Erst erstatten, dann streiten – der EuGH, das Phishing und die Umkehr der Reihenfolge

Wer durch Phishing Opfer eines nicht autorisierten Zahlungsvorgangs wird, hat gegen seine Bank grundsätzlich einen Anspruch auf unverzügliche Erstattung. Den Vorwurf grober Fahrlässigkeit darf die Bank der Erstattung nicht mehr einfach entgegenhalten; sie muss ihn in einem zweiten Schritt gesondert geltend machen und beweisen. Das verschiebt nicht die materielle Beweislast – diese lag schon bisher bei der Bank –, wohl aber das Initiativ-, Prozess- und Kostenrisiko: Die Bank muss zuerst erstatten und ihren Regressanspruch anschließend selbst geltend machen und beweisen (EuGH, Urteil vom 15. Oktober 2026 – Rechtssache C-70/25, „Tukowiecka“).

Worum es geht

Beim Phishing erbeuten Täter die Zugangsdaten zum Online-Banking, indem sie den Kunden mit gefälschten Nachrichten oder Websites zur Eingabe seiner Daten verleiten, und veranlassen anschließend eine Überweisung. Im Ausgangsfall – einem polnischen Verfahren, das der Gerichtshof mit dem fiktiven Namen „Tukowiecka“ bezeichnet – hatte eine Kundin der Bank PKO BP über ein Online-Auktionsportal einen Artikel verkauft. Ein angeblicher Käufer sandte ihr einen Link auf eine gefälschte, dem Auftritt ihrer Bank nachgebildete Website; dort gab sie ihre Zugangsdaten ein. Damit veranlasste der Täter eine Überweisung von 3.000 Zloty (rund 705 Euro), die er mit einem der Kundin per Kurznachricht übermittelten Bestätigungscode autorisierte. Am Folgetag zeigte sie den Betrug an; die Bank verweigerte die Erstattung und hielt ihr grobe Fahrlässigkeit vor. Maßstab ist die europäische Zahlungsdiensterichtlinie (Zweite Zahlungsdiensterichtlinie, Richtlinie (EU) 2015/2366, englisch Payment Services Directive 2, Abk. PSD2); sie ist in Deutschland in den §§ 675u ff. des Bürgerlichen Gesetzbuchs (Abk. BGB) umgesetzt.

Die Entscheidung

Der Europäische Gerichtshof (Abk. EuGH), das oberste Gericht der Europäischen Union, trennt zwei Ebenen scharf voneinander. Auf der ersten Ebene steht die Erstattungspflicht aus Art. 73 Abs. 1 PSD2 (in Deutschland § 675u BGB): Der Zahlungsdienstleister muss den Betrag eines nicht autorisierten Zahlungsvorgangs unverzüglich, spätestens bis zum Ende des folgenden Geschäftstags, erstatten. Mehr noch – die Rückbuchung muss valutamäßig erfolgen:

Das Konto ist also so zu stellen, als hätte die Belastung nie stattgefunden – mit Wertstellung spätestens auf den Belastungstag. Diese Pflicht kennt nur eine einzige Ausnahme: einen berechtigten, der zuständigen nationalen Behörde schriftlich mitzuteilenden Verdacht betrügerischen Verhaltens des Zahlers selbst (Rn. 33). Der bloße Vorwurf grober Fahrlässigkeit gehört nicht dazu; Art. 73 Abs. 1 sieht insoweit „keine Ausnahme von der Pflicht zur unverzüglichen Erstattung“ vor (Rn. 34). Der Gerichtshof formuliert es unmissverständlich: der Umstand, dass der Zahlungsdienstleister den Zahler für grob fahrlässig hält,

Erst auf der zweiten Ebene kommt die grobe Fahrlässigkeit ins Spiel. Art. 74 Abs. 1 PSD2 regelt – so der Gerichtshof – die Aufteilung der Haftung zwischen Zahlungsdienstleister und Zahler „zu einem späteren Zeitpunkt“ (Rn. 42). Die Bank müsse die Erstattung „in einem ersten Schritt“ vornehmen und könne erst „gegebenenfalls in einem zweiten Schritt durch die hierfür vorgesehenen Rechtsbehelfe“ vom Zahler Ersatz verlangen (Rn. 38, 46) – aber eben erst, nachdem sie erstattet hat. Die Beweislast dafür trägt sie: Nach Art. 72 Abs. 2 PSD2 (§ 675w BGB) muss der Zahlungsdienstleister die grobe Fahrlässigkeit des Zahlers nachweisen (Rn. 40); die bloße Aufzeichnung der Nutzung des Zahlungsinstruments genügt dafür ausdrücklich nicht.

Die bisherige Praxis – und was sich ändert

Dass die Beweislast nicht beim Kunden liegt, ist für sich genommen nicht neu: Nach Art. 72 Abs. 2 PSD2 muss der Zahlungsdienstleister die grobe Fahrlässigkeit beweisen, und § 675w BGB misst der bloßen Aufzeichnung der Instrumentennutzung ohnehin keinen vollen Beweiswert bei. Neu ist daher nicht, dass die Bank die grobe Fahrlässigkeit beweisen muss, sondern zu welchem Zeitpunkt und in welcher prozessualen Rolle sie dies tun muss. Bislang erkannten die Gerichte den Wiedergutschriftanspruch des Kunden aus § 675u Satz 2 BGB zwar an, ließen die Bank ihm aber ihren eigenen Schadensersatzanspruch wegen grober Fahrlässigkeit (§ 675v Abs. 3 BGB) nach Treu und Glauben entgegenhalten – eine Einrede, die den Kunden im Ergebnis auf „null“ stellte und ihn zwang, seinen Anspruch einzuklagen. Noch im Urteil vom 22. Juli 2025 bestätigte der Bundesgerichtshof (Abk. BGH), das oberste deutsche Gericht in Zivilsachen, diese Linie: Stehe der Bank ein Schadensersatzanspruch zu, könne sie die Erfüllung des Anspruchs aus § 675u Satz 2 BGB in entsprechender Höhe „gemäß den Grundsätzen von Treu und Glauben“ verweigern (XI ZR 107/24, im Anschluss an XI ZR 294/19 = BGHZ 227, 343). Genau diese Verknüpfung löst der EuGH auf: Der bloße Vorwurf grober Fahrlässigkeit – auch die feste Überzeugung der Bank davon – rechtfertigt keinen Aufschub der Erstattung. Die materielle Endhaftung des Kunden nach § 675v BGB bleibt bestehen; der Gerichtshof verneint nur ein vorgezogenes Leistungsverweigerungsrecht der Bank.

Folgen für das prozessuale Vorgehen der Bank

Daraus folgt eine bemerkenswerte prozessuale Konsequenz. Eine Aufrechnung (§ 387 BGB) war der Bank als Ersatz für die Gutschrift schon bisher weithin versperrt: Der Anspruch aus § 675u Satz 2 BGB ist auf eine Berichtigungsbuchung – die Wiederherstellung des Kontostands – gerichtet, der Schadensersatzanspruch der Bank aus § 675v Abs. 3 BGB dagegen auf Zahlung; es fehlt an der für die Aufrechnung nötigen Gleichartigkeit (so bereits das Oberlandesgericht Dresden, Urteil vom 13. Oktober 2022 – 8 U 760/22). Deshalb lief die Abwehr der Banken bislang über die Treu-und-Glauben-Einrede (lateinisch dolo agit, qui petit, quod statim redditurus est – wer verlangt, was er sogleich zurückgewähren müsste, handelt arglistig). Eben diese Einrede ist nun unionsrechtlich begrenzt, soweit sie die sofortige Gutschrift vereiteln würde. Beide Wege – Aufrechnung wie Einrede – scheiden damit als Mittel aus, die vom EuGH angeordnete Reihenfolge zu umgehen. Zu präzisieren ist dies in zwei Richtungen: Nur dort, wo dem Kunden ausnahmsweise ein unmittelbarer Zahlungsanspruch zusteht – etwa bei einem auch ohne Korrekturbuchung bestehenden Habensaldo –, kann die Gleichartigkeit zu bejahen sein; und ob die Bank ihren Regress, nachdem sie erstattet hat, später zur Aufrechnung stellen darf, entscheidet das Urteil nicht. Untersagt ist allein, die sofortige Wiederherstellung des Kontos durch Aufrechnung oder Einrede von vornherein zu vereiteln.

Will die Bank ihren Anspruch durchsetzen, bleibt ihr der aktive Weg: Sie muss zuerst valutamäßig gutschreiben und ihren Ersatzanspruch anschließend selbst geltend machen – außergerichtlich und, wenn der Kunde nicht zahlt, mit einer eigenen Leistungsklage. Ist bereits ein Verfahren des Kunden auf Gutschrift oder Auszahlung anhängig, ist die Widerklage auf Zahlung aus § 675v Abs. 3 BGB der naheliegende Weg. Damit trägt die Bank – systemgerecht – die Partei- und Beweislast für die Voraussetzungen des § 675v BGB (konkrete Pflichtverletzung, Vorsatz oder grobe Fahrlässigkeit, Kausalität und Schadenshöhe), statt sie dem klagenden Kunden als bloße Einrede aufzubürden. Der EuGH schreibt zwar keine bestimmte nationale Prozessform vor; seine Zweistufigkeit ist aber eindeutig und war gerade von dem Gedanken getragen, dem Kunden zu ersparen, seine Ansprüche „vor den zuständigen Gerichten geltend zu machen und die sich daraus ergebenden Nachteile, insbesondere etwaige Verfahrenskosten, zu tragen“ (Rn. 45). Das Initiativ-, Prozess- und Kostenrisiko für den Regress liegt damit bei der Bank.

Einordnung

Die Entscheidung stärkt die Position der Geschädigten erheblich und ordnet die Lastenverteilung neu: erst Erstattung, dann – wenn überhaupt – Rückforderung. Sie beendet damit die in Deutschland bislang praktizierte Gleichzeitigkeit von Wiedergutschrift und Kundenhaftung. Wer durch Phishing einen nicht autorisierten Zahlungsvorgang erlitten hat und dem die Bank die Erstattung unter Hinweis auf grobe Fahrlässigkeit verweigert hat, sollte prüfen lassen, ob er die Erstattung jetzt durchsetzen kann; umgekehrt sollten Institute ihr Vorgehen auf die Zweistufigkeit umstellen. Wenn Sie betroffen sind und Ihre Ansprüche prüfen lassen möchten, wenden Sie sich an einen Fachanwalt für Bank- und Kapitalmarktrecht – ich berate Sie gerne!