EU-Gericht: Banken müssen Phishing-Opfer sofort entschädigen, auch bei Fahrlässigkeit

Das Urteil

Der Gerichtshof der Europäischen Union hat am Donnerstag, dem 15. Oktober 2026, entschieden, dass eine Bank Geld, das durch eine nicht autorisierte Transaktion abgeflossen ist, unverzüglich zurückerstatten muss – auch dann, wenn sie behauptet, der Kunde habe grob fahrlässig gehandelt. Das Urteil beantwortete eine Frage eines polnischen Gerichts zu Fällen wie Phishing, bei dem gestohlene Zugangsdaten genutzt werden, um Geld von einem Konto abzuziehen. Nach der Begründung des Gerichts ist die Rückerstattung bis zum Ende des nächsten Werktags nach Entdeckung oder Meldung der Transaktion fällig. Eine Bank darf die Zahlung nur dann zurückhalten, wenn sie begründeten Anlass zu der Vermutung hat, dass der Kunde den Betrug selbst begangen hat, und muss auch dann die nationale Behörde schriftlich benachrichtigen.

Der polnische Fall

Der Streit betraf eine Kundin einer polnischen Bank, die einen Artikel zum Verkauf online eingestellt hatte. Eine Person, die sich als Käufer ausgab, schickte ihr einen Link, der zu einer gefälschten Seite führte, die der Website ihrer Bank ähnelte, und dort gab sie ihre Online-Banking-Zugangsdaten ein. Der Betrüger nutzte sie für eine Überweisung von etwa 700 Euro, wie pb.pl und Handelsblatt berichteten, während Rzeczpospolita die Summe mit 3.000 Zloty angab und PKO Bank Polski als die Bank nannte. Sie meldete die Überweisung am folgenden Tag, doch die Bank weigerte sich mit dem Argument, sie habe ihre Zugangsdaten grob fahrlässig geschützt. Der Fall ging an ein Bezirksgericht in Koszalin, das die Frage dem EU-Gericht vorlegte, und Rzeczpospolita berichtete, der polnische Richter habe argumentiert, dass das Risiko nicht autorisierter Transaktionen nach der Richtlinie 2015/2366 und nationalem Recht vollständig bei den Zahlungsdienstleistern liege.

Was die Bank später tun kann

Das Urteil trennt die Pflicht zur schnellen Zahlung von der Frage, wer letztlich den Verlust trägt. Eine Bank, die später nachweist, dass eine Transaktion auf grober Fahrlässigkeit des Kunden beruhte, kann Rückforderung verlangen, wobei die Beweislast bei der Bank liegt. Laut Rzeczpospolita befand das Gericht, die Bank sei nicht berechtigt, zu beurteilen, ob der Kunde fahrlässig gehandelt habe, und dürfe diese Einschätzung nicht nutzen, um eine Rückerstattung zu verweigern. VRT NWS berichtete, belgische Gerichte seien bereits zu ähnlichen Entscheidungen gelangt und EU-Recht habe Vorrang vor nationaler Rechtsprechung, was dem Urteil über die betroffene Summe hinaus Gewicht verleihe. Kunden müssen nicht autorisierte Transaktionen weiterhin unverzüglich melden, und die Stelle des Finanzombudsmanns erklärte, Ansprüche verjähren, wenn innerhalb von 13 Monaten nach der Belastung des Kontos keine Meldung erfolgt.

Ombudsmann und Verbraucherverbände

Michał Ziemiak, Polens Finanzombudsmann, kommentierte das Urteil und betonte, der Kunde sei das Opfer des Betrugs.

Ein Kunde, der einen Betrug meldet, ist ein Opfer, und die Tatsache, dass er auf eine Manipulation hereingefallen ist, bedeutet nicht, dass man ihm die Schuld geben und eine Rückerstattung verweigern kann.

Die Stelle des Ombudsmanns erklärte, sie habe in den Jahren 2022–2025 mehr als 10.000 Anträge zu nicht autorisierten Zahlungstransaktionen erhalten, von Menschen, deren Banken oder Zahlungsinstitute Rückerstattungen verweigerten, oft unter Berufung auf grobe Fahrlässigkeit. Ein Experte des Verbraucherzentrale Bundesverbands (vzbv) sagte, eine ähnliche Praxis sei auch in Deutschland zu beobachten. Verbraucher dort betreiben erheblichen Aufwand für Streitigkeiten, geben auf, akzeptieren ungünstige Vergleichsangebote oder meiden die Gerichte wegen des Risikos von Prozesskosten.