Geschäftskonto per Phishing geleert: Was das EuGH-Urteil Unternehmen bringt

Nach dem EuGH-Urteil vom 15.10.2026 (C-70/25) sind nicht autorisierte Abbuchungen sofort zu erstatten; über Fahrlässigkeit wird erst danach gestritten. Diese Erstattungspflicht kann eine Bank auch Geschäftskunden vertraglich nicht nehmen. Bei Haftung, Beweislast und Fristen dagegen schon.

Für Unternehmen geht es bei einem Angriff auf das Online-Banking selten um ein paar hundert Euro. Ein übernommener Zugang zum Firmenkonto, eine Serie von Echtzeitüberweisungen am Freitagabend, und am Montag fehlt die Liquidität für Löhne und Lieferanten. Viele Banken verweisen Geschäftskunden dann auf ihre Sonderbedingungen und lehnen ab. Das Urteil aus Luxemburg stärkt die Position der Unternehmen, reicht aber nicht so weit, wie manche Schlagzeile vermuten lässt. Wir ordnen fünf verbreitete Irrtümer ein.

Irrtum 1: „Das Urteil schützt nur Verbraucher“

Der Ausgangsfall betraf eine Privatkundin aus Polen. Der Gerichtshof legt aber die Zahlungsdiensterichtlinie aus, und diese unterscheidet bei der Erstattung nicht zwischen Verbrauchern und Unternehmen. Hierzulande setzt § 675u BGB diese Vorgabe um. Nach § 675e Abs. 4 BGB dürfen Bank und Geschäftskunde zwar von einer ganzen Reihe von Vorschriften abweichen. § 675u BGB zählt nicht dazu. Die Pflicht, eine nicht autorisierte Belastung rückgängig zu machen, trifft die Bank deshalb ebenso gegenüber der GmbH, dem Einzelkaufmann, der Praxis oder dem Verein.

Irrtum 2: „Bei grober Fahrlässigkeit gibt es nichts zurück“

Genau diese Praxis hat der EuGH verworfen, jedenfalls für den ersten Schritt. Die Bank bringt das Konto spätestens bis zum Ende des folgenden Geschäftstags wieder auf den Stand vor der Abbuchung. Hält sie dem Unternehmen grobe Fahrlässigkeit vor, kann sie das erst danach geltend machen, und sie trägt dafür die Beweislast. Für Unternehmen ist diese Reihenfolge oft wichtiger als für Privatleute: Die Gutschrift sichert die Zahlungsfähigkeit, während der Streit über die Verantwortung läuft. Ein Betrieb, der seine Löhne pünktlich zahlen kann, verhandelt anders als einer, dem das Wasser bis zum Hals steht.

Irrtum 3: „Die Geschäftskunden-AGB spielen keine Rolle“

Hier liegt der eigentliche Unterschied zum Privatkonto. § 675e Abs. 4 BGB erlaubt es, gegenüber Nichtverbrauchern die Vorschriften von § 675v bis § 676 BGB vertraglich abzubedingen, vollständig oder in Teilen. Dazu gehören die Haftungsgrenzen des Zahlers und die Regeln darüber, wer eine Authentifizierung nachweisen kann und welche Schlüsse daraus folgen. Banken nutzen diesen Spielraum in ihren Bedingungen für das Firmenkunden-Banking unterschiedlich weit.

Die Folge für die Praxis: Die Erstattung bleibt geschuldet. Für den späteren Rückgriff der Bank können aber strengere Maßstäbe gelten als bei einer Privatperson, und die Beweisverteilung kann ungünstiger ausfallen. Legen Sie deshalb die Sonderbedingungen Ihres Online-Bankings bereit, bevor Sie mit der Bank korrespondieren. Erst aus ihnen ergibt sich, wie groß das Risiko auf der zweiten Stufe ist.

Irrtum 4: „Für die Reklamation bleiben 13 Monate“

Für Verbraucher schließt § 676b Abs. 2 BGB Ansprüche aus, sobald nach der Belastung mehr als 13 Monate ohne Meldung an die Bank vergangen sind. Gegenüber Unternehmen erlaubt § 675e Abs. 4 BGB abweichende Fristen. Sehen Sie in Ihrem Vertrag nach, ob dort eine kürzere Frist vereinbart ist. Unabhängig davon verlangt § 676b Abs. 1 BGB eine unverzügliche Unterrichtung, sobald ein nicht autorisierter Vorgang festgestellt ist. Wer Auffälligkeiten erst beim Monatsabschluss in der Buchhaltung entdeckt und dann noch intern abstimmt, verschenkt Zeit, die später fehlt.

Irrtum 5: „Hat ein Mitarbeiter überwiesen, ist alles verloren“

Hier entscheidet der genaue Ablauf. Hat eine Buchhalterin auf eine gefälschte Anweisung der Geschäftsführung hin selbst eine Überweisung erfasst und freigegeben, liegt meist eine autorisierte Zahlung vor. Der Erstattungsanspruch aus § 675u BGB scheidet dann aus. Hat ein Angreifer dagegen den Zugang übernommen und Zahlungen selbst ausgelöst, fehlt die Autorisierung, und das Urteil greift.

Dazwischen liegen die schwierigen Fälle. Ein Mitarbeiter bestätigt am Telefon eine Push-Nachricht, weil ein angeblicher Bankberater ihm eine Sicherheitsprüfung erklärt. Ob er die konkrete Zahlung freigeben wollte, ist dann die Kernfrage, und die Antwort liegt in den Details: was die App anzeigte, was gesagt wurde, welche Berechtigungen der Mitarbeiter hatte. Auch bei autorisierten Zahlungen sind Ansprüche nicht ausgeschlossen. Bei ungewöhnlichen Beträgen, neuen Empfängern im Ausland oder einer auffälligen Häufung von Aufträgen kommen Warnpflichten der Bank in Betracht.

Wenn die Bank einen Betrug aus dem eigenen Haus vermutet

Die einzige Ausnahme von der sofortigen Erstattung ist ein begründeter Verdacht, dass der Zahler selbst betrügerisch handelt. Der Gerichtshof verlangt dafür, dass die Bank diesen Verdacht schriftlich der zuständigen nationalen Behörde mitteilt. Gegenüber Unternehmen liegt dieser Einwand näher als gegenüber Privatleuten, etwa wenn die Bank eine Beteiligung aus dem Kreis der Mitarbeiter vermutet. Lassen Sie sich in diesem Fall schriftlich bestätigen, ob die Bank die Behörde tatsächlich informiert hat und an welchem Tag. Ohne diese Mitteilung fehlt der Bank die Grundlage, die Gutschrift aufzuschieben.

Was Geschäftsleitung und Buchhaltung jetzt tun

1. Fordern Sie die Erstattung schriftlich an, mit Hinweis auf die Rechtssache C-70/25 und auf § 675u BGB, und setzen Sie eine Frist bis zum Ende des nächsten Geschäftstags.
2. Ordnen Sie jede Belastung einzeln zu: Wer hat sie erfasst, wer hat sie freigegeben, von welchem Gerät und zu welcher Uhrzeit.
3. Sichern Sie Login-Historie, Freigabeprotokolle, E-Mails und Anruflisten, bevor Systeme bereinigt oder Geräte neu aufgesetzt werden.
4. Holen Sie die Sonderbedingungen für das Online-Banking und die vereinbarten Anzeigefristen heraus.
5. Prüfen Sie abgelehnte Fälle aus den vergangenen Jahren erneut. Erstattungsansprüche verjähren regelmäßig drei Jahre nach dem Ende des Entstehungsjahres; für Belastungen aus 2023 endet die Frist meist am 31.12.2026.

Gerade bei mehreren Zahlungen mit unterschiedlichem Ablauf entscheidet die saubere Trennung darüber, welcher Teil des Schadens sofort zurückkommt und welcher erst erstritten werden kann. Einen Überblick über unsere Beratung gibt die Seite Bank- und Kapitalmarktrecht. Für eine erste Einordnung Ihres Falls nutzen Sie den Bankrecht-Check.

Schildern Sie uns Ihren Fall.

kontakt@rexus-recht.de