Wie schnell muss die Bank nach Phishing erstatten?

Laut EuGH und Paragraf 675u BGB unverzüglich, spätestens bis zum Ende des Geschäftstags nach dem Tag, an dem die Bank von der nicht autorisierten Zahlung erfahren hat.

Darf die Bank die Erstattung wegen grober Fahrlässigkeit verweigern?

Nach dem Urteil des EuGH vom 15. Oktober 2026 nicht einfach so. Sie muss zuerst erstatten und kann das Geld später zurückverlangen, wenn sie grobe Fahrlässigkeit oder Vorsatz beweist.

Reicht ein Anruf bei der Bank?

Für die Sperre ja. Die einzelnen Buchungen solltest du zusätzlich schriftlich per Brief oder E-Mail als nicht autorisiert melden, damit du einen Nachweis hast.

Muss ich zur Polizei?

Die Verbraucherzentrale NRW empfiehlt eine Strafanzeige, am schnellsten über die Onlinewache deines Bundeslandes. Das Aktenzeichen gibst du an die Bank weiter.

Phishing-Schaden: Die Bank muss erst einmal erstatten

Kurz gesagt

Wurde von deinem Konto Geld abgebucht, das du nicht freigegeben hast, muss die Bank es nach einem Urteil des EuGH vom 15. Oktober 2026 zuerst erstatten. Den Vorwurf, du seist grob fahrlässig gewesen, muss sie danach selbst beweisen. Entscheidend ist, dass du sofort sperrst, anzeigst und schriftlich meldest.

Du hast auf einen Link geklickt, deine Zugangsdaten eingegeben, und am nächsten Morgen fehlt Geld auf dem Konto. Dann rufst du die Bank an und hörst: Sie haben Ihre Daten selbst herausgegeben, das ist grob fahrlässig, wir zahlen nichts.

Genau diese Antwort hat der Gerichtshof der Europäischen Union (EuGH) am 15. Oktober 2026 deutlich eingeschränkt. In diesem Ratgeber erfährst du, was das Urteil sagt, was du in den ersten Stunden tun solltest und wo die Grenzen liegen. Wie du die Masche gar nicht erst an dich heranlässt, steht in unserem Artikel zu Bank-Phishing mit angeblichem App-Update.

Was der EuGH entschieden hat

Im Fall ging es um eine Bankkundin aus Polen. Sie hatte auf einen gefälschten Link geklickt und auf einer nachgebauten Bankseite ihre Online-Banking-Daten eingegeben. Danach wurde Geld von ihrem Konto überwiesen. Sie meldete den Vorgang am nächsten Tag. Die Bank lehnte die Erstattung ab, weil die Kundin grob fahrlässig gehandelt habe.

Der EuGH sieht das anders. Laut seiner Pressemitteilung gilt eine klare Reihenfolge in zwei Schritten:

Erst erstatten: Die Bank muss den Betrag einer nicht autorisierten Zahlung unverzüglich zurückbuchen, spätestens bis zum Ende des folgenden Geschäftstags. Voraussetzung ist, dass du sie unverzüglich informierst. Die bloße Vermutung, du seist grob fahrlässig gewesen, reicht nicht für eine Ablehnung.
Dann prüfen: Später darf die Bank das Geld von dir zurückverlangen. Dafür muss sie aber beweisen, dass du deine Pflichten vorsätzlich oder grob fahrlässig verletzt hast.

Die einzige Ausnahme: Die Bank hat berechtigte Gründe für den Verdacht, dass du selbst betrügst, und teilt diese schriftlich der zuständigen Behörde mit. „Nicht autorisiert“ heißt übrigens: Du hast der Zahlung nicht zugestimmt.

Das deckt sich mit dem deutschen Recht. Nach Paragraf 675u des Bürgerlichen Gesetzbuchs muss die Bank eine nicht autorisierte Zahlung unverzüglich erstatten und das Konto wieder auf den Stand bringen, den es ohne die Abbuchung hätte.

Die ersten Minuten: sperren

Je schneller du handelst, desto besser. Das Urteil setzt voraus, dass du die Bank ohne Zögern informierst. Und jede Minute, in der die Betrüger noch Zugriff haben, kann weitere Abbuchungen bedeuten.

Zugang sperren lassen. Ruf den Sperr-Notruf 116 116 an oder die Sperrnummer deiner Bank. Laut Verbraucherzentrale NRW solltest du prüfen, ob deine Bank am Sperr-Notruf teilnimmt. Aus dem Ausland wählst du +49 116 116. Lass nicht nur die Karte sperren, sondern auch den Online-Banking-Zugang.
Keine Rückrufnummer aus der Mail nutzen. Die Nummer der Bank findest du auf deiner Karte, im Kontoauszug oder auf der echten Website, die du selbst im Browser eintippst.
Passwort ändern, wenn du noch Zugriff hast. Hast du dasselbe Passwort auch woanders genutzt, ändere es dort ebenfalls. Ein Passwort-Manager mit Zwei-Faktor-Schutz hilft dir, für jeden Dienst ein eigenes Passwort zu haben.

Wichtig: Telefonieren reicht für die Sperre. Für alles, was du später beweisen musst, brauchst du etwas Schriftliches.

Danach: anzeigen und schriftlich melden

Die Verbraucherzentrale NRW empfiehlt nach der Sperre diese Schritte:

Strafanzeige erstatten. Am schnellsten geht das online über die Onlinewache der Polizei deines Bundeslandes. Schildere nur die Fakten, keine Vermutungen. Lade Screenshots und die betrügerischen Nachrichten hoch. Das Aktenzeichen gibst du an deine Bank weiter.
Empfängerbank informieren. Ging das Geld per Überweisung raus, kannst du über die IBAN des Empfängers dessen Bank herausfinden und sie auf den Betrug hinweisen. Ein Stopp klappt laut Verbraucherzentrale nur in Ausnahmefällen und nur bei schnellem Handeln.
Jede Buchung schriftlich als nicht autorisiert melden. Per Brief oder E-Mail, mit Datum, Betrag und Empfänger jeder einzelnen Buchung. So hast du einen Nachweis, wann die Bank Bescheid wusste. Verlange die Gutschrift mit Wertstellung zum Tag der Abbuchung, damit keine Überziehungszinsen entstehen.

Was du sichern solltest

Die Phishing-Mail oder SMS, nicht löschen
Screenshots der gefälschten Seite, falls noch offen
Kontoauszüge mit den fremden Buchungen
Uhrzeit deines Anrufs bei der Bank und das Aktenzeichen der Anzeige

Auf deinem eigenen Rechner lohnt sich danach ein gründlicher Check. Wie du Schadsoftware vom PC entfernst, erklären wir in einem eigenen Ratgeber.

Wenn die Bank trotzdem ablehnt

Lehnt deine Bank die Erstattung mit dem Hinweis auf grobe Fahrlässigkeit ab, kannst du auf das Urteil des EuGH in der Rechtssache C-70/25 verweisen. Erst erstatten, dann prüfen: Diese Reihenfolge gibt das Gericht vor.

Hilft das nicht, nennt die Verbraucherzentrale NRW diese Wege:

Schlichtungsstelle: Welche zuständig ist, steht im Impressum deiner Bank. Die Finanzaufsicht BaFin hat dazu eine Übersicht.
Beschwerde bei der BaFin: Über deren Beschwerdeformular. Nenne ungewöhnliche Umstände, etwa Buchungen in der Nacht oder mehrere kurz hintereinander.
Beratung: bei der Verbraucherzentrale oder bei einer Anwältin oder einem Anwalt mit Erfahrung im Bankrecht.

Kommen Inkassobriefe oder eine Drohung mit der Schufa, widersprich erneut und weise darauf hin, dass du die Forderung bei der Bank schon bestritten hast. Laut Verbraucherzentrale ist eine Schufa-Drohung bei bestrittenen Forderungen unzulässig.

Dieser Artikel ersetzt keine Rechtsberatung. Er zeigt dir, was die Quellen sagen und welche Schritte sie empfehlen.

Was das Urteil nicht löst

Das Urteil ist eine gute Nachricht, aber kein Freifahrtschein.

Die Bank darf später zurückfordern. Kann sie beweisen, dass du grob fahrlässig gehandelt hast, musst du das Geld unter Umständen wieder hergeben. Was als grob fahrlässig gilt, hängt laut Verbraucherzentrale vom Einzelfall ab.
Es geht um nicht autorisierte Zahlungen. Hast du selbst eine Überweisung freigegeben, weil dich jemand am Telefon dazu überredet hat, ist die Lage eine andere. Dann hilft dir dieser Ratgeber nur bei den Sofortschritten.
Ohne schnelle Meldung kein Anspruch auf sofortige Erstattung. Das Gericht knüpft die Pflicht der Bank daran, dass du sie unverzüglich informierst.

Der beste Schutz bleibt also, gar nicht erst auf die Masche hereinzufallen. Woran du gefälschte Nachrichten erkennst, zeigt unser Ratgeber Phishing-Mails erkennen.

Dein nächster Schritt

Speichere dir jetzt die Nummer 116 116 und die Sperrnummer deiner Bank im Handy. Im Ernstfall suchst du dann nicht erst danach.

Du bist nicht sicher, ob dein PC oder dein Handy nach einem Phishing-Vorfall noch sauber ist? KapFixIT in Dortmund schaut sich das mit dir an. Ruf einfach an: 0175 7107525.

Quellen

Noch Fragen zu deinem Fall?

Ein Anruf klärt meist in zehn Minuten, ob und wie ich helfen kann. Kostenlos und unverbindlich, ich gehe fast immer selbst ran.

0175 710 75 25 anrufen WhatsApp schreiben

Sebastian Karpala

Inhaber von KapFixIT in Dortmund. Schreibt hier auf, was er jeden Tag in der Werkstatt sieht.

Konto nach Phishing leer? Erst zahlt die Bank zurück