Erst verschwindet Geld vom Konto, dann macht die Bank dem Kunden Vorwürfe. Wer seine Zugangsdaten leichtfertig preisgegeben habe, müsse den Schaden selbst tragen. Doch damit darf ein Kreditinstitut die sofortige Erstattung einer nicht autorisierten Zahlung nicht einfach verweigern.
Das hat der Europäische Gerichtshof am 15. Oktober 2026 entschieden (C-70/25). Über die Entscheidung informiert die Pressemitteilung des EuGH.
Für Betroffene ist also die Reihenfolge wichtig. Die Bank muss grundsätzlich zuerst erstatten. Ob der Kunde wegen eines schweren Fehlers später selbst für den Verlust einstehen muss, ist eine andere Frage. Die schnelle Rückzahlung bedeutet also nicht, dass jede weitere Forderung der Bank ausgeschlossen wäre.
Eine Verkäuferin verlor rund 700 Euro
Ausgangspunkt war der Fall einer polnischen Bankkundin. Sie wollte einen Gegenstand über eine Onlineplattform verkaufen. Ein angeblicher Interessent schickte ihr einen Link, über den sie den Verkauf bestätigen sollte. Die verlinkte Seite sah wie die Internetseite ihrer Bank aus.
Die Frau gab dort ihre Zugangsdaten ein. Der Täter nutzte diese anschließend, um umgerechnet etwa 700 Euro auf sein eigenes Konto zu überweisen. Am nächsten Tag informierte die Kundin ihre Bank. Diese verweigerte die Erstattung wegen angeblich grober Fahrlässigkeit. Über die dadurch aufgeworfene Rechtsfrage musste schließlich der EuGH entscheiden.
Das Geld muss grundsätzlich bis zum nächsten Geschäftstag zurück sein
Auch im deutschen Recht ist die Erstattungspflicht bereits geregelt. Nach § 675u BGB muss die Bank eine nicht autorisierte Zahlung unverzüglich erstatten. Wurde das Konto belastet, muss sie es grundsätzlich wieder auf den Stand bringen, den es ohne diese Zahlung gehabt hätte.
Die gesetzliche Höchstfrist endet mit dem folgenden Geschäftstag, nachdem die Bank von dem nicht autorisierten Vorgang erfahren hat oder darüber informiert wurde. Die Formulierung „bis zum nächsten Tag“ ist deshalb ungenau. Ein Geschäftstag ist nicht zwingend jeder Kalendertag. Maßgeblich ist, wann die Bank den für Zahlungsvorgänge erforderlichen Geschäftsbetrieb unterhält. Die Definition enthält § 675n BGB.
Die Regelung soll damit gerade keine wochenlange Wartezeit eröffnen, während Bank und Kunde über mögliche Fehler streiten. Für Menschen, die das fehlende Geld für Miete, Lebensmittel oder Medikamente benötigen, kann schon eine kurze Verzögerung erhebliche Folgen haben.
Ein Betrugsverdacht gegen den Kunden ist etwas anderes
Eine wichtige Ausnahme bleibt bestehen. Hat die Bank berechtigte Gründe für den Verdacht, dass der Kontoinhaber selbst betrügerisch handelt, und teilt sie diese einer zuständigen Behörde schriftlich mit, gelten andere Anforderungen an die sofortige Erstattung. Bestätigt sich der Verdacht nicht, muss sie ihre Erstattungspflicht unverzüglich erfüllen.
Gemeint ist nicht bloß der ohnehin bekannte Betrug durch einen unbekannten Täter. Auch der Vorwurf, ein Kunde habe seine Zugangsdaten unvorsichtig behandelt, ist nicht mit einem begründeten Verdacht gleichzusetzen, dass er selbst betrügt. Genau diese Trennung hebt die Mitteilung des EuGH hervor.
Die Rückzahlung entscheidet noch nicht über die endgültige Haftung
Nach der Erstattung kann die Bank weiterhin prüfen, ob ihr ein Ersatzanspruch gegen den Kunden zusteht. § 675v BGB sieht eine Haftung für den gesamten Schaden insbesondere dann vor, wenn der Kunde ihn durch eine vorsätzliche oder grob fahrlässige Verletzung seiner Pflichten verursacht hat. Es genügt nicht, nur irgendeinen Fehler zu benennen. Der Pflichtverstoß muss für den Schaden ursächlich sein.
Das Gesetz enthält zugleich weitere Grenzen und Ausnahmen. So kann es eine Rolle spielen, ob die Bank eine starke Kundenauthentifizierung verlangt hat oder ob weitere Zahlungen erst nach der Meldung des Missbrauchs erfolgten. Die Haftung lässt sich deshalb nicht mit dem pauschalen Satz erledigen, wer auf einen Link klickt, zahle immer selbst.
Wer das Geld zurückerhält und später mit einer begründeten Forderung seiner Bank konfrontiert wird, sollte diese folglich nicht ignorieren. Das Urteil ist kein Freibrief für einen sorglosen Umgang mit Passwörtern oder Freigaben. Es trennt die schnelle Wiederherstellung des Kontostands von der späteren Klärung der Verantwortung.
Eine verwendete TAN beweist nicht automatisch die Zustimmung
Häufig wird der Streit darauf hinauslaufen, was der Kunde tatsächlich getan hat. Wurden nur Zugangsdaten eingegeben? Wurde zusätzlich ein neues Gerät freigeschaltet? Oder hat der Betroffene eine konkrete Überweisung bestätigt?
§ 675w BGB unterscheidet zwischen einer technischen Authentifizierung und der rechtlichen Autorisierung einer Zahlung. Die Aufzeichnung, dass ein Zahlungsinstrument mit den vorgesehenen Sicherheitsmerkmalen verwendet wurde, reicht allein nicht notwendigerweise aus, um die Zustimmung des Kunden oder dessen grobe Fahrlässigkeit nachzuweisen. Die Bank muss dafür unterstützende Beweismittel vorlegen.
Eine funktionierende Anmeldung oder eine protokollierte Freigabe beendet die Prüfung daher nicht automatisch. Entscheidend bleibt, welchen Vorgang die Person unter welchen Umständen vorgenommen hat. Betroffene sollten den Ablauf möglichst genau schildern und klar zwischen eigenen Erinnerungen, erhaltenen Nachrichten und bloßen Vermutungen unterscheiden.
100 % spam-frei • jederzeit abbestellbar
Welche Täuschungen dabei eingesetzt werden, erläutert unser Beitrag über gefälschte Sparkassen- und DKB-Mails, die mit einer Kontosperre drohen.
Nicht jede Zahlung an einen Betrüger fällt unter diese Erstattungspflicht
Die entscheidende Voraussetzung lautet weiterhin, dass die Zahlung nicht autorisiert war. Nach § 675j BGB geht es darum, ob der Kontoinhaber dem Zahlungsvorgang zugestimmt hat. Dass der Empfänger ein Betrüger ist, beantwortet diese Frage noch nicht.
Wer beispielsweise selbst eine Überweisung an einen vermeintlichen Verkäufer veranlasst und später keine Ware erhält, befindet sich nicht automatisch in derselben rechtlichen Situation wie jemand, dessen Bankzugang übernommen wurde. Auch bei einer durch Täuschung veranlassten Freigabe müssen der konkrete Ablauf und die rechtliche Bedeutung der Erklärung geprüft werden.
Das neue Urteil verspricht deshalb keine allgemeine Rückzahlungsgarantie für sämtliche Internetbetrügereien. Es betrifft die Erstattung nicht autorisierter Zahlungsvorgänge. Bei anderen Betrugsformen können andere Ansprüche in Betracht kommen.
Bankzugang sperren und die Buchung sofort melden
Wer eine unbekannte Zahlung entdeckt, sollte nicht erst auf eine ausführliche rechtliche Einschätzung warten. Die Polizeiliche Kriminalprävention empfiehlt in ihrer Checkliste zum Onlinebanking, umgehend die Bank zu kontaktieren, den gefährdeten Zugang sperren zu lassen und Strafanzeige zu erstatten. Dafür sollte ein bekannter, unabhängig überprüfter Kontaktweg genutzt werden, nicht die Telefonnummer aus einer verdächtigen Nachricht.
Die Meldung an die Bank sollte erkennen lassen, welche Buchung beanstandet wird und dass ihr nicht zugestimmt wurde. Datum, Betrag und Empfänger helfen bei der Zuordnung. Eine schriftliche Bestätigung des Gesprächs erleichtert später den Nachweis, wann die Bank informiert wurde.
Betrügerische Nachrichten und vorhandene Zahlungsnachweise sollten aufbewahrt werden. Das gilt auch, wenn als Absender nicht die Bank, sondern eine vermeintlich vertraute öffentliche Stelle auftritt. Unser Beitrag über gefälschte Krankenkassen-Mails mit einem Erstattungsversprechen zeigt, wie solche Nachrichten zur Preisgabe vertraulicher Daten verleiten sollen.
Die 13-Monats-Frist ist keine Einladung zum Abwarten
§ 676b BGB verpflichtet Kunden, ihre Bank unverzüglich zu informieren, sobald sie einen nicht autorisierten oder fehlerhaft ausgeführten Zahlungsvorgang feststellen. Daneben besteht grundsätzlich eine Ausschlussfrist von 13 Monaten nach der Belastung. Ihr Beginn hängt unter anderem davon ab, ob die Bank die vorgeschriebenen Informationen über den Vorgang bereitgestellt hat.
Wer den Missbrauch bereits bemerkt hat, darf deshalb nicht einfach bis zum Ende dieser Frist warten. Die Pflicht zur unverzüglichen Meldung besteht daneben. Eine Anzeige bei der Polizei ersetzt die Unterrichtung der Bank ebenfalls nicht, denn das Gesetz verlangt ausdrücklich eine Mitteilung an den Zahlungsdienstleister.
Eine frühere Ablehnung muss nicht das letzte Wort sein
Hat eine Bank bereits mit dem Hinweis auf grobe Fahrlässigkeit abgelehnt, kann eine erneute Prüfung sinnvoll sein. Dabei müssen sowohl die ursprüngliche Meldung als auch die Begründung der Bank und mögliche spätere Vereinbarungen betrachtet werden.
Zusätzlich zur Anzeigefrist ist die Verjährung zu beachten. Die regelmäßige Verjährungsfrist beträgt nach § 195 BGB grundsätzlich drei Jahre. Ihr Beginn richtet sich nach den Voraussetzungen des § 199 BGB, insbesondere der Entstehung des Anspruchs und der erforderlichen Kenntnis. Ein neues Urteil setzt diese Frist nicht automatisch für sämtliche älteren Forderungen neu in Gang.
Für die erneute Forderung sollten Betroffene die beanstandete Zahlung und das frühere Ablehnungsschreiben benennen. Dabei lässt sich auf § 675u BGB und die Entscheidung des EuGH vom 15. Oktober 2026 (C-70/25) verweisen. Bleibt die Bank bei ihrer Ablehnung oder verlangt sie das erstattete Geld wieder zurück, sollte die konkrete Anspruchslage fachkundig geprüft werden.
Die erste Rückzahlung und die endgültige Verantwortung dürfen nicht vermischt werden. Der Vorwurf eines schweren Kundenfehlers macht aus einer nicht autorisierten Zahlung keine genehmigte Überweisung. Und er rechtfertigt nach der Entscheidung nicht, die gesetzlich vorgesehene Erstattung von Anfang an zu verweigern.
Quellen
Europäischer Gerichtshof, Pressemitteilung vom 15. Oktober 2026 zum Urteil (C-70/25). Die Darstellung des konkreten Sachverhalts und des Entscheidungsergebnisses beruht auf dieser Veröffentlichung. Ein vollständiger Urteilstext liegt dieser Fassung nicht zugrunde.
Die ergänzende Einordnung des deutschen Rechts beruht auf §§ 675j, 675n, 675u, 675v, 675w und 676b BGB sowie §§ 195 und 199 BGB. Die Hinweise zum Vorgehen bei einem verdächtigen Zahlungsvorgang stützen sich ergänzend auf die verlinkte Checkliste der Polizeilichen Kriminalprävention zum Onlinebanking.
- Über den Autor
- Letzte Beiträge des Autors
Willi Kühn-Dehmlow ist Heilpädagoge (B.A.) und Sozialarbeiter (M.A.). Er verfügt über langjährige Berufserfahrung in der Kinder- und Jugendhilfe und war mehrere Jahre in leitender Funktion tätig. Seine fachlichen Schwerpunkte liegen im Sozialrecht, in der Kinder- und Jugendhilfe sowie bei Teilhabe und Eingliederungshilfe. Für gegen-hartz.de schreibt er insbesondere über sozialrechtliche Ansprüche und die Rechte von Betroffenen gegenüber Behörden und Leistungsträgern.
