Ratgeber

Bank-Phishing und gefälschte Sicherheitswarnungen erkennen

URLVIS Sicherheitsteam · Zuletzt aktualisiert: 26. August 2026

Bank-Phishing zählt in Deutschland zu den finanziell verlustreichsten Cyber-Verbrechen. Cyberkriminelle imitieren das Corporate Design führender deutscher Kreditinstitute wie der Sparkassen-Finanzgruppe, der Deutschen Bank, den Volksbanken Raiffeisenbanken, der Commerzbank, ING, Postbank oder DKB. Über gefälschte E-Mails, SMS (Smishing) oder manipulierte Telefonanrufe täuschen sie angebliche Sicherheitsvorfälle vor — etwa eine bevorstehende Kontosperrung, den Ablauf des pushTAN-Verfahrens, eine erforderliche Aktualisierung der EU-Zahlungsdiensterichtlinie (PSD2) oder die Entdeckung verdächtiger Auslandsüberweisungen. Der Angriff zielt darauf ab, Kunden zur Eingabe ihrer Online-Banking-Zugangsdaten (Anmeldename, PIN) und vor allem zur Freigabe von Transaktionsnummern (TAN) auf gefälschten Webseiten oder über die Banking-App zu bewegen. Moderne Phishing-Kits kopieren die Anmeldeseiten der Banken bis ins kleinste Detail, inklusive Logos, Schriftarten, Favicons und interaktiven Hilfefunktionen. Eine optische Unterscheidung von der echten Bank-Website ist mit bloßem Auge kaum noch möglich. Besonders tückisch sind mehrstufige Angriffe (Kombination aus SMS und Anruf): Wenige Minuten nach einer scheinbar harmlosen Warn-SMS ruft ein angeblicher Mitarbeiter der „Sicherheitsabteilung“ oder „Betrugsprävention“ an. Durch technisches Call-ID-Spoofing wird auf dem Telefondisplay des Opfers die reale Festnetznummer der Hausbank angezeigt. Der angebliche Berater erzeugt immensen psychologischen Druck, spricht von akuter Gefahr für das Ersparte und drängt das Opfer dazu, eine pushTAN auf dem Smartphone freizugeben oder das Guthaben auf ein angebliches „Treuhandkonto“ oder „Sicherheitskonto“ bei einer anderen Bank zu transferieren. Tatsächlich autorisiert das Opfer mit dieser Freigabe keinen Schutzmechanismus, sondern die Echtzeitüberweisung des eigenen Geldes direkt auf die Konten von Kriminellen oder deren Finanzagenten, oder es schaltet ein neues Smartphone der Betrüger für das eigene Online-Banking frei. Einmal autorisierte SEPA-Echtzeitüberweisungen lassen sich in der Regel nicht mehr stornieren. Als oberster Grundsatz gilt: Echte Bankmitarbeiter fordern Kunden niemals per E-Mail, SMS oder Telefon zur Durchsage oder Eingabe von PINs, TANs oder Passwörtern auf. Öffnen Sie Ihr Online-Banking stets ausschließlich über die offiziell installierte App auf Ihrem Smartphone oder tippen Sie die Webadresse Ihrer Bank eigenhändig in die Adresszeile des Browsers ein.

So erkennen Sie es

Niemals TANs oder Passwörter weitergeben: Weder Sparkassen noch Privatbanken oder Genossenschaftsbanken fordern Sie jemals telefonisch oder per Nachricht auf, eine TAN zur „Stornierung“, „Sicherheitsprüfung“ oder „Kontoentsperrung“ freizugeben oder vorzulesen.
Freigabetexte in der pushTAN-/chipTAN-App genau lesen: Vor jeder Bestätigung auf dem Smartphone müssen Sie den im Bildschirm angezeigten Text prüfen — autorisieren Sie wirklich einen Login oder in Wahrheit eine Überweisung über mehrere tausend Euro an eine unbekannte IBAN?
Prüfen Sie die Web-Domain in der Adresszeile: Achten Sie genau auf den Domain-Namen. Adressen wie „sparkasse-portal-login.de“, „deutsche-bank-tan-update.com“ oder „volksbank-sicherheitsfreigabe.net“ sind Betrugsseiten. Echte Bankseiten lauten z. B. `sparkasse.de`, `deutsche-bank.de` oder `vr.de`.
Vorsicht bei angeblichen „Sicherheitskonten“: Die Aufforderung eines Anrufers, Ihr Erspartes zum Schutz vor Hackern auf ein „Bundesbank-Treuhandkonto“ oder „Sicherheitskonto“ zu überweisen, ist immer ein Betrugsversuch (Authorized Push Payment Fraud).
Keine Fernwartungssoftware installieren: Seriöse Bankberater verlangen niemals die Installation von Programmen wie AnyDesk, TeamViewer oder RustDesk auf Ihrem PC oder Smartphone, um Online-Banking-Probleme zu lösen.
Gefälschte Telefonnummern erkennen (Call-ID-Spoofing): Die Anzeige der echten Banknummer im Display ist kein Echtheitsbeweis. Legen Sie sofort auf und wählen Sie die offizielle Servicenummer Ihrer Bank selbst über die Tastatur.
Schocknachrichten mit extremen Fristen: Behauptungen wie „Ihr Konto wird in 24 Stunden unwiderruflich gesperrt, wenn Sie nicht sofort handeln“ sollen Sie panisch machen und unüberlegte Handlungen provozieren.
Prüfung auf Vorhandensein im echten Online-Banking: Echte wichtige Sicherheitsmitteilungen Ihrer Bank finden Sie immer im gesicherten elektronischen Postfach Ihres Online-Bankings nach regulärem Login, niemals ausschließlich in einer dubiosen E-Mail.
Sperr-Notruf 116 116 parat haben: Halten Sie bei Verdacht auf Datenverlust die zentrale deutsche Sperrnummer bereit, um den Online-Zugang und Giro-/Kreditkarten sekundenschnell lahmzulegen.
Keine Weiterleitung von Push-Benachrichtigungen oder Einmal-Codes an Dritte.

Beispiele aus der Praxis

Die folgenden Beispiele dienen nur der Veranschaulichung. Sie beziehen sich auf keine reale Person, Marke oder Organisation und dienen ausschließlich der Darstellung des Betrugsmusters.

Gefälschte Sparkasse pushTAN-Reaktivierungs-SMS

Fiktives Beispiel — Sparkasse Info: Ihr pushTAN-Zugang läuft am 27.08.2026 ab. Zur Vermeidung einer Sperrung und Servicegebühr aktualisieren Sie Ihr pushTAN-Verfahren unter sparkasse-tan-verifikation.example.

Gefälschter Deutsche Bank Sicherheitsabgleich per E-Mail

Fiktives Beispiel — Deutsche Bank Kundenservice: Neue EU-Sicherheitsrichtlinie PSD2 erfordert die Bestätigung Ihrer Telefonnummer und Online-Zugangsdaten. Bitte loggen Sie sich ein unter db-banking-sicherheit.example.

Gefälschter Volksbank-Sicherheitsanruf mit TAN-Abfrage

Fiktives Beispiel — Anrufer gibt sich als Mitarbeiter der Betrugsprävention der Volksbank aus: „Wir haben einen unberechtigten Zugriff über 2.450 € aus dem Ausland gestoppt. Um die Abbuchung endgültig zu stornieren, geben Sie bitte jetzt die TAN frei, die wir Ihnen per pushTAN auf Ihr Handy gesendet haben.“

Meldestellen

Häufige Fragen

Was muss ich sofort tun, wenn ich meine Bankdaten auf einer Phishing-Seite eingegeben habe?

Handeln Sie in den ersten Minuten: Rufen Sie sofort den kostenlosen Sperr-Notruf 116 116 an und lassen Sie Ihren Online-Banking-Zugang sowie alle Giro- und Kreditkarten sperren. Informieren Sie direkt im Anschluss Ihre Bank und schildern Sie den Vorfall detailliert. Ändern Sie von einem sicheren Zweitgerät aus die Passwörter für verbundene E-Mail-Konten und erstatten Sie Strafanzeige bei der Polizei.

Was bedeutet es, wenn ich eine TAN für eine angebliche „Stornierung“ freigegeben habe?

Im Online-Banking existiert technisch keine „Stornierungs-TAN“. Wenn Sie eine TAN freigeben, autorisieren Sie damit immer eine neue, rechtsverbindliche Transaktion — in den meisten Fällen eine Überweisung auf das Konto der Betrüger oder die Registrierung eines neuen Endgeräts für das TAN-Verfahren. Überprüfen Sie den Auftragsstatus sofort mit Ihrer Bank und versuchen Sie, die Zahlung stoppen zu lassen.

Wie erreiche ich den deutschen Sperr-Notruf 116 116 aus dem Ausland?

Aus dem Ausland erreichen Sie den Sperr-Notruf unter der Rufnummer +49 116 116 oder alternativ unter +49 30 4050 4050 (gebührenpflichtig, abhängig vom ausländischen Netzanbieter). Halten Sie für die Sperrung Ihre IBAN oder Kontonummer sowie den Namen der Bank bereit.

Fordert mich meine Bank jemals auf, Geld auf ein „Sicherheitskonto“ zu überweisen?

Nein, unter keinen Umständen. Banken besitzen keine sogenannten Sicherheitskonten, Treuhandkonten oder Zwischenkonten, auf die Kunden ihr Geld zum Schutz vor Cyberangriffen überweisen müssen. Ein solcher Vorschlag ist immer der eindeutige Beweis für einen professionellen Betrugsversuch.

Haftet die Bank für finanzielle Schäden nach einem Phishing-Angriff?

Nach § 675u BGB ist die Bank bei nicht autorisierten Zahlungsvorgängen grundsätzlich zur Erstattung verpflichtet. Allerdings kann die Bank die Erstattung verweigern oder Schadenersatz verlangen, wenn der Kunde grob fahrlässig gehandelt hat (§ 675v BGB) — beispielsweise durch die Weitergabe einer TAN an Dritte trotz eindeutiger Warnhinweise in der pushTAN-App. Jeder Fall wird individuell geprüft, weshalb schnelles Handeln und lückenlose Dokumentation entscheidend sind.

Warum sehen Phishing-Websites den echten Bankseiten so täuschend ähnlich?

Betrüger nutzen automatisierte Phishing-Toolkits, die den gesamten Quellcode, CSS-Stylesheets und hochauflösende Grafiken der offiziellen Bankseiten spiegeln. Oft wird sogar ein SSL-Zertifikat eingebunden, sodass im Browser ein vertrauenswürdiges Vorhängeschloss (HTTPS) angezeigt wird. Das Schloss beweist jedoch nur eine verschlüsselte Verbindung zum Server, nicht dessen Legalität.

How This Guide Was Prepared

This guide was compiled from publicly available fraud-reporting sources and URLVIS's own multilingual risk taxonomy; an AI-assisted draft was reviewed before publication. It is for general information only and is not legal or financial advice. Spotted an error or outdated detail? Report it to [email protected].