„Sie haben grob fahrlässig gehandelt – eine Erstattung ist ausgeschlossen.“ Mit diesem Satz haben Banken und Sparkassen jahrelang unzählige Opfer von Phishing, Fake-Anrufen und Online-Banking-Betrug abgewiesen. Seit heute gilt: So geht es nicht mehr. Der Gerichtshof der Europäischen Union hat am 15. Oktober 2026 entschieden, dass die Bank den Betrag eines nicht autorisierten Zahlungsvorgangs zuerst erstatten muss – und erst danach, in einem zweiten Schritt, versuchen darf, den Schaden vom Kunden zurückzuholen. Die Beweislast trägt die Bank.
Wir hatten bereits im März über die Schlussanträge des Generalanwalts in der Rechtssache C-70/25 berichtet und eine kundenfreundliche Entscheidung erwartet. Der Gerichtshof ist dem jetzt gefolgt. Für Bankkunden ist das Urteil ein Wendepunkt: Es verschiebt das Kräfteverhältnis zwischen Bank und Kunde grundlegend – vom „Sie bekommen nichts“ zum „Sie bekommen Ihr Geld zurück, und die Bank muss beweisen, dass sie es wiederhaben darf“.
Das Wichtigste in Kürze
- Erst erstatten, dann streiten. Die Bank muss nicht autorisierte Zahlungen unverzüglich, spätestens bis zum Ende des folgenden Geschäftstags erstatten (Art. 73 Abs. 1 PSD2, § 675u BGB).
- Grobe Fahrlässigkeit ist kein Verweigerungsgrund. Die einzige Ausnahme ist ein begründeter Betrugsverdacht gegen den Kunden selbst, den die Bank der Aufsichtsbehörde schriftlich mitteilen muss.
- Die Bank trägt die Beweislast. Will sie den Betrag zurück, muss sie Vorsatz oder grobe Fahrlässigkeit nachweisen – und notfalls selbst klagen.
- Auch abgelehnte Fälle neu prüfen. Die Auslegung des EuGH gilt auch für frühere Fälle. Achtung: Ansprüche aus dem Jahr 2023 können mit Ablauf des 31.12.2026 verjähren.
- Kostenfreie Ersteinschätzung: Nutzen Sie unser Kontaktformular – wir prüfen Ihren Fall kurzfristig.
1. Das Urteil: EuGH, 15.10.2026 – C-70/25
Der Fall: Phishing über eine Verkaufsplattform
Die Kundin einer polnischen Bank bot auf einer Online-Verkaufsplattform einen Artikel an. Ein angeblicher Kaufinteressent schickte ihr einen Link, der scheinbar von der Plattform stammte und „den Verkauf bestätigen“ sollte. Der Link führte auf eine Seite, die der Website ihrer Bank täuschend ähnlich sah. Dort gab sie ihre Online-Banking-Zugangsdaten ein. Der Täter überwies daraufhin rund 700 Euro auf ein eigenes Konto.
Die Kundin meldete den Vorfall am nächsten Tag. Die Bank lehnte die Erstattung ab: Die Kundin habe ihre personalisierten Sicherheitsmerkmale grob fahrlässig nicht geschützt. Das polnische Gericht legte dem EuGH die Frage vor, ob die Bank trotzdem zur unverzüglichen Erstattung verpflichtet ist.
Wer die deutsche Praxis kennt, erkennt das Muster sofort – es ist das gleiche wie bei den „Kleinanzeigen-Links“, gefälschten Paket-SMS und Fake-Anrufen angeblicher Bankmitarbeiter, mit denen wir täglich zu tun haben.
Die Antwort des Gerichtshofs
Der EuGH bejaht die Erstattungspflicht. Die Kernaussagen nach der Pressemitteilung Nr. 147/26:
- Bei einem nicht autorisierten Zahlungsvorgang muss der Zahlungsdienstleister den Betrag unverzüglich, spätestens bis zum Ende des folgenden Geschäftstags erstatten, nachdem er Kenntnis erlangt hat oder ihm der Vorgang angezeigt wurde.
- Von dieser Pflicht gibt es eine einzige Ausnahme: Die Bank hat berechtigte Gründe für den Verdacht, dass der Kunde selbst einen Betrug begangen hat, und teilt diese Gründe der zuständigen nationalen Behörde schriftlich mit.
- Die Ansicht der Bank, der Kunde habe den Vorgang grob fahrlässig ermöglicht, berechtigt sie nicht, die Erstattung zu verweigern.
- Die Frage der Erstattung ist von der Frage zu trennen, wer den Verlust endgültig trägt. Erst im zweiten Schritt kann die Bank vom Kunden Ersatz verlangen – wenn sie nachweist, dass er vorsätzlich oder grob fahrlässig seine Pflichten verletzt hat.
- Den Nachweis grober Fahrlässigkeit hat der Zahlungsdienstleister zu erbringen.
„Dem Zahlungsdienstleister zu gestatten, die Erstattung von vornherein unter Berufung auf grobe Fahrlässigkeit des Kunden zu verweigern, würde der Pflicht zur unverzüglichen Erstattung die praktische Wirksamkeit nehmen und den Kunden dazu zwingen, ein Verfahren anzustrengen, um seinen Anspruch durchzusetzen, und die sich daraus eventuell ergebenden Nachteile, insbesondere die Kosten zu tragen.“EuGH, Pressemitteilung Nr. 147/26 vom 15.10.2026 zur Rechtssache C-70/25
Download: Pressemitteilung des EuGH zum Urteil C-70/25
Lesen Sie die Entscheidung im Wortlaut der offiziellen Pressemitteilung Nr. 147/26 des Gerichtshofs der Europäischen Union vom 15.10.2026 (PDF, 2 Seiten).
PDF herunterladen Original auf curia.europa.eu
Quelle: Gerichtshof der Europäischen Union, Direktion Kommunikation. Nicht amtliches Dokument zur Verwendung durch die Medien. Den Volltext des Urteils verlinken wir, sobald er auf curia.europa.eu abrufbar ist.
Der Gerichtshof folgt damit im Ergebnis den Schlussanträgen von Generalanwalt Athanasios Rantos vom 5. März 2026. Das Urteil bindet nicht nur das polnische Ausgangsgericht, sondern alle nationalen Gerichte, die über vergleichbare Fragen zu entscheiden haben – also auch die deutschen Amts-, Land- und Oberlandesgerichte sowie den Bundesgerichtshof.
2. Warum das Urteil ein Wendepunkt ist
In Deutschland ist der Erstattungsanspruch in § 675u BGB geregelt. Auf dem Papier war die Rechtslage schon immer kundenfreundlich. In der Praxis lief es anders: Die Banken beriefen sich auf einen Gegenanspruch auf Schadensersatz wegen grober Fahrlässigkeit (§ 675v Abs. 3 BGB) und verweigerten die Erstattung unter dem Gesichtspunkt der unzulässigen Rechtsausübung (§ 242 BGB, „dolo agit“: Niemand soll etwas verlangen, das er sofort wieder herausgeben müsste). Der Bundesgerichtshof hat diese Konstruktion zuletzt noch im Juli 2025 gebilligt (BGH, Urt. v. 22.07.2025 – XI ZR 107/24).
Die Folge: Der Kunde stand ohne sein Geld da und musste selbst klagen – mit Kostenrisiko, Sachverständigengutachten und oft jahrelanger Verfahrensdauer. Genau diese Rollenverteilung kehrt der EuGH jetzt um.
| Frage | Bisherige Bankpraxis in Deutschland | Nach EuGH C-70/25 |
|---|---|---|
| Darf die Bank die Erstattung wegen grober Fahrlässigkeit verweigern? | Ja, regelmäßig über § 242 BGB („dolo agit“) i. V. m. § 675v Abs. 3 BGB | Nein. Einzige Ausnahme: gemeldeter Betrugsverdacht gegen den Kunden selbst |
| Wann muss erstattet werden? | Häufig gar nicht oder erst nach Urteil | Spätestens bis Ende des folgenden Geschäftstags nach Anzeige |
| Wer hat das Geld während des Streits? | Die Bank | Der Kunde |
| Wer muss klagen? | Der Kunde | Die Bank, wenn sie den Betrag zurückhaben will |
| Wer trägt die Beweislast für grobe Fahrlässigkeit? | Die Bank – faktisch aber oft durch Pauschalvorwürfe auf den Kunden verlagert | Die Bank, ausdrücklich klargestellt |
| Wer trägt das Prozess- und Kostenrisiko? | Der Kunde | In erster Linie die Bank |
Wichtig für die realistische Einordnung: Der EuGH hat nicht entschieden, dass grob fahrlässiges Verhalten folgenlos bleibt. Die Bank kann den Schaden weiterhin ersetzt verlangen. Sie muss dafür aber den Kunden zunächst stellen, als wäre der Betrug nicht geschehen, und dann ihren Anspruch darlegen und beweisen. Das ist ein gewaltiger Unterschied: In unzähligen Fällen wird die Bank diesen Aufwand nicht betreiben – oder an der Beweislast scheitern.
Was jetzt mit der deutschen „dolo agit“-Rechtsprechung passiert
Die Pressemitteilung spricht ausdrücklich davon, dass die Bank die Erstattung nicht „von vornherein“ verweigern darf. Die bisherige deutsche Praxis, den Erstattungsanspruch über § 242 BGB mit dem bloßen Hinweis auf einen Gegenanspruch zu Fall zu bringen, ist damit nach unserer Einschätzung in dieser Form nicht mehr mit dem Unionsrecht vereinbar. § 675u BGB ist richtlinienkonform auszulegen. Wie die deutschen Gerichte im Einzelnen mit einer späteren Aufrechnung der Bank umgehen, wird die Rechtsprechung klären müssen. Für Ihre Verhandlungsposition gegenüber der Bank gilt aber schon heute: Die Bank muss zuerst zahlen.
3. Die Rechtslage nach §§ 675u ff. BGB im Licht des Urteils
Die deutschen Vorschriften setzen die Zahlungsdiensterichtlinie (EU) 2015/2366 („PSD2“) um. Sie sind deshalb so auszulegen, wie der EuGH die Richtlinie versteht.
| Vorschrift | Inhalt | Bedeutung nach dem Urteil |
|---|---|---|
| § 675j BGB | Ein Zahlungsvorgang ist nur wirksam, wenn der Zahler ihm zugestimmt hat (Autorisierung). | Überweisungen durch Betrüger sind in aller Regel nicht autorisiert – auch wenn sie mit echten Zugangsdaten ausgelöst wurden. |
| § 675u BGB | Kein Aufwendungsersatzanspruch der Bank; Pflicht zur unverzüglichen Erstattung, spätestens bis Ende des folgenden Geschäftstags. Ausnahme nur bei schriftlich gemeldetem Betrugsverdacht gegen den Zahler. | Kernnorm: Die Erstattung ist der erste Schritt – ohne Vorbehalt der groben Fahrlässigkeit. |
| § 675v BGB | Haftung des Zahlers: bis 50 € bei abhandengekommenen Zahlungsinstrumenten (Abs. 1); voller Schaden bei Betrug, Vorsatz oder grober Fahrlässigkeit (Abs. 3); keine Haftung ohne starke Kundenauthentifizierung (Abs. 4). | Betrifft nur noch die endgültige Verlustverteilung im zweiten Schritt. |
| § 675w BGB | Beweislast der Bank für Authentifizierung und ordnungsgemäße Aufzeichnung; die Aufzeichnung allein genügt nicht, um grobe Fahrlässigkeit zu beweisen. | Verstärkt die Beweislast der Bank. |
| § 675l BGB | Pflicht des Kunden, personalisierte Sicherheitsmerkmale vor unbefugtem Zugriff zu schützen; unverzügliche Anzeige. | Maßstab für den späteren Schadensersatzanspruch der Bank. |
| § 676b Abs. 2 BGB | Ansprüche sind ausgeschlossen, wenn der Kunde die Bank nicht spätestens 13 Monate nach der Belastung unterrichtet. | Frist beachten – unbedingt schriftlich anzeigen. |
Kosten und Zinsen: Die Bank kommt in Verzug
Weil die Erstattung spätestens am folgenden Geschäftstag fällig ist, gerät die Bank bei Verweigerung in Verzug. Daraus folgt nach unserer Einschätzung: Verzugszinsen (§ 288 BGB) und die Kosten der anwaltlichen Durchsetzung können als Verzugsschaden von der Bank zu ersetzen sein (§§ 280 Abs. 1, 2, 286 BGB). Genau dieses Kostenrisiko wollte der EuGH vom Kunden fernhalten.
4. Grobe Fahrlässigkeit: Was die Bank jetzt beweisen muss
Auch im zweiten Schritt ist „grob fahrlässig“ kein Selbstläufer. Grob fahrlässig handelt nur, wer die erforderliche Sorgfalt in ungewöhnlich hohem Maße verletzt und nicht beachtet, was im gegebenen Fall jedem einleuchten musste. Das ist eine Einzelfallfrage, bei der die Raffinesse der Täter, die konkrete Situation und die Sicherheitsarchitektur der Bank eine Rolle spielen.
| Masche | Typisches Argument der Bank | Ansatzpunkte für den Kunden |
|---|---|---|
| Gefälschter Link (Kleinanzeigen, Paketdienst, „Konto gesperrt“) | Zugangsdaten auf fremder Seite eingegeben | Täuschend echte Seite; keine Freigabe eines Zahlungsvorgangs; Phishing allein begründet nicht automatisch grobe Fahrlässigkeit |
| Fake-Anruf „Bankmitarbeiter“, Call-ID-Spoofing | Kunde hat auf Anweisung des Anrufers gehandelt | Echte Banknummer im Display, Täterwissen über Kontodaten, Druck- und Notsituation, eigener Ablauf der Bank |
| Push-TAN-Umstellung, neues Gerät registriert | Freigabe in der App bestätigt | Was zeigte die App tatsächlich an? War der Zahlungsvorgang klar erkennbar? Hat die Bank ein Zweitgerät ohne ausreichende Prüfung zugelassen? |
| Kartenmissbrauch, Google Pay / Apple Pay | Karte wurde mit Code in Wallet eingebunden | Wer hat die Karte digitalisiert? Ungewöhnliche Transaktionsmuster, fehlende Betrugsprävention |
| Echtzeitüberweisungen ins Ausland in Serie | Alle Vorgänge ordnungsgemäß authentifiziert | Auffälliges Zahlungsverhalten, Limits, Monitoring – mögliche Mitverantwortung der Bank (§ 254 BGB) |
Wie sehr es auf die Einzelheiten ankommt, zeigt ein Vergleich zweier aktueller Entscheidungen:
- Das OLG Koblenz verurteilte eine Bank zur Erstattung von über 56.000 Euro: Das Anklicken eines SMS-Links war Teil des vom Anrufer vorgegebenen „Ablaufs“, eine Weitergabe des Freischaltcodes ließ sich nicht nachweisen, die Bank blieb beweisfällig (OLG Koblenz, Urt. v. 17.04.2026 – 8 U 682/24; dazu unser Beitrag zum OLG Koblenz).
- Der BGH bejahte dagegen grobe Fahrlässigkeit in einem Fall, in dem eine Kundin bei einem zweiten Telefonat am Folgetag mehrere TANs aus ihrem TAN-Generator an einen angeblichen Bankmitarbeiter weitergegeben hatte (BGH, Urt. v. 22.07.2025 – XI ZR 107/24).
Nach dem EuGH-Urteil ändert sich in beiden Konstellationen die Reihenfolge: Zunächst ist zu erstatten. Ob die Bank den Betrag später zurückverlangen kann, ist eine gesonderte Frage – mit der Beweislast bei der Bank.
Wir prüfen kostenfrei, ob Sie sich auf das EuGH-Urteil berufen können.
Jetzt Fall schildern
5. Betroffen? So setzen Sie Ihre Erstattung jetzt durch
Sperren, melden, anzeigen
Online-Banking und Karte sperren (Sperr-Notruf 116 116), die Bank schriftlich über den nicht autorisierten Vorgang informieren und Strafanzeige bei der Polizei erstatten.
Erstattung schriftlich verlangen
Unter Hinweis auf § 675u BGB und EuGH C-70/25 die Erstattung bis zum Ende des folgenden Geschäftstags fordern. Keine Schuldanerkenntnisse unterschreiben.
- Beweise sichern. Screenshots von SMS, E-Mails, Chatverläufen, Anruflisten (mit angezeigter Nummer), Kontoauszügen und App-Benachrichtigungen. Schreiben Sie ein Gedächtnisprotokoll – so früh wie möglich.
- Schriftlich anzeigen. Teilen Sie der Bank mit, dass Sie den Zahlungsvorgang nicht autorisiert haben. Bewahren Sie einen Nachweis über den Zugang auf. Die 13-Monats-Frist des § 676b Abs. 2 BGB ist eine Ausschlussfrist.
- Erstattung ausdrücklich verlangen. Berufen Sie sich auf § 675u BGB und das EuGH-Urteil. Die Bank darf die Erstattung nicht mit dem Vorwurf grober Fahrlässigkeit verweigern.
- Keine Fragebögen „blind“ ausfüllen. Viele Banken schicken standardisierte Schadensfragebögen. Formulierungen wie „Ich habe die TAN auf Aufforderung eingegeben“ werden später als Eingeständnis grober Fahrlässigkeit verwendet. Lassen Sie solche Erklärungen vorher prüfen.
- Ablehnung nicht hinnehmen. Lehnt die Bank ab, verweist sie auf grobe Fahrlässigkeit oder reagiert sie nicht, ist anwaltliche Hilfe sinnvoll. Wir setzen die Bank mit Fristsetzung in Verzug, führen auf Wunsch ein Schlichtungsverfahren (wie in unserem Verfahren gegen N26) oder erheben Klage.
- Rechtsschutzversicherung einbinden. Streitigkeiten mit der Bank sind häufig gedeckt. Wir übernehmen die Deckungsanfrage.
„… zeige ich an, dass ich die Belastung meines Kontos Nr. … vom … über … EUR nicht autorisiert habe. Ich fordere Sie auf, den Betrag gemäß § 675u Satz 2 BGB unverzüglich, spätestens bis zum Ende des folgenden Geschäftstags, zu erstatten und mein Konto auf den Stand zu bringen, auf dem es sich ohne die Belastung befunden hätte. Nach dem Urteil des Gerichtshofs der Europäischen Union vom 15.10.2026 (C-70/25) sind Sie nicht berechtigt, die Erstattung unter Berufung auf eine angebliche grobe Fahrlässigkeit zu verweigern.“
Die Formulierungshilfe ersetzt keine Prüfung des Einzelfalls. Bei höheren Beträgen oder bereits erfolgter Ablehnung empfehlen wir die anwaltliche Geltendmachung.
6. Bereits abgelehnt? Altfälle und Verjährung
Viele Betroffene haben die Ablehnung ihrer Bank in den vergangenen Jahren hingenommen. Das muss nicht das letzte Wort sein. Der EuGH legt mit seinem Urteil die bestehende Richtlinie aus; diese Auslegung gilt grundsätzlich auch für Sachverhalte vor dem Urteil.
Fristen im Blick behalten
- Verjährung: Der Erstattungsanspruch verjährt in der regelmäßigen Frist von drei Jahren, beginnend mit dem Schluss des Jahres, in dem er entstanden ist und der Kunde die maßgeblichen Umstände kannte (§§ 195, 199 BGB). Für Fälle aus dem Jahr 2023 bedeutet das häufig: Verjährung mit Ablauf des 31.12.2026. Ob die Verjährung durch Verhandlungen oder ein Schlichtungsverfahren gehemmt war, ist im Einzelfall zu prüfen.
- Anzeigefrist: Wurde die Bank nicht innerhalb von 13 Monaten nach der Belastung unterrichtet, kann der Anspruch nach § 676b Abs. 2 BGB ausgeschlossen sein.
- Laufende Verfahren: In anhängigen Klagen und Schlichtungsverfahren sollte das Urteil sofort eingeführt werden.
Unsere Erfahrung zeigt, dass Banken bei fundiertem anwaltlichem Vortrag häufig einlenken. So haben wir unter anderem Erstattungen von 43.667,27 Euro gegenüber der Postbank und 18.000 Euro gegenüber der DKB durchgesetzt (weitere Beispiele auf unserer Seite Online-Banking-Betrug). Mit dem EuGH-Urteil im Rücken verbessert sich die Ausgangslage für Kunden erheblich.
7. Rechtsprechungsübersicht
| Gericht, Datum, Az. | Kernaussage |
|---|---|
| EuGH, 15.10.2026 – C-70/25 („Tukowiecka“) | Bank muss nicht autorisierte Zahlungen unverzüglich erstatten, auch wenn sie dem Kunden grobe Fahrlässigkeit vorwirft. Rückforderung erst im zweiten Schritt; Beweislast bei der Bank. |
| GA Rantos, Schlussanträge v. 05.03.2026 – C-70/25 | „Erst erstatten, dann streiten“: Die PSD2 sieht keine Ausnahme wegen grober Fahrlässigkeit vor; kein Spielraum für die Mitgliedstaaten. |
| OLG Koblenz, 17.04.2026 – 8 U 682/24 | Erstattung von über 56.000 Euro nach Fake-Anruf und Push-TAN-„Umstellung“; Bank muss grobe Fahrlässigkeit konkret beweisen. |
| BGH, 22.07.2025 – XI ZR 107/24 | Grobe Fahrlässigkeit bei telefonischer Weitergabe mehrerer TANs; Bank durfte Erstattung über § 242 BGB verweigern. Diese Konstruktion steht nach EuGH C-70/25 auf dem Prüfstand. |
8. Häufige Fragen
Darf meine Bank die Erstattung wegen grober Fahrlässigkeit verweigern?
Nach dem EuGH-Urteil vom 15.10.2026 nicht. Die Bank muss zunächst erstatten. Einzige Ausnahme ist ein begründeter Betrugsverdacht gegen Sie selbst, den die Bank der Aufsichtsbehörde schriftlich melden muss. Grobe Fahrlässigkeit kann sie erst danach geltend machen – und muss sie beweisen.
Muss ich das Geld später an die Bank zurückzahlen?
Nur, wenn die Bank nachweist, dass Sie vorsätzlich oder grob fahrlässig gehandelt haben. Zahlen Sie nicht freiwillig, muss die Bank ihren Anspruch selbst durchsetzen. Lassen Sie eine Rückforderung der Bank in jedem Fall anwaltlich prüfen.
Gilt das Urteil auch in Deutschland? Der Fall spielte doch in Polen.
Ja. Der EuGH legt die EU-Zahlungsdiensterichtlinie aus, die in allen Mitgliedstaaten gilt und in Deutschland durch §§ 675c ff. BGB umgesetzt ist. Deutsche Gerichte sind an diese Auslegung gebunden.
Gilt das Urteil auch für Fälle, die die Bank schon abgelehnt hat?
Grundsätzlich ja, solange der Anspruch nicht verjährt oder nach § 676b Abs. 2 BGB ausgeschlossen ist. Für Fälle aus 2023 läuft die Verjährung häufig zum 31.12.2026 ab.
Welche Fälle sind erfasst?
Alle nicht autorisierten Zahlungsvorgänge: Überweisungen nach Phishing, Fake-Anrufen oder Schadsoftware, missbräuchliche Kartenzahlungen, Wallet-Zahlungen (Google Pay, Apple Pay) und Lastschriften ohne Mandat. Nicht erfasst sind Zahlungen, die Sie selbst – wenn auch getäuscht – autorisiert haben, etwa beim Anlagebetrug; dort kommen andere Anspruchsgrundlagen in Betracht.
Was kostet die Prüfung meines Falls?
Die Ersteinschätzung ist kostenfrei. Besteht eine Rechtsschutzversicherung, klären wir die Deckung. Verweigert die Bank die Erstattung pflichtwidrig, können die Anwaltskosten als Verzugsschaden von der Bank zu ersetzen sein.
Ihre Chance nach dem EuGH-Urteil: Lassen Sie Ihren Erstattungsanspruch prüfen
Ob Phishing-Link, Fake-Anruf oder Kartenmissbrauch – ob Ihre Bank gerade abgelehnt hat oder der Fall schon länger zurückliegt: Schildern Sie uns kurz, was passiert ist. Rechtsanwalt Rolf Siburg, Fachanwalt für Bank- und Kapitalmarktrecht, prüft Ihre Unterlagen und meldet sich mit einer kostenfreien Ersteinschätzung. Telefonisch erreichen Sie uns unter 030 20 60 30 40.
Ihre Anfrage begründet noch kein Mandat. Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall. Er beruht auf der Pressemitteilung Nr. 147/26 des Gerichtshofs der Europäischen Union vom 15.10.2026; der Volltext des Urteils wird ausgewertet. Stand: 15. Oktober 2026.
