Wer durch Phishing Geld vom Konto verliert, muss es von seiner Bank sofort zurückbekommen, auch wenn die Bank dem Kunden grobe Fahrlässigkeit vorwirft. Das hat der Gerichtshof der Europäischen Union (EuGH) am 15. Oktober 2026 entschieden. Die spanische Verbraucherorganisation OCU spricht von einer sehr guten Nachricht für Betrugsopfer. Das Urteil gilt in der gesamten EU und damit auch für Kunden spanischer Banken auf Fuerteventura.
EuGH: Banken dürfen Phishing-Opfer nicht mit dem Vorwurf grober Fahrlässigkeit abweisen
Das Urteil trägt das Aktenzeichen C‑70/25 (Tukowiecka, ECLI:EU:C:2026:852) und stammt von der Ersten Kammer des Gerichtshofs. Die Richter legen darin Artikel 73 und 74 der EU-Zahlungsdiensterichtlinie (Richtlinie 2015/2366, bekannt als PSD2) aus. Ihr Ergebnis: Eine Bank darf die unverzügliche Erstattung eines nicht autorisierten Zahlungsvorgangs nicht mit der Begründung verweigern, der Kunde habe den Betrug durch grobe Fahrlässigkeit ermöglicht.
Die Richtlinie schreibt vor, dass die Bank den abgebuchten Betrag unverzüglich erstattet, spätestens bis zum Ende des folgenden Geschäftstags, nachdem sie von dem Vorgang erfahren hat oder er ihr gemeldet wurde. Das Konto ist so zu stellen, als hätte es die Abbuchung nie gegeben. Die einzige Ausnahme: Die Bank hat berechtigte Gründe für den Verdacht, dass der Kunde selbst betrügt, und teilt diese Gründe der zuständigen Behörde schriftlich mit. In Spanien ist das die Banco de España.
Erst zahlen, dann streiten
Der Gerichtshof trennt zwei Fragen, die Banken bisher gern zusammengezogen haben: die sofortige Erstattung und die Frage, wer den Schaden am Ende trägt. Die Bank muss zuerst zahlen. Meint sie, der Kunde habe grob fahrlässig gehandelt, kann sie das Geld anschließend von ihm zurückverlangen. Dann muss aber sie diesen Anspruch verfolgen und die grobe Fahrlässigkeit beweisen. Der Kunde muss nicht mehr selbst vor Gericht ziehen, um überhaupt an sein Geld zu kommen.
Eine andere Auslegung würde der Erstattungspflicht nach den Worten des Gerichtshofs ihre praktische Wirksamkeit nehmen. Kunden müssten ihre Ansprüche dann selbst vor Gericht durchsetzen und die Prozesskosten tragen. Das sei mit dem Ziel eines hohen Verbraucherschutzniveaus kaum vereinbar.
Der Fall: 705 Euro nach einem gefälschten Kaufinteressenten
Vorgelegt hatte die Frage das Rayongericht Koszalin in Polen. Eine Kundin der polnischen Bank PKO BP hatte einen Artikel auf einem Online-Auktionsportal angeboten. Ein angeblicher Kaufinteressent schickte ihr einen Link, der wie eine Bestätigung des Portals aussah. Er führte auf eine nachgebaute Seite ihrer Bank, auf der sie ihre Zugangsdaten zum Online-Banking eingab. Mit diesen Daten und einem per SMS erschlichenen Bestätigungscode überwies der Täter 3.000 Zloty, rund 705 Euro, auf sein eigenes Konto. Die Kundin bemerkte den Betrug am nächsten Tag und meldete ihn sofort der Bank und der Polizei. Die Bank lehnte die Erstattung ab, weil die Kundin ihre Sorgfaltspflichten grob fahrlässig verletzt habe.
Das polnische Gericht hatte dem EuGH zudem geschildert, dass die Verweigerung der Erstattung bei den Banken zur Regel geworden sei. Klagen von Banken gegen Kunden wegen grober Fahrlässigkeit gebe es dort keine, Klagen von Verbrauchern gegen Banken dagegen zahlreiche. Generalanwalt A. Rantos hatte sich bereits in seinen Schlussanträgen vom 5. März 2026 für die Linie ausgesprochen, der das Urteil nun folgt.
Was das für Bankkunden in Spanien bedeutet
Nach Darstellung der OCU (Organización de Consumidores y Usuarios) verweigern spanische Banken die Erstattung bei Phishing häufig und berufen sich dabei pauschal auf Pflichtverletzungen der Kunden. Die Banco de España erklärt sich für die Bewertung grober Fahrlässigkeit nicht zuständig und verweist auf die Gerichte. Betroffenen blieb damit oft nur eine Klage. Das Urteil stärkt nach Einschätzung der OCU die Stellung der Opfer deutlich und deckt sich mit ihren eigenen Forderungen zum Schutz vor Onlinebetrug.
Das Urteil betrifft nur nicht autorisierte Zahlungen. Ob ein Vorgang autorisiert war, kann im Einzelfall weiterhin strittig sein. Eine Haftung des Kunden bei grober Fahrlässigkeit schließt der Gerichtshof nicht aus, sie kommt nur nicht mehr vor der Erstattung, sondern danach. Wer Opfer eines Phishing-Betrugs wird, sollte den Vorgang deshalb sofort der Bank und der Policía Nacional oder Guardia Civil melden und schriftlich die Erstattung verlangen. Die OCU bietet Betroffenen Hilfe bei der Rückforderung an.
Weiterführende Links: EuGH-Urteil C‑70/25 vom 15. Oktober 2026 (EUR-Lex), OCU
Mehr zum Thema: Smishing-Welle: Gefälschte SMS der Sozialversicherung im Umlauf
