Kontobetrug: EuGH verlangt Erstattung trotz grober Fahrlässigkeit

EuGH stärkt Bankkunden nach Phishing

Banken müssen Opfern von Kontobetrug das Geld zunächst sofort erstatten, auch wenn sie den Kunden grobe Fahrlässigkeit vorwerfen. Das hat der Gerichtshof der Europäischen Union in Luxemburg in einem Fall aus Polen klargestellt.

Gefälschte Verkaufsseite führt zu Bankdaten

Eine Kundin hatte einen Artikel auf einer Online-Verkaufsplattform angeboten. Ein angeblicher Kaufinteressent schickte ihr einen Link, der den Verkauf bestätigen sollte.

Der Link führte auf eine gefälschte Internetseite im Stil ihrer Bank. Dort gab die Frau ihre Zugangsdaten für das Online-Banking ein. Der Täter nutzte die Daten, um rund 700 Euro auf ein eigenes Konto zu überweisen.

Bank verweigerte zunächst die Erstattung

Die Kundin meldete den Vorgang am nächsten Tag ihrer Bank. Das Institut lehnte eine Rückzahlung ab und begründete dies mit grober Fahrlässigkeit.

Daraufhin zog die Frau vor ein polnisches Gericht. Dieses legte dem EuGH die Frage vor, wie die Regeln des europäischen Zahlungsrechts in einem solchen Fall anzuwenden sind.

Rückforderung bleibt möglich

Nach der Entscheidung müssen Zahlungsdienstleister den Betrag zunächst erstatten, wenn Kundinnen und Kunden den nicht autorisierten Vorgang rechtzeitig melden. Die Bank kann das Geld anschließend von Betroffenen zurückfordern, wenn deren grobe Fahrlässigkeit dafür ursächlich war.

Eine Ausnahme gilt nach EU-Recht, wenn es Gründe für den Verdacht gibt, dass die betroffene Person selbst betrügt. In diesem Fall muss die Bank den Verdacht der zuständigen nationalen Behörde schriftlich mitteilen.

Verbraucherschützer sehen ähnliche Fälle in Deutschland

Eine Expertin des Verbraucherzentrale Bundesverbands erklärte, auch in Deutschland gebe es eine ähnliche Praxis von Banken. Verbraucher müssten häufig erheblichen Aufwand in die Auseinandersetzung mit Zahlungsdienstleistern investieren oder aus Sorge vor Prozesskosten auf den Rechtsweg verzichten.

Das EuGH-Urteil betrifft sogenannte nicht autorisierte Zahlungsvorgänge. Entscheidend ist, dass eine Kundin oder ein Kunde den Zahlungsvorgang nicht selbst freigegeben hat, auch wenn die Täter zuvor Zugangsdaten durch Täuschung erlangt haben. Die Bank muss den Betrag nach der dpa-Meldung zunächst erstatten, sofern der Vorgang rechtzeitig gemeldet wurde.

Damit verschiebt sich das Risiko im ersten Schritt zum Zahlungsdienstleister. Der Kunde muss nicht zunächst in einem langen Streit beweisen, dass er ausreichend vorsichtig gehandelt hat. Die Bank kann eine Rückforderung verlangen, wenn sie eine grobe Fahrlässigkeit des Kunden geltend macht und diese rechtlich durchsetzt.

Phishing bleibt ein praktisches Risiko

Für Verbraucher bedeutet die Entscheidung vor allem eine klare Handlungsfrist: Nach einem Betrug sollten sie die Bank sofort informieren, den Zugang sperren lassen und den Vorgang dokumentieren. Wer Zugangsdaten auf einer gefälschten Internetseite eingibt, kann damit weiterhin Pflichten verletzen; das Urteil nimmt Banken lediglich die Möglichkeit, die Erstattung allein deshalb sofort abzulehnen.

Die Ausnahme für einen schriftlich gemeldeten Betrugsverdacht schützt Zahlungsdienstleister vor missbräuchlichen Erstattungsforderungen. Für die Praxis dürfte deshalb entscheidend bleiben, wie Banken grobe Fahrlässigkeit begründen und wie Gerichte die Umstände des Einzelfalls bewerten. Das Urteil stärkt zugleich das Ziel des EU-Zahlungsrechts, Verbraucher vor den unmittelbaren finanziellen Folgen nicht autorisierter Überweisungen zu schützen.