EuGH C-70/25 Erstattung: Bankhaftung bei Phishing – was Geschädigte wissen sollten

Luxemburg, 5. März 2026 — Generalanwalt Athanasios Rantos trägt seine Schlussanträge in der Rechtssache EuGH C-70/25 Erstattung vor. Der Sachverhalt: eine polnische Bankkundin verlor durch eine nachgebaute Banking-Seite ihre Zugangsdaten. Die Bank verweigerte die Erstattung mit dem Argument grober Fahrlässigkeit. Was Rantos vorschlägt, könnte die Bankhaftung bei Phishing und Spoofing in ganz Europa grundlegend umkehren.

Wer nach EuGH C-70/25 Erstattung sucht, fragt häufig: Ist die Bank verpflichtet, zuerst zu erstatten, bevor sie grobe Fahrlässigkeit einwenden darf? Wie wirkt sich das auf laufende deutsche Verfahren aus? Und was können Betroffene bereits jetzt tun? Dieser Beitrag erklärt deshalb die Kerninhalte des Schlussantrags, zeigt die Abgrenzungen und benennt konkrete Schritte.

Was bedeutet EuGH C-70/25 Erstattung konkret für Phishing-Opfer in Deutschland?

Die EuGH C-70/25 Erstattungs-Debatte dreht sich um eine scheinbar schlichte Frage: Wer zahlt zuerst — die Bank oder der Kunde? Generalanwalt Rantos antwortet: die Bank. Und zwar unverzüglich, spätestens bis zum Ende des nächsten Geschäftstags nach Kenntnisnahme des nicht autorisierten Zahlungsvorgangs. Somit darf die Bank ihre Gegenansprüche wegen grober Fahrlässigkeit erst danach in einem zweiten Schritt geltend machen.

Für Tausende deutsche Phishing-Opfer, deren Erstattungsbegehren Banken aktuell pauschal ablehnen, wäre dies deshalb ein Paradigmenwechsel. Die Banken berufen sich auf grobe Fahrlässigkeit nach § 675v BGB und verweigern die Erstattung aus § 675u BGB. Betroffene sind folglich gezwungen, selbst zu klagen — über ein Verfahren, das in der Praxis Jahre dauern kann, während der Schaden auf dem Konto fehlt. Genau dieses Ungleichgewicht greift der Schlussantrag von Rantos an der Wurzel an.

Welche Verfahrenslücke schließt EuGH C-70/25 Erstattung – und auf welche Norm stützt sie sich?

GA Rantos stützt sich auf Art. 73 Abs. 1 der Zahlungsdiensterichtlinie PSD2 (Richtlinie 2015/2366/EU). Er liest diese Norm in ihrer Absolutheit: Der Wortlaut der Richtlinie und ihr Verbraucherschutzziel lassen nach seiner Auffassung keinen Spielraum für eine pauschale Verweigerung der Erstattung. Zudem ist die Richtlinie als vollharmonisierendes Instrument konzipiert — nationale Abweichungen sind grundsätzlich unzulässig.

In Deutschland richtet sich die Umsetzung nach §§ 675u, 675v BGB. Jedoch hat der BGH bisher die Saldienmethode angewandt: Erstattungsanspruch und Schadensersatzanspruch der Bank werden im selben Verfahren aufgerechnet. Folglich können Banken die Erstattung faktisch verweigern, indem sie grobe Fahrlässigkeit einwenden. Wenn der EuGH der Argumentation von Rantos folgt, wäre diese Praxis mit Art. 73 PSD2 unvereinbar. Deshalb müssten deutsche Gerichte ihre bisherige Linie überdenken.

Was stellt EuGH C-70/25 Erstattung fest – und was bleibt offen?

Der Schlussantrag stellt fest: Banken sind nach PSD2 verpflichtet, nicht autorisierte Zahlungsvorgänge unverzüglich zu erstatten. Erst danach dürfen sie ihre Gegenansprüche geltend machen. Somit würde die Beweislastverteilung in deutschen Phishing-Prozessen grundlegend umgekehrt. Allerdings ist ein Schlussantrag keine bindende Entscheidung — das Urteil des EuGH steht noch aus.

Offen bleibt zudem, wie der EuGH die Grenze zwischen formeller Nichtautorisierung und grober Fahrlässigkeit genau ziehen wird. Ebenso offen ist, ob das Urteil rückwirkend auf laufende Verfahren anzuwenden ist. Dennoch zeigt das BGH-Urteil XI ZR 20/24 chipTAN vom 3. März 2026 — zwei Tage vor dem Schlussantrag Rantos — dass die Gerichte bereits differenziert urteilen: Das BGH-Urteil lässt Raum für bankseitige Sicherheitsmängel als Haftungsgrundlage.

Welche forensischen Ansatzpunkte ergeben sich aus EuGH C-70/25 Erstattung?

Für Geschädigte, deren Erstattungsbegehren aktuell von der Bank abgelehnt wird, ergeben sich zwei strategische Ansatzpunkte. Zunächst sollte die Forderung nach sofortiger Erstattung nach § 675u BGB schriftlich gestellt werden — getrennt von Diskussionen über grobe Fahrlässigkeit. Anschließend empfiehlt sich, laufende Verfahren auf eine mögliche EuGH-Vorabentscheidung auszurichten. Daher lohnt sich frühzeitiger anwaltlicher Rat.

Auf kryptoschaden.de finden Betroffene einen Überblick über Plattformen und Phishing-Muster, zu denen bereits Verfahren laufen. Ergänzend erläutert der Beitrag zu den ersten Stunden nach einem Krypto-Betrug auf anwalt.de, welche Beweissicherungsschritte nach dem Schadenseintritt entscheidend sind. Nach Darstellung führender europäischer Zahlungsrechts-Experten kann die frühzeitige Sicherung aller Transaktionsdaten den Unterschied zwischen Erstattungserfolg und Abweisung ausmachen.

Was bedeutet EuGH C-70/25 Erstattung für Personen mit Verlust durch Phishing?

Für Betroffene aus Deutschland, Österreich und der Schweiz bedeutet EuGH C-70/25 Erstattung: Der Druck auf die Banken wächst. Bereits jetzt sollten Sie Ihren Erstattungsanspruch nach § 675u BGB formell geltend machen — schriftlich, mit Bezug auf die laufende EuGH-Vorlage. Darüber hinaus kann die strafrechtliche Seite parallel beschritten werden: § 263 StGB und § 263a StGB sind einschlägig. Die Vermögensabschöpfung nach § 73 StGB in Verbindung mit § 111e StPO ermöglicht zudem die vorläufige Sicherstellung überweisungsempfangener Konten.

Außerdem steht die Rückforderung über zivilrechtliche Klagen gegen Empfängerkonten als weiterer Weg offen. Die Möglichkeiten der Rückforderung bei unerlaubten Anbietern auf anwalt.de zeigen, dass auch in schwierigen Fällen strukturierte Rückführungsstrategien existieren. Nach Darstellung von Fachanwälten für Bank- und Kapitalmarktrecht sollte kein Kulanzangebot der Bank angenommen werden, bevor das EuGH-Urteil in C-70/25 Erstattung vorliegt — denn ein solches Angebot könnte weitergehende Ansprüche ausschließen.

Anna Orlowa, LL.M., Rechtsanwältin und Fachanwältin für Bank- und Kapitalmarktrecht, zertifizierte Spezialistin für Kryptowerte und Steuern