Aufgrund der SEPA Richtlinie, ähnlich wie bei der bisherigen nationalen Regelung führt die fehlende Zustimmung zur Transaktion bei einem Phishing-Angriff nach Art. 54 I der Richtlinie zur Unwirksamkeit. Die Banken haben keinen Aufwendungsersatzanspruch gegenüber dem Kunden und dieser hat folglich bei dennoch erfolgter Belastung seines Kontos einen Bereicherungsanspruch gegen die Bank. In der Situation kann die Bank nicht beweisen, dass der Auftrag vom Kontoinhaber kam. Sie argumentieren mit einem so genannten Anscheinsbeweis, da ja PIN/TAN des Kunden verwandt worden seien. Beim klassischen PIN/TAN - Verfahren lehnt die Judikatur jedoch einen Anscheinsbeweis ab, da inzwischen allgemein bekannt ist, dass rechtsmissbräuchliche technische Zugriffe auf Kontodaten erfolgen, ohne dass der Kunde unsorgfältig mit seinen Zugangsdaten umgeht.