„Sie waren grob fahrlässig – wir erstatten nichts.“ Diesen Satz hören Phishing-Opfer von ihrer Bank ungefähr so zuverlässig wie den Wetterbericht. Damit ist jetzt Schluss. Der Gerichtshof der Europäischen Union hat am 15. Oktober 2026, in der Rechtssache C-70/25 entschieden: Die Bank muss den Betrag einer nicht autorisierten Zahlung zuerst erstatten – auch dann, wenn sie meint, der Kunde sei grob fahrlässig gewesen. Streiten darf sie danach. Aber eben erst danach, auf eigenes Risiko und mit voller Beweislast.
Wer meinen Blog verfolgt, kennt den Fall schon: Im März hatte der Generalanwalt genau diese Linie vorgeschlagen. Der EuGH ist ihm nun gefolgt. Für Bankkunden ist das ein echter Punktsieg und für die Rechtsabteilungen der Banken ein ziemlich ungemütlicher Donnerstag.
Das Urteil in einem Satz: Grobe Fahrlässigkeit des Kunden ist kein Grund, die unverzügliche Erstattung einer nicht autorisierten Zahlung zu verweigern. Die die Bank muss zahlen und kann sich ihr Geld allenfalls später zurückholen, wenn sie dem Kunden grobe Fahrlässigkeit oder Vorsatz nachweist.
Der Fall: Ein Kleinanzeigen-Klassiker mit 700 Euro Schaden
Der Sachverhalt dürfte vielen bekannt vorkommen, denn er spielt sich in Deutschland täglich hundertfach ab.
Eine polnische Bankkundin bot einen Artikel auf einer Online-Verkaufsplattform an. Ein angeblicher Kaufinteressent schickte ihr einen Link, der aussah, als käme er von der Plattform und diene der „Bestätigung des Verkaufs“. Der Link führte auf eine Seite, die der Website ihrer Bank täuschend ähnlich sah. Dort gab die Kundin ihre Online-Banking-Zugangsdaten ein.
Der Betrüger nutzte die Daten und überwies rund 700 Euro auf sein eigenes Konto. Die Kundin meldete den Vorfall gleich am nächsten Tag ihrer Bank. Die Bank lehnte die Erstattung mit der Standardbegründung ab, Die Kundin habe ihre personalisierten Sicherheitsmerkmale nicht ausreichend geschützt und damit grob fahrlässig gehandelt.
Die Kundin klagte. Das polnische Gericht wollte vom EuGH wissen, ob die Bank nach der Zahlungsdiensterichtlinie (Richtlinie (EU) 2015/2366, „PSD2“) zur unverzüglichen Erstattung verpflichtet ist, obwohl sie dem Kunden grobe Fahrlässigkeit vorwirft.
Die Entscheidung: Zwei Schritte, klare Reihenfolge
Der EuGH bejaht die Vorlagefrage und zwar ohne Wenn und Aber. Seine Begründung lässt sich in einem einfachen Zwei-Stufen-Modell zusammenfassen:
Stufe 1: Die Bank erstattet und das sofort
Bei einem nicht autorisierten Zahlungsvorgang muss die Bank den Betrag unverzüglich erstatten, spätestens bis zum Ende des folgenden Geschäftstags, nachdem sie von dem Vorgang Kenntnis erlangt hat oder er ihr angezeigt wurde. Voraussetzung ist, dass der Kunde den Vorfall unverzüglich meldet.
Von dieser Pflicht gibt es nach Art. 73 Abs. 1 PSD2 genau eine Ausnahme: Die Bank hat berechtigte Gründe für den Verdacht, dass der Kunde selbst einen Betrug begangen hat, und teilt diese Gründe der zuständigen nationalen Behörde schriftlich mit. In Deutschland ist das die BaFin. Gemeint ist also der Fall, dass der Kunde mit den Tätern unter einer Decke steckt oder den „Betrug“ nur vortäuscht. Gemeint ist dagegen ist nicht der Fall, dass er auf einen Betrüger hereingefallen ist.
Der Vorwurf der groben Fahrlässigkeit ist ausdrücklich keine solche Ausnahme. Er berechtigt die Bank nicht, die Erstattung zu verweigern.
Stufe 2: Die Bank darf streiten und muss beweisen
Die Erstattung ist allerdings kein Freifahrtschein. Der EuGH trennt die Frage „Muss die Bank jetzt zahlen?“ sauber von der Frage „Wer trägt am Ende den Schaden?“. Die Bank kann vom Kunden Ersatz der Verluste verlangen, wenn sie nachweist, dass diese darauf beruhen, dass der Kunde vorsätzlich oder grob fahrlässig seine Pflichten verletzt hat, insbesondere die Pflicht, seine Zugangsdaten zu schützen.
Und jetzt kommt der entscheidende Satz: Den Nachweis der groben Fahrlässigkeit hat der Zahlungsdienstleister zu erbringen. Nicht der Kunde muss beweisen, dass er sorgfältig war. Die Bank muss beweisen, dass er es nicht war.
Warum der EuGH so entscheidet
Die Begründung ist bestechend praktisch. Ziel der Zahlungsdiensterichtlinie ist ein hohes Maß an Verbraucherschutz. Dürfte die Bank die Erstattung von vornherein mit dem Hinweis auf grobe Fahrlässigkeit ablehnen, liefe die Pflicht zur unverzüglichen Erstattung ins Leere. Der Kunde müsste dann selbst klagen, um an sein Geld zu kommen – und die Kosten und Risiken dieses Verfahrens tragen.
Genau diese Rollenverteilung dreht der EuGH um. Wer etwas will, muss klagen. Und nach dem Urteil ist das in der Regel die Bank.
Was bedeutet das für Bankkunden in Deutschland?
Eine ganze Menge. Die Zahlungsdiensterichtlinie ist in Deutschland in den §§ 675c ff. BGB umgesetzt. Die Erstattungspflicht steht in § 675u Satz 2 BGB, die Betrugsverdachts-Ausnahme in § 675u Satz 3 BGB, der Schadensersatzanspruch der Bank bei grober Fahrlässigkeit in § 675v Abs. 3 BGB. Deutsche Gerichte müssen diese Vorschriften im Lichte des EuGH-Urteils auslegen. Auslegungsentscheidungen des EuGH binden auch sie.
In der deutschen Praxis lief es bislang häufig so: Die Bank erklärte schlicht, der Kunde hafte wegen grober Fahrlässigkeit nach § 675v Abs. 3 BGB in voller Höhe, und erstattete deshalb gar nicht erst. Der Kunde stand vor der Wahl, den Schaden zu schlucken oder selbst zu klagen. Mit diesem Geschäftsmodell dürfte es jetzt vorbei sein.
Für Sie heißt das konkret:
- Sie haben einen sofort fälligen Erstattungsanspruch, wenn eine Zahlung nicht von Ihnen autorisiert wurde und Sie den Vorfall unverzüglich gemeldet haben.
- Die Bank muss bis Ende des nächsten Geschäftstags zahlen. Tut sie es nicht, gerät sie mit allen Folgen, einschließlich der Erstattung Ihrer Anwaltskosten, in Verzug.
- Das Prozessrisiko wechselt die Seite. Will die Bank ihr Geld zurück, muss sie Sie verklagen und die grobe Fahrlässigkeit beweisen. Das ist erfahrungsgemäß deutlich schwieriger, als in einem Ablehnungsschreiben zu behaupten.
Aber Achtung: drei Stolperfallen, die Banken jetzt gerne aufstellen werden:
1. „Die Zahlung war doch autorisiert.“ Das Urteil gilt nur für nicht autorisierte Zahlungsvorgänge. Haben Sie, etwa nach einem Schockanruf eines falschen Bankmitarbeiters, eine Überweisung selbst per pushTAN freigegeben, wird die Bank argumentieren, die Zahlung sei autorisiert gewesen. Ob das trägt, ist eine Frage des Einzelfalls. Die Freigabe unter Täuschung über den Inhalt des Auftrags ist rechtlich keineswegs automatisch eine wirksame Autorisierung. Aber hier entscheidet sich der Fall.
2. „Wir rechnen auf.“ Die Pressemitteilung des EuGH äußert sich nicht ausdrücklich dazu, ob die Bank ihren behaupteten Gegenanspruch sofort mit dem Erstattungsanspruch verrechnen darf. Nach der Logik des Urteils – erst erstatten, dann im zweiten Schritt nachweisen – spricht allerdings viel dafür, dass eine sofortige Aufrechnung die Erstattungspflicht genauso aushebeln würde wie eine schlichte Verweigerung. Diesen Punkt wird man anhand des Volltexts genau prüfen müssen.
3. „Sie haben zu spät gemeldet.“ Die Erstattungspflicht setzt eine unverzügliche Anzeige voraus. Melden Sie jeden verdächtigen Vorgang sofort – telefonisch und schriftlich – und lassen Sie Ihr Konto bzw. Ihre Karte sperren.
Was Sie jetzt tun sollten, wenn Ihre Bank die Erstattung abgelehnt hat
- Ablehnungsschreiben aufbewahren. Steht darin „grobe Fahrlässigkeit“ als Begründung, ist das nach dem heutigen Urteil kein tragfähiger Grund mehr, die Erstattung zu verweigern.
- Unterlagen sichern. Screenshots, SMS, E-Mails, Chatverläufe, Anrufprotokolle, Kontoauszüge, Strafanzeige – alles, was den Ablauf dokumentiert.
- Erstattung unter Berufung auf EuGH C-70/25 und § 675u BGB fordern – mit kurzer Fristsetzung.
- Nicht auf Vergleichsangebote „aus Kulanz“ eingehen, bevor Sie Ihre Rechtslage kennen. Wer 50 Prozent „aus Kulanz“ angeboten bekommt, hat möglicherweise Anspruch auf 100 Prozent.
- Auch ältere Fälle prüfen lassen. Wurde Ihre Erstattung in der Vergangenheit abgelehnt, kann sich ein zweiter Blick lohnen – solange der Anspruch nicht verjährt ist.
Fazit: Ein Urteil mit Wumms
Der EuGH hat die Reihenfolge wieder geradegerückt: Erst bekommt der Kunde sein Geld zurück, dann darf die Bank, wenn sie es denn beweisen kann, über grobe Fahrlässigkeit reden. Das klingt nach einer formalen Kleinigkeit, verändert aber die Machtverhältnisse in Phishing-Fällen grundlegend. Denn ab sofort sitzt nicht mehr der Betrogene auf dem Schaden, während die Bank in aller Ruhe abwartet. Jetzt ist es umgekehrt.
Ob Banken ihre Praxis tatsächlich freiwillig anpassen, bleibt abzuwarten. Meine Erfahrung sagt: manche ja, manche erst nach einem freundlichen, aber bestimmten anwaltlichen Schreiben. Und manche erst vor Gericht.
Ihre Bank verweigert die Erstattung?
Sie sind Opfer von Phishing, Vishing, Kleinanzeigen-Betrug oder einem Kartenmissbrauch geworden und Ihre Bank wirft Ihnen grobe Fahrlässigkeit vor? Ich vertrete ausschließlich Verbraucherinnen und Verbraucher – niemals Banken – und setze Ihre Erstattungsansprüche bundesweit durch. Melden Sie sich gerne.
Quelle: EuGH, Urteil vom 15. Oktober 2026, Rechtssache C-70/25 (Tukowiecka); Pressemitteilung Nr. 147/26. Vorangegangen: Schlussanträge des Generalanwalts vom 5. März 2026. Dieser Beitrag stellt keine Rechtsberatung im Einzelfall dar.