Der EuGH hat mit Urteil vom 15.10.2026 entschieden, dass eine Bank die Erstattung einer nicht autorisierten Zahlung nicht mit der Begründung verweigern darf, ihr Kunde habe den Zahlungsvorgang grob fahrlässig ermöglicht (Az. C-70/25 – Tukowiecka). Die Bank muss den Betrag zunächst zurückbuchen. Erst danach darf sie ihren Kunden ggf. auf Ersatz in Anspruch nehmen und muss dann dessen grobe Fahrlässigkeit beweisen. Das Phishing-Urteil des EuGH stellt damit die Praxis deutscher Banken und die Rechtsprechung des BGH in Frage, nach der bislang das Phishing-Opfer klagen musste.

Worum geht es im Phishing-Urteil des EuGH?

Die Klägerin des Ausgangsverfahrens, eine Kundin der polnischen PKO BP, bot auf einem Online-Auktionsportal einen Artikel an. Ein angeblicher Kaufinteressent schickte ihr einen Link, der scheinbar vom Portal stammte und den Verkauf bestätigen sollte. Tatsächlich führte er auf eine Seite im Erscheinungsbild ihrer Bank. Dort gab sie ihre Zugangsdaten für das Online-Banking ein. Der Täter überwies daraufhin 3.000 Zloty, rund 705,00 EUR, auf ein eigenes Konto und bestätigte den Vorgang mit einem SMS-Code, den er ebenfalls von der Kundin erhalten hatte.

Am nächsten Tag bemerkte die Kundin den Betrug und informierte sofort Bank und Polizei. Der Täter wurde nie ermittelt. Die Bank lehnte die Erstattung ab, weil die Kundin ihre Pflicht zum Schutz der Zugangsdaten grob fahrlässig verletzt habe. Sie meinte, sie könne alle Voraussetzungen ihrer Haftung selbst beurteilen und sei bei grober Fahrlässigkeit des Kunden von der Erstattungspflicht befreit. Die Kundin klagte vor dem Sąd Rejonowy w Koszalinie (Rayongericht Koszalin). Das Gericht legte dem EuGH mit Beschluss vom 23.01.2025 die Frage vor, ob die Zahlungsdiensterichtlinie 2015/2366 (PSD2) eine solche Verweigerung zulässt.

Bemerkenswert sind die Beobachtungen des vorlegenden Gerichts. An polnischen Gerichten sei keine einzige Klage einer Bank gegen einen Verbraucher wegen grober Fahrlässigkeit anhängig. Dafür häuften sich die Klagen von Verbrauchern gegen ihre Banken. Die Ausnahme sei in der Praxis zur Regel geworden. Die Banken verweigerten die Erstattung schlicht und überließen es ihren Kunden, vor Gericht zu ziehen. Das Gericht hielt das mit dem Ziel der Richtlinie für unvereinbar. Der Zahlungsdienstleister sei als spezialisierter Gewerbetreibender dafür verantwortlich, die Sicherheit der Transaktionen zu gewährleisten, und solle deshalb auch die Last tragen, seine Haftung gerichtlich anzugreifen.

Was hat der EuGH entschieden?

Die Erste Kammer folgte den Schlussanträgen von Generalanwalt Rantos vom 05.03.2026 und beantwortete die Vorlagefrage eindeutig. Der Tenor des Urteils lautet

“Art. 73 Abs. 1 und Art. 74 Abs. 1 der Richtlinie (EU) 2015/2366 […] sind dahin auszulegen, dass ein Zahlungsdienstleister die unverzügliche Erstattung des Betrags eines nicht autorisierten Zahlungsvorgangs an einen Zahler nicht mit der Begründung verweigern darf, dass dieser Zahler diesen Zahlungsvorgang durch eine grob fahrlässige Verletzung seiner Pflichten aus Art. 69 der Richtlinie 2015/2366 ermöglicht habe.”

Der Gerichtshof stützt sich zunächst auf den Wortlaut. Art. 73 Abs. 1 PSD2 verpflichtet die Bank, den Betrag spätestens bis zum Ende des folgenden Geschäftstags zu erstatten. Die Norm kennt nur eine einzige Ausnahme: Die Bank muss berechtigte Gründe für den Verdacht haben, dass Betrug vorliegt – und muss diese der zuständigen Behörde schriftlich mitteilen. Grobe Fahrlässigkeit des Kunden gehört nicht dazu.

Entscheidend ist die Systematik. Art. 73 PSD2 regelt nach Ansicht des EuGH die sofortige Erstattung, Art. 74 PSD2 dagegen die endgültige Verteilung des Schadens “zu einem späteren Zeitpunkt”. Die Bank erstattet also in einem ersten Schritt und kann in einem zweiten Schritt “durch die hierfür vorgesehenen Rechtsbehelfe” Ersatz verlangen. Für die grobe Fahrlässigkeit trägt sie dabei nach Art. 72 Abs. 2 PSD2 die Beweislast. Der Gerichtshof sieht in dieser Beweislastregel ein Indiz dafür, dass der Unionsgesetzgeber den Zahler insgesamt stärker schützen wollte.

Auch die Entstehungsgeschichte spricht nach dem EuGH für dieses Ergebnis. Die Vorgängerrichtlinie 2007/64/EG kannte überhaupt keine Ausnahme von der sofortigen Erstattung. Ebensowenig enthielt sie der ursprüngliche Vorschlag der Kommission für die PSD2. Erst im Gesetzgebungsverfahren kam die Ausnahme für den Betrugsverdacht hinzu, und zwar als einzige. Da die PSD2 in diesem Bereich vollharmonisiert ist, dürfen die Mitgliedstaaten keine weiteren Ausnahmen einführen.

Den Ausschlag gibt der Verbraucherschutz. Dürfte die Bank wegen behaupteter grober Fahrlässigkeit die Erstattung verweigern, verlöre die Erstattungspflicht ihre praktische Wirksamkeit. Der Kunde müsste “von sich aus seine Ansprüche gegebenenfalls vor den zuständigen Gerichten geltend […] machen und die sich daraus ergebenden Nachteile, insbesondere etwaige Verfahrenskosten, […] tragen”. Diese Risikoverteilung hält der EuGH für unvereinbar mit dem Ziel der Richtlinie. Den Einwand der tschechischen und der italienischen Regierung, damit werde die außergerichtliche Streitbeilegung umgangen, weist er zurück. Die Schlichtung stehe für alle Streitigkeiten aus dem Zahlungsdiensterecht zur Verfügung und sei kein Pflichtfilter vor der Erstattung.

Was bedeutet das Phishing-Urteil des EuGH für die Rechtsprechung des BGH?

Im deutschen Recht ist Art. 73 PSD2 in § 675u BGB umgesetzt. Satz 2 gibt dem Kunden den Erstattungsanspruch, Satz 3 die Frist bis zum Ende des folgenden Geschäftstags. Satz 4 enthält die Ausnahme bei Betrugsverdacht. Nach § 675v Abs. 3 BGB schuldet der Kunde der Bank Schadensersatz, wenn er den Schaden vorsätzlich oder grob fahrlässig herbeigeführt hat.

Der BGH lässt die Bank diesen Schadensersatzanspruch dem Erstattungsanspruch unmittelbar entgegenhalten. Die Bank muss danach nicht erst erstatten, um den Betrag dann zurückzufordern. Wer etwas verlangt, das er sofort zurückgeben müsste, handelt treuwidrig (dolo agit, § 242 BGB). Diese Linie geht auf das Urteil vom 17.11.2020 zurück (Az. XI ZR 294/19). Der XI. Zivilsenat hat sie in Phishing-Fällen fortgeführt, zuletzt mit Urteil vom 22.07.2025 (Az. XI ZR 107/24) und mit Urteil vom 03.03.2026 (Az. XI ZR 20/24). Instanzgerichte rechnen in solchen Fällen regelmäßig auf oder lassen die Einrede durchgreifen. Im Ergebnis musste in Deutschland stets der Kunde klagen, und er musste den Prozess gewinnen, um sein Geld wiederzusehen.

Mit dem Urteil des EuGH ist diese Praxis mutmaßlich nicht mehr zu halten. Der Gerichtshof äußert sich zwar nicht ausdrücklich zu Aufrechnung oder dolo-agit-Einrede. Er hatte nur über das polnische Recht und die Frage einer “Verweigerung” der Erstattung zu entscheiden. Aufrechnung und dolo-agit-Einrede haben aber genau die Wirkung, die der EuGH beanstandet. Der Kunde bekommt sein Geld nicht zurück und muss selbst klagen, um die grobe Fahrlässigkeit gerichtlich klären zu lassen. Dass der BGH denselben Effekt dogmatisch über § 242 BGB oder § 389 BGB statt über eine Verweigerung erzielt, ändert daran nichts. Die PSD2 ist in diesem Bereich vollharmonisiert (Art. 107 Abs. 1 PSD2). § 675u BGB ist daher richtlinienkonform auszulegen. Mit der Einrede aus Treu und Glauben lässt sich die vom EuGH verlangte Reihenfolge “erst erstatten, dann streiten” nicht wieder aushebeln. Ob der BGH diese Einordnung teilt, bleibt allerdings abzuwarten.

Wann handelt ein Phishing-Opfer grob fahrlässig?

Die Frage nach der groben Fahrlässigkeit ist aber trotz der Entscheidung weiterhin relevant. Sie wird allerdings erst später gestellt und muss von der Bank vorgetragen und im Bestreitensfalle bewiesen werden. Grob fahrlässig handelt, wer die erforderliche Sorgfalt in besonders schwerem Maße verletzt und nicht beachtet, was jedem hätte einleuchten müssen. Neben dem objektiven Pflichtverstoß muss das Verhalten also subjektiv unentschuldbar sein. Die bloße Tatsache, dass eine Zahlung mit den richtigen Zugangsdaten und einer gültigen TAN ausgelöst wurde, genügt der Bank hierbei nicht (§ 675w BGB). Sie muss konkrete Umstände darlegen, aus denen sich das Fehlverhalten des Kunden ergibt.

Die deutsche Rechtsprechung ist hier allerdings streng. Ein Blick auf die typischen Fallgruppen zeigt, warum das Urteil des EuGH den Kunden zwar die Klagelast abnimmt, aber nicht automatisch das Geld zurückbringt:

TAN-Weitergabe am Telefon

Der Klassiker ist der Anruf eines angeblichen Bankmitarbeiters. Im Fall, den der BGH am 22.07.2025 entschied (Az. XI ZR 107/24), konnte eine Sparkassenkundin ihre Zugangsdaten nicht ändern, weil der TAN-Generator den Vorgang immer wieder abbrach. Gegen 23 Uhr rief ein Mann an, auf dem Display erschien die Nummer der Sparkasse. Er führte die Kundin über zwei Tage durch die angebliche Installation eines “Sicherheitsprogramms”. Sie erzeugte dabei mehrere TAN und gab sie ihm durch. Mit einer davon gab der Täter eine Überweisung von mehr als 35.000,00 EUR frei.

Der BGH bejahte grobe Fahrlässigkeit. Der späte Anruf am Wochenende und die mehrfachen TAN-Anforderungen für Vorgänge, die keine Überweisungen sein sollten, hätten die Kundin misstrauisch machen müssen. Dass sie in den Generator Ziffernfolgen eingab, die erkennbar aus IBAN und Betrag bestanden, wog zusätzlich schwer. Ein entschuldbares Augenblicksversagen schied aus, weil sie einen ganzen Tag Zeit zum Nachdenken hatte. Auch ihre Unerfahrenheit half ihr nicht, weil vor solchen Anrufen öffentlich gewarnt werde.

Ähnlich lag der Fall vom 03.03.2026 (Az. XI ZR 20/24). Die verfügungsberechtigte Ehefrau eines Handwerkers erhielt eine E-Mail, ihr TAN-Generator müsse “neu konfiguriert” werden. Ein Anrufer ließ sie IBAN und Beträge manuell in den Generator eingeben und die TAN durchgeben. Vom Geschäftskonto flossen knapp 39.500,00 EUR per Echtzeitüberweisung ab. Der BGH sah auch hier grobe Fahrlässigkeit. Rechtschreibfehler in den E-Mails, Anrufe außerhalb der Geschäftszeiten und ausdrückliche Warnungen der Sparkasse vor solchen “Neukonfigurationen” hätten genügen müssen.

Zugangsdaten auf einer gefälschten Seite

Die zweite große Fallgruppe ist der Link in einer E-Mail oder SMS. Das OLG Oldenburg hatte mit Urteil vom 24.04.2025 über eine Kundin zu entscheiden, die ihre pushTAN-Registrierung erneuern wollte (Az. 8 U 103/23). Eine scheinbar von der Bank stammende E-Mail führte sie auf eine gefälschte Seite, wo sie Geburtsdatum, Kartennummer und nach Überzeugung des Gerichts auch Anmeldename und PIN eingab. Am nächsten Tag flossen knapp 41.000,00 EUR ins Ausland. Das OLG hielt ihr vor, schon die unpersönliche Anrede “Sehr geehrter Kunde” und mehrere Rechtschreibfehler hätten sie stutzig machen müssen.

Betrug beim Verkauf über Kleinanzeigen

Besonders nah am Fall des EuGH liegt eine Entscheidung des Schleswig-Holsteinischen OLG vom 29.09.2025 (Az. 5 U 27/25). Ein Verkäufer auf Kleinanzeigen folgte einem Link, der ihm außerhalb des Nachrichtensystems der Plattform geschickt worden war, und gab dort seine Kreditkartendaten ein. Anschließend registrierte er die Karte trotz deutlicher Warnhinweise in einem Freigabeverfahren mit Face ID. Das OLG bestätigte die Abweisung seiner Klage. Gerade als Zahlungsempfänger habe er keinen Anlass gehabt, Kartendaten preiszugeben. Interessant ist, dass der Sachverhalt sich kaum vom polnischen Ausgangsfall unterscheidet. Nach dem Urteil des EuGH hätte die Bank hier zunächst erstatten und dann selbst klagen müssen.

Mitverantwortung der Bank

Ganz chancenlos sind Kunden auch bei grober Fahrlässigkeit nicht. Das OLG Dresden hat mit Urteil vom 05.06.2025 einer Sparkasse ein Mitverschulden von 20 Prozent angelastet (Az. 8 U 1482/24). Der Kunde hatte nach einer Phishing-Mail Passwort und PIN auf einer gefälschten Seite eingegeben und auf Anweisung eines Anrufers mehrere Aufträge in seiner pushTAN-App bestätigt. Es ging um rund 49.400,00 EUR. Die Sparkasse hatte für den Login ins Online-Banking keine starke Kundenauthentifizierung verlangt, obwohl § 55 ZAG das jedoch vorschreibt. Die Täter konnten sich deshalb mit Benutzername und PIN einloggen und die Überweisungen vorbereiten.

Ob dieser Ansatz Bestand hat, ist offen. Der BGH hat im Juli 2025 entschieden, dass eine unzureichende Absicherung des Logins den Schadensersatzanspruch der Bank jedenfalls nicht nach § 675v Abs. 4 BGB ausschließt, weil diese Vorschrift an die konkrete Zahlung anknüpft und nicht an den Zugang zum Konto. Über ein Mitverschulden nach § 254 BGB ist damit aber noch nicht abschließend entschieden. Für Betroffene lohnt es sich jedenfalls, genau zu prüfen, wie ihre Bank den Login und die einzelnen Zahlungen abgesichert hatte.

Was entscheidet das Phishing-Urteil nicht?

Das Urteil verschiebt die Klage- und Beweislast, nicht aber das Haftungsrisiko. Die Bank muss zwar erst einmal erstatten. Kann sie die grobe Fahrlässigkeit aber beweisen, holt sie sich das Geld zurück, und der Kunde trägt dann trotzdem zusätzlich die Kosten dieses Prozesses.

Außerdem gilt das Urteil nur für nicht autorisierte Zahlungen. Hat der Kunde die Überweisung selbst ausgelöst, weil ein Betrüger ihn dazu überredet hat, liegt eine Autorisierung nach § 675j BGB vor. Das betrifft etwa falsche Anlageberater, den Enkeltrick oder den angeblichen Bankmitarbeiter, der zur “Sicherheitsüberweisung” auf ein anderes Konto drängt. Ein Erstattungsanspruch aus § 675u BGB scheidet dann von vornherein aus. Anders liegt es, wenn der Täter die Zahlung selbst auslöst und der Kunde ihm nur unwissentlich die TAN oder Freigabe verschafft. Dann fehlt die Zustimmung des Kunden, und die Zahlung ist nicht autorisiert.

Das Urteil gilt nicht nur für Überweisungen aus dem Online-Banking. § 675u BGB erfasst alle Zahlungsvorgänge, also auch Kartenzahlungen mit einer abgephishten Kreditkarte. Für Geschäftskunden gilt es dem Grunde nach ebenfalls.

Wie werden die Banken auf das Phishing-Urteil reagieren?

Dass die Banken künftig in jedem Phishing-Fall anstandslos zahlen, ist nicht zu erwarten. Es zeichnen sich mehrere Ausweichstrategien ab.

Naheliegend ist der Rückgriff auf den Betrugsverdacht nach § 675u Satz 4 BGB. Die Hürde dafür ist allerdings hoch. Die Bank braucht berechtigte Gründe für die Annahme, dass der Kunde selbst betrogen hat, etwa weil er mit den Tätern zusammenwirkt oder den Schaden nur vortäuscht. Sie muss diese Gründe zudem schriftlich der zuständigen Behörde mitteilen. Ein bloßer Generalverdacht oder der Vorwurf der Leichtgläubigkeit genügt nicht. Wer als Bank in jedem Phishing-Fall Betrug unterstellt, riskiert, sich gegenüber Behörden und Gerichten unglaubwürdig zu machen.

Ebenso naheliegend ist das Argument, der Kunde habe die Zahlung selbst autorisiert. Gerade bei pushTAN-Verfahren, bei denen der Kunde eine Zahlung in der App bestätigt, wird das häufig vorgetragen. Die Beweislast für die Autorisierung trägt aber die Bank. Und wer eine Freigabe erteilt, weil ein Betrüger ihm vorspiegelt, es gehe um eine Sicherheitsmaßnahme, will keine Überweisung an den Betrüger. Die Abgrenzung ist im Einzelfall schwierig und wird die Gerichte weiter beschäftigen.

Gerade bei größeren Beträgen werden Banken ihre Ersatzansprüche einklagen, möglicherweise auch im Mahnverfahren.

Bank erstattet nicht nach Phishing – was können Betroffene jetzt tun?

1. Wer Opfer eines Phishing-Angriffs geworden ist, sollte die Bank unverzüglich informieren, das Konto sperren lassen und Strafanzeige erstatten. Ansprüche sind nach § 676b Abs. 2 BGB ausgeschlossen, wenn die Bank nicht innerhalb von 13 Monaten nach der Belastung unterrichtet wird. Beweise wie SMS, E-Mails, Chatverläufe, Anruflisten, Kontoauszüge und die Korrespondenz mit der Bank sollten gesichert werden.

2. Die Erstattung sollte schriftlich und ausdrücklich unter Hinweis auf das Urteil C-70/25 verlangt werden. Lehnt die Bank allein mit dem Vorwurf grober Fahrlässigkeit ab, wäre das (zunächst einmal) unionsrechtswidrig.

3. Auch wer bereits eine Ablehnung erhalten hat, kann die Bank erneut anschreiben. Der Erstattungsanspruch besteht fort, solange er nicht verjährt, durch Vergleich erledigt oder rechtskräftig abgewiesen ist. Er verjährt nach § 195 BGB in drei Jahren ab dem Ende des Jahres, in dem er entstanden ist und der Kunde davon Kenntnis erlangt hat. Ein bloßes Schreiben an die Bank hält die Verjährung allerdings nicht auf.

4. Wer für einen Altfall aus 2023 keine Klage mehr vorbereiten kann, sollte über ein Schlichtungsverfahren nachdenken. Je nach Bank ist der Ombudsmann der privaten Banken, die Schlichtungsstelle der Sparkassen oder der genossenschaftlichen Banken oder die Schlichtungsstelle der Deutschen Bundesbank zuständig. Das Verfahren ist für Verbraucher kostenlos. Ein Schlichtungsantrag hemmt die Verjährung nach § 204 Abs. 1 Nr. 4 BGB, sofern seine Bekanntgabe an die Bank veranlasst wird.

5. In bereits laufenden Verfahren sollte das Urteil sofort vorgetragen werden. Das gilt auch für Berufungs- und Revisionsverfahren, in denen die Klage bisher an der Aufrechnung der Bank gescheitert ist.

6. Zahlt die Bank nicht, gerät sie in Verzug. Nach meiner Auffassung tritt der Verzug schon mit Ablauf der gesetzlichen Erstattungsfrist ein, ohne dass es einer Mahnung bedarf (§ 286 Abs. 2 Nr. 2 BGB). Wer sichergehen will, mahnt trotzdem mit Fristsetzung. Ab Verzug schuldet die Bank Verzugszinsen in Höhe von fünf Prozentpunkten über dem Basiszinssatz. Auch die Kosten eines Rechtsanwalts, der erst nach Verzugseintritt beauftragt wird, sind als Verzugsschaden zu ersetzen.

Wie lange gilt das Phishing-Urteil des EuGH?

Das Urteil hat eine Art “Verfallsdatum”. Die PSD2 wird durch die Zahlungsdiensteverordnung (Payment Services Regulation, PSR) abgelöst. Der Rat hat seinen Standpunkt in erster Lesung am 29.10.2026 angenommen (Ratsdok. 8543/26). Das Europäische Parlament muss noch in zweiter Lesung zustimmen. Sein Plenum soll sich nach derzeitiger Planung am 14.12.2026 damit befassen. Nach Veröffentlichung im Amtsblatt soll die Verordnung im Wesentlichen 21 Monate nach ihrem Inkrafttreten gelten, also voraussichtlich um die Jahreswende 2028/2029.

Inhaltlich bringt die PSR genau das, was der EuGH den Banken gerade verwehrt hat. Hat die Bank einen objektiv begründeten Verdacht, dass der Zahler betrügerisch, vorsätzlich oder grob fahrlässig gehandelt hat, darf sie die Erstattung zunächst zurückhalten und den Fall prüfen. Innerhalb von 15 Geschäftstagen muss sie dann entweder erstatten oder dem Kunden ihre Ablehnung mit Gründen und Belegen mitteilen und ihn auf die zuständigen Beschwerdestellen hinweisen (Erwägungsgrund 94 des Ratsstandpunkts). Zuvor muss sie den Kunden zu den Umständen anhören. Die bloße Verwendung des Zahlungsinstruments oder einer starken Kundenauthentifizierung genügt als Nachweis grober Fahrlässigkeit nicht. Bis die PSR gilt, bleibt es bei der Regel des EuGH.

Die PSR bringt zudem eine neue Haftung für s.g. Spoofing-Betrug. Gibt sich ein Betrüger als Mitarbeiter der Bank aus und nutzt dabei deren Namen, Telefonnummer oder E-Mail-Adresse, soll die Bank dem Verbraucher den vollen Betrag erstatten, wenn dieser den Betrug unverzüglich bei der Polizei anzeigt und seiner Bank meldet. Das betrifft gerade die Konstellation der vorgetäuschten Bankanrufe, in denen deutsche Gerichte bislang regelmäßig grobe Fahrlässigkeit angenommen haben. Auch hier bleibt der Einwand grober Fahrlässigkeit möglich, die Bank muss sie aber beweisen.

Kritik

Man kann das Urteil als weiteres Kapitel europäischer Verbraucherfürsorge lesen. Die Einwände liegen auf der Hand. Wer seine TAN einem Unbekannten am Telefon diktiert, bekommt sein Geld erst einmal zurück, und die Bank muss hinterherlaufen. Bei Beträgen von einigen Hundert Euro wird sie das selten tun, weil sich der Prozess nicht rechnet. Faktisch trägt dann die Bank den Schaden, und am Ende zahlen ihn ggf. alle Kunden über höhere Gebühren.

Fazit: Die Klagelast wandert zur Bank

Das Phishing-Urteil des EuGH ändert nicht, wer am Ende für einen Phishing-Schaden haftet. Es ändert aber, wer klagen muss. Bislang musste das Phishing-Opfer seine Bank verklagen und scheiterte oft an der Aufrechnung. Jetzt muss die Bank zuerst zahlen und dann beweisen, dass ihr Kunde grob fahrlässig gehandelt hat. Für Betroffene, die eine Ablehnung erhalten haben, lohnt sich ein zweiter Anlauf. Bei Altfällen aus dem Jahr 2023 sollte das noch vor Jahresende geschehen.

Für Fragen oder Anmerkungen zum Artikel können Sie das Kontaktformular nutzen.