'Nicht autorisiert' - Neues Urteil: Banken müssen Geld sofort zurückzahlen
Der Europäische Gerichtshof hat am 15. Oktober 2026 entschieden, dass Banken nicht autorisierte Zahlungen nach einem Phishing-Angriff grundsätzlich bis zum Ende des folgenden Geschäftstags erstatten müssen. Der Vorwurf, der Kunde sei grob fahrlässig gewesen, reicht nicht, um die Erstattung zu verweigern, darüber wird erst danach gestritten. Alle Details dazu findet man hier auf Finanz.de.
Gehalt und Rente mit den geplanten Werten für 2027 (Prognose) oder für 2026 berechnen.
Dem Urteil in der Rechtssache C-70/25 liegt ein Fall aus Polen zugrunde. Eine Bankkundin hatte über eine Verkaufsplattform eine Nachricht von einem angeblichen Käufer erhalten, auf einen Link geklickt und ihre Zugangsdaten auf einer gefälschten Bankseite eingegeben. Anschließend buchten Betrüger rund 700 Euro von ihrem Konto ab, die Bank lehnte eine Erstattung mit Verweis auf grobe Fahrlässigkeit ab.
Ein polnisches Gericht legte den Fall dem Europäischen Gerichtshof vor. Dieser stellte nach übereinstimmenden Fachberichten klar, dass die Erstattungspflicht aus der EU-Zahlungsdiensterichtlinie zunächst unabhängig von der Frage gilt, wer den Schaden am Ende tragen muss. In Fachkreisen wird das Urteil mit dem Grundsatz „Erst erstatten, dann streiten“ zusammengefasst.
Das hat der Europäische Gerichtshof entschieden
Bei einem nicht autorisierten Zahlungsvorgang muss die Bank den Betrag unverzüglich erstatten, spätestens bis zum Ende des Geschäftstags nach der Meldung durch den Kunden oder nachdem sie selbst davon erfahren hat. Das Konto muss so gestellt werden, als hätte die Abbuchung nie stattgefunden. Die Bank darf die Erstattung nicht mit dem bloßen Vorwurf verweigern, der Kunde habe grob fahrlässig gehandelt.
Eine Ausnahme gilt nur, wenn die Bank einen begründeten Verdacht hat, dass der Kunde selbst betrügerisch gehandelt hat, und diese Gründe schriftlich der zuständigen nationalen Behörde mitteilt. Ob der Kunde den Schaden letztlich doch tragen muss, wird in einem zweiten Schritt geklärt. Die Bank kann das Geld dann zurückfordern, muss aber nachweisen, dass der Kunde vorsätzlich oder grob fahrlässig gegen seine Pflichten verstoßen hat.
Was das Urteil für Bankkunden in Deutschland bedeutet
In Deutschland ist die Erstattungspflicht in Paragraf 675u des Bürgerlichen Gesetzbuchs geregelt, der die EU-Richtlinie umsetzt und die gleiche Frist bis zum Ende des folgenden Geschäftstags vorsieht. In der Praxis haben Banken die Erstattung bei Phishing-Fällen bislang häufig verweigert, weil sie dem Kunden grobe Fahrlässigkeit vorwarfen und mit einem eigenen Schadensersatzanspruch dagegenhielten. Nach dem Urteil des Europäischen Gerichtshofs dürfte dieses Vorgehen kaum noch haltbar sein.
Grundsätzlich haftet ein Kunde bei Missbrauch seiner Zugangsdaten nach Paragraf 675v BGB nur bis zu 50 Euro. Der volle Schaden trifft ihn erst bei Betrug, Vorsatz oder grober Fahrlässigkeit, und das muss die Bank beweisen. Hat die Bank keine starke Kundenauthentifizierung verlangt, etwa eine Bestätigung über eine zweite Stufe wie eine App oder eine TAN, haftet der Kunde außer bei Betrug gar nicht.
Wann das Urteil nicht hilft
Das Urteil betrifft nur Zahlungen, die der Kunde nicht selbst autorisiert hat. Wer eine Überweisung selbst in Auftrag gegeben und freigegeben hat, etwa an eine betrügerische Anlageplattform, einen Fake-Shop oder einen angeblichen Verwandten in Not, kann sich darauf nicht berufen. In solchen Fällen bleibt nur, die Bank sofort um einen Rückruf der Überweisung zu bitten und Anzeige zu erstatten.
Schwieriger ist die Lage, wenn Betrüger den Kunden am Telefon dazu bringen, eine Zahlung in der Banking-App zu bestätigen. Ob eine solche Freigabe als Autorisierung gilt, hängt vom Einzelfall ab, etwa davon, welche Informationen bei der Bestätigung angezeigt wurden. Betroffene sollten deshalb auch hier eine Erstattung verlangen und die Ablehnung der Bank gegebenenfalls prüfen lassen.
Das sollten Betroffene jetzt sofort tun
Wer eine unberechtigte Abbuchung bemerkt, sollte zuerst das Konto oder die Karte sperren lassen, etwa über den Sperr-Notruf 116 116, und die Bank umgehend schriftlich informieren. Gleichzeitig empfiehlt sich eine Anzeige bei der Polizei. Beweise wie Phishing-Nachrichten, E-Mails, Screenshots und Kontoauszüge sollten gesichert und nicht gelöscht werden.
Bei der Bank sollte die Erstattung unter Verweis auf Paragraf 675u BGB und das Urteil des Europäischen Gerichtshofs vom 15. Oktober 2026 ausdrücklich verlangt werden. Eine nicht autorisierte Zahlung muss der Bank spätestens 13 Monate nach der Belastung gemeldet werden, sonst ist der Anspruch ausgeschlossen. Lehnt die Bank ab, können sich Betroffene an die Verbraucherzentrale, die Schlichtungsstelle der Bank oder einen Anwalt wenden.
Mehr Informationen: Konto