Phishing-Welle trifft Bankkunden zum Start der Shopping-Saison

Zum Auftakt der Cyber-Woche schlagen Betrüger europaweit zu. Sparkasse, Deutsche Bank und Barclays im Visier – neue Zahlen zeigen: Millionen unterschätzen die Gefahr.

Eine koordinierte Angriffswelle auf Bankkunden rollt seit Montag über Europa und Nordamerika hinweg – just zum Start der umsatzstärksten Shopping-Woche des Jahres. Die Verbraucherzentrale warnte am Dienstag in ihrem Phishing-Radar vor ausgeklügelten Betrugsversuchen, die mit immer präziseren Fälschungen operieren. Gleichzeitig offenbaren aktuelle Daten aus Großbritannien und Kanada eine beunruhigende Selbstüberschätzung: Während die Black-Friday-Transaktionen durch die Decke gehen, wiegen sich Millionen Verbraucher in falscher Sicherheit.

Was steckt hinter dieser zeitlichen Häufung? Die Antwort ist simpel: Im Trubel der Schnäppchenjagd prüfen Menschen E-Mails weniger kritisch. Genau darauf setzen die Täter.

Passend zum Thema: Viele Android-Nutzer unterschätzen die Gefahr durch bösartige QR‑Codes, Banking‑Trojaner und manipulierte Apps. Das kostenlose Sicherheitspaket erklärt die 5 wichtigsten Schutzmaßnahmen für Ihr Android‑Smartphone – mit klaren Schritt‑für‑Schritt‑Anleitungen zu sicheren Einstellungen, geprüften Apps und praktischem Schutz bei Mobile‑Banking und Zahlungsmethoden. Schützen Sie Ihre Konten jetzt. Gratis-Ratgeber: 5 Schutzmaßnahmen für Android herunterladen

Die Masche folgt einem bewährten Drehbuch, wird aber technisch immer raffinierter. Barclays-Kunden erhalten derzeit E-Mails mit der Warnung, ihre „mTAN-Sicherheitsfunktion” sei deaktiviert worden. Die Betreffzeile „Achtung: Bestätigung Ihrer Telefonnummer erforderlich” soll Panik erzeugen. Wer dem eingebetteten Link folgt, landet auf täuschend echt wirkenden Phishing-Seiten.

Deutsche Bank-Nutzer werden parallel mit angeblich notwendigen Telefonnummer-Bestätigungen bombardiert. Bei der Sparkasse gehen gefälschte Benachrichtigungen zum „S-ID-Check” und zu AGB-Aktualisierungen ein. Perfide: Die Mails enthalten oft korrekte persönliche Anreden – ein Zeichen dafür, dass die Täter bereits über Kundendaten verfügen.

Besonders dreist: Consorsbank-Kunden wurden am Dienstag vor E-Mails gewarnt, die behaupten, die „SecurePlus-App” laufe am 16. November 2025 ab. Die Verwendung eines vergangenen oder nahen Datums soll künstlichen Zeitdruck erzeugen – ein klassisches Warnsignal für Betrugsversuche.

Großbritannien und Kanada schlagen Alarm

Die deutschen Warnungen reihen sich ein in internationale Alarmrufe. Die britische National Trading Standards (NTS) veröffentlichte am Montag erschreckende Zahlen: 67 Prozent aller britischen Erwachsenen waren bereits Ziel von Betrugsversuchen, jeder Fünfte verlor dabei Geld. Als Reaktion lancierte die Behörde eine kostenlose App zur Echtzeit-Erkennung von Betrugsmaschen.

Die Studienergebnisse offenbaren ein gefährliches Paradox: Während 19 Prozent der Briten behaupten, Betrugsversuche „sehr sicher” zu erkennen, zeigen die Daten das Gegenteil. Menschen, die sich in Finanzfragen unsicher fühlen, fallen doppelt so häufig auf Betrüger herein – möglicherweise, weil Selbstüberschätzung den kritischen Blick trübt.

Ähnliche Erkenntnisse präsentierte am Dienstag die Royal Bank of Canada (RBC): 86 Prozent der Kanadier glauben, Betrug erkennen zu können – doch ein Viertel gab zu, bereits Opfer geworden zu sein.

„Mit dem Anstieg des Online-Shoppings zur Weihnachtszeit nutzen Betrüger gezielt die Schnäppchenjagd aus”, warnt Amit Sadhu, Vizepräsident für Kredit- und Betrugsmanagement bei RBC. Die Bank rechnet zwischen Black Friday und Weihnachten mit einer Flut gefälschter Shop-Websites und falscher Lieferbenachrichtigungen.

Virale Falschmeldung: 2.000-Dollar-IRS-Zahlung

In den USA sorgt parallel eine andere Bedrohung für Wirbel. Seit Sonntag kursieren in sozialen Medien Gerüchte über eine angebliche „2.000-Dollar-Direktüberweisung” der US-Steuerbehörde IRS, die im November auf Konten eingehen soll. Die Meldung ist frei erfunden – dient aber als Köder.

Die Masche dahinter: Betrüger locken Nutzer auf gefälschte Websites, wo diese angeblich ihre „Berechtigung prüfen” können. Wer seine Bankdaten und Sozialversicherungsnummer eingibt, liefert den Tätern alles für einen Identitätsdiebstahl. IRS und Finanzministerium stellten klar: Eine solche Zahlung existiert nicht.

Warum funktioniert diese simple Lüge? Weil sie an frühere Corona-Hilfszahlungen erinnert und in wirtschaftlich angespannten Zeiten Hoffnung weckt. Die Mischung aus TikTok-Reichweite und finanzieller Not vieler Menschen macht die Masche hocheffektiv.

Quishing: Der QR-Code als Einfallstor

Eine technische Neuerung verschärft die Lage zusätzlich. Die Verbraucherzentrale warnt vor „Quishing” – Phishing via QR-Code. Anders als herkömmliche E-Mail-Links können bösartige QR-Codes von vielen Sicherheitsprogrammen nicht gescannt werden.

Die Täter versenden physische Briefe oder E-Mails mit QR-Codes, angeblich für „Sicherheits-App-Updates” wie das Commerzbank-photoTAN-Verfahren. Wer den Code mit dem Smartphone scannt, landet direkt auf einer Phishing-Seite – oft mit schwächerem Schutz als am Desktop-Computer.

Besonders tückisch: Der QR-Code-Scan fühlt sich modern und sicher an, obwohl er genau das Gegenteil bewirkt. Die URL hinter dem Code bleibt für Nutzer unsichtbar, bis es zu spät ist.

On-Device-Fraud: Die nächste Eskalationsstufe

Sicherheitsexperten prognostizieren für die kommenden Wochen eine Zunahme von „On-Device Fraud” (ODF). Diese Methode ermöglicht Kriminellen, Transaktionen direkt vom Gerät des Opfers auszuführen – etwa durch Banking-Trojaner oder Fernzugriff-Tools.

Der Vorteil für die Täter: Standortbasierte Sicherheitsprüfungen greifen nicht, wenn die Überweisung vom legitimen Gerät des Kunden erfolgt. Im Chaos der Shopping-Saison, wenn Transaktionsvolumen ohnehin explodieren, fallen solche Angriffe kaum auf.

So schützen Sie sich

Drei goldene Regeln für die kommenden Wochen:

Niemals Links in E-Mails klicken – Navigieren Sie immer direkt zur offiziellen Banking-App oder Website. Auch wenn die E-Mail echt aussieht.

Dringlichkeit ist ein Warnsignal – Jede Nachricht, die binnen 24 Stunden eine Reaktion fordert, stammt mit hoher Wahrscheinlichkeit von Betrügern. Echte Banken setzen keine solchen Fristen.

QR-Codes misstrauen – Behandeln Sie QR-Codes in E-Mails genauso skeptisch wie verdächtige Links. Kein seriöses Institut fordert per Mail zum QR-Scan auf.

Die Täter setzen auf den perfekten Sturm: Hohe Transaktionsvolumen, Zeitdruck beim Shopping und die Vorweihnachtshektik. Wer sich dieser Taktik bewusst ist, hat die beste Verteidigung bereits aktiviert: gesunden Menschenverstand.

PS: Diese 5 Maßnahmen verhindern typische Phishing- und On‑Device‑Angriffe auf Ihrem Handy. Von App‑Prüfungen über sichere QR‑Code‑Scans bis zu einfachen Einstellungen, die Banking‑Trojaner abwehren – der kompakte PDF‑Ratgeber ist gratis und sofort per E‑Mail verfügbar. Ideal für alle, die in der Shopping‑Saison sicher bezahlen wollen. Jetzt Android-Schutzpaket sichern