Phishing-Schaden: Warum Banken laut EuGH zuerst zahlen müssen
Was der EuGH entschieden hat
Die Meldung, auf die wir uns hier beziehen, stammt von heise online. Die Kernaussage ist schnell erzählt: In einem Fall von Phishing-Betrug hat der EuGH festgestellt, dass Banken den entstandenen Schaden grundsätzlich zunächst ersetzen müssen. Von diesem Grundsatz gibt es genau eine Ausnahme.
Wichtig ist die Reihenfolge, die in dieser Aussage steckt. Es geht nicht darum, dass am Ende immer die Bank den Schaden trägt. Es geht darum, wer zuerst zahlt. Das klingt nach Haarspalterei, ist aber im Alltag ein gewaltiger Unterschied. Wer nach einem Betrug sein Geld erst einmal zurückbekommt, kann weiter bezahlen, Lieferanten bedienen und Löhne überweisen. Wer jahrelang mit der Bank darüber streiten muss, ob er selbst schuld war, verliert unter Umständen seine Handlungsfähigkeit, lange bevor ein Gericht entscheidet.
Welche Ausnahme der EuGH im Detail gelten lässt und wie der zugrunde liegende Fall genau gelagert war, sollten Sie in der Originalmeldung und im Urteil selbst nachlesen. Ich möchte hier nichts hineininterpretieren, was dort nicht steht. Für die Einordnung reicht uns die Linie: Erst erstatten, dann klären, und nur in einem eng umrissenen Fall darf die Bank sich dem entziehen.
Warum ein Bankenurteil auch Shop-Betreiber angeht
Man könnte meinen, das Thema betreffe nur Privatleute und ihre Hausbank. Das greift zu kurz, und zwar aus mindestens drei Gründen.
Erstens sind Sie selbst Bankkunde. Ihr Geschäftskonto, Ihr Zahlungsdienstleister-Konto und die Zugänge zu Ihrem Online-Banking sind genau die Ziele, auf die professionelle Betrüger zielen. Gerade kleine und mittlere Unternehmen haben oft weniger Schutzmaßnahmen als Konzerne, aber durchaus Summen auf dem Konto, die sich lohnen. Eine klare Erstattungslinie der Bank ist für Sie im Ernstfall Gold wert, auch wenn Sie sich nicht darauf verlassen sollten.
Zweitens sind Ihre Kunden Bankkunden. Wenn sich herumspricht, dass Phishing-Opfer ihr Geld in der Regel zunächst zurückbekommen, ändert sich das Verhalten. Mehr Kunden werden bei einer unberechtigten Abbuchung nicht lange zögern, sondern sofort ihre Bank einschalten. Das hat Folgen für Ihr Zahlungsmanagement, die ich weiter unten genauer beschreibe.
Drittens sind Sie als Absender potenziell selbst ein Teil der Betrugskette. Betrüger nutzen gerne bekannte Marken, um ihre Fälschungen glaubwürdig zu machen. Wenn Ihre Domain, Ihr Logo oder Ihr Mailstil missbraucht werden, leidet Ihr Ruf, auch wenn Sie selbst nie gehackt wurden. Mehr dazu im Abschnitt zur Kundenkommunikation.
Phishing 2026: Die Angriffe sehen längst nicht mehr dilettantisch aus
Das Bild vom Betrüger, der in schlechtem Deutsch eine Mail mit Rechtschreibfehlern verschickt, ist überholt. Sauber formulierte Nachrichten, korrekte Logos, täuschend echte Anmeldeseiten und passend gewählte Anlässe sind heute Standard. Dazu kommen Nachrichten per SMS, Messenger oder sogar Anruf, die gezielt Dringlichkeit erzeugen: Das Konto sei gesperrt, eine Zahlung müsse bestätigt werden, ein Paket könne nicht zugestellt werden.
Was all diesen Angriffen gemeinsam ist, ist das Prinzip. Es geht nicht darum, Technik zu knacken, sondern einen Menschen dazu zu bringen, selbst Zugangsdaten einzugeben oder eine Freigabe zu erteilen. Deshalb ist die Frage nach der Verantwortung so heikel: Formal hat das Opfer ja selbst gehandelt. Genau an dieser Stelle setzt die Klarstellung des EuGH an. Sie verschiebt die erste Last weg vom Opfer hin zum Institut, das den technischen Rahmen für Zahlungen bereitstellt und besser in der Lage ist, Betrug zu erkennen und abzufangen.
Für Unternehmen kommt eine zweite Spielart hinzu, die in der Praxis besonders teuer wird: gefälschte Rechnungen und angebliche Änderungen von Kontoverbindungen. Eine Mail, die scheinbar vom langjährigen Lieferanten stammt, bittet darum, künftig auf ein neues Konto zu überweisen. Wer das nicht gegenprüft, überweist an den Falschen. Ob und wie weit das Urteil in solchen Konstellationen trägt, lässt sich aus der Meldung nicht ableiten. Das sollten Sie nicht auf eigene Faust annehmen, sondern im Zweifel rechtlich prüfen lassen.
Was „erst einmal erstatten“ praktisch bedeutet
Stellen Sie sich einen typischen Ablauf vor. Eine Mitarbeiterin der Buchhaltung klickt auf einen Link in einer Nachricht, die angeblich von der Bank stammt, und gibt auf einer täuschend echten Seite ihre Zugangsdaten ein. Wenige Minuten später sind mehrere Zahlungen veranlasst. Bisher war die erste Reaktion mancher Institute: Sie haben die Daten selbst weitergegeben, das ist Ihr Problem.
Nach der Klarstellung des EuGH gilt der Grundsatz: Die Bank erstattet zuerst. Ob am Ende eine Ausnahme greift, muss geprüft werden, aber nicht zulasten des Kontos in der Zwischenzeit. Für Betroffene bedeutet das mehr Liquidität im Schadensfall und eine deutlich bessere Verhandlungsposition.
Was das Urteil nicht bedeutet: Es ist kein Freibrief. Es entbindet niemanden von der Pflicht, sorgfältig zu sein. Die Ausnahme existiert, und sie ist der Grund, weshalb Sorgfalt weiterhin eine Rolle spielt. Wer Zugangsdaten leichtfertig herausgibt, riskiert, im Streitfall auf der falschen Seite zu stehen. Eine Erstattung ist also kein Ersatz für Prävention, sondern ein Sicherheitsnetz, das nicht in jedem Fall hält.
Folgen für Zahlungsabläufe im Online-Shop
Jetzt zu dem, was Sie als Shop-Betreiber direkt betrifft. Wenn Kunden in Betrugsfällen ihr Geld schneller und selbstverständlicher von der Bank zurückbekommen, spüren Sie das an einer Stelle: bei Rückbuchungen.
Eine Rückbuchung entsteht, wenn ein Kunde oder dessen Bank eine Zahlung zurückholt. Das kann berechtigt sein, etwa wenn die Karte oder das Konto tatsächlich missbraucht wurde. Es kann aber auch dazu führen, dass Sie eine Ware bereits ausgeliefert haben und das Geld nicht mehr sehen. Ein Urteil, das Betroffene in ihrer Rolle stärkt, macht es wahrscheinlicher, dass solche Fälle konsequent verfolgt werden. Ich würde daher damit rechnen, dass Rückbuchungen in Ihrem Alltag nicht seltener werden.
Was Sie daraus ableiten können, ohne in Panik zu verfallen:
- Zahlungsdienstleister prüfen. Schauen Sie nach, wie Ihr Anbieter mit Rückbuchungen umgeht, welche Fristen gelten, welche Nachweise er verlangt und welche Gebühren anfallen. Wer das erst im Ernstfall liest, hat meist zu wenig Zeit.
- Nachweise sichern. Bestellbestätigungen, Versandnachweise, Zustellbelege und Kommunikation mit dem Kunden gehören sauber abgelegt und auffindbar gemacht. Bei einer Rückbuchung entscheiden oft Belege darüber, ob Sie Ihr Geld behalten.
- Betrugssignale nutzen. Viele Zahlungsanbieter und Shopsysteme bieten Prüfungen an, etwa auffällige Bestellmuster, abweichende Liefer- und Rechnungsadressen oder ungewöhnlich hohe Erstbestellungen. Aktivieren Sie, was sinnvoll ist, und stellen Sie es so ein, dass ehrliche Kunden nicht ausgesperrt werden.
- Risikoreiche Ware gesondert betrachten. Bei hochpreisigen oder leicht weiterverkäuflichen Artikeln lohnt sich eine zusätzliche Prüfung vor dem Versand.
Gleichzeitig gilt: Übertreiben Sie nicht. Wenn Sie aus Angst vor Betrug jede Bestellung aufwendig prüfen, verlieren Sie Kunden. Es geht um ein ausgewogenes Maß, das zu Ihrer Branche, Ihrem Warenkorbwert und Ihrer Risikolage passt.
Kundenkommunikation: Vertrauen ist Ihr bester Schutz
Der unterschätzte Teil der Phishing-Abwehr ist, wie Sie selbst mit Ihren Kunden schreiben. Betrüger imitieren, was sie kennen. Je einheitlicher und vorhersehbarer Ihre Kommunikation ist, desto leichter fällt Ihren Kunden die Unterscheidung zwischen echt und gefälscht.
Das beginnt bei einfachen Dingen. Legen Sie fest, welche Absenderadresse Sie für welche Zwecke nutzen, und bleiben Sie dabei. Schreiben Sie in Bestellmails nie, dass Kunden ihr Passwort oder ihre Zahlungsdaten per Link „bestätigen“ sollen. Fordern Sie niemals per Mail dazu auf, Zugangsdaten einzugeben. Wenn eine Zahlung fehlschlägt, schicken Sie keinen Direktlink zu einer Bezahlseite, sondern verweisen Sie auf den Login im Kundenkonto. Je mehr Ihre echten Nachrichten wie Betrug aussehen, desto schwerer fällt es Kunden, den echten Betrug zu erkennen.
Genauso wichtig ist ein klarer Informationsweg für den Verdachtsfall. Wohin soll sich ein Kunde wenden, der eine seltsame Nachricht in Ihrem Namen erhalten hat? Eine gut sichtbare Kontaktmöglichkeit auf Ihrer Website, eine kurze Seite mit Hinweisen zu typischen Fälschungen und ein freundlicher Ton senken die Hemmschwelle zu melden. Wer sich nicht schämen muss, meldet früher. Und früh gemeldete Fälschungen lassen sich schneller bekämpfen.
Denken Sie auch an die Zeit nach einem Vorfall. Wenn Kunden Opfer von Phishing werden, das Ihre Marke missbraucht, erwarten sie von Ihnen kein Schuldeingeständnis, wohl aber Klarheit: Was ist passiert, was haben Sie unternommen, was sollen Kunden jetzt tun? Eine kurze, ehrliche Information auf der Website und per Mail ist besser als Schweigen. Diese Kommunikation sollten Sie nicht erst im Ernstfall entwerfen, sondern als Vorlage bereithalten.
Eigene Phishing-Prävention: die technische Seite
Das Urteil beruhigt für den Schadensfall, es verhindert aber keinen einzigen Angriff. Die Prävention bleibt Ihre Aufgabe. Und sie ist weniger kompliziert, als es oft klingt, wenn man sie in Schichten denkt.
Mail-Absender absichern. Wenn Ihre Domain keinen Schutz davor hat, als Absender gefälscht zu werden, können Betrüger in Ihrem Namen Mails verschicken, die technisch kaum von echten zu unterscheiden sind. Die gängigen Verfahren zur Absenderprüfung gehören sauber konfiguriert. Das ist kein Hexenwerk, wird aber erstaunlich oft vergessen oder nur halb umgesetzt.
Zugänge mit zweitem Faktor schützen. Für Online-Banking, Zahlungsdienstleister, Shop-Backend, E-Mail-Postfächer und Hosting-Zugänge sollte eine zusätzliche Bestätigung Pflicht sein. Wo es möglich ist, sind Verfahren vorzuziehen, die sich nicht einfach per gefälschter Seite abgreifen lassen. Passwortmanager helfen zusätzlich, weil sie Zugangsdaten nur auf der echten Domain automatisch eintragen und bei einer Fälschung stumm bleiben.
Backend und Website härten. Ein gehackter Shop kann selbst zum Phishing-Werkzeug werden, etwa wenn Angreifer Zahlungsformulare manipulieren oder Weiterleitungen einbauen. Halten Sie Shopsystem, Plugins und Server aktuell, entfernen Sie nicht benötigte Erweiterungen und beschränken Sie Administratorzugänge auf diejenigen, die sie wirklich brauchen. Ein regelmäßiger Website-Audit zeigt, wo Ihre Seite angreifbar ist, bevor es ein anderer herausfindet.
Backups und Wiederherstellung. Ein Backup, das Sie nie getestet haben, ist eine Hoffnung, kein Schutz. Prüfen Sie, ob Sie Ihren Shop im Ernstfall tatsächlich in vertretbarer Zeit wiederherstellen können.
Gesamtbild beachten. Wenn Sie das Thema grundsätzlicher angehen wollen, finden Sie bei uns eine Übersicht zur IT-Sicherheit für kleine und mittlere Unternehmen. Dort sehen Sie, wie sich einzelne Maßnahmen zu einem stimmigen Konzept zusammenfügen.
Eigene Phishing-Prävention: Menschen und Abläufe
Die beste Technik nützt wenig, wenn ein Mitarbeiter unter Zeitdruck auf einen Link klickt. Deshalb zählen Abläufe mindestens so viel wie Software.
Ein bewährter Grundsatz lautet: kritische Vorgänge nie über denselben Kanal bestätigen, über den sie angestoßen wurden. Kommt eine Bitte um eine geänderte Bankverbindung per Mail, rufen Sie unter der bekannten Nummer zurück, nicht unter der in der Mail genannten. Das kostet zwei Minuten und stoppt einen großen Teil der Betrugsversuche.
Ebenso sinnvoll ist das Vier-Augen-Prinzip bei Zahlungen ab einer bestimmten Höhe. Es muss nicht kompliziert sein: Eine Person erfasst, eine zweite gibt frei. Viele Banking-Zugänge unterstützen das direkt. Legen Sie fest, ab welchem Betrag es gilt, und halten Sie sich daran, auch wenn der Chef mal drängelt. Gerade solche Situationen nutzen Betrüger aus, indem sie Dringlichkeit und Autorität vortäuschen.
Schulungen helfen, wenn sie kurz, konkret und regelmäßig sind. Eine Stunde im Jahr mit allgemeinen Folien bringt wenig. Besser sind kleine, praxisnahe Einheiten mit echten Beispielen aus Ihrem Alltag, etwa mit gefälschten Paketbenachrichtigungen oder angeblichen Rechnungen. Wichtig ist eine Kultur, in der niemand Angst haben muss, einen Fehler zu melden. Wer sich nach einem Klick verdächtig fühlt und das sofort sagt, ermöglicht es Ihnen, noch rechtzeitig Passwörter zu ändern und Zugänge zu sperren.
Für Unternehmen im Verantwortungsbereich der neuen Sicherheitsvorgaben ist das ohnehin keine freiwillige Übung. Wie weit Ihr Betrieb von den Anforderungen betroffen sein kann, erklären wir auf unserer Seite zu NIS2 und IT-Sicherheit für KMU.
Wenn es doch passiert ist: ein einfacher Notfallplan
Auch bei guter Vorbereitung kann ein Angriff gelingen. Dann zählt jede Stunde. Legen Sie sich deshalb vorab einen kurzen Plan zurecht und hängen Sie ihn dort auf, wo ihn alle sehen.
1. Sofort die Bank kontaktieren. Sperren Sie Zugänge und Karten, melden Sie die unberechtigten Zahlungen und fragen Sie nach der Möglichkeit, Überweisungen zurückzuholen. Dokumentieren Sie Zeitpunkt und Gesprächspartner.
2. Passwörter ändern. Zuerst den betroffenen Zugang, dann alle, die ähnlich oder identisch waren. Aktive Sitzungen beenden und zweiten Faktor neu einrichten.
3. Beweise sichern. Mails mit vollständigem Header, Screenshots der gefälschten Seite, Protokolle und Zeitstempel aufbewahren. Das hilft bei der Bank, bei der Polizei und gegebenenfalls bei Versicherungen.
4. Anzeige erstatten. Eine Anzeige ist häufig Voraussetzung für Erstattungen und Versicherungsleistungen.
5. Kunden informieren, wenn sie betroffen sein könnten. Ehrlich, kurz und mit klaren Handlungsempfehlungen.
6. Ursache klären. Wie kam der Angreifer an die Daten? Welche Lücke wurde genutzt? Ohne diese Analyse wiederholt sich der Vorfall.
Bei technischen Folgen wie manipulierten Systemen oder verschlüsselten Daten hilft Ihnen im Zweifel ein Dienstleister, der Ihre Umgebung kennt. Wer einen festen Ansprechpartner hat, etwa über Managed Hosting, muss in der Krise nicht erst jemanden suchen.
Was das für den Mittelstand bedeutet
Fassen wir die Einordnung zusammen. Das Urteil stärkt Betroffene von Phishing, weil Banken zuerst zahlen müssen und nur in einer Ausnahme nicht. Das ist eine gute Nachricht, aber kein Grund, nachlässiger zu werden. Für Ihren Betrieb ergeben sich daraus konkrete Aufgaben:
- Lesen Sie die Originalmeldung und, falls relevant, das Urteil. Die Ausnahme ist der entscheidende Punkt. Wer sie kennt, weiß, was er im Ernstfall vermeiden oder belegen muss. Bei Unsicherheit lassen Sie sich rechtlich beraten.
- Prüfen Sie Ihr eigenes Banking. Zweiter Faktor, Vier-Augen-Prinzip, klare Limits und eine Liste, wer Zahlungen freigeben darf. Das ist an einem Nachmittag erledigt.
- Sprechen Sie mit Ihrem Zahlungsanbieter. Klären Sie Rückbuchungsprozesse, Fristen, Gebühren und Nachweispflichten, bevor der erste Fall eintritt.
- Sichern Sie Ihre Belege. Bestell-, Versand- und Kommunikationsdaten müssen schnell auffindbar sein.
- Machen Sie Ihre Kundenkommunikation eindeutig. Einheitliche Absender, keine Links zur Dateneingabe in Mails, ein sichtbarer Meldeweg für Verdachtsfälle.
- Schützen Sie Ihre Domain. Absenderprüfung für Mails konfigurieren und regelmäßig kontrollieren.
- Halten Sie Ihre Website sauber. Updates, schlanke Plugin-Landschaft, geprüfte Zugänge, regelmäßiger Check.
- Trainieren Sie Ihr Team in kleinen Dosen. Kurz, konkret, ohne Schuldzuweisung.
- Halten Sie einen Notfallplan bereit. Wer ruft wen an, welche Nummern gelten, wo liegen die Belege?
Wenn Sie in der Region Friesland und Umgebung sitzen und lieber jemanden vor Ort haben, der sich um diese Dinge kümmert, schauen Sie bei unserem IT-Service Friesland vorbei. Für viele Betriebe ist ein verlässlicher Ansprechpartner wichtiger als jede Einzelmaßnahme.
Am Ende bleibt eine einfache Haltung. Das Urteil nimmt einem Teil der Opfer eine große Last ab. Es nimmt Ihnen aber nicht die Verantwortung dafür, Ihr Unternehmen und Ihre Kunden vor dem Schaden zu bewahren. Denn auch eine erstattete Summe ist ein Vorfall, der Zeit, Nerven und Vertrauen kostet.
Häufige Fragen
Heißt das Urteil, dass die Bank bei Phishing immer zahlt?
Nein. Der EuGH hat klargestellt, dass Banken den Schaden grundsätzlich zunächst erstatten müssen, und nennt dazu nur eine Ausnahme. Wann diese Ausnahme greift, sollten Sie im Urteil bzw. in der Berichterstattung nachlesen. Auf eine automatische Erstattung in jedem Fall sollten Sie sich nicht verlassen.
Gilt das auch für Geschäftskonten von Unternehmen?
Die Meldung selbst beschreibt einen Phishing-Fall und macht keine Angaben dazu, wie weit das Urteil für Firmenkonten trägt. Ob und in welchem Umfang es für Ihr Unternehmen gilt, klären Sie am besten mit einer rechtlichen Beratung und mit Ihrer Bank. Unabhängig davon lohnt sich die Vorsorge.
Wird es für Shop-Betreiber mehr Rückbuchungen geben?
Das lässt sich aus dem Urteil nicht sicher ableiten. Es ist aber plausibel, dass Betroffene ihre Rechte konsequenter nutzen, wenn sie wissen, dass ihre Bank zuerst erstatten muss. Bereiten Sie sich deshalb auf Rückbuchungen vor, indem Sie Prozesse und Nachweise klären.
Was kann ich tun, damit meine Marke nicht für Phishing missbraucht wird?
Völlig verhindern lässt sich das nicht. Sie können aber Ihre Mail-Domain gegen Fälschung absichern, Ihre Kundenkommunikation einheitlich halten und Kunden einen klaren Meldeweg anbieten. Zusätzlich hilft ein regelmäßiger Blick darauf, ob Ihr Name im Netz auffällig oft in verdächtigem Zusammenhang auftaucht.
Reicht ein Mitarbeiter-Training gegen Phishing aus?
Ein Training allein reicht nicht, ist aber ein wichtiger Baustein. Dazu gehören technische Absicherung wie zweiter Faktor und Mailschutz sowie klare Abläufe, etwa Rückruf bei Kontoänderungen und Freigabe zu zweit. Erst das Zusammenspiel macht Angriffe deutlich schwerer.
Was ist der erste Schritt, wenn ich auf eine Phishing-Seite hereingefallen bin?
Rufen Sie sofort Ihre Bank an und lassen Sie Zugänge sperren. Ändern Sie danach die betroffenen Passwörter, sichern Sie alle Beweise und erstatten Sie Anzeige. Je schneller Sie reagieren, desto größer sind die Chancen, Schäden zu begrenzen.