Nicht autorisierte Zahlung: Was „unverzügliche Erstattung“ bedeutet
In der Praxis von Unternehmen, Selbstständigen und Finanzabteilungen gehört es mittlerweile zum Alltag, dass Zahlungsverkehr nicht nur über klassische Überweisungen, sondern auch über Onlinebanking, Apps und Plattformen abgewickelt wird. Damit steigt zugleich das Risiko, dass Dritte durch Phishing oder ähnliche Betrugsmethoden Zugangsdaten abgreifen und Zahlungen auslösen, die der Kontoinhaber nie veranlasst hat. Rechtlich ist dabei zentral, ob ein Zahlungsvorgang „autorisiert“ ist. Autorisiert heißt, dass der Zahler dem Zahlungsvorgang zugestimmt hat, etwa durch Freigabe im Onlinebanking. Fehlt diese Zustimmung, handelt es sich um einen nicht autorisierten Zahlungsvorgang, der grundsätzlich dem Risikobereich des Zahlungsdienstleisters zugeordnet ist.
Für die betroffene Kundschaft ist die Frage entscheidend, wie schnell die Bank den abgebuchten Betrag zurückzahlen muss. „Unverzüglich“ bedeutet im juristischen Sinne ohne schuldhaftes Zögern, also nicht erst nach längeren Prüfungen oder internen Klärungen. Genau an dieser Stelle setzt die aktuelle unionsrechtliche Einordnung an: Nach den Schlussanträgen des Generalanwalts beim Gerichtshof der Europäischen Union in der Rechtssache C-70/25 vom 05.03.2026 soll die Bank den Betrag eines nicht autorisierten Zahlungsvorgangs zunächst unverzüglich erstatten müssen. Eine Verweigerung der sofortigen Erstattung allein mit der Begründung, der Kunde habe grob fahrlässig gehandelt, soll gerade nicht zulässig sein.
Praktisch relevant ist das für alle Kontoinhaber, also auch für Onlinehändler, Handwerksbetriebe oder Pflegeeinrichtungen, die häufig mit knappen Liquiditätsreserven arbeiten. Ein unberechtigter Abfluss kann den Einkauf, die Lohnzahlung oder die Begleichung von Lieferantenrechnungen unmittelbar gefährden. Die unionsrechtliche Logik zielt deshalb auf eine schnelle Risikoverlagerung zur Bank, damit der Zahlungsdienstnutzer nicht erst langwierig um Liquidität kämpfen muss.
Grobe Fahrlässigkeit: Warum sie die Soforterstatttung nicht blockiert
„Grobe Fahrlässigkeit“ ist ein besonders schwerer Sorgfaltsverstoß. Gemeint ist nicht ein kleiner Fehler, sondern ein Verhalten, bei dem naheliegende Sicherheitsanforderungen in ungewöhnlich hohem Maße missachtet werden. Im Kontext des Onlinebankings kann das zum Beispiel die Preisgabe von Zugangsdaten auf einer täuschend echten Seite sein, wenn Warnhinweise ignoriert oder elementare Sicherheitsregeln außer Acht gelassen werden. Im zugrunde liegenden Sachverhalt wurde eine Kundin durch einen Phishing-Link auf eine nachgebildete Bankoberfläche gelockt und gab dort ihre Zugangsdaten ein; anschließend führte der Betrüger eine nicht autorisierte Zahlung aus. Die Bank verweigerte die Erstattung mit dem Argument grober Fahrlässigkeit.
Der unionsrechtliche Ansatz trennt jedoch zwei Ebenen, die in der Praxis häufig vermischt werden: Erstens die Pflicht der Bank zur unverzüglichen Erstattung gegenüber dem Kunden, wenn ein Zahlungsvorgang nicht autorisiert war. Zweitens die Frage, ob der Kunde wegen eines vorsätzlichen oder grob fahrlässigen Pflichtverstoßes den entstandenen Schaden letztlich zu tragen hat. Nach der vom Generalanwalt vertretenen Auffassung darf die Bank diese zweite Frage nicht vor die erste ziehen. Die Erstattung ist danach der erste Schritt, die Klärung von Verantwortlichkeit und eine mögliche Schadensverlagerung der zweite Schritt.
Besonders wichtig ist dabei der Blick auf die Pflichten des Zahlungsdienstnutzers im Umgang mit „personalisierten Sicherheitsmerkmalen“. Darunter fallen individuelle Sicherheitsdaten, die eine Person zur Authentifizierung nutzen kann, etwa Passwörter, PIN, TAN-Verfahren oder sonstige Freigabemerkmale. Wer solche Merkmale ungeschützt weitergibt oder unzureichend sichert, kann haftungsrechtlich angreifbar werden. Dennoch soll nach dem hier dargestellten unionsrechtlichen Verständnis die Bank zunächst leisten und kann erst anschließend, bei entsprechendem Nachweis, den Kunden in Anspruch nehmen.
Für Unternehmen verändert das den Umgang mit Banken im Schadensfall spürbar. Die Kommunikation sollte sich nicht in der moralischen Debatte verfangen, ob jemand unaufmerksam war. Entscheidend ist, dass zügig und nachvollziehbar gemeldet wird, dass keine Autorisierung vorlag, und dass die Bank ihre gesetzlich geprägte Rolle als Zahlungsdienstleister erfüllt. Das entlastet insbesondere kleine Betriebe, bei denen wenige Personen Zahlungsfreigaben vornehmen und Fehler oft existenzielle Auswirkungen haben.
Rückforderung nach Erstattung: Beweislast und Vorgehen der Bank
Die Schlussanträge machen deutlich, dass die Erstattung nicht zwingend endgültig ist. Die Bank soll nach unverzüglicher Rückzahlung verlangen können, dass der Kunde den Schaden trägt, wenn sie nachweist, dass dieser vorsätzlich oder grob fahrlässig gegen seine Pflichten verstoßen hat. „Vorsatz“ bedeutet dabei, dass der Pflichtverstoß wissentlich und willentlich begangen wurde. Die Beweislast ist praktisch der Kern: Die Bank muss darlegen und beweisen, dass der Kunde die relevanten Pflichten in besonders schwerer Weise verletzt hat. Ohne diesen Nachweis bleibt es bei der endgültigen Risikotragung der Bank.
Kommt es zum Streit, verschiebt sich der Konflikt nach diesem Modell in ein separates Rückforderungsverfahren. Weigert sich der Kunde, nach der Erstattung den Betrag wieder herauszugeben, muss die Bank den Anspruch gerichtlich durchsetzen. Das ist mehr als eine Formalie, denn damit entstehen der Bank Aufwand und Prozessrisiko. Diese Struktur stärkt die Position des Zahlungsdienstnutzers, weil er nicht erst klagen muss, um sein Geld zu bekommen, sondern die Bank aktiv werden muss, wenn sie eine Pflichtverletzung geltend machen will.
Für Unternehmerinnen und Unternehmer, aber auch für Steuerberatende und Finanzverantwortliche, ergibt sich daraus ein klarer Handlungsrahmen: Nach einem Vorfall sollte der zeitliche Ablauf sauber dokumentiert werden, insbesondere der Zeitpunkt der Entdeckung und die Meldung an die Bank. Die unionsrechtliche Einordnung weist zudem auf eine Meldefrist hin, innerhalb derer ein nicht autorisierter Vorgang spätestens angezeigt werden muss; wird diese versäumt, kann der Anspruch auf unverzügliche Erstattung entfallen. Aus Vorsorgegesichtspunkten empfiehlt sich daher, Kontoauszüge und Zahlungsverkehr engmaschig zu kontrollieren, was in digitalisierten Buchhaltungsprozessen mit automatisierten Bankumsatzabrufen deutlich leichter umzusetzen ist.
Für Branchen mit hohem Transaktionsvolumen wie Onlinehandel oder für Einrichtungen mit vielen laufenden Zahlungen wie Pflegeheime und Krankenhäuser ist das Zusammenspiel von Zahlungsfreigaben, internen Kontrollen und schneller Meldung besonders kritisch. Je besser Rollen, Zugriffsrechte und Freigabeprozesse definiert sind, desto leichter lässt sich im Ernstfall belegen, dass keine Autorisierung vorlag und dass angemessene Sicherheitsstandards eingehalten wurden.
Praxisfolgen für Unternehmen: Prävention, Meldeprozess, Liquiditätssicherung
Auch wenn die Schlussanträge eine starke Tendenz zugunsten einer schnellen Erstattung erkennen lassen, sollten Unternehmen ihre Prävention nicht allein auf die Erwartung stützen, dass die Bank schon zahlen wird. Die Diskussion um grobe Fahrlässigkeit bleibt relevant, weil sie über die endgültige Kostentragung entscheidet. In der betrieblichen Praxis geht es daher um zwei Ziele: den Schaden möglichst zu vermeiden und im Fall eines Vorfalls die rechtliche und faktische Position zu sichern.
Prävention beginnt bei der Organisation des Zahlungsverkehrs. Dazu gehört, dass Zugänge nur denjenigen Personen zur Verfügung stehen, die sie wirklich benötigen, und dass Freigaben nicht über improvisierte Kanäle erfolgen. Ebenso wichtig sind klare Regeln, wie mit eingehenden Links, Zahlungsaufforderungen und vermeintlichen Käufer- oder Lieferantenkontakten umzugehen ist. Phishing-Angriffe nutzen häufig Stresssituationen und Zeitdruck. Wer Abläufe so gestaltet, dass kritische Aktionen wie das Eingeben von Bankzugangsdaten oder das Ändern von Empfängerdaten nicht nebenbei passieren, reduziert das Risiko deutlich.
Im Ernstfall ist Geschwindigkeit ein Vermögenswert. Sobald ein nicht autorisierter Abfluss auffällt, sollte die Bank unverzüglich informiert werden. Parallel sollte intern festgehalten werden, welche Systeme genutzt wurden, welche Kommunikation stattfand und welche Sicherheitsmerkmale betroffen sein könnten. Diese Dokumentation hilft nicht nur bei der Zusammenarbeit mit der Bank, sondern auch bei der Bewertung, ob ein Vorwurf grober Fahrlässigkeit überhaupt tragfähig wäre. Gerade kleine und mittelständische Unternehmen profitieren dabei von einem digitalen Rechnungs- und Buchhaltungsworkflow, der Bankbewegungen zeitnah sichtbar macht und Verantwortlichkeiten eindeutig abbildet.
Für die Liquiditätssicherung ist der dargestellte unionsrechtliche Ansatz besonders wichtig: Wenn Banken zur sofortigen Erstattung verpflichtet sind und Fragen der groben Fahrlässigkeit nachgelagert klären müssen, sinkt das Risiko, dass Unternehmen über Wochen oder Monate auf Rückzahlungen warten. Gleichwohl sollten Betriebe für den Fall, dass es später zu einer Rückforderung kommt, prüfen, ob und wie interne Kontrollen und Schulungen dokumentiert sind, um die eigene Sorgfalt nachweisen zu können.
Fazit: Die Schlussanträge in der Rechtssache C-70/25 vom 05.03.2026 setzen einen klaren Akzent: Bei nicht autorisierten Zahlungsvorgängen steht die unverzügliche Erstattung durch die Bank am Anfang, während ein möglicher Einwand grober Fahrlässigkeit in ein nachgelagertes Rückforderungsverfahren gehört. Wer Zahlungsprozesse digital sauber organisiert, Bankumsätze zeitnah überwacht und Meldewege klar festlegt, stärkt nicht nur die IT-Sicherheit, sondern auch die rechtliche Position im Streitfall. Wenn Sie Ihre Buchhaltungs- und Zahlungsprozesse im Mittelstand digitalisieren und gleichzeitig effizienter sowie kostensparender gestalten wollen, unterstützen wir Sie als Kanzlei mit Fokus auf Prozessoptimierung in der Buchhaltung und praxistauglicher Digitalisierung.
Gerichtsentscheidung lesen
