Europäischer Gerichtshof stärkt die Rechte von Bankkunden: Ein neues Urteil präzisiert die Erstattungspflichten bei nicht autorisierten Zahlungen. Zugleich rücken KI-gestützte Betrugsmaschen, digitale Sicherheit und die Verantwortung von Finanzdienstleistern stärker in den Mittelpunkt.
Der Europäische Gerichtshof (EuGH) hat am 15. Oktober 2026 eine wichtige Entscheidung zur Haftung bei Kontobetrug getroffen. Nach dem Urteil in der Rechtssache C-70/25 dürfen Banken die unverzügliche Erstattung nicht autorisierter Zahlungen grundsätzlich nicht allein deshalb verweigern, weil sie ihren Kunden grobe Fahrlässigkeit vorwerfen.
„Die Sicherheit des digitalen Zahlungsverkehrs entsteht durch klare Verantwortlichkeiten, wirksame Schutzmechanismen und nachvollziehbare Entscheidungen. Das neue EuGH-Urteil stärkt diese Grundsätze.“ SCOREDEX Research Team
Damit präzisiert der Gerichtshof eine zentrale Regelung der europäischen Zahlungsdiensterichtlinie PSD2. Die Entscheidung betrifft nicht nur klassische Phishing-Angriffe. Sie besitzt auch erhebliche praktische Bedeutung für eine Finanzwelt, in der Betrugsversuche zunehmend professionell gestaltet werden und künstliche Intelligenz neue Möglichkeiten der digitalen Täuschung eröffnet.
EuGH-Urteil zu Kontobetrug – im Überblick
- Banken müssen unautorisierte Zahlungen grundsätzlich erstatten.
- Grobe Fahrlässigkeit verhindert keine Soforterstattung.
- Spätere Schadensersatzforderungen bleiben rechtlich möglich.
- Banken tragen entsprechende Nachweispflichten.
- KI verändert die Qualität digitaler Betrugsversuche.
- Prävention und Transparenz gewinnen an Bedeutung.
Ein Phishing-Fall aus Polen führte zur Grundsatzentscheidung
Ausgangspunkt war der Fall einer Kundin einer polnischen Bank. Die Frau hatte über eine Onlineplattform einen Artikel zum Verkauf angeboten. Ein vermeintlicher Kaufinteressent schickte ihr einen Link, über den der Verkauf bestätigt werden sollte. Tatsächlich führte der Link zu einer manipulierten Internetseite, die der Website ihrer Bank ähnelte. Dort gab die Kundin ihre Onlinebanking-Zugangsdaten ein. Ein Betrüger nutzte diese Informationen, um umgerechnet rund 700 Euro von ihrem Konto zu überweisen. Die Kundin meldete den Vorfall am folgenden Tag ihrer Bank. Diese verweigerte die Erstattung mit der Begründung, die Kundin habe ihre Zugangsdaten nicht ausreichend geschützt und dadurch grob fahrlässig gehandelt.
Der Rechtsstreit gelangte über ein polnisches Gericht zum EuGH. Dieser stellte klar, dass ein solcher Vorwurf die grundsätzlich bestehende Pflicht zur unverzüglichen Erstattung nicht beseitigt.
Was das Urteil für Bankkunden bedeutet
Die europäische Zahlungsdiensterichtlinie sieht vor, dass Zahlungsdienstleister den Betrag eines nicht autorisierten Zahlungsvorgangs grundsätzlich unverzüglich zurückerstatten müssen. Die Erstattung hat spätestens bis zum Ende des folgenden Geschäftstags zu erfolgen, nachdem die Bank Kenntnis von dem Vorgang erhalten hat oder dieser ihr angezeigt wurde. Ein wesentlicher Punkt des Urteils ist die Trennung zwischen zwei rechtlichen Fragen: der unverzüglichen Erstattung und der endgültigen Verteilung des finanziellen Schadens.
Die Bank hat zunächst ihre gesetzliche Erstattungspflicht zu erfüllen. Anschließend kann sie gegebenenfalls Ersatz verlangen, sofern sie nachweist, dass der Kunde durch vorsätzliche oder grob fahrlässige Verletzung seiner Pflichten den Schaden verursacht hat. Eine Ausnahme von der sofortigen Erstattung besteht insbesondere dann, wenn berechtigte Gründe für den Verdacht eines vom Kunden selbst begangenen Betrugs vorliegen und diese schriftlich der zuständigen nationalen Behörde mitgeteilt werden.
Für Verbraucher bedeutet dies eine Stärkung ihrer rechtlichen Position, jedoch keine automatische Haftungsbefreiung in jedem Betrugsfall.
Welche Bedeutung das Urteil in Deutschland hat
Auch das deutsche Bürgerliche Gesetzbuch enthält bereits entsprechende Bestimmungen.
§ 675u BGB verpflichtet Zahlungsdienstleister bei nicht autorisierten Zahlungen grundsätzlich zur unverzüglichen Erstattung. § 675v BGB regelt mögliche Schadensersatzansprüche bei missbräuchlicher Nutzung von Zahlungsinstrumenten. Besonders relevant ist außerdem § 675w BGB. Danach reicht die technische Aufzeichnung einer Authentifizierung allein nicht notwendigerweise aus, um nachzuweisen, dass der Kunde die Zahlung autorisiert oder grob fahrlässig gehandelt hat.
Die Entscheidung des EuGH bestätigt damit die Bedeutung einer unionsrechtskonformen Anwendung dieser Regelungen. Banken müssen zwischen einer tatsächlich autorisierten Zahlung, einem betrügerischen Zugriff und möglichen Pflichtverletzungen ihrer Kunden sorgfältig unterscheiden.
Künstliche Intelligenz verändert den digitalen Bankbetrug
Die Bedeutung dieser Rechtsprechung reicht über den konkreten Phishing-Fall hinaus. Betrüger können heute mithilfe künstlicher Intelligenz überzeugende Texte, täuschend echte Internetseiten sowie manipulierte Sprach- und Videoinhalte erstellen. Besonders sogenannte Deepfake-Verfahren und KI-gestützte Stimmenimitationen schaffen neue Möglichkeiten, Vertrauen zu erschleichen.
Besonders sogenannte Deepfake-Verfahren und KI-gestützte Stimmenimitationen schaffen neue Möglichkeiten, Vertrauen zu erschleichen. Als Deepfake bezeichnet man mithilfe künstlicher Intelligenz erzeugte oder manipulierte Bild-, Ton- und Videoaufnahmen, die täuschend echt wirken können. So lässt sich beispielsweise die Stimme eines Bankmitarbeiters nachahmen oder eine Person in einem Video scheinbar Aussagen treffen, die sie tatsächlich nie gemacht hat.
Ein vermeintlicher Mitarbeiter der Hausbank kann beispielsweise telefonisch auf einen angeblichen Sicherheitsvorfall hinweisen. Die Stimme wirkt vertraut, die verwendeten Fachbegriffe stimmen und eine begleitende Nachricht vermittelt zusätzlich Glaubwürdigkeit. Solche Methoden können die Beurteilung erschweren, ob ein Betroffener eine Täuschung unter den konkreten Umständen hätte erkennen müssen.
Dabei ist eine juristische Unterscheidung wichtig: Das EuGH-Urteil selbst betraf einen klassischen Phishing-Sachverhalt. Es enthält keine eigenständige Entscheidung darüber, wie KI-generierte Täuschungen im Einzelfall unter dem Gesichtspunkt grober Fahrlässigkeit zu bewerten sind. Die technische Entwicklung zeigt jedoch, warum nachvollziehbare Nachweise und differenzierte Haftungsentscheidungen künftig noch wichtiger werden.
Was Banken und Finanzdienstleister daraus ableiten können
Das Urteil unterstreicht die Bedeutung zuverlässiger Prozesse im Umgang mit verdächtigen Zahlungsvorgängen. Neben der technischen Absicherung von Konten gewinnen insbesondere eine schnelle Bearbeitung von Betrugsmeldungen, eine nachvollziehbare Dokumentation und verständliche Kommunikation an Bedeutung. Für Banken empfiehlt sich ein Zusammenspiel aus modernen Sicherheitsverfahren, kontinuierlicher Betrugserkennung und klar geregelten Erstattungsprozessen.
Auch Unternehmen sollten ihre internen Zahlungsabläufe regelmäßig überprüfen. Mehrstufige Freigaben, die unabhängige Bestätigung geänderter Bankverbindungen und Sensibilisierung für Identitätsmissbrauch können das Risiko betrügerischer Überweisungen reduzieren. Die rechtlichen Unterschiede zwischen nicht autorisierten Zahlungen und Überweisungen, die ein Kunde selbst aufgrund einer Täuschung freigibt, sind dabei besonders zu beachten. Nicht jeder durch Betrug verursachte Vermögensverlust löst automatisch einen Erstattungsanspruch nach denselben Vorschriften aus.
SCOREDEX-Einordnung: Finanzielle Sicherheit ist auch eine Frage der Transparenz
Aus Sicht einer unabhängigen Unternehmens- und Seriositätsbewertung zeigt die Entscheidung, wie eng rechtliche Verlässlichkeit, technische Sicherheit und verantwortungsvolle Geschäftsprozesse miteinander verbunden sind. Vertrauen in Finanzdienstleister entsteht nicht allein durch technische Schutzmaßnahmen. Ebenso wichtig sind transparente Verfahren, nachvollziehbare Verantwortlichkeiten und eine sachgerechte Behandlung von Beschwerden.
Für die Bewertung von Unternehmen und Geschäftspartnern sind deshalb auch organisatorische Strukturen, der Umgang mit Risiken und die Qualität öffentlich nachvollziehbarer Informationen relevante Gesichtspunkte. Das EuGH-Urteil verdeutlicht zugleich einen grundlegenden Wandel: Digitale Sicherheit wird zunehmend zu einer gemeinsamen Aufgabe von Zahlungsdienstleistern, Unternehmen und Verbrauchern.
Bei nicht autorisierten Zahlungsvorgängen besteht grundsätzlich eine Pflicht zur unverzüglichen Erstattung, spätestens bis zum Ende des folgenden Geschäftstags nach Kenntniserlangung beziehungsweise Anzeige. Gesetzliche Voraussetzungen und Ausnahmen sind zu berücksichtigen.
Ein Phishing-Angriff führt nicht automatisch zu einem endgültigen Verlust des Erstattungsanspruchs. Die Bank muss grundsätzlich zunächst erstatten. Ein späterer Schadensersatzanspruch bei nachgewiesener grober Fahrlässigkeit bleibt möglich.
Grobe Fahrlässigkeit setzt eine besonders schwerwiegende Verletzung der gebotenen Sorgfalt voraus. Ob sie vorliegt, hängt von den Umständen des Einzelfalls ab. Die bloße Tatsache, dass ein Betrug erfolgreich war, beweist sie nicht.
Ja. Der EuGH legt mit seinem Urteil europäisches Zahlungsdiensterecht aus, das auch für Deutschland maßgeblich ist. Entsprechende Regelungen finden sich insbesondere in §§ 675u, 675v und 675w BGB.
Nicht automatisch. Entscheidend ist, ob der Zahlungsvorgang rechtlich autorisiert wurde. Eine selbst freigegebene Überweisung kann anders zu beurteilen sein als ein unbefugter Kontozugriff durch Dritte.
KI kann Betrugsversuche überzeugender gestalten. Dadurch werden die Erkennung digitaler Täuschungen, die Dokumentation von Zahlungsvorgängen und die Bewertung möglicher Sorgfaltspflichtverletzungen anspruchsvoller.
Fazit: Ein wegweisendes Urteil für den digitalen Zahlungsverkehr
Mit seiner Entscheidung vom 15. Oktober 2026 stärkt der Europäische Gerichtshof die Rechte von Bankkunden und stellt die zeitliche Reihenfolge bei der Behandlung nicht autorisierter Zahlungen klar.
Banken dürfen die grundsätzlich vorgeschriebene sofortige Erstattung nicht allein durch den Vorwurf grober Fahrlässigkeit ersetzen. Zugleich bleibt die Möglichkeit bestehen, berechtigte Schadensersatzansprüche später geltend zu machen.
In einer zunehmend digitalisierten Finanzwelt schafft diese Trennung mehr Rechtssicherheit und stärkt das Vertrauen in den Zahlungsverkehr.
Für Finanzdienstleister und Unternehmen ist das Urteil zugleich ein Anlass, technische Sicherheitsverfahren, Risikomanagement und transparente Kundenprozesse weiterzuentwickeln.
Quellen und Rechtsgrundlagen
-
Europäischer Gerichtshof, Urteil vom 15. Oktober 2026, Rechtssache C-70/25, Tukowiecka, ECLI:EU:C:2026:852.
https://infocuria.curia.europa.eu/tabs/jurisprudence?publishedId=C-70%2F25 -
EuGH, Pressemitteilung Nr. 147/26 vom 15. Oktober 2026.
https://curia.europa.eu/site/upload/docs/application/pdf/2026-10/cp260147de.pdf -
Richtlinie (EU) 2015/2366 über Zahlungsdienste im Binnenmarkt (PSD2), insbesondere Artikel 69, 73 und 74.
https://eur-lex.europa.eu/eli/dir/2015/2366/oj -
Bürgerliches Gesetzbuch, §§ 675u, 675v und 675w.
https://www.gesetze-im-internet.de/bgb/
Quellenabruf: 18. Oktober 2026
Rechtlicher Hinweis:
Dieser Beitrag dient der allgemeinen Information und redaktionellen Einordnung einer europäischen Gerichtsentscheidung. Er stellt keine individuelle Rechtsberatung dar. Ob ein Zahlungsdienstleister zur Erstattung verpflichtet ist oder Schadensersatz verlangen kann, hängt von den rechtlichen Voraussetzungen und den Umständen des Einzelfalls ab.
