BaFin und BSI warnen vor KI-gesteuertem Banken-Betrug

Deutsche Aufsichtsbehörden warnen vor einer neuen Generation hochprofessioneller KI-gesteuerter Betrugsangriffe auf Online-Banking-Nutzer, darunter perfekte Phishing-Nachrichten und gefährliche Malware.

Deutsche Behörden schlagen Alarm: Eine neue Welle hochprofessioneller KI-Betrugsangriffe auf Online-Banking-Nutzer erreicht Deutschland. Die Methoden werden immer raffinierter.

FRANKFURT – Der Kampf um die Sicherheit des digitalen Bankings hat eine neue, gefährliche Stufe erreicht. Sowohl die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) als auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) haben diese Woche dringende Warnungen vor einer neuen Generation KI-gesteuerter Betrugsangriffe veröffentlicht. Die traditionellen Warnsignale für Verbraucher – schlechte Rechtschreibung oder holprige Formulierungen – fallen weg.

Anzeige

Da Millionen Deutsche täglich Online-Banking per Smartphone nutzen, warnen Experten vor den zunehmend professionellen Angriffsmethoden der Hacker. Dieser kostenlose Ratgeber zeigt Ihnen 5 einfache Schutzmaßnahmen, mit denen Sie Ihr Gerät und Ihre Finanzen sofort absichern können. 5 sofort umsetzbare Schutzmaßnahmen entdecken

KI schreibt perfekte Phishing-Nachrichten

Das BSI beobachtet einen dramatischen Wandel bei den Angriffsmethoden. Kriminelle nutzen große Sprachmodelle, um personalisierte Nachrichten zu generieren, die im Ton und Fachjargon kaum noch von echten Bankmitteilungen zu unterscheiden sind. Diese KI-generierten Smishing-Nachrichten (SMS-Phishing) überzeugen durch ihre Fehlerlosigkeit.

Eine besonders tückische Variante ist das sogenannte „Quishing“ – Phishing per QR-Code. Dabei versenden Betrüger E-Mails oder sogar physische Briefe mit QR-Codes. Wird dieser gescannt, landet das Opfer auf einer täuschend echten Fake-Website, die Banking-Login-Daten abgreift. Die Methode umgeht viele Sicherheitsfilter, da diese die Zieladresse eines QR-Codes oft nicht in Echtzeit prüfen können. Die Nachrichten erzeugen gezielt Druck, indem sie etwa von einem kompromittierten Konto oder einer notwendigen Sicherheitsaktualisierung sprechen.

BaFin warnt vor betrügerischen Festgeld-Angeboten

Parallel warnt die BaFin in einer gezielten Mitteilung vom 7. April 2026 vor Identitätsdiebstahl im Zusammenhang mit gefälschten Festgeld-Angeboten. Die Aufsichtsbehörde identifizierte nicht autorisierte Anbieter, die unter der E-Mail-Adresse [e-mail] Gelder von ahnungslosen Anlegern einsammeln. Die Betrüger geben dabei eine falsche Verbindung zur Xaver Asset Management GmbH vor, um Seriosität vorzutäuschen.

Diese Anbieter führen Bankgeschäfte ohne die erforderliche Erlaubnis der BaFin durch. Die Behörde betont: Jedes Unternehmen, das in Deutschland Finanz- oder Anlagegeschäfte anbietet, benötigt eine gültige BaFin-Lizenz. Verbraucher sollten jedes Angebot über die offizielle Datenbank der BaFin prüfen, bevor sie Geld überweisen oder sensible Daten preisgeben.

Neue Malware-Variante scannt private Fotos

Die Bedrohungslage wird durch eine neue Variante der „SparkCat“-Malware verschärft. Sicherheitsforscher von Kaspersky dokumentierten am 7. April 2026, dass sich diese Schadsoftware in scheinbar legitimen Apps in offiziellen App-Stores versteckt. Sie zielt auf Android- und iOS-Nutzer ab.

Der Clou: Die Malware nutzt optische Zeichenerkennung (OCR), um die Fotogalerie des infizierten Geräts zu durchsuchen. Sie sucht gezielt nach Screenshots mit sensiblen Informationen wie Kryptowährungs-Wallet-Wiederherstellungsphrasen oder Bankdaten. Nutzer, die solche Daten als Backup auf ihrem Smartphone speichern, werden so zur leichten Beute. Laut dem „2026 Banking Heist Report“ sind mobile Banking-Apps zum Hauptziel für Finanzbetrug geworden. 34 aktive Malware-Familien zielen demnach auf über 1.200 Finanz-Apps weltweit ab.

Anzeige

Banking, WhatsApp und sensible Fotos – auf keinem anderen Gerät speichern wir so viele private Informationen wie auf dem Smartphone. Erfahren Sie in diesem kostenlosen Leitfaden, wie IT-Experten die Sicherheit Ihres Geräts gegen Ausspähung und Hacker-Angriffe erhöhen. Kostenlosen Sicherheits-Ratgeber herunterladen

EU-Regulierer verschärfen die Sicherheitsvorgaben

Als Reaktion auf die eskalierende Bedrohung finalisiert die Europäische Bankenaufsichtsbehörde (EBA) ihr Arbeitsprogramm für 2026. Ein Schwerpunkt liegt auf der digitalen operationellen Widerstandsfähigkeit. Bis Ende April 2026 werden finale Leitlinien zum Risikomanagement für Drittanbieter erwartet.

Die neuen Regeln sollen Sicherheitsstandards in der gesamten EU harmonisieren. Sie sind Teil der Umsetzung des Digital Operational Resilience Act (DORA), der Aufsichtsbehörden mehr Kontrolle über kritische Technologieanbieter gibt. Für die EU-weiten Stresstests 2027 plant die EBA erstmals Szenarien mit groß angelegten, KI-gesteuerten Cyberangriffen auf den Finanzsektor.

Cybercrime-as-a-Service befeuert die Krise

Experten sehen den Grund für die aktuelle Krise in der Professionalisierung der Kriminalität. Cybercrime-Infrastruktur wird zunehmend als Service auf Plattformen wie Telegram verkauft. Selbst technisch wenig versierte Angreifer können so mit vorgefertigten KI-Tools und Malware-Kits komplexe Kampagnen starten.

Diese Demokratisierung des Cybercrime hat Folgen: Weltweit gab laut Studien im vergangenen Jahr jeder vierte Erwachsene an, Geld durch Betrug verloren zu haben. Der globale Schaden überstieg eine Billion US-Dollar. Echtzeit-Zahlungssysteme spielen den Betrügern zusätzlich in die Hände. Das Zeitfenster, um betrügerische Transaktionen zu entdecken und rückgängig zu machen, ist extrem klein geworden.

Was Verbraucher jetzt tun können

Die Behörden appellieren an die Wachsamkeit der Nutzer. Sie empfehlen:
* Skepsis bei dringenden Nachrichten: Banken fordern Passwörter oder TANs nie per Link, QR-Code oder in einer unaufgeforderten Nachricht an.
* Software aktuell halten: Dedizierte Sicherheitssoftware auf Mobilgeräten nutzen und regelmäßig updaten.
* Angebote prüfen: Die Seriosität von Anlageangeboten immer über die BaFin-Datenbank verifizieren.
* Sensible Daten nicht auf dem Handy speichern: Screenshots mit Passwörtern oder Seed-Phrases gehören nicht in die Fotogalerie.

Die Zukunft der Banking-Sicherheit liegt in der Verteidigung mit KI. Banken investieren in Maschinenlernmodelle, die Nutzerverhalten in Echtzeit analysieren, um Kontenübernahmen zu erkennen. Letztlich bleibt der Mensch jedoch das schwächste Glied in der Sicherheitskette.