EuGH-Urteil zu Phishing: Banken müssen unautorisierte Zahlungen binnen eines Tages erstatten

Zahlungsdienstleister müssen ihren Kunden den Verlust aus nicht autorisierten Zahlungsvorgängen unverzüglich zurückzahlen. Dies hat der Europäische Gerichtshof (EuGH) in einem Urteil in der Rechtssache C-70/25 entschieden.

Demnach sind Banken verpflichtet, den entsprechenden Betrag spätestens bis zum Ende des folgenden Geschäftstags nach Kenntnis oder Anzeige zu erstatten. Voraussetzung dafür ist, dass der betroffene Kunde das Finanzinstitut unverzüglich über den Vorfall unterrichtet.

Grobe Fahrlässigkeit blockiert Soforterstattung nicht

Nach Auffassung der Richter berechtigt selbst eine grobe Fahrlässigkeit des Kunden – wie etwa ein unzureichender Schutz personalisierter Zugangsdaten oder Sicherheitsmerkmale – die Bank nicht dazu, die unmittelbare Rückzahlung zu verweigern.

Die einzige rechtliche Ausnahme von dieser Erstattungspflicht besteht, wenn das Kreditinstitut berechtigte Gründe für den Verdacht hegt, dass der Kunde selbst Betrug begangen hat. Ein solcher Betrugsverdacht muss der zuständigen nationalen Behörde schriftlich mitgeteilt werden.

Erst in einem zweiten Schritt steht es der Bank offen, das Geld vom Kontoinhaber zurückzufordern. Hierfür muss das Institut jedoch nachweisen, dass der Kunde seine Pflichten vorsätzlich oder durch grobe Fahrlässigkeit verletzt hat. Diese Beweislast verbleibt vollumfänglich bei der Bank.

Als Rechtsgrundlage des Urteils dient Art. 73 der PSD2 (Richtlinie (EU) 2015/2366). Grobe Fahrlässigkeit liegt laut Art. 69 dieser Richtlinie vor, wenn der Kunde keine zumutbaren Schutzmaßnahmen für personalisierte Sicherheitsmerkmale trifft.

Ausgangsfall an polnischem Gericht verhandelt

Dem Urteil, das Gerichten in der Europäischen Union als Präzedenzfall dient, lag eine Vorlage des polnischen Gerichts S?d Rejonowy w Koszalinie zugrunde. Eine Kundin der PKO Bank Polski war auf einer Verkaufsseite über einen Link auf eine gefälschte Website gelockt worden, die der ihrer Bank ähnelte. Infolgedessen verschwanden rund 700 Euro (ca. 3.000 Zloty) von ihrem Konto. Die Bank hatte die Rückzahlung des Betrags abgelehnt.

Anzeige

Wer sich mit den rechtlichen Folgen von Datenmissbrauch befasst, sollte auch die technischen Schutzwälle seines Mobilgeräts verstärken. Dieser kostenlose Ratgeber zeigt Ihnen in fünf einfachen Schritten, wie Sie Ihr Smartphone effektiv gegen Hacker und Viren absichern. 5 Schutzmaßnahmen jetzt entdecken

Wie gravierend die finanziellen Folgen von Phishing-Betrug sein können, zeigt auch der Fall von Rudolf Wolter: Der Arzt aus Thüringen verlor über 100.000 Euro, nachdem er einen betrügerischen QR-Code eingescannt hatte. Juristen raten betroffenen Opfern grundsätzlich dazu, umgehend die Bank zu informieren, das Konto, Karten sowie den Online-Zugang sperren zu lassen, die Erstattung einzufordern und relevante Beweise zu sichern.

Reaktionen von Verbraucherschützern und Verbänden

Die belgische Verbraucherschutzorganisation Testachats begrüßte das EuGH-Urteil durch ihre Sprecherin Julie Frère. Der belgische Finanzsektor-Verband Febelfin nahm die Gerichtsentscheidung zur Kenntnis.

Rob Beenders, belgischer Konsumentenminister (Vooruit), äußerte, das Urteil beweise, dass die Banken bereits seit zehn Jahren die geltende Rechtslage nicht befolgten. Nach belgischen Angaben belief sich der Gesamtschaden durch Phishing im Jahr 2024 dort auf 49 Millionen Euro; eine rückwirkende Rückforderung sei juristisch möglich.

Anzeige

Der Schutz sensibler Finanz-Apps auf dem Smartphone wird angesichts steigender Schadenssummen durch Internet-Kriminalität immer wichtiger. Erfahren Sie in diesem Gratis-PDF, welche Sicherheitsvorkehrungen IT-Experten für die Nutzung von Banking und PayPal empfehlen. Kostenlosen Sicherheits-Ratgeber herunterladen

In Polen verzeichnete der Finanzombudsmann Dr. Micha? Ziemiak von 2022 bis 2025 über 10.000 Interventionsanträge im Zusammenhang mit nicht autorisierten Transaktionen.

Seiner Ansicht nach sollte die sogenannte D+1-Regel zur gängigen Praxis werden. Nach Angaben der polnischen Nationalbank (NBP) lag die durchschnittliche Höhe einer betrügerischen Transaktion im 1. Quartal 2026 bei 2.154,4 Zloty.

Die polnische Wettbewerbs- und Verbraucherschutzbehörde UOKiK teilte mit, dass sich vier Institute – Alior Bank, mBank, BNP Paribas und Bank Millennium – dazu verpflichtet haben, ihre Praktiken zu ändern und Fälle erneut zu prüfen. Zudem laufen zehn weitere Verfahren.

Der polnische Bankenverband ZBP erklärte, der Richterspruch komme nicht überraschend. Der Entwurf der kommenden PSR-Verordnung sehe vor, dass Institute bei einem begründeten Verdacht auf grobe Fahrlässigkeit von der sofortigen Erstattung absehen dürfen.

Mehr zum Thema bei tagesschau.de: „EuGH-Urteil: Banken müssen bei Kontobetrug Geld erstatten“