte Pflicht zur unverzüglichen Erstattung entfallen zu lassen.Meine rechtliche Bewertung: Eine wichtige Klarstellung, aber kein Freibrief
Die Entscheidung des EuGH ist zu begrüßen. Sie verhindert, dass Banken den gesetzlichen Erstattungsanspruch dadurch faktisch leerlaufen lassen können, dass sie zunächst grobe Fahrlässigkeit behaupten und die Klärung dieser Frage vollständig dem Kunden überlassen.
Die gesetzliche Risikoverteilung wird dadurch nicht aufgehoben. Vielmehr wird die vom europäischen Gesetzgeber vorgesehene Reihenfolge konsequent umgesetzt. Das ist besonders bedeutsam, weil sich die Frage grober Fahrlässigkeit bei Phishing-Angriffen häufig nicht einfach beantworten lässt.
Betrügerische Nachrichten und Websites werden zunehmend professionell gestaltet. Ob ein Kunde die Täuschung hätte erkennen müssen, hängt unter anderem vom konkreten Erscheinungsbild, den erteilten Hinweisen und seinem tatsächlichen Verhalten ab.
Die bloße Tatsache, dass ein Angriff erfolgreich war, rechtfertigt noch nicht die Annahme grober Fahrlässigkeit.Umgekehrt darf die Entscheidung nicht dahin missverstanden werden, dass Kunden ihre Sicherheitsobliegenheiten künftig vernachlässigen könnten.
Der EuGH beseitigt nicht die mögliche Haftung des Kunden. Er stellt klar, dass die Bank diese Haftung nicht einfach vorwegnehmen darf, um ihrer eigenen Erstattungspflicht zu entgehen. Für die Praxis ist das eine wichtige Stärkung der Rechtsposition geschädigter Bankkunden.Fazit
Mit seinem Urteil vom 15. Oktober 2026 (C-70/25) hat der EuGH eine zentrale Frage des Zahlungsdiensterechts geklärt.Bei nicht autorisierten Zahlungsvorgängen muss die Bank grundsätzlich unverzüglich erstatten. Der Vorwurf grober Fahrlässigkeit reicht nicht aus, um diese Pflicht auszusetzen.
Ob die Bank anschließend Schadensersatz verlangen kann, ist gesondert zu prüfen.
Für Opfer von Phishing-Angriffen bedeutet das: Eine Ablehnung der Erstattung allein wegen angeblich grober Fahrlässigkeit sollte nicht ungeprüft hingenommen werden.
Entscheidend bleibt, ob die Zahlung tatsächlich nicht autorisiert war und ob die Bank einen etwaigen Schadensersatzanspruch rechtlich und tatsächlich begründen kann.
Rechtsquellen und weiterführende Informationen
Rechtsprechung
EuGH, Urteil vom 15. Oktober 2026, C-70/25 – Tukowiecka, insbesondere Rn. 33–34, 38–47 und 52.Europäisches Recht
Richtlinie (EU) 2015/2366 (PSD2), insbesondere Art. 69, 72, 73 und 74.Deutsches Recht
• § 675j BGB – Zustimmung und Widerruf der Zustimmung.• § 675l BGB – Pflichten des Zahlungsdienstnutzers.
• § 675u BGB – Haftung des Zahlungsdienstleisters für nicht autorisierte Zahlungsvorgänge.
• § 675v BGB – Haftung des Zahlers bei missbräuchlicher Nutzung eines Zahlungsinstruments.
• § 675w BGB – Nachweis der Authentifizierung.
• § 676b BGB – Anzeige nicht autorisierter oder fehlerhaft ausgeführter Zahlungsvorgänge.