Phishing-Betrug: Erst erstatten, dann klären

Wird von Ihrem Konto eine Zahlung durchgeführt, die Sie nicht autorisiert haben, muss Ihre Bank Ihnen den Betrag grundsätzlich unverzüglich erstatten, spätestens bis zum Ende des folgenden Geschäftstags, nachdem sie davon erfahren hat (§ 67 Abs 1 ZaDiG 2018). Der Europäische Gerichtshof (EuGH) hat am 15.10.2026 geklärt, ob die Bank diese Erstattung mit dem Hinweis verweigern darf, der Kunde habe grob fahrlässig gehandelt.

Im Anlassfall war eine polnische Bankkundin Opfer eines Phishing-Betrugs geworden. Ein angeblicher Käufer schickte ihr über eine Online-Verkaufsplattform einen gefälschten Link, der sie auf eine täuschend echte Nachbildung der Website ihrer Bank führte. Dort gab sie ihre Zugangsdaten für das Online-Banking ein, mit denen der Betrüger umgerechnet rund 700 Euro von ihrem Konto überwies. Die Kundin meldete den Vorfall am nächsten Tag. Die Bank lehnte die Erstattung ab, weil die Kundin ihre Sicherheitsmerkmale grob fahrlässig nicht ausreichend geschützt habe.

Der EuGH hat entschieden, dass die Bank trotzdem zur unverzüglichen Erstattung verpflichtet ist (Urteil vom 15.10.2026, C-70/25). Die Zahlungsdiensterichtlinie sieht davon nur eine einzige Ausnahme vor: Wenn die Bank berechtigte Gründe für den Verdacht hat, dass der Kunde selbst betrügerisch gehandelt hat, und dies der zuständigen Behörde schriftlich meldet. Der Vorwurf grober Fahrlässigkeit allein reicht dafür nicht aus.

Wer den Schaden am Ende trägt, ist eine davon getrennte Frage. Die Erstattung ist daher nicht in jedem Fall endgültig. Die Bank kann in einem zweiten Schritt vom Kunden Ersatz verlangen, wenn sie nachweist, dass er vorsätzlich oder grob fahrlässig gegen seine Pflichten verstoßen hat.

Die Entscheidung ist auch für österreichische Gerichte maßgeblich. In Österreich ist die Richtlinie im Zahlungsdienstegesetz 2018 umgesetzt: Die Erstattungspflicht regelt § 67 ZaDiG 2018, einen Betrugsverdacht muss die Bank der FMA melden. Ob und in welchem Umfang die Bank danach vom Kunden Ersatz verlangen kann, richtet sich nach § 68 ZaDiG 2018. Selbst bei grober Fahrlässigkeit ist dort eine Schadensteilung möglich, bei der etwa die Art der Sicherheitsmerkmale und die besonderen Umstände des Betrugs zu berücksichtigen sind. Ob das Verhalten eines Phishing-Opfers grob fahrlässig war, hängt immer vom Einzelfall ab.

Wichtig ist, dass Sie rasch handeln: Melden Sie eine nicht autorisierte Abbuchung Ihrer Bank unverzüglich, sobald Sie davon erfahren (§ 65 ZaDiG 2018), lassen Sie Ihren Zugang sperren und verlangen Sie ausdrücklich die Erstattung. Zudem sollten Sie eine Strafanzeige bei der Polizei erstatten.

Phishing-Betrüger gehen oft sehr professionell vor. Treffen kann es jeden. Ist Ihnen das passiert, melden Sie sich gerne bei uns. Wir sehen uns Ihre Situation vertraulich an und besprechen mit Ihnen, welche Schritte sinnvoll sind.

Quelle:

Pressemitteilung Nr 147/26 (EuGH Urteil C-70/25 vom 15.10.2026)