Rund 700 Euro verschwanden vom Konto einer Bankkundin, die auf eine gefälschte Bankseite hereingefallen war. Aber ihr Geldinstitut übernahm den Schaden nicht.

Nun hat der Europäische Gerichtshof entschieden: Nach einem Phishing-Angriff muss die Bank eine nicht autorisierte Zahlung unverzüglich erstatten. Der bloße Vorwurf grober Fahrlässigkeit reicht als Ablehnungsgrund nicht aus.

Was war passiert?

Eine Kundin der polnischen Bank PKO BP bot einen Gegenstand auf einer Online-Verkaufsplattform an. Ein angeblicher Interessent schickte ihr einen Link, der aussah, als stamme er von der Plattform und als diene er der Bestätigung des Verkaufs.

Die Frau folgte dem Link und landete auf einer Seite, die die Website ihrer Bank nachahmte. Dort gab sie ihre Online-Banking-Zugangsdaten ein. Mit diesen Daten überwies der Täter umgerechnet rund 700 Euro auf ein eigenes Konto. Schon am nächsten Tag meldete sie den Vorfall – die Bank lehnte die Erstattung trotzdem ab und verwies auf grobe Fahrlässigkeit.

Was hat der EuGH beim Thema Phishing entschieden?

Das Bezirksgericht Koszalin legte den Fall in Luxemburg vor. Der Gerichtshof stellte klar: Bei einer nicht autorisierten Zahlung muss der Zahlungsdienstleister den Betrag unverzüglich erstatten – spätestens bis zum Ende des Geschäftstags, der auf Kenntnis oder Meldung folgt. Voraussetzung ist, dass der Kunde den Vorfall ohne schuldhaftes Zögern anzeigt.

Die Einschätzung der Bank, der Kunde habe die Zahlung grob fahrlässig ermöglicht, etwa durch unzureichenden Schutz seiner Sicherheitsmerkmale, berechtigt sie nicht zur Verweigerung.

Gibt es eine Ausnahme von der Erstattungspflicht?

Ja, aber nur eine einzige: Die Bank hat begründeten Verdacht, dass der Kunde selbst betrügt und teilt diese Gründe der zuständigen nationalen Behörde mit. Alles andere rechtfertigt den Zahlungsaufschub nicht.

Heißt das, Sie haften nie?

Nein. Der EuGH trennt zwei Stufen: Erst die Erstattung, dann die Frage, wer den Schaden endgültig trägt. Zunächst muss die Bank zahlen.

Anschließend kann sie Ersatz verlangen. Die gilt aber nur, wenn sie nachweist, dass der Verlust auf einer vorsätzlichen oder grob fahrlässigen Pflichtverletzung beruht.

Die Beweislast liegt bei der Bank. Welches Verhalten im Einzelfall grob fahrlässig ist, entscheiden weiterhin die nationalen Gerichte.

Warum ist das Urteil für Phishing-Opfer so wichtig?

Dürfte sich die Bank von Anfang an auf grobe Fahrlässigkeit berufen, liefe die sofortige Erstattungspflicht leer. Betroffene müssten selbst klagen – mit allen Kosten und Unannehmlichkeiten. Genau das wollte der Gerichtshof im Sinne eines hohen Verbraucherschutzes verhindern. Grundlage ist die EU-Zahlungsdiensterichtlinie 2015/2366.

Wie häufig solche Fälle sind, zeigen Zahlen des polnischen Finanzombudsmanns: Zwischen 2022 und 2025 gingen dort mehr als 10.000 Interventionsanträge zu nicht autorisierten Zahlungsvorgängen ein.

Und was bedeutet das für Bankkunden in Deutschland?

Der § 675u BGB enthält denselben Mechanismus: Unverzügliche Erstattung, spätestens bis zum Ende des folgenden Geschäftstags, mit einer Sonderregel für den schriftlich gemeldeten Betrugsverdacht gegen den Zahler. Offen ist, wie deutsche Banken das Zwei-Phasen-Modell praktisch umsetzen.

Auch bereits abgelehnte Ansprüche werden nicht automatisch wieder aufgerollt – das hängt unter anderem von Verjährung, Urteilen oder Vergleichen ab. Und: Das Urteil gilt nur für nicht autorisierte Zahlungen; ob eine Überweisung autorisiert war, kann im Einzelfall strittig sein.