Wer nach einem Phishing-Angriff, einer gefälschten Banking-Seite, einer betrügerischen SMS oder einem Telefonanruf feststellt, dass Geld vom Konto verschwunden ist, erhielt von seiner Bank bislang häufig dieselbe Antwort: Der Kunde habe seine Zugangsdaten, eine TAN oder eine Freigabe zu leichtfertig verwendet; deshalb liege grobe Fahrlässigkeit vor und eine Erstattung werde abgelehnt.
Diese Praxis ist nach einem aktuellen Urteil des Europäischen Gerichtshofs nicht mehr haltbar. Der EuGH hat mit Urteil vom 15. Oktober 2026 in der Rechtssache C-70/25 – Tukowiecka klargestellt: Bei einem nicht autorisierten Zahlungsvorgang muss die Bank grundsätzlich unverzüglich erstatten, spätestens bis zum Ende des auf die Kenntnis oder Anzeige folgenden Geschäftstags. Das gilt auch dann, wenn die Bank dem Kunden grobe Fahrlässigkeit vorwirft.
Erst erstatten – über eine Haftung erst danach streiten
Der entscheidende Punkt: Die Bank darf die gesetzliche Erstattung nicht einfach mit dem Hinweis verweigern, der Kunde habe einen Link angeklickt, Daten auf einer täuschend echten Internetseite eingegeben oder eine TAN freigegeben. Die Frage der sofortigen Erstattung und die Frage, wer den Schaden am Ende trägt, sind rechtlich getrennt zu behandeln.
Die Bank muss daher grundsätzlich zunächst den belasteten Betrag gutschreiben und das Konto so stellen, wie es ohne die nicht autorisierte Zahlung stünde. Nur anschließend kann sie – wenn sie sich darauf berufen will – einen eigenen Ersatzanspruch verfolgen. Dafür muss sie nachweisen, dass der Kunde vorsätzlich oder grob fahrlässig gegen seine Pflichten zum Schutz personalisierter Sicherheitsmerkmale verstoßen und dadurch den Schaden verursacht hat.
Mit anderen Worten: Nicht mehr der geschädigte Kunde soll erst jahrelang um sein Geld kämpfen müssen. Die Bank muss zunächst zahlen und einen etwaigen Gegenanspruch selbst substantiiert darlegen und beweisen.
Bedeutung für deutsche Bankkunden
Das Urteil betrifft unmittelbar die Auslegung der Zweiten Zahlungsdiensterichtlinie (PSD2). Ihre Vorgaben sind in Deutschland insbesondere in den §§ 675u und 675v BGB umgesetzt. Deutsche Banken und Gerichte müssen diese unionsrechtlichen Maßstäbe beachten.
Bislang wurden Erstattungen in der Praxis nicht selten bereits außergerichtlich unter Verweis auf eine angeblich grob fahrlässige Mitwirkung verweigert. Damit hatte der Kunde faktisch die Wahl: Verlust hinnehmen oder auf eigene Kosten klagen. Diese Reihenfolge hat der EuGH nun deutlich korrigiert. Der bloße Vorwurf grober Fahrlässigkeit rechtfertigt keine Verweigerung der unverzüglichen Erstattung.
Eine eng begrenzte Ausnahme besteht, wenn die Bank berechtigte Gründe für den Verdacht hat, dass der Kunde selbst einen Betrug begangen hat, und sie diese Gründe der zuständigen nationalen Behörde schriftlich mitteilt. Ein pauschaler Verdacht oder der Vorwurf, der Kunde sei auf einen professionell gestalteten Betrug hereingefallen, genügt dafür nicht.
Was Betroffene jetzt tun sollten
Wer einen unberechtigten Abfluss bemerkt, sollte keine Zeit verlieren:
- Bank unverzüglich informieren und die Erstattung ausdrücklich verlangen.
- Online-Banking-Zugänge, Karten und gegebenenfalls Geräte unverzüglich sperren lassen.
- Strafanzeige erstatten.
- Sämtliche Beweise sichern: Phishing-E-Mails und SMS, Chatverläufe, Screenshots, Anruflisten, Kontoauszüge, Schreiben der Bank sowie Angaben zu Zeitpunkten und Freigaben.
- Eine Ablehnung der Bank nicht ungeprüft akzeptieren. Gerade standardisierte Schreiben mit dem Schlagwort oder „grobe Fahrlässigkeit“ reichen nach der neuen Rechtsprechung nicht aus, um die sofortige Erstattung abzulehnen.
Ob eine Zahlung tatsächlich autorisiert war, ob die Bank die gesetzlichen Voraussetzungen für eine Erstattung erfüllt hat und ob sie überhaupt einen Gegenanspruch geltend machen kann, hängt weiterhin von den Details des Einzelfalls ab. Genau deshalb ist eine frühzeitige rechtliche Prüfung sinnvoll.
BERND Rechtsanwälte: Erfahrung aus vielen hundert Bankrechtsverfahren
Die Kanzlei BERND Rechtsanwälte vertritt Geschädigte bundesweit bei Phishing, Online-Banking-Betrug, Kreditkartenbetrug, Call-ID-Spoofing, betrügerischen Überweisungen und sonstigen Fällen nicht autorisierter Zahlungsvorgänge.
Wir verfügen über Erfahrung aus vielen hundert vergleichbaren Verfahren im Bankrecht. Die Vertretung erfolgt durch einen Fachanwalt für Bank- und Kapitalmarktrecht. Wir prüfen die Kommunikation mit der Bank, die technische und tatsächliche Autorisierung der Zahlung, die Einhaltung bankseitiger Sicherheits- und Prüfpflichten sowie die Voraussetzungen eines Erstattungsanspruchs. Wenn erforderlich, setzen wir Ansprüche außergerichtlich und gerichtlich durch.
Konto durch Phishing oder Bankbetrug belastet? Eine schnelle Prüfung kann entscheidend sein.
