Banken müssen nicht autorisierte Zahlungen zunächst erstatten

EuGH, Urteil vom 15. Oktober 2026 – C‑70/25 (Tukowiecka), ECLI:EU:C:2026:852

Mit seinem Urteil vom 15. Oktober 2026 hat der Europäische Gerichtshof eine für das europäische Bank- und Zahlungsdiensterecht grundlegende Frage geklärt: Wer trägt zunächst den finanziellen Schaden, wenn unbekannte Dritte durch Phishing Zugriff auf ein Bankkonto erlangen und ohne Zustimmung des Kontoinhabers Geld überweisen?

Die Antwort des Gerichtshofs ist eindeutig. Eine Bank ist grundsätzlich verpflichtet, den Betrag eines nicht autorisierten Zahlungsvorgangs unverzüglich, spätestens bis zum Ende des folgenden Geschäftstags zu erstatten. Sie darf diese Erstattung nicht allein deshalb verweigern, weil sie ihrem Kunden vorwirft, den Betrug durch grobe Fahrlässigkeit ermöglicht zu haben.

Das Urteil betrifft damit nicht nur die Haftungsverteilung zwischen Kreditinstitut und Kontoinhaber. Es bestimmt vor allem, in welcher Reihenfolge Erstattung und Haftungsprüfung stattzufinden haben. Die Bank muss zunächst den rechtmäßigen Kontostand wiederherstellen. Erst anschließend kann sie einen eigenständigen Schadensersatzanspruch verfolgen, soweit dessen gesetzliche Voraussetzungen vorliegen.

Diese Unterscheidung hat erhebliche praktische und wirtschaftliche Bedeutung. Während bisher vielfach der geschädigte Kontoinhaber gezwungen war, die Erstattung gerichtlich durchzusetzen, weist das Unionsrecht die vorläufige finanzielle Belastung grundsätzlich dem Zahlungsdienstleister zu.

Der Ausgangsfall: Ein vermeintlicher Kaufinteressent und eine gefälschte Bankseite

Dem Verfahren lag ein Betrugsfall aus Polen zugrunde. Eine Bankkundin hatte auf einer Internetplattform einen Gegenstand zum Verkauf angeboten. Ein angeblicher Kaufinteressent nahm Kontakt auf und übersandte einen Link, mit dem der Verkauf vermeintlich bestätigt werden sollte.

Tatsächlich führte dieser Link auf eine betrügerische Internetseite, die das Erscheinungsbild der Website ihrer Bank nachahmte. Die Kundin gab dort ihre Zugangsdaten für das Online-Banking ein.

Der Täter nutzte diese Informationen, um einen Betrag im Gegenwert von ungefähr 700 Euro von ihrem Konto auf ein von ihm kontrolliertes Konto zu überweisen.

Bereits am folgenden Tag unterrichtete die Kundin ihre Bank über die unberechtigte Abbuchung und verlangte die Erstattung des Geldes.

Die Bank, PKO BP S.A., lehnte dies ab. Sie vertrat die Auffassung, die Kundin habe ihre Verpflichtung zur Sicherung ihrer persönlichen Zugangsdaten grob fahrlässig verletzt. Deshalb müsse sie den entstandenen Schaden selbst tragen.

Die Kundin erhob Klage. Das zuständige polnische Rayongericht Koszalin legte dem Europäischen Gerichtshof die Frage vor, ob eine Bank die unverzügliche Erstattung eines nicht autorisierten Zahlungsvorgangs wegen eines solchen Vorwurfs verweigern dürfe.

Der Gerichtshof verneinte dies.

Dabei ist zwischen dem Urteil des EuGH und der endgültigen Entscheidung über den polnischen Ausgangsrechtsstreit zu unterscheiden. Der EuGH entschied im Vorabentscheidungsverfahren über die verbindliche Auslegung des Unionsrechts. Die abschließende Anwendung auf den konkreten Sachverhalt bleibt dem polnischen Gericht vorbehalten.

Die rechtliche Grundlage: Art. 73 und 74 der Zweiten Zahlungsdiensterichtlinie

Die Entscheidung beruht auf Art. 73 Abs. 1 und Art. 74 Abs. 1 der Richtlinie (EU) 2015/2366 über Zahlungsdienste im Binnenmarkt, der sogenannten Zweiten Zahlungsdiensterichtlinie (PSD2).

Art. 73 begründet bei nicht autorisierten Zahlungsvorgängen einen Anspruch auf unverzügliche Erstattung. Art. 74 regelt dagegen, unter welchen Voraussetzungen der Zahler für Schäden aus der missbräuchlichen Verwendung eines Zahlungsinstruments einzustehen hat.

Nach Auffassung des Gerichtshofs dürfen diese beiden Regelungsbereiche nicht vermischt werden.

Die Erstattungspflicht entsteht grundsätzlich unabhängig davon, ob später eine Haftung des Kunden wegen vorsätzlicher oder grob fahrlässiger Pflichtverletzung festgestellt werden kann.

Der Gerichtshof begründet dies insbesondere mit dem Ziel eines hohen Verbraucherschutzniveaus und der praktischen Wirksamkeit des unionsrechtlichen Erstattungsanspruchs. Könnte die Bank den Betrag bereits aufgrund ihrer eigenen Einschätzung eines grob fahrlässigen Kundenverhaltens zurückhalten, würde sie den gesetzlichen Anspruch auf unverzügliche Erstattung faktisch entwerten.

Der Kontoinhaber müsste dann zunächst einen möglicherweise langwierigen Prozess führen und die damit verbundenen Kosten und Risiken tragen, um wieder über sein Geld verfügen zu können.

Gerade dies soll die Richtlinie verhindern.

Eine Ausnahme lässt Art. 73 Abs. 1 zu, wenn der Zahlungsdienstleister berechtigte Gründe für den Verdacht hat, dass der Zahler selbst betrügerisch handelt, und diese Gründe der zuständigen nationalen Behörde schriftlich mitteilt.

Ein bloßer Vorwurf der Unachtsamkeit oder groben Fahrlässigkeit erfüllt diese Voraussetzungen nicht.

Entscheidend ist deshalb die Unterscheidung zwischen dem Verdacht, dass ein Kunde selbst einen Betrug begeht, und der Annahme, er sei durch eigenes Fehlverhalten Opfer eines fremden Betrugs geworden.

Die unmittelbaren Folgen für deutsche Bankkonten

In Deutschland ist die unionsrechtliche Erstattungspflicht bereits in § 675u BGB umgesetzt.

Danach hat die Bank bei einem nicht autorisierten Zahlungsvorgang grundsätzlich keinen Anspruch auf Ersatz ihrer Aufwendungen gegen den Zahler. Vielmehr muss sie den Zahlungsbetrag unverzüglich erstatten und das belastete Zahlungskonto wieder auf den Stand bringen, auf dem es sich ohne den rechtswidrigen Vorgang befunden hätte.

Die Verpflichtung ist spätestens bis zum Ende des Geschäftstags zu erfüllen, der auf den Tag folgt, an dem die Bank von dem nicht autorisierten Zahlungsvorgang Kenntnis erhält.

Das bedeutet beispielsweise: Werden durch unbekannte Täter 10.000 Euro von einem Konto überwiesen, ohne dass der Kontoinhaber die Überweisung autorisiert hat, muss die Bank diesen Betrag grundsätzlich zunächst wieder gutschreiben.

Dies gilt auch dann, wenn sie der Auffassung ist, der Kunde habe Zugangsdaten leichtfertig preisgegeben oder Sicherheitswarnungen nicht ausreichend beachtet.

Allerdings begründet die Erstattung noch keine endgültige Freistellung des Kunden von jeder Haftung.

Nach § 675v Abs. 3 BGB kann die Bank Ersatz des gesamten Schadens verlangen, wenn der Kunde diesen durch eine vorsätzliche oder grob fahrlässige Verletzung der gesetzlichen Sicherungspflichten oder wirksam vereinbarter Nutzungsbedingungen verursacht hat.

Die Bank muss die entsprechenden Voraussetzungen darlegen und beweisen. Die technische Authentifizierung eines Zahlungsvorgangs allein genügt nach § 675w BGB nicht notwendigerweise zum Nachweis der Autorisierung oder einer groben Fahrlässigkeit.

Auch die gesetzlichen Haftungsbegrenzungen sind zu beachten. Bei bestimmten missbräuchlichen Verwendungen von Zahlungsinstrumenten sieht § 675v Abs. 1 BGB eine Haftung bis 50 Euro vor. Darüber hinaus bestehen Haftungsausschlüsse, insbesondere unter den Voraussetzungen des § 675v Abs. 2, 4 und 5 BGB.

Unterlässt die Bank bei dem maßgeblichen Zahlungsvorgang eine gesetzlich erforderliche starke Kundenauthentifizierung, kann eine Schadensersatzpflicht des Kunden nach § 675v Abs. 4 BGB grundsätzlich ausgeschlossen sein, sofern dieser nicht selbst betrügerisch gehandelt hat.

Die Entscheidung des EuGH beseitigt somit nicht die Sorgfaltspflichten der Bankkunden. Sie verhindert aber, dass Kreditinstitute ihre eigene Haftungsbewertung zum Anlass nehmen, die gesetzlich vorgeschriebene sofortige Erstattung zu unterlassen.

Besonders bedeutsam: Die bisherige Rechtsprechung des Bundesgerichtshofs

Für die deutsche Rechtspraxis liegt die besondere Tragweite des Urteils in seinem Verhältnis zur bisherigen Rechtsprechung des XI. Zivilsenats des Bundesgerichtshofs.

Der BGH hat wiederholt entschieden, dass eine Bank dem Erstattungsanspruch aus § 675u BGB einen eigenen Schadensersatzanspruch wegen grob fahrlässiger Pflichtverletzung des Kunden entgegenhalten kann. Nach dieser Rechtsprechung kann die Bank die Wiedergutschrift gemäß § 242 BGB verweigern, soweit ihr ein entsprechender gegenläufiger Schadensersatzanspruch zusteht.

Diese Rechtsauffassung hat der BGH zuletzt noch mit Urteil vom 3. März 2026 – XI ZR 20/24, insbesondere Rn. 18 und 19 – bestätigt. Entsprechende Aussagen finden sich bereits in den Urteilen vom 17. November 2020 – XI ZR 294/19 –, vom 5. März 2024 – XI ZR 107/22 – und vom 22. Juli 2025 – XI ZR 107/24.

Die rechtliche Konstruktion beruht auf dem Gedanken, dass ein Schuldner eine Leistung nicht erbringen müsse, wenn er sie aufgrund eines gleichzeitig bestehenden Gegenanspruchs unmittelbar zurückverlangen könnte. Gerade diese Verknüpfung wird durch das neue EuGH-Urteil grundlegend infrage gestellt.

Eine nationale Rechtsprechung, die der Bank erlaubt, die vorgeschriebene erste Erstattung wegen eines behaupteten gegenläufigen Schadensersatzanspruchs vollständig zu verweigern, lässt sich mit der nunmehr verbindlich geklärten unionsrechtlichen Reihenfolge grundsätzlich nicht vereinbaren.

Der EuGH verlangt zunächst die Erstattung und eröffnet erst anschließend die Möglichkeit, den Kunden wegen einer ihm zurechenbaren Pflichtverletzung in Anspruch zu nehmen.

Ob und unter welchen Voraussetzungen eine spätere Aufrechnung mit einem tatsächlich bestehenden Schadensersatzanspruch zulässig bleibt, wird durch das Urteil nicht in sämtlichen Einzelheiten entschieden. Eine sofortige Verrechnung, welche die unionsrechtlich vorgeschriebene Erstattung lediglich formal nachvollzieht oder vollständig umgeht, begegnet jedoch erheblichen unionsrechtlichen Bedenken.

Für die deutschen Gerichte folgt daraus die Verpflichtung, § 675u BGB im Einklang mit der Auslegung des Art. 73 PSD2 durch den EuGH anzuwenden. Die bisherige BGH-Rechtsprechung kann jedenfalls insoweit nicht unverändert fortgeführt werden, als sie die anfängliche Erstattungspflicht durch den Einwand aus § 242 BGB ausschließt.

Damit betrifft das Urteil eine zentrale Rechtsfrage des deutschen Bankhaftungsrechts und nicht lediglich einen einzelnen polnischen Betrugsfall.

Nicht jeder Online-Betrug ist eine nicht autorisierte Zahlung

Eine für die praktische Anwendung entscheidende Einschränkung darf nicht übersehen werden.

Der Anspruch aus § 675u BGB setzt voraus, dass der Zahlungsvorgang tatsächlich nicht autorisiert war.

Nach § 675j Abs. 1 BGB ist eine Zahlung grundsätzlich autorisiert, wenn der Zahler ihr in der vereinbarten Weise zugestimmt hat:

Hier liegt eine wesentliche Abgrenzung zwischen unterschiedlichen Betrugsformen.

Erlangt ein Täter durch Phishing Zugangsdaten und löst anschließend eigenständig eine Überweisung aus, ohne dass der Kontoinhaber dieser zugestimmt hat, handelt es sich grundsätzlich um einen nicht autorisierten Zahlungsvorgang.

Anders kann es liegen, wenn der Kontoinhaber selbst eine Überweisung ausführt und bestätigt, weil er etwa auf eine gefälschte Rechnung, einen angeblichen Mitarbeiter der Bank oder ein betrügerisches Anlageangebot hereingefallen ist.

Die wirtschaftliche Entscheidung mag durch Täuschung veranlasst sein. Daraus folgt aber nicht automatisch, dass der Zahlungsvorgang im Sinne des Zahlungsdiensterechts nicht autorisiert war.

Auch bei manipulierten Freigabevorgängen, bei denen der Kunde eine TAN oder eine Push-Bestätigung verwendet, ist sorgfältig zu prüfen, ob tatsächlich eine Zustimmung zur konkreten Zahlung vorlag oder ob lediglich die technische Authentifizierung unter Ausnutzung einer Täuschung durchgeführt wurde.

Diese Abgrenzung bleibt trotz des neuen Urteils von erheblicher Bedeutung.

Gilt die Entscheidung auch für Geschäftskonten?

Das Urteil betrifft nicht ausschließlich private Girokonten.

Die Richtlinie verwendet den Begriff des Zahlers, der sowohl natürliche als auch juristische Personen umfassen kann. Auch Unternehmen, Freiberufler und andere gewerbliche Kontoinhaber können deshalb grundsätzlich von der unionsrechtlichen Erstattungspflicht profitieren.

Nach § 675e Abs. 4 BGB sind bei Zahlungsdienstnutzern, die keine Verbraucher sind, zwar weitergehende vertragliche Abweichungen von bestimmten Vorschriften zulässig. Die Erstattungspflicht nach § 675u BGB gehört jedoch nicht zu den dort ausdrücklich zur Disposition gestellten Vorschriften.

Bei Geschäftskonten kann sich allerdings die vertraglich vereinbarte Haftungsverteilung unterscheiden. Insbesondere können die Regelungen der §§ 675v bis 676 BGB im gesetzlich vorgesehenen Umfang abbedungen werden.

Für Unternehmen ist deshalb sorgfältig zwischen dem zunächst bestehenden Erstattungsanspruch und den möglicherweise abweichend geregelten Schadensersatz- und Haftungsfragen zu unterscheiden.

Gerade bei hohen Kontoguthaben, elektronischen Sammelüberweisungen oder betrügerischen Zugriffen auf geschäftliche Zahlungsverkehrssysteme kann die Entscheidung erhebliche wirtschaftliche Auswirkungen haben.

Können auch ältere Betrugsfälle wieder aufgegriffen werden?

Die Entscheidung ist nicht auf Zahlungsvorgänge beschränkt, die erst nach dem 15. Oktober 2026 stattfinden.

Der EuGH hat keine neue Erstattungsregel eingeführt, sondern bestehendes Unionsrecht verbindlich ausgelegt. Diese Auslegung ist grundsätzlich auch für frühere Sachverhalte maßgeblich, soweit die betreffenden unionsrechtlichen Vorschriften bereits anwendbar waren und die Rechtslage noch einer gerichtlichen Entscheidung zugänglich ist.

Daraus folgt jedoch kein uneingeschränktes Recht auf Wiederaufnahme beliebig alter Fälle.

Nach § 676b BGB muss der Bankkunde einen nicht autorisierten Zahlungsvorgang unverzüglich nach dessen Feststellung anzeigen. Die Vorschrift sieht darüber hinaus grundsätzlich eine 13-monatige Ausschlussfrist vor, deren Beginn insbesondere von der ordnungsgemäßen Unterrichtung über den Zahlungsvorgang abhängt.

Von dieser Anzeige- und Ausschlussfrist ist die zivilrechtliche Verjährung eines bereits entstandenen und rechtzeitig geltend gemachten Anspruchs zu unterscheiden.

Auch rechtskräftig abgeschlossene Prozesse werden durch das EuGH-Urteil nicht automatisch erneut eröffnet.

Anders ist die Lage bei noch offenen Verfahren oder bei Forderungen, die rechtzeitig angezeigt wurden und noch nicht verjährt sind. Dort kann die Entscheidung erhebliche Bedeutung entfalten, insbesondere wenn die Bank die Erstattung bisher allein unter Berufung auf ein angeblich grob fahrlässiges Verhalten verweigert hat.

Was Kontoinhaber bei einem Phishing-Schaden beachten sollten

Wer einen unberechtigten Zahlungsvorgang feststellt, sollte unverzüglich seine Bank informieren, den Online-Banking-Zugang und betroffene Zahlungsinstrumente sperren lassen und die betreffenden Überweisungen ausdrücklich als nicht autorisiert beanstanden.

Zugleich sollte er unter Berufung auf § 675u BGB und das EuGH-Urteil vom 15. Oktober 2026 die vollständige Wiederherstellung des Kontostands verlangen.

Wesentlich ist die Sicherung sämtlicher Beweismittel, insbesondere verdächtiger E-Mails, SMS, Internetadressen, Gesprächsprotokolle, Kontoauszüge und Angaben zu verwendeten Authentifizierungsverfahren.

Weigert sich das Kreditinstitut weiterhin mit der Begründung, der Kontoinhaber habe grob fahrlässig gehandelt, muss es sich an der nunmehr verbindlichen Auslegung des Unionsrechts messen lassen.

Ein solcher Vorwurf rechtfertigt für sich genommen keine Verweigerung der unverzüglichen Erstattung.

Fazit: Eine grundlegende Verschiebung der Verantwortung im Zahlungsverkehr

Das Urteil des Europäischen Gerichtshofs vom 15. Oktober 2026 ist von erheblicher Bedeutung für das europäische Bankhaftungsrecht und die praktische Durchsetzung von Ansprüchen nach Phishing-Betrug.

Es schafft keine allgemeine Haftungsfreiheit für unvorsichtige Bankkunden. Auch künftig können vorsätzliche und grob fahrlässige Pflichtverletzungen zu erheblichen Schadensersatzansprüchen der Bank führen.

Der entscheidende Unterschied liegt jedoch darin, dass die Bank die gesetzliche Erstattung grundsätzlich nicht mehr von einer vorherigen Klärung der Schuldfrage abhängig machen darf.

Die Bank trägt damit zunächst das Liquiditätsrisiko des nicht autorisierten Zahlungsvorgangs und muss einen etwaigen Schadensersatzanspruch anschließend eigenständig durchsetzen.

Gerade für die deutsche Rechtspraxis ist dies eine bedeutsame Klarstellung, weil die bisherige höchstrichterliche Rechtsprechung dem Kreditinstitut weitreichende Möglichkeiten eröffnete, die Wiedergutschrift unter Berufung auf gegenläufige Schadensersatzansprüche zu verweigern.

Der europäische Zahlungsverkehr beruht auf Vertrauen in die Sicherheit elektronischer Kontoverfügungen. Dieses Vertrauen setzt nicht nur technische Schutzmaßnahmen, sondern auch eine wirksame und zeitnahe rechtliche Absicherung gegen nicht autorisierte Zugriffe voraus.

Das Urteil stärkt diese Absicherung. Es stellt zugleich klar, dass die Verantwortung für einen Betrug nicht allein durch die Behauptung der Bank auf den geschädigten Kontoinhaber verlagert werden darf.