Geld zurück bei Phishing - EuGH entscheidet zu Rechten der Kunden

Geld zurück bei Phishing - EuGH entscheidet zu Rechten der Kunden EuGH C-70/25

Bei Phishing-Fällen verweigern Banken die Erstattung häufig mit dem Argument, der Kunde habe selbst Zugangsdaten, TANs oder eine Freigabe preisgegeben und deshalb grob fahrlässig gehandelt. Das beim Europäischen Gerichtshof anhängige Verfahren C-70/25 – Tukowiecka betrifft eine zentrale Vorfrage: Darf die Bank die gesetzlich vorgesehene sofortige Erstattung einer nicht autorisierten Zahlung bereits deshalb zurückhalten, weil sie dem Kunden grobe Fahrlässigkeit vorwirft?

Generalanwalt Athanasios Rantos hat diese Frage in seinen Schlussanträgen vom 5. März 2026 zugunsten einer strikten Trennung beantwortet: Der Vorwurf grober Fahrlässigkeit soll danach grundsätzlich nicht dazu berechtigen, die sofortige Erstattung einer nicht autorisierten Zahlung zu verweigern. Das Verfahren ist jedoch weiterhin beim EuGH anhängig. Schlussanträge sind rechtlich bedeutsam, aber kein Urteil.

Phishing Bank Geld zurück: Was der EuGH in C-70/25 klären soll

Ausgangspunkt ist das europäische Zahlungsdiensterecht. Art. 73 PSD2 verpflichtet den Zahlungsdienstleister bei nicht autorisierten Zahlungsvorgängen grundsätzlich zur sofortigen Erstattung. Art. 74 PSD2 regelt demgegenüber die Frage, in welchem Umfang ein Zahler den Schaden letztlich selbst tragen muss, wenn er seine Pflichten vorsätzlich oder grob fahrlässig verletzt hat.

Der Vorlagefall fragt nach dem Verhältnis dieser beiden Ebenen. Nach den Schlussanträgen ist der Soforterstattungsmechanismus der PSD2 zunächst anzuwenden. Die Bank kann anschließend – wenn sie die Voraussetzungen beweist – einen Gegenanspruch wegen grober Fahrlässigkeit verfolgen. Dadurch würden Soforterstattung und endgültige Schadenstragung zeitlich und rechtlich voneinander getrennt.

Phishing Bank Geld zurück: § 675u BGB sieht bei nicht autorisierten Zahlungen Erstattung vor

Im deutschen Recht setzt § 675u BGB die Erstattungsregel um. Bei einem nicht autorisierten Zahlungsvorgang hat die Bank grundsätzlich keinen Aufwendungsersatzanspruch gegen den Kunden und muss den Zahlungsbetrag erstatten sowie das belastete Konto wieder entsprechend herstellen.

Die erste und oft entscheidende Streitfrage lautet daher nicht „War der Kunde unvorsichtig?“, sondern: War der konkrete Zahlungsvorgang überhaupt autorisiert? Erst wenn diese Ebene geklärt ist, lässt sich beurteilen, ob der gesetzliche Erstattungsmechanismus für nicht autorisierte Zahlungen eingreift.

Phishing Bank Geld zurück: Grobe Fahrlässigkeit bleibt trotz Schlussanträgen relevant

Die Schlussanträge in C-70/25 bedeuten nicht, dass grobe Fahrlässigkeit künftig bedeutungslos wäre. § 675v BGB regelt die Haftung des Zahlers bei missbräuchlicher Nutzung eines Zahlungsinstruments. Bei vorsätzlicher oder grob fahrlässiger Verletzung bestimmter Pflichten kann der Kunde den Schaden letztlich ganz oder teilweise zu tragen haben.

Der entscheidende Unterschied liegt in der Reihenfolge: Nach der Auffassung des Generalanwalts soll der bloße Vorwurf grober Fahrlässigkeit die Bank nicht berechtigen, den Soforterstattungsanspruch für eine nicht autorisierte Transaktion von vornherein zu blockieren. Ob der EuGH diese Auslegung übernimmt, bleibt abzuwarten.

Phishing Bank Geld zurück: Autorisierte und nicht autorisierte Überweisung unterscheiden

Die Abgrenzung richtet sich nach der Zustimmung des Zahlers zum konkreten Zahlungsvorgang. § 675j BGB knüpft die Wirksamkeit eines Zahlungsvorgangs an die Autorisierung durch den Zahler. Das ist gerade bei modernen Betrugsfällen kompliziert.

• Account-Takeover: Ein Täter verschafft sich Zugang zum Online-Banking und löst ohne Wissen des Kunden Überweisungen aus. Hier spricht viel für nicht autorisierte Zahlungen.

• TAN- oder Push-Freigabe unter Täuschung: Der Kunde bestätigt technisch einen Vorgang, glaubt aber aufgrund einer Phishing-Seite oder eines manipulierten Telefonats, etwas anderes zu autorisieren. Hier muss genau untersucht werden, welcher konkrete Zahlungsvorgang Inhalt der Zustimmung war.

• Selbst ausgeführte Überweisung an einen Betrüger: Der Kunde gibt die Überweisung bewusst selbst in Auftrag, weil er beispielsweise an eine vermeintliche Bank, einen Anlageanbieter oder einen falschen Geschäftspartner zahlen will. Solche Fälle sind häufig autorisiert, obwohl die Zahlung durch Täuschung veranlasst wurde. § 675u BGB greift dann nicht ohne Weiteres.

Gerade der dritte Fall wird in der öffentlichen Diskussion häufig mit klassischem Phishing vermischt. Bei einer autorisierten, aber betrügerisch veranlassten Überweisung können andere Haftungsansätze gegen die Bank relevant sein, etwa auffällige Zahlungsvorgänge, konkrete Warnhinweise, Empfängerüberprüfung oder sonstige vertragliche Schutzpflichten. Diese Prüfung ist jedoch von C-70/25 zu unterscheiden.

Phishing Bank Geld zurück: Die Bank muss Authentifizierung und grobe Fahrlässigkeit beweisen

§ 675w BGB ist für Phishing-Prozesse besonders wichtig. Bestreitet der Kunde die Autorisierung, reicht die technische Nutzung eines Zahlungsinstruments nicht automatisch als Beweis dafür aus, dass er die Zahlung autorisiert oder grob fahrlässig gehandelt hat. Der Zahlungsdienstleister muss unterstützende Beweismittel vorlegen, wenn er Betrug, Vorsatz oder grobe Fahrlässigkeit des Kunden behauptet.

In der Praxis sind deshalb technische Unterlagen entscheidend: Login-Daten, Gerätebindung, IP-Adressen, Authentifizierungsschritte, Push-Nachrichten, Inhalt der Freigabemaske, Betrugserkennungswarnungen und die Frage, ob die Bank eine neue Empfänger- oder Gerätebeziehung erkannt hat. Ein bloßer Hinweis der Bank, die Zahlung sei „mit TAN freigegeben“ worden, beantwortet die Autorisierungs- und Haftungsfrage nicht zwingend.

Phishing Bank Geld zurück: Welche Fallgruppen besonders genau geprüft werden sollten

Eine anwaltliche Prüfung ist insbesondere dann sinnvoll, wenn die Bank hohe Beträge allein mit einem pauschalen Grobfahrlässigkeitsvorwurf ablehnt oder wenn der tatsächliche technische Ablauf nicht nachvollziehbar offengelegt wird.

• mehrere hohe Überweisungen innerhalb kurzer Zeit an neue Empfänger;

• Login oder Freigabe von einem bislang unbekannten Gerät;

• SIM-Swap, neue Gerätebindung oder Änderung von Sicherheitsmerkmalen kurz vor der Zahlung;

• Telefon- oder SMS-Phishing unter Verwendung angeblicher Bankmitarbeiter;

• Fernwartungssoftware oder manipulierte Banking-App;

• abweichende Darstellung zwischen dem, was der Kunde freigeben wollte, und der tatsächlich ausgeführten Zahlung;

• Bankablehnung ohne Herausgabe einer nachvollziehbaren technischen Transaktionsdokumentation.

Phishing Bank Geld zurück: Sofortmaßnahmen nach einem Angriff

Unabhängig von der späteren rechtlichen Bewertung sollten Betroffene unverzüglich handeln. Konten und Zahlungsinstrumente sind zu sperren, die Bank ist schriftlich über die nicht autorisierten Vorgänge zu informieren und ein Rückruf noch laufender Zahlungen sollte verlangt werden. Zudem sollten Strafanzeige und Beweissicherung nicht unnötig verzögert werden.

Ansprüche aus nicht autorisierten Zahlungsvorgängen müssen außerdem innerhalb der gesetzlichen Anzeige- und Ausschlussfristen verfolgt werden; hierzu ist insbesondere § 676b BGB zu beachten. Screenshots, Phishing-SMS, E-Mails, Anruflisten und die exakte zeitliche Abfolge sollten unverändert gesichert werden.

Phishing Bank Geld zurück: Hilfe durch einen Anwalt

Rechtsanwalt Patrick Wilson kann prüfen, ob ein Zahlungsvorgang tatsächlich autorisiert war, welche Beweise die Bank für ihre Darstellung vorlegt und ob ein Grobfahrlässigkeitsvorwurf rechtlich trägt. Dazu kann die vollständige Transaktionsdokumentation angefordert und mit den tatsächlichen Abläufen beim Mandanten abgeglichen werden.

Bei hohen Schäden ist es regelmäßig sinnvoll, die Anspruchsprüfung nicht ausschließlich auf den Ausgang von C-70/25 zu verschieben. Die bereits geltenden §§ 675u, 675v und 675w BGB bilden den Ausgangspunkt der deutschen Rechtslage. Das künftige EuGH-Urteil kann insbesondere die Frage präzisieren, ob eine Bank trotz behaupteter grober Fahrlässigkeit zunächst erstatten muss.