In vielen Fällen ja – zumindest zunächst. Haben Betrüger mit Ihren gestohlenen Zugangsdaten Geld von Ihrem Konto bewegt, ohne dass Sie die Zahlung selbst in Auftrag gegeben haben, muss Ihre Bank den Betrag erstatten: unverzüglich, spätestens bis zum Ende des Geschäftstags nach Ihrer Meldung. Das gilt nach einem Urteil des Europäischen Gerichtshofs vom 15. Oktober 2026 auch dann, wenn die Bank Ihnen grobe Fahrlässigkeit vorwirft. Ob Sie das Geld am Ende behalten dürfen, ist eine zweite Frage – und die muss die Bank beweisen.
Entscheidend ist, schnell zu handeln und die Erstattung schriftlich zu verlangen. Wie das geht, lesen Sie unten.
Was der EuGH entschieden hat
Im Fall vor dem Europäischen Gerichtshof (EuGH, Rechtssache C-70/25) hatte eine Kundin über einen Link eines angeblichen Marktplatz-Käufers ihre Bankdaten auf einer gefälschten Seite eingegeben. Kurz darauf fehlten rund 700 Euro. Sie meldete den Fall am nächsten Tag, die Bank lehnte die Erstattung ab: Die Kundin sei grob fahrlässig gewesen.
Der EuGH sieht das anders (Pressemitteilung Nr. 147/26):
- Erst erstatten: Die Bank muss den Betrag einer nicht autorisierten Zahlung sofort zurückbuchen. Der Vorwurf grober Fahrlässigkeit „berechtigt ihn nicht dazu, die unverzügliche Erstattung zu verweigern“.
- Dann prüfen: Erst in einem zweiten Schritt darf die Bank das Geld zurückverlangen – wenn sie Ihnen grobe Fahrlässigkeit nachweist.
- Einzige Ausnahme: Die Bank hat einen begründeten Verdacht, dass Sie selbst betrügen, und teilt das schriftlich der zuständigen Behörde mit.
Das Urteil betrifft einen polnischen Fall, legt aber die EU-Zahlungsdiensterichtlinie aus. Sie gilt auch in Deutschland und ist dort im Bürgerlichen Gesetzbuch umgesetzt. § 675u BGB enthält dieselbe Frist. Laut Verbraucherzentrale Bundesverband verweigern aber auch deutsche Banken in solchen Fällen bisher oft zunächst die Erstattung (beck-aktuell, 15.10.2026). Das Urteil gibt Ihnen ein starkes Argument.
Zwei Begriffe, auf die es ankommt
Nicht autorisiert heißt: Sie haben der Zahlung nicht zugestimmt. Typisch ist, dass Betrüger Ihre auf einer gefälschten Seite eingegebenen Zugangsdaten nutzen und selbst überweisen.
Grob fahrlässig handelt, wer die nötige Sorgfalt in besonders schwerem Maß verletzt. Was darunter fällt, entscheiden Gerichte im Einzelfall. Die Bank muss dafür „unterstützende Beweismittel“ vorlegen; dass Ihre Zugangsdaten technisch korrekt verwendet wurden, reicht allein nicht (§ 675w BGB).
Ihre Situation auf einen Blick
| Was ist passiert? | Was gilt | Ihre Aussicht |
|---|---|---|
| Betrüger haben mit Ihren Daten überwiesen, Sie haben nichts freigegeben | Nicht autorisiert: Bank muss bis Ende des nächsten Geschäftstags erstatten | Gut. Sie haften höchstens mit 50 Euro – außer die Bank weist grobe Fahrlässigkeit nach |
| Die Bank hat beim Vorgang keine starke Kundenauthentifizierung verlangt (also keine zweite Bestätigung, z. B. per App) | Keine Haftung nach § 675v Abs. 4 BGB, außer bei Betrug | Gut |
| Abbuchung erfolgte, nachdem Sie Konto oder Karte schon gesperrt hatten | Keine Haftung für Zahlungen nach der Sperranzeige | Gut |
| Sie haben Zahlungen selbst per TAN oder App bestätigt, z. B. auf Anweisung eines falschen Bankmitarbeiters | Umstritten, Gerichte entscheiden im Einzelfall | Unsicher – Beratung lohnt sich |
Grundlage: § 675v BGB. Ein Beispiel für den umstrittenen Fall: Das Oberlandesgericht Dresden entschied am 5. Mai 2025 (Az. 8 U 1482/24), dass ein Kunde, der auf Anweisung falscher Sparkassen-Mitarbeiter mehrere pushTAN-Freigaben erteilt hatte, die Überweisungen nicht bewusst autorisiert hatte. Er habe aber grob fahrlässig gehandelt, weil er die Auftragsdaten in der App nicht geprüft habe. Weil die Sparkasse beim Login keine starke Authentifizierung verlangte, musste sie 20 Prozent erstatten – knapp 10.000 Euro (vzbv). Ein Einzelfall, aber er zeigt: Auch hier ist nicht automatisch alles verloren.
In sechs Schritten zur Erstattung
- Zugang sperren. Sperren Sie Onlinebanking und Karten sofort über Ihre Bank oder den Sperr-Notruf 116 116 (aus dem Ausland +49 116 116). Laut BSI ist die schnellste Sperre oft, im Login dreimal eine falsche PIN einzugeben.
- Beweise sichern. Laden Sie Kontoauszüge herunter, machen Sie Screenshots der Phishing-Mail oder SMS, notieren Sie Uhrzeiten und Anrufe.
- Bank informieren. Melden Sie jede Zahlung, die Sie nicht veranlasst haben, sofort. Ab dieser Meldung läuft die Erstattungsfrist. Spätestens 13 Monate nach der Belastung ist der Anspruch in der Regel ausgeschlossen (§ 676b BGB).
- Anzeige erstatten. Gehen Sie zur Polizei oder nutzen Sie die Onlinewache Ihres Bundeslandes. Das Aktenzeichen braucht die Bank meist.
- Erstattung schriftlich verlangen. Fordern Sie die Rückbuchung per Brief oder über das Postfach im Onlinebanking – mit Frist (siehe Formulierung unten).
- Gerät prüfen. War Schadsoftware im Spiel oder haben Sie eine Fernwartungs-App installiert, muss das Gerät bereinigt werden, bevor Sie wieder Onlinebanking nutzen. Ändern Sie danach Ihre Passwörter.
Formulierungshilfe für Ihre Bank
„Am [Datum] wurde mein Konto [IBAN] mit [Betrag] Euro belastet. Diese Zahlung habe ich nicht autorisiert. Ich habe Sie am [Datum] darüber informiert und Anzeige erstattet (Aktenzeichen [ … ]). Ich fordere Sie auf, den Betrag gemäß § 675u BGB unverzüglich zu erstatten. Nach dem Urteil des EuGH vom 15.10.2026 (C-70/25) berechtigt der Vorwurf grober Fahrlässigkeit Sie nicht, die Erstattung zu verweigern. Bitte bestätigen Sie die Rückbuchung bis [Datum].“
Lehnt die Bank ab, lassen Sie sich beraten – etwa bei der Verbraucherzentrale oder einer Anwältin bzw. einem Anwalt für Bankrecht. Beschwerden zu Zahlungsvorgängen bearbeitet unter anderem die Schlichtungsstelle der Deutschen Bundesbank. Fragen Sie Ihre Bank, welche Schlichtungsstelle für sie zuständig ist.
Was das für Praxen, Büros und Selbstständige bedeutet
Die meisten Schäden beginnen mit einer gut gemachten Mail oder einem Anruf, der Zeitdruck aufbaut. Wer im Team weiß, dass eine Bank nie am Telefon um eine TAN-Freigabe bittet, verhindert den Schaden, bevor es um Erstattung geht.
Was Sie direkt nach einem Klick auf einen verdächtigen Link tun sollten, lesen Sie in unserem Ratgeber Auf einen Phishing-Link geklickt.
Phishing-Schutz für Ihr Team? Wir schulen Mitarbeitende in Praxen und Büros praxisnah im Erkennen von Phishing und Betrugsanrufen (IT-Awareness) und prüfen, ob Ihre Geräte und Konten sauber abgesichert sind (IT-Sicherheit).
Häufige Fragen
Gilt das EuGH-Urteil auch in Deutschland?
Ja. Der EuGH legt die EU-Zahlungsdiensterichtlinie aus, die auch in Deutschland gilt. Die Erstattungsfrist bis zum Ende des folgenden Geschäftstags steht bereits in § 675u BGB. Neu ist die Klarstellung, dass der Vorwurf grober Fahrlässigkeit die Erstattung nicht aufschiebt.
Muss ich wirklich nur 50 Euro selbst tragen?
Bei nicht autorisierten Zahlungen nach Verlust oder Missbrauch Ihrer Zugangsdaten ist die Haftung grundsätzlich auf 50 Euro begrenzt. Weist die Bank Ihnen Vorsatz oder grobe Fahrlässigkeit nach, haften Sie für den gesamten Schaden. Hat die Bank keine starke Kundenauthentifizierung verlangt, haften Sie in der Regel gar nicht.
Was ist, wenn ich die Überweisung selbst per TAN bestätigt habe?
Dann ist die Lage schwieriger. Gerichte prüfen im Einzelfall, ob Sie die Zahlung bewusst autorisiert haben und wie sorgfältig Sie waren. Melden Sie den Fall trotzdem sofort der Bank und der Polizei und lassen Sie sich beraten.
Stand: 30. Oktober 2026. Allgemeine Information, keine Rechtsberatung.