Phishing beim Online-Banking: Banken müssen Schäden sofort erstatten

Betrüger haben per Phishing Geld von Ihrem Konto abgebucht? Und Ihre Bank will den Schaden nicht erstatten, weil Sie angeblich grob fahrlässig gehandelt haben? Dann sollten Sie das nicht hinnehmen. Mit Urteil vom 15. Oktober 2026 (Az. C-70/25) hat der Europäische Gerichtshof klargestellt: Banken müssen nicht autorisierte Zahlungen grundsätzlich unverzüglich erstatten – auch dann, wenn sie ihren Kunden grobe Fahrlässigkeit vorwerfen.

Lesen Sie hier, was das Urteil für Sie bedeutet, wie Betrüger beim Phishing vorgehen und wie Sie Ihr Geld von Ihrer Bank zurückfordern können.

Das EuGH-Urteil vom 15. Oktober 2026: Banken müssen zuerst erstatten

Dem Urteil des Europäischen Gerichtshofs (Az. C-70/25) lag der Fall einer polnischen Bankkundin zugrunde. Beim Verkauf eines Artikels über eine Online-Plattform wurde sie auf eine täuschend echt gestaltete Bank-Webseite gelockt und gab dort ihre Zugangsdaten ein. Die Betrüger nutzten diese Daten, um rund 700 Euro von ihrem Konto zu überweisen. Ihre Bank verweigerte die Rückzahlung – mit der Begründung, die Kundin habe durch die Preisgabe ihrer Zugangsdaten grob fahrlässig gehandelt.

Der EuGH stellte klar: Nach Art. 73 der europäischen Zahlungsdiensterichtlinie (PSD2) – in Deutschland umgesetzt in § 675u BGB – sind Banken verpflichtet, nicht autorisierte Zahlungen grundsätzlich unverzüglich, spätestens bis zum Ende des folgenden Geschäftstags, zu erstatten.

Eine Ausnahme gilt nur, wenn die Bank berechtigte Gründe für den Verdacht hat, dass der Kontoinhaber selbst betrügerisch gehandelt hat, und sie diese Gründe der zuständigen Behörde schriftlich mitteilt. Der bloße Vorwurf grober Fahrlässigkeit reicht dagegen nicht aus.

Die Auslegung des EuGH ist für die Gerichte in allen EU-Mitgliedstaaten maßgeblich – und damit auch für deutsche Banken und ihre Kundinnen und Kunden.

„Das Urteil verändert die Ausgangslage für Geschädigte grundlegend. Nicht mehr der Kunde muss zuerst klagen, um sein Geld zurückzubekommen. Vielmehr muss die Bank zunächst erstatten und anschließend gegebenenfalls selbst gegen den Kunden vorgehen. Das ist eine wichtige Stärkung des Verbraucherschutzes.“

Matthias Ruigrok van de Werve

Angestellter Rechtsanwalt

Bank wirft Ihnen grobe Fahrlässigkeit vor? Das sollten Sie wissen

In unserer anwaltlichen Praxis erleben wir regelmäßig, dass Banken die Erstattung nach einem Phishing-Angriff mit dem Vorwurf grober Fahrlässigkeit ablehnen. Typische Begründungen lauten: Sie hätten auf einen betrügerischen Link geklickt, Ihre Zugangsdaten auf einer gefälschten Seite eingegeben oder eine TAN bzw. einen Sicherheitscode freigegeben.

Nach dem EuGH-Urteil rechtfertigt diese Begründung allein keine Verweigerung der Erstattung. Rechtlich ist zwischen zwei Stufen zu unterscheiden:

• Stufe 1 – Erstattung: Wurde eine Zahlung nicht von Ihnen autorisiert, muss die Bank den Betrag grundsätzlich unverzüglich auf Ihr Konto zurückbuchen.
• Stufe 2 – mögliche Gegenforderung der Bank: Erst danach kann die Bank Schadensersatz von Ihnen verlangen. Dafür muss sie nachweisen, dass Sie Ihre Pflichten vorsätzlich oder grob fahrlässig verletzt und dadurch den Schaden verursacht haben.

Die Hürden für grobe Fahrlässigkeit sind hoch: Gemeint ist ein besonders schwerer, schlechthin unentschuldbarer Sorgfaltsverstoß. Angesichts der immer professionelleren Methoden der Täter ist das längst nicht in jedem Fall gegeben. Und selbst wenn: Haben Sicherheitsversäumnisse der Bank zum Schaden beigetragen, kann sich der Anspruch der Bank gegen Sie deutlich verringern.

Lassen Sie sich daher von einem ablehnenden Schreiben Ihrer Bank nicht entmutigen.

So gehen Phishing-Betrüger vor

Phishing-Angriffe sind heute oft kaum noch von echter Bankkommunikation zu unterscheiden. Die Täter setzen auf Vertrauen, Zeitdruck und täuschend echte Kopien bekannter Banken. Die häufigsten Maschen:

Kontoübernahme: Wenn eine einzige TAN das ganze Konto öffnet

Bei einer besonders gefährlichen Betrugsmasche gelingt es den Tätern, mit nur einer einzigen TAN-Freigabe ein neues TAN- oder Authentifizierungsverfahren auf ihrem eigenen Smartphone einzurichten. Das Opfer glaubt, eine harmlose Sicherheitsabfrage zu bestätigen – tatsächlich schaltet es damit ein fremdes Gerät für sein Onlinebanking frei.

Die Folge: Die Täter können eigenständig auf das gesamte Onlinebanking zugreifen, Zahlungsempfänger anlegen, Limits ändern und Überweisungen ausführen – ohne dass der Kontoinhaber davon etwas mitbekommt. Häufig fällt der Zugriff erst auf, wenn bereits erhebliche Beträge verschwunden sind. Gerade bei dieser Masche entstehen besonders hohe Schäden.

Banken werfen den Betroffenen in solchen Fällen regelmäßig grobe Fahrlässigkeit vor, weil sie die TAN freigegeben haben. Doch entscheidend ist auch: War für Sie überhaupt erkennbar, dass mit der Freigabe ein neues Endgerät registriert wird? Fehlte ein klarer Warnhinweis bei der Zwei-Faktor-Authentifizierung, kann das den Anspruch der Bank gegen Sie erheblich mindern.

Bei der rechtlichen Prüfung achten wir insbesondere darauf,

• ob die Bank bei der Freischaltung eines neuen Geräts die nötigen Sicherheitsmaßnahmen eingehalten hat,
• ob in der Freigabe-Anfrage klar erkennbar war, dass ein weiteres Endgerät eingerichtet wird,
• ob hinreichende Authentifizierungsverfahren eingesetzt wurden,
• ob konkrete Warnhinweise erforderlich gewesen wären.

Auch Ihre Bank trägt Verantwortung

Nicht immer liegt die Verantwortung für einen erfolgreichen Onlinebanking-Betrug allein beim Bankkunden. Banken sind verpflichtet, angemessene Sicherheitsstandards einzuhalten und ihre Kunden vor unbefugten Kontozugriffen zu schützen.

Hier gewinnt der Grundsatz „Security by Design“ an Bedeutung: Sicherheitsrisiken müssen bereits bei der Entwicklung und Ausgestaltung von Onlinebanking-Systemen durch geeignete technische Schutzmechanismen berücksichtigt werden. Besonders wichtig ist die Frage, wie die Einrichtung eines neuen Authentifizierungsverfahrens auf einem bislang unbekannten Gerät abgesichert ist.

In unsere rechtliche Bewertung beziehen wir die einschlägige Rechtsprechung, die gesetzlichen Sicherheitsanforderungen sowie die Sicherheitsstandards vergleichbarer Kreditinstitute ein. Unsere Empfehlung: Lassen Sie nicht nur den Vorwurf grober Fahrlässigkeit überprüfen, sondern auch, ob Sicherheitsversäumnisse Ihrer Bank zum Schaden beigetragen haben.

„Wer Opfer eines Phishing-Angriffs geworden ist und von seiner Bank wegen angeblicher grober Fahrlässigkeit abgewiesen wurde, sollte diese Entscheidung nicht einfach hinnehmen. Das neue EuGH-Urteil bietet eine wichtige Grundlage, um Erstattungsansprüche erneut geltend zu machen.“

Matthias Ruigrok van de Werve

Angestellter Rechtsanwalt

Ältere Fälle jetzt prüfen lassen – Verjährung droht

Vom EuGH-Urteil können auch Geschädigte profitieren, deren Bank die Erstattung schon vor längerer Zeit unter Berufung auf grobe Fahrlässigkeit abgelehnt hat. Ein früheres Ablehnungsschreiben bedeutet nicht, dass Ihre Ansprüche endgültig verloren sind.

Allerdings ist Eile geboten: Für Ansprüche aus dem Jahr 2023 droht grundsätzlich zum 31.12.2026 die Verjährung – sofern die Verjährung nicht gehemmt wurde oder die Frist erst später begonnen hat. Betroffene sollten daher zeitnah prüfen lassen, ob ihre Ansprüche noch durchgesetzt werden können.

So unterstützt Sie CLLB Rechtsanwälte

CLLB Rechtsanwälte verfügen über langjährige Erfahrung bei der Durchsetzung von Ansprüchen geschädigter Bankkunden. Wir prüfen Ihren Fall auf Grundlage des aktuellen EuGH-Urteils und setzen Ihre Ansprüche gegenüber Ihrer Bank konsequent durch.

• 1
  Kostenlose Ersteinschätzung
  

  Sie schildern uns Ihren Fall in wenigen Schritten. Wir prüfen, ob und in welcher Höhe Ansprüche gegen Ihre Bank bestehen, und zeigen Ihnen Ihre Möglichkeiten auf.

• 2
  Mandatsverhältnis
  

  Erst wenn Sie sich aktiv für eine Zusammenarbeit entscheiden, kommt es zu einem Mandat. Gerne prüfen wir vorab die Kostenübernahme durch Ihre Rechtsschutzversicherung.

• 3
  Durchsetzung Ihrer Rechte
  

  Wir fordern Ihre Bank unter Berufung auf das EuGH-Urteil zur Erstattung auf und setzen Ihre Ansprüche notfalls gerichtlich durch. Über den Stand Ihres Falls halten wir Sie regelmäßig auf dem Laufenden.

Häufige Fragen