Phishing-Betrug: Banken dürfen Erstattung nicht wegen grober Fahrlässigkeit ablehnen

Der Gerichtshof der Europäischen Union hat die Rechte von Verbrauchern bei Cyberbetrug gestärkt. Zahlungsdienstleister müssen nicht autorisierte Zahlungsvorgänge grundsätzlich unverzüglich erstatten, spätestens bis zum Ende des folgenden Geschäftstags.

Wie aus einer Gerichtsentscheidung (Az. C-70/25) hervorgeht, dürfen Finanzinstitute eine solche Rückzahlung nicht mit der Begründung verweigern, der betroffene Kunde habe die Abbuchung durch grob fahrlässiges Verhalten selbst ermöglicht.

Strenge Vorgaben für Zahlungsdienstleister

Die Richter stellten klar, dass sich Institute gemäß der europäischen Zahlungsdiensterichtlinie PSD II zunächst an die Erstattungspflicht halten müssen. Als einzige Ausnahme gilt ein begründeter Verdacht, dass der Kontoinhaber selbst in betrügerischer Absicht handelt. In diesem Fall muss das Institut den Verdacht jedoch schriftlich der zuständigen nationalen Behörde melden.

Ein Regressanspruch gegen den Kunden steht Banken erst in einem nachgelagerten zweiten Schritt offen. Wenn ein Finanzinstitut das erstattete Geld wegen Vorsatzes oder grober Fahrlässigkeit zurückfordern will, trägt die Bank hierfür die volle Beweislast. Ziel der Rechtsprechung ist ein hohes Schutzniveau für Bankkunden, die verdächtige Transaktionen wiederum umgehend melden müssen.

Fallbeispiele und die bisherige Praxis

Anlass des Verfahrens vor dem europäischen Gericht war die Klage einer Kundin der polnischen PKO BP. Die Frau verlor rund 3.000 Zloty, was etwa 700 bis 705 Euro entspricht, nachdem sie beim Online-Verkauf Opfer eines Phishing-Angriffs geworden war.

Online-Banking per Smartphone ist heute Standard, doch ohne die richtigen Sicherheitsvorkehrungen riskieren Nutzer folgenschwere Datenverluste. Dieser kostenlose Ratgeber zeigt Ihnen 5 einfache Schritte, mit denen Sie Ihr Gerät sofort effektiv gegen Hackerangriffe absichern können. Gratis-Sicherheitspaket für Ihr Smartphone jetzt herunterladen

Ein Unbekannter erlangte dabei einen Bestätigungscode per SMS. Obwohl die Kundin den Vorfall am folgenden Tag meldete, weigerte sich die Bank zu zahlen; die eigentlichen Täter konnten nicht ermittelt werden.

Das Urteil entfaltet auch direkte Bedeutung für deutsche Geldhäuser. Bislang urteilten nationale Gerichte mitunter anders: So hatte das Oberlandesgericht Oldenburg 2025 einen Anspruch auf Erstattung in einem ähnlichen Fall noch abgewiesen. Für Betroffene geht es oft um erhebliche Summen.

In Thüringen etwa verlor der Arzt Rudolf Wolter mehr als 100.000 Euro, nachdem er einen täuschend echt wirkenden Bankbrief samt QR-Code erhalten und eingescannt hatte. Andernorts gerieten Institute bereits ins Visier der Gerichte: Das Landgericht Berlin II verurteilte die Apobank wegen unzureichender Maßnahmen zur Betrugsprävention.

Da herkömmliche Passwörter oft die größte Schwachstelle bei Online-Konten darstellen, setzen Experten zunehmend auf moderne Alternativen wie Passkeys. Erfahren Sie in diesem kostenlosen Report, wie Sie diese Technologie bei Diensten wie Amazon oder WhatsApp nutzen, um Phishing und Datenklau wirksam zu verhindern. Kostenlosen Passkey-Ratgeber hier anfordern

Reaktionen von Verbraucherschützern und Ausmaß der Schäden

Verbraucherschützer begrüßten den Richterspruch. Die Vorständin des Verbraucherzentrale Bundesverbands, Ramona Pop, mahnte flankierendes gesetzgeberisches Handeln an. Die neue Zahlungsdiensteverordnung der Europäischen Union (PSR) ist bislang noch nicht in Kraft getreten. Eine Expertin des Verbands wies darauf hin, dass Kunden in Deutschland bei Erstattungsverweigerungen bislang häufig das Prozesskostenrisiko gescheut hätten.

Das Ausmaß krimineller digitaler Transaktionen ist europaweit beträchtlich. Für Belgien bezifferte die Wissenschaftlerin Sofie Royer von der KU Leuven den Gesamtschaden durch Phishing für das Jahr 2024 auf 49 Millionen Euro. Der belgische Konsumentenminister Rob Beenders erklärte hierzu, die Banken seien den gesetzlichen Vorgaben seit einem Jahrzehnt nicht gefolgt, weshalb auch retroaktive Rückforderungen rechtlich möglich seien.

Juristen raten Betrugsopfern zu einem standardisierten Vorgehen: Nach Feststellung einer verdächtigen Abbuchung sollte umgehend die Bank informiert und der Zugang zu Konten, Karten und Online-Banking gesperrt werden. Neben der formellen Erstattungsforderung empfiehlt ein Fachanwalt für Bankrecht, sämtliche Belege wie verdächtige Nachrichten oder Screenshots zu sichern und Anzeige bei der Polizei zu erstatten.