Die kurze Antwort
Nach dem EuGH-Urteil C-70/25 vom 15. Oktober 2026 dürfen Banken die Erstattung einer nicht autorisierten Zahlung nicht mehr mit dem Vorwurf grober Fahrlässigkeit verweigern. Sie müssen unverzüglich zahlen, spätestens bis zum Ende des folgenden Geschäftstags. Erst danach dürfen sie den Betrag zurückfordern, und zwar nur, wenn sie Vorsatz oder grobe Fahrlässigkeit des Kunden beweisen. Einzige Ausnahme: ein berechtigter Betrugsverdacht gegen den Kunden selbst, den die Bank schriftlich der zuständigen Behörde meldet.
Für Anbieter im FinTech- und Banking-Umfeld heißt das: Erstattung und Schuldprüfung müssen in Prozessen und Systemen getrennt laufen, und die Beweise für eine spätere Rückforderung müssen aus Authentifizierung und Monitoring sauber vorliegen. Wer seine Strecke prüfen will, beginnt mit einem Security-Audit von Login, Freigabe und Betrugserkennung.
Worum ging es im Fall C-70/25?
Eine Kundin einer polnischen Bank wollte etwas auf einer Online-Auktionsplattform verkaufen. Ein angeblicher Käufer schickte ihr einen Link, der die Oberfläche ihrer Bank nachahmte. Sie gab dort ihre Zugangsdaten ein, kurz darauf wurde eine Zahlung von rund 700 Euro ausgeführt, die sie nicht veranlasst hatte. Am Folgetag meldete sie den Vorfall. Die Bank lehnte die Erstattung ab und berief sich auf grobe Fahrlässigkeit der Kundin.
Das polnische Gericht legte dem EuGH die Frage vor, ob ein Zahlungsdienstleister die Erstattung schon mit diesem Vorwurf verweigern darf. Die Antwort aus Luxemburg ist eindeutig: nein. Nach den Worten des Gerichts kann „die Frage der Erstattung des Betrags des nicht autorisierten Zahlungsvorgangs von der Frage getrennt werden“, wer die Verluste am Ende zu tragen hat. Andernfalls, so die Begründung laut Il Sole 24 Ore, müsste der Kunde selbst die Initiative ergreifen, um seine Rechte durchzusetzen.
Was gilt jetzt für Banken in Deutschland?
Das Urteil legt die Zahlungsdiensterichtlinie PSD2 aus, die in Deutschland im BGB umgesetzt ist: § 675u BGB regelt die Erstattungspflicht bei nicht autorisierten Zahlungen, § 675v BGB die Haftung des Zahlers, etwa bei grober Fahrlässigkeit. Neu ist nicht der Wortlaut, sondern die Reihenfolge, die der EuGH daraus ableitet. In der Praxis haben Banken die Erstattung nach Phishing bislang häufig gleich mit dem Hinweis auf grobe Fahrlässigkeit abgelehnt, und Betroffene mussten selbst klagen.
| Schritt | Bisher oft gelebte Praxis | Nach dem EuGH-Urteil |
|---|---|---|
| Meldung durch den Kunden | Bank prüft zuerst das Verhalten des Kunden | Erstattung bis Ende des nächsten Geschäftstags |
| Vorwurf grober Fahrlässigkeit | Grund, die Erstattung abzulehnen | Kein Grund für eine Ablehnung, nur für eine spätere Rückforderung |
| Beweislast | Faktisch beim Kunden, der klagen muss | Bei der Bank, die Vorsatz oder grobe Fahrlässigkeit nachweisen muss |
| Ausnahme | Weit ausgelegt | Nur berechtigter Betrugsverdacht gegen den Kunden mit schriftlicher Meldung an die Behörde |
Für Banken verschiebt sich damit das Risiko: Wer erstattet und später zurückfordern will, trägt Ausfall- und Prozesskosten. Umso wichtiger werden gute Beweise und eine niedrige Betrugsquote von vornherein. Wie Aufsicht und Prüfer die IT-Resilienz von Finanzinstituten parallel unter die Lupe nehmen, zeigen die ersten DORA-Prüfbefunde der BaFin.
Was müssen Zahlungs- und Fraud-Systeme jetzt leisten?
Das Urteil ist eine Rechtsfrage, die Umsetzung ist vor allem eine Prozess- und Softwarefrage. Aus Projekten im Zahlungsverkehr sehen wir fünf Punkte, die Banken, Neobanken und Zahlungsdienstleister jetzt prüfen sollten:
- Erstattung entkoppeln. Der Erstattungs-Workflow darf nicht auf das Ergebnis einer Schuldprüfung warten. Ein eigener Status „erstattet, Haftung offen“ und ein SLA-Timer bis Ende des nächsten Geschäftstags gehören ins Case-Management.
- Ausnahme sauber abbilden. Die Verweigerung bei Betrugsverdacht gegen den Kunden selbst braucht eine dokumentierte Begründung und die schriftliche Meldung an die Behörde. Ohne beides im System bleibt nur die Erstattung.
- Beweise revisionssicher sichern. Wer später grobe Fahrlässigkeit belegen will, braucht unveränderliche Logs: Ablauf der starken Kundenauthentifizierung, Gerätebindung, IP- und Sitzungsdaten, angezeigte Warnhinweise und Freigabetexte.
- Betrug früher stoppen. Da die Bank zuerst zahlt, rechnet sich jede verhinderte Betrugszahlung direkt. Echtzeit-Risikoanalyse, Anomalieerkennung bei neuen Empfängern und Geräten sowie gezielte Warnungen im Freigabedialog senken die Schadenssumme.
- Kunden klar informieren. Meldewege in App und Online-Banking sollten in wenigen Schritten zur Sperre und zur Erstattungsanfrage führen, mit Zeitstempel, der die Frist auslöst.
Phishing trifft dabei nicht nur Privatkunden. Wie teuer manipulierte Zahlungsanweisungen in Unternehmen werden können, zeigt der Fall um CEO-Fraud und Managerhaftung vor dem LAG Köln.
Häufige Fragen
Was hat der EuGH am 15. Oktober 2026 entschieden?
In der Rechtssache C-70/25 hat der Europäische Gerichtshof entschieden, dass ein Zahlungsdienstleister die Erstattung einer nicht autorisierten Zahlung nicht mit der Begründung verweigern darf, der Kunde habe den Betrug grob fahrlässig ermöglicht. Die Bank muss zunächst erstatten und kann erst danach versuchen, den Betrag vom Kunden zurückzufordern.
Bis wann muss die Bank erstatten?
Unverzüglich, spätestens bis zum Ende des Geschäftstags, der auf die Feststellung oder Meldung der nicht autorisierten Zahlung folgt. In Deutschland ist diese Pflicht aus der Zahlungsdiensterichtlinie PSD2 in § 675u BGB umgesetzt.
Gibt es Ausnahmen von der sofortigen Erstattung?
Nur eine: Die Bank hat einen berechtigten Verdacht, dass der Kunde selbst in betrügerischer Absicht handelt, und teilt diesen Verdacht schriftlich der zuständigen nationalen Behörde mit. Der bloße Vorwurf grober Fahrlässigkeit reicht nicht.
Haftet der Kunde bei grober Fahrlässigkeit gar nicht mehr?
Doch. Das Urteil trennt die Erstattung von der Frage, wer den Schaden am Ende trägt. Kann die Bank nachweisen, dass der Kunde vorsätzlich oder grob fahrlässig gehandelt hat, darf sie den Betrag nachträglich zurückfordern. Die Beweislast liegt bei der Bank.
Was bedeutet das Urteil für Zahlungs- und Banking-Software?
Erstattungsprozesse müssen die Frist bis zum Ende des nächsten Geschäftstags technisch einhalten, unabhängig von einer laufenden Schuldprüfung. Zugleich brauchen Banken und Zahlungsdienstleister belastbare, revisionssichere Nachweise aus Authentifizierung, Gerätebindung und Transaktionsmonitoring, um eine spätere Rückforderung begründen zu können.
Quellen
heise online — EuGH: Banken müssen Phishing-Schaden erst einmal erstatten (Oktober 2026)
Il Sole 24 Ore — Phishing: the bank must reimburse the customer even if they have been negligent (Oktober 2026)
Der Betrieb — EuGH stärkt Bankkunden bei Phishing-Betrug (Oktober 2026)