Phishing Geld zurück: Wann muss Ihre Bank zahlen?

Die gesetzliche Erstattungspflicht nach PSD2, die Schwelle der groben Fahrlässigkeit und wie Betroffene ihre Ansprüche erfolgreich durchsetzen

Nach einem Phishing-Angriff überweist die Bank das Geld an die Täter und lehnt anschließend jede Erstattung ab - mit dem Hinweis, der Kunde selbst habe die Daten weitergegeben. Diese Reaktion ist rechtlich angreifbar. Das deutsche Zahlungsdiensterecht, das die europäische PSD2-Zahlungsdiensterichtlinie umsetzt, stellt Banken unter eine strenge Soforterstattungspflicht bei nicht autorisierten Zahlungsvorgängen. Die Möglichkeit der Bank, sich dieser Pflicht zu entziehen, ist erheblich enger als Banken häufig behaupten.

Die gesetzliche Grundlage: § 675u BGB und die PSD2-Erstattungspflicht 

Der zentrale Anspruch, auf den sich Phishing-Opfer stützen, ist § 675u BGB. Diese Norm setzt die europäische Zahlungsdiensterichtlinie PSD2 in deutsches Recht um und verpflichtet Zahlungsdienstleister - Banken, aber auch Neobanken, Zahlungsdienstleister wie PayPal und Kreditkartenaussteller - dazu, nicht autorisierte Zahlungsvorgänge unverzüglich zu erstatten. „Unverzüglich" bedeutet nach der Rechtsprechung: bis zum Ende des nächsten Geschäftstages nach der Meldung, spätestens.

Der Begriff „nicht autorisiert" ist der Schlüssel zum Verständnis dieses Anspruchs. Eine Zahlung gilt als autorisiert, wenn der Kontoinhaber ihr wirksam zugestimmt hat. Wer durch eine gefälschte Bank-Website oder eine manipulierte TAN-Abfrage getäuscht wurde, hat keine wirksame Zustimmung erteilt - er hat zwar technisch auf einem Formular etwas eingegeben, aber aufgrund eines durch Täuschung ausgelösten Irrtums. Dieser Irrtum hebt die Wirksamkeit der Zustimmung auf. Die Rechtsfolge ist eindeutig: Die Bank muss erstatten.

Wichtig ist, dass die Erstattungspflicht nicht von einem Verschulden der Bank abhängt. Die Bank muss nicht selbst einen Fehler gemacht haben, um erstattungspflichtig zu sein. Die Pflicht folgt allein aus dem Fehlen einer wirksamen Autorisierung. Das ist ein grundlegender Unterschied zu anderen Schadensersatzkonstellationen und macht den Anspruch für Phishing-Opfer besonders stark.

Wann kann die Bank die Erstattung verweigern? Das Fahrlässigkeitsprinzip

Die einzige gesetzliche Ausnahme von der Erstattungspflicht ist § 675v BGB: Die Bank kann die Erstattung verweigern oder kürzen, wenn dem Kunden grobe Fahrlässigkeit nachgewiesen werden kann. Dieser Nachweis obliegt der Bank – nicht dem Kunden. Das ist eine bewusste gesetzgeberische Entscheidung: Weil die Bank in der Regel besseren Zugang zu Transaktionsdaten hat als der Kunde, trägt sie die Beweislast.

Grobe Fahrlässigkeit im Sinne dieser Norm liegt vor, wenn der Kontoinhaber die im Zahlungsverkehr erforderliche Sorgfalt in besonders schwerem Maße verletzt hat. Der Maßstab ist nicht das Verhalten eines besonders vorsichtigen oder technisch versierten Nutzers, sondern das eines durchschnittlichen Kontonutzers. Was für einen ITSicherheitsexperten offensichtlich gälte, kann für einen durchschnittlichen Nutzer außerhalb des Erkennbaren liegen. 

In der Praxis bedeutet das: Wer auf eine professionell gestaltete Phishing-Seite hereingefällt ist, die das Design der echten Bank täuschend ähnlich nachgeahmt hat, handelt in der Regel nicht grob fahrlässig. Wer hingegen Zugangsdaten telefonisch auf Anforderung eines angeblichen Bankmitarbeiters mitgeteilt hat, kann – je nach Fallkonstellation – in grob fahrlässiges Verhalten eingeordnet werden. Die genaue Abgrenzung ist eine Einzelfallfrage und liegt letztlich bei einem Gericht. 

Was gilt als grob fahrlässig? Die Rechtsprechung im Überblick 

Die Rechtsprechung hat in den vergangenen Jahren eine Reihe von Fallgruppen herausgearbeitet, die über die grobe Fahrlässigkeitsschwelle entscheiden. Dabei fällt auf, dass Gerichte die Anforderungen an grobe Fahrlässigkeit in Phishing-Fällen regelmäßig höher ansetzen, als Banken in ihrer Erstattungsverweigerung suggerieren. 

Grobe Fahrlässigkeit kann vorliegen bei: Eingabe von PIN und TAN auf einer Seite, die offensichtlich keine echte Bankseite ist – etwa wenn die URL ohne erkennbaren Zusammenhang mit der Bank steht und kein HTTPS-Zertifikat vorhanden ist. Telefonische Weitergabe von TAN-Codes, obwohl die Bank ausdrücklich und wiederholt kommuniziert hat, dass sie niemals telefonisch nach TANs fragt. Bestätigung einer Transaktion in der Banking-App, obwohl die App ausdrücklich auf eine unbekannte, hohe Überweisung hingewiesen hat und eine Rückfrage empfohlen hat. 

Grobe Fahrlässigkeit liegt nach der Rechtsprechung regelmäßig nicht vor bei: Eingabe von Daten auf einer Phishing-Seite, die dem Original in Design, Domain-Erscheinungsbild und Sprachstil sehr ähnlich ist. Reaktion auf eine Phishing-E-Mail, die im Briefkopf, in der Sprache und im Design von einer echten Bank-E-Mail nicht unterscheidbar war. Angriffe, bei denen Täter über Social Engineering gezielt das Vertrauen aufgebaut haben – zum Beispiel durch Vortuschen eines Bankmitarbeiters über Wochen. 

Die Beweislastverteilung: Bank muss grobe Fahrlässigkeit nachweisen

Einer der meistunterschätzten Aspekte der Phishing-Erstattungsfälle ist die Beweislastverteilung. Viele Betroffene gehen davon aus, sie müssten beweisen, dass sie nicht fahrlässig gehandelt haben. Das ist falsch.

Das Gesetz stellt es so auf: Die Bank hat zu beweisen, dass der Zahlungsvorgang authentifiziert und korrekt aufgezeichnet wurde und dass keine technische Störung vorlag. Wenn sie das nachgewiesen hat, besteht die Vermutung, dass der Kontoinhaber gefälschte oder gestohlene Zugangsdaten leichtfertig preisgegeben hat. Der Kontoinhaber kann diese Vermutung jedoch durch die Darlegung des tatsächlichen Ablaufs erschüttern. 

In der Praxis bedeutet das: Wer den Ablauf des Phishing-Angriffs detailliert schildert, die eingesetzte Täuschungsmethode beschreibt und darlegt, weshalb die Manipulation für einen durchschnittlichen Nutzer nicht erkennbar war, entzieht der Bank die Grundlage für eine Erstattungsverweigerung. Die Bank mündet dann in die Pflicht, konkret nachzuweisen, warum im vorliegenden Fall grobe Fahrlässigkeit vorliegen soll. Pauschale Verweise auf den „allgemeinen Fahrlässigkeitsgrundsatz“ genügen dafür nicht. 

Phishing Geld zurück: Verschiedene Angriffsformen und ihre rechtliche Einordnung

Ob ein Phishing-Angriff als nicht autorisierte Zahlung einzuordnen ist, hängt auch von der konkreten Angriffsmethode ab. Eine rechtliche Differenzierung lohnt sich. 

Klassisches E-Mail-Phishing – Der Nutzer wird über eine gefälschte E-Mail auf eine Fake-Login-Seite geleitet, gibt dort seine Zugangsdaten ein und Täter lösen anschließend eigenständig Transaktionen aus. Da der Kontoinhaber die Transaktionen selbst nicht ausgelöst hat, liegt ein nicht autorisierter Zahlungsvorgang vor. Die Erstattungspflicht nach § 675u BGB greift direkt. 

TAN-Phishing und manipulierte Bestätigungsseiten – Täter leiten die gestohlenen Zugangsdaten in Echtzeit weiter und bringen den Nutzer dazu, auf einer gefälschten Seite eine TAN einzugeben, mit der in Wirklichkeit eine Tätertransaktion bestätigt wird. Auch hier fehlt die wirksame Autorisierung, weil der Nutzer über den Inhalt der Transaktion getäuscht wurde. Seine Zustimmung war durch Irrtum beeinflusst und damit nicht wirksam. 

Vishing und Social-Engineering-TAN-Abfragen – Täter rufen als Bankmitarbeiter an und erschleichen sich TAN-Codes. Wenn die Täuschung professionell gestaltet war und für einen durchschnittlichen Nutzer nicht erkennbar war, fehlt auch hier die wirksame Autorisierung. Ob grobe Fahrlässigkeit vorliegt, hängt davon ab, wie deutlich die Bank zuvor auf diese Angriffsmethode hingewiesen hat. 

Phishing über gefälschte Apps oder SMS – Smishing und App-Imitation sind strukturell identisch zu E-Mail-Phishing; die rechtliche Einordnung ist dieselbe. Erschwerend kann sein, dass mobile Geräte URL-Prüfungen schwerer machen – was ein Argument dafür ist, dass die Erkennbarkeit der Fälschung für einen durchschnittlichen Nutzer geringer ist und damit grobe Fahrlässigkeit eher auszuschließen ist. 

Eine Übersicht über die aktuelle Rechtslage zu nicht autorisierten Online-Banking-Transaktionen bietet unser Beitrag zu Internetbetrug und Bankenhaftung. Wer zusätzlich durch einen gehackten Online-Banking-Zugang betroffen ist, findet weitere Informationen in unserem Beitrag Online Banking gehackt: Was tun?.

EuGH C-70/25: Erst erstatten, dann streiten – die europäische Trendwende

Eine aktuelle Entwicklung auf europäischer Ebene verstärkt die Rechtsposition von Phishing-Opfern zusätzlich erheblich. Am 5. März 2026 legte Generalanwalt Athanasios Rantos am Europäischen Gerichtshof seine Schlussanträge in der Rechtssache C-70/25 vor. Dem Verfahren liegt ein Vorabentscheidungsersuchen des Rayongerichts Koszalin in Polen zugrunde; Gegenstand ist die Auslegung von Art. 73 Abs. 1 und Art. 74 Abs. 1 der PSD2-Richtlinie.

Die Kernaussage des Generalanwalts ist klar: Nach Art. 73 PSD2 muss ein Zahlungsdienstleister bei einem nicht autorisierten Zahlungsvorgang zunächst unverzüglich erstatten. Die Bank darf diese Erstattung nicht bereits im ersten Schritt mit dem bloßen Vorwurf der groben Fahrlässigkeit des Kunden verweigern. Erst nach der Erstattung kann die Bank klagen – und muss dann beweisen, dass grobe Fahrlässigkeit des Kunden tatsächlich vorlag. Die einzige Ausnahme: Die Bank hegt einen begründeten Betrugsverdacht gegen den Kunden selbst und meldet das schriftlich der zuständigen Behörde.

Diese Auffassung stellt die in Deutschland verbreitete Bankpraxis grundlegend in Frage. Viele Banken lehnen Erstattungsanträge nach Phishing pauschal unter Verweis auf angebliche Fahrlässigkeit ab und überlassen Betroffenen das gesamte Prozesskostenrisiko. Genau das ist nach der Einschätzung des Generalanwalts mit dem PSD2-Rahmen unvereinbar. Die Schlussanträge sind noch kein bindendes Urteil – der EuGH ist daran nicht gebunden. Erfahrungsgemäß folgt der Gerichtshof ihnen jedoch in der überwiegenden Mehrheit der Fälle. Das Urteil wird im weiteren Jahresverlauf 2026 erwartet.

Für Phishing-Opfer, deren Erstattungsanträge von der Bank bereits mit Fahrlässigkeitsverweis abgelehnt wurden, eröffnet das eine wichtige Argumentationslinie: Die Ablehnung beruht auf einer Praxis, die der sich abzeichnenden europäischen Rechtslage widerspricht. Es lohnt sich, solche Fälle jetzt anwaltlich neu bewerten zu lassen – bevor das EuGH-Urteil weitere Fristen beeinflusst.

Die Soforterstattungspflicht in der Praxis: Was „unverzüglich“ bedeutet

Das Gesetz schreibt vor, dass die Bank nicht autorisierte Zahlungsvorgänge „unverzüglich“ erstatten muss. Die Rechtsprechung hat diesen Begriff auf spätestens den nächsten Geschäftstag nach der Meldung präzisiert. In der Bankpraxis wird dieser Zeitrahmen häufig nicht eingehalten – viele Banken erklären zunächst, den Fall „prüfen“ zu müssen, bevor eine Entscheidung falle.

Diese Prüfung ist rechtlich nicht vorgesehen, um die Erstattung hinauszuzögern. Die Bank darf zwar nach der Erstattung den Schaden geltend machen, wenn sich nachträglich grobe Fahrlässigkeit des Kunden herausstellt – aber die Erstattung selbst muss zunächst erfolgen. Eine Bank, die die Erstattung mit dem Hinweis auf eine laufende interne Prüfung hinauszögert, verletzt die gesetzliche Pflicht.

Wenn eine Bank die Erstattung verweigert oder über mehrere Wochen verzögert, ohne ein konkretes und begründetes Fahrlässigkeitsvotum abzugeben, ist das ein Argument für anwaltliche Schritte – nicht erst für eine Klageschrift, sondern bereits für ein qualifiziertes anwaltliches Schreiben, das die Bank zur sofortigen Erfüllung auffordert. Wenn nach diesem Schritt keine Reaktion erfolgt, ist der Weg zur Klage kurz und erfolgversprechend.

Wenn eine Überweisung noch nicht final gebucht ist und ein Stopp noch möglich sein könnte, informiert unser Beitrag zu Überweisungen zurückfordern über die relevanten Fristen und Schritte.

Zusätzliche Haftungsgrundlagen neben § 675u BGB

Neben der direkten Erstattungspflicht bei nicht autorisierten Zahlungen können weitere Haftungsgrundlagen einschlägig sein, die den Schadensersatz verbreitern oder alternative Ansprüche ermöglichen.

Die Warnpflichtverletzung ist eine der wichtigsten ergänzenden Grundlagen. Wenn die Bank wusste oder hätte wissen müssen, dass eine bestimmte Phishing-Variante aktiv gegen ihre Kunden betrieben wird, und dennoch keine Warnmeldungen ausgegeben hat, verletzt sie eine eigenständige vertragliche Schutzpflicht. Diese Haftungsgrundlage besteht unabhängig von der Autorisierungsfrage und ist besonders relevant in Fällen, in denen die Erstattung an grober Fahrlässigkeit scheitert.

Die Transaktionsüberwachungspflicht ergänzt die Warnpflicht: Wenn auffällige Transaktionsmuster – erste hohe Auslandsüberweisung, mehrfache Fehlversuche vor einer erfolgreichen Anmeldung, Anmeldung von unbekanntem Gerät – keine Reaktion ausgelöst haben, hat die Bank möglicherweise ihre Präventionspflichten verletzt. Gerichte haben in mehreren Entscheidungen festgestellt, dass Banken nicht nur zur Erstattung, sondern auch zur aktiven Betrugsprävention verpflichtet sind.

Wer zusätzlich Kreditkartenbetrug im Zusammenhang mit einem Phishing-Angriff erlitten hat, findet die relevante Haftungsfrage in unserem Beitrag zur Haftung bei Kreditkartenbetrug erörtert.

Phishing Geld zurück: So gehen Sie Schritt für Schritt vor

Wer nach einem Phishing-Angriff Geld zurückfordern möchte, sollte strukturiert und zügig vorgehen. Die Reihenfolge der Schritte ist ebenso wichtig wie die Schritte selbst.

Zunächst müssen alle Beweise gesichert werden: Screenshots der Phishing-E-Mail oder - SMS mit sichtbarem Absender, der gefälschten Login-Seite mit URL, sowie der nicht autorisierten Transaktionen im Kontoauszug. Diese Sicherung muss erfolgen, bevor Nachrichten gelöscht werden. Anschließend werden alle Zugangsdaten geändert und das Konto gesperrt.

Dann wird die Bank schriftlich kontaktiert und der Erstattungsanspruch geltend gemacht. Das Schreiben sollte den genauen Ablauf des Angriffs beschreiben, darlegen, weshalb keine wirksame Autorisierung vorlag, und eine konkrete Frist für die Erstattung setzen. Gleichzeitig wird Strafanzeige erstattet. Das Aktenzeichen belegt den Betrug und stärkt die Position gegenüber der Bank.

Wenn die Bank ablehnt oder nicht zeitnah reagiert, empfiehlt sich anwaltliche Unterstützung. Ein qualifiziertes anwaltliches Schreiben mit präziser rechtlicher Begründung und einer Klageandrohung bewegt Banken in der Erfahrung der Praxis häufig zu einer Prüfung des Einzelfalls, die über die pauschale Ablehnung hinausgeht.

Wann lohnt sich anwaltliche Beratung bei Phishing Geld zurück?

Anwaltliche Beratung lohnt sich in nahezu jedem Phishing-Fall, in dem die Bank eine Erstattung verweigert oder hinauszögert. Ein Anwalt für Bankrecht bewertet, ob die Autorisierung wirksam war, ob die Bank ihre Beweislast erfüllt hat, welche Haftungsgrundlagen zusätzlich in Betracht kommen und ob die Warnpflicht oder Transaktionsüberwachungspflicht verletzt wurde.

Die erste anwaltliche Kontaktaufnahme ist in den meisten Fällen niedrigschwellig: Eine eingehende Prüfung des Sachverhalts ermöglicht eine realistische Einschätzung der Erfolgsaussichten, bevor Kosten für eine Klage entstehen. In vielen Fällen führt bereits ein anwaltliches Aufforderungsschreiben zur Erstattung, ohne dass ein Gerichtsverfahren nötig wird. Warten Sie nicht zu lange: Die dreijährige Verjährungsfrist läuft auch dann, wenn die Bank noch nicht geantwortet hat.

Fazit: Phishing Geld zurück – das Gesetz steht auf Ihrer Seite

Das Zahlungsdiensterecht gibt Phishing-Opfern eine starke gesetzliche Grundlage. Die Erstattungspflicht der Bank ist der Normalfall – die Verweigerung ist die Ausnahme, die die Bank selbst beweisen muss. Grobe Fahrlässigkeit ist ein hoher Standard, den professionell ausgeführte Phishing-Angriffe in der Regel nicht erfüllen.

Wer die Beweise richtig sichert, den Ablauf präzise dokumentiert und anwaltliche Unterstützung in Anspruch nimmt, hat realistische Chancen auf vollständige Erstattung. Die Entscheidung der Bank ist kein letztes Wort.

Kanzlei Dr. Araujo Kurth – Ihr Partner im Bank- und Kapitalmarktrecht

Die Kanzlei Dr. Araujo Kurth berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.

Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten Sachverhaltsprüfung über die Kommunikation mit der Bank bis zur Durchsetzung des Erstattungsanspruchs. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.

Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.

FAQs – Häufig gestellte Fragen zu Phishing Geld zurück Bank