Das Geld ist weg, die Bank verweist auf deinen Fehler. Doch bei Phishing in Österreich ist mit dieser Antwort längst nicht alles geklärt. Ein EuGH-Urteil stärkt Betroffene und macht eine Unterscheidung besonders wichtig.
Eine Nachricht zum Onlineverkauf, ein Link, eine Seite im vertrauten Bankdesign: So begann der Fall einer Kundin in Polen. Nachdem sie dort ihre Zugangsdaten eingegeben hatte, überwies ein Täter umgerechnet etwa 700 Euro von ihrem Konto. Die Bank verweigerte die Erstattung und warf ihr grobe Fahrlässigkeit vor.
Warum dieses Urteil auch Österreich betrifft
Der Europäische Gerichtshof entschied am 15. Oktober 2026 in der Rechtssache C-70/25: Bei einer nicht autorisierten Zahlung genügt der Vorwurf grober Fahrlässigkeit nicht, um die unverzügliche Erstattung zu verweigern. Die Auslegung ist auch für vergleichbare Fälle in Österreich maßgeblich.
Die Ausnahme betrifft einen anderen Verdacht: Die Bank muss berechtigte Gründe dafür haben, dass der Kunde selbst betrügt, und diese der zuständigen Behörde schriftlich mitteilen. In Österreich ist das die Finanzmarktaufsicht, kurz FMA.
Allerdings kann die Bank später Ersatz verlangen, wenn sie eine vorsätzliche oder grob fahrlässige Pflichtverletzung und deren Zusammenhang mit dem Verlust nachweist. Die schnelle Erstattung entscheidet somit noch nicht endgültig, wer den Schaden trägt.
Phishing und Bankhaftung: Was hast du tatsächlich freigegeben?
Der erste Prüfpunkt lautet: Hast du der konkreten Zahlung zugestimmt? Das österreichische Zahlungsdienstegesetz unterscheidet diese Zustimmung von der technischen Authentifizierung, etwa durch eine TAN oder eine Banking-App.
Bestreitest du die Autorisierung, muss die Bank unter anderem die Authentifizierung und die ordnungsgemäße Aufzeichnung nachweisen. Der bloße Nachweis, dass dein Zahlungsinstrument verwendet wurde, beweist laut Gesetz nicht zwangsläufig deine Zustimmung oder grobe Fahrlässigkeit.
Drei vereinfachte Beispiele zeigen, warum der genaue Ablauf zählt. Sie sind Erklärmodelle, keine entschiedenen Einzelfälle:
• Du bestätigst die Einrichtung eines Geräts. Später löst ein Täter darüber Zahlungen aus. Die Gerätefreigabe darf nicht automatisch mit der Zustimmung zu allen späteren Überweisungen gleichgesetzt werden.
• Du bestätigst eine konkrete Überweisung. Ein Anrufer hat dich dazu gebracht und behauptet, das Geld müsse in Sicherheit gebracht werden. Ob und welche Ansprüche bestehen, muss anhand des Ablaufs und der angezeigten Daten geprüft werden. Das Urteil ist keine pauschale Rückzahlungsgarantie für solche Fälle.
• Die Bank verweist nur auf eine verwendete TAN. Damit ist die rechtliche Prüfung noch nicht abgeschlossen. Entscheidend bleiben die Zustimmung und die Belege für den behaupteten Ablauf.
Halte deshalb fest, was auf dem Bildschirm stand: Betrag, Empfänger, Freigabetext und Zweck der Bestätigung. Die Formulierung „Ich habe etwas bestätigt“ lässt wesentliche Fragen offen.
Diese drei Fristen solltest du kennen
Bei Phishing laufen unterschiedliche Fristen. Sie betreffen deine Meldung, die Erstattung und die Antwort auf eine Beschwerde:
• Sofort melden: Sobald du eine nicht autorisierte Zahlung bemerkst, musst du die Bank unverzüglich informieren. Zusätzlich gilt grundsätzlich eine äußerste Rügefrist von 13 Monaten nach der Belastung, sofern die vorgeschriebenen Zahlungsinformationen bereitgestellt wurden. Das erlaubt kein Zuwarten nach der Entdeckung.
• Erstattung bis zum folgenden Geschäftstag: Bei einer nicht autorisierten Zahlung muss die Bank grundsätzlich unverzüglich erstatten, spätestens bis Ende des Geschäftstags nach ihrer Kenntnis oder deiner Anzeige. Die gesetzliche Ausnahme bei begründetem Verdacht auf Kundenbetrug bleibt bestehen.
• Beschwerdeantwort binnen 15 Arbeitstagen: Für die Antwort auf eine Beschwerde sieht das Gesetz grundsätzlich 15 Arbeitstage vor. In begründeten Ausnahmefällen mit Zwischenantwort sind höchstens 35 Arbeitstage vorgesehen.
Die längere Antwortfrist ersetzt die kürzere Erstattungsfrist nicht. Eine Bank kann die beiden Fristen nicht einfach gleichsetzen.
Mehr als 4.300 Euro Schaden pro Beschwerdefall
Wie viel für Betroffene auf dem Spiel steht, zeigt der Bericht der Ombudsstelle für Zahlungsprobleme im Sozialministerium vom Mai 2026. Er erfasst 717 schriftliche und elektronische Phishing-Beschwerden aus den Jahren 2023 bis 2025. Der durchschnittliche Schaden pro Beschwerdefall betrug 4.333,38 Euro.
In 542 Fällen intervenierte die Ombudsstelle bei Banken. Bei 363 dieser Interventionsfälle kam eine Einigung zustande, also bei rund 67 Prozent. Darunter waren auch Einigungen nach Einbringung von Klagen. Eine Einigung bedeutet zudem nicht automatisch vollständige Rückzahlung.
Die Zahlen erfassen Beratungsfälle und bilden nicht sämtliche Phishing-Opfer Österreichs ab. Sie zeigen aber, dass eine Ablehnung nicht zwangsläufig das Ende der Auseinandersetzung sein muss.
Was du nach einer verdächtigen Abbuchung tun kannst
Kontaktiere deine Bank unverzüglich über eine selbst herausgesuchte offizielle Telefonnummer. Lass betroffene Zugänge oder Karten sichern. Verwende dafür keine Kontaktdaten aus der verdächtigen Nachricht und befolge keine weiteren Anweisungen des Absenders.
Sichere Kontoauszüge, Nachrichten, Internetadressen und vorhandene Screenshots. Notiere Zeitpunkt, Betrag, Empfänger und den Ablauf in eigenen Worten. Gib keine Passwörter oder TANs an Beratungsstellen weiter. Bei einem entstandenen Schaden solltest du Polizeianzeige erstatten. Eine Nachricht an eine Cybercrime-Meldestelle ersetzt diese Anzeige nicht.
Für eine Zahlung, deren Autorisierung du tatsächlich bestreitest, kannst du deine schriftliche Meldung beispielsweise so beginnen:
„Ich bestreite, die Zahlung vom [Datum] über [Betrag] an [Empfänger] autorisiert zu haben. Festgestellt habe ich den Vorgang am [Datum/Uhrzeit]. Ich ersuche um Kontoberichtigung und Erstattung gemäß § 67 ZaDiG 2018 sowie um Bestätigung des Eingangs. Bei abweichender Beurteilung ersuche ich um die konkreten Gründe und Nachweise.“
Ergänze den tatsächlichen Ablauf und vorhandene Belege. Verwende den Mustertext nur, soweit er zutrifft. Ist unklar, was du freigegeben hast, beschreibe es genau und lass die rechtliche Einordnung prüfen.
Wer bei einer Ablehnung weiterhelfen kann
Die Ombudsstelle des Sozialministeriums nennt für Phishing-Anliegen die Adresse phishing@sozialministerium.gv.at. Sie unterstützt bei der Geltendmachung von Rechten.
Auch die gemeinsame Schlichtungsstelle der österreichischen Kreditwirtschaft nimmt schriftliche Beschwerden entgegen, unter office@bankenschlichtung.at. Das Verfahren ist freiwillig und kostenlos. Die Stelle bietet jedoch keine Rechtsberatung.
Die FMA kann nach dem Beschwerdeverfahren bei der Bank aufsichtsrechtliche Fragen prüfen. Eine individuelle Rückzahlung kann sie nicht für dich durchsetzen.
Wenn die Bank ablehnt, verlange eine nachvollziehbare schriftliche Begründung. Für die weitere Prüfung zählt, welcher Zahlung du zugestimmt hast und worauf die Bank ihre Ablehnung konkret stützt.
