Phishing-Opfer entschädigen? EU-Gutachter stellt sich gegen Banken

Ein Gutachten aus Luxemburg könnte für Millionen Bankkunden in der EU zum Gamechanger werden: Ein hoher EU-Gerichtsberater spricht sich dafür aus, dass Banken Opfer von Phishing-Betrug zunächst sofort entschädigen müssen - selbst dann, wenn die Kundschaft grob unvorsichtig war.

Zur Vorabentscheidung an den EuGH gegeben

Auslöser ist ein Fall aus Polen, den das Bezirksgericht Koszalin dem Europäischen Gerichtshof (EuGH) zur Vorabentscheidung vorgelegt hat. Eine Kundin hatte einen Artikel auf einer Online-Plattform angeboten und erhielt von einem vermeintlichen Käufer einen Link, der sie auf eine täuschend echt nachgebaute Login-Seite ihrer Bank leitete (via Bleeping Computer).

Dort gab sie ihre Zugangsdaten ein, die Betrüger anschließend nutzten, um eine nicht autorisierte Zahlung von ihrem Konto auszulösen. Die Kundin meldete den Vorfall am nächsten Tag bei Bank und Polizei, doch die Täter blieben unbekannt und das Geld war weg. Die Bank verweigerte eine Erstattung mit der Begründung, die Kundin habe sich grob fahrlässig verhalten - und wurde daraufhin verklagt.

Erstmal zurückzahlen

Der EuGH-Generalanwalt stellt nun klar, dass nach seiner Auffassung die EU-Zahlungsdiensterichtlinie PSD2 (Richtlinie 2015/2366) Banken dazu verpflichtet, bei nicht autorisierten Zahlungsvorgängen den abgebuchten Betrag zunächst "unverzüglich" zurückzuzahlen - spätestens bis zum Ende des folgenden Geschäftstags, nachdem der Vorfall bekannt wurde.

Nur wenn das Institut objektiv begründete Anhaltspunkte für einen Betrug durch die Kundin oder den Kunden hat und diese schriftlich an die zuständige nationale Behörde meldet, darf es die Sofort-Erstattung verweigern. Der bloße Hinweis auf Fahrlässigkeit reiche dafür nicht aus.

Ganz aus der Verantwortung werden Bankkunden allerdings nicht genommen. Wenn die Bank nachweisen kann, dass der Kunde vorsätzlich oder grob fahrlässig gegen seine Sicherheits­pflichten verstoßen hat, etwa indem Zugangsdaten sorglos preisgegeben wurden, darf das Geld zurückgefordert werden. Weigert sich der Kunde dann, die Summe zu erstatten, muss die Bank den Streit auf dem Rechtsweg klären und die Ansprüche einklagen.

Wichtig ist: Das Gutachten des Generalanwalts ist noch kein Urteil, sondern eine rechtliche Empfehlung an die EuGH-Richter. Häufig folgen sie dieser Einschätzung, sie sind aber nicht daran gebunden. Die endgültige Entscheidung des Gerichtshofs wird später für alle Gerichte in der EU maßgeblich sein - und könnte das Kräfteverhältnis zwischen Banken und Phishing-Opfern bei Streitfällen nachhaltig verändern.

Gerade vor dem Hintergrund zunehmender Betrugsmaschen rund um Banking-Apps, Bezahldienste und Online-Shopping wäre ein "Refund-first"-Prinzip für viele Verbraucher eine spürbare Stärkung.

Was meint ihr: Ist es fair, dass Banken erst zahlen und sich das Geld dann ggf. von unvorsichtigen Kunden zurückholen - oder befürchtet ihr, dass so die Sorgfalt im Umgang mit Zugangsdaten weiter nachlässt?


Siehe auch: