Phishing beim Onlinebanking erkennen

Beim Phishing geben sich Betrüger als Bank oder Zahlungsdienstleister aus, um Zugangsdaten zu stehlen oder Zahlungen freigeben zu lassen. Sei vorsichtig bei unerwarteten Nachrichten, die dich unter Zeitdruck setzen oder auffordern, über einen Link, QR-Code oder Anruf zu handeln.

Öffne dein Banking über die vertraute App oder gib die Bankadresse selbst ein. Gib PIN, TAN oder Passwort nicht auf einer Seite ein, die du über eine Nachricht geöffnet hast, und bestätige nur Zahlungen, die du selbst veranlasst hast.

Achte auf Druck und Datenfragen

Eine Nachricht ist verdächtig, wenn sie eine sofortige Kontosperre, ein Sicherheitsproblem oder ein notwendiges Update ankündigt und dich auffordert, auf einen Link zu klicken. Betrüger nutzen auch angeblich neue Geschäftsbedingungen oder Nachrichten im elektronischen Postfach als Vorwand. Die Polizei und die Verbraucherzentrale empfehlen, bei solchen Aufforderungen zunächst nicht zu handeln. Öffne dein Banking unabhängig von der Nachricht.

Entscheidend ist, was die andere Person oder die Nachricht von dir verlangt. Eine Bank-PIN, ein Passwort oder eine TAN gehört nicht in eine Antwort auf eine E-Mail, SMS oder Messenger-Nachricht. Eine TAN oder eine Freigabe in der Banking-App kann eine konkrete Überweisung oder die Freischaltung eines neuen Geräts bestätigen. Lies deshalb Betrag, Empfänger und weitere angezeigte Angaben, bevor du etwas bestätigst.

Auch ein Anruf kann Teil des Betrugs sein. Die Bundesbank warnt vor Anrufern, die sich als Bankmitarbeitende oder Softwareanbieter ausgeben und TANs, Gerätefreigaben oder sogenannte Testzahlungen verlangen. Die angezeigte Telefonnummer beweist nicht, wer tatsächlich anruft, denn sie lässt sich manipulieren. Lege auf und ruf deine Bank über eine Nummer an, die du selbst aus einer verlässlichen Quelle heraussuchst.

Prüfe Nachrichten über einen eigenen Weg

Klicke bei einer unerwarteten Banknachricht nicht auf den enthaltenen Link und scanne keinen QR-Code, um dich einzuloggen. Öffne stattdessen die App, die du bereits nutzt, oder tippe die bekannte Adresse deiner Bank selbst in den Browser ein. Auch eine Suchmaschinenanzeige kann zu einer gefälschten Bankseite führen.

Ein Schloss-Symbol oder „HTTPS“ in der Browserzeile zeigt eine verschlüsselte Verbindung an. Es beweist nicht, dass die Seite deiner Bank gehört. Betrüger können ebenfalls verschlüsselte Webseiten einrichten. Prüfe deshalb die Adresse genau und folge keinem Link, nur weil die Seite ein vertrautes Logo oder Bankfarben zeigt.

An der Gestaltung allein erkennst du nicht, ob eine Nachricht echt ist. Gefälschte Nachrichten können korrekt formuliert sein und deinen Namen oder ein echtes Logo enthalten. Rechtschreibfehler sind ein Warnsignal; fehlen sie, ist das kein Echtheitsnachweis. Umgekehrt beweist ein einzelner Fehler noch nicht, dass eine Nachricht betrügerisch ist.

Prüfe jede Freigabe

Wenn du selbst eine Überweisung gestartet hast, vergleiche die Daten in der Banking-App oder im TAN-Verfahren mit deinem Auftrag. Stimmen Betrag oder Empfänger nicht, brich ab und kontaktiere deine Bank über einen bekannten Weg. Bestätige auch keine angebliche „Sicherheitsprüfung“, wenn du den dazugehörigen Vorgang nicht selbst begonnen hast.

Bei einer Push-Freigabe gilt dieselbe Regel wie bei einer TAN: Lies, was du tatsächlich bestätigst. Eine Freigabe kann eine Zahlung oder eine Geräteaktivierung autorisieren. Sie ist keine harmlose Identitätskontrolle, nur weil ein Anrufer oder eine Nachricht sie so bezeichnet.

Seit dem 9. Oktober 2025 müssen Banken bei erfassten Euro-Überweisungen im Euroraum von Girokonto zu Girokonto den eingegebenen Empfängernamen mit der IBAN abgleichen. Das gilt laut BaFin für Echtzeitüberweisungen und herkömmliche Überweisungen. Bei einer Abweichung erhältst du einen Hinweis und kannst den Auftrag korrigieren, abbrechen oder trotz Warnung freigeben. Die Prüfung hilft, falsche Empfängerdaten zu erkennen. Sie schützt aber nicht vor gefälschten Bankseiten oder gestohlenen Zugangsdaten.

Wenn du schon reagiert hast

Wenn du auf einen verdächtigen Link geklickt, Daten eingegeben oder eine Freigabe bestätigt hast, brich den Kontakt ab. Informiere sofort deine Bank. Nutze dafür die Telefonnummer oder den Zugang, den du unabhängig von der verdächtigen Nachricht findest. Bitte die Bank, den Onlinebanking-Zugang oder betroffene Zahlungsinstrumente zu sperren, und prüfe deine Kontobewegungen. Für Sperren nennt die BaFin auch den Sperr-Notruf 116 116. Welche Sperre dort möglich ist, hängt vom jeweiligen Zahlungsinstrument und der Bank ab.

Ändere Zugangsdaten, die du auf einer gefälschten Seite eingegeben hast, über den echten Bankkontakt. Wenn du eine unbekannte Freigabe bestätigt oder eine Überweisung ausgelöst hast, teile der Bank genau mit, was passiert ist. Wenn du ein Schadprogramm vermutest, beende das Onlinebanking und nutze das betroffene Gerät erst wieder, wenn es überprüft und bereinigt wurde. Sichere außerdem Nachrichten, Telefonnummern, Zeitpunkte und Buchungsangaben. Bei Betrugsverdacht kannst du Anzeige bei der Polizei erstatten.

Melde unbekannte oder fehlerhafte Buchungen unverzüglich deiner Bank. Die Verbraucherzentrale empfiehlt bei Kontobetrug außerdem, schriftlich eine Erstattung zu verlangen und gegebenenfalls die Empfängerbank zu informieren. Eine Anzeige bei der Polizei ersetzt die Meldung an die Bank nicht.

Was das Gesetz zur Erstattung sagt

Ob eine Bank einen Schaden erstatten muss, hängt unter anderem davon ab, ob die Zahlung rechtlich als nicht autorisiert gilt. Nach § 675u BGB muss der Zahlungsdienstleister einen nicht autorisierten Zahlungsvorgang grundsätzlich unverzüglich erstatten und das Konto wieder auf den Stand ohne die Belastung bringen. Eine Zahlung, zu der dich ein Betrüger durch Täuschung gebracht hat, wird dadurch nicht automatisch rechtlich als nicht autorisiert eingestuft.

§ 675v BGB regelt unter bestimmten Voraussetzungen eine Haftung des Zahlers bis zu 50 Euro. Bei Betrug, Vorsatz oder grober Fahrlässigkeit kann die Haftung weiter reichen. Ob das im Einzelfall zutrifft, lässt sich nicht allein daran ablesen, dass eine TAN eingegeben oder eine App-Freigabe bestätigt wurde.

Bei einem bestrittenen Zahlungsvorgang muss die Bank nach § 675w BGB die Authentifizierung und ordnungsgemäße Aufzeichnung nachweisen. Der Nachweis, dass ein Zahlungsinstrument oder Sicherheitsmerkmal verwendet wurde, reicht allein nicht zwingend aus, um zu belegen, dass du die Zahlung autorisiert oder grob fahrlässig gehandelt hast. Melde den Vorfall daher sofort und bitte die Bank um eine Prüfung, statt selbst von einer sicheren Erstattung oder einem sicheren Verlust auszugehen.

Für den Verdacht einer missbräuchlichen Nutzung eines Zahlungsinstruments verlangt § 675l BGB eine unverzügliche Anzeige. Auch einen nicht autorisierten oder fehlerhaft ausgeführten Zahlungsvorgang musst du nach § 676b BGB unverzüglich nach seiner Feststellung melden. Ansprüche können grundsätzlich ausgeschlossen sein, wenn du die Bank nicht spätestens 13 Monate nach der Belastung informierst. Diese Frist ist kein Anlass, mit der Meldung zu warten.

Bankwarnungen und Betrugszahlen einordnen

Sicherheitswarnungen beziehen sich häufig auf bestimmte Banken und Zeiträume. Die Sparkassen-Finanzgruppe meldete zum Beispiel am 1. und 2. Oktober 2026 gefälschte Nachrichten zu einem angeblichen S-pushTAN-Update oder neuen Mitteilungen im elektronischen Postfach. In der beschriebenen Masche folgten auf die Dateneingabe teils Anrufe mit vorgetäuschter Sparkassen-Telefonnummer, bei denen Betrüger zu Gerätefreigaben oder Überweisungen bewegen wollten. Das Beispiel veranschaulicht ein mögliches Vorgehen. Ob die Lage bei allen Banken einheitlich ist und ob diese konkreten Nachrichten weiterhin kursieren, bleibt damit offen.

Bundesbank und Bundesfinanzministerium meldeten am 8. Oktober 2026 rund 1,8 Millionen betrügerische Zahlungsvorgänge mit einem Schaden von mehr als 580 Millionen Euro im Jahr 2025. Die Zahlen umfassen sämtliche Formen betrügerischer Zahlungen, nicht nur Phishing oder Betrug beim Onlinebanking.