Der Gerichtshof der EU entschied am 15. Oktober 2026 in der Rechtssache C-70/25 – die Regel gilt über § 675u BGB auch in Deutschland.
Das Wichtigste in Kürze
- Der Europäische Gerichtshof (EuGH) entschied am 15. Oktober 2026 in der Rechtssache C-70/25: Banken müssen Kundinnen und Kunden nach einem nicht autorisierten Zahlungsvorgang zunächst erstatten – auch wenn sie der betroffenen Person grobe Fahrlässigkeit vorwerfen.
- Die Erstattung muss spätestens bis zum Ende des folgenden Geschäftstags erfolgen, nachdem die Bank vom Betrug erfahren hat.
- Erst danach kann die Bank versuchen, sich das Geld zurückzuholen – und muss dafür die grobe Fahrlässigkeit beweisen.
- Die zugrundeliegende EU-Zahlungsdiensterichtlinie ist in Deutschland über § 675u BGB umgesetzt; deutsche Gerichte orientieren sich an EuGH-Auslegungen dieser Vorschriften.
Wer beim Online-Banking auf Phishing hereinfällt, bekommt das Geld laut einem EuGH-Urteil zunächst von der Bank zurück. Das gilt auch, wenn die Bank grobe Fahrlässigkeit vorwirft.
Der EuGH urteilte am 15. Oktober 2026 in der Rechtssache C-70/25. Im zugrundeliegenden Fall aus Polen hatte eine Betrügerin oder ein Betrüger eine Kundin mit einer gefälschten Bestätigungsseite dazu gebracht, ihre Online-Banking-Zugangsdaten preiszugeben. Darüber wurden rund 700 Euro von ihrem Konto überwiesen. Die Bank verweigerte die Erstattung mit dem Hinweis, die Kundin habe grob fahrlässig gehandelt. Ein polnisches Gericht legte dem EuGH daraufhin die Frage vor, ob die Erstattungspflicht davon unberührt bleibt.
Das Urteil betrifft unmittelbar nur polnisches Recht vor dem Hintergrund der EU-Zahlungsdiensterichtlinie (PSD2). Da Deutschland dieselbe Richtlinie nahezu wortgleich in das Bürgerliche Gesetzbuch übernommen hat, orientieren sich deutsche Gerichte an solchen Auslegungen des EuGH – das Urteil ist damit auch für Bankkundinnen und -kunden in Deutschland relevant.
Was der EuGH entschieden hat
Nach dem Urteil muss ein Zahlungsdienstleister einen nicht autorisierten Zahlungsvorgang grundsätzlich unverzüglich erstatten, spätestens bis zum Ende des Geschäftstags, der auf die Anzeige durch die betroffene Person folgt. Eine Ausnahme gilt nur, wenn die Bank bereits vor der Erstattung berechtigte Gründe für den Verdacht eines von der betroffenen Person selbst begangenen Betrugs hat und diese Gründe schriftlich einer zuständigen nationalen Behörde mitteilt. Das ergibt sich laut Pressemitteilung des Gerichtshofs aus Artikel 73 Absatz 1 der Zahlungsdiensterichtlinie (EU) 2015/2366.
Grobe Fahrlässigkeit reicht nach Auffassung des Gerichtshofs dagegen nicht aus, um die Erstattung von vornherein zu verweigern. Die Frage, ob grob fahrlässig gehandelt wurde, ist von der Frage der Erstattungspflicht zu trennen. Erst nach der Erstattung kann die Bank versuchen, den Betrag zurückzuverlangen – und muss dafür nachweisen, dass die betroffene Person vorsätzlich oder grob fahrlässig gegen ihre Pflichten verstoßen hat, etwa gegen den Schutz ihrer personalisierten Sicherheitsmerkmale.
Der Gerichtshof begründete dies mit dem Ziel eines hohen Verbraucherschutzniveaus: Müssten Betroffene ihr Geld erst einklagen, hätte die gesetzliche Erstattungspflicht kaum praktische Wirkung. Die Beweislast für die grobe Fahrlässigkeit liegt damit bei der Bank, nicht bei der betroffenen Person.
Was das für Konten in Deutschland bedeutet
Das deutsche Recht kennt dieselbe Grundstruktur. Nach § 675u BGB hat der Zahlungsdienstleister bei einem nicht autorisierten Zahlungsvorgang keinen Anspruch auf Erstattung seiner Aufwendungen und muss dem Zahler den Betrag unverzüglich erstatten, spätestens bis zum Ende des folgenden Geschäftstags nach der Anzeige. Die Haftung der betroffenen Person selbst regelt der anschließende § 675v BGB getrennt davon: Bei grober Fahrlässigkeit oder Vorsatz entfällt eine sonst geltende Haftungsgrenze von 50 Euro, und es besteht volle Haftung für den Schaden.
Weil beide Normen dieselbe EU-Richtlinie umsetzen, die der EuGH jetzt ausgelegt hat, spricht viel dafür, dass deutsche Gerichte künftig ebenfalls zunächst die Erstattung verlangen und die Frage der groben Fahrlässigkeit erst im zweiten Schritt prüfen. Eine Bank, die eine Erstattung pauschal unter Verweis auf grobe Fahrlässigkeit ablehnt, ohne diese im Einzelfall zu belegen, dürfte sich künftig schwerer auf diese Position zurückziehen können.
Der Ablauf laut Urteil – ein Beispiel
- Tag 1: Betrüger erbeuten über eine gefälschte Seite die Zugangsdaten und überweisen Geld vom Konto.
- Tag 1 oder 2: Die betroffene Person bemerkt die Abbuchung und zeigt sie der Bank unverzüglich an.
- Bis Ende des folgenden Geschäftstags: Die Bank muss den Betrag grundsätzlich erstatten – außer sie hat der zuständigen Behörde bereits schriftlich einen begründeten Betrugsverdacht gegen die betroffene Person selbst gemeldet.
- Danach: Erst jetzt kann die Bank versuchen, den Betrag zurückzufordern, wenn sie grobe Fahrlässigkeit oder Vorsatz nachweist.
Das ist der im Urteil beschriebene Grundablauf nach EU-Zahlungsdiensterecht. Einzelne Fristen und Nachweispflichten können je nach Sachverhalt abweichen; maßgeblich ist stets der jeweilige Vertrag und die individuelle Fallprüfung.
Warum Verbraucherschützer die Entscheidung begrüßen
Der Verbraucherzentrale Bundesverband (vzbv) hatte bereits am 21. April 2026 in einem Forderungspapier kritisiert, wie Banken und Zahlungsdienstleister in Deutschland mit Betrugsfällen umgehen: Sie unterstellten häufig pauschal grobe Fahrlässigkeit, lieferten unzureichende Begründungen und setzten auf Standardschreiben statt auf eine Prüfung des Einzelfalls. Nach einer Auswertung des vzbv trugen Verbraucherinnen und Verbraucher 2024 rund 89 Prozent des Schadens bei Überweisungsbetrug und 80 Prozent bei Lastschriftbetrug selbst.
Der Verband fordert unter anderem ein Verrechnungsverbot zwischen der Erstattung und behaupteten Schadenersatzansprüchen der Bank sowie eine Pflicht der Anbieter, den Vorwurf grober Fahrlässigkeit im Einzelfall konkret zu begründen – etwa mit Angaben zu Standort, Gerätetyp, Zeitstempel und eingesetztem Authentifizierungsverfahren. Das EuGH-Urteil stützt die Grundrichtung dieser Forderungen, ohne sie im Einzelnen rechtlich festzuschreiben.
Phishing in Deutschland: die aktuellen Zahlen
Die Verbraucherzentrale Nordrhein-Westfalen registrierte im Jahr 2025 rund 382.470 Phishing-E-Mails in Deutschland – ein Rückgang von etwa 10 Prozent gegenüber 2024. Die Zahl wurde im Mai 2026 zusammen mit dem Bundeslagebild Cybercrime 2025 der Bundesregierung veröffentlicht, wonach die Internetkriminalität in Deutschland insgesamt weiterhin auf hohem Niveau liegt. Ein Rückgang bei den gemeldeten Phishing-Mails bedeutet damit nicht automatisch weniger tatsächlichen Schaden für Betroffene.
Was Betroffene jetzt tun sollten
Wer auf eine Phishing-Masche hereingefallen ist oder eine unautorisierte Abbuchung bemerkt, sollte nicht abwarten. Die Erstattungspflicht der Bank setzt voraus, dass der Vorgang unverzüglich angezeigt wird.
Checkliste nach einer unautorisierten Abbuchung
- Bank sofort telefonisch und schriftlich informieren, Konto oder Karte sperren lassen.
- Anzeige bei der Polizei erstatten – das Aktenzeichen für die weitere Kommunikation mit der Bank aufbewahren.
- Schriftverkehr mit der Bank dokumentieren, insbesondere Zeitpunkt der Meldung und jede Begründung einer Ablehnung.
- Eine pauschale Ablehnung unter Verweis auf grobe Fahrlässigkeit nicht widerspruchslos hinnehmen – die Bank muss sie im Einzelfall belegen.
- Bei anhaltender Ablehnung kostenlose Beratung einer Verbraucherzentrale oder die Schlichtungsstelle bei der Deutschen Bundesbank in Anspruch nehmen.
- Fristen aus dem Kontovertrag für die Geltendmachung von Ansprüchen beachten und im Zweifel frühzeitig rechtlichen Rat einholen.
Häufige Fragen
Gilt das EuGH-Urteil direkt für Konten bei deutschen Banken?
Das Urteil selbst entscheidet einen polnischen Rechtsstreit. Weil Deutschland dieselbe EU-Zahlungsdiensterichtlinie nahezu wortgleich in § 675u und § 675v BGB umgesetzt hat, ist eine vergleichbare Auslegung durch deutsche Gerichte zu erwarten, aber nicht automatisch in jedem Einzelfall garantiert.
Muss die Bank wirklich in jedem Fall sofort erstatten?
Nein. Die Bank kann die Erstattung aussetzen, wenn sie bereits vorher berechtigte Gründe für einen Betrugsverdacht gegen die betroffene Person selbst hat und diese einer zuständigen Behörde schriftlich mitteilt. Ohne einen solchen dokumentierten Verdacht gilt die Erstattungspflicht.
Was bedeutet „grobe Fahrlässigkeit“ in diesem Zusammenhang?
Damit ist ein besonders schwerer Verstoß gegen die Pflicht gemeint, personalisierte Sicherheitsmerkmale wie Online-Banking-Zugangsdaten zu schützen. Nach deutschem Recht entfällt bei grober Fahrlässigkeit oder Vorsatz die sonst geltende Haftungsgrenze von 50 Euro für die betroffene Person. Ob grobe Fahrlässigkeit vorliegt, muss die Bank im Einzelfall nachweisen.
Was mache ich, wenn meine Bank die Erstattung trotzdem verweigert?
Der Schriftverkehr sollte dokumentiert und der Fall einer Verbraucherzentrale oder der Schlichtungsstelle bei der Deutschen Bundesbank vorgelegt werden. In strittigen Fällen bleibt der Rechtsweg vor deutschen Gerichten offen.
Ihre Meinung ist gefragt: Hatten Sie schon einmal eine unautorisierte Abbuchung durch Phishing oder Kartenbetrug zu klären?
Schreiben Sie uns Ihre Erfahrungen gerne in die Kommentare.
Quellen und Stand
- Gerichtshof der Europäischen Union: Pressemitteilung Nr. 147/26 zum Urteil in der Rechtssache C-70/25, 15. Oktober 2026.
- Bürgerliches Gesetzbuch: § 675u (Erstattungspflicht bei nicht autorisierten Zahlungsvorgängen).
- Bürgerliches Gesetzbuch: § 675v (Haftung des Zahlers).
- Verbraucherzentrale Bundesverband: Forderungspapier zur groben Fahrlässigkeit, 21. April 2026.
- Bundesregierung: Bundeslagebild Cybercrime 2025, Meldung vom 12. Mai 2026.
Recherche- und Datenstand: 28. Oktober 2026.
Transparenz: Dieser Beitrag wurde mit Unterstützung künstlicher Intelligenz recherchiert und formuliert und ist zur menschlichen redaktionellen Prüfung vorgesehen.
