Ein falscher Link – und 700 Euro sind verschwunden
Es beginnt mit einem alltäglichen Vorgang.
Eine Frau in Polen möchte über einen Online-Marktplatz etwas verkaufen. Ein vermeintlicher Interessent meldet sich und schickt ihr einen Link.
Die Frau klickt darauf.
Was sie nicht erkennt: Die Internetseite ist gefälscht. Sie sieht dem Online-Auftritt ihrer Bank zum Verwechseln ähnlich.
Die Kundin gibt ihre Zugangsdaten ein. Kurz darauf verschwindet Geld von ihrem Konto.
Der Schaden beträgt 700 Euro.
Am folgenden Tag meldet sie den Betrug ihrer Bank und verlangt die Erstattung.
Doch das Kreditinstitut weigert sich.
Die Begründung: Die Frau habe ihre Zugangsdaten selbst preisgegeben und dadurch grob fahrlässig gehandelt.
Der Fall landet vor Gericht – und schließlich beim Europäischen Gerichtshof in Luxemburg.
EuGH stellt klar: Erst erstatten, dann über Schuld streiten
Mit seinem Urteil vom 15. Oktober 2026 (Az. C-70/25) stellt der Europäische Gerichtshof nach dem vorliegenden BR24-Bericht eine wichtige Regel klar.
Bei einem nicht autorisierten Zahlungsvorgang muss die Bank den abgebuchten Betrag grundsätzlich unverzüglich zurückerstatten.
Spätestens bis zum Ende des folgenden Geschäftstags, nachdem sie von dem Vorgang erfahren hat oder darüber informiert wurde, muss die Erstattung erfolgen.
Dabei spielt es für diese erste Erstattungspflicht grundsätzlich keine Rolle, ob die Bank dem Kunden grobe Fahrlässigkeit vorwirft.
Eine bloße Behauptung, der Kunde sei selbst schuld, reicht nicht aus, um die sofortige Erstattung zu verweigern.
Genau darin liegt die Tragweite der Entscheidung.
Denn bisher konnten sich betroffene Bankkunden in langwierigen Auseinandersetzungen wiederfinden, während das gestohlene Geld weiterhin fehlte.
Warum das Urteil für Banken unangenehm werden könnte
Die Entscheidung verändert vor allem die Reihenfolge, in der Banken und Kunden ihre Ansprüche durchsetzen können.
Bislang bestand für Betrugsopfer in Deutschland nach der im BR24-Bericht dargestellten Rechtsprechung das Risiko, dass Banken einen möglichen Schadensersatzanspruch wegen grober Fahrlässigkeit unmittelbar gegen den Erstattungsanspruch aufrechneten.
Das bedeutete in der Praxis: Die Bank zahlte unter Umständen nicht, und der Kunde musste selbst aktiv werden.
Wer sein Geld zurückhaben wollte, musste möglicherweise einen Anwalt einschalten oder vor Gericht ziehen.
Gerade bei Schäden von einigen Hundert oder wenigen Tausend Euro kann das abschreckend wirken.
Denn ein Rechtsstreit kostet Zeit, Nerven und möglicherweise zusätzliches Geld.
Das EuGH-Urteil stärkt nun die Position der Betroffenen.
Nicht mehr der Kunde soll zunächst um sein verschwundenes Geld kämpfen müssen. Vielmehr muss die Bank grundsätzlich zuerst erstatten und anschließend mögliche Gegenansprüche verfolgen.
Für Kreditinstitute kann das zusätzlichen Aufwand bedeuten.
Für Verbraucher ist es eine wichtige Verbesserung ihrer rechtlichen Ausgangslage.
Grobe Fahrlässigkeit bleibt ein Risiko
Allerdings bedeutet das Urteil keineswegs, dass Bankkunden nach jedem Betrug dauerhaft von jeder Verantwortung befreit wären.
Auch das stellt der Europäische Gerichtshof klar.
Hat ein Kunde vorsätzlich oder grob fahrlässig gegen seine Pflichten verstoßen, kann die Bank unter bestimmten Voraussetzungen Schadensersatz verlangen.
Sie muss die dafür erforderlichen Tatsachen jedoch nachweisen.
Das ist ein entscheidender Unterschied.
Nicht jeder Fehler beim Online-Banking ist automatisch grob fahrlässig.
Wer auf eine professionell gefälschte Internetseite hereinfällt, hat zwar möglicherweise einen Fehler gemacht.
Ob dieser Fehler rechtlich als grobe Fahrlässigkeit einzustufen ist, hängt aber von den konkreten Umständen ab.
Entscheidend kann beispielsweise sein, welche Warnzeichen erkennbar waren, welche Sicherheitsverfahren eingesetzt wurden und wie der Betrug tatsächlich ablief.
Banken dürfen aus einem erfolgreichen Phishing-Angriff nicht pauschal ableiten, dass der betroffene Kunde grob fahrlässig gehandelt hat.
Eine wichtige Ausnahme: Verdacht auf Betrug durch den Kunden selbst
Die Pflicht zur unverzüglichen Erstattung gilt nicht völlig ausnahmslos.
Nach den im Ausgangsbericht dargestellten Regeln kann eine Bank die sofortige Rückzahlung verweigern, wenn begründete Anhaltspunkte dafür bestehen, dass der Kunde selbst betrügerisch handelt.
Diesen Verdacht muss sie der zuständigen nationalen Behörde schriftlich mitteilen.
Ein bloßer Vorwurf, der Kunde habe leichtfertig auf einen Link geklickt, genügt dafür nicht.
Damit unterscheidet das Urteil klar zwischen dem Verdacht eines Betrugs durch den Kunden und dem Vorwurf, der Kunde habe einen Betrug durch Dritte fahrlässig ermöglicht.
Diese Unterscheidung ist für die Rechte der Betroffenen von erheblicher Bedeutung.
Deutsche Banken müssen ihre bisherige Praxis überprüfen
Besonders interessant ist die Entscheidung für Deutschland.
Der Bundesverband der Deutschen Volksbanken und Raiffeisenbanken verweist laut BR24 auf eine Entscheidung des Bundesgerichtshofs vom 22. Juli 2025 (Az. XI ZR 107/24).
Danach war es bislang anerkannt, dass eine Bank einem Erstattungsanspruch wegen einer nicht autorisierten Zahlung einen eigenen Schadensersatzanspruch wegen grober Fahrlässigkeit entgegenhalten kann.
Ob und in welchem Umfang diese Rechtsprechung nach dem EuGH-Urteil angepasst werden muss, bedarf einer rechtlichen Prüfung.
Der Bankenverband betont zugleich, dass mögliche Schadensersatzansprüche gegen grob fahrlässig handelnde Kunden weiterhin bestehen können.
Damit ist ein zentraler Konflikt noch nicht vollständig beendet.
Es geht künftig nicht nur darum, ob die Bank am Ende einen Schaden ersetzt bekommt.
Es geht auch darum, ob sie die gesetzlich vorgesehene sofortige Erstattung durch eigene Gegenforderungen verzögern darf.
Verbraucherschützer sehen einen wichtigen Erfolg
Die Verbraucherzentrale Bayern bewertet das Urteil als Stärkung der Verbraucherrechte.
Ihre zentrale Botschaft lautet: Banken müssen zuerst erstatten und anschließend die Haftungsfrage klären.
Aus Sicht der Verbraucherschützer war die bisherige Praxis für viele Betrugsopfer problematisch.
Denn häufig standen Betroffene vor der Entscheidung, einen kostspieligen Rechtsstreit zu riskieren oder auf einen Teil ihres Geldes zu verzichten.
Manche akzeptierten Vergleiche, andere verzichteten möglicherweise ganz auf eine gerichtliche Durchsetzung ihrer Ansprüche.
Mit dem Urteil könnte sich diese Situation verbessern.
Die unmittelbare finanzielle Belastung durch eine unautorisierte Abbuchung soll grundsätzlich nicht beim Kunden verbleiben, während über dessen mögliche Verantwortung gestritten wird.
Was Bankkunden nach einem Phishing-Betrug sofort tun sollten
Wer feststellt, dass Geld ohne eigene Autorisierung vom Konto verschwunden ist, sollte schnell reagieren.
Diese Schritte sind besonders wichtig:
- Bank unverzüglich informieren: Die unautorisierte Zahlung melden und die Erstattung verlangen.
- Online-Banking sichern: Zugangsdaten ändern und gegebenenfalls den Zugang sowie betroffene Karten sperren lassen.
- Beweise aufbewahren: Verdächtige Nachrichten, Internetadressen, Screenshots und Kontoauszüge sichern.
- Strafanzeige erstatten: Den Betrug bei der Polizei melden.
- Ablehnung nicht ungeprüft akzeptieren: Verweigert die Bank die Erstattung mit dem pauschalen Hinweis auf grobe Fahrlässigkeit, kann eine rechtliche Prüfung sinnvoll sein.
Wichtig ist außerdem, zwischen einer tatsächlich nicht autorisierten Zahlung und einer Überweisung zu unterscheiden, die der Kunde selbst freigegeben hat.
Bei selbst autorisierten Zahlungen, etwa nach einer Täuschung durch einen vermeintlichen Verkäufer, können andere rechtliche Fragen entstehen.
Das EuGH-Urteil bedeutet deshalb nicht, dass jede betrugsbedingte Überweisung automatisch erstattet werden muss.
Kritische Frage: Warum mussten Betrugsopfer bislang so häufig um ihr Geld kämpfen?
Der Fall wirft auch eine grundsätzliche Frage nach dem Umgang der Kreditwirtschaft mit Betrugsopfern auf.
Digitale Betrugsmaschen werden zunehmend professioneller.
Gefälschte Bankseiten, manipulierte Nachrichten und täuschend echte Kontaktaufnahmen können selbst aufmerksame Verbraucher in die Irre führen.
Natürlich müssen Bankkunden ihre Zugangsdaten schützen und Sicherheitswarnungen ernst nehmen.
Doch auch Kreditinstitute tragen Verantwortung für sichere Zahlungssysteme und die gesetzeskonforme Behandlung von Betrugsfällen.
Problematisch wird es, wenn sich die Auseinandersetzung nach einem Betrug vor allem darum dreht, welche Fehler das Opfer gemacht haben könnte.
Ein solcher Ansatz kann dazu führen, dass Betroffene zusätzlich zur finanziellen Belastung mit langwierigen rechtlichen Streitigkeiten konfrontiert werden.
Das EuGH-Urteil setzt hier eine klare Grenze: Die Prüfung möglicher Kundenfehler darf die gesetzlich vorgeschriebene Erstattung grundsätzlich nicht blockieren.
Das ist kein Freibrief für sorglosen Umgang mit Bankdaten.
Es ist vielmehr eine Klarstellung, dass Banken ihre gesetzlichen Pflichten nicht allein durch den Vorwurf grober Fahrlässigkeit umgehen dürfen.
