EuGH, Urteil vom 15. Oktober 2026 – C-70/25 (Tukowiecka)
15. Oktober 2026 | Bankrecht | Onlinebanking-Betrug
Wer durch einen betrügerischen Zugriff auf sein Onlinebanking Geld verliert, erlebt häufig eine weitere Enttäuschung: Die Bank lehnt die Rückzahlung ab. Zur Begründung wird oftmals angeführt, der Kontoinhaber habe seine Zugangsdaten nicht ausreichend geschützt oder Sicherheitsvorkehrungen missachtet.
Mit einer aktuellen Entscheidung vom 15. Oktober 2026 (Az. C-70/25) hat der Europäische Gerichtshof (EuGH) die rechtliche Position betroffener Bankkunden erheblich verbessert.
Der EuGH stellt klar: Bei einer nicht autorisierten Zahlung muss die Bank grundsätzlich unverzüglich erstatten. Der Vorwurf grober Fahrlässigkeit berechtigt sie nicht dazu, diese Erstattung von vornherein zu verweigern.
Für zahlreiche Geschädigte von Phishing, Onlinebanking-Manipulationen und unberechtigten Überweisungen ist dieses Urteil von erheblicher Bedeutung.
Warum Banken die Rückzahlung häufig ablehnen
Cyberkriminelle setzen zunehmend auf professionell organisierte Täuschungsmethoden. Sie verschicken Nachrichten im Namen bekannter Kreditinstitute, manipulieren Internetseiten oder geben sich am Telefon als Bankmitarbeiter aus.
Teilweise gelingt es den Tätern, Zugangsdaten oder Sicherheitsinformationen zu erlangen und anschließend Zahlungen über fremde Bankkonten auszuführen.
Wendet sich der betroffene Kontoinhaber an seine Bank, wird der Erstattungsanspruch nicht selten zurückgewiesen.
Typische Argumente der Kreditinstitute lauten, der Kunde habe seine Zugangsdaten selbst eingegeben, eine TAN weitergegeben oder eine Freigabe über sein Smartphone bestätigt.
Allerdings ist rechtlich zwischen einer technischen Authentifizierung und der wirksamen Autorisierung eines Zahlungsvorgangs zu unterscheiden.
Ebenso wenig führt jede Verletzung einer Sicherheitsvorkehrung automatisch dazu, dass der Bankkunde seinen gesetzlichen Erstattungsanspruch verliert.
Was hat der Europäische Gerichtshof entschieden?
Ausgangspunkt der Entscheidung war ein Phishing-Angriff auf eine Kundin einer polnischen Bank.
Die Betroffene hatte auf einer Onlineplattform einen Gegenstand zum Verkauf angeboten. Ein angeblicher Interessent übermittelte ihr einen Link, der zu einer gefälschten Internetseite führte.
Dort gab die Kundin ihre Onlinebanking-Zugangsdaten ein. Ein unbekannter Täter nutzte die Informationen, um eine Überweisung über rund 700 Euro auszuführen.
Die Bank verweigerte anschließend die Rückzahlung und berief sich auf eine grob fahrlässige Pflichtverletzung.
Der EuGH stellte daraufhin klar, dass die Zahlungsdiensterichtlinie PSD2 eine grundsätzliche Verpflichtung zur unverzüglichen Erstattung nicht autorisierter Zahlungen vorsieht.
Die Bank kann sich dieser Verpflichtung nicht allein dadurch entziehen, dass sie dem Kontoinhaber grobe Fahrlässigkeit vorwirft.
Ein möglicher Schadensersatzanspruch der Bank ist von der zunächst bestehenden Erstattungspflicht zu trennen.
Wann muss die Bank das Geld zurückzahlen?
In Deutschland ergibt sich die gesetzliche Erstattungspflicht insbesondere aus § 675u BGB.
Hat ein Kontoinhaber eine Zahlung nicht autorisiert, muss der Zahlungsdienstleister den belasteten Betrag grundsätzlich unverzüglich erstatten.
Die Rückzahlung hat regelmäßig spätestens bis zum Ende des Geschäftstags zu erfolgen, der auf die Kenntnisnahme oder Mitteilung des nicht autorisierten Zahlungsvorgangs folgt.
Eine gesetzliche Ausnahme besteht insbesondere bei einem begründeten Verdacht, dass der Kunde selbst betrügerisch gehandelt hat, sofern die weiteren gesetzlichen Voraussetzungen erfüllt sind.
Der bloße Verdacht, dass der Kunde unvorsichtig oder grob fahrlässig gewesen sei, genügt hierfür nicht.
Das Urteil verdeutlicht damit, dass die Bank nicht nach Belieben über den Zeitpunkt der Rückerstattung entscheiden darf.
Wer trägt die Beweislast bei Onlinebanking-Betrug?
Besonders wichtig ist die Frage, welche Tatsachen eine Bank nachweisen muss, wenn sie die Autorisierung einer Zahlung behauptet.
Nach § 675w BGB obliegt dem Zahlungsdienstleister der Nachweis bestimmter Voraussetzungen der Authentifizierung und ordnungsgemäßen Ausführung.
Die bloße technische Aufzeichnung, dass ein Zahlungsvorgang mithilfe eines bestimmten Sicherheitsverfahrens durchgeführt wurde, reicht nicht notwendigerweise aus, um eine wirksame Zustimmung des Kontoinhabers zu beweisen.
Auch der Nachweis einer vorsätzlichen oder grob fahrlässigen Pflichtverletzung kann nicht durch pauschale Behauptungen ersetzt werden.
Die Bank muss vielmehr konkrete Umstände vortragen und beweisen, die einen entsprechenden Haftungsanspruch begründen.
Hierzu können insbesondere die tatsächlichen Abläufe des Zahlungsvorgangs, die verwendeten Authentifizierungsverfahren sowie die dem Kunden angezeigten Freigabeinformationen gehören.
Kann die Bank das Geld später zurückfordern?
Das EuGH-Urteil bedeutet nicht, dass der Bankkunde in jedem Betrugsfall endgültig von einer Haftung befreit ist.
§ 675v BGB sieht unter bestimmten Voraussetzungen eine Haftung des Zahlers vor, insbesondere wenn ein Schaden durch eine vorsätzliche oder grob fahrlässige Verletzung gesetzlicher Pflichten verursacht wurde.
Entscheidend ist jedoch die Reihenfolge der rechtlichen Prüfung.
Zunächst muss die Bank bei einer nicht autorisierten Zahlung grundsätzlich ihrer gesetzlichen Erstattungspflicht nachkommen.
Anschließend kann sie gegebenenfalls einen eigenen Schadensersatzanspruch geltend machen.
Ob ein solcher Anspruch tatsächlich besteht, muss anhand des konkreten Sachverhalts geprüft werden.
Dabei sind auch mögliche gesetzliche Haftungsausschlüsse zu berücksichtigen.
Was bedeutet das Urteil für Opfer von Telefonbetrug und manipulierten Überweisungen?
Die Entscheidung kann auch bei anderen Formen des Onlinebanking-Betrugs Bedeutung erlangen.
Hierzu zählen beispielsweise Fälle, in denen Täter unter einer manipulierten Telefonnummer der Bank anrufen, gefälschte Sicherheitsmitteilungen versenden oder mithilfe erlangter Zugangsdaten Überweisungen auslösen.
Voraussetzung bleibt allerdings, dass es sich rechtlich um einen nicht autorisierten Zahlungsvorgang handelt.
Hat der Kunde eine Überweisung selbst wirksam autorisiert, obwohl er über deren wirtschaftlichen Hintergrund getäuscht wurde, können andere rechtliche Maßstäbe gelten.
Deshalb muss in jedem Einzelfall sorgfältig untersucht werden, ob tatsächlich eine Zustimmung zu der konkreten Zahlung vorlag.
Was sollten geschädigte Bankkunden jetzt tun?
Wer Opfer eines Onlinebanking-Betrugs geworden ist, sollte den Sachverhalt möglichst vollständig dokumentieren.
Wesentlich sind insbesondere Kontoauszüge, Nachrichten der Täter, Mitteilungen der Bank und vorhandene Informationen zu den fraglichen Zahlungsvorgängen.
Nicht autorisierte Zahlungen sollten der Bank unverzüglich gemeldet werden.
Verweigert das Kreditinstitut die Erstattung, empfiehlt sich eine rechtliche Prüfung der Ablehnungsgründe.
Dabei ist insbesondere zu untersuchen, ob die Bank die Voraussetzungen einer wirksamen Autorisierung nachweisen kann und ob ein behaupteter Schadensersatzanspruch tatsächlich besteht.
Das Urteil des EuGH vom 15. Oktober 2026 bietet hierfür eine wichtige zusätzliche rechtliche Grundlage.
Fazit: Kreditinstitute können Erstattungsansprüche nicht pauschal zurückweisen
Die aktuelle Entscheidung des Europäischen Gerichtshofs stärkt den Schutz von Bankkunden im europäischen Zahlungsverkehr.
Insbesondere wird klargestellt, dass Banken ihre gesetzliche Erstattungspflicht nicht allein mit dem Vorwurf grober Fahrlässigkeit umgehen dürfen.
Für Geschädigte bedeutet dies eine Verbesserung ihrer rechtlichen Ausgangsposition.
Ob ein Zahlungsdienstleister das Geld endgültig zurückverlangen kann, bleibt eine gesonderte Frage, deren Voraussetzungen die Bank nachweisen muss.
Wer nach einem Phishing-Angriff oder einer unberechtigten Überweisung keine Erstattung erhält, sollte deshalb prüfen lassen, ob ein Rückzahlungsanspruch nach § 675u BGB besteht.
Rechtliche Unterstützung bei Onlinebanking-Betrug
Unsere Kanzlei unterstützt Bankkunden bei der rechtlichen Aufarbeitung unberechtigter Kontobelastungen und der Durchsetzung von Erstattungsansprüchen gegenüber Kreditinstituten.
Wir prüfen insbesondere die gesetzlichen Voraussetzungen nach §§ 675u, 675v und 675w BGB sowie die Auswirkungen der europäischen Rechtsprechung auf den jeweiligen Einzelfall.
Rechtsgrundlagen: EuGH, Urteil vom 15.10.2026 – C-70/25 (Tukowiecka); Art. 73 und 74 Richtlinie (EU) 2015/2366; §§ 675j, 675l, 675u, 675v und 675w BGB.