Neues zur Haftung bei Phishing...

Der EuGH hat sich am 15.10.2026 geäußert.

Konkret ging es um die Frage, ob ein Bankkunde, der Opfer eines Phishing-Angriffs geworden ist und dadurch Geld auf seinem Konto verloren hat, bei seiner Bank Ersatz verlangen kann oder dies ggf. aufgrund grober Fahrlässigkeit des Kunden nicht möglich ist.

In Deutschland ist dies grundsätzlich in den §§ 675 u ff. BGB geregelt.

Grundsätzlich hat der Kunde bei nicht autorisierter Zahlung einen Anspruch gegen seine Bank.

In der Rechtsprechung herrscht jedoch meistens Einigkeit darüber, dass der Kunde den Angriff und die unfreiwillige "Entnahme" von seinem Konto grob fahrlässig ermöglicht hat, so dass im Ergebnis kein Anspruch gegen die Bank besteht (OLG Düsseldorf Hinweisbeschluss v. 23.2.2026 – 14 U 37/25)

Dies sieht der EuGH jetzt anders:

Meldet ein Kunde einen nicht autorisierten Zahlungsvorgang rechtzeitig, muss der Zahlungsdienstleister den Betrag grundsätzlich sofort erstatten. Er darf die Rückzahlung nicht deshalb zurückhalten, weil er dem Betroffenen grobe Fahrlässigkeit vorwirft. Der EuGH verweist dabei auf das unionsrechtliche Ziel eines hohen Verbraucherschutzniveaus.

Eine Ausnahme gilt, wenn Gründe für den Verdacht bestehen, dass der Kunde selbst betrügt. Dann muss die Bank diesen Verdacht der zuständigen nationalen Behörde schriftlich mitteilen. Der bloße Vorwurf, ein Kunde sei besonders unvorsichtig mit seinen Zugangsdaten umgegangen, ist davon zu unterscheiden.

Mit der Erstattung steht allerdings noch nicht fest, wer den Verlust endgültig trägt. Die Bank kann das Geld anschließend zurückfordern, wenn der Schaden auf grober Fahrlässigkeit des Kunden beruht. Das Urteil befreit Kundinnen und Kunden daher nicht von ihren Sorgfaltspflichten. Es verhindert aber, dass Banken die Erstattung allein mit einem Fahrlässigkeitsvorwurf vorerst blockieren.

EuGH Az. C 70/25