Phishing-Mails sind inzwischen vielen ein Begriff. Deutlich weniger im Bewusstsein ist, wie professionell Betrüger aktuell am Telefon und per SMS vorgehen — zwei Wege, die gerade wieder stark zunehmen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stellt in seinem Cybersicherheitsmonitor 2026 fest, dass bereits jeder neunte Internetnutzer in Deutschland (11 Prozent) im Jahr 2025 Opfer von Cyberkriminalität wurde. Telefon- und SMS-Betrug sind ein wesentlicher Teil dieser Zahl.
Anders als bei einer offensichtlich schlecht gemachten Spam-Mail wirken diese Maschen auf den ersten Blick oft völlig seriös — weil sie gezielt Vertrauen ausnutzen, das Menschen in ihre Bank oder in Paketdienste haben.
Die Masche "falscher Bankmitarbeiter"
Bei dieser Betrugsform ruft jemand an, der sich als Mitarbeiter der eigenen Bank oder Sparkasse ausgibt — meist aus der "Sicherheitsabteilung" oder "Betrugsprävention". Die Geschichte dahinter ist fast immer dieselbe: Es seien verdächtige Abbuchungen auf dem Konto festgestellt worden, das Konto sei deshalb vorübergehend gesperrt, und man müsse jetzt handeln, um es wieder freizuschalten.
Was diese Anrufe gefährlich macht, sind drei Tricks, die immer wieder auftauchen:
- Gefälschte Anrufer-ID (Call-ID-Spoofing): Auf dem Display erscheint die echte Telefonnummer der eigenen Bank — das ist technisch leicht manipulierbar und kein Echtheitsbeweis.
- Insiderwissen: Manche Anrufer kennen bereits reale Kontodaten oder frühere Transaktionen, oft aus vorherigen Phishing-Mails, angeblichen Umfragen oder entsorgten Kontoauszügen. Das wirkt glaubwürdig, stammt aber nicht aus einem legitimen Bankzugriff.
- Künstlicher Zeitdruck: Die Darstellung, das Konto sei bereits gesperrt oder werde es gleich, soll dazu bringen, unüberlegt zu reagieren.
Am Ende wird meist um eine TAN gebeten, um eine angebliche Buchung "zu stornieren", um die Freigabe einer Transaktion in der Banking-App, um die PIN oder sogar darum, die Girocard an einen vorbeikommenden "Kurier" zu übergeben. In Wahrheit autorisiert genau diese Handlung die Überweisung der Betrüger an sich selbst. Fälle mit fünf- bis sechsstelligen Schadenssummen durch diese Masche melden Polizeidienststellen in ganz Deutschland regelmäßig — von Ostfriesland bis Thüringen, quer durch alle Regionen.
Smishing: SMS-Betrug mit Paket- und Bank-Masche
Parallel dazu warnt das BSI aktuell vor einem massiven Anstieg gefälschter SMS, dem sogenannten Smishing. Die häufigste Variante gibt sich als Paketdienst aus — DHL, Hermes, DPD oder GLS — und behauptet, es fehlten Adressdaten oder es stehe noch eine kleine Gebühr für die Zustellung aus. Der enthaltene Link führt zu einer überzeugend gestalteten, aber gefälschten Seite, auf der Zahlungsdaten abgefragt werden.
Eine zweite verbreitete Variante gibt sich als Sicherheitswarnung der eigenen Bank aus, etwa von Sparkassen, Volksbanken oder Raiffeisenbanken, und droht mit einer Sperrung des Online-Bankings, wenn nicht sofort über einen Link "verifiziert" wird. Auch gefälschte Mails im Namen von Behörden oder Krankenkassen mit ähnlichen Drohszenarien sind derzeit im Umlauf.
So prüfen Sie einen verdächtigen Anruf oder eine verdächtige SMS
- Auflegen, wenn etwas komisch wirkt — ein höflicher, aber bestimmter Satz wie "Ich rufe Sie über die mir bekannte Nummer zurück" reicht völlig aus.
- Selbst zurückrufen, nicht die Rückruffunktion nutzen — die Nummer von der Bankkarte oder aus den eigenen Unterlagen verwenden, niemals eine Nummer aus dem verdächtigen Anruf oder der SMS selbst.
- Niemals PIN, TAN oder eine App-Freigabe am Telefon weitergeben — das fragt keine seriöse Bank jemals ab.
- Links in SMS und Messenger-Nachrichten grundsätzlich meiden — bei echtem Anliegen die offizielle App oder Webseite direkt öffnen.
- Mit jemandem darüber sprechen, bevor man handelt — ein kurzes Gespräch mit Familie oder Bekannten entlarvt viele Drucksituationen sofort.
- Zwei-Faktor-Authentifizierung aktivieren, wo immer möglich — sie macht es Betrügern deutlich schwerer, selbst wenn einzelne Daten bereits bekannt sind.
Wenn es doch passiert ist
Wer bereits eine TAN, PIN oder Kontodaten weitergegeben hat oder eine verdächtige Transaktion freigegeben hat, sollte nicht erst abwarten. Die Bank sollte umgehend telefonisch kontaktiert werden, um Überweisungen nach Möglichkeit noch zu stoppen oder zurückzuholen. Zusätzlich gehört eine Anzeige bei der Polizei dazu — auch online über die Internetwache des jeweiligen Bundeslandes möglich. Je schneller das passiert, desto größer die Chance, zumindest einen Teil des Schadens zu begrenzen.
Kurz zusammengefasst
- Laut BSI-Cybersicherheitsmonitor 2026 ist bereits jeder neunte Internetnutzer in Deutschland (11 Prozent) Opfer von Cyberkriminalität geworden.
- Bei Anrufen angeblicher Bankmitarbeiter ist die angezeigte Nummer kein Echtheitsbeweis — sie lässt sich fälschen.
- Keine Bank fragt telefonisch nach PIN oder TAN und lässt niemals Karten von einem Kurier abholen.
- SMS mit angeblichen Paketproblemen oder Kontosperrungen sind aktuell eine der häufigsten Betrugsmaschen überhaupt.
- Im Zweifel gilt immer: selbst zurückrufen, keine Links aus unaufgeforderten Nachrichten öffnen, bei Unsicherheit Rücksprache halten.
Wie Sie verdächtige E-Mails anhand echter Beispiele erkennen, zeigt unser Artikel Spam- und Phishing-Mails erkennen: 5 echte Beispiele aus meinem Postfach.
Quellen und weitere Informationen: boerse-express.com (BSI-Warnung), Polizei NRW