EuGH-Urteil: Bank muss Phishing-Schaden zunächst erstatten

Wer auf eine gefälschte Bankseite hereinfällt und dadurch Geld verliert, hatte es bisher oft schwer, sein Geld zurückzubekommen. Am 15. Oktober 2026 hat der Europäische Gerichtshof (EuGH) die Rechte von Bankkunden in solchen Fällen deutlich gestärkt. Das Urteil betrifft alle, die Online-Banking nutzen, auch Kundinnen und Kunden deutscher Banken.

Bitte beachten Sie: Dieser Beitrag gibt die Entscheidung und die Hinweise der Verbraucherzentrale sachlich wieder. Er ist keine Rechtsberatung.

Der Fall vor dem EuGH

Ausgangspunkt war ein Fall aus Polen. Eine Frau bot einen Artikel auf einer Online-Verkaufsplattform an. Ein angeblicher Käufer schickte ihr einen Link, der scheinbar zur Bestätigung des Verkaufs diente. Über diesen Link landete sie auf einer Seite, die wie die Webseite ihrer Bank aussah, und gab dort ihre Zugangsdaten für das Online-Banking ein. Der Betrüger überwies damit rund 700 Euro auf sein eigenes Konto.

Die Kundin meldete den Vorfall am nächsten Tag ihrer Bank. Die Bank lehnte eine Erstattung ab, weil die Kundin ihre Zugangsdaten grob fahrlässig preisgegeben habe. Ein polnisches Gericht legte den Fall daraufhin dem EuGH vor.

Was der EuGH entschieden hat

Nach dem Urteil in der Rechtssache C-70/25 muss die Bank den Betrag einer nicht autorisierten Zahlung unverzüglich erstatten, spätestens bis zum Ende des folgenden Geschäftstags. Voraussetzung ist, dass der Kunde die Bank sofort informiert. Der Vorwurf grober Fahrlässigkeit berechtigt die Bank nicht, diese Erstattung zu verweigern.

Das Gericht trennt dabei zwei Fragen: die schnelle Erstattung und die Frage, wer den Schaden am Ende trägt. Zuerst muss die Bank zahlen. Danach kann sie das Geld vom Kunden zurückverlangen, muss dafür aber nachweisen, dass dieser vorsätzlich oder grob fahrlässig gehandelt hat. Die Beweislast liegt also bei der Bank. Eine einzige Ausnahme sieht das EU-Recht vor: wenn die Bank einen begründeten Verdacht hat, dass der Kunde selbst betrügt, und dies der zuständigen Behörde schriftlich meldet.

Der Gerichtshof begründet das mit dem Verbraucherschutz. Dürfte die Bank die Erstattung von vornherein verweigern, müsste der Kunde vor Gericht ziehen und die Kosten dafür tragen.

Was das für Deutschland bedeutet

Die Entscheidung des EuGH bindet auch deutsche Gerichte, wenn sie über vergleichbare Fragen entscheiden. Laut Legal Tribune Online hatte etwa das Oberlandesgericht Oldenburg 2025 in einem ähnlichen Fall eine Erstattung noch unter Verweis auf grobe Fahrlässigkeit abgelehnt. Der Verbraucherzentrale Bundesverband wirft Kreditinstituten laut Legal Tribune Online vor, Erstattungen unrechtmäßig zu verweigern. Wie heise online berichtet, fordert dessen Vorständin Ramona Pop zudem den Gesetzgeber auf, dafür zu sorgen, dass der Erstattungsanspruch in der Praxis auch greift.

Wichtig zu wissen: Das Urteil bedeutet nicht, dass Sie in jedem Fall Ihr Geld endgültig behalten dürfen. Kann die Bank später grobe Fahrlässigkeit nachweisen, kann sie den Betrag zurückfordern. Vorsicht beim Umgang mit Links und Zugangsdaten bleibt daher der beste Schutz.

Tipps:

• Rufen Sie Ihre Bank nie über Links aus E-Mails, SMS oder Chat-Nachrichten auf, sondern tippen Sie die Adresse selbst ein oder nutzen Sie die offizielle App.
• Lassen Sie im Betrugsfall Konto oder Karte sofort sperren. Die Verbraucherzentrale nennt dafür den Sperr-Notruf 116 116, sofern Ihre Bank daran teilnimmt.
• Erstatten Sie online Anzeige bei der Polizei, fügen Sie Screenshots und die betrügerischen Nachrichten bei und geben Sie das Aktenzeichen an Ihre Bank weiter.
• Melden Sie jede betroffene Buchung einzeln und möglichst schriftlich als nicht autorisiert, mit Datum, Betrag und Empfänger.
• Bitten Sie laut Verbraucherzentrale um eine Gutschrift mit Wertstellung zum Tag der Abbuchung, damit keine Zinsen entstehen.
• Lehnt die Bank ab, können Sie sich an die Schlichtungsstelle der Bank oder an eine Anwältin oder einen Anwalt wenden; beraten lassen können Sie sich auch bei der Verbraucherzentrale. Zusätzlich empfiehlt die Verbraucherzentrale, den Betrug der BaFin zu melden – das dient der Bankenaufsicht, nicht der Rückzahlung.

Fazit

Das EuGH-Urteil stärkt Phishing-Opfer: Die Bank muss zunächst erstatten und erst danach beweisen, dass ihr Kunde grob fahrlässig gehandelt hat. Wer schnell und schriftlich reagiert, hat gute Karten. Noch besser ist es, gefälschte Nachrichten gar nicht erst zum Erfolg kommen zu lassen.

Sie möchten Ihr Online-Banking und Ihre Geräte besser absichern? Wir kommen gern zu Ihnen nach Hause oder ins Büro und beraten Sie rund um die IT-Sicherheit.

Quellen

• Pressemitteilung Nr. 147/26: Grobe Fahrlässigkeit des Kunden entbindet den Zahlungsdienstleister nicht von der Verpflichtung zur unverzüglichen Erstattung – Gerichtshof der Europäischen Union, abgerufen am 24.10.2026
• EuGH: Banken müssen Phishing-Schaden erst einmal erstatten – heise online, abgerufen am 24.10.2026
• EuGH zu Erstattungsanspruch bei grober Fahrlässigkeit: Bank muss Phishing-Opfer zunächst entschädigen – Legal Tribune Online, abgerufen am 24.10.2026
• Kreditkartenbetrug und Kontobetrug: Das können Sie jetzt tun – Verbraucherzentrale, abgerufen am 24.10.2026