EuGH: Banken müssen Phishing-Schäden sofort erstatten – auch bei behaupteter grober Fahrlässigkeit

EuGH, Urteil vom 15.10.2026 – C-70/25, Tukowiecka

Der Gerichtshof der Europäischen Union hat die Rechte von Opfern von Phishing, Kartenmissbrauch und sonstigen nicht autorisierten Zahlungsvorgängen erheblich gestärkt: Ein Zahlungsdienstleister darf die nach Art. 73 Abs. 1 PSD2 geschuldete unverzügliche Erstattung nicht deshalb verweigern, weil er dem Kunden grobe Fahrlässigkeit vorwirft. Das gilt insbesondere dann, wenn der Kunde Zugangsdaten oder einen TAN-Code infolge einer Täuschung preisgegeben hat. Der Zahlungsdienstleister muss zunächst erstatten; über eine etwaige endgültige Haftung des Kunden ist erst anschließend zu befinden.

Der Sachverhalt: Phishing über eine vermeintliche Verkaufsplattform

Die Klägerin hatte auf einer Online-Verkaufsplattform einen Gegenstand angeboten. Ein Täter täuschte Kaufinteresse vor und übersandte einen Link, der wie eine Seite der Verkaufsplattform wirkte. Über eine nachgeahmte Bankseite gab die Klägerin ihre Online-Banking-Zugangsdaten ein; der Täter erlangte zudem einen SMS-Bestätigungscode und veranlasste eine Überweisung von 3.000 PLN. Die Kundin meldete den Vorfall am Folgetag unverzüglich der Bank und der Polizei. Die Bank verweigerte die Erstattung mit dem Einwand, die Kundin habe ihre Sicherheitsmerkmale grob fahrlässig preisgegeben.

Keine Vorverlagerung der Kundenhaftung

Art. 73 Abs. 1 PSD2 verpflichtet den Zahlungsdienstleister bei einem nicht autorisierten Zahlungsvorgang zur Erstattung unverzüglich, spätestens bis zum Ende des folgenden Geschäftstags nach Kenntniserlangung oder Anzeige. Die Norm enthält nur eine eng begrenzte Ausnahme: Der Zahlungsdienstleister muss berechtigte Gründe für den Verdacht eines betrügerischen Verhaltens des Zahlers haben und diese der zuständigen nationalen Behörde schriftlich mitteilen.

Der Einwand, der Zahler habe seine Pflichten zum Schutz personalisierter Sicherheitsmerkmale grob fahrlässig verletzt, gehört gerade nicht zu diesen Ausnahmen. Art. 74 Abs. 1 PSD2 regelt nach Auffassung des EuGH nicht die sofortige Erstattung, sondern ausschließlich die spätere Verteilung des wirtschaftlichen Endrisikos zwischen Bank und Zahler.

Relevanz für das deutsche Recht

Die Entscheidung betrifft unmittelbar die Auslegung der PSD2 und ist für die Anwendung der deutschen Umsetzungsvorschriften maßgeblich. § 675u Satz 2 und 3 BGB verpflichtet den Zahlungsdienstleister bei einem nicht autorisierten Zahlungsvorgang, den Zahlungsbetrag unverzüglich – grundsätzlich spätestens bis zum Ende des folgenden Geschäftstags – zu erstatten und das Konto wiederherzustellen. Eine Aufschubmöglichkeit besteht nach § 675u Satz 4 BGB allein bei schriftlicher Mitteilung berechtigter Betrugsverdachtsgründe gegen den Zahler an die zuständige Behörde.

Damit steht das Urteil in einem deutlichen Spannungsverhältnis zu der bisherigen Rechtsprechung, nach der eine Bank dem Erstattungsanspruch aus § 675u Satz 2 BGB unter Berufung auf einen korrespondierenden Schadensersatzanspruch wegen grober Fahrlässigkeit gemäß § 242 BGB entgegenhalten konnte. Der BGH hatte dies noch mit Urteil vom 03.03.2026 angenommen. Nach der nunmehr verbindlichen unionsrechtlichen Auslegung darf eine behauptete oder sogar nachweisbare grobe Fahrlässigkeit nicht mehr zur Verweigerung oder faktischen Verzögerung der sofortigen Wiedergutschrift führen.

Die Bank trägt die Angriffs- und Beweislast

Der EuGH trennt strikt zwischen zwei Stufen:

Erste Stufe: Unverzügliche Erstattung des nicht autorisierten Zahlungsvorgangs.

Zweite Stufe: Die Bank kann gegebenenfalls Ersatz verlangen, wenn sie nachweist, dass der Zahler den Schaden vorsätzlich oder grob fahrlässig verursacht hat.

Die Beweislast für Betrug oder grobe Fahrlässigkeit liegt nach Art. 72 Abs. 2 PSD2 beim Zahlungsdienstleister. Die dokumentierte Nutzung eines Zahlungsinstruments, einer PIN, TAN oder sonstiger Sicherheitsmerkmale reicht für sich genommen nicht aus. Dies entspricht der deutschen Regelung in § 675w BGB: Authentifizierung ist nicht gleich Autorisierung; eine technisch korrekt protokollierte Nutzung belegt die Zustimmung des Kunden nicht ohne Weiteres.

Bedeutung für Kartenmissbrauch und Social Engineering

Die Entscheidung reicht weit über den entschiedenen Phishing-Fall hinaus. Sie ist für sämtliche Konstellationen bedeutsam, in denen ein Kunde eine Kartenverfügung, eine Online-Überweisung oder eine mobile Zahlung nicht autorisiert hat. Das umfasst insbesondere missbräuchliche Kartenzahlungen, kompromittierte digitale Wallets, SIM-Swapping, Phishing, Smishing und Social-Engineering-Angriffe.

Der zentrale Vorbehalt lautet allerdings: Es muss tatsächlich ein nicht autorisierter Zahlungsvorgang vorliegen. Wer selbst eine Zahlung freigibt, kann – abhängig von Inhalt, Verständlichkeit und Reichweite der Erklärung – autorisiert gehandelt haben. Liegt dagegen lediglich eine täuschungsbedingte Preisgabe von Sicherheitsdaten vor und löst erst der Täter die konkrete Zahlung aus, ist die Autorisierungsfrage sorgfältig vom Verschuldensvorwurf zu trennen.

Fazit

Das Urteil EuGH, C-70/25 – Tukowiecka setzt eine klare Zäsur: Banken dürfen ihre Kunden bei nicht autorisierten Zahlungsvorgängen nicht länger mit dem bloßen oder vermeintlich belegten Vorwurf grober Fahrlässigkeit auf einen Erstattungsprozess verweisen. Sie müssen grundsätzlich unverzüglich erstatten und ihr Rückgriffsbegehren anschließend selbst substantiiert verfolgen. Der EuGH verlagert damit nicht nur das wirtschaftliche Risiko, sondern vor allem die Prozessinitiative und Beweislast auf den professionellen Zahlungsdienstleister