Es gab eine Zeit, da war Betrug am Handy leicht zu erkennen. Die Nachricht kam in gebrochenem Deutsch, die Anrede lautete „Sehr geehrte Kunde", und der Absender war eine Nummer aus einem Land, in dem man niemanden kennt. Wer aufmerksam las, fiel nicht darauf herein.
Diese Zeit ist vorbei. Die Texte sind heute fehlerfrei, die Absender sehen plausibel aus, und die gefälschten Seiten unterscheiden sich optisch nicht mehr vom Original. Was früher geholfen hat – auf Rechtschreibung achten, auf komische Formulierungen –, hilft nicht mehr. Es braucht eine andere Methode. Die gute Nachricht: Es gibt genau eine, und sie funktioniert unabhängig davon, wie gut die Fälschung ist.
Falls es schon passiert ist
- Konto sperren: 116 116 rund um die Uhr, danach die eigene Bank direkt.
- Zugänge ändern: Onlinebanking und das Mail-Postfach zuerst.
- Nichts löschen: Nachricht, Nummer und Beleg sind deine Beweise.
- Anzeige erstatten: online über die Internetwache deines Bundeslands.
- Erstattung prüfen: Bei nicht autorisierten Zahlungen muss die Bank zunächst zurückbuchen.
Die Lage in Zahlen
Der Cybersicherheitsmonitor des Bundesamts für Sicherheit in der Informationstechnik befragt jedes Jahr über 3.000 Menschen ab 16 Jahren. Die Ausgabe 2026 zeichnet ein Bild, das mit dem Klischee vom leichtgläubigen Opfer wenig zu tun hat.
Zwei Zahlen lohnen einen zweiten Blick. Die erste: 33 Prozent der Betroffenen hatten einen finanziellen Schaden. Betrug ist also nicht nur lästig, sondern in einem von drei Fällen teuer.
Die zweite steht etwas versteckt in der Erhebung: Nur 26 Prozent lassen Updates automatisch installieren. Starke Passwörter nutzen 46 Prozent, Zwei-Faktor-Authentifizierung 40 Prozent. Ausgerechnet die Maßnahme, die im Hintergrund arbeitet und keinerlei Disziplin verlangt, ist die am seltensten genutzte.
Warum die alten Erkennungsmerkmale nicht mehr taugen
Die Ratschläge, die seit Jahren durch Ratgeber wandern, stammen aus einer Zeit, in der Betrugsnachrichten von Menschen mit schlechten Deutschkenntnissen und wenig Aufwand geschrieben wurden. Beides trifft nicht mehr zu.
Was nicht mehr funktioniert – und warum
| Alter Ratschlag | Warum er heute ins Leere läuft |
|---|---|
| „Achte auf Rechtschreibfehler“ | Texte werden maschinell erzeugt und sind sprachlich einwandfrei – oft besser als echte Kundenschreiben. |
| „Prüfe die Absendernummer“ | Absenderkennungen lassen sich fälschen. Eine SMS kann im selben Verlauf landen wie echte Nachrichten deiner Bank. |
| „Erkenne es am Layout“ | Gefälschte Anmeldeseiten sind Kopien des Originals, teils inklusive Cookie-Banner und Impressum. |
| „Seriöse Firmen schreiben dich nicht an“ | Doch, ständig. Banken, Zusteller und Behörden verschicken echte Benachrichtigungen – das macht die falschen so wirksam. |
Der gemeinsame Denkfehler dieser Ratschläge: Sie verlangen, dass du eine Fälschung als Fälschung erkennst. Das ist ein Wettrennen, das du auf Dauer verlierst, weil die Gegenseite jedes Erkennungsmerkmal abstellen kann, sobald es bekannt wird.
Der Test, der fast immer funktioniert
Es gibt eine Methode, die unabhängig von der Qualität der Fälschung greift, weil sie den Inhalt gar nicht erst bewertet. Sie prüft stattdessen den Weg.
Die Regel lautet: Antworte nie in dem Kanal, in dem die Aufforderung kam. Wer dich angeschrieben oder angerufen hat, kontrolliert diesen Kanal – die Nummer, den Link, die Rückrufnummer in der Nachricht, sogar den Menschen am anderen Ende. Wenn du stattdessen selbst einen Weg wählst, den du schon vorher kanntest, ist die Kontrolle weg.
Praktisch heißt das: Bei der angeblichen Bank legst du auf und rufst die Nummer an, die auf der Rückseite deiner Karte steht. Beim angeblichen Kind rufst du die alte, gespeicherte Nummer an – nicht die neue aus dem Chat. Beim angeblichen Paket öffnest du die App des Zustellers und gibst die Sendungsnummer ein, statt auf den Link zu tippen.
Die Maschen im Einzelnen
Smishing: die Nachricht mit dem Link
Der Klassiker kommt als SMS oder als Nachricht in einem Messenger und behauptet, dass etwas mit einer Sendung nicht stimmt, dass eine Zollgebühr offen ist oder dass ein Konto gesperrt wurde. Gemeinsam ist allen Varianten ein Link und ein Zeitdruck.
Woran du es unabhängig vom Text erkennst: Ein Zusteller, der wirklich Geld will, verlangt es nicht über einen Link in einer SMS. Eine Bank, die wirklich ein Problem sieht, sperrt und lässt dich anrufen – sie schickt dich nicht über einen Link zur Anmeldung. Und eine Behörde schreibt in Deutschland in aller Regel Briefe.
Quishing: der überklebte QR-Code
Die jüngere Variante braucht keinen Versand mehr. Der Angriff liegt in der realen Welt: ein Aufkleber mit einem fremden QR-Code auf dem echten Code am Parkscheinautomaten, an der Ladesäule oder auf einem Aushang. Wer ihn scannt, landet auf einer nachgebauten Bezahlseite.
Der Vorteil für die Täter ist offensichtlich: Ein QR-Code zeigt dir nicht, wohin er führt. Du siehst ein Quadrat, keinen Adressbalken. Der Rat der Polizei ist entsprechend schlicht – am Automaten mit dem Finger über den Code fahren und prüfen, ob etwas darauf klebt, und im Zweifel die App des Anbieters öffnen, statt zu scannen.
Der Anruf, der sofort Angst macht
Am Telefon arbeitet die Gegenseite mit Druck statt mit Technik. Die Varianten wechseln – mal ist es ein „Sicherheitsmitarbeiter" der Bank, mal eine angebliche Behörde, mal ein technischer Support, der einen Virus gefunden haben will. Der Ablauf ist immer derselbe: Es besteht angeblich akute Gefahr, es muss sofort gehandelt werden, und du sollst dabei etwas tun, das du sonst nie tätest.
Die harte Grenze: Niemand Seriöses fragt nach einer TAN, einem Bestätigungscode oder einem Passwort. Keine Bank, keine Polizei, kein Support. Auch nicht „zur Verifizierung". Sobald das kommt, ist das Gespräch beendet – ohne Diskussion, ohne Erklärung. Auflegen ist nicht unhöflich, sondern die richtige Reaktion.
Ebenso eindeutig: Wer dich bittet, eine Fernwartungs-App zu installieren, will auf dein Gerät. Wer dich auffordert, Geld auf ein „Sicherheitskonto" zu überweisen, erfindet etwas, das es nicht gibt.
„Hallo Mama“ – und warum diese Masche gerade zurückgeht
Die bekannteste Masche der letzten Jahre begann mit einer Nachricht von einer unbekannten Nummer: Das Kind habe ein neues Handy, die alte Nummer sei weg. Nach etwas Smalltalk folgte die Bitte um eine dringende Überweisung.
Bemerkenswert ist der aktuelle Stand: Die Verbraucherzentrale hält fest, dass solche Meldungen bis Juli 2026 sehr selten geworden sind. Das heißt nicht, dass es die Masche nicht mehr gibt – aber sie hat ihre beste Zeit hinter sich, vermutlich schlicht, weil sie zu bekannt wurde. Genau deshalb steht sie hier nicht am Anfang: Wer heute nur auf „Hallo Mama" achtet, verteidigt sich gegen den Angriff von gestern.
Die Gegenmaßnahme ist trotzdem lehrreich, weil sie der Kanalwechsel in Reinform ist: Ruf dein Kind unter der alten Nummer an. Meldet es sich, ist der Fall erledigt.
Kontoübernahme: die unterschätzte Nummer zwei
Fremdzugriffe auf Online-Konten stehen in der BSI-Erhebung mit 14 Prozent auf Platz zwei – noch vor Betrug beim Onlinebanking. Der Unterschied zu den anderen Maschen: Hier wird dir nichts abgeschwatzt, sondern etwas benutzt, das längst kursiert.
Die häufigste Ursache ist kein raffinierter Angriff, sondern ein altes Datenleck. Wurde deine Mailadresse samt Passwort irgendwann bei einem Dienst abgegriffen, probieren Kriminelle dieselbe Kombination automatisiert bei hunderten anderen Diensten durch. Wer ein Passwort mehrfach verwendet, verliert damit nicht ein Konto, sondern eine Kette.
Drei Anzeichen, dass ein Konto übernommen wurde:
- Du bekommst Bestätigungscodes, die du nicht angefordert hast. Das ist kein Fehler, sondern jemand, der bereits dein Passwort hat und am zweiten Faktor scheitert.
- Mails verschwinden oder landen plötzlich in einem Ordner, den du nicht angelegt hast. Angreifer richten gern Weiterleitungen und Filterregeln ein, damit du Warnmails nicht siehst.
- Dienste melden Anmeldungen aus Ländern, in denen du nicht warst.
Reihenfolge im Ernstfall: zuerst das Mail-Postfach zurückholen, weil daran alles andere hängt. Dann die Weiterleitungs- und Filterregeln im Postfach prüfen – dieser Schritt wird fast immer vergessen, und ohne ihn liest der Angreifer weiter mit, auch nach dem Passwortwechsel. Erst danach die übrigen Dienste.
Der Verifizierungscode, der angeblich versehentlich kam
Eine Variante läuft vollständig über Vertrauen und braucht weder Link noch Schadsoftware. Eine Bekannte schreibt: Sie habe aus Versehen deine Nummer angegeben, gleich komme ein Code per SMS, ob du ihn kurz weiterleiten könntest.
Der Code ist echt – aber er gehört nicht ihr, sondern dir. Es ist der Verifizierungscode, mit dem sich dein Messenger-Konto auf einem fremden Gerät einrichten lässt. Wer ihn weitergibt, verliert sein Konto: Der Angreifer übernimmt es, liest Gruppen mit und schreibt im nächsten Schritt deine Kontakte mit derselben Masche an. Deshalb kommt die Bitte oft von einer Person, die du kennst – ihr Konto wurde eine Stufe vorher übernommen.
Die Regel hier ist absolut: Ein Code, der auf deinem Gerät ankommt, gehört niemand anderem. Es gibt keinen legitimen Grund, ihn weiterzugeben – nicht für Freunde, nicht für den Support, nicht für Paketdienste.
Vorbeugend hilft ein zweiter Faktor im Messenger selbst. Bei WhatsApp heißt er Verifizierung in zwei Schritten und liegt in den Einstellungen unter „Datenschutz-Check" beziehungsweise „Konto". Ist dort eine PIN hinterlegt, reicht der abgefangene SMS-Code allein nicht mehr aus.
Fake-Shops
Betrug beim Online-Shopping ist laut BSI-Erhebung die häufigste Erfahrung unter den Betroffenen – häufiger als Phishing. Die Shops sehen professionell aus, sind über Anzeigen in sozialen Netzwerken gut auffindbar und locken mit Preisen, die spürbar unter dem Markt liegen.
Zwei Prüfungen kosten eine Minute und fangen fast alles ab. Erstens: Gibt es außer Vorkasse eine Zahlungsart mit Käuferschutz? Wenn am Ende des Bestellvorgangs nur noch Überweisung übrig bleibt, obwohl vorher Kreditkarte und PayPal angezeigt wurden, ist das ein Abbruchgrund. Zweitens: Steht im Impressum eine erreichbare Anschrift in der EU, und findest du den Firmennamen außerhalb der eigenen Website wieder?
Wenn es passiert ist
Das Wichtigste vorweg: Es passiert klugen, aufmerksamen Menschen. Wer in einem unpassenden Moment erwischt wird – im Gedränge, unter Zeitdruck, mitten in einer echten Paketlieferung –, tippt auf den Link, den er nüchtern nie angetippt hätte. Scham ist der häufigste Grund, warum Betroffene zu spät reagieren. Und zu spät ist hier das eigentliche Problem.
Der erste Anruf gilt der Bank. Über den Sperr-Notruf 116 116 erreichst du rund um die Uhr eine Stelle, die Karten und Zugänge vieler Institute sperren kann; aus dem deutschen Festnetz ist der Anruf kostenlos, aus dem Ausland gilt +49 116 116. Danach rufst du deine Bank direkt an, denn nur dort lässt sich eine konkrete Zahlung stoppen oder zurückrufen.
Erst danach kommen die Zugänge. Ändere das Passwort für das Onlinebanking und – genauso wichtig – für das Mail-Postfach, das an diesem Konto hängt. Wer die Mailadresse kontrolliert, kann anderswo Passwörter zurücksetzen.
Die zweite Welle
Wer einmal Geld verloren hat, ist damit nicht aus dem Blickfeld. Im Gegenteil: Betrugsopfer sind eine begehrte Zielgruppe, weil sie nachweislich reagieren und weil sie unter Druck stehen. Die Verbraucherzentrale Hessen warnt vor einer Masche mit eigenem Namen – dem Recovery Scam.
Der Ablauf ist zynisch schlicht. Wochen oder Monate nach dem Vorfall meldet sich jemand: angeblich von der Bank, von einer Ermittlungsbehörde, manchmal sogar als Verbraucherschützer oder Anwaltskanzlei. Das Geld sei gefunden und gesichert, es müsse nur noch freigegeben werden – gegen eine Vorauszahlung für Gebühren, Steuern oder Bearbeitungskosten. Danach verschwinden Geld und Gegenüber ein zweites Mal.
Teils sind es dieselben Täter, die ohnehin alle Daten haben. Teils sind es andere, die als vermeintliche Spezialisten für Geldrückholung Anzeigen schalten und darauf warten, dass Betroffene selbst anrufen.
Geld zurück: was rechtlich gilt
Hier kursieren zwei falsche Gewissheiten. Die eine lautet, dass das Geld grundsätzlich weg ist. Die andere, dass die Bank immer zahlen muss. Beides stimmt nicht.
Der Ausgangspunkt steht in § 675u BGB: Bei einer nicht autorisierten Zahlung hat die Bank keinen Anspruch auf Erstattung ihrer Aufwendungen und muss den Betrag unverzüglich wieder gutschreiben. Bestreitest du, die Zahlung ausgelöst zu haben, liegt die Beweislast für die Autorisierung bei der Bank.
Die Einschränkung folgt auf dem Fuß: Hat der Kunde grob fahrlässig gehandelt, kann die Bank dem Erstattungsanspruch einen eigenen Schadensersatzanspruch entgegenhalten. Die Weitergabe einer TAN am Telefon oder im Chat wird dabei regelmäßig als grobe Fahrlässigkeit gewertet. Umgekehrt bleibt die Bank in der Pflicht, wenn ihre eigenen Sicherungssysteme unzureichend waren.
Fristen, die du kennen solltest
| Fall | Frist |
|---|---|
| SEPA-Lastschrift mit gültigem Mandat | 8 Wochen ab Belastung, ohne Angabe von Gründen, für Verbraucher kostenlos |
| SEPA-Lastschrift ohne gültiges Mandat | 13 Monate ab Belastung – etwa bei untergeschobenen Abos |
| Nicht autorisierte Überweisung | Unverzüglich melden; die Gutschriftpflicht der Bank knüpft an die fehlende Autorisierung an |
Das ist eine Einordnung der Rechtslage, keine Rechtsberatung. Ob eine Bank erstatten muss, hängt am Einzelfall – insbesondere daran, was genau weitergegeben wurde. Bei größeren Beträgen und einer Ablehnung durch die Bank führt der Weg über die Verbraucherzentrale oder eine Kanzlei für Bankrecht.
Wer eigentlich zuständig ist
Melden ist sinnvoll, aber nur an der richtigen Stelle. Diese Zuordnung wird in Ratgebern oft durcheinandergebracht:
- Polizei – für alles, was strafbar ist. Phishing-Anrufe und -Nachrichten gehören hierher, nicht zur Bundesnetzagentur. Die Anzeige läuft in den meisten Bundesländern online über die Internetwache.
- Bundesnetzagentur – für Rufnummernmissbrauch und unerlaubte Telefonwerbung, etwa hartnäckige Werbeanrufe oder gefälschte Absenderkennungen. Meldungen gehen an rufnummernmissbrauch@bnetza.de oder über das Onlineformular.
- Verbraucherzentrale – für Beratung im Einzelfall und für das Phishing-Radar, das gemeldete Nachrichten auswertet und vor aktuellen Wellen warnt.
- Deine Bank – für alles, was mit Geld passiert ist. Immer zuerst.
Die Sperre, die kaum jemand kennt
Eine deutsche Besonderheit verdient einen eigenen Abschnitt, weil sie eine ganze Betrugsart abschaltet und praktisch unbekannt ist: die Drittanbietersperre.
Hintergrund ist ein Abrechnungsweg namens WAP-Billing. Er erlaubt fremden Anbietern, Beträge über deine Mobilfunkrechnung einzuziehen. Gedacht war das für Kleinstbeträge, genutzt wird es für untergeschobene Abos: Ein unglücklich platzierter Werbebanner, ein Fehltipp beim Wischen – und auf der nächsten Rechnung steht ein monatlicher Posten für einen „Premium-Dienst", den niemand bestellt hat.
Dagegen gibt es einen Anspruch. Nach § 45d Absatz 3 TKG müssen Mobilfunkanbieter die Sperre seit 2012 auf Wunsch einrichten, und zwar kostenlos. Ein Anruf bei der Hotline oder eine formlose Mail an den Kundenservice genügt; die Verbraucherzentralen stellen dafür Musterschreiben bereit. Viele Anbieter lassen inzwischen eine Abstufung zu – etwa nur Abonnements sperren und Einzelkäufe erlauben.
Wichtig: Die Sperre verhindert neue Buchungen. Ein bereits laufendes Abo beendet sie nicht – das muss separat gekündigt und der Betrag zurückgefordert werden.
Das iPhone vorbereiten
Ein Teil der Abwehr lässt sich an das Gerät delegieren. Drei Einstellungen bringen am meisten, und alle drei sind in wenigen Minuten erledigt.
Unbekannte Anrufer filtern. Seit iOS 26 kann das iPhone Anrufe von Nummern, die nicht in deinen Kontakten stehen, abfangen. Unter Einstellungen > Apps > Telefon findest du die Auswahl zwischen Nie, Grund für Anruf erfragen und Stummschalten. Voreingestellt ist Nie – also klingelt zunächst alles durch. „Grund für Anruf erfragen" ist der Mittelweg: Das iPhone verlangt vom Anrufer eine Begründung, bevor es überhaupt klingelt. Das beendet den Großteil der Betrugsanrufe, bevor du sie hörst.
Nachrichten unbekannter Absender aussortieren. Unter Einstellungen > Apps > Nachrichten lässt sich das Prüfen unbekannter Absender aktivieren. Deren Nachrichten landen dann in einem eigenen Bereich statt in deinem Verlauf. Das ist mehr als Ordnung: Eine Betrugs-SMS, die nicht neben den echten Nachrichten deiner Bank auftaucht, verliert einen großen Teil ihrer Überzeugungskraft. Rutscht doch einmal etwas Wichtiges hinein, holst du es mit Als bekannt markieren zurück.
Automatische Updates einschalten. Die Maßnahme, die laut BSI nur gut ein Viertel nutzt. Unter Einstellungen > Allgemein > Softwareupdate > Automatische Updates aktivierst du beide Schalter. Sicherheitslücken werden für Angriffe genutzt, sobald sie bekannt sind – der Abstand zwischen Veröffentlichung und Installation ist genau das Zeitfenster, das zählt.
Wenn Angehörige betroffen sind
Ältere Angehörige sind nicht deshalb gefährdet, weil sie weniger verstehen, sondern weil die Maschen auf sie zugeschnitten sind: Anrufe statt Links, Autorität statt Technik, Zeitdruck statt Neugier. Dazu kommt der Faktor, der am schwersten wiegt – wer allein lebt, hat niemanden, den er kurz fragen kann.
Das Wirksamste ist deshalb kein technischer Rat, sondern eine Absprache: Bei Geld rufst du immer erst mich an. Ein Satz, der vorher vereinbart wurde, schlägt jede Erkennungsregel, weil er im entscheidenden Moment keine Beurteilung verlangt.
Technisch hilft, unbekannte Anrufer stummzuschalten und den Anrufbeantworter zu nutzen. Wer wirklich etwas will, hinterlässt eine Nachricht.
Häufige Fragen
Ich habe auf einen Link getippt, aber nichts eingegeben. Ist etwas passiert?
In aller Regel nicht. Das bloße Öffnen einer Seite installiert auf einem aktuellen iPhone nichts. Kritisch wird es erst, wenn du Daten eingegeben, ein Profil installiert oder eine App aus einer fremden Quelle geladen hast. Prüfe zur Sicherheit unter Einstellungen > Allgemein > VPN und Geräteverwaltung, ob dort ein unbekanntes Profil steht – wenn ja, entfernen.
Ich habe meine Kartendaten eingegeben. Was jetzt?
Karte sperren lassen, sofort. Über 116 116 oder direkt bei der Bank. Danach die Umsätze der nächsten Wochen durchsehen: Manche Belastungen tauchen erst mit Verzögerung auf, und die Frist für die Rückbuchung läuft ab der Belastung, nicht ab dem Datenverlust.
Kann ich eine Überweisung zurückholen?
Ein Rückruf ist möglich, solange das Geld das Empfängerkonto noch nicht verlassen hat – bei Echtzeitüberweisungen ist dieses Fenster sehr kurz. Ruf die Bank an, statt eine Nachricht zu schreiben. Unabhängig davon gilt der Erstattungsanspruch bei nicht autorisierten Zahlungen.
Bringt eine Anzeige überhaupt etwas, wenn die Täter im Ausland sitzen?
Für die Wiederbeschaffung oft wenig, für alles andere viel. Versicherungen und Banken verlangen sie regelmäßig, Konten von Geldempfängern lassen sich sperren, und erst über die Anzeigen erkennen die Behörden Wellen als Wellen.
Soll ich auf eine Betrugsnachricht antworten, um Zeit zu gewinnen?
Nein. Jede Antwort bestätigt, dass die Nummer aktiv ist und dass jemand reagiert – das macht dich für weitere Versuche interessanter. Screenshot, melden, blockieren.
Wie erkenne ich, ob eine Nachricht meiner Bank echt ist?
Gar nicht – jedenfalls nicht zuverlässig an der Nachricht selbst. Melde dich über die Banking-App an, die du selbst installiert hast. Ist etwas mit deinem Konto, steht es dort. Steht dort nichts, war die Nachricht falsch.
Hilft es, unbekannte Nummern generell zu blockieren?
Nur bedingt, weil die Absender ständig wechseln. Der Filter für unbekannte Anrufer und Absender bringt mehr als das Blockieren einzelner Nummern, weil er nach Prinzip arbeitet statt nach Liste.
Jemand hat meinen Messenger übernommen. Wie hole ich ihn zurück?
Richte den Messenger auf deinem Gerät neu ein und fordere den Verifizierungscode erneut an. Damit fliegt das fremde Gerät heraus, weil ein Konto immer nur an einer Telefonnummer hängt. Hat der Angreifer bereits eine PIN gesetzt, greift eine Wartezeit von mehreren Tagen – sie ist genau für diesen Fall gedacht. Informiere anschließend deine Kontakte, damit sie auf Nachrichten aus der Zwischenzeit nicht hereinfallen.
Nützt ein Virenschutz auf dem iPhone?
Gegen diese Maschen kaum. Sie zielen nicht auf eine technische Lücke, sondern auf deine Entscheidung – kein Schutzprogramm kann verhindern, dass jemand freiwillig Daten eingibt. Wirksamer sind Updates, Zwei-Faktor-Authentifizierung und die Filter für unbekannte Absender.
Was ist mit Anrufen, bei denen sofort aufgelegt wird?
Meist sogenannte Ping-Anrufe, die einen Rückruf auf einer teuren Nummer provozieren sollen. Nicht zurückrufen. Solche Nummern kannst du der Bundesnetzagentur melden.
