Phishing und grobe Fahrlässigkeit: Was gilt, wenn die Bank die Erstattung ablehnt? ![Phishing und grobe Fahrlässigkeit: Was gilt, wenn die Bank die Erstattung ablehnt?](assets/images/0/advocado-banner-phishing-grobe-fahrlaessigkeit-4qbkm185n44xqmh.jpg) Beitrag von Advocado Redaktion **für Rechtsthemen** Aktualisiert am 27.10.2026 --- [...](ratgeber/bank-und-kapitalmarktrecht.html "Ratgeber Bank- und Kapitalmarktrecht") [Konto & Banking](ratgeber/bank-und-kapitalmarktrecht/konto-banking.html "Ratgeber Konto & Banking") Phishing und grobe Fahrlässigkeit: Was gilt, wenn die Bank die Erstattung ablehnt? Inhalt 1. Schnell-Check: Was jetzt wichtig ist 2. 1. Was der EuGH am 15. Oktober 2026 entschieden hat 3. 2. Gilt das Urteil auch für meine Bank in Deutschland? 4. 3. Die Bank lehnt wegen grober Fahrlässigkeit ab: Darf sie das noch? 5. 4. Wann ist der Kontoinhaber bei Phishing selbst schuld? 6. 5. Selbst freigegeben? Wann das Urteil Ihnen nicht hilft 7. 6. So fordern Sie die Erstattung jetzt ein 8. 7. Was kostet Sie das? 9. 8. Beispiel-Cases 10. 9. Häufige Missverständnisse aufgeklärt 11. Wann anwaltliche Unterstützung sinnvoll ist 12. Quellen [Ersteinschätzung erhalten](https://www.advocado.de/anliegen-schildern/ "Jetzt Ersteinschätzung erhalten") # Phishing und grobe Fahrlässigkeit: Was gilt, wenn die Bank die Erstattung ablehnt? Beitrag von Advocado Redaktion **für Rechtsthemen** Aktualisiert am 27.10.2026 --- Nach einem Phishing-Angriff ist Geld vom Konto verschwunden, und die Bank antwortet mit einem Satz, der sich endgültig anhört: Sie hätten grob fahrlässig gehandelt, eine Erstattung komme deshalb nicht in Betracht. Viele Betroffene geben an dieser Stelle auf. Das ist oft verfrüht. Seit dem 15. Oktober 2026 ist auf europäischer Ebene geklärt, dass dieser Vorwurf allein nicht reicht, um Ihnen die Erstattung zu verweigern. Der Europäische Gerichtshof (EuGH) hat entschieden: Bei einer Zahlung, der Sie nicht zugestimmt haben, muss die Bank den Betrag zuerst zurückbuchen. Ob Sie den Schaden am Ende doch selbst tragen, ist eine zweite Frage, und die muss die Bank beweisen. Dieser Ratgeber erklärt, wann Phishing rechtlich als grob fahrlässig gilt, was die Ablehnung Ihrer Bank nach dem Urteil noch wert ist, wo das Urteil Ihnen nicht hilft und wie Sie die Erstattung jetzt Schritt für Schritt einfordern. Dazu gibt es ein Musterschreiben. ## Schnell-Check: Was jetzt wichtig ist Kurz gesagt: Grobe Fahrlässigkeit beim Phishing bedeutet, dass Sie Ihre Zugangsdaten oder TANs in besonders schwerem Maß unvorsichtig preisgegeben haben, also etwas übersehen haben, das in Ihrer Lage jedem hätte auffallen müssen. Nach dem Urteil des EuGH vom 15. Oktober 2026 (C-70/25) darf Ihre Bank die Erstattung einer nicht autorisierten Zahlung mit diesem Vorwurf nicht verweigern, sondern ihn erst danach gegen Sie geltend machen und beweisen. ### So ordnen Sie Ihren Fall schnell ein Das Urteil hilft Ihnen, wenn diese drei Punkte zutreffen: - Geld ist von Ihrem Konto abgegangen, weil ein Täter die Zahlung ausgelöst hat, etwa mit Daten, die er Ihnen über eine gefälschte Bankseite, eine SMS oder einen Anruf abgenommen hat. - Sie haben Ihre Bank informiert, sobald Sie die Abbuchung bemerkt haben. - Die Bank lehnt die Erstattung ab oder hält sie zurück und begründet das mit grober Fahrlässigkeit. **Stopp, wenn Sie die Überweisung selbst bewusst angewiesen haben:** Wer einen bestimmten Betrag an eine angebliche Anlageplattform, einen falschen Enkel oder einen falschen Polizisten überwiesen hat, hat die Zahlung in der Regel selbst autorisiert, also ihr zugestimmt. Dann greift die Erstattungspflicht der Bank nicht, und das Urteil ändert daran nichts. Welche Wege es in solchen Fällen gibt, lesen Sie im Ratgeber [Geld vom Broker zurückfordern](ratgeber/bank-und-kapitalmarktrecht/anlage-kryptobetrug/geld-vom-broker-zurueckfordern.html "Geld vom Broker zurückfordern: 4 Schritte bei Broker-Betrug"). **Sonderfall Geschäftskonto:** Ist der Kontoinhaber kein Verbraucher, etwa eine GmbH, dürfen Bank und Kunde die Haftungs- und Beweisregeln teilweise abweichend vereinbaren (§ 675e Abs. 4 BGB). Dann kommt es zusätzlich auf den Vertrag an. **Die wichtigsten Fristen:** - **Ihre Meldung:** Informieren Sie die Bank unverzüglich, also ohne schuldhaftes Zögern, sobald Sie die Abbuchung bemerken. Die äußerste Grenze liegt in der Regel bei 13 Monaten nach dem Tag der Belastung (§ 676b BGB). Wer bewusst oder grob fahrlässig länger wartet, kann seinen Anspruch auch innerhalb dieser 13 Monate verlieren. - **Die Frist der Bank:** Die Bank muss unverzüglich erstatten, spätestens bis zum Ende des Geschäftstags nach Ihrer Meldung (§ 675u Satz 3 BGB). Melden Sie den Betrug an einem Dienstag, ist das in der Regel der Mittwoch. Geschäftstag ist jeder Tag, an dem Ihre Bank den Zahlungsverkehr abwickelt. - **Ältere Fälle:** Ihr Erstattungsanspruch verjährt, kann also nicht mehr durchgesetzt werden, in der Regel nach drei Jahren, gerechnet ab dem Ende des Jahres, in dem die Abbuchung erfolgte und Sie davon wussten (§§ 195, 199 BGB). Für eine Abbuchung aus dem Jahr 2023 kann die Frist also am 31. Dezember 2026 enden. Unter anderem Verhandlungen mit der Bank, ein Schlichtungsantrag oder eine Klage halten die Frist an (§§ 203, 204 BGB). **Das brauchen Sie:** Kontoauszug mit der Abbuchung, Datum und Weg Ihrer Meldung an die Bank, das Ablehnungsschreiben, die Phishing-Nachricht oder Notizen zum Anruf mit Uhrzeiten, das Aktenzeichen Ihrer Strafanzeige, falls vorhanden. **Der häufigste Fehler:** Die Ablehnung als endgültig hinzunehmen, obwohl sie sich nur auf grobe Fahrlässigkeit stützt. ### Fakt vs. Einzelfall: Was ist sicher, und wo kommt es wirklich darauf an? **Das ist gesichert:** - Bei einer Zahlung, die Sie nicht autorisiert haben, muss Ihre Bank unverzüglich erstatten (§ 675u BGB). Der Vorwurf grober Fahrlässigkeit hebt diese Pflicht nach dem Urteil des EuGH nicht auf. - Zurückhalten darf die Bank die Erstattung nur, wenn sie berechtigte Gründe für den Verdacht hat, dass **Sie selbst** betrügerisch gehandelt haben, und diese Gründe einer zuständigen Behörde schriftlich mitgeteilt hat. - Will die Bank Sie am Ende doch haften lassen, muss sie Ihnen grobe Fahrlässigkeit nachweisen. Die technische Aufzeichnung, dass Ihre TAN oder Ihre App verwendet wurde, reicht dafür allein nicht notwendigerweise aus (§ 675w BGB). **Das hängt vom Einzelfall ab oder ist noch offen:** - Wie deutsche Gerichte das Urteil umsetzen. Nach der bisherigen Linie des Bundesgerichtshofs (BGH) durfte eine Bank die Gutschrift in Höhe eines eigenen Schadensersatzanspruchs ablehnen. Diese Linie steht nach dem Urteil infrage. Eine Entscheidung des BGH, die das Urteil umsetzt, ist bisher nicht bekannt (Stand 27. Oktober 2026). - Ob Sie in Ihrem Fall tatsächlich grob fahrlässig gehandelt haben. Das bewerten Gerichte anhand aller Umstände, nicht nach einer festen Liste. - Ob die Zahlung überhaupt nicht autorisiert war. Haben Sie in Ihrer Banking-App selbst etwas bestätigt, streiten Banken genau darüber. ## 1. Was der EuGH am 15. Oktober 2026 entschieden hat Das Urteil betrifft eine Frage, die Bankkunden in ganz Europa kennen: Darf die Bank die Erstattung mit dem Hinweis ablehnen, der Kunde sei selbst schuld? Für Sie heißt die Antwort des Gerichtshofs: Ihre Bank muss zuerst zahlen. **Der Ausgangsfall.** Geklagt hatte eine Polin, die auf einem Online-Auktionsportal etwas anbot. Über einen Link, angeblich vom Portal und von einem Kaufinteressenten verschickt, landete sie auf einer Nachbildung der Website ihrer Bank und tippte dort ihre Online-Banking-Daten ein. Damit buchte der Täter 3.000 Złoty, rund 705 Euro, auf ein Konto, das er selbst führte. Den nötigen SMS-Code hatte er sich auf demselben Weg beschafft. Schon am Folgetag bemerkte die Kundin den Betrug und informierte Bank und Polizei. Die Bank verweigerte die Erstattung mit dem Argument grober Fahrlässigkeit, das zuständige polnische Gericht fragte daraufhin beim EuGH nach. **Die Entscheidung.** Der Gerichtshof trennt zwei Fragen, die Banken bisher oft in einem Schritt beantwortet haben: 1. **Erstattung:** Hat der Kunde nicht zugestimmt und die Bank sofort informiert, bekommt er sein Geld ohne Verzögerung zurück, und zwar spätestens bis zum Ablauf des nächsten Geschäftstags. Die einzige Ausnahme ist ein berechtigter Betrugsverdacht gegen den Kunden, den die Bank der zuständigen Behörde schriftlich mitteilt. Grobe Fahrlässigkeit gehört nicht dazu. 2. **Endgültige Haftung:** Erst danach kann die Bank vom Kunden Ersatz verlangen, wenn sie nachweist, dass er seine Pflichten vorsätzlich oder grob fahrlässig verletzt hat. **Die Begründung.** Dürfte die Bank von vornherein ablehnen, müsste der Kunde selbst klagen und das Kostenrisiko tragen. Das wäre nach Auffassung des Gerichtshofs schwer mit dem Ziel vereinbar, Verbraucher wirksam zu schützen. Für Sie bedeutet das: Die Rollen sind vertauscht. Nicht Sie müssen um Ihr Geld kämpfen, sondern die Bank muss aktiv werden, wenn sie es zurückhaben will. ![Erst erstatten, dann streiten: Die zwei Schritte nach dem EuGH-Urteil C-70/25 bei einer Phishing-Abbuchung](files/advocado/content/img/blog/advocado-infografik-erst-erstatten-dann-streiten.png) ## 2. Gilt das Urteil auch für meine Bank in Deutschland? Ja, die Regeln sind dieselben. Die europäische Zahlungsdiensterichtlinie, die der EuGH ausgelegt hat, ist in Deutschland in den §§ 675u bis 675w BGB umgesetzt. Deutsche Gerichte sind bei vergleichbaren Fragen an die Auslegung des EuGH gebunden. Der Wortlaut des deutschen Gesetzes passt dazu: Nach [§ 675u BGB](https://www.gesetze-im-internet.de/bgb/__675u.html) muss die Bank bei einer nicht autorisierten Zahlung den Betrag unverzüglich erstatten und Ihr Konto wieder auf den Stand bringen, auf dem es ohne die Abbuchung wäre. Aufschieben darf sie das nur bei dem schriftlich gemeldeten Betrugsverdacht gegen Sie. ### Warum Banken bisher trotzdem ablehnen durften Die Pflicht zur sofortigen Erstattung stand also schon vorher im Gesetz. Trotzdem durften Banken nach der Rechtsprechung des BGH bislang die Gutschrift ablehnen, sofern ihnen wegen grober Fahrlässigkeit des Kunden ein gleich hoher Schadensersatzanspruch zustand. Die Begründung: Niemand soll etwas verlangen dürfen, das er sofort wieder zurückgeben müsste. Juristen nennen das den Einwand von Treu und Glauben ([§ 242 BGB](https://www.gesetze-im-internet.de/bgb/__242.html)). Der BGH hat diese Linie mehrfach bestätigt, unter anderem im März 2026 (Urteil vom 3. März 2026, XI ZR 20/24). Diese Abkürzung passt nicht zu dem, was der EuGH jetzt entschieden hat. Wenn die Bank erst erstatten muss und ihren Ersatzanspruch danach selbst geltend machen und beweisen soll, spricht viel dafür, dass sie die Erstattung nicht mehr mit eben diesem Anspruch blockieren kann. In einem ersten Fachbeitrag zum Urteil wird deshalb erwartet, dass deutsche Gerichte diese Praxis aufgeben. **Was sicher ist und was nicht:** Das Urteil gibt Ihnen ein starkes, höchstrichterlich auf europäischer Ebene abgesichertes Argument. Wie der BGH seine Rechtsprechung anpasst und ob einzelne Gerichte Zwischenlösungen suchen, steht noch nicht fest. Eine Garantie, dass jede Bank sofort einlenkt, gibt es nicht. ## 3. Die Bank lehnt wegen grober Fahrlässigkeit ab: Darf sie das noch? Allein mit diesem Argument nicht. Ablehnungsschreiben enthalten aber oft mehrere Begründungen in einem Satz. Es lohnt sich, sie auseinanderzunehmen, denn nicht jede ist nach dem Urteil gleich schwach. | Was die Bank schreibt | Was das nach dem Urteil bedeutet | Was Sie tun können | | --- | --- | --- | | „Sie haben grob fahrlässig gehandelt, eine Erstattung ist ausgeschlossen.“ | Das reicht nicht, um die Erstattung zu verweigern. Die Bank kann den Vorwurf später gesondert geltend machen und muss ihn beweisen. | Erstattung unter Hinweis auf § 675u BGB und das Urteil C-70/25 schriftlich verlangen. | | „Die Zahlung wurde mit Ihrer TAN freigegeben und ist damit autorisiert.“ | Das ist ein anderer Einwand. Die Bank muss nachweisen, dass Sie zugestimmt haben. Dass Ihre TAN verwendet wurde, reicht dafür allein nicht notwendigerweise aus. | Schildern, wer die Zahlung ausgelöst hat, und nach den Unterlagen fragen, auf die die Bank sich stützt. | | „Wir prüfen den Vorgang noch.“ | Eine Prüfung schiebt die Frist nicht hinaus, außer die Bank hat einen Betrugsverdacht gegen Sie schriftlich einer Behörde gemeldet. | Nach dem Ende des Geschäftstags nach Ihrer Meldung schriftlich mit kurzer Frist zur Gutschrift auffordern. | | „Wir verrechnen die Erstattung mit unserem Schadensersatzanspruch.“ | Nach dem Urteil soll die Haftung erst in einem zweiten Schritt geklärt werden. Ob eine solche Verrechnung danach noch möglich ist, hat der BGH bisher nicht entschieden. | Schriftlich widersprechen und prüfen lassen, bevor Sie etwas unterschreiben. | Was die Bank weiterhin darf: Sie kann bestreiten, dass die Zahlung nicht autorisiert war. Sie kann einen begründeten Betrugsverdacht gegen Sie der Behörde melden. Und sie kann nach der Erstattung Ersatz von Ihnen verlangen, notfalls vor Gericht, wenn sie Ihnen grobe Fahrlässigkeit nachweisen kann. Das Urteil schützt Sie also vor der vorschnellen Ablehnung, nicht vor jeder Haftung. ## 4. Wann ist der Kontoinhaber bei Phishing selbst schuld? Diese Frage bleibt wichtig, weil sie über das Ende des Streits entscheidet. Die Antwort ist kein Ja oder Nein, sondern eine Abstufung. Für Schäden nach Ihrer Meldung an die Bank haften Sie in keiner Stufe, außer bei betrügerischem Handeln (§ 675v Abs. 5 BGB). | Wie Sie gehandelt haben | Was Sie höchstens tragen | Rechtsgrundlage | | --- | --- | --- | | nicht grob fahrlässig, und Sie konnten den Missbrauch vor der Zahlung nicht bemerken | nichts | § 675v Abs. 2 BGB | | sonst nicht grob fahrlässig, auch ganz ohne eigenes Verschulden | höchstens 50 Euro | § 675v Abs. 1 BGB | | grob fahrlässig, vorsätzlich oder betrügerisch | den gesamten Schaden | § 675v Abs. 3 BGB | **Wann gilt etwas als grob fahrlässig?** Nach der Rechtsprechung des BGH muss die nötige Sorgfalt in ungewöhnlich hohem Maß verletzt sein, und zwar so, dass unbeachtet blieb, was im konkreten Fall jedem hätte einleuchten müssen. Der Verstoß muss auch persönlich nicht zu entschuldigen sein. Gerichte schauen deshalb auf die ganze Situation: Wie gut war die Fälschung gemacht, gab es Warnhinweise der Bank, wie viel Zeitdruck baute der Täter auf, wie erfahren sind Sie im Online-Banking? **Typische Konstellationen aus der Rechtsprechung:** - **TAN am Telefon weitergegeben:** Der BGH hat es nicht beanstandet, dass ein Gericht grobe Fahrlässigkeit annahm, als eine Kundin einem angeblichen Bankmitarbeiter am Telefon mehrere TANs durchgab. Dass auf dem Display die Nummer der Sparkasse angezeigt wurde, änderte daran in diesem Fall nichts. Auffällig waren unter anderem der unerwartete Anruf am Wochenende gegen 23 Uhr und die ungewöhnliche Bitte (BGH, Urteil vom 22. Juli 2025, XI ZR 107/24). - **Freigaben in der App ohne Prüfung der Auftragsdaten:** Wer eine Freigabe bestätigt, ohne zu lesen, was er freigibt, riskiert den Vorwurf ebenfalls, vor allem wenn die App Betrag und Empfänger anzeigt. So hat es das Oberlandesgericht Dresden in einem Fall mit mehreren Freigaben „auf Zuruf“ gesehen (Urteil vom 5. Juni 2025, 8 U 1482/24). - **Nur auf einen Link geklickt:** Ein Klick allein führt in der Regel noch zu keinem Schaden. Entscheidend ist, welche Daten Sie danach wo eingegeben haben und wie gut die Täuschung zu erkennen war. Selbst dann, wenn ein Gericht grobe Fahrlässigkeit bejaht, kann die Haftung geringer ausfallen, wenn auch der Bank Fehler bei der Absicherung vorzuwerfen sind. Der BGH hält eine solche Kürzung wegen Mitverschuldens der Bank grundsätzlich für möglich (Urteil vom 22. Juli 2025, XI ZR 107/24), in seinem Fall blieb es aber bei der vollen Haftung der Kundin. Das Oberlandesgericht Dresden hat den Ersatzanspruch einer Sparkasse im eben genannten Fall dagegen um ein Fünftel gekürzt, weil sie beim Login ins Online-Banking keine starke Kundenauthentifizierung verlangt hatte. Das sind Einzelfallentscheidungen, keine feste Quote. ### Welche Rolle spielt die Zwei-Faktor-Authentifizierung für die Haftung? Eine große. Starke Kundenauthentifizierung heißt: Die Zahlung wird mit zwei voneinander unabhängigen Elementen bestätigt, etwa etwas, das nur Sie wissen, und etwas, das nur Sie besitzen. Hat Ihre Bank das für die Zahlung nicht verlangt, haften Sie gar nicht, selbst bei grober Fahrlässigkeit. Ausgenommen ist nur betrügerisches Handeln des Kunden ([§ 675v Abs. 4 BGB](https://www.gesetze-im-internet.de/bgb/__675v.html)). Für Online-Überweisungen müssen Banken eine solche Bestätigung grundsätzlich verlangen ([§ 55 ZAG](https://www.gesetze-im-internet.de/zag_2018/__55.html)). Hat die Bank sie für die Überweisung selbst verlangt, greift der Haftungsausschluss nach dem BGH nicht, auch wenn der Login ohne zweiten Faktor möglich war (BGH, Urteil vom 22. Juli 2025, XI ZR 107/24). Prüfen sollten Sie diesen Punkt trotzdem, denn für bestimmte Zahlungen sind Ausnahmen von der starken Kundenauthentifizierung zulässig. ## 5. Selbst freigegeben? Wann das Urteil Ihnen nicht hilft Das Urteil gilt nur für **nicht autorisierte** Zahlungen. Ob eine Zahlung autorisiert ist, entscheidet sich daran, ob Sie ihr zugestimmt haben ([§ 675j BGB](https://www.gesetze-im-internet.de/bgb/__675j.html)). An dieser Frage entscheidet sich, ob Sie das Urteil überhaupt nutzen können. **In der Regel nicht autorisiert** ist eine Zahlung, die der Täter selbst ausgelöst hat, auch wenn er dafür Ihre Zugangsdaten oder eine TAN verwendet hat, die er Ihnen abgenommen hat. So lag auch der Fall vor dem EuGH. **In der Regel autorisiert** ist eine Überweisung, die Sie selbst bewusst angewiesen haben, auch wenn Sie dabei getäuscht wurden. Das betrifft etwa Anlagebetrug, den Enkeltrick oder Schockanrufe, bei denen Sie selbst Geld überweisen. Die Täuschung betrifft dann Ihren Beweggrund, nicht Ihre Zustimmung. **Umstritten** sind Freigaben, bei denen Sie in Ihrer App etwas bestätigt haben, das Sie für ein Sicherheitsupdate oder eine Überprüfung hielten, während im Hintergrund eine Überweisung lief. Das Oberlandesgericht Dresden hat in einem solchen Fall eine Autorisierung verneint, weil der Kunde nicht im Bewusstsein handelte, eine Zahlung freizugeben. Den Großteil des Schadens musste der Kunde trotzdem tragen, weil das Gericht grobe Fahrlässigkeit annahm: Von rund 49.400 Euro bekam er knapp 9.900 Euro zurück (Urteil vom 5. Juni 2025, 8 U 1482/24). Der BGH hat es am 7. Juli 2026 abgelehnt, die Revision zuzulassen (XI ZR 71/25), eine Verfassungsbeschwerde ist anhängig. Andere Gerichte können solche Fälle anders bewerten. Für Sie heißt das: Rechnen Sie damit, dass Banken nach dem Urteil häufiger argumentieren werden, Sie hätten die Zahlung selbst autorisiert. Denn dann entfällt die Pflicht zur sofortigen Erstattung ganz. Die Beweislast dafür liegt bei der Bank ([§ 675w BGB](https://www.gesetze-im-internet.de/bgb/__675w.html)). ![Hilft mir das EuGH-Urteil? Entscheidungsbaum für Phishing-Betroffene: Wer hat die Zahlung ausgelöst, wann wurde gemeldet, was schreibt die Bank](files/advocado/content/img/blog/advocado-infografik-hilft-mir-das-urteil.png) ## 6. So fordern Sie die Erstattung jetzt ein Wenn Ihr Fall zu den Punkten im Schnell-Check passt, gehen Sie in dieser Reihenfolge vor. Die Reihenfolge ist kein Zufall: Jeder Schritt sichert den nächsten ab. 1. **Melden und sperren, falls noch nicht geschehen.** Lassen Sie Online-Banking und Karten sperren, zum Beispiel über den Sperr-Notruf 116 116, und melden Sie die Abbuchung Ihrer Bank in einer Form, die Sie später belegen können. Wer zu spät meldet, riskiert seinen Erstattungsanspruch. Was nach einem Phishing-Angriff sonst noch sofort zu tun ist, beschreibt unser Ratgeber [Auf Phishing reingefallen: Was tun?](ratgeber/bank-und-kapitalmarktrecht/konto-banking/auf-phishing-reingefallen-was-tun.html "Auf Phishing reingefallen: Was tun bei Online-Betrug?") 2. **Schriftlich die Erstattung verlangen.** Nennen Sie Betrag, Datum der Abbuchung und Datum Ihrer Meldung, verweisen Sie auf § 675u BGB und das Urteil des EuGH vom 15. Oktober 2026 (C-70/25) und setzen Sie eine kurze Frist, etwa sieben Tage. Das Musterschreiben unten nimmt Ihnen die Formulierung ab. 3. **Sachlich bleiben.** Schildern Sie, was Sie sicher wissen, und lassen Sie Vermutungen weg. Ihre eigenen Angaben können später mitentscheiden, ob die Bank Ihnen grobe Fahrlässigkeit nachweisen kann. Bitten Sie die Bank, Ihnen mitzuteilen, auf welche Tatsachen und Unterlagen sie ihre Ablehnung stützt. 4. **Strafanzeige erstatten.** Sie ist keine Voraussetzung für Ihren Anspruch gegen die Bank, hilft aber bei der Aufklärung, und Banken fragen in der Praxis häufig danach. 5. **Wenn die Bank bei ihrem Nein bleibt:** Sie können eine Schlichtungsstelle anrufen, den Fall anwaltlich prüfen lassen oder klagen. Mehr dazu im nächsten Abschnitt. Musterschreiben: Erstattung einer Phishing-Abbuchung verlangen Das Schreiben fordert Ihre Bank auf, die Abbuchung nach § 675u BGB zu erstatten, und verweist auf das Urteil des EuGH vom 15. Oktober 2026. Es enthält bewusst keine ausführliche Schilderung des Tathergangs. Mit Ausfüllhinweisen auf der zweiten Seite. [Musterschreiben herunterladen (PDF)](files/advocado/content/ratgeber-dokumente/advocado-musterschreiben-erstattung-phishing-abbuchung.pdf "Musterschreiben: Erstattung einer Phishing-Abbuchung verlangen (PDF)") ### Wie lange dauert es, bis die Bank erstattet? Gesetzlich muss das sehr schnell gehen: spätestens am Ende des Geschäftstags nach Ihrer Meldung. Hält sich die Bank daran nicht, setzen Sie mit Ihrem Schreiben eine Frist. Bleibt die Bank bei ihrer Ablehnung, dauert die Klärung länger. Bei der Schlichtungsstelle der Bundesbank soll ein Schlichtungsvorschlag spätestens 90 Tage nach Eingang aller Unterlagen vorliegen, bei schwierigen Fällen ist eine Verlängerung möglich (§ 9 Finanzschlichtungsstellenverordnung). Ein Gerichtsverfahren kann mehrere Monate bis Jahre dauern, je nachdem, ob es in die nächste Instanz geht. ### Schlichtung: der kostenlose Weg mit Grenzen Für Streit mit der Bank über Zahlungen gibt es Verbraucherschlichtungsstellen. Das sind neutrale Stellen, die den Fall prüfen und einen Einigungsvorschlag machen, ohne dass ein Gericht entscheidet. Für Sie als Verbraucher ist das Verfahren kostenlos ([§ 14 Abs. 2 UKlaG](https://www.gesetze-im-internet.de/uklag/__14.html)). Ob und bei welcher Stelle Ihre Bank an Schlichtungen teilnimmt, muss sie auf ihrer Website oder in ihren Geschäftsbedingungen angeben ([§ 36 VSBG](https://www.gesetze-im-internet.de/vsbg/__36.html)). Ist keine private Stelle zuständig, können Sie sich an die [Schlichtungsstelle bei der Deutschen Bundesbank](https://www.bundesbank.de/de/service/schlichtungsstelle) wenden. Ein Schlichtungsantrag hält die Verjährung an. Zwei Grenzen sollten Sie kennen. Der Schlichtungsvorschlag ist für Sie nicht bindend, Sie können danach trotzdem klagen. Und der Schlichter bei der Bundesbank darf das Verfahren ablehnen, wenn eine grundsätzliche Rechtsfrage ungeklärt ist oder wenn die entscheidenden Tatsachen streitig bleiben ([§ 6 Abs. 2 FinSV](https://www.gesetze-im-internet.de/finsv/__6.html)). In Phishing-Fällen kann beides zutreffen: Wie das Urteil in Deutschland umzusetzen ist, ist gerade erst offen, und wie genau die Daten in die Hände des Täters kamen, ist zwischen Bank und Kunde häufig umstritten. Die Bundesbank weist auf ihrer Website zudem auf Verzögerungen wegen sehr vieler Beschwerden hin (Stand 26. Oktober 2026). ### Was ist mit Fällen, die schon abgelehnt wurden? Hat Ihre Bank früher nur wegen grober Fahrlässigkeit abgelehnt und ist Ihr Anspruch noch nicht verjährt, kann es sich lohnen, den Fall neu prüfen zu lassen. Achten Sie auf die Verjährung aus dem Schnell-Check. Hat ein Gericht schon rechtskräftig entschieden oder haben Sie mit der Bank einen Vergleich geschlossen, ist der Fall in aller Regel abgeschlossen. Ob die neue Rechtslage in Ihrem älteren Fall am Ergebnis etwas ändert, hängt davon ab, ob die Bank Ihnen grobe Fahrlässigkeit nachweisen kann. ## 7. Was kostet Sie das? Der erste Schritt kostet praktisch nichts. Das Schreiben an die Bank verfassen Sie selbst, Sie zahlen höchstens das Porto für ein Einschreiben. Auch die Schlichtung ist für Verbraucher kostenlos. Kosten entstehen, wenn Sie eine Anwältin oder einen Anwalt beauftragen oder klagen. Wie hoch sie sind, richtet sich vor allem nach dem Gegenstandswert, hier also dem abgebuchten Betrag, und nach dem Aufwand. Eine pauschale Zahl lässt sich nicht nennen. Drei Punkte können Sie entlasten: - **Rechtsschutzversicherung:** Ob sie zahlt, regelt Ihr Vertrag. Beauftragen Sie über advocado eine Anwältin oder einen Anwalt und sind Sie rechtsschutzversichert, übernimmt advocado die Deckungsanfrage, also die Klärung mit Ihrer Versicherung, ob sie die Kosten trägt. - **Beratungshilfe:** Bei geringem Einkommen kommt staatliche [Beratungshilfe](beratungshilfe.html "Antrag auf Beratungshilfe") in Betracht. - **Kosten als Schaden:** Hat die Bank die Erstattung endgültig verweigert, kann sie in Verzug geraten, also rechtlich mit ihrer Zahlung im Rückstand sein ([§ 286 BGB](https://www.gesetze-im-internet.de/bgb/__286.html)). Beauftragen Sie danach eine Anwältin oder einen Anwalt, kommen diese Kosten als Schaden in Betracht, den die Bank ersetzen muss ([§ 280 BGB](https://www.gesetze-im-internet.de/bgb/__280.html)). Ob das in Ihrem Fall greift, hängt davon ab, ob die Bank bei der Beauftragung schon in Verzug war. Was sich nicht pauschal sagen lässt: ob Sie am Ende Ihr Geld vollständig zurückbekommen. Das hängt davon ab, ob die Zahlung nicht autorisiert war und ob die Bank Ihnen grobe Fahrlässigkeit nachweisen kann. Nach dem Urteil sollen Sie aber nicht mehr klagen müssen, um die Erstattung überhaupt erst zu bekommen. Will die Bank Ersatz, muss sie selbst aktiv werden. ## 8. Beispiel-Cases Die folgenden Fälle sind typische Konstellationen, wie sie nach Phishing-Angriffen vorkommen. Sie sind zur Veranschaulichung gebildet und beschreiben keine konkreten Mandate. **Fall 1: Gefälschter Käufer auf dem Online-Marktplatz** _Ausgangslage:_ Ein Mann verkauft ein Fahrrad im Internet. Ein angeblicher Käufer schickt einen Link „zur Zahlungsbestätigung“, der auf eine nachgebaute Bankseite führt. Der Mann gibt seine Zugangsdaten ein, am nächsten Morgen fehlen 1.200 Euro. Er meldet es sofort. Die Bank lehnt ab: grob fahrlässig. _Vorgehen:_ Er verlangt schriftlich die Erstattung nach § 675u BGB und verweist auf das Urteil C-70/25. Den Tathergang schildert er knapp, ohne Vermutungen. _Ergebnisstatus:_ Offen. Die Konstellation entspricht dem Fall, den der EuGH entschieden hat. Ob die Bank später Ersatz verlangt und ihn durchsetzen kann, ist eine eigene Frage. _Learning:_ Die Ablehnung wegen grober Fahrlässigkeit ist nach dem Urteil kein Schlusspunkt, sondern der Anfang eines Verfahrens, das die Bank führen müsste. **Fall 2: Anruf der „Sicherheitsabteilung“** _Ausgangslage:_ Eine Frau wird abends von einer Nummer angerufen, die ihr Telefon als ihre Bank anzeigt. Der Anrufer bittet sie, mehrere TANs für eine „Sicherheitsprüfung“ durchzugeben. Danach sind 8.500 Euro überwiesen. Die Bank lehnt ab. _Vorgehen:_ Sie fordert die Erstattung schriftlich an und lässt prüfen, wie die Bank den Vorwurf begründet. _Ergebnisstatus:_ Offen. Die Zahlung hat der Täter ausgelöst, sie ist deshalb in der Regel nicht autorisiert, und die Bank muss nach dem Urteil zuerst erstatten. Weil der BGH in einem ähnlichen Fall gebilligt hat, die Weitergabe von TANs am Telefon als grob fahrlässig zu werten, könnte die Bank den Betrag aber später mit Erfolg zurückverlangen. _Learning:_ Das Urteil ändert die Reihenfolge, nicht zwingend das Ergebnis. Für die endgültige Haftung kommt es auf die Einzelheiten an. **Fall 3: Freigabe in der App, abgelehnt im Jahr 2023** _Ausgangslage:_ Ein Rentner bestätigte 2023 in seiner Banking-App mehrere Anfragen, die er für ein Update hielt. Dabei wurden 15.000 Euro überwiesen. Die Bank lehnte ab und berief sich auf grobe Fahrlässigkeit und eine Autorisierung durch die App. Er hat den Fall seitdem nicht weiterverfolgt. _Vorgehen:_ Er lässt noch im Jahr 2026 prüfen, ob der Anspruch durchsetzbar ist, weil die Verjährung zum Jahresende droht. _Ergebnisstatus:_ Offen. Ob die Freigabe eine Autorisierung war, ist umstritten. Ist sie es nicht, hilft das Urteil bei der Erstattung. Bei der endgültigen Haftung kommt es auf die Umstände an. _Learning:_ Bei älteren Fällen ist die Verjährung der erste Prüfpunkt, nicht das Urteil. ## 9. Häufige Missverständnisse aufgeklärt ### „Nach dem EuGH-Urteil muss ich den Schaden nie mehr tragen“ **Der Irrtum:** Das Urteil bedeutet, dass die Bank bei Phishing immer zahlt. **Richtig ist:** Das Urteil regelt die Reihenfolge. Die Bank muss zuerst erstatten, kann aber danach Ersatz verlangen, wenn sie Ihnen grobe Fahrlässigkeit nachweist. **Was ist zu prüfen:** Ob es in Ihrem Fall Umstände gibt, die gegen grobe Fahrlässigkeit sprechen, und wie die Bank ihren Vorwurf belegt. ### „Bei grober Fahrlässigkeit hafte ich bis zur Sperrung nur mit 50 Euro“ **Der Irrtum:** Die 50-Euro-Grenze gilt in jedem Fall. **Richtig ist:** Die Grenze von 50 Euro gilt nur, wenn Sie nicht grob fahrlässig gehandelt haben. Bei grober Fahrlässigkeit können Sie für den gesamten Schaden haften, der bis zu Ihrer Meldung entstanden ist (§ 675v Abs. 1 und 3 BGB). Für Schäden nach der Meldung haften Sie in der Regel nicht, außer Sie haben betrügerisch gehandelt (§ 675v Abs. 5 BGB). **Was ist zu prüfen:** Wann genau Sie die Bank informiert haben und welche Abbuchungen davor und danach lagen. ### „Wer auf einen Phishing-Link geklickt hat, ist automatisch grob fahrlässig“ **Der Irrtum:** Ein Klick genügt für den Vorwurf. **Richtig ist:** Gerichte bewerten den gesamten Ablauf, etwa wie echt die Fälschung wirkte und welche Warnungen es gab. Die Beweislast trägt die Bank, und die bloße Aufzeichnung der Nutzung Ihrer Daten reicht dafür allein nicht notwendigerweise aus. **Was ist zu prüfen:** Was nach dem Klick passiert ist und welche Hinweise Ihre Bank Ihnen vorher gegeben hatte. ### „Ich habe 13 Monate Zeit, die Abbuchung zu melden“ **Der Irrtum:** Solange 13 Monate nicht vorbei sind, ist die Meldung rechtzeitig. **Richtig ist:** Sie müssen unverzüglich melden (§ 676b Abs. 1 BGB). Die 13 Monate sind nur die äußerste Grenze. Der EuGH hat 2025 entschieden, dass ein Kunde seinen Anspruch auch innerhalb dieser Frist verlieren kann, wenn er die Meldung vorsätzlich oder grob fahrlässig verzögert (Urteil vom 1. August 2025, C-665/23). Das Urteil betraf noch die Vorgängerrichtlinie. Die heutigen Regeln sind bei der Meldepflicht vergleichbar aufgebaut, ausdrücklich entschieden hat der Gerichtshof das für sie aber nicht. **Was ist zu prüfen:** Wann Sie die Abbuchung bemerkt und wann Sie die Bank informiert haben. ### „Das Urteil hilft auch, wenn ich selbst überwiesen habe“ **Der Irrtum:** Jede Zahlung an Betrüger ist eine Phishing-Zahlung im Sinne des Urteils. **Richtig ist:** Das Urteil betrifft nur Zahlungen, denen Sie nicht zugestimmt haben. Haben Sie eine Überweisung selbst bewusst angewiesen, etwa beim Anlagebetrug, ist sie in der Regel autorisiert. **Was ist zu prüfen:** Wer die Zahlung ausgelöst hat und was Sie in Ihrer App oder am Telefon konkret bestätigt haben. ## Wann anwaltliche Unterstützung sinnvoll ist Den ersten Schritt können Sie selbst gehen: melden, schriftlich die Erstattung verlangen, Unterlagen sammeln. Das Musterschreiben hilft Ihnen dabei. Anwaltliche Unterstützung kann sinnvoll werden, wenn einer dieser Punkte auf Sie zutrifft: - Die Bank bleibt trotz Ihres Schreibens bei ihrer Ablehnung oder verrechnet die Erstattung mit einem Gegenanspruch. - Die Bank behauptet, Sie hätten die Zahlung selbst autorisiert, etwa durch eine Freigabe in der App. - Es geht um einen höheren Betrag, oder die Bank fordert bereits erstattetes Geld von Ihnen zurück. - Ihr Fall liegt länger zurück und die Verjährung rückt näher. - Es handelt sich um ein Geschäftskonto. Was eine Anwältin oder ein Anwalt typischerweise übernimmt: den Ablauf und die Ablehnung der Bank auswerten, einschätzen, ob die Zahlung autorisiert war und ob der Vorwurf grober Fahrlässigkeit trägt, die Bank anschreiben und, wenn nötig, Schlichtung oder Klage vorbereiten. Wie Sie als Phishing-Opfer insgesamt vorgehen, von der Sperre bis zur Rückforderung, beschreibt der Ratgeber [Phishing-Opfer: Geld zurück von der Bank fordern](ratgeber/bank-und-kapitalmarktrecht/konto-banking/phishing-opfer-geld-zurueck.html "Phishing-Opfer: Geld zurück & Schadensersatz von der Bank fordern"). Einen Überblick über Haftungsfragen bei leergeräumten Konten finden Sie im Ratgeber [Konto leergeräumt: Wer haftet?](ratgeber/bank-und-kapitalmarktrecht/konto-banking/konto-leergeraeumt-wer-haftet.html "Konto leergeräumt: Wer haftet bei Online-Banking-Betrug?"), Besonderheiten bei Kreditkarten im Ratgeber [Kreditkartenbetrug: Bank zahlt nicht](ratgeber/bank-und-kapitalmarktrecht/konto-banking/kreditkartenbetrug-bank-zahlt-nicht.html "Kreditkartenbetrug & Bank zahlt nicht: Was tun?"). Wo dieser Ratgeber an seine Grenze kommt: Wie deutsche Gerichte das Urteil umsetzen, wird sich erst in den kommenden Monaten zeigen. Ob in Ihrem Fall grobe Fahrlässigkeit vorliegt, hängt von Einzelheiten ab, die sich nur anhand Ihrer Unterlagen beurteilen lassen. Ihren Fall einordnen lassen **Kostenlose Ersteinschätzung:** Wenn Sie Ihren Fall einordnen lassen möchten, können Sie über advocado eine kostenlose Ersteinschätzung anfordern. Als unabhängige Plattform findet advocado aus einem Netzwerk von über 550 spezialisierten Partneranwältinnen und Partneranwälten, darunter Anwältinnen und Anwälte für [Phishing und Online-Banking-Betrug](rechtsanwalt/anwalt-phishing.html "Anwalt für Phishing"), gezielt den Anwalt oder die Anwältin, die fachlich am besten zu Ihrem Fall passt, damit Sie das bestmögliche Ergebnis erreichen können. Die Ersteinschätzung übernimmt diese Anwältin oder dieser Anwalt persönlich. Ob und zu welchen Konditionen anschließend ein Mandat zustande kommt, entscheiden allein Sie. [Kostenlose Ersteinschätzung](https://www.advocado.de/anliegen-schildern/?lb=bankrecht-und-kapitalmarktrecht<=betrug#formular "Kostenlose Ersteinschätzung") ## Quellen Primärquellen (Gesetze): - Bürgerliches Gesetzbuch: [§ 675e](https://www.gesetze-im-internet.de/bgb/__675e.html) (Abweichungen bei Nichtverbrauchern), [§ 675j](https://www.gesetze-im-internet.de/bgb/__675j.html) (Autorisierung), [§ 675l](https://www.gesetze-im-internet.de/bgb/__675l.html) (Pflichten des Kunden), [§ 675n](https://www.gesetze-im-internet.de/bgb/__675n.html) (Geschäftstag), [§ 675u](https://www.gesetze-im-internet.de/bgb/__675u.html) (Erstattung), [§ 675v](https://www.gesetze-im-internet.de/bgb/__675v.html) (Haftung des Kunden), [§ 675w](https://www.gesetze-im-internet.de/bgb/__675w.html) (Beweislast), [§ 676b](https://www.gesetze-im-internet.de/bgb/__676b.html) (Meldefrist), [§§ 195](https://www.gesetze-im-internet.de/bgb/__195.html), [199](https://www.gesetze-im-internet.de/bgb/__199.html), [203](https://www.gesetze-im-internet.de/bgb/__203.html), [204](https://www.gesetze-im-internet.de/bgb/__204.html) (Verjährung), [§ 242](https://www.gesetze-im-internet.de/bgb/__242.html) (Treu und Glauben), [§§ 280](https://www.gesetze-im-internet.de/bgb/__280.html), [286](https://www.gesetze-im-internet.de/bgb/__286.html) (Verzug und Verzugsschaden) - [§ 14 Unterlassungsklagengesetz](https://www.gesetze-im-internet.de/uklag/__14.html), [§§ 6](https://www.gesetze-im-internet.de/finsv/__6.html) und [9 Finanzschlichtungsstellenverordnung](https://www.gesetze-im-internet.de/finsv/__9.html), [§ 36 Verbraucherstreitbeilegungsgesetz](https://www.gesetze-im-internet.de/vsbg/__36.html), [§ 55 Zahlungsdiensteaufsichtsgesetz](https://www.gesetze-im-internet.de/zag_2018/__55.html) (starke Kundenauthentifizierung) Gerichte: - EuGH, Urteil vom 15. Oktober 2026, C-70/25 (Tukowiecka), vorläufige Fassung, [Urteilstext](https://juris.curia.europa.eu/juris/document/document.jsf?text=&docid=316350&doclang=DE) und [Pressemitteilung Nr. 147/26](https://curia.europa.eu/site/upload/docs/application/pdf/2026-10/cp260147de.pdf) - EuGH, Urteil vom 1. August 2025, C-665/23 (Veracash), Meldung ohne Verzögerung ([Pressemitteilung Nr. 97/25](https://curia.europa.eu/site/upload/docs/application/pdf/2025-08/cp250097de.pdf)) - BGH, Urteil vom 17. November 2020, [XI ZR 294/19](https://www.bundesgerichtshof.de/SharedDocs/Entscheidungen/DE/Zivilsenate/XI_ZS/2019/XI_ZR_294-19.pdf?__blob=publicationFile&v=1), Einwand aus Treu und Glauben - BGH, Urteil vom 22. Juli 2025, [XI ZR 107/24](https://www.bundesgerichtshof.de/SharedDocs/Entscheidungen/DE/Zivilsenate/XI_ZS/2024/XI_ZR_107-24.pdf?__blob=publicationFile&v=1), TAN-Weitergabe am Telefon und starke Kundenauthentifizierung - BGH, Urteil vom 3. März 2026, [XI ZR 20/24](https://www.bundesgerichtshof.de/SharedDocs/Entscheidungen/DE/Zivilsenate/XI_ZS/2024/XI_ZR__20-24.pdf?__blob=publicationFile&v=1), starke Kundenauthentifizierung im chipTAN-Verfahren - OLG Dresden, Urteil vom 5. Juni 2025, 8 U 1482/24, Freigabe per App und Mitverschulden der Bank (veröffentlicht im [Rechtsprechungsportal der sächsischen Justiz](https://www.justiz.sachsen.de/esamosplus/pages/index.aspx)); BGH, Beschluss vom 7. Juli 2026, [XI ZR 71/25](https://testphase.rechtsinformationen.bund.de/v1/rechtsprechung/KORE601082026.html), Nichtzulassungsbeschwerde zurückgewiesen Behörden und Einordnung: - Deutsche Bundesbank, [Schlichtungsstelle](https://www.bundesbank.de/de/service/schlichtungsstelle), abgerufen am 26. Oktober 2026 - beck-aktuell, Gastbeitrag von Sebastian Förste, [Phishing-Urteil des EuGH: Tschüss, Dolo-agit-Einrede beim Phishing?](https://www.beck-aktuell.de/heute-im-recht/rechtsprechung/eugh-c-70-25-phishing-banken-rueckzahlung-dolo-agit-2026-10-25), 26. Oktober 2026 **Rechtsstand:** 27. Oktober 2026. Erstveröffentlichung. **Änderungsstand:** Erstveröffentlichung am 27. Oktober 2026. Geprüfte Rechtsgrundlagen: §§ 195, 199, 203, 204, 242, 280, 286, 675e, 675j, 675l, 675n, 675u, 675v, 675w, 676b BGB, § 14 UKlaG, §§ 6, 9 FinSV, § 36 VSBG, § 55 ZAG. Das Urteil des EuGH lag zum Rechtsstand in vorläufiger Fassung vor. Zu aktualisieren, sobald die endgültige Fassung veröffentlicht ist, der BGH erstmals nach dem Urteil entscheidet oder die geplante EU-Zahlungsdiensteverordnung verkündet ist. Hat Ihnen der Beitrag weitergeholfen? **2 Leser** finden diesen Beitrag hilfreich. --- Advocado Redaktion **für Rechtsthemen** Aktualisiert am 27.10.2026 [Jetzt Ersteinschätzung erhalten](https://www.advocado.de/anliegen-schildern/ "Jetzt Ersteinschätzung erhalten") Fall in wenigen Worten schildern Kostenlosen Rückruf vom Anwalt erhalten [ Hilfe erhalten ](https://www.advocado.de/anliegen-schildern/) ![Banner](https://cdn-fe.advocado.de/img/premium/golden-banner.svg)