EuGH-Urteil zu Phishing: Banken müssen nicht autorisierte Zahlungen erstatten
Veröffentlicht am: 04.11.2026 um 23:13 Uhr | Redaktion boerse-global.de
Kreditinstitute in der Europäischen Union müssen nicht autorisierte Zahlungsvorgänge unverzüglich und spätestens bis zum Ende des folgenden Geschäftstags an ihre Kunden zurückzahlen. Dies gilt auch dann, wenn die Bank dem Betroffenen grobe Fahrlässigkeit vorwirft. Das entschied der Europäische Gerichtshof (EuGH) am 15. Oktober 2026 in der Rechtssache C-70/25 (Tukowiecka) auf Vorlage eines polnischen Gerichts.
Rechtsgrundlage der Entscheidung ist Artikel 73 Absatz 1 der Zahlungsdiensterichtlinie PSD 2 (Richtlinie (EU) 2015/2366). Eine Ausnahme von der unmittelbaren Erstattungspflicht besteht demnach ausschließlich dann, wenn ein begründeter Betrugsverdacht gegen den Kunden selbst vorliegt und die Bank diesen der zuständigen nationalen Behörde schriftlich mitteilt.
Erst nachdem das Geld erstattet wurde, kann das Institut nach Artikel 74 Absatz 1 PSD 2 einen Ausgleich fordern, sofern es dem Kunden Vorsatz oder grobe Fahrlässigkeit nachweist. Die Beweislast liegt vollständig bei der Bank: Sie muss belegen, dass der Kontoinhaber seine Sorgfaltspflichten grob fahrlässig verletzt hat und der finanzielle Verlust unmittelbar daraus entstanden ist.
Phishing-Fall als Ausgangspunkt des Verfahrens
Dem Luxemburger Urteil lag der Streit einer Kundin mit einem polnischen Geldinstitut zugrunde. Die Betroffene verlor rund 700 Euro (3.000 Zloty), nachdem sich ein Betrüger im Internet als Käufer ausgegeben hatte.
Wer sich mit Online-Zahlungen und digitalen Transaktionen befasst, sollte die Sicherheitsmechanismen der genutzten Dienste genau kennen. Dieser kostenlose Ratgeber zeigt Ihnen Schritt für Schritt, wie Sie Ihr Konto einrichten und den Käuferschutz optimal für sich nutzen. PayPal Startpaket: Jetzt kostenlos sicher einrichten
Das Opfer gab die Zugangsdaten auf einer manipulierten Bank-Website ein, woraufhin der Angreifer einen per SMS übermittelten Bestätigungscode abfing und nutzte. Die Kundin meldete den Vorfall am folgenden Tag bei ihrer Bank sowie bei der Polizei. Das Institut lehnte eine Rückzahlung jedoch mit dem Verweis auf angebliche grobe Fahrlässigkeit ab.
Grundsätzlich müssen Betroffene nicht autorisierte Zahlungen innerhalb von 13 Monaten melden, es sei denn, die Bank hat die gesetzlich vorgeschriebenen Informationen nicht bereitgestellt. Nicht von dem Richterspruch erfasst sind sogenannte autorisierte Betrugsfälle, bei denen Kunden Überweisungen beispielsweise unter dem psychologischen Druck eines falschen Bankberaters selbst freigeben.
Auswirkungen in den europäischen Mitgliedstaaten
Das Urteil entfaltet in mehreren EU-Staaten spürbare Signalwirkung. In Österreich war das Verfahren 5 Ob 54/24p vor dem Obersten Gerichtshof (OGH) vom 3. Juni 2025 im Hinblick auf das anhängige EuGH-Verfahren unterbrochen worden; dort wird nun eine Fortsetzung und baldige Entscheidung erwartet.
In Portugal verwies die Zentralbank Banco de Portugal auf die bestehende Praxis einer vorläufigen Erstattung bis zum Ende des Folgetags, wobei Kunden dort in bestimmten Fällen bis zu einem Betrag von 50 Euro haften können. In Estland muss die Mitteilung bei Betrugsverdacht gegen Kontoinhaber schriftlich an die Polizei erfolgen.
Um sich vor Phishing und unbefugten Zugriffen zu schützen, ist ein tieferes Verständnis der gängigen Betrugsmaschen unerlässlich. Erfahren Sie in diesem kostenlosen Spezialreport, mit welchen Profi-Tipps Sie Ihre Online-Zahlungen und die zugehörige App wie ein Experte absichern. 5 Profi-Tipps für sicheres Bezahlen gratis anfordern
In Dänemark regelt Paragraph 100 des Zahlungsgesetzes eine Grundhaftung von 375 Kronen, die bei grober Fahrlässigkeit auf bis zu 8.000 Kronen steigt, während bei vorsätzlicher Weitergabe oder Beteiligung der gesamte Schaden getragen werden muss; dort bestätigte das Finanzielle Beschwerdegremium zuletzt mehrfach Selbstbehalte von 8.000 Kronen nach Phishing-Freigaben über MitID.
In Polen ordnete UOKiK-Präsident Tomasz Chróstny parallel an, dass die Institute ING Bank ?l?ski, Bank Ochrony ?rodowiska, Nest Bank und Plus Bank ihre Verfahren umstellen und abgelehnte Reklamationen neu aufrollen müssen.
Die erfolgreiche Authentifizierung über PIN oder App darf künftig nicht mehr als alleiniger Beweis für die Zustimmung des Nutzers gewertet werden. Die betroffenen Banken müssen negative Bescheide für Bestandskunden seit dem 16. November 2022 neu prüfen und unberechtigt einbehaltene Beträge bis zum 31. Dezember 2027 erstatten.
Frühere Kunden mit Beanstandungen nach dem 15. November 2022 sind entsprechend zu informieren. Zudem müssen die Institute bis zum 30. April 2028 über die Umsetzung an die Behörde berichten, nachdem im September 2026 bereits ähnliche Verfügungen gegen Alior Bank, mBank, BNP Paribas und Bank Millennium ergangen waren.
