Phishing-Welle trifft deutsche Bankkunden: Neue Betrugsmasche per Brief

Kriminelle setzen auf eine gefährliche Kombination: Gefälschte SMS treffen auf echte Briefe im Hausbriefkasten. Verbraucherschützer und Landeskriminalämter schlagen Alarm – die Angriffe erreichen eine neue Qualität.

Sparkassen-Kunden öffnen derzeit ihre Briefkästen und finden dort täuschend echt aussehende Schreiben ihrer Bank. Hochwertiges Papier, korrektes Logo, persönliche Anrede. Nur der QR-Code führt direkt in die Falle. Was wie eine normale Benachrichtigung wirkt, ist Teil einer koordinierten Angriffswelle, die in dieser Woche einen neuen Höhepunkt erreicht.

Die Sparkassen-Finanzgruppe warnt seit gestern vor massenhaft versendeten E-Mails. Der Vorwand: Eine angeblich notwendige Aktualisierung des pushTAN-Verfahrens oder eine Erneuerung der S-ID-Check-App. Die Betrüger behaupten, Sicherheitszertifikate seien abgelaufen oder eine neue EU-Richtlinie erfordere sofortige Re-Verifizierung.

Passend zum Thema Schutz vor Phishing und gefälschten QR-Codes: Viele Android‑Nutzer übersehen einfache, aber wirkungsvolle Schutzmaßnahmen, mit denen Kriminelle keine Chance haben. Unser Gratis‑Sicherheitspaket erklärt die fünf wichtigsten Schritte – sichere App‑Einstellungen, automatische Updates, QR‑Code‑Checks, empfohlene Schutz-Apps und eine praktische Checkliste. Klar formuliert und Schritt für Schritt umsetzbar. Gratis Android-Sicherheitspaket jetzt herunterladen

Auch Volksbanken-Kunden stehen unter Beschuss. Hier zielen die Angreifer auf die “SecureGo plus”-App. Die Drohung: Der Zugang werde gesperrt, wenn nicht binnen 24 Stunden die Mobilfunknummer bestätigt wird. Die klare Ansage der Banken: Wir fordern niemals per E-Mail oder SMS zur Dateneingabe über einen Link auf.

Quishing kehrt zurück – diesmal per Post

Das Landeskriminalamt Niedersachsen meldet eine besorgniserregende Entwicklung. Beim sogenannten “Quishing” (QR-Code-Phishing) finden Opfer physische Briefe in ihrem Hausbriefkasten. ING, Commerzbank, Deutsche Bank – die Logos wirken echt, das Papier hochwertig.

Das perfide Schema:

• Angebliche Änderungen im Zahlungsverkehr oder neue AGB
• Ein prominenter QR-Code soll gescannt werden
• Das Smartphone landet auf einer Phishing-Webseite
• Login-Daten und PINs werden abgegriffen

Warum funktioniert das? Ein Brief im echten Briefkasten genießt einen Vertrauensvorschuss. Viele Menschen scannen den Code, bevor sie misstrauisch werden. Das LKA betont: Banken wickeln Verfahrensumstellungen niemals ausschließlich über QR-Codes ab.

Die Breite der Angriffe: Von DKB bis Netflix

Das Phishing-Radar der Verbraucherzentrale zeigt einen sprunghaften Anstieg bei DKB und Klarna. Die DKB-Masche: E-Mails fordern zur “Verifizierung der Telefonnummer” auf, Drohung mit Kontoeinschränkungen inklusive. Bei Klarna behaupten Betrüger, letzte Zahlungen könnten nicht zugeordnet werden.

Selbst Streaming-Dienste geraten ins Visier. Disney+ und Netflix dienen als Köder – angeblich müssten Zahlungsinformationen erneuert werden. Was harmlos klingt, hat System: Die erbeuteten Zugangsdaten nutzen Kriminelle für “Credential Stuffing” – den Versuch, mit denselben Passwörtern in andere Konten einzudringen.

Warum gerade jetzt?

Die Vorweihnachtszeit ist Hochsaison für Cyberkriminelle. Stress beim Geschenke-Kauf, ständige Benachrichtigungen von Paketdiensten – die Aufmerksamkeit sinkt. Doch neu ist die Qualität der Fälschungen. Rechtschreibfehler, früher ein sicheres Erkennungszeichen, sind dank KI-gestützter Tools fast verschwunden.

Die Kombination aus analogem Brief und digitalem Angriff ist besonders perfide. Viele Spam-Filter greifen nicht, weil der erste Kontakt den digitalen Posteingang gar nicht berührt. Der Brief landet direkt im Hausbriefkasten – und damit im Vertrauensbereich.

Was Sie jetzt tun müssen

Das BSI rechnet damit, dass sich die Angriffe bis Weihnachten verstärken. Bald dürften angebliche “Paketprobleme” und “Zollgebühren” als Köder dienen. Entspannung? Nicht in Sicht.

Die drei wichtigsten Schutzmaßnahmen:

• Keine Links klicken: Online-Banking immer über die bekannte Webadresse oder offizielle App aufrufen
• QR-Codes kritisch prüfen: Keine Codes aus unaufgeforderten Briefen scannen – im Zweifel die offizielle Hotline kontaktieren
• Push-Nachrichten genau lesen: Niemals eine Freigabe bestätigen, die Sie nicht selbst gerade veranlasst haben

Wurden bereits Daten eingegeben? Jede Minute zählt. Konto und Online-Banking über den Sperr-Notruf 116 116 sofort sperren lassen. Anschließend Anzeige bei der Polizei erstatten – mittlerweile auch über die Online-Wachen der Bundesländer möglich.

Kriminelle setzen auf Zeitdruck und Vertrauen. Wer beide Faktoren durchschaut, bleibt geschützt.

PS: Verunsichert nach dem Lesen? Mit dem kostenlosen Sicherheitspaket für Android schützen Sie Ihre Konten aktiv: Schritt-für-Schritt-Anleitungen zur sicheren Nutzung von Banking-Apps, eine praxisnahe Checkliste für QR-Codes und einfache Einstellungen gegen Identitätsdiebstahl. Die Hinweise sind speziell für Alltagsnutzer konzipiert und lassen sich sofort umsetzen. Kostenloses Android-Schutzpaket anfordern