Phishing-Opfer: Bank muss nicht autorisierte Zahlung unverzüglich erstatten
IT-Recht & Digitalisierung · IT-Recht
Geld weg durch Phishing: Muss die Bank sofort erstatten?
Eine gefälschte Bankseite, ein abgefangener SMS-Code, 705 Euro auf dem Konto des Täters. Der Gerichtshof der Europäischen Union hat am 15. Oktober 2026 entschieden: Die Bank muss zuerst erstatten, den Vorwurf grober Fahrlässigkeit darf sie erst danach verfolgen.
Auf einen Blick: Was Sie jetzt wissen müssen
- Muss meine Bank das Geld nach einem Phishing-Betrug erstatten? Ja, wenn Sie der Zahlung nicht zugestimmt haben, also bei einem nicht autorisierten Zahlungsvorgang, unverzüglich, spätestens bis zum Ende des Geschäftstags nach Ihrer Anzeige. Die einzige Ausnahme ist ein berechtigter Betrugsverdacht gegen Sie selbst, den die Bank einer Behörde schriftlich mitgeteilt hat.EuGH, C-70/25, Rn. 31 bis 34
- Darf die Bank ablehnen, weil ich grob fahrlässig war? Nein. Der Vorwurf grober Fahrlässigkeit berechtigt nicht dazu, die unverzügliche Erstattung zu verweigern. Die Bank kann den Schaden erst danach von Ihnen zurückverlangen und muss die grobe Fahrlässigkeit beweisen.EuGH, C-70/25, Rn. 40, 46 und 47
- Was gilt in Deutschland? Die §§ 675u und 675v BGB setzen die Richtlinie um. Der Bundesgerichtshof ließ Banken bisher zu, die Erstattung in Höhe eines eigenen Schadensersatzanspruchs nach § 242 BGB zu verweigern. Ob das nach dem Urteil Bestand hat, ist noch nicht entschieden.BGH, XI ZR 20/24, Rn. 18 und 19
- Was ist jetzt zu tun? Den Vorgang sofort der Bank anzeigen und die Anzeige belegen, die Erstattung schriftlich unter Fristsetzung verlangen, Strafanzeige erstatten und jede Antwort der Bank aufbewahren. Die Checkliste in Abschnitt 8 führt die Schritte.
Vor der Kontaktaufnahme lohnt es sich, den Kontoauszug, Ihre Anzeige an die Bank und das Antwortschreiben der Bank bereitzulegen.
Erstveröffentlicht am Rechtsstand: Änderungen anzeigen
Was dieser Beitrag praktisch liefert
Vier Arbeitsmittel, jedes mit Sprungziel.
Worum es geht und was gilt
Dürfen Banken die unverzügliche Erstattung eines nicht autorisierten Zahlungsvorgangs verweigern, wenn der Zahler diesen durch eine grob fahrlässige Pflichtverletzung ermöglicht hat?
Der EuGH hat diese Frage im Vorabentscheidungsverfahren zugunsten des Verbraucherschutzes beantwortet: Banken dürfen die unverzügliche Erstattung nicht autorisierter Zahlungen nicht mit der Begründung verweigern, dass der Kunde den Zahlungsvorgang durch eine grob fahrlässige Pflichtverletzung ermöglicht hat. Damit hat er einer gängigen Praxis der Banken bei der Erstattung an Phishing-Opfer eine Absage erteilt.
Was gilt: Wer als Zahler einen nicht autorisierten Zahlungsvorgang unverzüglich anzeigt, hat gegen seinen Zahlungsdienstleister einen Anspruch auf Erstattung bis zum Ende des folgenden Geschäftstags, Art. 73 Abs. 1 der Richtlinie 2015/2366. Die einzige Ausnahme ist ein berechtigter Betrugsverdacht gegen den Zahler, den der Zahlungsdienstleister der zuständigen Behörde schriftlich mitgeteilt hat. Der Vorwurf grober Fahrlässigkeit berechtigt den Zahlungsdienstleister nicht, die Erstattung zu verweigern. Verluste aus grob fahrlässiger Pflichtverletzung kann er erst in einem zweiten Schritt vom Zahler zurückverlangen und muss die grobe Fahrlässigkeit beweisen. Das Rayongericht Koszalin führt den Rechtsstreit nach diesem Maßstab fort, in Deutschland steht die Linie des Bundesgerichtshofs zum Einwand aus § 242 BGB auf dem Prüfstand.
Phishing-Angriff als Auslöser des Ursprungsverfahrens
Die Klägerin des ursprünglichen Verfahrens, eine Verbraucherin, bot auf einer Online-Plattform einen Artikel zum Verkauf an. Sie wurde Opfer eines Phishing-Angriffs, als ihr ein vermeintlich interessierter Käufer einen Link zusandte, wodurch sie auf eine gefälschte Seite der Online-Plattform gelang. Von dort aus wurde sie auf eine gefälschte Seite ihrer polnischen Hausbank weitergeleitet und gab dort ihre Online-Banking-Daten ein. Indem die Klägerin durch Täuschung den per SMS übermittelten Bestätigungscode an den Täter weitergab, autorisierte er eine Überweisung in Höhe von 3.000,00 Zloty (etwa 705,00 EUR) auf sein eigenes Konto. Am nächsten Tag meldete die Klägerin den Vorfall bei ihrer Bank und der Polizei. Der Täter konnte jedoch nicht ermittelt werden.
Die polnische Hausbank der Klägerin lehnte eine Erstattung ab, da sie durch die Zugänglichmachung ihrer Zahlungsdaten eine Pflichtverletzung bei der Klägerin sah. Daraufhin klagte die Klägerin gegen ihre Bank vor einem polnischen Gericht auf Erstattung. Das Gericht wandte sich mit einer Vorfrage an den EuGH.
Der Verfahrensweg
23. Januar 2025: Das Rayongericht Koszalin setzt das Verfahren aus und legt dem Gerichtshof der Europäischen Union die Frage zu Art. 73 Abs. 1 und Art. 74 Abs. 1 der Richtlinie 2015/2366 vor.
3. Februar 2025: Das Vorabentscheidungsersuchen geht beim Gerichtshof ein, Rechtssache C-70/25 mit dem fiktiven Namen Tukowiecka.
5. März 2026: Generalanwalt A. Rantos stellt seine Schlussanträge und schlägt vor, die Weigerung wegen grober Fahrlässigkeit als unzulässig anzusehen.
15. Oktober 2026: Die Erste Kammer entscheidet im schriftlichen Verfahren ohne mündliche Verhandlung und folgt dem Vorschlag des Generalanwalts.
Offen: Das Rayongericht Koszalin entscheidet den Rechtsstreit über die 3.000 Zloty und über die Kosten unter Beachtung des Urteils.
EuGH, Urteil vom 15. Oktober 2026, C-70/25, Tukowiecka, Rubrum, Rn. 14 bis 18, 27 und 53
Schlussanträge des Generalanwalts Rantos vom 5. März 2026, Nr. 53 und 54
Anlass der Vorlagefrage
Das polnische Gericht war der Ansicht, aus der Richtlinie 2015/2366 und der Umsetzung in nationales Recht ergebe sich, dass der Zahlungsdienstleister das Zahlungsrisiko nicht autorisierter Zahlungen zu übernehmen habe und ihn eine Erstattungspflicht treffe. Ausnahmsweise bestehe diese Pflicht nicht, wenn ein begründeter Betrugsverdacht gegen den Zahler vorliege und die zuständigen nationalen Behörden darüber informiert worden seien. In der polnischen Gerichtspraxis sei dieser Ausnahmefall zur Regel geworden, sodass infolge der Weigerung der Banken, nicht autorisierte Zahlungsvorgänge zu erstatten, zahlreiche Verbraucher klagten.
„Das deute darauf hin, dass die Anwendung der Ausnahmen vom Erstattungsanspruch durch die Zahlungsdienstleister bei nicht autorisierten Zahlungsvorgängen zur Regel geworden sei. Es sei üblich, dass Zahlungsdienstleister den Betrag nicht autorisierter Zahlungsvorgänge nicht erstatteten, so dass es an den Zahlern, insbesondere den Verbrauchern sei, ihre Erstattungsansprüche vor den nationalen Gerichten geltend zu machen.“
Das Gericht legte dem EuGH die Vorfrage vor, ob die Bestimmungen von Art. 73 Abs. 1 in Verbindung mit Art. 74 Abs. 1 der Richtlinie 2015/2366 dahin zu verstehen seien, dass ein Zahlungsdienstleister die unverzügliche Erstattung des Betrags eines nicht autorisierten Zahlungsvorgangs an einen Zahler verweigern könne, wenn der Zahler durch eine grob fahrlässige Verletzung der in Art. 69 genannten Pflichten einen Schaden infolge des nicht autorisierten Zahlungsvorgangs erlitten habe.
Die Mitgliedstaaten stellen unbeschadet des Artikels 71 sicher, dass im Falle eines nicht autorisierten Zahlungsvorgangs der Zahlungsdienstleister des Zahlers diesem den Betrag des nicht autorisierten Zahlungsvorgangs unverzüglich, auf jeden Fall spätestens bis zum Ende des folgenden Geschäftstags erstattet, nachdem er von dem Zahlungsvorgang Kenntnis erhalten hat oder dieser ihm angezeigt wurde, es sei denn, er hat berechtigte Gründe für den Verdacht, dass Betrug vorliegt, und teilt der zuständigen nationalen Behörde diese Gründe schriftlich mit.
Der Zahlungsdienstleister des Zahlers bringt gegebenenfalls das belastete Zahlungskonto wieder auf den Stand, auf dem es sich ohne den nicht autorisierten Zahlungsvorgang befunden hätte. Dabei wird sichergestellt, dass der Betrag auf dem Zahlungskonto des Zahlers spätestens zum Datum der Belastung des Kontos wertgestellt wird.
Pflicht der Banken zur unverzüglichen Erstattung
Banken unterfallen als Zahlungsdienstleister der Kategorie der Kreditinstitute im Sinne der Art. 1 Abs. 1 i.V.m. Art. 4 Nr. 11 der RL 2015/2366.
Der EuGH erkennt in Art. 73 und Art. 74 eine Risikoverteilung zwischen dem Zahlungsdienstleister und dem Zahler an. Er stellt bereits durch die wörtliche Auslegung der vorgelegten Vorschriften fest, dass Zahlungsdienstleister zur unverzüglichen Erstattung verpflichtet sind, wenn kein Ausnahmetatbestand vorliegt.
„Außerdem sieht der Wortlaut von Art. 73 Abs. 1 der Richtlinie 2015/2366 nur eine einzige Ausnahme von der Pflicht zur unverzüglichen Erstattung vor, nämlich den Fall, dass der Zahlungsdienstleister berechtigte Gründe für den Verdacht hat, dass Betrug vorliegt, und diese Gründe der zuständigen nationalen Behörde schriftlich mitteilt.“
Gemäß Art. 73 Abs. 1 der RL 2015/2366 muss der Zahlungsdienstleister bei einem nicht autorisierten Zahlungsvorgang des Zahlers den Betrag unverzüglich, spätestens bis zum Ende des folgenden Geschäftstags, erstatten, nachdem er von dem Zahlungsvorgang Kenntnis erhalten hat oder dieser ihm angezeigt wurde. Eine Ausnahme besteht bei begründetem Betrugsverdacht, dessen Gründe der Zahlungsdienstleister der zuständigen nationalen Behörde schriftlich mitteilen muss.
Was die Ausnahme voraussetzt
Die Ausnahme in Art. 73 Abs. 1 hat zwei Merkmale, die zusammen vorliegen müssen. Die Bank braucht berechtigte Gründe für den Verdacht, dass der Zahler selbst betrügerisch gehandelt hat, und sie muss diese Gründe der zuständigen nationalen Behörde schriftlich mitteilen. Der Verdacht grober Fahrlässigkeit ist kein Betrugsverdacht. Im deutschen Recht hat der Zahlungsdienstleister nach einer solchen Mitteilung die Erstattung unverzüglich zu prüfen und zu erfüllen, wenn sich der Betrugsverdacht nicht bestätigt, § 675u Satz 4 BGB.
EuGH, Urteil vom 15. Oktober 2026, C-70/25, Tukowiecka, Rn. 33, 34 und 39 Pressemitteilung Nr. 147/26 des Gerichtshofs vom 15. Oktober 2026 § 675u Satz 4 BGBErstattung auch bei grober Fahrlässigkeit des Zahlungsdienstnutzers
Die Pflichten des Zahlungsdienstnutzers in Art. 69 Abs. 1 sehen vor, dass diese die Bedingungen für die Ausgabe und Nutzung ihres Zahlungsinstruments einhalten. Letztere müssen objektiv, nichtdiskriminierend und verhältnismäßig sein. Weiter muss der Zahlungsdienstnutzer seinen Zahlungsdienstleister oder der von ihm benannten Stelle den Verlust, den Diebstahl, die missbräuchliche Verwendung oder die nicht autorisierte Nutzung des Zahlungsinstruments unverzüglich anzeigen, sobald er davon Kenntnis erhält. Abs. 2 legt fest, dass der Zahlungsdienstnutzer unmittelbar nach Erhalt eines Zahlungsinstruments alle zumutbaren Vorkehrungen treffen muss, um seine personalisierten Sicherheitsmerkmale vor unbefugtem Zugriff zu schützen.
(1) Der zur Nutzung eines Zahlungsinstruments berechtigte Zahlungsdienstnutzer
a) hält bei der Nutzung des Zahlungsinstruments die Bedingungen für dessen Ausgabe und Nutzung ein, die objektiv, nichtdiskriminierend und verhältnismäßig sein müssen,
b) zeigt dem Zahlungsdienstleister oder der von diesem benannten Stelle den Verlust, den Diebstahl, die missbräuchliche Verwendung oder die nicht autorisierte Nutzung des Zahlungsinstruments unverzüglich an, sobald er davon Kenntnis erhält.
(2) Für die Zwecke des Absatzes 1 Buchstabe a trifft der Zahlungsdienstnutzer unmittelbar nach Erhalt eines Zahlungsinstruments alle zumutbaren Vorkehrungen, um seine personalisierten Sicherheitsmerkmale vor unbefugtem Zugriff zu schützen.
Der EuGH folgert daraus, dass der bloße Verdacht, der Zahlungsdienstnutzer habe den nicht autorisierten Zahlungsvorgang durch eine grob fahrlässige Verletzung seiner Pflichten ermöglicht, keine Ausnahme von der unverzüglichen Erstattungspflicht darstellt.
„Daraus folgt, dass die mit der Richtlinie 2015/2366 verfolgten Ziele die Auslegung stützen, wonach der Umstand, dass der Zahlungsdienstleister der Ansicht ist, dass der Zahler grob fahrlässig seine Pflichten aus Art. 69 dieser Richtlinie verletzt hat, ihn nicht von der in Art. 73 Abs. 1 der Richtlinie vorgesehenen Pflicht zur unverzüglichen Erstattung befreit.“
EuGH, Urteil vom 15. Oktober 2026, C-70/25, Tukowiecka, Rn. 47
Haftung des Zahlers
Der EuGH stellt auf Art. 74 Abs. 1 der RL 2015/2366 ab, wonach der Zahler bei nicht autorisierten Zahlungsvorgängen, die unter Nutzung eines verlorenen oder gestohlenen Zahlungsinstruments oder infolge der missbräuchlichen Verwendung eines Zahlungsinstruments entstehen, bis höchstens 50 EUR haftet. Er haftet nicht, wenn der Verlust, der Diebstahl oder die missbräuchliche Verwendung des Zahlungsinstruments für ihn vor einer Zahlung nicht bemerkbar war, es sei denn, dass er selbst in betrügerischer Absicht gehandelt hat. Der Zahler hat hingegen alle Verluste zu übernehmen, die in Verbindung mit nicht autorisierten Zahlungsvorgängen entstanden sind, wenn er sie in betrügerischer Absicht oder durch vorsätzliche oder grob fahrlässige Verletzung einer oder mehrerer Pflichten nach Art. 69 herbeigeführt hat. Hat er hingegen weder in betrügerischer Absicht gehandelt noch seine Pflichten aus Art. 69 vorsätzlich verletzt, können die Mitgliedstaaten die Haftung nach dem vorliegenden Absatz einschränken, wobei sie insbesondere die Art der personalisierten Sicherheitsmerkmale sowie die besonderen Umstände berücksichtigen, unter denen der Verlust, der Diebstahl oder die missbräuchliche Verwendung des Zahlungsinstruments stattgefunden hat.
Abweichend von Artikel 73 kann der Zahler dazu verpflichtet werden, Schäden, die infolge eines nicht autorisierten Zahlungsvorgangs unter Nutzung eines verlorenen oder gestohlenen Zahlungsinstruments oder infolge der missbräuchlichen Verwendung eines Zahlungsinstruments entstehen, bis höchstens 50 Euro zu tragen.
Unterabsatz 1 findet keine Anwendung, wenn
a) der Verlust, der Diebstahl oder die missbräuchliche Verwendung des Zahlungsinstruments für den Zahler vor einer Zahlung nicht bemerkbar war, es sei denn, der Zahler hat selbst in betrügerischer Absicht gehandelt oder
b) der Verlust durch Handlungen oder Unterlassungen eines Angestellten oder eines Agenten, einer Zweigniederlassung eines Zahlungsdienstleisters oder einer Stelle, an den bzw. die Tätigkeiten ausgelagert werden, verursacht wurde.
Der Zahler trägt alle Verluste, die in Verbindung mit nicht autorisierten Zahlungsvorgängen entstanden sind, wenn er sie in betrügerischer Absicht oder durch vorsätzliche oder grob fahrlässige Verletzung einer oder mehrerer der Pflichten nach Artikel 69 herbeigeführt hat. In diesen Fällen findet der Höchstbetrag nach Unterabsatz 1 keine Anwendung.
Wenn der Zahler weder in betrügerischer Absicht gehandelt hat noch seinen Pflichten nach Artikel 69 vorsätzlich nicht nachgekommen ist, können die Mitgliedstaaten die Haftung nach dem vorliegenden Absatz einschränken, wobei sie insbesondere der Art der personalisierten Sicherheitsmerkmale sowie den besonderen Umständen Rechnung tragen, unter denen der Verlust, der Diebstahl oder die missbräuchliche Verwendung des Zahlungsinstruments stattgefunden hat.
„Nach einer ersten Auslegung wirkt diese sich auf die in Art. 73 Abs. 1 der Richtlinie vorgesehene Pflicht zur unverzüglichen Erstattung aus, wenn der Zahler grob fahrlässig seine Pflichten aus Art. 69 der Richtlinie verletzt hat. Nach einer zweiten Auslegung bezieht sich diese abweichende Regelung nur auf die Endgültigkeit der Erstattung, wobei der Zahlungsdienstleister die unverzügliche Erstattung in einem ersten Schritt vornehmen muss, bevor er gegebenenfalls in einem zweiten Schritt durch die hierfür vorgesehenen Rechtsbehelfe vom Zahler die Erstattung von infolge nicht autorisierter Zahlungsvorgänge entstandenen Verlusten verlangen kann.“
Der EuGH zieht bei seiner Auslegung den Erwägungsgrund 71 der RL 2015/2366 hinzu. Dieser bestätigt im Wesentlichen die Haftung des Zahlers bei betrügerischer Absicht oder grob fahrlässigem Verhalten und benennt Ausnahmetatbestände.
Erstattungspflicht auch bei Haftung des Zahlers
Der EuGH erkennt an, dass aus Gründen der praktischen Wirksamkeit und des Verbraucherschutzes eine Erstattungspflicht des Zahlungsdienstleisters grundsätzlich unabhängig von einer Haftung des Zahlers besteht. Ob eine Haftung des Zahlers besteht, darf der Zahlungsdienstleister prüfen, die Erstattung darf er deshalb aber nicht verzögern. Eine Haftung des Zahlers kann er anschließend gerichtlich geltend machen. Der EuGH weist darauf hin, dass der Zahlungsdienstleister nach Art. 72 Abs. 2 die grobe Fahrlässigkeit des Zahlers nachweisen muss. Die Beweislast zu Lasten des Zahlungsdienstleisters untermauert nach Ansicht des EuGH ebenfalls die Schutzbedürftigkeit des Zahlers und die einhergehende Erstattungspflicht des Zahlungsdienstleisters.
Erstattung in zwei Schritten
Der Gerichtshof trennt die Frage, ob die Bank erstatten muss, von der Frage, wer den Verlust am Ende zu übernehmen hat. Die Erstattung geht vor, der Rückgriff folgt. Untersuchen darf die Bank den Vorfall schon vorher, aufschieben darf sie die Erstattung deshalb nicht.
- Schritt 1, die Erstattung: Nach der Anzeige erstattet der Zahlungsdienstleister den Betrag unverzüglich, spätestens bis zum Ende des folgenden Geschäftstags, und stellt das Konto so, als wäre die Belastung nie erfolgt. Der Vorwurf grober Fahrlässigkeit schiebt diesen Schritt nicht auf (Rn. 31, 42, 47).
- Schritt 2, der Rückgriff: Hält der Zahlungsdienstleister den Zahler für grob fahrlässig, kann er danach die Verluste vom Zahler verlangen. Das geschieht unter den Voraussetzungen des Art. 74 Abs. 1 und mit den dafür vorgesehenen Rechtsbehelfen (Rn. 38, 46).
- Die Beweislast: Die aufgezeichnete Nutzung des Zahlungsinstruments reicht für sich gesehen nicht notwendigerweise aus. Der Zahlungsdienstleister muss unterstützende Beweismittel für Betrug oder grobe Fahrlässigkeit vorlegen, Art. 72 Abs. 2 (Rn. 8, 40, 41).
Bestreitet ein Zahlungsdienstnutzer, einen ausgeführten Zahlungsvorgang autorisiert zu haben, so reicht die vom Zahlungsdienstleister, gegebenenfalls einschließlich des Zahlungsauslösedienstleisters aufgezeichnete Nutzung eines Zahlungsinstruments für sich gesehen nicht notwendigerweise aus, um nachzuweisen, dass der Zahler entweder den Zahlungsvorgang autorisiert oder aber in betrügerischer Absicht gehandelt oder eine oder mehrere seiner Pflichten nach Artikel 69 vorsätzlich oder grob fahrlässig verletzt hat. Der Zahlungsdienstleister, gegebenenfalls einschließlich des Zahlungsauslösedienstleisters, muss unterstützende Beweismittel vorlegen, um Betrug oder grobe Fahrlässigkeit des Zahlungsdienstnutzers nachzuweisen.
Wortlaut wiedergegeben nach dem Urteil des Gerichtshofs, Rn. 8. Umgesetzt in § 675w BGB
„Eine solche Verteilung der Verantwortlichkeiten und Risiken zum Nachteil des Zahlers erweist sich als schwer vereinbar mit dem in der vorstehenden Randnummer des vorliegenden Urteils genannten Ziel, ein hohes Maß an Verbraucherschutz zu gewährleisten.“
Bedeutung des Urteils für den konkreten Fall
Der EuGH hat im Vorabentscheidungsverfahren entschieden, wie Art. 73 Abs. 1 und Art. 74 Abs. 1 der Richtlinie 2015/2366 zu verstehen sind. Das polnische Gericht wird das ausgesetzte Verfahren wieder aufnehmen und unter Zugrundelegung des Urteils den Rechtsstreit entscheiden. Die Wahrscheinlichkeit ist hoch, dass das Gericht bei der geschädigten Klägerin mangels Betrugsverdachts keine Ausnahme von der Erstattungspflicht ihrer Bank annehmen wird.
„Art. 73 Abs. 1 und Art. 74 Abs. 1 der Richtlinie (EU) 2015/2366 […] sind dahin auszulegen, dass ein Zahlungsdienstleister die unverzügliche Erstattung des Betrags eines nicht autorisierten Zahlungsvorgangs an einen Zahler nicht mit der Begründung verweigern darf, dass dieser Zahler diesen Zahlungsvorgang durch eine grob fahrlässige Verletzung seiner Pflichten aus Art. 69 der Richtlinie 2015/2366 ermöglicht habe.“
Was im Ausgangsverfahren noch offen ist
Der Gerichtshof hat die Vorlagefrage beantwortet, nicht den Fall entschieden. Ob die Klägerin ihre Zugangsdaten grob fahrlässig preisgegeben hat, hat er nicht geprüft, und er musste es nicht, weil die Bank die Erstattung auch bei grober Fahrlässigkeit nicht verweigern darf. Das Rayongericht Koszalin entscheidet jetzt über die Klage auf 3.000 Zloty, über die Kosten und, falls die Bank das verlangt, über einen Rückgriff nach den Voraussetzungen des Art. 74 Abs. 1.
EuGH, Urteil vom 15. Oktober 2026, C-70/25, Tukowiecka, Rn. 18, 28, 46 und 53Folgen für die deutsche Praxis
Der deutsche Gesetzgeber hat die Art. 73 und Art. 74 der Richtlinie 2015/2366 in den §§ 675u, 675v BGB umgesetzt. Die deutschen Gerichte haben bei der Anwendung der einschlägigen Vorschriften das Urteil des EuGH zu berücksichtigen.
Im Fall eines nicht autorisierten Zahlungsvorgangs hat der Zahlungsdienstleister des Zahlers gegen diesen keinen Anspruch auf Erstattung seiner Aufwendungen. Er ist verpflichtet, dem Zahler den Zahlungsbetrag unverzüglich zu erstatten und, sofern der Betrag einem Zahlungskonto belastet worden ist, dieses Zahlungskonto wieder auf den Stand zu bringen, auf dem es sich ohne die Belastung durch den nicht autorisierten Zahlungsvorgang befunden hätte. Diese Verpflichtung ist unverzüglich, spätestens jedoch bis zum Ende des Geschäftstags zu erfüllen, der auf den Tag folgt, an welchem dem Zahlungsdienstleister angezeigt wurde, dass der Zahlungsvorgang nicht autorisiert ist, oder er auf andere Weise davon Kenntnis erhalten hat.
Hat der Zahlungsdienstleister einer zuständigen Behörde berechtigte Gründe für den Verdacht, dass ein betrügerisches Verhalten des Zahlers vorliegt, schriftlich mitgeteilt, hat der Zahlungsdienstleister seine Verpflichtung aus Satz 2 unverzüglich zu prüfen und zu erfüllen, wenn sich der Betrugsverdacht nicht bestätigt. Wurde der Zahlungsvorgang über einen Zahlungsauslösedienstleister ausgelöst, so treffen die Pflichten aus den Sätzen 2 bis 4 den kontoführenden Zahlungsdienstleister.
(1) Beruhen nicht autorisierte Zahlungsvorgänge auf der Nutzung eines verloren gegangenen, gestohlenen oder sonst abhandengekommenen Zahlungsinstruments oder auf der sonstigen missbräuchlichen Verwendung eines Zahlungsinstruments, so kann der Zahlungsdienstleister des Zahlers von diesem den Ersatz des hierdurch entstandenen Schadens bis zu einem Betrag von 50 Euro verlangen.
(3) Abweichend von den Absätzen 1 und 2 ist der Zahler seinem Zahlungsdienstleister zum Ersatz des gesamten Schadens verpflichtet, der infolge eines nicht autorisierten Zahlungsvorgangs entstanden ist, wenn der Zahler
1. in betrügerischer Absicht gehandelt hat oder
2. den Schaden herbeigeführt hat durch vorsätzliche oder grob fahrlässige Verletzung
a) einer oder mehrerer Pflichten gemäß § 675l Absatz 1 oder
b) einer oder mehrerer vereinbarter Bedingungen für die Ausgabe und Nutzung des Zahlungsinstruments.
„Besteht ein Schadensersatzanspruch des Zahlungsdienstleisters, kann letzterer in Höhe dieses Anspruchs die Erfüllung des Anspruchs des Zahlers aus § 675u Satz 2 BGB gemäß den Grundsätzen von Treu und Glauben verweigern […].“
Der Einwand aus § 242 BGB nach dem Urteil
Der Bundesgerichtshof stellt die Erstattungspflicht aus § 675u Satz 2 BGB nicht in Frage. Er erlaubt der Bank aber, die Erfüllung nach § 242 BGB zu verweigern, soweit ihr wegen grober Fahrlässigkeit des Zahlers ein Schadensersatzanspruch aus § 675v Abs. 3 BGB zusteht. Am 22. Juli 2025 hat er so eine Sparkasse bestätigt, die eine Belastung von 35.555 Euro nicht zurückgebucht hatte. Die Kundin hatte am Telefon mehrere TANs an eine unbekannte Anruferin weitergegeben, die sich als Mitarbeiterin der Sparkasse ausgab. Am 3. März 2026 hat der Senat diese Linie erneut bestätigt, sieben Monate vor dem Urteil des Gerichtshofs.BGH, Urteil vom 22. Juli 2025, XI ZR 107/24, Rn. 4 bis 8, 22 bis 27 und Leitsatz a BGH, Urteil vom 3. März 2026, XI ZR 20/24, Rn. 18 und 19
Einschätzung von Jean Paul P. Bohne, LL.M., MM Diese Konstruktion lässt sich mit dem Urteil des Gerichtshofs unserer Auffassung nach nicht mehr ohne Weiteres halten. Der Gerichtshof verlangt, dass die Bank zuerst erstattet und ihren Anspruch erst danach mit den dafür vorgesehenen Rechtsbehelfen verfolgt, und er stützt das auf die Beweislast der Bank nach Art. 72 Abs. 2. Eine Bank, die von vornherein verweigert, nimmt damit das Ergebnis vorweg, das sie erst beweisen müsste. Ein Zahler, der heute auf Erstattung klagt, kann sich deshalb auf das Urteil berufen, die Bank wird ihren Schadensersatzanspruch gesondert verfolgen müssen, etwa mit einer Widerklage oder einer eigenen Klage. Prüfen darf die Bank den Vorfall auch vorher oder parallel, nur zurückhalten darf sie die Erstattung wegen dieser Prüfung nicht. Die Reihenfolge gibt der Gerichtshof vor: erst die Erstattung, dann der Rückgriff. Wie die deutschen Gerichte das prozessual umsetzen, etwa mit welcher Klageart, lässt er offen. Eine Entscheidung des Bundesgerichtshofs zu dieser Frage nach dem 15. Oktober 2026 liegt bis zum Rechtsstand nicht vor, bis dahin bleibt das Prozessrisiko in beiden Richtungen.
EuGH, Urteil vom 15. Oktober 2026, C-70/25, Tukowiecka, Rn. 38, 40 bis 42, 45 und 46Sieben Schritte nach dem Phishing-Vorfall
Einschätzung von Jean Paul P. Bohne, LL.M., MM Die Schritte folgen den Pflichten aus §§ 675l, 676b BGB und den Rechten aus §§ 675u, 675v, 675w BGB. Sie ersetzen keine Prüfung des Einzelfalls, insbesondere nicht die Prüfung, ob eine Pflichtverletzung als grob fahrlässig gewertet werden kann.
- Anzeigen: Den nicht autorisierten Vorgang unverzüglich der Bank melden, § 676b Abs. 1 BGB, und den Zeitpunkt festhalten, etwa durch Bestätigung der Hotline oder eine E-Mail. Die Erstattungsfrist der Bank läuft ab dieser Anzeige.
- Sperren: Online-Banking-Zugang und Karten sperren lassen, Passwörter ändern. Für Schäden aus einer Nutzung nach der Anzeige des Missbrauchs haftet der Zahler nicht mehr, außer bei betrügerischer Absicht, § 675v Abs. 5 mit § 675l Abs. 1 Satz 2 BGB.
- Strafanzeige erstatten: Bei der Polizei oder online bei der Onlinewache des Bundeslandes. Das Aktenzeichen gehört in jedes Schreiben an die Bank.
- Erstattung schriftlich verlangen: Unter Nennung des § 675u Satz 2 BGB und des Urteils des Gerichtshofs vom 15. Oktober 2026, C-70/25, mit Frist bis zum Ende des folgenden Geschäftstags.
- Verweigerung begründen lassen: Lehnt die Bank ab, verlangen Sie die Gründe schriftlich. Beruft sie sich auf einen Betrugsverdacht gegen Sie, fragen Sie nach der Mitteilung an die Behörde, § 675u Satz 4 BGB.
- Beweise sichern: Nachricht des Täters, Link, gefälschte Seite, SMS mit Code, Zeitabläufe als Screenshots. Beweisen muss die Bank, § 675w BGB, Ihre Unterlagen zeigen aber, wie der Betrug ablief.
- Schlichtung oder Klage: Bleibt die Bank bei der Ablehnung, stehen die Schlichtungsstelle der Bank und die Klage offen. Bei Beträgen bis 10.000 Euro ist das Amtsgericht zuständig, § 23 Nr. 1 GVG.
Firmenkonto: Vertrag zuerst
Die Erstattungspflicht aus § 675u BGB gilt auch gegenüber Unternehmen. Für Zahlungsdienstnutzer, die keine Verbraucher sind, dürfen die Parteien aber unter anderem von § 675v BGB und von den Fristen des § 676b Abs. 2 BGB abweichen. Das erlauben § 675e Abs. 4 BGB und Art. 61 Abs. 1 der Richtlinie. Wer ein Geschäftskonto führt, prüft deshalb zuerst Kontovertrag und Bedingungen, bevor er die Haftungsregeln des Verbraucherfalls auf sich überträgt.
§ 675e Abs. 4 BGB Art. 61 Abs. 1 Richtlinie (EU) 2015/2366Fazit
Durch die großflächige Verlagerung von Transaktionen im virtuellen Raum und die mit dem Voranschreiten von Digitalisierung und künstlicher Intelligenz einhergehenden vielseitigen Möglichkeiten für Betrüger, ihre Opfer zu täuschen, befasst sich der EuGH mit einer höchstaktuellen Problematik. Schäden durch nicht autorisierte Zahlungen müssen durch den Zahlungsdienstleister ungeachtet einer Pflichtverletzung unverzüglich erstattet werden und eine Haftung des Zahlers kann der Zahlungsdienstleister erst im Nachgang geltend machen.
Was aus dem Urteil nicht folgt
- Keine Entscheidung über die Klägerin. Ob sie grob fahrlässig gehandelt hat, hat der Gerichtshof nicht geprüft, das Rayongericht Koszalin entscheidet (Rn. 28, 52, 53).
- Keine Erstattung ohne Kenntnis der Bank. Die Frist läuft ab Anzeige oder sonstiger Kenntnis der Bank. Die Erstattungspflicht gilt unbeschadet des Art. 71, der Zahler muss den Vorgang unverzüglich und spätestens 13 Monate nach der Belastung melden (Rn. 7, 31, 32).
- Keine Pflicht zur sofortigen Erstattung bei berechtigtem Betrugsverdacht gegen den Zahler, wenn die Bank die Gründe der zuständigen Behörde schriftlich mitteilt (Rn. 33). Bestätigt sich der Verdacht nicht, muss sie unverzüglich erstatten, § 675u Satz 4 BGB.
- Keine Befreiung des Zahlers von der Haftung. Wer grob fahrlässig seine Pflichten aus Art. 69 verletzt, hat die Verluste zu übernehmen, die Bank kann sie im zweiten Schritt zurückverlangen (Rn. 35, 46).
- Keine Aussage zu Zahlungen, denen der Zahler zugestimmt hat. Das Urteil betrifft nur nicht autorisierte Zahlungsvorgänge, im Fall die vom Täter mit dem erschlichenen Code ausgelöste Überweisung (Rn. 15). Hat der Zahler der konkreten Überweisung wirksam zugestimmt, greift der Erstattungsanspruch aus § 675u BGB grundsätzlich nicht, § 675j Abs. 1 BGB. Eine Täuschung über den Zahlungszweck allein lässt die Zustimmung nicht entfallen. Umgekehrt beweist eine technische Authentifizierung allein noch nicht, dass der Zahler zugestimmt hat, § 675w BGB.
- Keine ausdrückliche Aussage zum deutschen § 242 BGB. Der Gerichtshof legt die Richtlinie aus, und diese Auslegung bindet jedes deutsche Gericht schon jetzt. Ob der Bundesgerichtshof seine Linie zum Einwand aus § 242 BGB aufgibt, hat er noch nicht entschieden.
Wer aus dem Urteil liest, Phishing-Opfer bekämen ihr Geld jetzt in jedem Fall und endgültig zurück, liest es falsch. Es ordnet die Reihenfolge: erst die Erstattung durch die Bank, dann der Streit über die grobe Fahrlässigkeit, mit der Beweislast bei der Bank.
EuGH, Urteil vom 15. Oktober 2026, C-70/25, Tukowiecka, Rn. 7, 15, 28, 31 bis 33, 35, 46, 52 und 53 § 675j Abs. 1 BGBDas EuGH-Urteil ist bedeutsam für den Schutz von Verbrauchern vor betrügerischen Angriffen und wegweisend bei der Umsetzung der Zahlungsdienstrichtlinie 2015/2366 für die nationalen Gerichte. Es hat zur Folge, dass die Gerichte in einigen Mitgliedstaaten ihren Umgang in der Praxis mit Opfern von unautorisierten Zahlungen überdenken und unter Zugrundelegung des hiesigen Urteils anpassen müssen.
Häufige Fragen
Neun Fragen aus der Beratungspraxis. Jede Antwort beruht auf einem Abschnitt dieses Beitrags.
Muss die Bank nach einem Phishing-Betrug das Geld erstatten?
Ja, wenn der Zahlungsvorgang nicht autorisiert war und Sie ihn unverzüglich angezeigt haben. Der Zahlungsdienstleister muss den Betrag unverzüglich erstatten, spätestens bis zum Ende des Geschäftstags, der auf die Anzeige folgt, Art. 73 Abs. 1 der Richtlinie 2015/2366 und § 675u Satz 2 und 3 BGB. Einzige Ausnahme nach dem Gerichtshof der Europäischen Union ist ein berechtigter Betrugsverdacht gegen den Zahler, der einer Behörde schriftlich mitgeteilt wurde.
Darf die Bank die Erstattung verweigern, weil ich grob fahrlässig war?
Nein. Der Gerichtshof der Europäischen Union hat am 15. Oktober 2026 entschieden, dass der Vorwurf grober Fahrlässigkeit den Zahlungsdienstleister nicht von der Pflicht zur unverzüglichen Erstattung befreit. Die Bank muss zuerst erstatten. Verluste, die auf grob fahrlässiger Pflichtverletzung beruhen, kann sie danach vom Zahler zurückverlangen, und sie muss die grobe Fahrlässigkeit beweisen.
Was bedeutet das Urteil für Bankkunden in Deutschland?
Die §§ 675u und 675v BGB setzen die Art. 73 und 74 der Richtlinie um, deutsche Gerichte müssen sie im Sinne des Urteils auslegen. Der Bundesgerichtshof hat Banken bisher erlaubt, die Erstattung in Höhe eines eigenen Schadensersatzanspruchs nach § 242 BGB zu verweigern, zuletzt am 3. März 2026. Ob diese Linie Bestand hat, hat der Bundesgerichtshof seit dem Urteil des Gerichtshofs noch nicht entschieden.
Wann handelt ein Bankkunde grob fahrlässig?
Grobe Fahrlässigkeit verlangt nach dem Bundesgerichtshof einen objektiv schweren und subjektiv nicht entschuldbaren Verstoß gegen die erforderliche Sorgfalt, also ein Verhalten, das jedem hätte einleuchten müssen. Dass ein Oberlandesgericht die Weitergabe mehrerer TANs an eine unbekannte Anruferin so gewertet hat, hat der Bundesgerichtshof als tatrichterliche Würdigung gebilligt. Ob ein Verhalten grob fahrlässig war, entscheidet das Gericht im Einzelfall, und beweisen muss es die Bank.
Wie viel muss ich selbst zahlen, wenn ich nicht grob fahrlässig war?
Höchstens 50 Euro, wenn der Zahler weder betrügerisch noch vorsätzlich oder grob fahrlässig gehandelt hat, § 675v Abs. 1 und 3 BGB. Der Betrag entfällt ganz, wenn der Verlust vor der Zahlung nicht bemerkbar war, § 675v Abs. 2 BGB. Bei Vorsatz oder grober Fahrlässigkeit haftet er grundsätzlich für den gesamten Schaden. Hat die Bank keine starke Kundenauthentifizierung verlangt, haftet er auch dann nicht, außer bei betrügerischer Absicht, § 675v Abs. 4 BGB. Bei Geschäftskonten entscheidet zuerst der Vertrag.
Wie schnell muss ich den Vorfall melden?
Unverzüglich nach Feststellung, § 676b Abs. 1 BGB und Art. 71 Abs. 1 der Richtlinie. Spätestens 13 Monate nach der Belastung muss die Anzeige bei der Bank eingegangen sein, sonst sind Ansprüche und Einwendungen ausgeschlossen, § 676b Abs. 2 BGB. Die Frist beginnt erst, wenn die Bank Sie über den Zahlungsvorgang unterrichtet hat. Die Pflicht der Bank zur unverzüglichen Erstattung beginnt mit der Anzeige oder mit ihrer sonstigen Kenntnis.
Wer muss beweisen, dass die Zahlung autorisiert oder grob fahrlässig ermöglicht wurde?
Die Bank. Die aufgezeichnete Nutzung des Zahlungsinstruments reicht für sich allein nicht notwendigerweise aus, um Autorisierung, Betrug oder grobe Fahrlässigkeit nachzuweisen, Art. 72 Abs. 2 der Richtlinie und § 675w BGB. Der Zahlungsdienstleister muss unterstützende Beweismittel vorlegen. Der Gerichtshof sieht darin eine Bestätigung, dass die Erstattung zuerst erfolgt und die Haftungsfrage danach geklärt wird.
Gilt der Erstattungsanspruch auch für Geschäftskonten?
Ja, die Pflicht aus § 675u BGB gilt auch gegenüber Unternehmen. Für Zahlungsdienstnutzer, die keine Verbraucher sind, dürfen die Parteien aber unter anderem von § 675v BGB, also von der Haftung des Zahlers, und von den Anzeigefristen des § 676b BGB abweichen, § 675e Abs. 4 BGB. Bei Firmenkonten entscheidet deshalb zuerst der Vertrag, ob die Bank weitergehende Haftung vereinbart hat.
Ist der Fall der polnischen Bankkundin damit entschieden?
Nein. Der Gerichtshof hat nur die Vorlagefrage beantwortet, ob die Bank die unverzügliche Erstattung wegen grober Fahrlässigkeit verweigern darf. Ob die Kundin grob fahrlässig gehandelt hat und ob die Bank später Ersatz verlangen kann, entscheidet das Rayongericht Koszalin. Das Verfahren wird dort unter Beachtung des Urteils fortgesetzt, die Kostenentscheidung ist Sache dieses Gerichts.
Begriffe
- nicht autorisierter Zahlungsvorgang
- Ein Zahlungsvorgang, dem der Zahler nicht zugestimmt hat, § 675j Abs. 1 BGB. Eine Überweisung, die ein Täter mit erschlichenen Zugangsdaten und einem abgefangenen Bestätigungscode auslöst, ist nicht autorisiert, auch wenn das Verfahren der Bank sie als authentifiziert aufzeichnet. Eine Überweisung, die der Zahler selbst eingibt und freigibt, ist autorisiert, auch wenn er über ihren Zweck getäuscht wurde.
- Zahlungsinstrument
- Jedes personalisierte Instrument oder Verfahren, dessen Verwendung zwischen Zahlungsdienstnutzer und Zahlungsdienstleister vereinbart wurde und das zur Erteilung eines Zahlungsauftrags verwendet wird, § 1 Abs. 20 ZAG, etwa das Online-Banking mit dem TAN-Verfahren oder eine Karte.
- personalisierte Sicherheitsmerkmale
- Personalisierte Merkmale, die der Zahlungsdienstleister dem Nutzer zur Authentifizierung bereitstellt, § 1 Abs. 25 ZAG, etwa PIN, Passwort und TAN. Der Nutzer muss sie nach Art. 69 Abs. 2 der Richtlinie und § 675l Abs. 1 BGB vor unbefugtem Zugriff schützen.
- grobe Fahrlässigkeit
- Ein objektiv schwerer und subjektiv nicht entschuldbarer Verstoß gegen die erforderliche Sorgfalt, bei dem unbeachtet bleibt, was jedem hätte einleuchten müssen. Hat der Zahler den Schaden durch eine grob fahrlässige Verletzung seiner Pflichten herbeigeführt, haftet er für den gesamten Schaden, Art. 74 Abs. 1 Unterabs. 3 der Richtlinie, § 675v Abs. 3 BGB. Die Haftungsausschlüsse nach § 675v Abs. 4 und 5 BGB bleiben unberührt. Die grob fahrlässige Pflichtverletzung muss der Zahlungsdienstleister nachweisen, Art. 72 Abs. 2 der Richtlinie, § 675w BGB.
- starke Kundenauthentifizierung
- Authentifizierung mit mindestens zwei Elementen aus Wissen, Besitz und Inhärenz, § 1 Abs. 24 ZAG. Verlangt die Bank sie für den Zahlungsvorgang nicht, ist ihr Schadensersatzanspruch gegen den Zahler ausgeschlossen, § 675v Abs. 4 BGB, außer bei betrügerischer Absicht. Maßgeblich ist der Zahlungsvorgang, nicht die Anmeldung im Online-Banking.
- Vorabentscheidungsverfahren
- Verfahren nach Art. 267 AEUV, in dem ein nationales Gericht dem Gerichtshof der Europäischen Union Fragen zur Auslegung des Unionsrechts vorlegt. Der Gerichtshof entscheidet die Auslegungsfrage, den Rechtsstreit entscheidet danach das vorlegende Gericht.
Quellen
- Gerichtshof der Europäischen Union (Erste Kammer), Urteil vom 15. Oktober 2026, C-70/25, Tukowiecka, ECLI:EU:C:2026:852, N.O. gegen PKO BP S.A., Vorabentscheidungsersuchen des Sąd Rejonowy w Koszalinie (Rayongericht Koszalin, Polen), Verfahrenssprache Polnisch, Rn. 1 bis 53 und Tenor, deutsche Sprachfassung nach der amtlichen Veröffentlichung des Gerichtshofs, Dokumentenseite curia.europa.eu, C-70/25, abgerufen am 29.10.2026.
- Gerichtshof der Europäischen Union, Pressemitteilung Nr. 147/26 vom 15. Oktober 2026, Zahlungsdienste: Grobe Fahrlässigkeit des Kunden entbindet den Zahlungsdienstleister nicht von der Verpflichtung, den Betrag eines nicht autorisierten Zahlungsvorgangs unverzüglich zu erstatten, curia.europa.eu, abgerufen am 29.10.2026.
- Schlussanträge des Generalanwalts A. Rantos vom 5. März 2026, C-70/25, Tukowiecka, ECLI:EU:C:2026:153, Nrn. 39 und 51 bis 54, deutsche Sprachfassung nach der amtlichen Veröffentlichung des Gerichtshofs, Dokumentenseite curia.europa.eu, C-70/25, abgerufen am 29.10.2026.
- Richtlinie (EU) 2015/2366 des Europäischen Parlaments und des Rates vom 25. November 2015 über Zahlungsdienste im Binnenmarkt, Erwägungsgründe 6 und 71, Art. 1 Abs. 1 Buchst. a und Abs. 2 Buchst. b, Art. 4 Nr. 11, Art. 61 Abs. 1, Art. 69, Art. 71 Abs. 1, Art. 72 Abs. 2, Art. 73 Abs. 1, Art. 74 Abs. 1, Art. 102 Abs. 1 und Art. 107 Abs. 1, ABl. L 337 vom 23.12.2015, S. 35, berichtigt in ABl. L 169 vom 28.6.2016, S. 18, und ABl. L 102 vom 23.4.2018, S. 97. Wortlaut der Art. 69, 71 bis 74 wiedergegeben nach dem Urteil des Gerichtshofs vom 15. Oktober 2026, Rn. 4 bis 12, eur-lex.europa.eu.
- Bürgerliches Gesetzbuch (BGB), § 675e Abs. 4, § 675j Abs. 1, § 675l Abs. 1, § 675u, § 675v, § 675w und § 676b, § 675u, § 675v, § 675w, § 676b und § 675e und § 675j auf gesetze-im-internet.de, abgerufen am 29.10.2026.
- Bundesgerichtshof, Urteil vom 22. Juli 2025, XI ZR 107/24, ECLI:DE:BGH:2025:220725UXIZR107.24.0, Leitsätze a und b, Rn. 21 bis 27, Vorinstanzen Oberlandesgericht Naumburg und Landgericht Halle, Entscheidungsfassung des Gerichts, veröffentlicht im Netzwerk der Rechtsprechungssammlung des Gerichtshofs der Europäischen Union, curia.europa.eu, abgerufen am 29.10.2026.
- Bundesgerichtshof, Urteil vom 17. November 2020, XI ZR 294/19, BGHZ 227, 343, Rn. 23 ff., und Urteil vom 5. März 2024, XI ZR 107/22, BGHZ 240, 23, Rn. 50, wiedergegeben nach dem Urteil des Bundesgerichtshofs vom 22. Juli 2025, Rn. 23.
- Gerichtsverfassungsgesetz (GVG), § 23 Nr. 1 in der seit 1. Januar 2026 geltenden Fassung, gesetze-im-internet.de, abgerufen am 29.10.2026.
- Zahlungsdiensteaufsichtsgesetz (ZAG), § 1 Abs. 20, 24 und 25, gesetze-im-internet.de, abgerufen am 29.10.2026.
- Bundesgerichtshof, Urteil vom 3. März 2026, XI ZR 20/24, ECLI:DE:BGH:2026:030326UXIZR20.24.0, BGHZ, Rn. 17 bis 21, Vorinstanzen Oberlandesgericht Naumburg und Landgericht Halle, Entscheidungsfassung des Gerichts, veröffentlicht im Netzwerk der Rechtsprechungssammlung des Gerichtshofs der Europäischen Union, curia.europa.eu, abgerufen am 29.10.2026.
Zur Quellenlage
Alle wörtlichen Zitate und Randnummern des Gerichtshofs der Europäischen Union stammen aus der deutschen Sprachfassung des Urteils in der amtlichen Veröffentlichung des Gerichtshofs, die Verfahrenssprache ist Polnisch. Die Normkarten zu den Art. 69, 72, 73 und 74 der Richtlinie folgen dem Wortlaut, wie das Urteil ihn in den Rn. 6 bis 10 wiedergibt, die Normkarten zum BGB folgen gesetze-im-internet.de. Das Urteil des Bundesgerichtshofs vom 22. Juli 2025 liegt in der Entscheidungsfassung des Gerichts vor, die beiden älteren Senatsurteile sind so wiedergegeben, wie es sie zitiert. Eine Entscheidung des Bundesgerichtshofs zum Verhältnis des Einwands aus § 242 BGB zum Urteil des Gerichtshofs ist bis zum Rechtsstand nicht bekannt, ebenso wenig eine Entscheidung des Rayongerichts Koszalin im Ausgangsverfahren.
Zur Verfasserin
Ana Dine, LL.B., BA ist Wissenschaftliche Mitarbeiterin der ITMR Rechtsanwälte PartGmbB in Düsseldorf und Rechtsreferendarin im Bezirk des Oberlandesgerichts Düsseldorf mit Stammdienststelle am Landgericht Krefeld. Ihre Anwaltsstation absolviert sie seit August 2026 bei ITMR. Ihre Interessen liegen im IT-Recht, im Datenschutzrecht, in der IT-Compliance und im Medienrecht. Die im Beitrag als solche gekennzeichneten Einschätzungen stammen von Jean Paul P. Bohne, LL.M., MM, Rechtsanwalt und Partner, Fachanwalt für IT-Recht und Fachanwalt für Urheber- und Medienrecht.
Zitiervorschlag: Dine, Phishing-Opfer: Bank muss nicht autorisierte Zahlung unverzüglich erstatten, ITMR Rechtsanwälte, 29. Oktober 2026, itmr-legal.de/blog/eugh-phishing-bank-erstattung.
Änderungsprotokoll
- 29. Oktober 2026 · ErstveröffentlichungErstfassung zum Urteil des Gerichtshofs der Europäischen Union vom 15. Oktober 2026, C-70/25, Tukowiecka, mit Randnummern aus der deutschen Sprachfassung des Urteils.
Inhalt
- Auf einen Blick
- Was dieser Beitrag praktisch liefert
- Worum es geht und was gilt
- Phishing-Angriff als Auslöser des Ursprungsverfahrens
- Anlass der Vorlagefrage
- Pflicht der Banken zur unverzüglichen Erstattung
- Erstattung auch bei grober Fahrlässigkeit des Zahlungsdienstnutzers
- Haftung des Zahlers
- Erstattungspflicht auch bei Haftung des Zahlers
- Bedeutung des Urteils für den konkreten Fall
- Folgen für die deutsche Praxis
- Fazit
- Häufige Fragen
- Begriffe
- Quellen
- Änderungsprotokoll
- Wie ITMR solche Fälle führt
Rechtsstand: . Der Beitrag gibt die Rechtslage zum genannten Datum wieder. Ob ein Zahlungsvorgang autorisiert war und ob eine Pflichtverletzung als grob fahrlässig zu werten ist, hängt vom Einzelfall ab. Eine Entscheidung des Bundesgerichtshofs zum Verhältnis seiner bisherigen Rechtsprechung zum Urteil des Gerichtshofs der Europäischen Union ist bis zum Rechtsstand nicht bekannt.
Wie ITMR solche Fälle führt
Drei Ausgangslagen, die in der Beratung wiederkehren, und was in jeder von ihnen zuerst geschieht.
Wir prüfen Anzeige, Fristlauf und die Begründung der Bank und fordern die Erstattung nach § 675u BGB unter Berufung auf das Urteil des Gerichtshofs. Bleibt die Bank bei der Ablehnung, bereiten wir Schlichtung oder Klage vor.
Wir prüfen, ob die Bank Betrug oder grobe Fahrlässigkeit mit unterstützenden Beweismitteln belegen kann, ob eine starke Kundenauthentifizierung verlangt wurde und ob § 675v Abs. 4 BGB den Anspruch ausschließt.
Wir lesen zuerst Kontovertrag und Bedingungen, weil Banken mit Unternehmen von § 675v BGB und den Anzeigefristen abweichen dürfen, und sichern parallel die Beweise des Vorfalls für Bank, Versicherung und Strafanzeige.
Erst die Erstattung, dann der Streit
Nach dem Urteil des Gerichtshofs muss die Bank zuerst erstatten und ihren Vorwurf grober Fahrlässigkeit danach beweisen. Wer diese Reihenfolge kennt, führt das Gespräch mit der Bank aus einer anderen Position.
Zum Leistungsumfang siehe Banking-Betrug und IT-Recht.