Wer durch Phishing eine nicht autorisierte Abbuchung erleidet, kann grundsätzlich eine unverzügliche Erstattung von seiner Bank verlangen. Der bloße Vorwurf grober Fahrlässigkeit reicht nicht aus, um die Rückzahlung zu verweigern. Das hat der Europäische Gerichtshof mit Urteil vom 15. Oktober 2026, Az. C-70/25, klargestellt.

Für Betroffene ist die Entscheidung eine wichtige Unterstützung. Ob sie den Schaden letztlich selbst tragen müssen, kann allerdings anschließend gesondert zu klären sein.

Der Fall: Betrüger erbeuten Zugangsdaten zum Online-Banking

Eine Kundin einer polnischen Bank wollte einen Artikel über eine Onlineplattform verkaufen. Ein angeblicher Kaufinteressent schickte ihr einen Link zur vermeintlichen Bestätigung des Verkaufs. Dieser führte auf eine gefälschte Bankseite.

Die Kundin gab dort ihre Zugangsdaten ein. Betrüger nutzten die Daten, um etwa 700 Euro von ihrem Konto zu überweisen. Obwohl sie den Vorgang am nächsten Tag meldete, verweigerte die Bank die Erstattung und warf ihr grobe Fahrlässigkeit vor.

Der EuGH entschied: Dieser Vorwurf entbindet die Bank nicht von ihrer Pflicht zur unverzüglichen Erstattung. Will sie anschließend Ersatz für den Verlust verlangen, muss sie die Voraussetzungen dafür nachweisen – insbesondere eine dafür ursächliche vorsätzliche oder grob fahrlässige Pflichtverletzung. Quelle: EuGH, Urteil vom 15. Oktober 2026, C-70/25

Wann muss die Bank nach Phishing erstatten?

Bei einer nicht autorisierten Zahlung muss die Bank den Betrag grundsätzlich unverzüglich, spätestens bis zum Ende des folgenden Geschäftstags, erstatten. Maßgeblich ist, wann ihr die fehlende Autorisierung angezeigt wurde oder sie auf andere Weise davon erfahren hat. Auch das Konto muss wieder auf den Stand gebracht werden, auf dem es ohne die unberechtigte Belastung gewesen wäre.

Diese Pflicht ist im deutschen Recht in § 675u BGB geregelt. Eine Ausnahme besteht bei berechtigten Gründen für den Verdacht, dass der Kunde selbst betrügerisch handelt, wenn die Bank diese Gründe der zuständigen Behörde schriftlich mitteilt. Der Betrug durch außenstehende Phishing-Täter ist damit nicht gemeint. Rechtsgrundlage: § 675u BGB

Entscheidend ist: Haben Sie der Zahlung zugestimmt?

Nicht jeder Verlust durch Onlinebetrug ist rechtlich gleich zu behandeln. Der Erstattungsanspruch betrifft nicht autorisierte Zahlungen, also Zahlungsvorgänge, denen der Kontoinhaber nicht zugestimmt hat.

Hat ein Betroffener selbst eine Überweisung an einen Betrüger veranlasst, muss gesondert geprüft werden, ob eine wirksame Zustimmung vorliegt und welche Ansprüche bestehen. Die Bezeichnung „Phishing“ allein beantwortet diese Frage nicht. Rechtsgrundlage: § 675j BGB

Was sollten Phishing-Opfer jetzt tun?

Wenn Sie eine verdächtige Abbuchung entdecken, sollten Sie schnell handeln:

• Bank sofort informieren: Melden Sie den Zahlungsvorgang und erklären Sie, wenn Sie ihm nicht zugestimmt haben.
• Zugänge sichern: Lassen Sie betroffene Onlinebanking-Zugänge und gegebenenfalls Karten sperren.
• Beweise aufbewahren: Sichern Sie Nachrichten, Kontoauszüge, Screenshots und den Schriftverkehr mit der Bank.
• Erstattung verlangen: Fordern Sie die Rückzahlung der nicht autorisierten Abbuchung möglichst nachweisbar.
• Ablehnung prüfen lassen: Verweist die Bank auf grobe Fahrlässigkeit, sollten Sie ihre Begründung rechtlich prüfen lassen.

Warten Sie mit der Meldung nicht ab: Das Gesetz verlangt eine unverzügliche Unterrichtung nach Entdeckung. Zusätzlich gilt grundsätzlich eine Ausschlussfrist von 13 Monaten, deren Beginn von der ordnungsgemäßen Unterrichtung durch die Bank abhängt. Diese Frist ist keine Wartefrist. Rechtsgrundlage: § 676b BGB

Bank verweigert die Rückzahlung nach Phishing? Wir prüfen Ihre Ansprüche

Sie haben durch Phishing Geld verloren und Ihre Bank lehnt eine Erstattung ab? Wir prüfen, ob die Zahlung autorisiert war, ob Ihnen ein Erstattungsanspruch zusteht und ob die Einwände der Bank berechtigt sind.

Kontaktieren Sie uns zur Prüfung Ihres Falls. Wir unterstützen Sie dabei, Ihre Ansprüche gegenüber der Bank geltend zu machen.