EuGH stärkt Verbraucherschutz beim Onlinebanking

Der Europäische Gerichtshof hat Bankkunden, die beim Onlinebanking Betrügern auf den Leim gegangen sind und einen Schaden erlitten haben, den Rücken gestärkt. Sie müssen sich nicht erst mit ihrer Bank herumstreiten, um das an die Kriminellen verlorene Geld erstattet zu erhalten; vielmehr hat die Bank den Schaden unmittelbar zu begleichen. Ein etwaiger Streit um die Frage, ob der Bankkunde den Schaden mitverursacht hat, ist später zu klären, entschieden die Luxemburger Richter (EuGH, Urt. v. 15.10.2026 – C-70/25).

Der EuGH kam mit seiner Entscheidung einer seit Langem auch von Verbraucherschutzverbänden erhobenen Forderung nach einer entsprechenden Klarstellung nach. Diese kritisieren, dass viele Banken nach einem Schadensfall, in dem Onlinebanking-Kunden etwa auf einen sog. Phishing-Angriff oder auf eine gefälschte Bankwebseite hereingefallen sind, geradezu reflexhaft eine Erstattung ablehnen, indem sie den Kunden grobe Fahrlässigkeit unterstellen. Damit werde das Regel-Ausnahmeverhältnis in den einschlägigen Regelungen der EU-Vorgaben sowie auch in deren deutscher Umsetzung (s. dazu §§ 675u und 675v BGB) in sein Gegenteil verkehrt. So sah es jetzt auch der EuGH. Er verwies im Fall einer polnischen Bankkundin, die anlässlich eines Onlinekaufs auf eine gefälschte Webseite hereingefallen war, von der aus sie anschließend auch auf eine gefälschte Bankwebseite weitergeleitet wurde, auf die maßgebliche EU-Zahlungsdiensterichtlinie 2015/2366 (kurz: PSD II). Danach (vgl. Art. 73 Abs. 1 PSD II) muss der Zahlungsdienstleister einen nicht autorisierten Zahlungsvorgang unverzüglich, spätestens bis zum Ende des folgenden Geschäftstags, erstatten. Eine Ausnahme gilt laut der Norm nur, wenn die Bank konkrete Gründe für die Annahme eines Betruges durch den Kunden hat und diese Gründe der zuständigen nationalen Behörde schriftlich mitteilt.

Eine etwaige grobe Fahrlässigkeit des Kunden stellt nach Auffassung der Luxemburger Richter hingegen keinen Grund für die Bank dar, die Erstattung zu verweigern. Die Frage, ob der Kunde den nicht autorisierten Zahlungsvorgang durch grobe Fahrlässigkeit ermöglicht hat – insb. dadurch, dass er nicht die erforderlichen Maßnahmen zum Schutz seiner personalisierten Sicherheitsmerkmale ergriffen hat –, und damit vielleicht am Ende den Schaden doch (mit-)tragen muss, ist erst in einem weiteren Schritt zu prüfen, so das Gericht. Nach dem Unionsrecht sei nämlich die Frage der Erstattung des Betrags des nicht autorisierten Zahlungsvorgangs von der Frage zu trennen, wer letztendlich den Verlust zu tragen habe. Der EuGH begründet dieses Ergebnis mit dem Ziel der PSD-II-Richtlinie, ein hohes Maß an Verbraucherschutz zu gewährleisten. Dem Zahlungsdienstleister zu gestatten, die Erstattung von vornherein unter Berufung auf grobe Fahrlässigkeit des Kunden zu verweigern, würde der Pflicht zur unverzüglichen Erstattung die praktische Wirksamkeit nehmen und den Kunden dazu zwingen, ein Verfahren anzustrengen, um seinen Anspruch durchzusetzen, und die sich daraus eventuell ergebenden Nachteile, insb. die Kosten zu tragen.

Die Entscheidung hat in Deutschland erhebliche praktische Bedeutung: Auch hierzulande, so die Klage etwa des Verbraucherzentrale Bundesverbandes (vzbv), würden die Banken „systematische Abwehrmuster“ zeigen, indem sie geschädigten Onlinebanking-Kunden häufig und pauschal grobe Fahrlässigkeit vorwerfen. Tatsächlich seien die Schäden durch Online-Kriminelle immens: Durch Cyberkriminalität im Zusammenhang mit Finanzdienstleistungen seien allein im vergangenen Jahr Schäden i.H.v. über 10 Mrd. € entstanden, so die Verbraucherschützer. Durch die Taktiken der Banken, die Verantwortung auf die Kunden abzuschieben, hätten diese in der Vergangenheit rund 90 % der Schäden selbst tragen müssen.

Damit könnte nun Schluss sein: Die EuGH-Entscheidung zwingt die Kreditinstitute künftig nach einem derartigen Schadensfall im Regelfall, d.h. wenn kein Vorsatz seitens des eigenen Kunden naheliegt, dazu, zunächst eine Erstattung vorzunehmen; erst in einem zweiten Schritt können sie versuchen, eine Haftung des Kunden, ggf. gerichtlich, prüfen zu lassen. Bankrechtler raten deshalb dazu, die Ablehnung eines Erstattungsanspruchs durch die Bank nach einem derartigen Schadensfall nicht mehr ungeprüft hinzunehmen. Auch bereits abgelehnte Fälle sollten ggf. wieder aufgenommen und neu geprüft werden.