Phishing-Welle: So erkennt ihr die falschen Mails von Sparkasse, Postbank und ELSTER

Die Nummer im Display sieht aus wie die eurer Bank. Am Telefon meldet sich eine freundliche Stimme: Es gebe ein Sicherheitsproblem, ihr möchtet bitte kurz einen Auftrag in der pushTAN-App freigeben. Wer das tut, hat gerade eine Überweisung an Betrüger bestätigt.

Vor genau solchen Anrufen warnt aktuell die Sparkasse Westmünsterland. Und das ist nur ein Teil einer Welle, die gerade durch die Postfächer rollt: Allein zwischen dem 8. und 15. September hat das Phishing-Radar der Verbraucherzentrale NRW sechs neue Maschen gemeldet. Zeit für ein Update – mit den aktuellen Tricks, den wichtigsten Regeln und dem, was ihr über die Haftung wissen solltet.

Die Maschen der vergangenen Tage

• Sparkasse: Betreff „S-pushTAN Online – Verifizierung notwendig!“. Angeblich müsst ihr eure Zugangsdaten überprüfen lassen.
• Postbank: Ihr sollt eure Daten bestätigen, sonst drohen Einschränkungen in der BestSign-App. Frist: zwei Tage.
• ELSTER: Unter dem Betreff „Elster Registerdatenabgleich“ heißt es, eure Steuerdaten wichen ab. Bestätigen sollt ihr Adresse, Kontaktdaten und Bankverbindung. Schon Ende August lockten Fälscher mit einer angeblichen Steuererstattung und fragten Kreditkartendaten ab.
• WhatsApp: Ihr sollt eure Aktivität binnen 24 Stunden bestätigen, sonst werde das Konto deaktiviert und eure Nachrichten gelöscht.
• Santander und easybank: Mal geht es um neue Geschäftsbedingungen mit 48-Stunden-Frist, mal um eine angeblich neue Zwei-Faktor-Anmeldung.

Zu ELSTER eine klare Ansage der Steuerverwaltung: Sie fordert per E-Mail niemals Steuernummer, Kontoverbindung, Kreditkartennummer oder PIN an. Niemals.

So läuft der Betrug ab: erst die Mail, dann der Anruf

Die Täter arbeiten zunehmend in zwei Schritten. Zuerst kommt die Phishing-Mail. Wer auf den Link klickt und auf der gefälschten Seite Anmeldename, PIN oder Kartennummer eingibt, liefert den Schlüssel zum Konto.

Dann klingelt das Telefon. Auf dem Display erscheint oft eine echt wirkende Nummer – Fachleute nennen das Call-ID-Spoofing. Der Anrufer kennt euren Namen, vielleicht sogar euren Kontostand. Das wirkt seriös. Währenddessen richten die Täter mit den erbeuteten Daten ihr eigenes Handy für die TAN-App ein, erhöhen das Überweisungslimit oder starten direkt eine Überweisung. Die nötige Freigabe sollt ihr am Telefon erteilen – als „Stornierung“ oder „Sicherheitsprüfung“ getarnt.

Die Sparkasse Westmünsterland stellt klar: Mitarbeiter würden Kunden niemals telefonisch auffordern, Überweisungen oder andere Vorgänge per pushTAN freizugeben. Das gilt für jede seriöse Bank.

Warum die Fälschungen immer besser werden

Früher hat man Phishing-Mails oft an holprigem Deutsch erkannt. Darauf ist kein Verlass mehr. Das Bundeskriminalamt schreibt in seinem aktuellen Lagebild Cybercrime ausdrücklich, dass Künstliche Intelligenz die Einstiegshürden senkt und Phishing authentischer macht. Die Texte sind heute oft fehlerfrei und klingen wie echte Post von der Bank.

Ich sage es mal so: KI denkt nicht, sie rechnet. Aber sie rechnet den Betrügern gerade sehr ordentliche Texte zusammen.

Die gute Nachricht: Das Grundmuster bleibt gleich. Fehlende persönliche Anrede, eine fremde Absenderadresse, eine knappe Frist, eine Drohung – und am Ende ein Link. Wer diese vier Zutaten kennt, erkennt auch die gut gemachten Fälschungen.

Wie groß das Problem ist, zeigen die Zahlen: Allein in Nordrhein-Westfalen hat die Polizei 2025 rund 55.000 Fälle von Cybercrime erfasst, mit einem dokumentierten Schaden von etwa 100 Millionen Euro. Die Dunkelziffer liegt deutlich höher, weil viele Opfer sich schämen und nichts anzeigen.

Wer zahlt, wenn ihr reingefallen seid?

Grundsätzlich gilt: Bei einer Zahlung, die ihr nicht autorisiert habt, muss die Bank das Geld erstatten. Die Ausnahme ist allerdings groß – wer grob fahrlässig handelt, bleibt auf dem Schaden sitzen.

Wie hart das ausgehen kann, zeigt ein Urteil des Oberlandesgerichts Oldenburg (24. April 2025, Az. 8 U 103/23): Ein Ehepaar verlor rund 41.000 Euro. Die Frau hatte nach einer Phishing-Mail mit der Anrede „Sehr geehrter Kunde“ auf einer gefälschten Seite PIN und Kartennummer eingegeben. Das Gericht wertete das als grob fahrlässig – kein Geld zurück.

Es geht aber auch anders. Das Oberlandesgericht Dresden (5. Juni 2025, Az. 8 U 1482/24) verurteilte eine Sparkasse, 20 Prozent eines Schadens von rund 49.400 Euro zu tragen. Der Kunde war zwar ebenfalls grob fahrlässig, aber die Bank hatte den Login nicht ausreichend abgesichert.

Das zeigt, wo das eigentliche Problem liegt: Banken verweisen im Schadensfall gern auf die Sorgfaltspflicht ihrer Kunden. Wer aber von einer gefälschten Banknummer angerufen wird und am Telefon unter Druck gesetzt wird, hat es schwer, kühlen Kopf zu bewahren. Hier sind Banken und Netzbetreiber gefordert, deutlich mehr gegen Spoofing und schwache Absicherungen zu tun.

Wichtig: Jeder Fall liegt anders. Wenn es euch erwischt hat, lasst euch von der Verbraucherzentrale oder einem Anwalt beraten.

Checkliste: So schützt ihr euch

1. Keine Links anklicken. Mails und SMS zu Bank, Steuer oder Konto öffnet ihr nie über den Link. Startet lieber selbst die App oder tippt die Adresse in den Browser. Echte Hinweise findet ihr auch dort.
2. Auflegen und zurückrufen. Ruft euch „die Bank“ an, legt auf und wählt selbst die Nummer von eurer Bankkarte oder der offiziellen Webseite.
3. Freigaben genau lesen. Schaut in der TAN-App immer nach, was ihr bestätigt: Betrag, Empfänger, neues Gerät? Habt ihr nichts in Auftrag gegeben, lehnt ab.
4. Warnungen ernst nehmen. Seit Oktober 2025 gleichen Banken bei Überweisungen Name und IBAN ab. Meldet eure Banking-App, dass beides nicht zusammenpasst, stoppt die Überweisung.
5. Zeitdruck ist ein Alarmsignal. Keine Bank und kein Finanzamt sperrt euch nach 24 Stunden das Konto per Mail.
6. Zwei-Faktor-Schutz einschalten. Bei WhatsApp heißt er „Verifizierung in zwei Schritten“ und steckt in den Einstellungen unter „Konto“.
7. Limits niedrig halten. Ein niedriges Tageslimit fürs Online-Banking begrenzt den möglichen Schaden.
8. Andere warnen. Verdächtige Mails könnt ihr an phishing@verbraucherzentrale.nrw weiterleiten.

Notfallplan: Das tut ihr sofort

• Bank anrufen und Konto oder Karte sperren lassen. Das geht rund um die Uhr auch über den Sperr-Notruf 116 116.
• Passwörter ändern, vor allem wenn ihr sie mehrfach verwendet.
• Beweise sichern: Mails, SMS, Screenshots, Uhrzeit und Nummer des Anrufs.
• Anzeige erstatten. In NRW geht das online über die Internetwache der Polizei.
• Beratung holen, etwa bei der Verbraucherzentrale.

Schnell sein lohnt sich: Echtzeitüberweisungen lassen sich kaum zurückholen, aber jede Minute zählt.

Mein Fazit

Phishing ist kein Problem von Unvorsichtigen. Die Maschen sind professionell, die Texte dank KI glatt, die Anrufe psychologisch geschickt. Selbst Menschen, die sich gut mit Technik auskennen, geraten unter Zeitdruck ins Straucheln.

Deshalb mein Rat: Macht euch eine einzige Regel zur Gewohnheit – nichts über Links, nichts am Telefon. Alles, was mit eurem Konto zu tun hat, erledigt ihr ausschließlich über die App oder die Webseite, die ihr selbst aufruft. Und erzählt das bitte weiter, gerade Eltern und Großeltern. Ein kurzes Gespräch am Küchentisch schützt oft besser als jede Technik.