# # Inhalt --- ![Marko Huth*, Rechtsanwalt, Fachanwalt für Bank- und Kapitalmarktrecht sowie Versicherungsrecht](assets/images/f/marko_huth-k1r63kjygjn3dfk.png) Ihr Ansprechpartner**Marko Huth*, Rechtsanwalt, Fachanwalt für Bank- und Kapitalmarktrecht sowie Versicherungsrecht** # EuGH stärkt Phishing-Opfer: Bank muss erst erstatten, über grobe Fahrlässigkeit wird danach gestritten **EuGH, Urteil vom 15. Oktober 2026, Rs. C-70/25 (N.O. ./. PKO BP S.A.)** Der EuGH hat entschieden: Nach einem Phishing-Angriff muss die Bank eine nicht autorisierte Zahlung zuerst erstatten. Über grobe Fahrlässigkeit wird erst danach gestritten, und die Beweislast trägt die Bank. Wer Opfer eines [Phishing-Angriffs](/ratgeber/bank-und-kapitalmarktrecht/phishing/phishing-erkennen) wird, hört von seiner Bank häufig: „Sie haben grob fahrlässig gehandelt, eine Erstattung kommt nicht in Betracht.“ Dem hat der Europäische Gerichtshof mit Urteil vom 15. Oktober 2026 ein Ende gesetzt. Allein mit dem Hinweis auf grobe Fahrlässigkeit darf eine Erstattung nicht verweigert werden. Die Bank muss den Betrag einer nicht autorisierten Zahlung zunächst wiedergutschreiben. Ob der Kunde den Schaden am Ende selbst tragen muss, ist eine zweite, nachgelagerte Frage, und dafür trägt die Bank die Beweislast. ## Der Fall Eine polnische Bankkundin bot einen Artikel auf einem Online-Auktionsportal zum Verkauf an. Ein angeblicher Kaufinteressent schickte ihr einen Link, der scheinbar vom Portal stammte und mit dem sie den Verkauf „bestätigen“ sollte. Der Link führte auf eine Website, die das Erscheinungsbild der Website ihrer Bank hatte. Dort gab die Kundin ihre Zugangsdaten für das Online-Banking ein. Mit diesen Daten überwies der Täter 3.000 PLN (rund 705 Euro) vom Konto der Kundin auf ein von ihm geführtes Konto. Die Zahlung gab er mit einem per SMS übermittelten Bestätigungscode frei, den er sich durch dieselbe Täuschung von der Kundin verschafft hatte. Bereits am folgenden Tag bemerkte die Kundin den Betrug und informierte sofort ihre Bank und die Polizei. Die Bank verweigerte die Erstattung. Ihre Begründung: Die Kundin habe ihre Pflicht, das Zahlungsinstrument sorgfältig aufzubewahren und es nicht autorisierten Personen nicht zugänglich zu machen, grob fahrlässig verletzt. Die Kundin klagte vor dem Rayongericht Koszalin, das den Fall dem Europäischen Gerichtshof vorlegte. ## Die Entscheidung des EuGH Der Gerichtshof stellt klar: Nach Art. 73 Abs. 1 der Zahlungsdiensterichtlinie (Richtlinie (EU) 2015/2366, „PSD II“) muss die Bank den Betrag eines nicht autorisierten Zahlungsvorgangs unverzüglich, spätestens bis zum Ende des folgenden Geschäftstags erstatten, nachdem sie von dem Vorgang Kenntnis erhalten hat. Die Vorschrift kennt nur eine einzige Ausnahme: berechtigte Gründe für den Verdacht, dass der Kunde selbst betrügerisch gehandelt hat, und auch dann muss die Bank diese Gründe der zuständigen nationalen Behörde schriftlich mitteilen. Der Vorwurf grober Fahrlässigkeit ist keine solche Ausnahme (Rn. 33 f.). Die Haftung des Kunden nach Art. 74 Abs. 1 PSD II betrifft nach Auffassung des EuGH eine andere, zeitlich nachgelagerte Stufe: Art. 73 regelt die unverzügliche Erstattung, Art. 74 die Verteilung der Haftung „zu einem späteren Zeitpunkt“ (Rn. 42). Die Bank muss also zunächst erstatten und kann erst anschließend, mit den dafür vorgesehenen Rechtsbehelfen, vom Kunden Ersatz verlangen, wenn sie nachweist, dass dieser seine Sorgfaltspflichten vorsätzlich oder grob fahrlässig verletzt hat (Rn. 38, 46). Die Beweislast für grobe Fahrlässigkeit liegt nach Art. 72 Abs. 2 PSD II bei der Bank (Rn. 40). Der Gerichtshof stützt sich auf Wortlaut, Systematik, Zweck und Entstehungsgeschichte der Richtlinie. Eine andere Auslegung würde den Kunden zwingen, sein Geld selbst einzuklagen und das Prozesskostenrisiko zu tragen. Das sei mit dem Ziel eines hohen Verbraucherschutzniveaus schwer vereinbar (Rn. 45). Das vorlegende Gericht hatte zudem festgestellt, dass in Polen praktisch keine Klagen von Banken gegen Kunden auf Ersatz anhängig sind, wohl aber zahlreiche Klagen von Kunden gegen Banken: Die Ausnahme von der Erstattungspflicht sei faktisch zur Regel geworden (Rn. 23 f.). Tenor: Art. 73 Abs. 1 und Art. 74 Abs. 1 der Richtlinie (EU) 2015/2366 sind dahin auszulegen, dass ein Zahlungsdienstleister die unverzügliche Erstattung des Betrags eines nicht autorisierten Zahlungsvorgangs an einen Zahler nicht mit der Begründung verweigern darf, dass dieser Zahler diesen Zahlungsvorgang durch eine grob fahrlässige Verletzung seiner Pflichten aus Art. 69 der Richtlinie ermöglicht habe. ## Was bedeutet das für Betroffene in Deutschland? Das Urteil bindet auch deutsche Gerichte bei der Auslegung der §§ 675u und 675v BGB, mit denen die PSD II in deutsches Recht umgesetzt wurde. Steht fest, dass der Kunde die Zahlung nicht autorisiert hat, ist die Reihenfolge damit verbindlich festgelegt: Zuerst die Gutschrift, dann, wenn die Bank das will, der Streit über die Haftung. In diesem Streit wäre die Bank Klägerin und müsste die grobe Fahrlässigkeit beweisen. Ob Banken sich hieran auch halten werden oder den Kunden durch ein von der Vorgabe des EuGHs abweichendes tatsächliches Verhalten gleichwohl in die Klägerrolle drängen werden, bleibt abzuwarten. Das Urteil befreit aber nicht von den eigenen Sorgfaltspflichten: Wer Zugangsdaten oder TANs auf nachgemachten Seiten eingibt oder auf sonstige Weise an unberechtigte Dritte gelangen lässt, kann am Ende dennoch auf dem Schaden sitzen bleiben. Die Bank muss das aber beweisen und aktiv geltend machen. Sie darf die Erstattung im Falle fehlender Autorisierung durch den Kunden nicht einfach verweigern. Nicht entschieden hat der EuGH, was gilt, wenn die Bank schon bestreitet, dass überhaupt ein nicht autorisierter Zahlungsvorgang vorliegt. Vielmehr wohnte schon der vom EuGH zu beantwortenden Frage eine nicht autorisierte Zahlung als Ausgangspunkt inne (Rn. 28). Bestreitet die Bank die fehlende Autorisierung, trägt sie aber die Beweislast (§ 675w BGB). Wir rechnen damit, dass sich der Streit künftig eher auf diese Vorfrage verlagert. Bemerkenswert am Rande ist der Sachverhalt des entschiedenen Falls: Die Freigabe erfolgte mit einem per SMS übermittelten Bestätigungscode, den aber nicht die Kundin, sondern der Täter verwendet hat, nachdem er ihn durch die Täuschung von ihr erlangt hatte (Rn. 15). In der deutschen Fassung des Urteils heißt es ungenau, der Täter habe den Zahlungsvorgang „autorisiert“; gemeint ist die technische Freigabe, denn eine Autorisierung kann nur der Zahler selbst erteilen. Der Gerichtshof und alle Verfahrensbeteiligten haben den Vorgang gleichwohl ohne Weiteres als nicht von der Kundin autorisiert behandelt. Diese Einordnung dürfte auf viele deutsche Phishing-Fälle übertragbar sein, in denen eine TAN abgefangen und vom Täter selbst anstatt vom Bankkunden verwendet wurde. Keine Hilfe bietet das Urteil, wenn der Kunde den Zahlungsvorgang selbst autorisiert hat. Das ist in der Regel der Fall, wenn er eine konkrete Zahlung bewusst freigibt, etwa bei Anlagebetrug oder beim „Enkeltrick“. Ob auch eine am Telefon via Social Engineering und CallerID-Spoofing angeleitete Freigabe durch den Kunden selbst, bei der der Kunde glaubt, lediglich ein Update, einen Test oder eine Freischaltung zu bestätigen, eine Autorisierung ist, ist umstritten. Das OLG Dresden hat dies zuletzt verneint (Urt. v. 05.06.2025, 8 U 1482/24) und den Kunden stattdessen wegen grober Fahrlässigkeit mit 80 % des Schadens haften lassen. Auch um diese Abgrenzung dürfte künftig vermehrt gestritten werden. ## Unsere Empfehlung Wenn Sie Opfer eines Phishing-Angriffs geworden sind, empfehlen wir folgende Schritte. Verweigert Ihre Bank die Erstattung unter Verweis auf grobe Fahrlässigkeit, sollten Sie das nicht hinnehmen. - Melden Sie den Vorfall unverzüglich und in nachweisbarer Form bei Ihrer Bank und lassen Sie den Online-Banking-Zugang sperren (Sperr-Notruf 116 116). Die [rechtzeitige Anzeige bei der Bank](/schlagzeile/eugh-kontoabbuchungen-melden-anspruch-sichern) ist Voraussetzung des Erstattungsanspruchs; eine nicht rechtzeitige Anzeige kann dem Anspruch entgegenstehen. - Verlangen Sie dokumentiert und unter Hinweis auf das Urteil des EuGH vom 15.10.2026 (C-70/25) die unverzügliche Gutschrift des Betrags. - Erstatten Sie Strafanzeige. Sie ist keine Voraussetzung Ihres Anspruchs gegen die Bank, aber für die Beweisführung und die Rückverfolgung des Geldes hilfreich, und Banken verlangen sie in der Praxis regelmäßig. - Dokumentieren Sie für sich selbst den Ablauf (Gedächtnisprotokoll, Nachrichten, Links, Screenshots, Zeitpunkte). - Lassen Sie auch bereits abgelehnte Fälle aus der Vergangenheit erneut prüfen. Gern unterstützen wir Sie bei der Durchsetzung Ihres Erstattungsanspruchs und bei der Abwehr unberechtigter Rückforderungen. Stand: 16. Oktober 2026 (vorläufige Fassung des Urteils). Diese Meldung dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall. ## Unsere Anwälte - ### [Marko Huth*](/mitarbeiter/marko-huth) Rechtsanwalt, Fachanwalt für Bank- und Kapitalmarktrecht sowie Versicherungsrecht - ![Dr. Timo Gansel**, Inhaber, Rechtsanwalt, Fachanwalt für Bank- und Kapitalmarktrecht](assets/images/3/timo-gansel-neu-zoom-3qv696g9bms8pvj.png) ### [Timo Gansel**](/mitarbeiter/timo-gansel) Inhaber, Rechtsanwalt, Fachanwalt für Bank- und Kapitalmarktrecht * Angestellte Anwälte, ** Geschäftsführer, *** Freischaffende Rechtsanwälte