Phishing-Betrug: Wann muss die Bank das Geld erstatten?

Nach einem Phishing-Betrug stellt sich für Betroffene oft eine entscheidende Frage: Muss die Bank das verlorene Geld erstatten? Ein Urteil des Europäischen Gerichtshofs (EuGH) vom 15. Oktober 2026 (Az. C-70/25, Tukowiecka) stärkt ihre Position. Bei nicht autorisierten Zahlungsvorgängen muss die Bank den Betrag grundsätzlich unverzüglich erstatten – auch wenn sie dem Kunden zunächst grobe Fahrlässigkeit vorwirft.

Auf einen Blick: Geld zurück nach Phishing-Betrug

Bei einem nicht autorisierten Zahlungsvorgang muss die Bank den Betrag grundsätzlich spätestens bis zum Ende des nächsten Geschäftstags nach der Anzeige erstatten. Der Vorwurf grober Fahrlässigkeit allein erlaubt es nicht, die Rückzahlung zurückzuhalten. Eine spätere Rückforderung muss die Bank begründen und die Voraussetzungen dafür nachweisen.

Phishing beim Online-Banking: Wie Betrüger an Zugangsdaten gelangen

Betrüger werden immer professioneller. Gefälschte E-Mails oder Webseiten, täuschend echte SMS-Nachrichten und manipulierte QR-Codes in Briefen und Rechnungen: Die Methoden, mit denen Kriminelle an Zugangsdaten für das Online-Banking gelangen, sind oft kaum noch von echten Nachrichten zu unterscheiden.

Für Betroffene ist die Situation besonders belastend. Sie müssen nicht nur den finanziellen Schaden verkraften, sondern sich häufig auch noch gegen den Vorwurf wehren, selbst „grob fahrlässig“ gehandelt zu haben.

Viele Banken verweigern die Rückzahlung zunächst mit genau dieser Begründung. Das Urteil des EuGH vom 15. Oktober 2026 setzt dieser Praxis jedoch klare Grenzen.

EuGH-Urteil C-70/25: Wann muss die Bank nach Phishing erstatten?

Der Europäische Gerichtshof hat in seinem Urteil (Az. C-70/25 [Tukowiecka]) klargestellt, dass bei einem nicht autorisierten Zahlungsvorgang die Bank den abgebuchten Betrag grundsätzlich unverzüglich erstatten muss – spätestens bis zum Ende des nächsten Geschäftstags, nachdem der Kunde den Vorgang angezeigt hat.

Das gilt auch dann, wenn die Bank der Ansicht ist, der Kunde habe den Betrug durch grobe Fahrlässigkeit ermöglicht. Die bloße Behauptung, Zugangsdaten seien auf einer gefälschten Webseite eingegeben oder ein QR-Code sei gescannt worden, erlaubt es der Bank nicht, die Erstattung einfach zurückzuhalten.

Der Gerichtshof hat damit eine klare Reihenfolge festgelegt:

1. Zuerst muss die Bank erstatten.

2. Erst danach kann sie versuchen, den Betrag vom Kunden zurückzufordern. Dafür muss sie nachweisen, dass der Kunde vorsätzlich oder grob fahrlässig gehandelt hat und dass dieses Verhalten für den Verlust ursächlich war. Die Beweislast liegt bei der Bank.

Phishing-Betrug und grobe Fahrlässigkeit: Warum das Urteil wichtig ist

Bisher sah die Praxis häufig anders aus. Wer Opfer von Phishing wurde, musste selbst klagen, um sein Geld zurückzubekommen. Die Bank behielt den Betrag ein, berief sich auf grobe Fahrlässigkeit – und der Kunde musste in einem langwierigen Verfahren um die Erstattung kämpfen.

Der EuGH stellt nun klar, dass die Erstattung und die spätere Haftungsverteilung zwei getrennte Fragen sind. Würde eine Bank die Rückzahlung allein wegen des Vorwurfs grober Fahrlässigkeit verweigern dürfen, würde die Pflicht zur unverzüglichen Erstattung praktisch leerlaufen. Verbraucher müssten dann zunächst Zeit, Geld und Nerven investieren, um eine Zahlung durchzusetzen, die ihnen grundsätzlich sofort zusteht.

Das ist angesichts immer ausgefeilterer Betrugsmethoden besonders bedeutsam. Künstliche Intelligenz ermöglicht täuschend echte Webseiten, personalisierte Nachrichten und professionell wirkende Schreiben. Ob tatsächlich grobe Fahrlässigkeit vorliegt, darf deshalb nicht pauschal unterstellt werden, sondern muss im konkreten Einzelfall geprüft und von der Bank bewiesen werden.

Phishing-Erstattung in Deutschland: EuGH-Urteil und § 675u BGB

Das Urteil ist für die Auslegung des europäischen Zahlungsdiensterechts verbindlich und betrifft auch deutsche Banken und Sparkassen. Grundlage ist die EU-Zahlungsdiensterichtlinie PSD2, die in Deutschland insbesondere durch § 675u BGB umgesetzt wurde.

Deutsche Kreditinstitute können sich daher nicht ohne Weiteres auf eine angebliche grobe Fahrlässigkeit berufen, um die Erstattung eines nicht autorisierten Zahlungsvorgangs im ersten Schritt zu verweigern. Entscheidend bleibt zunächst, ob der Zahlungsvorgang tatsächlich nicht autorisiert war und ob der Kunde die Bank unverzüglich informiert hat. Für besondere Ausnahmefälle gelten eigene Voraussetzungen.

Was Betroffene jetzt tun sollten

Wer bemerkt, dass Betrüger auf das eigene Konto zugegriffen haben, sollte ohne Verzögerung handeln. Sichern Sie zunächst den Zugang und dokumentieren Sie den gesamten Vorgang.

• Konto, Karten und Online-Banking-Zugang bei der Bank sofort sperren lassen.

• Die Bank schriftlich zur unverzüglichen Erstattung auffordern und den nicht autorisierten Vorgang anzeigen.

• Alle Beweise sichern: E-Mails, SMS, Briefe, QR-Codes, Screenshots, Kontoauszüge und Gesprächsnotizen.

• Strafanzeige bei der Polizei erstatten und das Aktenzeichen aufbewahren.

• Rechtlichen Rat einholen, wenn die Bank die Erstattung verweigert oder verzögert.

Ihr Kontakt zu uns

Rechtsanwalt Ipta — Fachanwalt für IT-Recht: Domenic Ipta

Wir helfen Ihnen, Ihren Erstattungsanspruch gegenüber der Bank zu prüfen und durchzusetzen. Das EuGH-Urteil stärkt die Position von Betroffenen erheblich – insbesondere dann, wenn die Bank die Rückzahlung pauschal mit dem Hinweis auf grobe Fahrlässigkeit ablehnt. Entscheidend ist, jetzt schnell zu handeln und die Kommunikation mit der Bank rechtssicher zu führen.

Vereinbaren Sie für Ihr Anliegen einfach ein Gespräch, das dank unserer technischen Ausstattung auch telefonisch oder online durchgeführt werden kann. Darüber hinaus können Sie auch gerne unseren kostenlosen „Rückruf-Service“ nutzen oder eine Email an info@steinbock-partner.de schicken.

Häufig gestellte Fragen

Muss die Bank nach einem Phishing-Betrug das Geld zurückzahlen?

Bei einem nicht autorisierten Zahlungsvorgang muss die Bank den abgebuchten Betrag grundsätzlich unverzüglich erstatten – spätestens bis zum Ende des nächsten Geschäftstags nach der Anzeige des Vorgangs. Für besondere Ausnahmefälle gelten eigene Voraussetzungen.

Darf die Bank die Erstattung wegen grober Fahrlässigkeit verweigern?

Nicht allein aufgrund dieses Vorwurfs. Nach dem EuGH-Urteil muss die Bank grundsätzlich zunächst erstatten. Eine spätere Rückforderung kommt in Betracht, wenn die Bank die dafür maßgeblichen Voraussetzungen nachweist.

Wer muss grobe Fahrlässigkeit beim Phishing nachweisen?

Die Beweislast liegt bei der Bank. Will sie den Betrag nach der Erstattung zurückfordern, muss sie nachweisen, dass der Kunde vorsätzlich oder grob fahrlässig gehandelt hat und dass dieses Verhalten für den Verlust ursächlich war.

Gilt das EuGH-Urteil auch für deutsche Banken und Sparkassen?

Ja. Das Urteil betrifft die Auslegung des europäischen Zahlungsdiensterechts, das auch für deutsche Banken und Sparkassen maßgeblich ist. Die EU-Zahlungsdiensterichtlinie PSD2 wurde in Deutschland insbesondere durch § 675u BGB umgesetzt.

Was tun, wenn die Bank nach einem Phishing-Angriff nicht erstattet?

Zeigen Sie den nicht autorisierten Zahlungsvorgang unverzüglich an, fordern Sie die Bank schriftlich zur Erstattung auf und sichern Sie die vorhandenen Beweise. Wird die Rückzahlung verweigert oder verzögert, sollten Sie rechtlichen Rat einholen.

Domenic Ipta Rechtsanwalt