Banken müssen Kunden nach nicht autorisierten Zahlungsvorgängen den abgebuchten Betrag unverzüglich erstatten, selbst wenn der Verdacht besteht, dass der Kunde grob fahrlässig gehandelt hat. Das hat der Europäische Gerichtshof (EuGH) entschieden.

Dem Verfahren lag ein Phishing-Fall in Polen zugrunde. Eine Bankkundin war auf einen gefälschten Link hereingefallen und hatte auf einer betrügerischen Webseite ihre Online-Banking-Zugangsdaten eingegeben. Daraufhin überwies ein Täter rund 700 Euro von ihrem Konto. Obwohl die Kundin den Vorfall umgehend meldete, verweigerte die Bank die Erstattung mit der Begründung, sie habe ihre Sicherheitsdaten nicht ausreichend geschützt.

Der EuGH stellte klar, dass Zahlungsdienstleister bei nicht autorisierten Überweisungen grundsätzlich zur sofortigen Rückerstattung verpflichtet sind, spätestens bis zum Ende des folgenden Geschäftstags nach Kenntnis des Vorfalls. Eine Ausnahme gilt nur, wenn konkrete Anhaltspunkte für einen Betrug durch den Kunden selbst bestehen und die Bank diese den zuständigen Behörden meldet.

Nach Auffassung des Gerichts darf die Frage der Erstattung nicht mit der Frage verwechselt werden, wer letztlich den Schaden trägt. Zwar kann eine Bank später Ersatz vom Kunden verlangen, wenn sie nachweist, dass dieser vorsätzlich oder grob fahrlässig gegen seine Sorgfaltspflichten verstoßen hat. Die Beweislast dafür liegt jedoch bei der Bank.

Mit dem Urteil stärkt der EuGH die Rechte von Verbrauchern im Zahlungsverkehr. Banken können Erstattungen demnach nicht von vornherein mit dem Hinweis auf eine mögliche grobe Fahrlässigkeit ihrer Kunden verweigern.

Gerichtshof der Europäischen Union, Urteil vom 15.10.2026, C-70/25