Phishing: Bank erstattet nicht? So bekommen Sie Ihr Geld zurück

Illustration eines Phishing-Angriffs mit Angelhaken, gefälschter E-Mail und Passwortfeld

Das Wichtigste in Kürze

Abbuchungen, die Betrüger nach einem Phishing‑Angriff auslösen, sind nicht autorisiert. Die Bank muss sie nach § 675u BGB erstatten.
Der EuGH hat am 15. Oktober 2026 (C‑70/25) entschieden: Der Vorwurf grober Fahrlässigkeit berechtigt die Bank nicht, die sofortige Erstattung zu verweigern.
Die Bank muss die grobe Fahrlässigkeit beweisen. Ohne diesen Nachweis haften Sie höchstens mit 50 Euro.
Handeln Sie schnell: Sperren, Bank schriftlich informieren, Anzeige erstatten, Beweise sichern.

Was beim Phishing passiert

Beim Phishing bringen Betrüger Bankkunden dazu, ihre Zugangsdaten auf einer gefälschten Seite einzugeben oder eine Freigabe in der Banking‑App zu erteilen. Die Täter nutzen die Daten anschließend, um Geld vom Konto zu überweisen, oft per Echtzeitüberweisung ins Ausland. Typische Varianten sind:

E‑Mail‑Phishing: Angebliche Nachrichten der Bank zu Sicherheitsupdates, gesperrten Konten oder neuen AGB.
SMS‑Phishing (Smishing): Kurznachrichten mit Link, etwa zur „Aktualisierung des pushTAN‑Verfahrens“ oder zu einem Paket.
Kleinanzeigen‑Phishing: Ein angeblicher Käufer schickt einen Link zum „sicheren Bezahlen“, der auf eine nachgebaute Bankseite führt. Genau so lag der Fall, über den der EuGH 2026 entschieden hat.
Kombination mit Anruf: Nach der Phishing‑Nachricht ruft ein falscher Bankmitarbeiter an. Mehr dazu in unserem Ratgeber zum Telefonbetrug.

Die Rechtslage: Wer haftet beim Phishing?

Das Gesetz unterscheidet zwischen autorisierten und nicht autorisierten Zahlungen. Autorisiert ist eine Zahlung nur, wenn der Kontoinhaber ihr zugestimmt hat. Wenn Betrüger mit erbeuteten Daten eine Überweisung auslösen, fehlt diese Zustimmung. Daraus folgen klare Regeln:

Situation	Wer trägt den Schaden?	Rechtsgrundlage
Zahlung nicht autorisiert, Kunde nicht grob fahrlässig	Die Bank. Der Kunde haftet höchstens mit 50 Euro.	§ 675u, § 675v Abs. 1 BGB
Bank hat keine starke Kundenauthentifizierung verlangt	In der Regel die Bank, selbst bei Fahrlässigkeit des Kunden	§ 675v Abs. 4 BGB
Kunde handelte nachweislich grob fahrlässig	Der Kunde, aber die Bank muss zuerst erstatten und den Nachweis führen	§ 675v Abs. 3 BGB, EuGH C‑70/25
Kunde handelte in Betrugsabsicht	Der Kunde	§ 675v Abs. 3 BGB

Wichtig ist außerdem die Beweislast. Bestreitet der Kunde, die Zahlung autorisiert zu haben, muss die Bank das Gegenteil beweisen (§ 675w BGB). Dass eine TAN technisch korrekt eingegeben wurde, reicht dafür nach dem Gesetz nicht notwendigerweise aus. Der Bundesgerichtshof hat im Urteil vom 5. März 2024 (XI ZR 107/22) bestätigt, dass die Bank die Autorisierung beweisen muss.

Das EuGH‑Urteil vom 15. Oktober 2026 (C‑70/25)

Eine polnische Bankkundin wollte einen Artikel auf einer Online‑Plattform verkaufen. Ein angeblicher Käufer schickte ihr einen Link, der zu einer gefälschten Bankseite führte. Sie gab dort ihre Zugangsdaten ein, die Täter überwiesen umgerechnet etwa 700 Euro. Die Bank verweigerte die Erstattung mit der Begründung, die Kundin habe grob fahrlässig gehandelt.

Der Europäische Gerichtshof hat entschieden, dass die Bank so nicht vorgehen darf. In der Pressemitteilung des Gerichts heißt es:

„Dass der Zahlungsdienstleister der Ansicht ist, der Kunde habe den nicht autorisierten Zahlungsvorgang durch grobe Fahrlässigkeit ermöglicht […], berechtigt ihn nicht dazu, die unverzügliche Erstattung zu verweigern.“

Der EuGH trennt zwei Fragen: Erstens muss die Bank den Betrag unverzüglich erstatten, spätestens bis zum Ende des folgenden Geschäftstags. Zweitens kann sie danach vom Kunden die Erstattung des Verlusts verlangen, aber nur, wenn sie nachweist, dass der Kunde vorsätzlich oder grob fahrlässig gehandelt hat. Die einzige Ausnahme von der sofortigen Erstattung ist ein begründeter Verdacht, dass der Kunde selbst betrogen hat. Diesen Verdacht muss die Bank der zuständigen Behörde schriftlich mitteilen.

Das Gericht begründet das mit dem Verbraucherschutz: Dürfte die Bank von vornherein ablehnen, müsste der Kunde selbst klagen und das Kostenrisiko tragen. Genau das will die EU-Zahlungsdiensterichtlinie verhindern.

Was bedeutet das Urteil für Kunden deutscher Banken?

Das Urteil bindet alle nationalen Gerichte, die über vergleichbare Fragen entscheiden, also auch deutsche Gerichte. In Deutschland haben Banken die Erstattung bisher häufig mit einem eigenen Schadensersatzanspruch wegen grober Fahrlässigkeit verrechnet. Der Bundesgerichtshof hatte einen solchen Anspruch der Bank etwa im Urteil vom 22. Juli 2025 (XI ZR 107/24) bejaht. Nach dem EuGH‑Urteil gilt: Die Bank muss zuerst zahlen und die grobe Fahrlässigkeit anschließend selbst beweisen. Wie deutsche Gerichte die Vorgaben im Detail umsetzen, wird sich in den kommenden Monaten zeigen. Für Betroffene ist das Urteil aber ein starkes Argument gegen pauschale Ablehnungen.

Wann liegt grobe Fahrlässigkeit vor?

Grob fahrlässig handelt, wer die erforderliche Sorgfalt in besonders schwerem Maß verletzt und naheliegende Überlegungen nicht anstellt. Ob das der Fall ist, entscheiden Gerichte immer im Einzelfall. Aus der Rechtsprechung lassen sich Tendenzen ableiten:

Spricht eher gegen grobe Fahrlässigkeit	Spricht eher für grobe Fahrlässigkeit
Täuschend echte Nachricht oder Anruf mit echter Bank‑Rufnummer	Mehrere deutliche Warnhinweise der Bank wurden ignoriert
Täter kannten persönliche Daten des Kunden	TANs wurden mehrfach am Telefon vorgelesen oder weitergegeben
Unklare Anzeige in der App, z. B. nur „Karte registrieren“	Empfänger‑IBAN und hohe Beträge wurden selbst in den TAN‑Generator eingegeben
Code wurde gar nicht auf dem eigenen Gerät angezeigt	Ungewöhnliche Uhrzeit und Aufforderung, Software zu installieren

So hat das OLG Koblenz im April 2026 eine Sparkasse zur Erstattung von mehr als 56.000 Euro verurteilt, weil der Kunde von Tätern mit gefälschter Bank‑Rufnummer getäuscht worden war und die Bank die Weitergabe von Sicherheitsdaten nicht beweisen konnte. Umgekehrt sah der BGH in den Fällen XI ZR 107/24 und XI ZR 20/24 grobe Fahrlässigkeit, weil die Kunden TANs am Telefon an angebliche Bankmitarbeiter weitergegeben hatten. Eine Übersicht finden Sie auf unserer Seite Rechtsprechung.

Schritt für Schritt zur Erstattung

Sofort sperren: Online‑Banking, Karten und Wallets über die Bank oder den Sperr‑Notruf 116 116 sperren lassen.
Bank schriftlich informieren: Jede nicht autorisierte Zahlung mit Datum und Betrag melden und ausdrücklich die Erstattung nach § 675u BGB verlangen. Setzen Sie eine kurze Frist.
Strafanzeige erstatten: Online bei der Polizei Ihres Bundeslandes. Das Aktenzeichen hilft später gegenüber der Bank.
Beweise sichern: Phishing‑Mail oder SMS, Screenshots der gefälschten Seite, Anrufliste, Kontoauszüge. Löschen Sie nichts.
Ablehnung prüfen lassen: Lehnt die Bank ab oder reagiert nicht, reichen Sie Ihren Fall bei uns ein. Die Ersteinschätzung ist kostenlos, die Durchsetzung übernimmt unsere Partnerkanzlei.

Frist beachten: Der Anspruch ist ausgeschlossen, wenn Sie die nicht autorisierte Zahlung nicht spätestens 13 Monate nach der Belastung bei der Bank anzeigen (§ 676b Abs. 2 BGB).

Häufige Fragen

Muss die Bank nach Phishing den Schaden ersetzen?

Ja, grundsätzlich. Eine von Betrügern ausgelöste Zahlung ist nicht autorisiert. Die Bank muss sie nach § 675u BGB unverzüglich erstatten. Nur wenn sie Ihnen Vorsatz oder grobe Fahrlässigkeit nachweist, kann sie den Schaden von Ihnen zurückverlangen.

Darf die Bank die Erstattung wegen grober Fahrlässigkeit sofort verweigern?

Nach dem Urteil des Europäischen Gerichtshofs vom 15. Oktober 2026 (C‑70/25) nicht. Die Bank muss zuerst erstatten. Erst in einem zweiten Schritt kann sie den Verlust vom Kunden verlangen, und dafür muss sie die grobe Fahrlässigkeit beweisen. Eine sofortige Verweigerung ist nur bei begründetem Betrugsverdacht gegen den Kunden selbst zulässig, den die Bank der Aufsichtsbehörde schriftlich mitteilen muss.

Ist es grob fahrlässig, auf einen Phishing‑Link zu klicken?

Nicht automatisch. Gerichte prüfen die Umstände: Wie echt wirkte die Nachricht, gab es Warnhinweise, was wurde in der Banking‑App angezeigt, unter welchem Druck stand der Kunde? Das OLG Koblenz hat 2026 entschieden, dass selbst das Anklicken eines SMS‑Links und das Eingeben einer TAN nicht automatisch grob fahrlässig sind.

Wie schnell muss ich den Phishing‑Schaden melden?

Unverzüglich, also ohne schuldhaftes Zögern. Der Erstattungsanspruch ist ausgeschlossen, wenn Sie die Zahlung nicht spätestens 13 Monate nach der Belastung bei der Bank anzeigen (§ 676b Abs. 2 BGB).

Quellen

Redaktion Bankerstattung.de
Wir erklären Betroffenen von Bankbetrug ihre Rechte auf Basis von Gesetzestexten und veröffentlichten Gerichtsentscheidungen. Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung im Einzelfall. Die Prüfung Ihres Falls übernimmt unsere Partnerkanzlei.

Phishing: Bank erstattet nicht? So holen Sie Ihr Geld zurück