Tschüss, Dolo-agit-Einrede beim Phishing?

Bei Phishing-Fällen müssen Banken nicht autorisierte Zahlungen künftig selbst bei grober Fahrlässigkeit zunächst erstatten. Sebastian Förste erklärt, warum das Urteil des EuGH eine Zäsur für die deutsche Rechtspraxis sein dürfte.

Den Streit über die Erstattung muss nun die Bank führen. Der EuGH kehrt die Klagelast damit um und entzieht der bisherigen Rechtsprechung des BGH und der Oberlandesgerichte zur Dolo-agit-Einrede nach § 242 BGB den Boden.

Phishing im Online-Banking ist in Deutschland so verbreitet, dass fast jeder ein Opfer persönlich kennen dürfte, wenn er nicht sogar selbst eines geworden ist. So war jeder zehnte Deutsche im Jahre 2025 von Cyberkriminalität betroffen; zugleich ist die Bundesrepublik weltweit das zweithäufigste Ziel für Phishing-Attacken.

Vor diesem Hintergrund kommt das Urteil des EuGH in Sachen Tukowiecka (Urteil vom 15.10.2026 – C-70/25) gerade in Deutschland vielen Menschen zugute. Danach dürfen Zahlungsdienstleister, im Regelfall also Banken, die unverzügliche Erstattung eines nicht autorisierten Zahlungsvorgangs nicht mit der Behauptung grob fahrlässigen Verhaltens des Zahlers verweigern. Der EuGH folgte damit vollständig den Schlussanträgen des Generalanwalts Athanasios Rantos vom 5. März 2026. Er legte im Vorabentscheidungsverfahren (Art. 267 UAbs. 1 Buchst. b AEUV) letztverbindlich die zweite Zahlungsdiensterichtlinie 2015/2366 (PSD2) aus. Für die deutsche Praxis ist das eine Zäsur: Klagen mussten bislang in aller Regel die betroffenen Kunden. Ab sofort liegt der Ball bei der Bank.

Falle beim Online-Verkauf: Wenn die Ausnahme zur Regel wird

Vorgelegt hatte das Rayongericht im polnischen Koszalin. Die Klägerin, Kundin der Bank PKO BP, bot auf einer Online-Plattform Waren an. Ein vermeintlicher Kaufinteressent sandte ihr einen Link auf eine gefälschte Website der Plattform, von der sie scheinbar zu ihrer Bank, in Wahrheit aber auf eine ebenfalls gefälschte Seite gelangte. Dort gab sie ihre Online-Banking-Zugangsdaten ein. Mit diesen und einem ihr ebenfalls entlockten SMS-Code überwies der Betrüger 3.000 Zloty, rund 705 Euro, auf sein eigenes Konto.

Am nächsten Tag informierte die Kundin Bank und Polizei. Die Bank verweigerte die Erstattung mit der Begründung, die Kundin habe ihre Pflicht zum Schutz der Sicherheitsmerkmale grob fahrlässig verletzt. Folglich sah die Kundin keinen anderen Ausweg, als die Rückerstattung gerichtlich durchzusetzen.

Das polnische Gericht stand vor der Frage, ob Art. 73 Abs. 1 PSD2 es der Bank verwehrt, sich auf grob fahrlässiges Handeln ihrer Kundin zu berufen. Zudem fiel ihm ein strukturelles Ungleichgewicht auf. Nach der PSD2 trägt grundsätzlich der Zahlungsdienstleister das Risiko nicht autorisierter Zahlungen, da er die technische Infrastruktur betreibt und die ihm anvertrauten Gelder vor Betrugsrisiken schützen muss.

Die Gerichtsregister zeigten das Gegenteil: Keine Bank hatte einen Verbraucher wegen grober Fahrlässigkeit verklagt, dafür stapelten sich die Klagen von Verbrauchern gegen ihre Banken. Durch die schlichte Erstattungsverweigerung war aus der Ausnahme für grobe Fahrlässigkeit der Regelfall geworden. Die Banken entschieden die Haftungsfrage in eigener Sache, behielten das Geld ein und bürdeten ihren Kundinnen und Kunden Kosten- und Beweisrisiko auf.

Erstattung und Haftung: Zwei getrennte Stufen in der PSD2

Der EuGH verneint die Vorlagefrage und trennt zwei Fragen, die in der Praxis oft vermischt werden. Art. 73 Abs. 1 PSD2 und § 675u S. 2 und 3 BGB regeln auf der ersten Stufe, dass und wie schnell eine Bank den Betrag einer nicht autorisierten Zahlung erstatten muss, nachdem sie davon Kenntnis erlangt hat: unverzüglich, spätestens bis zum Ende des folgenden Geschäftstags. Die Normen kennen nur eine Ausnahme: Hat die Bank berechtigte Gründe für den Verdacht, dass die Kundin oder der Kunde selbst betrügerisch handelte, darf sie die Erstattung vorläufig zurückhalten, sofern sie den Verdacht der zuständigen Behörde (Polizei, Staatsanwaltschaft, ggf. Bafin) schriftlich mitteilt (§ 675u S. 4 BGB).

Das "betrügerische Verhalten" erfasst zwar alle auf Täuschung gerichteten Vermögensdelikte zum Schaden des Zahlungsdienstleisters, nicht nur § 263 StGB. Von einer bloß grob fahrlässigen Verletzung der auf Zahlungsinstrumente und personalisierte Sicherheitsmerkmale bezogenen Pflichten aus Art. 69 PSD2 bzw. § 675l BGB ist bei der Erstattungspflicht jedoch keine Rede.

Zwar müssen Zahler nach Art. 74 Abs. 1 PSD2 alle Verluste tragen, wenn sie ihre Sorgfaltspflichten vorsätzlich oder grob fahrlässig verletzt haben (vgl. § 675v Abs. 3 Nr. 2 BGB). Diese Regelung betrifft nach dem EuGH aber ausschließlich die zweite Stufe, also die endgültige Haftungsverteilung. Die Bank muss zunächst unverzüglich erstatten. Erst danach kann sie vom Kunden bzw. der Kundin Ersatz verlangen und muss dessen bzw. deren grobe Fahrlässigkeit nach Art. 72 Abs. 2 PSD2 voll beweisen.

Aus für die deutsche Rechtspraxis zu § 242 BGB und Aufrechnung

Ins deutsche Recht übertragen ließe sich die Berufung auf grobe Fahrlässigkeit als Aufrechnung mit dem Ersatzanspruch aus § 675v Abs. 3 Nr. 2 BGB verstehen. Alternativ ließe sich dies als Dolo-agit-Einrede aus § 242 BGB auslegen, mit der die Bank ein Hin- und Herzahlen verhindern möchte: Treuwidrig handelt, wer etwas verlangt, das er sofort zurückgeben müsste (dolo agit qui petit quod statim redditurus est). Nach § 675v Abs. 3 Nr. 2 BGB schuldet die Kundin oder der Kunde den gesamten Schaden, wenn er oder sie ihn durch mindestens grob fahrlässige Pflichtverletzung herbeigeführt hat. Bei betrügerischer Absicht (Nr. 1) darf die Bank ohnehin zurückhalten (§ 675u S. 4 BGB). Sonst haftet der Kunde oder die Kundin höchstens mit 50 Euro (§ 675v Abs. 1 BGB).

Bislang gestehen die weit überwiegende Rechtsprechung und Literatur Zahlungsdienstleistern die Aufrechnung (§ 389 BGB) und die Dolo-agit-Einrede (§ 242 BGB) gegen den Anspruch aus § 675u S. 2 BGB ausdrücklich zu. So ließ das LG Lübeck die eingeklagte Forderung offen, da "der Anspruch jedenfalls durch Aufrechnung" erloschen sei (Urteil vom 03.01.2024 – 3 O 83/23). Der BGH entschied 2020 unter Verweis auf Treu und Glauben, die Bank müsse "nicht zunächst den Anspruch des Zahlers aus § 675u Satz 2 BGB erfüllen“ (Urteil vom 17.11.2020 – XI ZR 294/19). Dem schloss sich im vergangenen Jahr das OLG Oldenburg an (Urteil vom 24.04.2025 – 8 U 103/23). Der BGH bestätigte diese Linie im Juli 2025 bei telefonisch weitergegebenen TANs und einem Schaden von 35.555 Euro (Urteil vom 22.07.2025 – XI ZR 107/24) sowie noch am 3. März 2026 bei nicht autorisierten Überweisungen von 39.454 Euro von einem Geschäftsgirokonto (Urteil vom 03.03.2026 – XI ZR 20/24).

Mit dem Urteil des EuGH dürfte diese Rechtspraxis ein Ende finden. Aufrechnung, Dolo-agit-Einrede sowie sonstige Einwendungen und Einreden verzögern die in § 675u S. 3 BGB angeordnete unverzügliche Erstattung und konterkarieren damit die nach dem EuGH zwingend zu gewährleistende praktische Wirksamkeit der Vorschrift. Zudem widersprechen sie der vom EuGH betonten Risikoverteilung: Das Ziel eines hohen Verbraucherschutzniveaus (vgl. ErwG 6 PSD2) erfordere es, das Prozessrisiko dem Zahlungsdienstleister aufzubürden, nicht den Kunden.

Im Wege richtlinienkonformer Auslegung dürfte es deutschen Gerichten künftig verwehrt sein, Ansprüche aus § 675u S. 2 BGB unter Berufung auf Einwendungen oder Einreden abzulehnen, die ihre unmittelbare Durchsetzung hindern. Etwas anderes dürfte nur für die in Erwägungsgrund 31 der ersten Zahlungsdiensterichtlinie (PSD1, fortgeführt in ErwG 70 PSD2) adressierte Verjährungseinrede gelten, die in der Praxis kaum ins Gewicht fällt.

Was jetzt gilt und warum die EU-Zahlungsdiensteverordnung gegensteuert

Banken müssen sofort erstatten, sich Ersatzansprüche vorbehalten und diese danach mit Belegen einklagen (vgl. § 675w S. 3 Nr. 3 und 4, S. 4 BGB). Die Ablehnung der Erstattung unter Berufung auf grobe Fahrlässigkeit ist unzulässig. Das gilt auch bei Geschäftskonten: § 675e Abs. 4 BGB erlaubt zwar Abweichungen von § 675v BGB, nimmt den Kundenanspruch aus § 675u BGB aber von dieser Öffnung aus. Zugleich betrifft das Urteil nur nicht autorisierte Zahlungen. Überweist die Kundin oder der Kunde selbst, weil ein Betrüger ihn bzw. sie dazu überredet hat, liegt nach § 675j BGB eine Zustimmung vor, und § 675u S. 2 BGB greift von vornherein nicht.

Das letzte Wort ist das Urteil nicht. Die EU-Zahlungsdiensteverordnung (PSR), voraussichtlich ab Ende 2028 anwendbar, gestattet Banken, was der EuGH verwehrt: Liegen objektiv gerechtfertigte Gründe für den Verdacht grober Fahrlässigkeit vor, dürfen sie die Erstattung bis zu 15 Geschäftstage zurückhalten (Art. 56 Abs. 1 und 2 PSR-E, Kompromisstext, Ratsdok. 8221/26). Nach Anhörung der Kundin oder des Kunden müssen sie erstatten oder ihre Ablehnung mit Belegen begründen und auf Schlichtungsstellen hinweisen (Art. 56 Abs. 2 lit. a und b PSR-E). Damit dürfte das EuGH-Judikat in gut zwei Jahren weitgehend überholt sein.

Bis dahin dürften Banken sich verstärkt auf § 675u S. 4 BGB, also auf ein betrügerisches Verhalten der Kunden und Kundinnen, berufen. Angesichts der vom EuGH unterstrichenen Risikoverteilung ist an die "berechtigten Gründe" jedoch ein hoher Maßstab anzulegen. Vonnöten sind objektiv nachweisbare Gründe; die bloße Möglichkeit oder ein subjektiver Verdacht der Bank genügen nicht.

Bankkunden sollten nach einer Phishing-Attacke die Bank unverzüglich informieren, Beweise sichern (Kontoauszüge, SMS, E-Mail- und Chatverläufe, Korrespondenz mit der Bank) und ggf. Strafanzeige erstatten.

Doch zurück nach Polen. Den Ausgangsrechtsstreit muss das Gericht in Koszalin noch selbst entscheiden. Die Kundin darf jedoch auf baldige Klagestattgabe hoffen und wird ihre 705 Euro zurückerhalten. Ob die Bank bei diesem Betrag das Kostenrisiko einer eigenen Klage tragen möchte, muss sie entscheiden.