// HEISE ONLINE — CYBERSECURITY
EuGH: Banken müssen Phishing-Schaden erst einmal erstatten
In einem Fall von Phishing-Betrug stellt der EuGH klar, dass Banken den Schaden grundsätzlich erst einmal ersetzen müssen – mit nur einer Ausnahme.
Der Europäische Gerichtshof (EuGH) stärkt die Rechte von Bankkunden durch eine Entscheidung im Fall eines klassischen Phishing-Betrugs an einer polnischen Bankkundin. Demnach sind Zahlungsdienstleister bei nicht autorisierten Zahlungen unabhängig von der Schuldfrage zunächst einmal verpflichtet, den Schaden zu erstatten (Az. C-70/25) – und das unverzüglich, spätestens zum Ende des auf die Mitteilung folgenden Geschäftstages.
In dem konkreten Fall wurde eine Bankkundin von einem Betrüger im Zuge eines Online-Verkaufs auf eine Seite geleitet, die der Zugangsseite ihrer Bank ähnelte. Dort gab sie ihre Zugangsdaten ein, welche die Betrüger sofort zu einer Überweisung nutzten. Die Bank weigerte sich, den entstandenen Schaden von rund 700 Euro zu ersetzen, weil die Kundin grob fahrlässig gehandelt habe.
Der von einem polnischen Gericht zurate gezogene EuGH stellt dazu jetzt klar, dass die Bank nach EU-Recht verpflichtet ist, den Schaden unverzüglich zu ersetzen. „Nach dem Unionsrecht kann nämlich die Frage der Erstattung des Betrags des nicht autorisierten Zahlungsvorgangs von der Frage getrennt werden, wer letztendlich die Verluste zu tragen hat, die mit einem solchen Vorgang verbunden sind“, teilte der EuGH dazu am Donnerstag mit.
Die Bank muss also den entstandenen Schaden erst einmal erstatten und kann erst dann versuchen, die Haftung auf den Kunden abzuwälzen. Dabei muss die Bank beziehungsweise der Zahlungsdienstleister nachweisen, dass der Kunde vorsätzlich oder grob fahrlässig gehandelt hat.
EU-Recht, konkret die Richtlinie über Zahlungsdienste im Binnenmarkt, sieht dafür laut EuGH nur eine Ausnahme vor: Wenn die Bank einen berechtigten Verdacht hegt, dass der Kunde selbst in betrügerischer Absicht handelt, und die Bank dies auch den Behörden meldet.
Verbraucherschützer beklagen, dass sich auch Kunden in Deutschland zunehmend mit ihren Geldinstituten streiten müssen, wenn es zu Phishing-Betrug kommt. „Der Gesetzgeber muss jetzt handeln, damit aus dem gesetzlichen Anspruch auf Erstattung auch echte Praxis wird“, sagt Ramona Pop, Chefin des Verbraucherzentrale Bundesverbands (vzbv).
Die EU will das Problem in der neuen Zahlungsdiensteverordnung (Payment Services Regulation, PSR) angehen. Bankkunden sollen im Betrugsfall leichter ihre Ansprüche geltend machen können. Auch sollen Banken die genauen Umstände von Einzelfällen mehr berücksichtigen. Die EU-Institutionen haben sich darauf bereits geeinigt, in Kraft getreten ist die PSR aber noch nicht. Kritiker bezweifeln, dass die Verordnung Verbrauchern wesentlich helfen wird.
Die Erfahrung in Deutschland zeigt, dass sich Banken auf grobe Fahrlässigkeit berufen und auf dieser Grundlage die Erstattung von Phishing-Schäden verweigern. Angesichts der wachsenden Raffinesse der Täter ist es allerdings auch für geübte Nutzer nicht mehr so leicht, Phishing-Attacken zu erkennen.
Diese Erkenntnis hat sich zuletzt auch in verschiedenen Urteilen niedergeschlagen, in denen Gerichte die Banken in die Pflicht nehmen. In einem Verfahren gegen die Apobank hat das Landgericht Berlin II zudem auf unzureichende Betrugsprävention seitens der Bank verwiesen. Auch das ist eine Stellschraube, an der die EU mit der PSR drehen will.