Phishing-Welle im Oktober: Was Sie jetzt für Bankkonto, Smartphone, Familie und Betrieb tun sollten

Das Wichtigste in Kürze

Seit Anfang Oktober meldet die Verbraucherzentrale fast täglich neue gefälschte Mails im Namen von Banken und Zahlungsdiensten, darunter PayPal, DKB, Sparkasse, Volksbank und Comdirect. Am 8. Oktober haben die Deutsche Bundesbank und das Bundesfinanzministerium deshalb eine Aufklärungskampagne angekündigt, die seit dem 10. Oktober rund einen Monat läuft. Ihr Motto fasst die wichtigste Regel zusammen: innehalten, nachdenken, sich schützen.

Konkret heißt das: Klicken Sie in solchen Nachrichten auf keinen Link, prüfen Sie Hinweise nur in der offiziellen App oder auf der Ihnen bekannten Internetseite, und sichern Sie Ihre wichtigsten Konten so ab, dass ein gestohlenes Passwort allein nicht reicht. Im Folgenden finden Sie die Schritte für Ihr Postfach, Ihre Anmeldungen, Ihr Smartphone, Ihre Familie und Ihren Betrieb.

Was gerade passiert

Die Mails der letzten Tage folgen einem gemeinsamen Muster. Laut dem Phishing-Radar der Verbraucherzentrale behaupten sie zum Beispiel:

• Ihr DKB-Konto sei nicht aktualisiert worden, der Zugriff werde in 72 Stunden eingeschränkt (Warnung vom 9. Oktober).
• PayPal habe neue Sicherheitsrichtlinien und Sie müssten innerhalb von 24 Stunden ein Schutzmodul per SMS bestätigen (8. Oktober).
• Ihre Sparkasse verlange eine Überprüfung Ihrer Daten binnen 48 Stunden (7. Oktober) oder erstatte Ihnen angeblich 106,99 Euro zu Unrecht berechnete Gebühren (5. Oktober).
• Bei der Volksbank werde das TAN-Verfahren gesperrt, wenn Sie nicht bis zu einem bestimmten Datum ein neues Sicherheitssystem aktivieren (6. Oktober).

Alle Varianten arbeiten mit Zeitdruck, Drohung oder einem Geldversprechen und führen über einen Knopf oder Link auf eine nachgemachte Anmeldeseite. Die Bundesbank zählt für das Jahr 2025 rund 1,8 Millionen betrügerische Zahlungsvorgänge mit einem Schaden von mehr als 580 Millionen Euro. Phishing nennt sie dabei als verbreitete Methode.

Bereich 1: Ihr E-Mail-Postfach

Hier kommt der Großteil der aktuellen Fälschungen an. Die Verbraucherzentrale und das Bundesamt für Sicherheit in der Informationstechnik (BSI) nennen diese Warnzeichen:

• unpersönliche Anrede oder ein Wechsel zwischen Sie und Du in derselben Mail
• ungewöhnliche Absenderadresse
• kurze Fristen und Drohungen, etwa mit Sperrung oder Löschung des Kontos
• ein Knopf wie „Daten aktualisieren“, hinter dem sich eine fremde Adresse verbirgt

Das BSI weist darauf hin, dass gefälschte Mails Logos, Farben und Schriften echter Unternehmen oft täuschend genau kopieren. Ein ordentliches Erscheinungsbild ist also kein Beweis für Echtheit.

So gehen Sie vor:

1. Nicht klicken: Öffnen Sie keinen Link und keinen Anhang aus der Mail, auch nicht „nur zum Nachsehen“.
2. Selbst nachsehen: Öffnen Sie die App Ihrer Bank oder tippen Sie die bekannte Adresse selbst in den Browser. Gibt es wirklich etwas zu erledigen, sehen Sie es dort.
3. Melden: Die Verbraucherzentrale sammelt Phishing-Mails für ihr Phishing-Radar und rät, sie außerdem dem nachgeahmten Unternehmen zu melden. Die Meldewege stehen auf deren Internetseiten.
4. Wegräumen: Verschieben Sie die Mail danach unbeantwortet in den Spam-Ordner.

Bereich 2: Ihre Anmeldungen bei Bank, PayPal und E-Mail

Phishing zielt auf Ihr Passwort. Am besten schützen Sie sich, indem ein Passwort allein nicht mehr zum Anmelden reicht. Das BSI hat die gängigen Verfahren der Zwei-Faktor-Authentisierung bewertet:

• Passkeys und Sicherheitsschlüssel: Laut BSI sind beide Passkey-Verfahren resistent gegen übliche Phishing-Angriffe. Der geheime Schlüssel bleibt auf Ihrem Gerät und wird auch auf einer gefälschten Seite nicht preisgegeben.
• Codes per SMS oder aus einer App: Sie sind deutlich besser als ein Passwort allein. Das BSI weist aber darauf hin, dass Betrüger diese Codes in Echtzeit abgreifen können, wenn Sie sie auf einer gefälschten Seite eingeben.

Was Sie jetzt tun können:

1. Prüfen Sie bei Ihrem E-Mail-Konto, bei PayPal und bei anderen wichtigen Diensten in den Sicherheitseinstellungen, ob ein zweiter Faktor eingeschaltet ist.
2. Wenn der Dienst Passkeys anbietet, richten Sie einen ein. Das BSI empfiehlt, dabei für eine funktionierende Sicherung zu sorgen, damit Sie bei Verlust des Geräts nicht ausgesperrt sind.
3. Geben Sie einen Bestätigungscode nie auf einer Seite ein, die Sie über einen Link aus einer Mail oder SMS erreicht haben. Das PayPal-Beispiel vom 8. Oktober zeigt, dass Betrüger gezielt nach SMS-Codes fragen.

Bereich 3: Ihr Smartphone

Phishing kommt nicht nur per Mail. Das BSI nennt drei weitere Wege, die gerade auf dem Handy eine Rolle spielen:

• SMS: Seien Sie vorsichtig bei Nachrichten angeblicher Paketdienste oder Shops, die eine Zahlung verlangen oder ein Zustellproblem melden. Prüfen Sie, ob Sie überhaupt ein Paket erwarten. Achten Sie auf Rechtschreibfehler und seltsame Zeichenfolgen in Links.
• QR-Codes: Scannen Sie keine QR-Codes aus Mails, die zu dringendem Handeln auffordern, egal wie seriös der Absender wirkt. Das BSI weist darauf hin, dass Virenscanner QR-Codes oft als harmlose Bilder behandeln.
• Anrufe: Geben Sie am Telefon keine persönlichen Daten preis und legen Sie im Zweifel auf. Die Kampagne der Bundesbank zeigt in Videos genau diese Masche: Anrufe von angeblichen Bankmitarbeitern.

Ein praktischer Rat des BSI: Sie können mit Ihrer Bank ein Codewort vereinbaren, an dem Sie echte Anrufe erkennen. Halten Sie außerdem das Betriebssystem und die Banking-App Ihres Smartphones aktuell.

Bereich 4: Familie und ältere Angehörige

Wer selten Mails von Banken bekommt, rechnet nicht mit Fälschungen. Ein kurzes Gespräch in der Familie hilft oft mehr als jede Technik:

• Vereinbaren Sie eine einfache Regel: Bei jeder Nachricht, die Druck macht oder Geld verspricht, wird erst gefragt und dann gehandelt.
• Zeigen Sie, wo in der Banking-App echte Mitteilungen der Bank zu finden sind.
• Richten Sie bei Angehörigen gemeinsam einen zweiten Faktor oder einen Passkey ein und bewahren Sie die Wiederherstellungscodes sicher auf.
• Machen Sie klar, dass Auflegen und Zurückrufen unter der Nummer auf der Bankkarte immer erlaubt ist, auch wenn der Anrufer drängt.

Bereich 5: Im kleinen Betrieb

Betriebe sind doppelt betroffen: Mitarbeitende bekommen dieselben Mails wie Privatleute, und gefälschte Rechnungen oder Zahlungsanweisungen kommen hinzu. Das BSI rät grundsätzlich, eine ungewöhnliche Aufforderung über einen anderen Weg zu prüfen, zum Beispiel per Telefon.

1. Zweiter Weg bei Geld: Neue Bankverbindungen von Lieferanten und eilige Zahlungsanweisungen werden immer telefonisch unter einer bereits bekannten Nummer bestätigt, nicht unter der Nummer aus der Mail.
2. Zweiter Faktor für alle: Schalten Sie für E-Mail, Onlinebanking und Cloud-Dienste des Betriebs einen zweiten Faktor ein, für Konten mit Zahlungsrechten bevorzugt Passkeys oder Sicherheitsschlüssel.
3. Kurz informieren: Leiten Sie die aktuellen Beispiele aus dem Phishing-Radar an Ihr Team weiter und legen Sie fest, wem verdächtige Mails gemeldet werden.
4. Nicht schämen lassen: Wer geklickt hat, soll es sofort sagen dürfen. Je früher Sie davon wissen, desto kleiner bleibt der Schaden.

Wenn Sie schon geklickt oder Daten eingegeben haben

• Rufen Sie Ihre Bank oder den Zahlungsdienst sofort an, über die Nummer auf der Karte oder der Ihnen bekannten Internetseite, und lassen Sie den Zugang sperren.
• Ändern Sie das Passwort des betroffenen Kontos von einem Gerät aus, dem Sie vertrauen, und prüfen Sie die letzten Umsätze.
• Das BSI nennt für Betroffene die Polizei, die eine Anzeige auch über die Onlinewachen der Länder aufnimmt, sowie das Service-Center des BSI für Fragen zur IT-Sicherheit.

Was Sie danach Schritt für Schritt tun, beschreibt unser Beitrag „Konto gehackt: Checkliste für die ersten Stunden“.

Wenn Sie den zweiten Faktor oder Passkeys für sich, Ihre Angehörigen oder Ihr Team nicht allein einrichten möchten, lohnt sich ein Fachbetrieb, der die Konten mit Ihnen gemeinsam absichert und Sicherungscodes sauber hinterlegt.