EuGH-Urteil C-70/25: Bank muss Phishing-Opfern erst Schaden erstatten – auch bei grober Fahrlässigkeit. Opfer von Phishing-Angriffen können nun von ihrer Bank zügige Rückerstattung verlangen und bei Ablehnung sofort klagen. Wer den Verlust am Ende tragen muss, entscheidet sich danach.
Bahnbrechendes EuGH Urteil bringt Hoffnung für Phishing Opfer:
Mit dem lang erwarteten Urteil des EuGH vom 15.10.2026 entscheidet das Gericht, dass Banken bei nicht vom Kontoinhaber autorisierten Überweisungen oder Abbuchungen den Schadensbetrag sofort nach Schadnesmeldung dem Konto wieder gutschreiben müssen. Dies ist ein sehr wichtiger Punkt, da Bankkunden bei einem Phishing Fall bisher oft jahrelang klagen und auf den Ausgleich des Kontos warten mussten. Denn Banken wenden bei einem Betrugsfall mit Kreditkaren oder beim Onlinebanking regelmäßig ein, dass der Kunde grog fahrlässig gehandelt habe und verweigern so die im BGB geregelte sofortige Erstattung. Jetzt und mit der neuen Rechtslage, müssen Banken und Sparkassen den Schaden erstmal dem Konto gutschreiben. Nur wenn der Bankkunde grob fahrlässig gehandelt hat, kann der Betrag in einem Folgeprozess zurückgefordert werden.
Der Gerichtshof verwies auf das Ziel, ein hohes Maß an Verbraucherschutz zu gewährleisten, der dem Bankensenat des Bundesgerichtshofes (BGH) in der Vergangenheit nach unserer Auffassung oft nicht so wichtig erschien.
Phishing – Sachverhalt zum EuGH Urteil
Eine polnische Bankkundin bot auf einer Online-Verkaufsplattform einen Artikel an. Ein angeblicher Käufer schickte ihr einen Link zur Bestätigung des Verkaufs. Er führte auf eine täuschend echte Kopie der Bank-Website, auf der die Kundin ihre Zugangsdaten eingab. Der Täter überwies rund 700 Euro auf sein Konto. Die Bank lehnte eine Erstattung ab. Sie warf der Frau vor, ihre Zugangsdaten nicht ausreichend geschützt und grob fahrlässig gehandelt zu haben. Die Kundin klagte auf Erstattung vor einem polnischen Gericht. Da es für die Frage des Erstattungsanspruches nach Ansicht des polnischen Gerichtes entscheidend auf die Auslegung europäischer Normen ankam, wandte es sich per Vorabentscheidungsersuchen an den EuGH. Dieser entscheidet gemäß Art. 267 des Vertrages über die Arbeitsweise der Europäischen Union (AEUV) letztverbindlich über die Auslegung von EU-Recht.
Zahlungsdiensterichtlinie sieht sofortige Erstattung vor
Es geht um die EU-Zahlungsdiensterichtlinie 2015/2366, kurz PSD II. Gemäß Art. 73 Abs. 1 PSD II muss der Zahlungsdienstleister einen nicht autorisierten Zahlungsvorgang unverzüglich, spätestens bis zum Ende des folgenden Geschäftstags, erstatten.
Dagegen regelt Art. 74 Abs. 1 PSD II, dass ein Kunde, der vorsätzlich oder grob fahrlässig handelt, grundsätzlich den entstandenen Verlust selbst tragen muss.
Das Urteil betrifft auch deutsche Banken, da europäisches Recht hier anzuwenden und von nationalen Gerichten zu beachten ist. Die Verbraucherzentrale des Bundes sowie auch Fachanwälte für Bank- und Kapitalmarktrecht werfen Kreditinstituten vor, Erstattungen unrechtmäßig zu verweigern, und fordert seit Längerem die Durchsetzung der Rückerstattungspflicht.
Phishing nach deutschem Recht:
§ 675u BGB regelt, dass Banken bei nicht authorisierten Kontobewegungen den Schaden ersatten müssen und ist entsprechend richtlinienkonform auszulegen. Verweigert die Bank die fällige Erstattung, gerät sie am Folgetag der Sachadensmeldung in Verzug. Zinsen und Anwaltskosten sind dann als Verzugsschaden von ihr ebenfalls zu erstatten.
Diese Fristen müssen Sie bei Phishing Fällen beachten:
Die Bank muss unverzüglich, spätestens aber 13 Monate nach der Belastung unterrichtet werden (§ 676b Abs. 2 BGB). Der Erstattungsanspruch verjährt regelmäßig in drei Jahren zum Jahresende, Wenn Sie zum Beispiel einen Phishing Fall im Jahr 2023 hattten, so verjährt und erlischt der Anspruch zum 31.12.2026. Sie müssen dann vor Jahresende Klage gegen die Bank erheben oder ggf eine Schlichtung bei dem zuständigen Schlichtugsstelle einreichen.
Rechtsschutzversicherungen lehnen Deckung von Phishing Fällen ab
Nach unserer Erfahrung lehnen Rechtsschutzversicherungen oft die Deckung eines Phishing Falles ab und berufen sich hierbei auf eine von der Bank aussergerichtlich eingewandte grobe Fahrlässigkeit des Bankkunden. Dieses bislang mögliche Vorgehen ist nun vertragswidrig. Auch Rechtsschutzversicherungen müssen in der Regel die Deckungszusage schon bei Schilderung eines Phishing-Falles geben und können sich nicht mehr auf den Einwand einer eventuellen groben Fahrlässigkeit berufen.
Lesen Sie hier mehr zum Thema Phishing
Justus rät:
Lassen Sie sich jetzt und sofort nach einem Phishing Fall durch einen Fachanwalt für Bank- und Kapitalmarktrecht beraten. Wir bieten ihnen die kostenfreie Erstberatung durch Rechtsanwalt Steffan und Deckungsanfrage bei ihrer Rechtsschutzversicherung an.
