The EU’s scam refund covers only fraudsters posing as your bank. No EU statistic measures how much fraud that is
Die EU erstattet Überweisungsbetrug nur, wenn der Täter sich als Bank ausgibt. Wie viel Betrug das ist, misst keine EU-Statistik
The European Union’s new payment rules will oblige a bank to refund a customer who was talked into sending money, but only in one case: when the fraudster pretended to be that customer’s own bank. The European Commission proposed it that way in 2023, the European Parliament widened it in 2024, and the final compromise of 2025 narrowed it back. At no point in that cycle did anyone publish how much fraud the narrow version covers. The EU’s own fraud statistics cannot say, because they do not record whom the fraudster claimed to be. The closest available measure comes from Britain, where impersonation of bank staff and the police together accounted for less than a tenth of losses from this kind of fraud in 2025.
What the rule says, and what it is not yet
The rule sits in the Payment Services Regulation, the directly applicable half of the package that is to replace the Second Payment Services Directive. It is not law yet. The Council of the EU and the Parliament closed their last political negotiating round in Strasbourg on 26 November 2025, according to the Council’s own cover note to member-state ambassadors, document 8220/26 of 17 April 2026. Parliament’s economic and monetary affairs committee approved the agreed text on 5 May 2026. On the Parliament’s legislative observatory, the procedure file for the regulation, 2023/0210(COD), still read “Awaiting Council’s 1st reading position” when this article was researched, with 14 December 2026 shown as an indicative plenary date. Law firms that have read the compromise text, among them Arthur Cox, report that most of the regulation will apply 21 months after it enters into force. That puts the refund right somewhere in 2028 at the earliest.
What it will say is clear enough from the compromise text the Council released in April 2026, document 8221/26. Recital 80a describes the case: a consumer falls victim to fraud in which the fraudsters “pose as the consumer’s payment service provider” and misuse its domain, email address, telephone number, website or app. Such a consumer is entitled to a full refund from the provider, unless the consumer acted fraudulently or with gross negligence. The protection covers both channels the fraudster has hijacked and fake copies of the provider’s website or app. The consumer has to report the incident without undue delay, both to the provider and to the police.
The Parliament’s press release on the deal put it in one sentence: when a scammer poses as bank staff and persuades a customer to approve a payment, the bank must refund the full amount, provided the customer has reported the fraud to the police and notified the bank. The same release described a second, separate mechanism. Online platforms that were alerted to fraudulent content and did not remove it must reimburse the payment service providers that refunded the victims.
The operative article text sits in the part of the Council document that this research could not read in full; the reading here rests on the recitals and on the Parliament’s own summary. Where law firms report details of the article itself, such as a refund deadline in business days, this article does not repeat them.
How the scope moved
The Commission’s proposal of 28 June 2023, COM(2023) 367, began narrow. Its explanatory memorandum described a refund for consumers manipulated by a third party “pretending to be an employee” of the consumer’s provider. The recitals named the method, the misuse of a provider’s name, email address or telephone number, called it spoofing, and attached the same two conditions that survive today: a report to the police and a notification to the provider. Electronic communications companies were asked to cooperate. Any claim a bank might have against them was left to national law.
The Parliament widened it. In its first-reading position of 23 April 2024, according to a September 2024 analysis by the law firm A&O Shearman, the refund applied when the fraudster posed as an employee of the payment service provider, of another private entity, or of a public body. That would have covered the caller pretending to be from the tax office, the police or a delivery company. Telecoms operators would have carried a secondary liability: if they had been told about fraudulent content and failed to remove it, they would have had to reimburse the bank.
The final compromise went back to the Commission’s scope. A January 2026 note by Finologee, a Luxembourg payments technology firm, described the agreement as moving away from impersonation of “any relevant entity”. The Council’s recital 80a confirms the result: the consumer’s own provider, through that provider’s channels. The telecoms liability became a duty to act. Recital 81b asks providers of interpersonal communication services to take technical and organisational measures against manipulated caller identities and email addresses, measures that must not involve general monitoring of communications. In the recitals this research read, no reimbursement duty for telephone companies remains. The platform route survives, as a right of recourse that the Parliament’s release describes and that recital 81c ties to an Article 59a.
Not one of the institutions published an estimate of how much fraud each version would cover. The Commission’s explanatory memorandum, which justifies the impersonation refund at some length, contains no figure on its size.
What the EU’s statistics can and cannot see
The EU does count fraud. Under Article 96(6) of the current directive, payment service providers report fraud data to their supervisors twice a year, following guidelines the European Banking Authority issued in 2018. The European Banking Authority and the European Central Bank publish the aggregate. Their joint report of December 2025 covers the six half-years from the first half of 2022 to the second half of 2024.
For credit transfers the numbers are these. Fraudulent credit transfers in the EU and EEA were worth €2.5 billion in 2024, 24 per cent more than in 2023; the exact total in the report’s annex table is €2,516 million. The share falling into the category the report calls “manipulation of the payer”, in which the customer is tricked into issuing the payment, rose from 65 to 74 per cent by value between 2023 and 2024. On the 2024 total that is about €1.86 billion, a calculation from the report’s figures. Losses on credit transfers were €2.2 billion, and payment service users, not their banks, bore around 85 per cent of them. Only six countries reported a user share below 80 per cent.
The report then stops. It defines manipulation of the payer as a category that “includes impersonation fraud and other frauds supported by phishing/smishing/vishing techniques”. It does not break the category down by the type of scam, and it does not record whom the fraudster pretended to be. The reporting guidelines it rests on were written in 2018, five years before anyone proposed a liability rule that depends on that distinction. The EU therefore knows that roughly €1.9 billion a year of credit-transfer fraud involves deceiving the payer. It does not know what share of that the new refund will reach.
The nearest measurement is British
Britain does record the distinction. UK Finance, the trade association of British banks, publishes authorised push payment fraud — the British term for payments the victim was tricked into authorising — by scam type every year. Its Annual Fraud Report 2026 gives the figures for 2025. Total losses were £576.4 million across 248,070 cases. Investment scams were the largest category at £221.5 million. Purchase scams, where goods paid for never arrive, were the most frequent, with 175,809 cases.
The category that comes closest to the EU’s new refund is “impersonation: police/bank staff”. In 2025 it accounted for £55.5 million and 6,016 cases. That is 9.6 per cent of losses and 2.4 per cent of cases. A second category, “impersonation: other”, which covers fraudsters posing as other organisations, accounted for £36.9 million, or 6.4 per cent of losses.
These figures come from the banks’ own trade body, which has an interest in how fraud is distributed between its members and the platforms and telecoms companies through which most scams start. It does mean that the most detailed public breakdown of this fraud in Europe is compiled by one side of the liability argument, and that nobody with an interest in a different breakdown has the data to produce one.
Three things follow from the British numbers, and none of them appears in the EU’s legislative record. First, the category is the largest per case: the average bank or police impersonation case cost £9,225, against £2,324 across all authorised push payment fraud. Second, the category is shrinking. In 2024 it accounted for £67.9 million, or 14.0 per cent of losses; in 2025 it was down to 9.6 per cent, and the number of cases fell from 7,789 to 6,016. Third, it was already the category in which British banks gave back the most. In 2025, £44.1 million of the £55.5 million was returned to victims, 79 per cent, against 61 per cent across all scam types.
The British category also includes police impersonation, which the EU rule excludes. Bank impersonation alone is therefore smaller than 9.6 per cent of British losses, by an amount UK Finance’s published tables do not show.
What the British share would mean for Europe
Transferring a British proportion to the EU is a stretch, and it is offered here only to show the order of magnitude. If bank-related impersonation made up the same 9.6 per cent of manipulation fraud in the EU as bank and police impersonation does in Britain, it would amount to about €180 million a year on the 2024 figures. The real figure for bank impersonation alone would be lower. Against it stand roughly €1.87 billion of credit-transfer losses that EU payment users carried themselves in 2024.
Under the Parliament’s wider 2024 version, the British equivalent would have been bank, police and other impersonation together: £92.4 million, or 16.0 per cent of British losses. Neither version would have reached investment scams, which made up 38 per cent of British losses in 2025 and grew by 40 per cent in a year, according to UK Finance. Nor would either have reached romance scams or purchase scams.
The comparison with Britain’s own regime is starker. Since 7 October 2024, British payment firms have had to reimburse victims of authorised push payment scams on the Faster Payments system up to £85,000 per claim, according to the Payment Systems Regulator’s policy statements PS23/4 and PS24/7. The requirement is framed around such scams as a class, with an exception for consumers who fall short of a standard of caution, not around one form of deception. How much of the loss that actually returns depends on what one counts, as an earlier article here on the British mandatory reimbursement rule showed. But the British rule starts from the whole category and carves out exceptions. The EU rule starts from one sub-type and leaves the rest where it lies, which, on the EBA and ECB’s figures, is mostly with the customer.
The case for the narrow rule
The argument for drawing the line at the customer’s own bank is not weak, and it deserves its strongest form.
It starts with control. When a fraudster calls from a number that displays as the bank’s hotline, sends email from a domain that resembles the bank’s, or runs a copy of the bank’s app, the deception exploits channels the bank owns and is supposed to protect. Recital 80 of the compromise text makes the link explicit: under the Digital Operational Resilience Act, banks must already have technical measures to prevent the fraudulent replication of their domain names and communication channels, including email addresses and caller identification. A refund duty in exactly those cases puts the cost on the party that could have prevented the harm. A bank cannot prevent a fraudster from pretending to be a police officer, a tax inspector or a lover. Holding it liable for those cases would make it an insurer of deceptions it neither enables nor controls.
The second argument is moral hazard. The European Banking Federation, which represents the banks and therefore has a direct interest in the scope of any refund, argued in its position paper on the regulation that guaranteed reimbursement would weaken the incentive for customers to be careful and strengthen the incentive for fraudsters to target them. It cited the Dutch banks’ voluntary compensation scheme of 2020, after which, by the Federation’s account, the number of victims tripled and the damage doubled. That account comes from an interested party and does not establish cause. But it is the kind of risk a legislator has to weigh.
Third, the narrow refund is not the only instrument. The Parliament’s release on the deal states that a provider which fails to apply suitable fraud-prevention measures must cover its customers’ losses, that payments initiated or altered by a fraudster count as unauthorised, and that providers must offer spending limits and blocking options. Name checks before a transfer, the verification of payee that the Instant Payments Regulation made mandatory from October 2025, are carried into the new regulation with their own refund duty if the check is missing or wrong. And platforms that leave fraudulent content online after a notice will owe reimbursement to the banks that paid. The impersonation refund is one strand in a set, and the narrowest one by design.
Fourth, a narrow right is a certain right. The broader the category, the more disputes arise over whether a particular deception qualifies. A customer who was called by someone claiming to be from the bank has a simple claim. A customer who was persuaded by an investment advertisement has a claim that turns on causation, the advertiser, the platform and the customer’s own judgement.
Where the argument runs out
Each of these points justifies placing the bank-impersonation refund on the bank. None of them shows that bank impersonation is where the money is lost.
The control argument explains why the bank should pay in these cases. It does not explain why losses from other deceptions should remain with the customer rather than with whoever controls the channel through which they arrive. The final text answers that question for platforms only partly, through a recourse claim that requires a notice first, and for telephone companies with a duty to take measures but, in the recitals read for this article, no money.
The moral hazard argument is an argument against all refunds, not for this particular boundary. The narrow scope does not reduce moral hazard in the bank-impersonation cases; it applies in full there. It simply means the rule does very little elsewhere.
The argument from other instruments is the strongest, and the one that cannot yet be tested. If the duty to compensate customers where a provider’s fraud prevention failed is read widely, it could reach a large share of the €1.87 billion that customers now carry. If it is read narrowly, the customer will have to show what the bank failed to do, with information the bank holds. Recital 76c offers some help: before refusing a refund for gross negligence, a provider must invite the customer to submit evidence and cannot hold against the customer the absence of material the customer could not have, such as recordings of the fraudulent calls. But how the prevention-failure duty will be applied is a question for supervisors and courts after 2028, not one the text settles.
One condition deserves separate attention: the police report. It was already in the Commission’s proposal, and recital 80a of the compromise recommends online complaint procedures where they exist. For statistics it has a side effect nobody has planned for. Every refund will require a report about exactly this kind of fraud, so the data the EU lacks today will come into being on its own, scattered across national police forces and banks’ complaint files. Whether anyone will bring it together, the text, as far as this research could read it, does not say.
And the certainty argument cuts both ways. A rule that is certain for 10 per cent of cases is also certainly irrelevant for the other 90.
How sure each part of this is
Firmly established: the compromise text limits the refund to impersonation of the customer’s own payment service provider through that provider’s channels, and makes it conditional on reports to the provider and to the police. The Commission’s proposal had the same narrow scope. The EBA and ECB fraud report does not separate manipulation fraud by type of impersonation. The regulation had not been formally adopted when this was written.
With reasonable confidence: in Britain, the comparable category of bank and police impersonation was below a tenth of authorised push payment losses in 2025, falling, and already the most fully reimbursed. Investment scams, which the EU rule does not cover, were the largest and fastest-growing category there.
Tentatively: the EU’s bank-impersonation slice is of the same order of magnitude as Britain’s, meaning low hundreds of millions of euros against close to two billion euros of losses borne by users. That rests on a transfer of proportions between two markets with different payment habits, fraud patterns and reporting systems.
What this does not tell you
It does not tell you the EU figure. Britain is the only large European market that publishes this breakdown, and its categories do not match the EU rule: they merge police and bank impersonation and count by account rather than by person. The order-of-magnitude estimate above is an illustration, not a measurement.
It does not tell you the final wording of the operative article. The reading here rests on the Council’s recitals, the Commission’s proposal and the Parliament’s own summary. Deadlines, evidence rules and the exact conditions of the platform recourse are in the article text and may still be adjusted by lawyer-linguists before publication.
It does not tell you that the narrow rule is wrong. A legislator may reasonably decide that a refund duty belongs only where the bank controls the channel, and that the rest should be tackled through prevention duties and platform obligations. The point is narrower: that decision was taken, reversed and taken again without a published estimate of what it covers.
A liability rule needs a statistic that matches it
Payment regulation has long drawn its liability lines along technical categories that reporting systems already record: authorised against unauthorised, card present against card not present, authenticated against exempt. The EU’s impersonation refund draws a line along a different axis, according to whom the fraudster claimed to be, and the reporting system was not built for it. A rule whose boundary is defined by a category no one counts cannot be evaluated after it takes effect, and it cannot be argued about before. The scope moved twice on the strength of principles, control, moral hazard and certainty, because no figure was available to anchor it. Britain could debate its reimbursement rule with numbers because its banks had been counting scams by type for years. The cheapest preparation for the EU rule would be to start counting the same way before 2028, so that the first evaluation has something to measure.
Die neuen Zahlungsregeln der EU verpflichten eine Bank, einem Kunden das Geld zu erstatten, den ein Betrüger zur Überweisung überredet hat, aber nur in einem Fall: wenn der Täter sich als die eigene Bank des Kunden ausgegeben hat. Die Kommission hat es 2023 so vorgeschlagen, das Parlament hat den Kreis 2024 erweitert, der Kompromiss von 2025 hat ihn wieder verengt. In keinem dieser Schritte hat jemand veröffentlicht, wie viel Betrug die enge Fassung erfasst. Die Betrugsstatistik der EU kann es nicht sagen, weil sie nicht festhält, als wer sich der Täter ausgab. Die nächstliegende Messung stammt aus Großbritannien. Dort machten falsche Bankmitarbeiter und falsche Polizisten zusammen 2025 weniger als ein Zehntel der Schäden aus dieser Betrugsart aus.
Was die Regel sagt, und was sie noch nicht ist
Die Regel steht in der Zahlungsdiensteverordnung, dem unmittelbar geltenden Teil des Pakets, das die Zweite Zahlungsdiensterichtlinie ablösen soll. Geltendes Recht ist sie noch nicht. Rat und Parlament haben ihre letzte politische Verhandlungsrunde am 26. November 2025 in Straßburg abgeschlossen; so steht es im Begleitvermerk des Ratssekretariats an die Ständigen Vertreter, Dokument 8220/26 vom 17. April 2026. Der Wirtschafts- und Währungsausschuss des Parlaments hat den vereinbarten Text am 5. Mai 2026 gebilligt. In der Verfahrensakte 2023/0210(COD) der Legislativen Beobachtungsstelle des Parlaments hieß es zum Zeitpunkt dieser Recherche weiterhin „Awaiting Council’s 1st reading position“, als voraussichtlicher Plenartermin war der 14. Dezember 2026 vermerkt. Kanzleien, die den Kompromisstext ausgewertet haben, darunter Arthur Cox, berichten, dass der größte Teil der Verordnung 21 Monate nach Inkrafttreten gelten soll. Der Erstattungsanspruch käme damit frühestens 2028.
Was er enthalten wird, lässt sich dem Kompromisstext entnehmen, den der Rat im April 2026 als Dokument 8221/26 veröffentlicht hat. Erwägungsgrund 80a beschreibt den Fall: Ein Verbraucher wird Opfer eines Betrugs, bei dem die Täter sich als sein Zahlungsdienstleister ausgeben und dessen Domain, E-Mail-Adresse, Telefonnummer, Website oder App missbrauchen. Ein solcher Verbraucher hat gegenüber seinem Zahlungsdienstleister Anspruch auf volle Erstattung, es sei denn, er hat selbst betrügerisch oder grob fahrlässig gehandelt. Erfasst sind gekaperte Kanäle ebenso wie gefälschte Nachbauten der Website oder App. Der Verbraucher muss den Vorfall unverzüglich melden, beim Zahlungsdienstleister und bei der Polizei.
Die Pressemitteilung des Parlaments zur Einigung fasste es in einem Satz: Gibt sich ein Betrüger als Bankmitarbeiter aus und bringt einen Kunden dazu, eine Zahlung freizugeben, muss die Bank den vollen Betrag erstatten, sofern der Kunde den Betrug bei der Polizei angezeigt und der Bank gemeldet hat. Dieselbe Mitteilung beschreibt einen zweiten, getrennten Mechanismus. Online-Plattformen, die auf betrügerische Inhalte hingewiesen wurden und sie nicht entfernt haben, müssen den Zahlungsdienstleistern erstatten, was diese den Opfern gezahlt haben.
Der verfügende Artikeltext steht in dem Teil des Ratsdokuments, den diese Recherche nicht vollständig lesen konnte. Die Darstellung hier stützt sich auf die Erwägungsgründe und auf die Zusammenfassung des Parlaments. Einzelheiten, die Kanzleien zum Artikel selbst berichten, etwa eine Erstattungsfrist in Geschäftstagen, werden hier nicht übernommen.
Wie der Kreis sich verschob
Der Vorschlag der Kommission vom 28. Juni 2023, COM(2023) 367, begann eng. Die Begründung beschreibt eine Erstattung für Verbraucher, die von einem Dritten getäuscht wurden, der sich als Mitarbeiter ihres Zahlungsdienstleisters ausgab. Die Erwägungsgründe nennen die Methode, den Missbrauch von Namen, E-Mail-Adresse oder Telefonnummer des Instituts, sprechen von „Spoofing“ und knüpfen den Anspruch an die beiden Bedingungen, die bis heute stehen: Anzeige bei der Polizei, Meldung beim Institut. Anbieter elektronischer Kommunikation sollten mit den Banken zusammenarbeiten. Ob eine Bank sie in Regress nehmen kann, blieb dem nationalen Recht überlassen.
Das Parlament hat den Kreis erweitert. In seinem Standpunkt erster Lesung vom 23. April 2024 sollte die Erstattung nach einer Auswertung der Kanzlei A&O Shearman vom September 2024 auch dann greifen, wenn der Täter sich als Mitarbeiter eines anderen privaten Unternehmens oder einer Behörde ausgab. Damit wäre der Anrufer erfasst gewesen, der vorgibt, vom Finanzamt, von der Polizei oder vom Paketdienst zu kommen. Telekommunikationsanbieter hätten nachrangig gehaftet: Wer auf betrügerische Inhalte hingewiesen worden war und sie nicht entfernte, hätte der Bank den Schaden ersetzen müssen.
Der endgültige Kompromiss kehrte zum Kreis der Kommission zurück. Eine Notiz des Luxemburger Zahlungsdienstleisters Finologee vom Januar 2026 beschreibt die Einigung als Abkehr von der Täuschung durch „any relevant entity“. Erwägungsgrund 80a des Rats bestätigt das Ergebnis: die eigene Bank des Kunden, über deren eigene Kanäle. Aus der Haftung der Telekommunikationsanbieter wurde eine Handlungspflicht. Erwägungsgrund 81b verlangt von Anbietern interpersoneller Kommunikationsdienste technische und organisatorische Maßnahmen gegen gefälschte Rufnummern und Absenderadressen, ohne allgemeine Überwachung der Kommunikation. In den Erwägungsgründen, die diese Recherche gelesen hat, bleibt keine Zahlungspflicht der Telefongesellschaften übrig. Der Weg über die Plattformen besteht fort, als Rückgriffsanspruch, den die Pressemitteilung des Parlaments beschreibt und den Erwägungsgrund 81c an einen Artikel 59a knüpft.
Drei Fassungen, drei Reichweiten. Keine der beteiligten Institutionen hat geschätzt, wie viel Betrug die jeweilige Fassung erfassen würde. Die Begründung des Kommissionsvorschlags, die den Erstattungsanspruch ausführlich rechtfertigt, nennt keine Zahl zu seinem Umfang.
Was die EU-Statistik sieht und was nicht
Gezählt wird in der EU durchaus. Nach Artikel 96 Absatz 6 der geltenden Richtlinie melden Zahlungsdienstleister zweimal jährlich Betrugsdaten an ihre Aufsicht, nach Leitlinien, die die Europäische Bankenaufsicht EBA 2018 erlassen hat. EBA und Europäische Zentralbank veröffentlichen die Summen. Ihr gemeinsamer Bericht vom Dezember 2025 umfasst die sechs Halbjahre vom ersten Halbjahr 2022 bis zum zweiten Halbjahr 2024.
Für Überweisungen sehen die Zahlen so aus. Betrügerische Überweisungen im EWR hatten 2024 einen Wert von 2,5 Milliarden Euro, 24 Prozent mehr als im Vorjahr; die Anhangtabelle des Berichts weist genau 2.516 Millionen Euro aus. Der Anteil der Kategorie, die der Bericht „manipulation of the payer“ nennt, also Fälle, in denen der Kunde selbst zur Zahlung verleitet wird, stieg dem Wert nach von 65 auf 74 Prozent. Bezogen auf die Summe von 2024 sind das rund 1,86 Milliarden Euro; diese Rechnung steht nicht im Bericht, sie folgt aus seinen Zahlen. Die Verluste bei Überweisungen betrugen 2,2 Milliarden Euro, und rund 85 Prozent davon trugen die Zahlungsdienstnutzer, nicht ihre Banken. Nur sechs Länder meldeten einen Nutzeranteil unter 80 Prozent.
Danach endet der Bericht. Er definiert die Manipulation des Zahlers als Kategorie, die Identitätsbetrug und andere Betrugsformen mit Phishing, Smishing oder Vishing einschließt. Weiter aufgeschlüsselt wird sie nicht, weder nach Betrugsmasche noch danach, als wer sich der Täter ausgab. Die Meldeleitlinien stammen von 2018, fünf Jahre bevor jemand eine Haftungsregel vorschlug, die genau an dieser Unterscheidung hängt. Die EU weiß also, dass rund 1,9 Milliarden Euro Überweisungsbetrug im Jahr auf einer Täuschung des Zahlers beruhen. Wie viel davon die neue Erstattung erreicht, weiß sie nicht.
Die nächste Messung ist britisch
Großbritannien unterscheidet. UK Finance, der Verband der britischen Banken, veröffentlicht jedes Jahr den sogenannten APP-Betrug, also Zahlungen, die das Opfer selbst freigegeben hat, aufgeschlüsselt nach Masche. Der Annual Fraud Report 2026 enthält die Zahlen für 2025. Die Verluste lagen bei 576,4 Millionen Pfund in 248.070 Fällen. Größte Kategorie war der Anlagebetrug mit 221,5 Millionen Pfund. Am häufigsten war der Kaufbetrug, bei dem bezahlte Ware nie ankommt, mit 175.809 Fällen.
Am nächsten an der neuen EU-Erstattung liegt die Kategorie „impersonation: police/bank staff“. Sie stand 2025 für 55,5 Millionen Pfund und 6.016 Fälle, also 9,6 Prozent der Schäden und 2,4 Prozent der Fälle. Eine zweite Kategorie, „impersonation: other“, in der Täter sich als andere Organisationen ausgeben, kam auf 36,9 Millionen Pfund oder 6,4 Prozent.
Diese Zahlen stammen vom Verband der Banken selbst, der ein Interesse daran hat, wie Betrug zwischen seinen Mitgliedern und den Plattformen und Telefongesellschaften verteilt wird, über die die meisten Maschen beginnen. Falsch macht sie das nicht. Es bedeutet aber, dass die genaueste öffentliche Aufschlüsselung dieses Betrugs in Europa von einer Seite des Haftungsstreits zusammengestellt wird, und dass niemand mit einem Interesse an einer anderen Aufteilung die Daten hätte, eine zu erstellen.
Aus den britischen Zahlen folgen drei Dinge, die im Gesetzgebungsverfahren der EU nirgends auftauchen. Erstens ist die Kategorie je Fall die schwerste: Ein Fall mit falschem Bankmitarbeiter oder Polizisten kostete im Schnitt 9.225 Pfund, über alle Maschen hinweg waren es 2.324 Pfund. Für die Betroffenen sind das erhebliche Summen, und deshalb war der Fall für den Gesetzgeber überzeugend. Zweitens schrumpft die Kategorie. 2024 stand sie für 67,9 Millionen Pfund oder 14,0 Prozent der Schäden, 2025 noch für 9,6 Prozent; die Zahl der Fälle sank von 7.789 auf 6.016. Drittens war es schon vorher die Kategorie, in der britische Banken am meisten zurückgaben: 2025 flossen 44,1 der 55,5 Millionen Pfund an die Opfer zurück, 79 Prozent, gegenüber 61 Prozent über alle Maschen.
Die britische Kategorie enthält zudem die falschen Polizisten, die die EU-Regel ausschließt. Der Anteil der falschen Bankmitarbeiter allein liegt also unter 9,6 Prozent, um einen Betrag, den die veröffentlichten Tabellen nicht zeigen.
Was der britische Anteil für Europa hieße
Einen britischen Anteil auf die EU zu übertragen ist gewagt; es dient hier nur dazu, die Größenordnung zu zeigen. Läge der Bankbetrug in der EU beim selben Anteil von 9,6 Prozent an der Manipulation des Zahlers, wären das auf Basis der Zahlen von 2024 rund 180 Millionen Euro im Jahr, für falsche Bankmitarbeiter allein weniger. Dem stehen rund 1,87 Milliarden Euro gegenüber, die Zahlungsdienstnutzer in der EU 2024 bei Überweisungen selbst getragen haben.
Nach der weiteren Fassung des Parlaments wären es in britischen Zahlen falsche Bankmitarbeiter, Polizisten und andere Organisationen zusammen gewesen: 92,4 Millionen Pfund oder 16,0 Prozent. Den Anlagebetrug hätte keine der beiden Fassungen erreicht. Er machte nach UK Finance 2025 38 Prozent der britischen Schäden aus und wuchs binnen eines Jahres um 40 Prozent. Auch Liebes- und Kaufbetrug fallen aus beiden Fassungen heraus.
Der Vergleich mit der britischen Regel ist deutlicher. Seit dem 7. Oktober 2024 müssen britische Zahlungsdienstleister Opfer von APP-Betrug im Faster-Payments-System bis 85.000 Pfund je Fall entschädigen, so die Grundsatzerklärungen PS23/4 und PS24/7 des Payment Systems Regulator. Die Pflicht knüpft an diese Betrugsart als Ganzes an, mit einer Ausnahme für Verbraucher, die eine Sorgfaltsanforderung verfehlen, nicht an eine bestimmte Täuschung. Wie viel davon tatsächlich zurückfließt, hängt davon ab, was man zählt, wie ein früherer Beitrag hier zur britischen Erstattungspflicht gezeigt hat. Aber die britische Regel geht vom Ganzen aus und nimmt Ausnahmen heraus. Die EU-Regel geht von einer Unterart aus und lässt den Rest liegen, wo er liegt, und das ist nach den Zahlen von EBA und EZB überwiegend beim Kunden.
Was für die enge Regel spricht
Das Argument dafür, die Grenze bei der eigenen Bank zu ziehen, ist nicht schwach, und es verdient seine stärkste Form.
Es beginnt bei der Kontrolle. Ruft ein Betrüger mit einer Nummer an, die als Hotline der Bank angezeigt wird, schreibt er von einer Domain, die der Bank gleicht, oder betreibt er eine Kopie ihrer App, dann nutzt er Kanäle, die der Bank gehören und die sie schützen soll. Erwägungsgrund 80 des Kompromisses stellt den Zusammenhang her: Nach der Verordnung über die digitale operationale Resilienz, DORA, müssen Banken schon heute technische Vorkehrungen gegen die Nachahmung ihrer Domains und Kommunikationskanäle treffen, einschließlich E-Mail-Adressen und Rufnummernanzeige. Eine Erstattungspflicht genau in diesen Fällen legt die Kosten auf den, der den Schaden hätte verhindern können. Eine Bank kann nicht verhindern, dass sich jemand als Polizist, Steuerprüfer oder Verehrer ausgibt. Sie dafür haften zu lassen, machte sie zum Versicherer von Täuschungen, die sie weder ermöglicht noch beherrscht.
Das zweite Argument ist der Fehlanreiz. Die Europäische Bankenvereinigung EBF, die die Banken vertritt und deshalb ein unmittelbares Interesse am Umfang jeder Erstattung hat, argumentierte in ihrem Positionspapier zur Verordnung, eine garantierte Erstattung schwäche die Vorsicht der Kunden und mache sie für Betrüger attraktiver. Sie verwies auf die freiwillige Entschädigungsregel der niederländischen Banken von 2020; danach habe sich nach ihrer Darstellung die Zahl der Opfer verdreifacht und der Schaden verdoppelt. Diese Darstellung stammt von einer interessierten Partei und belegt keine Ursache. Es ist aber ein Risiko, das ein Gesetzgeber abwägen muss.
Drittens ist die enge Erstattung nicht das einzige Werkzeug. Laut der Pressemitteilung des Parlaments muss ein Zahlungsdienstleister, der keine geeigneten Betrugsvorkehrungen trifft, die Schäden seiner Kunden tragen; Zahlungen, die ein Betrüger auslöst oder verändert, gelten als nicht autorisiert; Ausgabenlimits und Sperrmöglichkeiten werden Pflicht. Der Namensabgleich vor einer Überweisung, die Empfängerüberprüfung, die die Instant-Payments-Verordnung ab Oktober 2025 vorgeschrieben hat, geht in die neue Verordnung über, mit eigener Erstattungspflicht, wenn der Abgleich fehlt oder falsch ist. Und Plattformen, die betrügerische Inhalte nach einem Hinweis stehen lassen, schulden den zahlenden Banken Ersatz. Die Erstattung bei Identitätsbetrug ist ein Strang unter mehreren, und mit Absicht der schmalste.
Viertens ist ein enger Anspruch ein sicherer Anspruch. Je weiter die Kategorie, desto mehr Streit darüber, ob eine bestimmte Täuschung darunter fällt. Wer von einem angeblichen Bankmitarbeiter angerufen wurde, hat einen einfachen Anspruch. Wer einer Anlagewerbung gefolgt ist, hat einen Anspruch, der an Ursächlichkeit, Werbendem, Plattform und eigenem Urteil hängt.
Wo das Argument endet
Jeder dieser Punkte rechtfertigt, die Erstattung bei falschen Bankmitarbeitern der Bank aufzuerlegen. Keiner zeigt, dass dort das Geld verloren geht.
Das Kontrollargument erklärt, warum die Bank in diesen Fällen zahlt. Es erklärt nicht, warum Schäden aus anderen Täuschungen beim Kunden bleiben sollen statt bei dem, der den Kanal beherrscht, über den sie kommen. Für Plattformen beantwortet der Text diese Frage nur zum Teil, mit einem Rückgriffsanspruch, der einen Hinweis voraussetzt; für Telefongesellschaften mit einer Pflicht zu Maßnahmen, aber in den gelesenen Erwägungsgründen ohne Geld.
Das Fehlanreiz-Argument richtet sich gegen jede Erstattung, nicht für diese bestimmte Grenze. Bei den falschen Bankmitarbeitern verringert die enge Fassung den Fehlanreiz nicht, dort gilt sie voll. Sie bewirkt nur anderswo sehr wenig.
Das Argument mit den übrigen Werkzeugen ist das stärkste und das einzige, das sich noch nicht prüfen lässt. Wird die Pflicht, bei versagender Betrugsprävention zu entschädigen, weit ausgelegt, könnte sie einen großen Teil der 1,87 Milliarden Euro erreichen, die heute die Kunden tragen. Wird sie eng ausgelegt, muss der Kunde zeigen, was die Bank versäumt hat, mit Informationen, die die Bank hat. Erwägungsgrund 76c hilft ein Stück: Bevor ein Institut wegen grober Fahrlässigkeit ablehnt, muss es den Kunden zu Belegen auffordern und darf ihm nicht vorhalten, was er gar nicht haben kann, etwa Aufzeichnungen der Betrugsanrufe. Wie die Präventionspflicht angewendet wird, entscheiden aber Aufsicht und Gerichte nach 2028, nicht der Text.
Eine Bedingung verdient eigene Aufmerksamkeit: die Anzeige bei der Polizei. Sie stand schon im Kommissionsvorschlag, und Erwägungsgrund 80a des Kompromisses empfiehlt dafür Online-Verfahren, wo es sie gibt. Für die Statistik hat sie eine Nebenwirkung, die bisher niemand einplant. Jeder Erstattungsfall setzt künftig eine Anzeige zu genau dieser Masche voraus. Die Daten, die der EU heute fehlen, entstehen damit von selbst, allerdings verteilt auf die Polizeibehörden der Mitgliedstaaten und die Beschwerdeakten der Banken. Ob sie irgendwo zusammengeführt werden, regelt der Text nach dem, was diese Recherche lesen konnte, nicht. Ohne eine solche Zusammenführung wird man in einigen Jahren wissen, wie viele Anzeigen es gab, aber nicht, welcher Anteil des Gesamtschadens damit abgedeckt war.
Und die Rechtssicherheit schneidet in beide Richtungen. Eine Regel, die für ein Zehntel der Fälle sicher gilt, ist für die übrigen neun Zehntel ebenso sicher bedeutungslos.
Wie sicher was ist
Fest vertreten: Der Kompromisstext beschränkt die Erstattung auf Täuschung durch die eigene Bank des Kunden über deren Kanäle und knüpft sie an Meldungen bei Bank und Polizei. Der Kommissionsvorschlag hatte denselben engen Kreis. Der Betrugsbericht von EBA und EZB unterscheidet die Manipulation des Zahlers nicht nach der vorgetäuschten Identität. Förmlich angenommen war die Verordnung bei Abschluss dieser Recherche nicht.
Mit vernünftiger Sicherheit: In Großbritannien lag die vergleichbare Kategorie falscher Bankmitarbeiter und Polizisten 2025 unter einem Zehntel der APP-Schäden, mit fallender Tendenz, und wurde schon vorher am weitesten erstattet. Anlagebetrug, den die EU-Regel nicht erfasst, war dort die größte und am schnellsten wachsende Kategorie.
Vorsichtig: Der Anteil der falschen Bankmitarbeiter in der EU liegt in derselben Größenordnung wie in Großbritannien, also bei niedrigen dreistelligen Millionenbeträgen gegenüber knapp zwei Milliarden Euro, die die Nutzer tragen. Das beruht auf einer Übertragung zwischen zwei Märkten mit unterschiedlichen Zahlungsgewohnheiten, Betrugsmustern und Meldesystemen.
Was daraus nicht folgt
Es folgt keine EU-Zahl. Großbritannien ist der einzige große europäische Markt, der diese Aufschlüsselung veröffentlicht, und seine Kategorien passen nicht zur EU-Regel: Sie fassen Bank und Polizei zusammen und zählen Konten statt Personen. Die Größenordnung oben ist eine Veranschaulichung, keine Messung.
Es folgt nicht der endgültige Wortlaut des Artikels. Die Darstellung stützt sich auf die Erwägungsgründe des Rats, den Kommissionsvorschlag und die Zusammenfassung des Parlaments. Fristen, Beweisregeln und die genauen Bedingungen des Plattform-Rückgriffs stehen im Artikeltext und können vor der Veröffentlichung noch redaktionell angepasst werden.
Es folgt nicht, dass die enge Regel falsch ist. Ein Gesetzgeber kann vertretbar entscheiden, dass eine Erstattungspflicht nur dorthin gehört, wo die Bank den Kanal beherrscht, und dass der Rest über Präventionspflichten und Plattformpflichten anzugehen ist. Der Punkt ist schmaler: Diese Entscheidung wurde getroffen, umgekehrt und erneut getroffen, ohne veröffentlichte Schätzung dessen, was sie erfasst.
Eine Haftungsregel braucht eine Statistik, die zu ihr passt
Der Zahlungsverkehr zieht seine Haftungsgrenzen seit Langem entlang technischer Kategorien, die die Meldesysteme ohnehin erfassen: autorisiert oder nicht autorisiert, Karte vorhanden oder nicht, authentifiziert oder ausgenommen. Die Erstattung bei Identitätsbetrug zieht die Grenze entlang einer anderen Achse, nämlich danach, als wer sich der Täter ausgab, und dafür ist das Meldesystem nicht gebaut. Eine Regel, deren Grenze an einer Kategorie hängt, die niemand zählt, lässt sich nach ihrem Inkrafttreten nicht bewerten und vorher nicht sinnvoll verhandeln. Der Kreis hat sich zweimal verschoben, gestützt auf Grundsätze, Kontrolle, Fehlanreiz und Rechtssicherheit, weil keine Zahl da war, die ihn hätte verankern können. Großbritannien konnte seine Erstattungsregel mit Zahlen diskutieren, weil seine Banken Betrug seit Jahren nach Maschen zählen. Die billigste Vorbereitung auf die EU-Regel wäre, vor 2028 genauso zu zählen, damit die erste Bewertung etwas zu messen hat.
