EuGH C-70/25 GA Rantos: Bankhaftung Phishing – was Geschädigte wissen

Der Schlussantrag von Generalanwalt Rantos vom 8. Mai 2026 in der Rechtssache EuGH C-70/25 stellt die bisherige Bankpraxis bei Phishing-Fällen grundlegend in Frage. Nach der Linie des GA Rantos hat die Bank bei einem nicht autorisierten Zahlungsvorgang zunächst unverzüglich zu erstatten. Erst danach darf sie in einem eigenständigen Verfahren Rückforderungsansprüche geltend machen — und trägt dabei die volle Beweislast. Dieser Paradigmenwechsel betrifft nicht nur polnische Bankkunden, sondern unmittelbar auch die deutsche Rechtspraxis.

Wer nach „EuGH C-70/25 Phishing“, „Bankhaftung erst erstatten dann streiten“ oder „GA Rantos PSD2 Erstattung 2026″ sucht, findet hier eine strukturierte Aufbereitung. Dieser Beitrag richtet sich an Personen, deren Bank die Erstattung nach einem Phishing-Schaden verweigert hat. Deshalb werden Schlussantrag, rechtlicher Rahmen und Handlungsoptionen im Einzelnen erläutert.

Was besagt EuGH C-70/25 im Schlussantrag von GA Rantos?

GA Rantos hat in seinen Schlussanträgen vom 8. Mai 2026 eine verbraucherfreundliche Auslegung von Art. 73 Abs. 1 der Zahlungsdiensterichtlinie PSD2 (Richtlinie 2015/2366/EU) vorgeschlagen. Danach ist die Bank nach einem angezeigten nicht autorisierten Zahlungsvorgang verpflichtet, unverzüglich zu erstatten — spätestens bis zum Ende des nächsten Geschäftstags. Der Fahrlässigkeitseinwand rechtfertigt in dieser ersten Phase jedoch keine Verweigerung.

Der Sachverhalt ist exemplarisch: Die Klägerin Tukowiecka war auf einer Auktionsplattform aktiv, als ein vermeintlicher Käufer ihr einen Link übermittelte, der die Bankoberfläche täuschend nachahmte. Sie gab dort ihre Zugangsdaten ein. Die Betrüger nutzten diese sofort aus. Die Bank verweigerte dennoch die Erstattung mit dem Argument grober Fahrlässigkeit. Das polnische Vorlagegericht wandte sich deshalb an den EuGH nach Art. 267 AEUV.

Welche Erlaubnislücke schließt EuGH C-70/25 für Phishing-Opfer?

Bisher konnten Banken die Erstattung nach Art. 73/74 PSD2 sofort mit dem Verweis auf grobe Fahrlässigkeit des Kunden verweigern. Phishing-Opfer waren dadurch Kläger ohne Geld, während die Bank den abgebuchten Betrag behielt. GA Rantos schlägt nun ein Zwei-Phasen-Modell vor: Erstattung zunächst unverzüglich, Fahrlässigkeitsfrage erst danach in einem eigenständigen Verfahren. Somit verschiebt sich die Beweislast zulasten der Bank.

Für Deutschland bedeutet das: § 675u BGB setzt Art. 73 PSD2 um. Folgt der EuGH dem Schlussantrag — was statistisch in der überwiegenden Zahl der Fälle geschieht —, sind deutsche Gerichte bei PSD2-konformer Auslegung gehalten, das Zwei-Phasen-Modell anzuwenden. Daher stärkt das Verfahren die Position von Phishing-Opfern erheblich, auch wenn das Urteil noch aussteht.

Was stellt der Generalanwalt fest — und was nicht?

GA Rantos stellt fest, dass Art. 73 PSD2 eine sofortige Erstattungspflicht begründet, die nicht von einem Fahrlässigkeitsvorhalt abhängt. Außerdem stellt er fest, dass die Beweislast für grobes Verschulden des Kunden bei der Bank liegt. Was der Schlussantrag dennoch nicht feststellt: eine Haftung der Bank unabhängig von jeglichem Nutzerverschulden. In der zweiten Phase kann die Bank somit weiterhin Rückforderungsansprüche geltend machen.

Zudem ist der Schlussantrag kein Urteil. Der EuGH kann von der Linie des Generalanwalts abweichen — das ist jedoch selten. Selbst wenn das Urteil die Linie des GA Rantos bestätigt, bleibt die Umsetzung in nationales Recht ein eigenständiger Schritt. Trotzdem ist das Verfahren schon jetzt ein prozessuales Argument, das Betroffene in laufenden Bankstreitigkeiten einsetzen können.

Welche forensischen Ansatzpunkte ergeben sich aus EuGH C-70/25?

Für Phishing-Opfer, die ihre Bank auf Erstattung in Anspruch nehmen wollen, empfiehlt sich eine schriftliche Erstattungsaufforderung unter ausdrücklichem Verweis auf § 675u BGB und das laufende Verfahren EuGH C-70/25. Außerdem gehört die vollständige Dokumentation des Phishing-Angriffs — Screenshots, Chatverläufe, E-Mails, Transaktionsbelege — zu den unverzichtbaren Beweismitteln. Zudem ist eine Strafanzeige nach § 263 StGB sinnvoll, weil Ermittlungsergebnisse für das Zivilverfahren verwertbar sind.

Die Beweissicherung sollte unmittelbar nach dem Vorfall erfolgen, da Phishing-Domains regelmäßig binnen Tagen abgeschaltet werden. Zudem lohnt sich die Prüfung, ob SCA-Mängel auf Bankseite vorliegen — ähnlich wie im OLG-Koblenz-Urteil vom April 2026. Einen Überblick über weitere vergleichbare Fälle bietet die Übersicht auf kryptoschaden.de. Erste praktische Hinweise zur Blockchain-Forensik bei Krypto-Betrug finden Sie im Beitrag zur Blockchain-Forensik bei Krypto-Betrug auf anwalt.de.

Was bedeutet EuGH C-70/25 für Personen mit Phishing-Schaden in Deutschland?

Wenn Ihre Bank die Erstattung verweigert, ist das Verfahren EuGH C-70/25 ein starkes prozessuales Argument. Denn es verdeutlicht, dass die Erstattung nach Art. 73 PSD2 und § 675u BGB vor der Fahrlässigkeitsprüfung stehen soll. Jedoch gilt: Ein noch ausstehendes EuGH-Urteil bindet deutsche Gerichte noch nicht. Deshalb empfiehlt sich parallel dazu eine Prüfung auf Grundlage der bereits gefestigten nationalen Rechtsprechung, insbesondere zur Beweislastverteilung nach § 675v Abs. 3 BGB.

Zudem bleibt die Verjährung zu beachten: Der Erstattungsanspruch nach § 675u BGB unterliegt der dreijährigen Frist des § 195 BGB. Zügiges Handeln ist daher wichtig. Ergänzend lohnt sich die Prüfung, ob eine Anfechtung der Autorisierung nach § 119 Abs. 1 BGB infrage kommt — eine Option, die das OLG Bremen (1 U 32/24) in vergleichbaren Fällen anerkannt hat. Nähere Hinweise zur Rückforderung finden Sie im Beitrag zur Rückforderung von Kryptowerten bei unerlaubten Anbietern auf anwalt.de.

Anna Orlowa, LL.M., Rechtsanwältin und Fachanwältin für Bank- und Kapitalmarktrecht, zertifizierte Spezialistin für Kryptowerte und Steuern