EuGH-Urteil zu Phishing

„Wir erleben in unserer anwaltlichen Praxis immer wieder, dass Banken die Erstattung betrügerisch abgebuchter Gelder unter Hinweis auf eine angebliche grobe Fahrlässigkeit ihrer Kunden ablehnen. Für die Betroffenen bedeutet dies häufig, dass sie ihre Ansprüche erst in einem langwierigen und kostenintensiven Gerichtsverfahren durchsetzen müssen. Dieser Praxis hat der EuGH nun deutliche Grenzen gesetzt“, erklärt Rechtsanwalt Matthias Ruigrok van de Werve von CLLB Rechtsanwälte.

Ausgangspunkt der Entscheidung war der Fall einer polnischen Bankkundin, die beim Verkauf eines Artikels über eine Online-Plattform Opfer eines Phishing-Angriffs wurde. Ein vermeintlicher Kaufinteressent lockte sie auf eine gefälschte Internetseite, die dem Online-Auftritt ihrer Bank täuschend ähnlich sah. Dort gab die Frau ihre Zugangsdaten ein. Mithilfe dieser Informationen und eines durch Täuschung erlangten SMS-Bestätigungscodes überwiesen die Betrüger rund 700 Euro von ihrem Konto.

Als die Geschädigte die Erstattung verlangte, verweigerte ihre Bank die Rückzahlung. Sie warf der Kundin vor, ihre Zugangsdaten grob fahrlässig preisgegeben zu haben. Schließlich musste sich der EuGH mit der Frage befassen, ob dieser Vorwurf die Bank von ihrer sofortigen Erstattungspflicht befreit.

Der EuGH entschied eindeutig zugunsten der Bankkunden. Nach Art. 73 der europäischen Zahlungsdiensterichtlinie PSD2 müssen Banken nicht autorisierte Zahlungsvorgänge grundsätzlich unverzüglich, spätestens bis zum Ende des folgenden Geschäftstags nach Kenntniserlangung oder Anzeige, erstatten.

Eine Ausnahme kommt nur in Betracht, wenn die Bank begründete Anhaltspunkte dafür hat, dass der Kontoinhaber selbst betrügerisch gehandelt hat und sie diese Gründe der zuständigen nationalen Behörde schriftlich mitteilt. Der bloße Vorwurf grober Fahrlässigkeit genügt ausdrücklich nicht.

Die Frage, wer den Schaden endgültig tragen muss, ist davon zu unterscheiden. Erst nach der Erstattung kann die Bank gegebenenfalls eigene Schadensersatzansprüche gegen den Kunden geltend machen. Dazu muss sie nachweisen, dass dieser seine gesetzlichen Pflichten vorsätzlich oder grob fahrlässig verletzt und hierdurch den Schaden verursacht hat.

„Das Urteil bewirkt einen grundlegenden Paradigmenwechsel. Bislang mussten Geschädigte regelmäßig selbst vor Gericht ziehen, um ihr Geld zurückzuerhalten. Nun ist grundsätzlich zunächst die Bank zur Erstattung verpflichtet. Will sie den Betrag anschließend zurückfordern, muss sie die rechtlichen Voraussetzungen dafür nachweisen“, erläutert Rechtsanwalt Ruigrok van de Werve.

Besonders relevant ist die Entscheidung für Verbraucher, deren Banken eine Erstattung bereits abgelehnt haben, etwa, weil sie auf einen betrügerischen Link geklickt, Zugangsdaten eingegeben oder Sicherheitscodes an vermeintliche Bankmitarbeiter weitergegeben haben.

CLLB Rechtsanwälte empfehlen Betroffenen, solche Ablehnungen nicht ungeprüft hinzunehmen und ihre Erstattungsansprüche unter Berücksichtigung der aktuellen EuGH-Rechtsprechung erneut bewerten zu lassen.

CLLB Rechtsanwälte verfügen über langjährige Erfahrung bei der Durchsetzung von Ansprüchen geschädigter Bankkunden. Rechtsanwalt Matthias Ruigrok van de Werve hat bereits einen Verbraucher persönlich in einem Verfahren vor dem Europäischen Gerichtshof vertreten (C-189/22).

„Die Entscheidung stärkt die Rechtsposition von Verbrauchern erheblich. Wer nach einem Phishing-Angriff mit dem Vorwurf grober Fahrlässigkeit abgewiesen wurde, sollte jetzt prüfen lassen, ob die Bank zur Erstattung verpflichtet ist“, so Rechtsanwalt Ruigrok van de Werve.

Auch Geschädigte, deren Banken Erstattungsansprüche bereits im Jahr 2023 wegen angeblicher grober Fahrlässigkeit außergerichtlich zurückgewiesen haben, können von dem EuGH-Urteil profitieren. Allerdings droht bei Ansprüchen aus dem Jahr 2023 grundsätzlich mit Ablauf des 31.12.2026 die Verjährung, sofern keine Hemmung oder ein späterer Verjährungsbeginn vorliegt. Betroffene sollten ihre Ansprüche daher zeitnah rechtlich prüfen lassen.