EuGH zu Phishing: Banken müssen Kontobetrug zunächst erstatten

Was der EuGH am 15. Oktober entschieden hat

Der Europäische Gerichtshof hat am 15. Oktober 2026 in der Rechtssache C-70/25 entschieden, dass eine Bank die Erstattung einer nicht autorisierten Zahlung nicht schon deshalb verweigern darf, weil sie dem Kunden grobe Fahrlässigkeit vorwirft. Zugrunde lag der Fall einer polnischen Bankkundin, die nach einem gefälschten Verkaufslink ihre Online-Banking-Daten auf einer täuschend echten Bankseite eingab; der Täter überwies rund 700 Euro auf ein eigenes Konto. Nach EU-Zahlungsdiensterecht muss der Zahlungsdienstleister bei nicht autorisierten Zahlungen grundsätzlich zunächst unverzüglich erstatten und kann den Betrag erst danach zurückfordern, wenn der Schaden auf grober Fahrlässigkeit des Kunden beruht. Wer im Onlinehandel wissen will, wer bei strittigen Zahlungen am Ende haftet, findet die Logik im Ratgeber zu Chargebacks bei Karte und Lastschrift.

Wen das Urteil betrifft

Betroffen sind zuerst Bankkunden, die Opfer von Phishing werden: Sie bekommen ihr Geld schneller zurück, sofern sie den Vorfall rechtzeitig melden. Betroffen sind ebenso Banken und Zahlungsdienstleister, die künftig erst erstatten und die Fahrlässigkeitsfrage danach klären müssen; nur bei begründetem Verdacht, dass der Kunde selbst betrügt, dürfen sie die Erstattung aussetzen, und müssen dies der zuständigen Behörde schriftlich melden. Für Händler ist das Urteil ein Signal: Die Last bei nicht autorisierten Zahlungen liegt bei dem, der die Systeme betreibt, nicht beim Getäuschten — eine Linie, die sich auch durch das Chargeback-Recht bei Kartenzahlungen zieht.

Warum das die Betrugsabwehr verschiebt

Das Urteil dreht die Reihenfolge um, und das ist der Kern. Bisher konnten Institute mit dem Vorwurf grober Fahrlässigkeit eine Erstattung lange hinauszögern, bis der Kunde aufgab oder vor dem Kostenrisiko eines Prozesses zurückschreckte. Jetzt gilt: erst Geld zurück, dann streiten. Das nimmt dem Betrug einen Teil seiner Wirkung, denn die Last des Rechtswegs wandert von dem, der getäuscht wurde, zu dem, der die Zahlung ausgeführt hat.

Für den Zahlungsverkehr heißt das nicht, dass Technik überflüssig wird — im Gegenteil. Wenn Institute schneller erstatten müssen, wird jede verhinderte Phishing-Zahlung bares Geld wert. Starke Kundenauthentifizierung, Empfängerprüfung und vor allem die Aufklärung der Menschen, die Zahlungen freigeben, bleiben die eigentliche Verteidigung. Das Urteil regelt, wer den Schaden trägt; verhindern muss man ihn weiter davor. Die Bundesbank hat mit ihrer Kampagne „Phishen Impossible" genau hier angesetzt.

Was jetzt zu tun ist

1. Als Kunde oder Betrieb nicht autorisierte Abbuchungen sofort dem Zahlungsdienstleister melden — die rechtzeitige Meldung ist die Bedingung für die vorläufige Erstattung.
2. Im Unternehmen festlegen, wer Überweisungen und Freigaben verantwortet, und keine Kontoänderung auf Zuruf per Telefon, Mail oder Messenger zulassen.
3. Bei abgelehnter Erstattung auf die EuGH-Linie verweisen: zunächst erstatten, Fahrlässigkeit danach — und im Zweifel die Verbraucherzentrale einschalten.