Wer auf eine gefälschte Bankseite hereinfällt und danach Geld vom Konto verliert, hat ab sofort deutlich bessere Karten. Der Europäische Gerichtshof (EuGH) hat am 15. Oktober 2026 entschieden: Bei nicht autorisierten Zahlungen muss die Bank den Betrag zuerst erstatten – auch dann, wenn sie dem Kunden grobe Fahrlässigkeit vorwirft (Rechtssache C-70/25). Erst danach darf sie versuchen, sich das Geld zurückzuholen.
Der Fall: 700 Euro nach einem Fake-Link
Auslöser war eine Kundin einer polnischen Bank. Sie bot auf einer Online-Plattform einen Artikel zum Verkauf an. Ein angeblicher Käufer schickte ihr einen Link, der wie eine Bestätigungsseite der Plattform aussah und weiter auf eine täuschend echte Kopie der Bank-Website führte. Dort gab sie ihre Online-Banking-Zugangsdaten ein. Der Betrüger überwies damit umgerechnet rund 700 Euro auf sein eigenes Konto.
Am nächsten Tag meldete die Frau den Betrug. Die Bank lehnte die Erstattung ab: Die Kundin habe ihre Sicherheitsmerkmale nicht ausreichend geschützt und damit grob fahrlässig gehandelt. Ein polnisches Gericht legte die Frage dem EuGH vor.
Was der EuGH entschieden hat
Die Luxemburger Richter trennen zwei Fragen sauber voneinander. Erstens: Muss die Bank das Geld zurückbuchen? Ja – unverzüglich, spätestens bis zum Ende des folgenden Geschäftstags, sofern der Kunde den Vorfall unverzüglich gemeldet hat. Zweitens: Wer trägt am Ende den Schaden? Das wird erst danach geklärt.
Die einzige Ausnahme von der Sofort-Erstattung ist laut EuGH ein begründeter Verdacht, dass der Kunde selbst betrügt – und diesen muss die Bank der zuständigen Behörde schriftlich melden. Der bloße Vorwurf der groben Fahrlässigkeit reicht nicht. Will die Bank das Geld später zurückfordern, muss sie dem Kunden Vorsatz oder grobe Fahrlässigkeit nachweisen. Dürfte die Bank die Erstattung von vornherein verweigern, müsste der Kunde erst einen Prozess samt Kosten führen, argumentiert das Gericht.
Die Legal Tribune Online brachte das Urteil auf X auf den Punkt:
- Grundregel: Nicht autorisierte Zahlung → Bank erstattet bis spätestens Ende des nächsten Geschäftstags.
- Einzige Ausnahme: begründeter Betrugsverdacht gegen den Kunden selbst, schriftlich an die Behörde gemeldet.
- Beweislast: Grobe Fahrlässigkeit muss die Bank nachweisen – erst danach kann sie Geld zurückverlangen.
- Voraussetzung: Der Kunde meldet den Vorfall unverzüglich.
Was das für Österreich bedeutet
Die EU-Zahlungsdiensterichtlinie (PSD2) ist in Österreich im Zahlungsdienstegesetz 2018 umgesetzt. Dessen § 67 verlangt fast wortgleich die Erstattung bis zum Ende des folgenden Geschäftstags; bei Betrugsverdacht muss die Bank die Finanzmarktaufsicht (FMA) informieren. Das Urteil gilt für alle EU-Staaten und ist hierzulande besonders brisant: Laut einem Bericht der Ombudsstelle für Zahlungsprobleme im Sozialministerium (Mai 2026) liegt eine Verbandsklage des VKI gegen eine Bank seit Frühjahr 2024 beim Obersten Gerichtshof – unterbrochen, weil man auf genau dieses EuGH-Verfahren gewartet hat.
Der Bericht zeigt auch das Ausmaß: Von Jänner 2023 bis Ende 2025 wandten sich 717 Phishing-Opfer an die Ombudsstelle, der durchschnittliche Schaden lag bei rund 4.333 Euro. Wichtig ist aber eine Einschränkung: Nur etwa die Hälfte der Fälle, in denen die Ombudsstelle intervenierte, betraf nicht autorisierte Zahlungen. Wer eine Überweisung selbst freigibt – etwa auf Anweisung eines falschen Bankmitarbeiters –, ist vom Urteil nicht automatisch erfasst. Ob ein Vorgang als autorisiert gilt, ist im Einzelfall oft strittig.
Was du im Ernstfall tun solltest
Rechtsanwalt Johannes Goetz rät in der tagesschau: sofort die Bank informieren, Konto, Karten und Online-Zugang sperren lassen und die Bank ausdrücklich zur Erstattung auffordern. Danach Beweise sichern – E-Mails, SMS, Screenshots, Kontoauszüge – und Anzeige bei der Polizei erstatten. In Österreich helfen zusätzlich die Ombudsstelle für Zahlungsprobleme, die Arbeiterkammer und der VKI. Die Arbeiterkammer fordert genau das, was der EuGH nun bestätigt hat: Banken sollen zuerst erstatten und grobes Verschulden in einem gesonderten Verfahren beweisen.
Einschätzung
Das Urteil dreht die Verhandlungsposition um: Bisher mussten Betrugsopfer oft selbst klagen, um ihr Geld zu sehen. Künftig muss die Bank zahlen und dann beweisen, dass der Kunde schwer gepatzt hat – bei immer professionelleren Phishing-Seiten keine leichte Übung. Ein Freibrief für Sorglosigkeit ist es nicht, die Rückforderung bleibt möglich. Auf EU-Ebene ist zudem die neue Zahlungsdiensteverordnung (PSR) politisch fertig verhandelt, aber noch nicht in Kraft. Bis dahin ist C-70/25 das stärkste Argument, das Phishing-Opfer gegenüber ihrer Bank in der Hand haben.
Quellen
- EuGH – Pressemitteilung Nr. 147/26 zum Urteil C-70/25 (15.10.2026): https://curia.europa.eu/site/upload/docs/application/pdf/2026-10/cp260147de.pdf
- heise – EuGH: Banken müssen Phishing-Schaden erst einmal erstatten (15.10.2026): https://www.heise.de/news/EuGH-Banken-muessen-Phishing-Schaden-erst-einmal-erstatten-11489842.html
- LTO – Bank muss Phishing-Opfer zunächst entschädigen (15.10.2026): https://www.lto.de/recht/nachrichten/n/eugh-c7025-erstattungsanspruch-bank-phishing-grobe-fahrlaessigkeit
- tagesschau – Banken müssen bei Kontobetrug Geld erstatten (15.10.2026): https://www.tagesschau.de/wirtschaft/verbraucher/eugh-konto-betrug-phishing-100.html
- RIS – Zahlungsdienstegesetz 2018, § 67: https://www.ris.bka.gv.at/NormDokument.wxe?Abfrage=Bundesnormen&Gesetzesnummer=20010182&Paragraf=67
- Sozialministerium – Bericht der Ombudsstelle zu Phishing-Betrugsfällen 2023–2025 (Mai 2026): https://www.sozialministerium.gv.at/dam/jcr:689c4423-a04d-43fd-841a-3b59851d5e5d/Bericht%20zu%20Phishing%20Betrugsf%C3%A4llen%202023-2025.pdf
- Arbeiterkammer – Geldfallen im Netz: https://www.arbeiterkammer.at/beratung/konsument/HandyundInternet/Internet/Abzocke-im-Netz.html
- Legal Tribune Online auf X (15.10.2026): https://x.com/lto_de/status/2110699596225847746
Hinweis: Dieser Artikel wurde mit KI-Unterstützung erstellt und redaktionell geprüft.
