EU-Gericht: Banken müssen Betrugropfer zuerst erstatten, auch bei Fahrlässigkeit

Der Gerichtshof der Europäischen Union (EuGH) entschied am 15. Oktober 2026, dass Banken und andere Zahlungsdienstleister einer Kundin, die von einer unbefugten Transaktion betroffen ist, die Erstattung nicht verzögern oder verweigern können, nur weil sie vermuten, dass der Kunde grob fahrlässig war. Das Urteil erging im Fall C-70/25, N.O. gegen PKO BP S.A., nach einem Vorlageantrag eines Landgerichts in Koszalin, Polen, eingereicht am 3. Februar 2025.

Was ereignete sich in dem zugrunde liegenden Fall

Der Fall begann mit einer Kundin einer polnischen Bank, die in Gerichtsdokumenten nur als N.O. identifiziert wurde und von einem Betrüger ins Visier genommen wurde, der sich als Käufer auf einer Online-Verkaufsplattform ausgab. Der Betrüger schickte einen betrügerischen Zahlungslink, der als Nachricht von der Plattform getarnt war. Nachdem die Kundin auf den Link klickte und ihre Bankdaten auf einer gefälschten Anmeldeseite eingab, überwies der Betrüger ungefähr 700 Euro von ihrem Konto. Ihre Bank, PKO BP, weigerte sich, sie zu erstatten, und argumentierte, dass sie grob fahrlässig gewesen war, indem sie ihre Anmeldedaten auf der gefälschten Seite eingegeben hatte.

Was das Gericht entschied

Der EuGH entschied, dass das EU-Zahlungsverkehrsrecht – die Zahlungsdienstrichtlinie (Richtlinie 2015/2366, bekannt als PSD2) – vorsieht, dass eine Bank den Betrag einer unbefugten Transaktion sofort und spätestens am Ende des Geschäftstages nach Benachrichtigung durch den Kunden erstatten muss, unabhängig davon, ob die Bank glaubt, dass der Kunde grob fahrlässig gehandelt hat. Das Gericht stellte fest, dass es die Rückerstattungsverpflichtung ihrer praktischen Wirkung berauben würde, wenn Banken die Erstattung einbehalten könnten, während sie Fahrlässigkeitsansprüche untersuchen, und es würde Opfer zwingen, vor Gericht zu gehen, nur um ihr eigenes Geld zurückzubekommen.

Das Urteil verhindert nicht, dass Banken versuchen, den erstatteten Betrag später zurückzufordern. Falls eine Bank glaubt, dass der Kunde absichtlich oder durch grobe Fahrlässigkeit seine personalisierten Sicherheitsanmeldedaten nicht geschützt hat, kann sie danach einen Anspruch gegen den Kunden geltend machen – aber die Beweislast für diese Fahrlässigkeit liegt bei der Bank, normalerweise vor einem Richter, und nicht beim Kunden zum Zeitpunkt des Betrugs.

Warum es in der gesamten EU wichtig ist

Da PSD2 eine EU-Richtlinie ist, die in allen 27 Mitgliedstaaten angewendet wird, ist das Urteil für nationale Gerichte und Regulatoren in der gesamten Union bindende Orientierung, nicht nur in Polen. Verbraucherorganisationen sagen, dass die praktische Wirkung erheblich ist, da viele Banken routinemäßig die Reihenfolge umgekehrt haben, die das Gesetz vorsieht: zuerst vermutete Fahrlässigkeit untersuchen und nur danach auszahlen, wenn überhaupt. Die belgische Verbrauchergruppe Test-Achats/Testaankoop nannte die Entscheidung einen Wendepunkt. Ihre Sprecherin Julie Frère fasste die Verpflichtung zusammen als "Les banques doivent payer d'abord, discuter ensuite" ("Banken müssen zuerst zahlen, dann diskutieren"), und sagte, dass dies eine Regel bestätigt, die Banken in der Praxis umgangen hatten.

Die Brussels Times berichtete, dass das Urteil die derzeitige Praxis belgischer Banken direkt in Frage stellt, von denen mehrere die sofortige Erstattung verweigert haben, während sie untersuchen, ob ein Kunde fahrlässig mit Anmeldedaten oder Einmalcodes umgegangen ist. Rechtliche Kommentare zum Fall, einschließlich einer von dem spanischen Outlet Ara veröffentlichten Analyse, vermerken, dass die Antwort des Gerichts speziell auf die in PSD2 festgelegte Erstattungsfrist anwendbar ist, dass das Urteil in Begriffen von 'Zahlungsdienstleistern' allgemeiner spricht, nicht nur von Banken, und dass es Anbietern freisteht, Fahrlässigkeitsansprüche separat vor Gericht zu bringen, nachdem das Geld bereits erstattet wurde.

Das Ausmaß des Problems

Das Urteil kommt zu einem Zeitpunkt, da Zahlungsbetrugsverluste in der EU und dem Europäischen Wirtschaftsraum steigen. Ein gemeinsamer Bericht der Europäischen Bankenaufsichtsbehörde und der Europäischen Zentralbank stellte fest, dass die Gesamtverluste durch Zahlungsbetrug 2024 4,2 Milliarden Euro erreichten, gegenüber 3,5 Milliarden Euro im Jahr 2023 und 3,4 Milliarden Euro im Jahr 2022 – ein Anstieg von etwa 20 % von 2023 bis 2024. Davon stieg der Betrug im Zusammenhang mit Überweisungen um 16 % von Jahr zu Jahr auf 2,2 Milliarden Euro, und der Betrug mit in der EU und im EWR ausgegebenen Karten stieg um 29 % auf etwa 1,33 Milliarden Euro. Für Überweisungsbetrug speziell ergab derselbe Bericht, dass Zahlungsdienstnutzer etwa 85 % der resultierenden Verluste trugen, größtenteils weil Betrügereien Menschen dazu bringen, die Überweisung selbst zu autorisieren.

Was bleibt noch unklar

Das Urteil befasst sich mit unbefugten Transaktionen – Fällen, in denen jemand anderes auf das Geld des Kunden zugegriffen oder es abgelenkt hat, wie bei Phishing. Es ändert nicht die separate rechtliche Behandlung von Situationen, in denen eine Bank objektive Gründe hat zu vermuten, dass der Kunde die Zahlung selbst autorisiert hat oder in den Betrug verwickelt war, was immer noch eine Zurückhaltung der Erstattung rechtfertigen kann. Wie schnell einzelne Banken in der EU ihre internen Rückerstattungsverfahren als Reaktion auf das Urteil ändern, und ob nationale Regulatoren es aktiv durchsetzen werden, blieb zu sehen bis zum 16. Oktober 2026.