Online-Banking sicher nutzen: Phishing, Fake-Seiten und TAN-Verfahren verständlich erklärt

22:40 Uhr, eine SMS: „Ihre Karte wurde aus Sicherheitsgründen gesperrt. Bitte bestätigen Sie Ihre Identität innerhalb von 24 Stunden.“ Darunter ein Link, der aussieht wie die Adresse deiner Bank. Du bist müde, die Nachricht kennt deinen Namen und die letzten vier Ziffern deiner Karte, und irgendwo im Hinterkopf weißt du, dass letzte Woche wirklich eine Abbuchung komisch aussah. Genau in diesem Moment entscheidet sich, ob dein Konto morgen noch dir gehört. Nicht die Verschlüsselung deiner Bank ist der Schwachpunkt – sondern die zwanzig Sekunden, in denen du unter Druck eine Entscheidung triffst. Bei Online-Banking-Sicherheit geht es deshalb weniger um Technik als um zwei, drei Gewohnheiten, die im richtigen Moment greifen. Dieser Leitfaden zeigt dir, wie du solche Nachrichten enttarnst, welche Betrugsmaschen 2026 tatsächlich funktionieren, welches TAN-Verfahren deine Freigaben wirklich schützt – und was in welcher Reihenfolge zu tun ist, wenn doch Geld verschwunden ist.

Warum Online-Banking-Sicherheit 2026 anders funktioniert als vor fünf Jahren

Die Technik hinter dem Online-Banking ist heute stark: Transportverschlüsselung, gesetzlich vorgeschriebene starke Kundenauthentifizierung, Betrugserkennungssysteme, die auffällige Überweisungen in Echtzeit stoppen. Die Systeme der Banken bleiben ein Angriffsziel. Beim massenhaften Kontobetrug ist es für Täter aber meist einfacher, Kunden zu täuschen, als die Infrastruktur einer Bank zu überwinden – und dabei verbinden sie technische Werkzeuge mit psychologischem Druck.

Drei Entwicklungen haben das Bild in den letzten Jahren verschoben. Erstens sind die Nachrichten besser geworden. Die Zeiten holpriger Übersetzungen mit falschen Umlauten sind vorbei; Sprachmodelle schreiben fehlerfreies, höfliches Bankdeutsch in Sekunden. Zweitens arbeiten Angreifer mit echten Daten über dich. Aus Datenlecks und Infostealer-Sammlungen stammen Name, Adresse, Geburtsdatum, Kartenendziffern und manchmal sogar echte Buchungen. Eine Nachricht, die drei richtige Details über dich kennt, wirkt schlicht glaubwürdig. Drittens ist der Angriff arbeitsteilig geworden: Der eine schreibt die Nachricht, der zweite betreibt die gefälschte Seite, der dritte ruft an, der vierte hebt ab. Das ist keine Kellerkriminalität mehr, sondern ein Dienstleistungsmarkt.

Was daraus folgt, ist unbequem, aber befreiend: Du wirst gefälschte Nachrichten künftig nicht mehr zuverlässig am Aussehen erkennen. Rechtschreibung, Logo, Absender, Layout – alles fälschbar. Deshalb funktioniert nur ein Schutz, der unabhängig davon greift, wie echt etwas aussieht. Genau darum geht es in diesem Leitfaden.

Die drei Säulen der Online-Banking-Sicherheit

Online-Banking-Sicherheit klingt nach einem großen Thema, lässt sich aber vollständig auf drei Bereiche zurückführen. Wer in allen dreien solide aufgestellt ist, muss sich um den Rest kaum Sorgen machen – wer in einem davon eine Lücke hat, ist über diese Lücke angreifbar, egal wie gut die anderen beiden sind.

• Verbindung und Gerät. Ist der Rechner oder das Handy kompromittiert, kann Schadsoftware Eingaben mitlesen oder verändern. Ein getrenntes oder logisch isoliertes Freigabeverfahren mit Anzeige beziehungsweise dynamischer Bindung von Empfänger und Betrag schafft deshalb eine zusätzliche Kontrollinstanz. Entscheidend ist, dass du die angezeigten Transaktionsdaten tatsächlich prüfst.
• Zugang und Freigabe. Wie beweist du der Bank, dass du es bist? Und – wichtiger – wie wird eine einzelne Überweisung freigegeben? Der Unterschied zwischen „Code abtippen“ und „Betrag auf getrenntem Gerät prüfen und bestätigen“ ist der Unterschied zwischen Schaden und kein Schaden.
• Wachsamkeit. Erkennst du den Täuschungsversuch, bevor du klickst, tippst oder sprichst? Das ist die einzige Säule, die kein Hersteller für dich bauen kann.

Phishing bei Banken erkennen – und die eine Regel, die fast alles abfängt

Phishing ist der Versuch, dir mit einer gefälschten Nachricht Zugangsdaten oder eine TAN zu entlocken. Die Nachricht gibt sich als deine Bank, ein Zahlungsdienst, ein Paketdienst oder eine Behörde aus. Der Anlass ist fast immer einer von fünf: eine angeblich gesperrte Karte, eine „ungewöhnliche Anmeldung“, eine „Verifizierung“ wegen neuer Vorschriften, ein abgelaufenes photoTAN- oder pushTAN-Verfahren, oder eine Rückerstattung, die du nur noch bestätigen musst.

Woran du Phishing erkennst

• Zeitdruck und Drohung. „Innerhalb von 24 Stunden“, „sonst wird Ihr Konto gesperrt“, „letzte Mahnung“. Druck ist das mit Abstand häufigste Warnsignal, weil er das Nachdenken abschalten soll.
• Aufforderung zum Login über einen Link. Ob ein Link tatsächlich von deiner Bank stammt, musst du gar nicht entscheiden: Öffne das Banking für Anmeldungen grundsätzlich selbst über die offizielle App, eine selbst eingegebene Adresse oder dein eigenes Lesezeichen.
• Abfrage von TAN, PIN oder vollständigen Kartendaten nach einem Kontakt, den du nicht angefordert hast. Das verlangt kein Bankmitarbeiter per Mail, SMS oder Telefon – niemals, auch nicht „zur Sicherheit“.
• Ein Verfahren soll „neu freigeschaltet“ werden. Der Klassiker: Du sollst dein pushTAN-Verfahren angeblich neu registrieren. Tatsächlich registrierst du damit das Gerät des Angreifers für deine Freigaben.
• Unerwarteter Kontakt. Auch ein echter Bankmitarbeiter kann dich in bestimmten Situationen kontaktieren. Ein unerwarteter Anruf, die angezeigte Rufnummer oder bekannte persönliche Daten sind aber kein Echtheitsnachweis. Gib keine PIN oder TAN weiter, beende das Gespräch im Zweifel und rufe deine Bank selbst über eine bereits bekannte offizielle Nummer zurück.

Phishing per E-Mail, SMS, WhatsApp und QR-Code: dieselbe Masche, vier Kanäle

Der Kanal wechselt, das Muster bleibt. Wer es einmal erkannt hat, erkennt es überall wieder – deshalb lohnt der kurze Durchgang durch die vier Wege, auf denen Bankphishing heute ankommt.

• E-Mail. Der klassische Weg, inzwischen sprachlich einwandfrei. Die Absenderadresse enthält meist den Markennamen irgendwo, gehört aber zu einer fremden Domain. Anhänge im Bankkontext sind fast immer ein Warnzeichen, weil echte Banken Dokumente ins Postfach im Online-Banking legen.
• SMS, oft Smishing genannt. Kurz, mit Link, meist zum Thema Karte, Paket oder Verifizierung. Gefährlich, weil die Nachricht in denselben Nachrichtenverlauf rutschen kann, in dem auch echte Bank-SMS stehen. Der Nachrichtenverlauf ist kein Echtheitsnachweis.
• WhatsApp und andere Messenger. Hier läuft meist der persönliche Angriff: die angebliche neue Nummer eines Angehörigen, ein Klick auf einen Link „vom Kundenservice“. Deine Bank kontaktiert dich in Sicherheitsfragen nicht über einen Messenger.
• QR-Code, teils Quishing genannt. Der Code auf einer gefälschten Rechnung, überklebt auf einem Aufsteller oder am Parkautomaten. Du siehst dem Code nicht an, wohin er führt – deshalb prüfst du die Adresse, bevor du auf der geöffneten Seite irgendetwas eingibst.

Eine praktische Ergänzung: Bewahre die Ruhe, indem du dir eine Ersatzhandlung antrainierst. Statt zu klicken, öffnest du deine Banking-App und schaust nach. Ist die Karte wirklich gesperrt, siehst du es dort. Steht dort nichts, war die Nachricht Betrug – und du hast in dreißig Sekunden Klarheit, ohne irgendwo etwas eingegeben zu haben. Wie dieselbe Masche über SMS und Telefon läuft und wie gefälschte Warnungen von Handelsplattformen aussehen, zeigt der Beitrag zu Phishing per SMS und Telefon mit gefälschten Warnungen.

Fake-Bankseiten identifizieren

Manche Angriffe führen dich auf eine täuschend echt nachgebaute Bankseite. Sie sieht aus wie das Original, hat oft sogar dasselbe Cookie-Banner, sammelt aber in Wirklichkeit deine Eingaben ein und leitet sie in Echtzeit weiter.

• Prüfe die Adresse Zeichen für Zeichen. Betrüger nutzen ähnlich aussehende Domains: vertauschte Buchstaben, ein zusätzliches Wort vor dem Bankname, eine andere Endung, ein Bindestrich mehr. Der sichtbare Text eines Links sagt nichts über das echte Ziel.
• Tippe die Adresse selbst oder nutze ein Lesezeichen. Das ist der zuverlässigste Schutz überhaupt, weil du dann nie über einen fremden Link gehst.
• Das Schloss-Symbol beweist nichts. Eine verschlüsselte Verbindung haben Betrugsseiten längst; Zertifikate sind kostenlos. Das Schloss bestätigt die Verschlüsselung, nicht die Echtheit des Betreibers.
• Misstraue Abweichungen im Ablauf. Eine TAN beim reinen Login, wo sonst keine verlangt wird. Ein „Sicherheits-Update“ mitten in der Sitzung. Eine Abfrage von Kartendaten, die dort noch nie stand. Wenn der Ablauf anders ist als sonst, brich ab.
• Vorsicht bei Suchmaschinen-Anzeigen. Gefälschte Bankseiten werden regelmäßig als bezahlte Anzeige über dem echten Treffer platziert. Wer den ersten Treffer anklickt, landet manchmal genau dort.
• Achte auf den Auto-Ausfüller deines Passwortmanagers. Er füllt Zugangsdaten nur auf der Domain aus, für die sie gespeichert sind. Bleiben die Felder auf der vermeintlichen Bankseite plötzlich leer, ist das ein starkes Warnsignal – und einer der wenigen Prüfschritte, der auch dann funktioniert, wenn die Seite perfekt nachgebaut ist.

Verwandt und immer häufiger: manipulierte QR-Codes, etwa auf gefälschten Rechnungen oder überklebt auf Aufstellern und Parkautomaten. Der Code führt nicht zur Zahlung, die du erwartest, sondern zu einer präparierten Seite oder einem vorausgefüllten Formular mit fremder IBAN. Auch hier gilt: Zahlungen startest du in deiner App, nicht über einen Code, den dir jemand hinhält.

Gefälschte Banking-Apps im Store erkennen

Die Fake-Seite hat ein Gegenstück im App-Store. Gefälschte Banking-Apps mit sehr ähnlichem Namen und passendem Logo schaffen es regelmäßig durch die Prüfung der Stores und verschwinden erst nach Meldungen wieder. Drei Handgriffe reichen zur Prüfung: Sieh dir den Entwicklernamen an, nicht nur den App-Namen. Prüfe, ob die App eine plausible Zahl an Bewertungen und eine längere Versionshistorie hat. Und installiere die App am besten über den Link, den deine Bank im Online-Banking selbst hinterlegt hat, statt über die Store-Suche. Wer eine App aus einer fremden Quelle installiert, umgeht diese Prüfung ganz – das ist ein wichtiger Verbreitungsweg für Banking-Trojaner.

Echtzeit-Phishing: warum ein zweiter Faktor allein nicht mehr genügt

Hier liegt der wichtigste Punkt, den die meisten Ratgeber noch nicht abbilden. Klassisches Phishing sammelte Zugangsdaten und benutzte sie später. Das funktioniert gegen Zwei-Faktor-Verfahren nicht, weil der Code nach kurzer Zeit verfällt. Moderne Angriffe lösen das, indem sie gar nicht mehr sammeln, sondern durchreichen.

Der Ablauf: Du landest auf der gefälschten Seite und gibst dort deine Zugangsdaten ein. Im selben Moment tippt die Betrugsseite diese Daten automatisiert bei der echten Bank ein. Die echte Bank schickt dir daraufhin völlig korrekt eine TAN – die Freigabeanfrage ist echt, weil tatsächlich gerade jemand versucht, sich mit deinen Daten anzumelden. Du gibst die TAN auf der gefälschten Seite ein, sie wird weitergereicht, und der Angreifer ist drin. Es gab keinen technischen Bruch. Alles hat funktioniert wie vorgesehen. Nur saß am anderen Ende jemand anders.

Dieselbe Logik steckt hinter der Aufforderung, ein Freigabeverfahren „neu zu registrieren“. Auch dabei gibst du kein Passwort preis – du schaltest ein fremdes Gerät für dein Konto frei. Danach braucht dich der Angreifer für keine einzige Überweisung mehr.

Wichtig ist deshalb die Frage, die du dir bei jeder Freigabeanfrage stellst: Habe ich diesen Vorgang gerade selbst begonnen? Eine Freigabeanfrage, die du nicht selbst ausgelöst hast, ist ein ernstes Warnsignal für einen unautorisierten Zugriffs- oder Registrierungsversuch. Bestätige sie nicht, sichere deinen Zugang vorsorglich von einem vertrauenswürdigen Gerät aus und kontaktiere deine Bank über einen offiziellen Kanal.

Banking-Trojaner: wenn das Handy selbst der Angreifer ist

Die zweite große Angriffsklasse braucht dich gar nicht mehr zum Klicken – nur einmal zur Installation. Banking-Trojaner für Android legen sich über die echte Banking-App und zeigen dir eine nachgebaute Eingabemaske, während im Hintergrund deine Eingaben abfließen. Modernere Varianten machen mehr: Sie lesen Benachrichtigungen mit, greifen SMS-Codes ab, zeichnen den Bildschirm auf, und einige steuern das Gerät sogar fern, während der Bildschirm für dich schwarz aussieht.

Der übliche Weg auf das Gerät führt über Apps aus fremden Quellen, über gefälschte Update-Aufforderungen oder über einen Link in einer Nachricht, der eine Installationsdatei nachlädt. Ein häufig missbrauchter Hebel ist die Berechtigung für Bedienungshilfen: Wer sie hat, kann sehen und tippen wie du. Wie umfassend solche Schadsoftware Zugangsdaten einsammelt, sobald sie einmal läuft, zeigt der Beitrag über Infostealer und was sie über deine Passwörter verraten. Grundsätzlicher setzt der Beitrag Das Smartphone als größtes Einfallstor an, weil bei den meisten Menschen inzwischen Konto, Zweitfaktor und Postfach auf demselben Gerät liegen.

Woran du eine Infektion bemerken kannst

Eine gute Schadsoftware bleibt unauffällig, aber ganz spurlos arbeitet sie selten. Auffällig werden können: ein plötzlich deutlich schnellerer Akkuverbrauch, eine ungewohnte Anmeldemaske in einer App, die du seit Jahren nutzt, Bildschirme, die für einen Moment schwarz bleiben oder von selbst reagieren, verschwundene Benachrichtigungen, unbekannte Apps mit Berechtigung für Bedienungshilfen oder Geräteverwaltung, sowie SMS, die du nie geschrieben hast. Keines dieser Zeichen ist ein Beweis. Zusammen mit einer unerklärlichen Freigabeanfrage sind sie aber Grund genug, das Banking auf diesem Gerät sofort einzustellen und den Notfallplan weiter unten abzuarbeiten.

ClickFix: die Masche, bei der du dich selbst infizierst

Eine Variante, die sich in kurzer Zeit zu einem der wichtigsten Verbreitungswege für Schadsoftware entwickelt hat, verdient einen eigenen Abschnitt, weil sie so harmlos wirkt. Du landest auf einer Seite, die eine Fehlermeldung anzeigt: eine angebliche Bestätigung, dass du kein Roboter bist, ein „Anzeigefehler“, ein fehlendes Update. Die Seite gibt dir eine kurze Anleitung: Kopiere diesen Text, drücke eine Tastenkombination, füge ihn ein, drücke Enter.

Was du damit einfügst, ist ein Befehl, der Schadsoftware nachlädt. Der Trick umgeht die klassischen Downloadwarnungen, weil du den Befehl selbst ausführst – freiwillig, mit deinen Rechten, ohne verdächtigen Anhang. Sicherheitsprogramme können den Befehl oder die nachgeladene Schadsoftware durchaus erkennen; zuverlässig verhindern können sie diesen Weg aber nicht. Details und Erkennungsmerkmale stehen im Beitrag zur ClickFix-Masche, bei der du dich selbst hackst.

Die Merkregel ist so einfach wie wirksam: Keine seriöse Website verlangt für ein CAPTCHA, eine Verifizierung oder ein angebliches Update, dass du Befehle in ein Systemfenster kopierst. Wenn eine Seite dich anleitet, Tastenkombinationen zu drücken, schließe sie.

Der Anruf: Vishing, Schockanruf und geklonte Stimmen

Telefonbetrug ist besonders gefährlich, weil ein Mensch am anderen Ende auf deine Einwände reagieren kann. Das Muster: Es meldet sich die „Betrugsabteilung“ deiner Bank. Man habe eine verdächtige Abbuchung bemerkt und wolle sie stoppen. Auf dem Display steht sogar die echte Nummer deiner Bank, weil sich Rufnummern beliebig fälschen lassen. Der Anrufer kennt Details, die nur die Bank kennen kann – in Wahrheit stammen sie aus einem Datenleck.

Dann kommt die Bitte. Und sie ist immer eine von vier: Du sollst eine TAN vorlesen, damit die Abbuchung „storniert“ wird. Du sollst dein Geld auf ein „sicheres Verwahrkonto“ überweisen. Du sollst eine Fernwartungssoftware installieren, damit ein Techniker „das Problem behebt“. Oder du sollst dein pushTAN-Verfahren neu einrichten und einen Aktivierungscode durchgeben.

Zwei Sätze aus solchen Gesprächen lohnen die besondere Aufmerksamkeit, weil sie fast immer fallen. Der erste: „Legen Sie bitte nicht auf, sonst können wir die Buchung nicht mehr stoppen.“ Der zweite: „Sprechen Sie mit niemandem darüber, die Ermittlungen laufen noch.“ Beide Sätze haben denselben Zweck – sie sollen verhindern, dass du das Gespräch unterbrichst und mit jemandem sprichst, der einen klaren Kopf hat. Genau deshalb sind sie ein zuverlässiges Erkennungszeichen: Eine echte Bank hat kein Problem damit, dass du zurückrufst oder mit deiner Familie sprichst.

Verschärft wird das dadurch, dass Stimmen inzwischen aus wenigen Sekunden Material geklont werden können, was besonders beim Schockanruf im Familienkreis wirkt. Wie realistisch das heute ist, zeigt der Beitrag über geklonte Stimmen und Deepfakes im Betrug; die klassische Variante mit falscher Polizei und Enkeltrick behandelt der Ratgeber zu Schockanruf, Enkeltrick und falscher Polizei. Beides lohnt sich besonders, wenn ältere Angehörige eigene Konten führen.

Fernzugriff: wenn jemand auf deinen Bildschirm will

Die gefährlichste Steigerung des Telefonbetrugs ist der Fernzugriff. Du installierst auf Anweisung ein Fernwartungsprogramm – oft mit dem freundlichen Hinweis, das sei „das Standardwerkzeug unserer IT“. Ab diesem Moment sieht der Anrufer deinen Bildschirm, kann Fenster öffnen, Eingaben tätigen und dir sogar eine gefälschte Kontoübersicht einblenden, auf der eine angebliche Fehlbuchung von 9.000 Euro steht, die du „zurücküberweisen“ sollst.

Das Perfide daran: Du gibst die Überweisung selbst frei, mit deinem eigenen TAN-Verfahren, an deinem eigenen Gerät. Für die Bank sieht die Zahlung damit zunächst autorisiert aus – was die spätere Erstattung erheblich erschwert. Genau diese Masche zielt inzwischen auch auf Anlage- und Krypto-Konten; der Ablauf ist derselbe und wird im Weiterlesen-Abschnitt am Ende Schritt für Schritt nachgezeichnet.

Die Regel dazu: Niemand, der dich unerwartet kontaktiert, bekommt Fernzugriff auf dein Gerät. Weder die Bank noch Microsoft noch dein Internetanbieter noch die Polizei. Aber auch bei einem Supportkontakt, den du selbst begonnen hast, gilt Vorsicht – eine gefälschte Servicenummer aus einer Suchmaschinen-Anzeige ruft man genauso selbst an. Nutze deshalb ausschließlich einen unabhängig verifizierten offiziellen Kontaktweg. Und in keinem Fall darf ein Supportmitarbeiter deinen Bildschirm während des Online-Bankings kontrollieren oder PIN, TAN und Freigaben von dir verlangen.

Anmelde- und Freigabeverfahren im Vergleich: was schützt wogegen?

TANs und App-Freigaben sind Bestandteil der Authentifizierung, mit der du je nach Bank eine Anmeldung oder einen Zahlungsvorgang bestätigst. Nicht jedes Verfahren ist gleich gut. Zwei Fragen entscheiden über die Qualität: Läuft die Freigabe über ein getrenntes Gerät? Und werden die konkreten Überweisungsdaten mit der Freigabe verknüpft, sodass du siehst, was du bestätigst?

← Tabelle seitlich scrollen →

Wichtig ist dabei eine Unterscheidung, die viele Ratgeber verwischen: Anmeldung und Zahlungsfreigabe sind zwei verschiedene Dinge. Für die Anmeldung ist ein Passkey oder ein Sicherheitsschlüssel nach FIDO2 das phishingresistenteste, was es gibt. Für die Freigabe einer einzelnen Überweisung ist er kein Ersatz: Eine elektronische Fernzahlung muss dynamisch an Betrag und Zahlungsempfänger gebunden sein – genau das leisten chipTAN, photoTAN und die App-Verfahren der Banken, ein reiner Anmeldeschlüssel nicht.

Die Faustregel für die Zahlungsfreigabe: Ein Verfahren, das die Freigabe auf ein zweites Gerät auslagert und dir dabei Empfänger und Betrag anzeigt, ist einem reinen Anmeldecode klar überlegen. Beides zusammen ist der eigentliche Schutz – nicht die Zahl der Faktoren. Wenn deine Bank chipTAN oder photoTAN anbietet, aktiviere es, und schalte für die Anmeldung zusätzlich einen Sicherheitsschlüssel frei, sofern das möglich ist – der einmalige Aufwand von zwanzig Minuten ist eine sehr wirksame zusätzliche Maßnahme. Zu beidem – der Wahl des passenden Sicherheitsschlüssels und der sauberen Einrichtung der Authenticator-App – findest du ausführliche Anleitungen im Abschnitt „Weiterlesen“ am Ende dieser Seite.

Warum SMS-Codes als zweiter Faktor ausgedient haben

Die SMS war ein sinnvoller Zwischenschritt, ist aber heute das schwächste gängige Verfahren. Neben Schadsoftware auf dem Gerät gibt es einen zweiten Weg, den viele unterschätzen: die Übernahme der Rufnummer selbst. Mit gestohlenen Ausweisdaten und etwas Sozialtechnik lassen sich Ersatz-SIM-Karten beantragen; ab dann laufen alle Codes beim Angreifer auf, ohne dass dein Handy etwas merkt außer plötzlich fehlendem Empfang. Wie dieser Angriff abläuft und woran du ihn früh erkennst, beschreibt der Beitrag über SIM-Swapping und warum SMS-Codes nicht reichen.

Was du beim Wechsel des Verfahrens beachten solltest

Der Wechsel auf ein besseres Verfahren ist der Punkt, an dem viele hängenbleiben, weil sie einen Fehler fürchten. Zwei Hinweise nehmen die Sorge. Erstens: Der Wechsel wird immer im eingeloggten Online-Banking oder in der Filiale angestoßen, nie über einen Link aus einer Nachricht und nie am Telefon – wer dich dazu von außen drängt, betreibt genau die Masche aus dem Abschnitt oben. Zweitens: Ein Freigabegerät oder ein Sicherheitsschlüssel kann verloren gehen, deshalb gehört von Anfang an ein zweiter Weg dazu. Bei Sicherheitsschlüsseln heißt das schlicht: zwei Stück kaufen, einen davon getrennt aufbewahren. Bei chipTAN und photoTAN klärst du vorher, wie deine Bank ein Ersatzgerät ausgibt und wie lange das dauert.

Verbindung und Gerät: das übersehene Fundament der Online-Banking-Sicherheit

Das beste Freigabeverfahren hilft wenig, wenn das Gerät selbst kompromittiert ist. Die Basis ist unspektakulär, aber sie trägt alles andere:

• System und Apps aktuell halten. Updates schließen bekannte Sicherheitslücken und reduzieren die Angriffsfläche.
• Banking-App nur aus dem offiziellen Store, und dort auf den Entwicklernamen achten – gefälschte Apps mit ähnlichem Namen und Logo schaffen es regelmäßig durch die Prüfung.
• Ein eigenes, einzigartiges Passwort fürs Banking, das nirgendwo sonst verwendet wird. Warum ein Passwortmanager dafür das richtige Werkzeug ist und nicht der Zettel im Schreibtisch, erklärt der Beitrag über den unterschätzten Passwortmanager.
• Fremde Netze meiden, aber ohne Panik. Eine korrekt verschlüsselte Banking-Verbindung wird nicht dadurch offen lesbar, dass du in einem öffentlichen WLAN sitzt – TLS schützt die Übertragung ohnehin. Das Risiko liegt woanders: gefälschte Zugangspunkte, manipulierte Weiterleitungen und ein Netz, dessen Betreiber du nicht kennst. Unterwegs ist das Mobilfunknetz deshalb die einfachere Wahl.
• Kontobewegungen im Blick behalten. Push-Benachrichtigungen für jede Buchung sind die billigste Frühwarnung, die es gibt. Wer eine unbekannte Abbuchung nach zwei Stunden bemerkt statt nach vier Wochen, hat deutlich bessere Karten.
• Fremde Geräte meiden. Der Rechner im Hotel, im Copyshop oder beim Bekannten ist für Banking der falsche Ort, weil du weder weißt, was darauf läuft, noch, wer die Sitzung nach dir übernimmt. Wenn es sich nicht vermeiden lässt, gilt danach dasselbe wie nach einem Verdachtsfall: Passwort von einem eigenen, sauberen Gerät ändern.
• Wissen, was über dich im Umlauf ist. Wenn deine Daten in einem Leck aufgetaucht sind, werden die Angriffe auf dich persönlicher. Was dann zu tun ist, steht im Beitrag Datenleck – was tun, wenn deine Daten im Netz gelandet sind.

Ein VPN schirmt die Verbindung zusätzlich gegen das lokale Netz ab und verlagert sie zum VPN-Anbieter. Was es dabei nicht leistet, sollte man klar sagen: Es schützt weder vor einer gefälschten Bankseite noch vor Phishing noch vor einem Gerät, auf dem bereits Schadsoftware läuft. Wer es als Ergänzung einsetzt, liegt richtig; wer es als Sicherheitslösung versteht, täuscht sich. Die ausführliche Einordnung steht im VPN-Ratgeber.

Limits, Benachrichtigungen und Sperrfunktion: zehn Minuten, die dein Konto härter machen

Der am meisten unterschätzte Teil der Online-Banking-Sicherheit sind die Einstellungen, die längst in deiner Banking-App liegen und die kaum jemand jemals anfasst. Sie ändern nichts an der Bequemlichkeit im Alltag, begrenzen aber den möglichen Schaden – und Schadensbegrenzung ist am Ende das, was zählt, wenn doch etwas schiefgeht. Welche dieser Einstellungen es gibt und wie sie heißen, unterscheidet sich von Bank zu Bank; die Bereiche sind aber überall dieselben.

• Das Überweisungslimit senken. Viele Konten sind ab Werk mit einem Tages- oder Wochenlimit versehen, das weit über dem liegt, was du je brauchst. Ein Limit, das zu deinem echten Bedarf passt, deckelt den Schaden eines erfolgreichen Angriffs. Für die seltene große Zahlung lässt es sich vorübergehend anheben.
• Benachrichtigung für jede Buchung aktivieren. Push oder E-Mail, je nach Bank. Das ist eine der schnellsten und einfachsten Frühwarnungen überhaupt: Sie erreicht dich innerhalb von Minuten statt beim nächsten Blick auf den Kontoauszug.
• Zusätzliche Meldung bei neuen Empfängern und Geräteanmeldungen. Sofern deine Bank das anbietet: Eine Nachricht, sobald sich ein neues Gerät anmeldet oder ein Freigabeverfahren registriert wird, ist genau das Signal, an dem sich der Angriff aus dem Abschnitt zum Echtzeit-Phishing zeigt.
• Karte für Länder und Zahlungsarten einschränken. Wer nie im Ausland bar abhebt oder nie online mit der Girocard zahlt, kann diese Funktionen bei vielen Banken abschalten und im Bedarfsfall wieder freigeben.
• Die Sperrfunktion suchen, bevor du sie brauchst. Wo genau in deiner App du Karte und Zugang sperrst, willst du nicht um 23 Uhr im Panikmodus zum ersten Mal suchen. Einmal ansehen, Speicherort merken, fertig.
• Nicht genutzte Zugänge aufräumen. Alte Geräte, die noch für Freigaben registriert sind, alte Drittanbieter-Apps mit Kontozugriff, ein zweites Banking-Programm, das du seit Jahren nicht öffnest: Jeder dieser Zugänge ist eine Tür, die offensteht, ohne dass sie jemand benutzt.

Online-Banking am Handy oder am Rechner: was ist sicherer?

Diese Frage kommt häufiger als jede andere, und die ehrliche Antwort lautet: Beides kann sicher sein, die Risiken liegen nur woanders. Entscheidend ist nicht das Gerät, sondern ob Banking und Freigabe getrennt bleiben.

Für das Smartphone spricht, dass mobile Betriebssysteme Apps stark voneinander abschotten, Updates zentral verteilt werden und die App den Umweg über den Browser erspart – womit auch die halbe Phishing-Angriffsfläche entfällt, weil es keine Adresszeile gibt, in der man sich täuschen lässt. Dagegen spricht, dass bei den meisten Menschen alles auf demselben Gerät liegt: Banking, Freigabeverfahren, E-Mail-Postfach für Passwort-Zurücksetzungen und die SMS mit dem Code. Wer dieses eine Gerät kontrolliert, kontrolliert alles.

Für den Rechner spricht, dass sich die Überweisung dort bequem prüfen lässt und die Freigabe auf einem anderen Gerät stattfindet – das ist die saubere Trennung, um die es geht. Dagegen spricht, dass ein Windows- oder macOS-Rechner mehr Software, mehr Browser-Erweiterungen und mehr Downloads sieht als ein Telefon und damit mehr Gelegenheiten für eine Infektion bietet.

So sieht Online-Banking-Sicherheit im Alltag aus

Ratgeber zur Online-Banking-Sicherheit klingen oft nach Aufwand. Der eingerichtete Zustand ist aber unauffälliger, als man denkt – hier ist er konkret.

Der normale Dienstagabend. Du willst eine Rechnung bezahlen. Du öffnest nicht die Mail mit der Rechnung, sondern deine Banking-App – über das Symbol auf dem Startbildschirm, nie über einen Link. Du tippst die IBAN aus der Rechnung ab und vergleichst sie ein zweites Mal Ziffer für Ziffer, weil eine falsche IBAN der teuerste Tippfehler deines Lebens sein kann. Beim Freigeben schaust du auf das Display deines Freigabegeräts und liest, was dort steht: Empfänger, Betrag. Stimmt beides, bestätigst du. Der ganze Vorgang dauert vielleicht zwanzig Sekunden länger als vorher.

Der Abend mit der verdächtigen SMS. Die Nachricht von oben kommt. Du klickst nicht. Du öffnest die App, siehst, dass die Karte aktiv ist und keine ungewöhnliche Buchung vorliegt, und löschst die SMS. Zeitaufwand: dreißig Sekunden. Schaden: null. Genau das ist der Unterschied, den dieser Leitfaden erzeugen soll – nicht Angst, sondern eine Gewohnheit, die den Angriff ins Leere laufen lässt.

Der unangenehme Anruf. Jemand meldet sich als Betrugsabteilung. Du sagst einen einzigen Satz: „Ich rufe über die Nummer auf meiner Karte zurück.“ Und legst auf. Wenn der Anruf echt war, kostet dich das zwei Minuten. War er es nicht, hast du gerade deinen Kontostand gerettet. Es gibt keine Situation, in der dieser Satz falsch ist.

Die Freigabe, die du nicht angefordert hast. Auf deinem Handy erscheint eine Anfrage zur Anmeldung, obwohl du gerade nichts tust. Du bestätigst nicht und lehnst nicht einfach nur ab, sondern änderst dein Banking-Passwort von einem vertrauenswürdigen Gerät aus und meldest den Vorgang deiner Bank. Denn die Anfrage deutet auf einen unautorisierten Zugriffs- oder Registrierungsversuch hin – die Ablehnung allein klärt das nicht.

IBAN und Empfängername stimmen nicht überein: was die Empfängerüberprüfung bedeutet

Seit dem 9. Oktober 2025 müssen Zahlungsdienstleister in EU-Mitgliedstaaten mit Euro-Währung – also auch deutsche Banken – vor Euro-Überweisungen prüfen, ob der von dir eingegebene Empfängername zur angegebenen IBAN passt. Für Zahlungsdienstleister in EU-Staaten ohne Euro gilt diese Pflicht grundsätzlich erst ab dem 9. Juli 2027. Grundlage ist Artikel 5c der EU-Verordnung 2024/886 zu Echtzeitüberweisungen; die Prüfung heißt offiziell Empfängerüberprüfung, im Fachjargon Verification of Payee oder kurz VoP. Sie findet vor der Autorisierung statt, ist für Bankkunden kostenlos und betrifft normale wie Echtzeitüberweisungen.

Für dich sichtbar wird das als Ampel, kurz bevor du auf Überweisen tippst. Die vier möglichen Ergebnisse bedeuten Unterschiedliches – und genau daran scheitern viele, weil sie die gelbe Meldung für einen Fehler ihrer Bank halten.

← Tabelle seitlich scrollen →

Was die Empfängerüberprüfung nicht leistet, sollte man ebenso deutlich sagen. Sie prüft, ob Name und IBAN zusammengehören – nicht, ob der Empfänger seriös ist. Wer einem Anlagebetrüger überweist, dessen Firma tatsächlich das Konto führt, bekommt eine grüne Ampel. Auch gegen Zahlungen, die ein Angreifer über deinen eigenen Zugang auslöst, hilft sie nicht, denn dann steht dort ein Name, den du nie gesehen hast. Und Nicht-Verbraucher können bei als Bündel eingereichten Mehrfachzahlungsaufträgen auf die Empfängerüberprüfung verzichten – dann trägt der Einreicher die Verantwortung für die Daten wieder allein. Bei normalen Einzelüberweisungen können Verbraucher die Prüfung nicht einfach abschalten.

Wenn es doch passiert ist: der Notfallplan in sieben Schritten

Wenn Zugangsdaten abgeflossen sind oder eine Überweisung nicht von dir stammt, zählt Tempo – und die richtige Reihenfolge. Arbeite die Schritte von oben nach unten ab.

Was zuerst zu tun ist, hängt davon ab, wie weit es gegangen ist. Diese Tabelle gibt dir die Sofortmaßnahme für deinen Fall; der ausführliche Plan darunter gilt für alles, was danach kommt.

← Tabelle seitlich scrollen →

1. Karte und Zugang sperren. Über den zentralen Sperr-Notruf 116 116 lassen sich Karten rund um die Uhr sperren – aus dem Ausland unter +49 116 116 und, falls diese Verbindung aus dem Ausland nicht zustande kommt, unter +49 30 4050 4050. Wichtig: Nicht alle Banken und Kartenherausgeber sind daran angeschlossen. Wenn deine Bank nicht teilnimmt, brauchst du sofort deren eigene Sperrnummer. Sperre zusätzlich den Online-Zugang, entweder über die Bank oder über die Sperrfunktion im Banking selbst. Das ist der einzige Schritt, der wirklich jede Minute zählt.
2. Die Bank über die offizielle Nummer kontaktieren. Nutze die Nummer von der Rückseite deiner Karte oder aus der App – niemals eine Nummer aus der verdächtigen Nachricht oder aus dem Anruf. Schildere sachlich, was passiert ist, und bitte ausdrücklich um den Versuch, die Zahlung zurückzuholen.
3. Das Gerät vom Netz nehmen, wenn Fernzugriff im Spiel war. Bei installierter Fernwartungssoftware: Verbindung sofort trennen und das Gerät nicht mehr fürs Banking verwenden. Verlass dich nicht darauf, dass eine bloße Deinstallation genügt. Behandle das Gerät als kompromittiert, bis es fachgerecht geprüft oder sauber zurückgesetzt wurde.
4. Passwörter von einem sauberen Gerät ändern. Zuerst das Banking, dann das E-Mail-Postfach, das mit dem Konto verknüpft ist – das ist der Generalschlüssel für Passwort-Zurücksetzungen. Anschließend alle Dienste, bei denen dasselbe Passwort im Einsatz war.
5. Alles dokumentieren. Screenshots der Nachricht, der gefälschten Seite, der Buchungen, Uhrzeiten, Gesprächsnotizen mit Namen. Diese Unterlagen entscheiden später darüber, wie eine Erstattung bewertet wird.
6. Anzeige erstatten. Bei der Polizei, online oder auf der Wache. Eine Strafanzeige ist für die Dokumentation und die Strafverfolgung sinnvoll, und Banken fragen im Rahmen ihrer Sachverhaltsprüfung häufig nach Anzeige oder Aktenzeichen. Der gesetzliche Erstattungsanspruch bei einer nicht autorisierten Zahlung hängt jedoch nicht allein davon ab, ob zuvor Anzeige erstattet wurde.
7. Konto und Verfahren neu aufsetzen. Neue Karte, neues Passwort, und – der eigentliche Lerneffekt – bei der Gelegenheit das Freigabeverfahren auf chipTAN oder photoTAN umstellen und für die Anmeldung einen Sicherheitsschlüssel freischalten, sofern die Bank das anbietet. Wenn die Bank so etwas nicht anbietet, ist das ein guter Grund, über einen Wechsel nachzudenken.

Wenn im Zuge des Vorfalls dein Konto gesperrt oder gekündigt wurde, hilft der Beitrag Konto gekündigt oder gesperrt – was jetzt zu tun ist weiter. Geht es um eine missbrauchte Kreditkarte statt um das Konto, ist der Ratgeber zu Kreditkartenbetrug, Chargeback und 3-D Secure der passende nächste Schritt.

Musterschreiben: nicht autorisierter Zahlung widersprechen

Ein Anruf bei der Bank ist der erste Schritt, reicht aber nicht. Der schriftliche Widerspruch dokumentiert den Zeitpunkt deiner unverzüglichen Meldung und deine Forderung auf Erstattung. Sende ihn über das Postfach im Online-Banking oder per Einschreiben und passe die Angaben in eckigen Klammern an.

Betreff: Widerspruch gegen nicht autorisierte Zahlungsvorgänge – Konto [IBAN]

Sehr geehrte Damen und Herren,

hiermit bestreite ich die Autorisierung der folgenden Zahlungsvorgänge auf meinem
Konto [IBAN]:

  Datum: [TT.MM.JJJJ] | Betrag: [Betrag] | Empfänger: [Name/IBAN, soweit bekannt]
  Datum: [TT.MM.JJJJ] | Betrag: [Betrag] | Empfänger: [Name/IBAN, soweit bekannt]

Ich habe diese Zahlungen weder ausgelöst noch ihnen zugestimmt. Kenntnis davon
habe ich am [Datum] erlangt; diese Anzeige erfolgt unverzüglich nach Feststellung.

Ich fordere Sie auf, mein Konto gemäß § 675u BGB unverzüglich, spätestens bis zum
Ende des folgenden Geschäftstags, wieder auf den Stand zu bringen, auf dem es sich
ohne die Belastung befunden hätte.

Ergänzend bitte ich Sie um:
  1. Bestätigung des Eingangs dieses Widerspruchs mit Datum
  2. Auskunft, über welchen Weg und welches Gerät die Zahlungen freigegeben wurden
  3. Mitteilung, ob und wann ein Rückruf der Zahlungen veranlasst wurde

Anzeige bei der Polizei wurde am [Datum] unter dem Aktenzeichen [AZ] erstattet.
[Ohne Anzeige: Eine Strafanzeige wird unverzüglich erstattet.]

Sollten Sie eine Erstattung ablehnen, bitte ich um eine schriftliche Begründung
unter Angabe der konkreten Pflichtverletzung, die Sie mir vorwerfen.

Mit freundlichen Grüßen
[Name, Anschrift, Datum]

Ein Phishing-Beispiel Satz für Satz auseinandergenommen

Merkmale abstrakt aufzuzählen hilft nur begrenzt. Deshalb hier eine typische Nachricht in der Form, in der sie tatsächlich ankommt – und daneben, was jeder Teil verrät.

Sparkasse-Sicherheit <[email protected]>

Sehr geehrter Kunde,

im Rahmen der neuen EU-Sicherheitsrichtlinie ist eine Neuregistrierung Ihres
pushTAN-Verfahrens erforderlich. Ohne Bestätigung wird Ihr Online-Zugang am
[morgiges Datum] vorübergehend deaktiviert.

Jetzt Verfahren bestätigen  ->  https://sparkasse.de.sicherheit-kunden.info/login

Bitte halten Sie Ihre Zugangsdaten sowie Ihr Mobiltelefon bereit.

Ihr Sicherheitsteam

• Die Absenderadresse enthält das Wort „sparkasse“, gehört aber zur Domain sparkasse-sicherheitscenter.de. Entscheidend ist immer der Teil unmittelbar vor der Endung, nicht der Markenname irgendwo davor.
• „Sehr geehrter Kunde“ – deine Bank kennt deinen Namen. Verlass dich darauf aber nicht: Die besseren Fälschungen sprechen dich korrekt an, weil der Name aus einem Datenleck stammt.
• Der Verweis auf eine neue Vorschrift ist der Klassiker unter den Vorwänden. Er klingt amtlich, ist nicht überprüfbar und erklärt bequem, warum plötzlich etwas Ungewöhnliches nötig sein soll.
• Die Frist auf morgen erzeugt genau den Druck, der das Nachdenken abschalten soll. Entscheidend ist hier die Kombination: kurze Frist, Drohung und ein Link in derselben Nachricht.
• Der Link ist die eigentliche Falle. sparkasse.de steht darin nur als Unterdomain – die tatsächliche Domain ist sicherheit-kunden.info. Alles links vom letzten Punkt-Paar vor der Endung ist frei wählbar.
• Die Neuregistrierung des pushTAN-Verfahrens ist der gefährlichste Teil. Wer sie durchführt, koppelt das Gerät des Angreifers an das eigene Konto. Danach braucht der Täter dich nicht mehr.
• „Mobiltelefon bereithalten“ verrät die Absicht: Es wird gleich eine echte Freigabe angefordert, die du bestätigen sollst. Genau das ist Echtzeit-Phishing.

Was an dieser Nachricht nicht auffällt, ist genauso lehrreich: Rechtschreibung, Grammatik, Tonfall und Aufbau sind einwandfrei. Wer Phishing an Sprachfehlern erkennen will, hat vor zehn Jahren aufgehört zu lernen.

Wer haftet, wenn Geld unbefugt abgebucht wurde?

Die Grundregel des deutschen Zahlungsrechts ist verbraucherfreundlicher, als viele denken. Bei einer nicht autorisierten Zahlung – also einer Überweisung oder Abbuchung, der du nicht zugestimmt hast – gilt zunächst § 675u BGB: Die Bank muss den Betrag grundsätzlich unverzüglich erstatten und das Konto wieder auf den Stand bringen, den es ohne die Belastung gehabt hätte, spätestens bis zum Ende des folgenden Geschäftstags nach der Meldung beziehungsweise Kenntnis. Das gilt unabhängig davon, ob der Täter gefasst wird. Diese Frist ist ein starkes Argument, wenn eine Bank auf Zeit spielt.

Davon getrennt: die mögliche Eigenhaftung

Eine andere Frage ist, ob die Bank vom Kunden Ersatz verlangen kann. § 675v BGB sieht für bestimmte Fälle missbräuchlicher Nutzung eine Eigenhaftung bis 50 Euro vor. Bei vorsätzlicher oder grob fahrlässiger Verletzung der vereinbarten Sicherheitsregeln kann die Haftung dagegen bis zum gesamten Schaden reichen – etwa wenn jemand trotz klarer Warnzeichen eine TAN herausgibt oder Zugangsdaten auf einer offensichtlich gefälschten Seite eingibt. Ob im Einzelfall grobe Fahrlässigkeit vorliegt, entscheiden Gerichte, und die Rechtsprechung ist uneinheitlich. Hat der Zahlungsdienstleister eine erforderliche starke Kundenauthentifizierung gar nicht verlangt, entfällt diese Eigenhaftung grundsätzlich – außer bei Betrug des Zahlers.

Der Punkt, an dem viele Fälle kippen: die Beweislast

Nach § 675w BGB reicht die bloße Aufzeichnung, dass ein Zahlungsinstrument benutzt und technisch authentifiziert wurde, nicht automatisch als Nachweis dafür, dass der Kunde die Zahlung tatsächlich autorisiert oder grob fahrlässig gehandelt hat. Dafür muss der Zahlungsdienstleister unterstützende Beweismittel vorlegen. Wer von seiner Bank hört, die Zahlung sei „korrekt mit Ihrem Verfahren freigegeben worden, also autorisiert“, sollte das deshalb nicht als das letzte Wort verstehen.

Melden musst du trotzdem sofort

§ 676b BGB verlangt die unverzügliche Anzeige nach Feststellung. Die häufig genannten dreizehn Monate sind eine gesetzliche Ausschlussfrist für die dort geregelten Ansprüche, keine Wartefrist; ihr Lauf setzt außerdem grundsätzlich voraus, dass der Zahlungsdienstleister den Kunden ordnungsgemäß über den Zahlungsvorgang unterrichtet hat. Wer seine Umsätze nie prüft, riskiert also allein durch Zeitablauf seinen Anspruch.

Kommst du mit deiner Bank nicht weiter, ist der nächste Schritt nicht sofort der Anwalt. Für Streitigkeiten über Zahlungsdienste gibt es die Schlichtungsstellen der Bankenverbände: Das Verfahren ist für Verbraucher grundsätzlich kostenlos und kann bei ordnungsgemäßer Einreichung die Verjährung hemmen. Daneben kannst du dich bei der Finanzaufsicht beschweren – ebenfalls kostenlos, aber mit einem wichtigen Unterschied: Eine BaFin-Beschwerde hemmt gesetzliche, vertragliche oder gerichtliche Fristen nicht. Wer also auf Fristen achten muss, verlässt sich auf die Schlichtung, nicht auf die Aufsichtsbeschwerde. Diese Einordnung ersetzt keine Rechtsberatung – bei größeren Beträgen lohnt sich anwaltlicher Rat, oft über eine Rechtsschutzversicherung abgedeckt.

Was du für deine Position tun kannst, bevor überhaupt etwas passiert

Die Haftungsfrage entscheidet sich häufig an dem, was sich später belegen lässt. Drei Gewohnheiten helfen dir dabei, und sie kosten nichts. Erstens: Push-Benachrichtigungen für jede Buchung, damit du eine fremde Zahlung in Stunden bemerkst und nicht in Wochen – das ist die Voraussetzung für die unverzügliche Meldung. Zweitens: Umsätze mindestens einmal im Monat wirklich durchsehen, gerade auch kleine Beträge, denn Testabbuchungen über wenige Euro gehen den großen oft voraus. Drittens: Wenn dir etwas seltsam vorkommt, notiere Datum, Uhrzeit und was genau angezeigt wurde. Ein Screenshot vom Freigabebildschirm ist im Streitfall mehr wert als jede Erinnerung.

Die häufigsten Fehler beim Online-Banking

Aus den Abschnitten oben lassen sich die Muster herausziehen, die in der Praxis den Schaden verursachen. Fast jeder Fall lässt sich einem dieser Punkte zuordnen.

Das Banking über einen Link öffnen. Der eine Fehler, aus dem die meisten anderen folgen. Ob Mail, SMS, Messenger oder Suchmaschinen-Anzeige spielt keine Rolle.

Eine Freigabe bestätigen, ohne zu lesen. Die Anzeige von Empfänger und Betrag ist eine entscheidende letzte Kontrollstelle vor der Freigabe. Wer nur auf „Bestätigen“ tippt, verschenkt den Schutz, für den das ganze Verfahren gebaut ist.

Höflich bleiben, wenn jemand anruft. Der teuerste Charakterzug in diesem Zusammenhang. Auflegen ist nicht unhöflich, sondern die einzig richtige Reaktion.

Dasselbe Passwort mehrfach verwenden. Taucht es in einem fremden Datenleck auf, ist auch dein Bankzugang betroffen, ohne dass die Bank irgendetwas falsch gemacht hätte.

Alles auf einem Gerät machen. Banking, Freigabe, E-Mail-Postfach und SMS auf demselben Telefon: Wer dieses Gerät kontrolliert, kontrolliert alles davon gleichzeitig.

Zugangsdaten oder Wiederherstellungscodes als Bildschirmfoto speichern. Die Fotogalerie ist einer der ersten Orte, an denen Schadsoftware sucht.

Kontoumsätze nie prüfen. Je später du einen nicht autorisierten Vorgang bemerkst, desto später kannst du Bank, Empfängerbank und gegebenenfalls Polizei einschalten. Nach Feststellung musst du den Vorgang unverzüglich melden; zusätzlich gilt grundsätzlich die gesetzliche Ausschlussfrist von dreizehn Monaten nach § 676b BGB.

Aus Scham warten. Der Fehler, der am Ende am meisten kostet. Betrug funktioniert genau deshalb, weil die Maschen professionell sind; darauf hereinzufallen ist keine Dummheit, sondern der Zweck der Konstruktion.

Checkliste Online-Banking-Sicherheit: die zehn Punkte zum Abhaken

1. Banking nur über die offizielle App oder eine selbst eingetippte Adresse öffnen – nie über Links aus Nachrichten, nie über Suchmaschinen-Anzeigen.
2. Niemals TAN, PIN oder vollständige Kartendaten auf Aufforderung herausgeben – in keinem Kanal, in keiner Situation.
3. Für die Zahlungsfreigabe das sicherste verfügbare Verfahren aktivieren: chipTAN, photoTAN – oder wenigstens Push-TAN auf einem getrennten Gerät. Für die Anmeldung zusätzlich Passkey oder Sicherheitsschlüssel, sofern die Bank das unterstützt.
4. Bei jeder Freigabe Empfänger und Betrag auf dem Freigabegerät lesen, nicht nur bestätigen.
5. Niemandem Fernzugriff geben, der von sich aus angerufen hat.
6. Nichts in ein Systemfenster kopieren, weil eine Website es verlangt.
7. System und Apps aktuell halten, Apps nur aus offiziellen Stores, Bedienungshilfen-Berechtigung sparsam vergeben.
8. Einzigartiges Passwort fürs Banking, verwaltet in einem Passwortmanager.
9. Überweisungslimit auf den eigenen Bedarf senken und Push-Benachrichtigung für jede Buchung aktivieren.
10. Sperr-Notruf 116 116 und die offizielle Banknummer im Handy speichern – bevor du sie brauchst.

Begriffe kurz erklärt

Diese Wörter tauchen in Warnmeldungen von Banken und Verbraucherzentralen immer wieder auf. Wer sie einmal sortiert hat, versteht jede weitere Warnung schneller.

Phishing

Der Versuch, dir mit einer gefälschten Nachricht Zugangsdaten, Kartendaten oder eine TAN zu entlocken. Der Kanal ist beliebig: E-Mail, SMS, Messenger, QR-Code oder Telefon.

Smishing und Vishing

Zwei Spielarten desselben Angriffs. Smishing läuft über SMS, Vishing über das Telefon. Der Ablauf bleibt gleich: Druck aufbauen, Vertrauen erzeugen, eine Handlung verlangen, die du sonst nie vornehmen würdest.

Echtzeit-Phishing

Die gefälschte Seite reicht deine Eingaben sofort an die echte Bank weiter. Dadurch bekommst du eine echte, gültige TAN – und gibst sie beim Angreifer ein. Ein abtippbarer Code ist gegen Echtzeit-Phishing nicht phishingresistent, weil er unmittelbar weitergereicht werden kann. Origin-gebundene Verfahren wie FIDO2 oder Passkeys sind für die Anmeldung robuster; bei Zahlungen hilft zusätzlich die Bindung an Empfänger und Betrag.

Starke Kundenauthentifizierung

Authentifizierung mit mindestens zwei voneinander unabhängigen Elementen aus Wissen, Besitz und Inhärenz. Sie ist beim Online-Zugriff und bei elektronischen Zahlungen grundsätzlich vorgeschrieben; für bestimmte Fälle bestehen gesetzlich geregelte Ausnahmen. Sie ist der Grund, warum du für Anmeldung und Zahlung eine zusätzliche Freigabe brauchst.

TAN, chipTAN, photoTAN, pushTAN

Die TAN dient zur Freigabe eines Vorgangs. chipTAN arbeitet mit Bankkarte und separatem Generator. Bei photoTAN werden visuell codierte Transaktionsdaten – je nach Bank über eine App oder ein separates Lesegerät – geprüft und freigegeben. pushTAN arbeitet über eine Freigabe-App der Bank. Entscheidend für die Sicherheit sind unter anderem die Trennung vom Banking-Gerät und die Anzeige beziehungsweise Bindung von Empfänger und Betrag.

FIDO2 und Passkey

Ein Anmeldeverfahren ohne abtippbaren Code. Ein physischer Sicherheitsschlüssel oder ein im Gerät hinterlegter Passkey prüft kryptografisch, mit welcher Adresse er spricht, und funktioniert auf einer gefälschten Domain schlicht nicht. Schützt vor allem die Anmeldung, nicht zwingend die einzelne Überweisung.

Banking-Trojaner

Schadsoftware auf dem Gerät, die sich über die echte Banking-App legt, Eingaben mitliest, Benachrichtigungen abgreift oder das Gerät fernsteuert. Ein häufig missbrauchter Hebel ist die Berechtigung für Bedienungshilfen.

ClickFix

Eine Masche, bei der dich eine Website anleitet, einen Text zu kopieren und in ein Systemfenster einzufügen. Der eingefügte Befehl lädt Schadsoftware nach – ausgeführt von dir selbst, mit deinen Rechten.

SIM-Swapping

Die Übernahme deiner Rufnummer über eine beantragte Ersatz-SIM. Ab dann laufen alle SMS-Codes beim Angreifer auf. Der Hauptgrund, warum die SMS-TAN als schwächstes Verfahren gilt.

Verification of Payee (Empfängerüberprüfung)

Der Abgleich zwischen eingegebenem Empfängernamen und IBAN, den deutsche Banken seit Oktober 2025 vor Euro-Überweisungen vornehmen müssen. Er zeigt dir als Ampel an, ob Name und Konto zusammengehören – nicht, ob der Empfänger seriös ist.

Nicht autorisierte Zahlung

Eine Zahlung, der du nicht zugestimmt hast. Bei ihr greift die Erstattungspflicht der Bank nach § 675u BGB – unverzüglich, spätestens bis zum Ende des folgenden Geschäftstags.

Grobe Fahrlässigkeit

Ein besonders schwerer Sorgfaltsverstoß, etwa die Herausgabe einer TAN trotz klarer Warnzeichen. Liegt sie vor, kann der Kunde den Schaden ganz oder teilweise selbst tragen. Wo die Grenze verläuft, entscheiden Gerichte im Einzelfall.

Weiterlesen

Phishing erkennen und abwehren – Dieser Leitfaden konzentriert sich auf das Banking, doch dieselben Maschen treffen dich beim Paketdienst, beim Streamingdienst und im Postfach deines Arbeitgebers. Der Beitrag arbeitet die Erkennungsmerkmale kanalübergreifend heraus und zeigt, wie du eine Nachricht in Sekunden einordnest, ohne auf ihr Aussehen hereinzufallen. Besonders nützlich sind die Beispiele, an denen sichtbar wird, wie professionell die Nachrichten inzwischen gemacht sind. Wer beides gelesen hat, erkennt das Muster auch dort, wo es zum ersten Mal auftaucht.

Passwörter als Screenshot auf dem Handy – Der Fehler, den fast jeder schon gemacht hat: eine TAN-Liste, ein Zugangsdatensatz oder ein Wiederherstellungscode als Bildschirmfoto in der Galerie. Der Beitrag zeigt am Beispiel einer konkreten Schadsoftware, wie gezielt Angreifer inzwischen genau dort suchen. Wer das gelesen hat, räumt seine Fotogalerie noch am selben Abend auf.

Banking-Trojaner 2026 – Wenn das Gerät selbst manipuliert ist, greifen die Regeln aus diesem Leitfaden nur noch eingeschränkt, weil du dann nicht mehr siehst, was tatsächlich passiert. Der Beitrag zeigt, welche Schadsoftware derzeit aktiv auf Konten zielt, wie sie auf das Handy kommt und welche Berechtigung sie dafür braucht. Er erklärt außerdem, woran du eine Infektion bemerkst, bevor Geld fehlt. Das ist die technische Ergänzung zu den Verhaltensregeln hier.

Authenticator-App richtig einrichten – Der Wechsel weg von SMS-Codes ist eine sehr wirksame Sicherheitsmaßnahme, die du in einer halben Stunde umsetzen kannst, und zwar nicht nur beim Banking, sondern bei allen wichtigen Konten. Der Beitrag führt durch die Einrichtung, erklärt den Umgang mit den Wiederherstellungscodes und geht auf die Frage ein, was beim Handywechsel passiert. Genau daran scheitern die meisten Umstellungen. Wer das einmal sauber aufgesetzt hat, hat für Jahre Ruhe.

Sicherheitsschlüssel und FIDO2: welcher passt zu dir – Ein FIDO2-Sicherheitsschlüssel gehört zu den phishingresistenten Anmeldeverfahren: Er bindet die Anmeldung kryptografisch an die echte Domain und verhindert dadurch, dass ein abtippbarer Code an eine Phishing-Seite weitergereicht wird. Die Kaufberatung ordnet die gängigen Modelle nach Anschluss, NFC-Fähigkeit und Einsatzzweck ein. Sie beantwortet auch die Frage, warum man immer zwei Schlüssel braucht und nicht einen. Für alle, die größere Beträge oder ein Geschäftskonto führen, ist das die logische nächste Anschaffung.

Fernzugriff-Betrug: wenn Anlagebetrüger an dein Online-Banking wollen – Hier verbinden sich zwei Welten, die viele getrennt betrachten: der vermeintliche Anlageberater und der Zugriff auf dein Girokonto. Der Beitrag zeichnet nach, wie aus einem harmlosen Erstkontakt über eine Werbeanzeige eine Fernwartungssitzung wird, in der du selbst überweist. Er benennt die Sätze, an denen du das Gespräch abbrechen solltest. Wenn dich der Fernzugriff-Abschnitt oben beunruhigt hat, ist das die ausführliche Fassung.

Anlagebetrug erkennen: Finanzanbieter und Warnlisten in Minuten prüfen – Viele Kontoplünderungen beginnen nicht mit einer Phishing-SMS, sondern mit einer Plattform, bei der du freiwillig einzahlst. Der Beitrag zeigt, wie du in wenigen Minuten prüfst, ob ein Anbieter zugelassen ist und ob er auf einer offiziellen Warnliste steht – bevor Geld fließt, nicht danach. Er erklärt außerdem, warum das Fehlen auf einer Warnliste kein Gütesiegel ist. Diese Prüfung gehört zur Grundhygiene wie das Sperren einer Karte.

Quellen und offizielle Anlaufstellen

Die rechtlichen Angaben in diesem Beitrag stützen sich auf die folgenden Vorschriften und Stellen. Bei einem konkreten Fall sind immer der Gesetzestext, dein Vertrag und die Auskunft deiner Bank maßgeblich.

• § 675u BGB – Haftung des Zahlungsdienstleisters für nicht autorisierte Zahlungsvorgänge, einschließlich der Erstattungsfrist bis zum Ende des folgenden Geschäftstags.
• § 675v BGB – Haftung des Zahlers bei missbräuchlicher Nutzung, insbesondere die Grenze zur groben Fahrlässigkeit.
• § 675w BGB – Nachweis der Authentifizierung und Beweislast: Eine technisch erfolgreiche Authentifizierung allein genügt nicht als Nachweis der Autorisierung.
• § 676b BGB – Anzeigepflicht des Kunden und die Ausschlussfrist von dreizehn Monaten.
• § 55 ZAG – starke Kundenauthentifizierung; bei elektronischen Fernzahlungen muss sie den Vorgang dynamisch mit Betrag und Zahlungsempfänger verknüpfen.
• Verordnung (EU) 2024/886, Artikel 5c – Empfängerüberprüfung (Verification of Payee) vor Euro-Überweisungen, gültig seit dem 9. Oktober 2025 für Zahlungsdienstleister in Euro-Mitgliedstaaten.
• Bundesamt für Sicherheit in der Informationstechnik – Empfehlungen zu Online-Banking, TAN-Verfahren und mobiler Gerätesicherheit.
• Verbraucherzentrale – laufend aktualisierte Warnungen zu konkreten Phishing-Wellen, oft mit Abbildung der Originalnachricht.
• BaFin – Beschwerdestelle für Zahlungsdienste; kostenlos, hemmt aber keine Fristen.
• Deutsche Bundesbank – Informationen zu Schlichtungsverfahren im Zahlungsverkehr.
• Sperr-Notruf 116 116 – zentrale Sperrhotline; dort ist auch einsehbar, welche Institute angeschlossen sind.

Häufige Fragen zur Sicherheit beim Online-Banking

Was gehört alles zur Online-Banking-Sicherheit?

Drei Bereiche: ein sauberes Gerät mit aktuellem System und Apps aus offiziellen Quellen, ein Freigabeverfahren mit getrenntem Gerät und Anzeige von Empfänger und Betrag wie chipTAN oder photoTAN – für die Anmeldung zusätzlich ein Passkey oder Sicherheitsschlüssel nach FIDO2 –, und das eigene Verhalten – Banking nie über einen Link aus einer Nachricht öffnen, niemals eine TAN auf Zuruf herausgeben und niemandem Fernzugriff geben, der von sich aus angerufen hat. Die Verschlüsselung der Bank musst du dagegen nicht absichern, die ist bereits stark.

Ist Online-Banking überhaupt sicher?

Ja. Die Technik der Banken ist stark, und die meisten Schäden entstehen nicht durch geknackte Systeme, sondern durch Täuschung der Nutzer. Wer sein Banking nur über die offizielle App oder eine selbst eingetippte Adresse öffnet, ein Freigabeverfahren mit getrenntem Gerät nutzt und Gerät sowie Verbindung sauber hält, ist gegen die überwiegende Mehrheit aller Angriffe geschützt.

Woran erkenne ich eine Phishing-Nachricht?

An Zeitdruck und Drohung, an der Aufforderung, dich über einen Link einzuloggen, an der Abfrage von TAN, PIN oder Kartendaten und an der Bitte, ein Freigabeverfahren neu zu aktivieren. Verlass dich nicht auf Rechtschreibung, Logo oder Absenderadresse – all das lässt sich fälschen und sieht inzwischen professionell aus.

Was ist Smishing?

Phishing per SMS. Die Nachricht ist kurz, enthält einen Link und behauptet meist, deine Karte sei gesperrt, ein Paket hänge fest oder eine Verifizierung sei nötig. Gefährlich ist Smishing vor allem deshalb, weil gefälschte Nachrichten im selben Verlauf landen können wie echte Bank-SMS. Der Nachrichtenverlauf ist also kein Echtheitsnachweis.

Fragt meine Bank jemals nach meiner TAN oder PIN?

Das offizielle Banking-System kann sehr wohl eine TAN oder eine App-Freigabe verlangen – nämlich für einen Vorgang, den du selbst begonnen hast. Kein Bankmitarbeiter fordert dich dagegen nach einem unerwarteten Anruf, einer SMS oder E-Mail dazu auf, eine TAN vorzulesen, weiterzugeben oder auf einer verlinkten Seite einzugeben. Und eine TAN oder App-Freigabe autorisiert immer den konkret angezeigten Vorgang – prüfe deshalb bei jeder Freigabe, welchen Vorgang, welchen Empfänger und welchen Betrag du tatsächlich bestätigst. Wer dir am Telefon erzählt, mit einer TAN lasse sich eine fremde Zahlung stoppen, will dein Geld.

Welches TAN-Verfahren ist am sichersten?

Zu den besonders robusten TAN-Verfahren gehört chipTAN, weil ein separater Generator zusammen mit der Bankkarte arbeitet und Empfänger sowie Betrag anzeigt. Auch photoTAN bietet hohe Sicherheit, insbesondere wenn Banking und Freigabe auf getrennten Geräten laufen. Push-TAN kann ebenfalls sicher umgesetzt sein; ein getrenntes Gerät bringt zusätzliche Isolation. FIDO2-Schlüssel und Passkeys sind keine klassischen TAN-Verfahren und schützen vor allem die Anmeldung. SMS-TAN ist im Vergleich weniger robust.

Reicht Zwei-Faktor-Authentifizierung heute noch aus?

Nicht gegen jede Angriffsart gleich gut. Ein abtippbarer zweiter Faktor schützt weiterhin beispielsweise dann, wenn ein Angreifer nur dein Passwort kennt. Gegen Echtzeit-Phishing ist ein solcher Code jedoch nicht phishingresistent, weil er unmittelbar an die echte Bank weitergereicht werden kann. Für die Anmeldung sind FIDO2 und Passkeys deshalb robuster. Bei Zahlungen schützt zusätzlich ein Verfahren, das die Freigabe dynamisch an Empfänger und Betrag bindet – vorausgesetzt, du prüfst diese Daten tatsächlich.

Ich bekomme eine Freigabeanfrage, obwohl ich nichts getan habe. Was bedeutet das?

Sie ist ein ernstes Warnsignal für einen unautorisierten Zugriffs- oder Registrierungsversuch. Bestätige nichts. Es reicht auch nicht, die Anfrage nur abzulehnen, denn die Ursache bleibt damit ungeklärt. Sichere deinen Zugang von einem vertrauenswürdigen Gerät aus, ändere das Passwort und melde den Vorgang deiner Bank über einen offiziellen Kanal.

Reicht das Schloss-Symbol im Browser als Echtheitsbeweis?

Nein. Es zeigt nur an, dass die Verbindung verschlüsselt ist – das haben Betrugsseiten längst, weil Zertifikate kostenlos zu bekommen sind. Verlass dich stattdessen auf eine selbst eingetippte Adresse oder ein eigenes Lesezeichen.

Wie erkenne ich eine gefälschte Banking-App?

Prüfe den Entwicklernamen im Store, nicht nur den App-Namen, und sieh dir an, ob Bewertungszahl und Versionshistorie zu einer echten Bank-App passen. Am sichersten installierst du die App über den Link, den deine Bank im Online-Banking selbst hinterlegt hat. Apps aus fremden Quellen umgehen jede Prüfung des Stores – das ist ein wichtiger Verbreitungsweg für Banking-Trojaner.

Ist Online-Banking am Handy oder am Rechner sicherer?

Beides kann sicher sein; die Risiken liegen nur woanders. Für das Handy spricht die stärkere Abschottung der Apps, dagegen spricht, dass dort oft Banking, Freigabe, E-Mail und SMS auf einem Gerät liegen. Entscheidend ist nicht das Gerät, sondern die Trennung: Überweisung auf dem einen, Freigabe auf dem anderen Gerät.

Kann ich mein Überweisungslimit senken?

Bei den meisten Banken lässt sich das Tages- oder Wochenlimit im Online-Banking selbst anpassen, sonst über den Kundenservice. Ein Limit, das zu deinem tatsächlichen Bedarf passt, deckelt den Schaden, den ein gelungener Angriff überhaupt anrichten kann. Für eine seltene große Zahlung lässt sich das Limit vorübergehend anheben.

Darf ich im öffentlichen WLAN Bankgeschäfte erledigen?

Besser nicht ungeschützt. In offenen Netzen ist nicht sicher, wer den Zugangspunkt betreibt. Nutze unterwegs das Mobilfunknetz – das ist einfacher und in der Praxis meist sicherer – oder einen verschlüsselten Tunnel, der aber keine der übrigen Regeln ersetzt.

Jemand ruft an und sagt, er sei von der Betrugsabteilung meiner Bank. Was tun?

Auflegen und selbst über die Nummer auf der Rückseite deiner Karte zurückrufen. Die angezeigte Rufnummer beweist nichts, weil sie sich fälschen lässt. Verlangt der Anrufer eine TAN, eine Überweisung auf ein Sicherheitskonto, Fernzugriff auf deinen Rechner oder die Neueinrichtung deines Freigabeverfahrens, ist es in jedem dieser vier Fälle Betrug.

Was mache ich sofort bei Verdacht auf Kontobetrug?

In dieser Reihenfolge: Karte und Online-Zugang sperren, über den Sperr-Notruf 116 116 oder direkt in der App; die Bank über die offizielle Nummer kontaktieren; bei Fernzugriff das Gerät vom Netz nehmen; Passwörter von einem sauberen Gerät ändern, zuerst Banking und E-Mail; alles dokumentieren; Anzeige erstatten.

Hafte ich, wenn Geld unbefugt abgebucht wurde?

Bei einer nicht autorisierten Zahlung muss die Bank nach § 675u BGB grundsätzlich unverzüglich erstatten, spätestens bis zum Ende des folgenden Geschäftstags. Davon getrennt ist eine mögliche Eigenhaftung nach § 675v BGB: Bei bestimmten Fällen missbräuchlicher Nutzung können bis zu 50 Euro, bei Vorsatz oder grober Fahrlässigkeit unter Umständen der gesamte Schaden beim Kunden liegen. Wichtig: Nach § 675w BGB beweist eine technisch erfolgreiche Authentifizierung allein noch nicht automatisch, dass du die Zahlung autorisiert oder grob fahrlässig gehandelt hast. Nicht autorisierte Zahlungen musst du nach § 676b BGB unverzüglich nach Feststellung melden; die dreizehn Monate sind eine äußerste Ausschlussfrist unter den gesetzlichen Voraussetzungen.

Was bedeutet die Meldung, dass Empfängername und IBAN nicht übereinstimmen?

Bei deutschen Banken gilt die Empfängerüberprüfung seit Oktober 2025: Vor einer Euro-Überweisung wird abgeglichen, ob der eingegebene Name zur IBAN gehört. Eine rote Meldung heißt: Der Name passt nicht zum hinterlegten Kontoinhaber. Brich die Zahlung ab und prüfe die Bankverbindung über einen Kanal, den du selbst gewählt hast. Eine gelbe Meldung zeigt eine leichte Abweichung an, etwa eine fehlende Rechtsform – lies dort den angezeigten Namen und entscheide selbst.

Brauche ich ein Virenprogramm fürs Banking?

Auf dem Rechner ist ein aktueller Schutz sinnvoll, auf mobilen Geräten ist ein sauberes, aktuelles System meist wirksamer als zusätzliche Schutz-Apps. Wichtiger als jedes Programm sind zwei Gewohnheiten: Apps nur aus offiziellen Stores installieren und die Berechtigung für Bedienungshilfen nur vergeben, wenn du genau weißt, wofür.

Wie hängt die Wahl der Bank mit meiner Sicherheit zusammen?

Sehr direkt. Ein großer Teil der Online-Banking-Sicherheit hängt daran, was dein Anbieter überhaupt zulässt. Wer nur SMS-TAN anbietet, zwingt dich in das schwächste Verfahren. Gute Häuser bieten chipTAN oder photoTAN, unterstützen Sicherheitsschlüssel, haben eine funktionierende Sperrfunktion in der App und benachrichtigen dich bei jeder Buchung. Wenn deine Bank das nicht kann, ist das ein sachlicher Grund für einen Wechsel.

Hinweis: Dieser Beitrag ist eine redaktionelle Information zur digitalen Sicherheit und ersetzt keine Rechts-, Anlage- oder Steuerberatung. Die Angaben zur Haftung bei nicht autorisierten Zahlungen geben die Grundzüge des deutschen Zahlungsrechts wieder; maßgeblich sind im Einzelfall dein Vertrag, die aktuelle Rechtsprechung und die Auskunft deiner Bank. Bei größeren Schäden ist anwaltlicher Rat sinnvoll. Sicherheitsverfahren, Zuständigkeiten und Fristen können sich ändern; im Zweifel gelten die offiziellen Angaben deiner Bank sowie die Hinweise der Verbraucherzentralen und des Bundesamts für Sicherheit in der Informationstechnik. Dieser Beitrag enthält einen mit „Anzeige“ gekennzeichneten Werbe-/Affiliate-Link; bei einem Kauf darüber kann eine Provision anfallen, für dich ändert sich der Preis dadurch nicht.