Phishing ist für Bankkunden ein wachsendes Risiko: Betrüger täuschen mit gefälschten Nachrichten, Verkaufsplattformen und Bank-Websites eine vertraute Umgebung vor und gelangen dadurch an Zugangsdaten für das Online-Banking. Wird anschließend ein nicht autorisierter Zahlungsvorgang ausgeführt, stellt sich regelmäßig die Frage, ob die Bank die Erstattung mit dem Hinweis auf eine vermeintlich grobe Fahrlässigkeit des Kunden verweigern darf.
Der Gerichtshof der Europäischen Union (EuGH) hat diese Frage mit Urteil vom 15. Oktober 2026 in der Rechtssache C-70/25 (Tukowiecka), Pressemitteilung Nr. 147/26, zugunsten der Bankkunden beantwortet. Die Entscheidung stärkt den Grundsatz, dass die Erstattung zunächst erfolgen muss. Ob der Kunde den Schaden später wegen vorsätzlicher oder grob fahrlässiger Pflichtverletzung ersetzen muss, ist davon getrennt zu prüfen.
Der Fall und die Entscheidung des EuGH
Der Entscheidung lag der Fall einer Kundin einer polnischen Bank zugrunde. Die Kundin wurde Opfer eines Phishing-Betrugs über eine Online-Verkaufsplattform. Ein Dritter gab sich als Kaufinteressent für einen von ihr angebotenen Artikel aus und übersandte ihr einen gefälschten Link, der den Anschein erweckte, von der Verkaufsplattform zu stammen und der Bestätigung des Verkaufs zu dienen.
Die Kundin folgte dem Link und gelangte auf eine Website, die wie die Website ihrer Bank gestaltet war. Dort gab sie ihre Zugangsdaten für das Online-Banking ein. Mithilfe dieser Daten überwies der Dritte einen Betrag von rund 700 EUR vom Konto der Kundin auf ein von ihm geführtes Konto. Am folgenden Tag meldete die Kundin den betrügerischen Vorgang ihrer Bank.
Die Bank verweigerte die Erstattung. Sie war der Ansicht, die Kundin habe den nicht autorisierten Zahlungsvorgang durch grobe Fahrlässigkeit ermöglicht, weil sie ihre personalisierten Sicherheitsmerkmale nicht ausreichend vor unbefugtem Zugriff geschützt habe. Das polnische Gericht legte dem EuGH daher die Frage vor, ob die Bank nach der Richtlinie (EU) 2015/2366 über Zahlungsdienste im Binnenmarkt (PSD2) zur unverzüglichen Erstattung verpflichtet ist, obwohl sie von einer groben Fahrlässigkeit des Kunden ausgeht.
Der EuGH bejaht dies. Bei einem nicht autorisierten Zahlungsvorgang muss der Zahlungsdienstleister den Betrag grundsätzlich unverzüglich erstatten, spätestens bis zum Ende des folgenden Geschäftstags, nachdem er von dem Zahlungsvorgang Kenntnis erhalten hat oder dieser ihm angezeigt wurde. Voraussetzung ist, dass der Kunde den Zahlungsdienstleister unverzüglich unterrichtet.
Eine grobe Fahrlässigkeit des Kunden berechtigt den Zahlungsdienstleister nicht dazu, die unverzügliche Erstattung zu verweigern. Die einzige in Art. 73 Abs. 1 der Richtlinie (EU) 2015/2366 vorgesehene Ausnahme besteht darin, dass der Zahlungsdienstleister berechtigte Gründe für den Verdacht eines vom Kunden begangenen Betrugs hat und diese Gründe der zuständigen nationalen Behörde schriftlich mitteilt. Die bloße Einschätzung, der Kunde habe seine personalisierten Sicherheitsmerkmale nicht ausreichend geschützt, genügt hierfür nicht.
Das vom EuGH herausgearbeitete Zwei-Stufen-Modell
-
Schritt – unverzügliche Erstattung: Der Zahlungsdienstleister muss den Betrag des nicht autorisierten Zahlungsvorgangs zunächst erstatten. Eine behauptete grobe Fahrlässigkeit darf nicht als Vorwand dienen, diese Erstattung zurückzuhalten.
-
Schritt – mögliche Rückforderung: Nach der Erstattung kann der Zahlungsdienstleister gegebenenfalls vom Kunden Ersatz der entstandenen Verluste verlangen. Dafür muss er nachweisen, dass die Verluste darauf zurückzuführen sind, dass der Kunde vorsätzlich oder grob fahrlässig seine Pflichten verletzt hat, insbesondere die Pflicht zum Schutz seiner personalisierten Sicherheitsmerkmale. Die Beweislast für die grobe Fahrlässigkeit trägt der Zahlungsdienstleister.
Nach Auffassung des EuGH entspricht diese Trennung dem Ziel eines hohen Verbraucherschutzniveaus. Würde der Zahlungsdienstleister die Erstattung von vornherein unter Berufung auf grobe Fahrlässigkeit verweigern dürfen, würde die Pflicht zur unverzüglichen Erstattung ihre praktische Wirksamkeit verlieren. Der Kunde müsste dann selbst ein Verfahren anstrengen, um seinen Anspruch durchzusetzen, und die damit verbundenen Nachteile und Kosten tragen.
Es handelt sich um ein Vorabentscheidungsurteil. Das vorlegende polnische Gericht muss den dort anhängigen Rechtsstreit unter Zugrundelegung der Auslegung des EuGH entscheiden. Die Entscheidung bindet außerdem andere nationale Gerichte, wenn sie über vergleichbare Fragen zu befinden haben.
Bedeutung für die deutsche Rechtspraxis
-
675u BGB: Erstattung als erster Schritt. Nach § 675u BGB ist der Zahlungsdienstleister bei einem nicht autorisierten Zahlungsvorgang grundsätzlich verpflichtet, dem Zahler den Zahlungsbetrag unverzüglich zu erstatten oder das Zahlungskonto auf den Stand zu bringen, auf dem es sich ohne die nicht autorisierte Belastung befunden hätte. Dies muss spätestens bis zum Ende des folgenden Geschäftstags nach der Anzeige beziehungsweise Kenntniserlangung geschehen.
-
675v BGB: gesonderte Haftung des Kunden. § 675v BGB betrifft demgegenüber die Haftung des Zahlers gegenüber dem Zahlungsdienstleister bei missbräuchlicher Nutzung eines Zahlungsinstruments. Bei einer vorsätzlichen oder grob fahrlässigen Pflichtverletzung, insbesondere bei einem Verstoß gegen die Pflichten aus § 675l BGB zum Schutz personalisierter Sicherheitsmerkmale, kann der Zahler für den gesamten Schaden haften. Bei lediglich leicht fahrlässigem oder schuldlosem Verhalten ist die Haftung des Kunden auf 50 EUR begrenzt beziehungsweise ausgeschlossen.
Für die deutsche Praxis bedeutet dies: Die Bank muss den Erstattungsanspruch aus § 675u BGB zunächst erfüllen. Einen möglichen Gegenanspruch aus § 675v BGB darf sie nicht vorab als Verweigerungsgrund gegen den Erstattungsanspruch einsetzen. Sie muss vielmehr gesondert darlegen und beweisen, dass der Kunde seine Pflichten vorsätzlich oder grob fahrlässig verletzt hat und dass diese Pflichtverletzung den geltend gemachten Verlust verursacht hat.
Damit wird die in der Praxis häufig anzutreffende vorschnelle Verweigerung der Erstattung unter pauschalem Hinweis auf eine vermeintliche grobe Fahrlässigkeit zusätzlich begrenzt. Ein pauschaler Hinweis auf die Eingabe von Zugangsdaten oder auf einen vermeintlich sorglosen Umgang mit Sicherheitsmerkmalen ersetzt keine konkrete Prüfung und keinen Nachweis der Voraussetzungen einer groben Fahrlässigkeit.
Maßstab der groben Fahrlässigkeit. Nach der ständigen Rechtsprechung des Bundesgerichtshofs muss ein objektiv schwerwiegender und subjektiv schlechthin unentschuldbarer Verstoß gegen die erforderliche Sorgfalt vorliegen. Selbst ein objektiv grober Pflichtenverstoß rechtfertigt für sich allein noch keinen zwingenden Schluss auf ein entsprechend gesteigertes persönliches Verschulden. Dies hat der BGH unter anderem im Urteil vom 26. Januar 2016 – XI ZR 91/14 – hervorgehoben.
PIN und TAN als personalisierte Sicherheitsmerkmale. Für die Einordnung im Online-Banking ist außerdem die Entscheidung des BGH vom 25. Juli 2017 – XI ZR 260/15 – von Bedeutung. Danach sind PIN und TAN personalisierte Sicherheitsmerkmale. Sie sind nicht selbst das Zahlungsinstrument, sondern dem Zahlungsinstrument „Online-Banking“ zugeordnet.
-
Praktische Handlungsempfehlungen für Betroffene
-
Bank unverzüglich informieren. Melden Sie den nicht autorisierten Zahlungsvorgang Ihrer Bank unmittelbar nach der Entdeckung und lassen Sie sich den Eingang der Meldung bestätigen. Die unverzügliche Anzeige ist für die Erstattung von zentraler Bedeutung.
-
Erstattung schriftlich geltend machen. Wenden Sie sich schriftlich an die Bank und verlangen Sie die Erstattung des konkreten Zahlungsbetrags unter Hinweis auf § 675u BGB. Setzen Sie hierfür eine angemessene Frist. Eine pauschale Ablehnung wegen angeblicher grober Fahrlässigkeit sollte nicht ohne weitere Prüfung akzeptiert werden.
-
Unterlagen und Beweise sichern. Bewahren Sie die Phishing-Nachricht, den verwendeten Link, Screenshots, Kontoauszüge sowie den gesamten Schriftwechsel mit der Bank auf. Diese Unterlagen können für die Aufklärung des Sachverhalts und die rechtliche Bewertung wichtig sein.
-
Nicht abwarten. Betroffene sollten ihre Ansprüche möglichst zeitnah anmelden und nicht zögern. Wenden Sie sich unverzüglich nach Entdeckung des Phishing-Vorfalls schriftlich an die Bank und machen Sie den Erstattungsanspruch unter Fristsetzung geltend. Eine konkrete Prüfung der anwendbaren Fristen hängt vom Einzelfall ab; gerade deshalb sollte die Anspruchsdurchsetzung nicht unnötig hinausgeschoben werden.
-
Rechtliche Unterstützung einholen. Wenn die Bank die Erstattung ablehnt oder sich auf grobe Fahrlässigkeit beruft, sollte geprüft werden, ob die Voraussetzungen hierfür tatsächlich vorliegen. Eine anwaltliche Prüfung kann insbesondere helfen, die Erstattung nach § 675u BGB von einem möglichen Gegenanspruch der Bank aus § 675v BGB abzugrenzen und die erforderliche Begründung gegenüber der Bank zu formulieren.
