Black Friday: Banken-Phishing erreicht neues Niveau

Kriminelle attackieren Bankkunden mit perfekten Fake-SMS. Ein aktuelles BGH-Urteil verschärft zudem die Haftungsfrage – wer mehrfach auf Betrüger hereinfällt, bleibt auf dem Schaden sitzen.

Während Millionen Deutsche heute nach Black-Friday-Schnäppchen jagen, läuft im Hintergrund eine koordinierte Betrugsoffensive. Die Verbraucherzentralen melden einen drastischen Anstieg von Phishing-Attacken, die gezielt die Shopping-Hektik ausnutzen. Besonders brisant: Ein wegweisendes BGH-Urteil hat die Spielregeln bei der Schadenshaftung grundlegend verändert.

Tausende Kunden von Volksbanken, Barclays und Deutscher Bank erhalten heute E-Mails und SMS mit roter Schrift: „Verifizierungsfrist läuft in Kürze ab”. Die Drohung: Wer seine Daten nicht bis zum 28. November aktualisiert, dem droht die sofortige Kontosperrung.

Die Täter setzen auf maximalen psychologischen Druck. Fehlerhafte Buttons wie „Aktuell Daten überprüfen” sollen Authentizität vortäuschen, während Countdown-Timer die Opfer zur Eile treiben. Die Ironie: Echte Banken setzen Kunden niemals unter Zeitdruck.

Anzeige

Passend zum Thema Phishing und Smishing: Aktuelle Betrugswellen nutzen genau diesen Zeitdruck, um TANs und Login-Daten abzugreifen. Das kostenlose Anti-Phishing-Paket erklärt in vier klaren Schritten, wie Sie QR‑Quishing, Call‑ID‑Spoofing und gefälschte Bank‑SMS erkennen und sofort richtig handeln. Mit praktischen Checklisten für die Meldung an Bank und Polizei und konkreten Schutzmaßnahmen für Banking‑Apps. Anti-Phishing-Paket jetzt kostenlos herunterladen

Parallel rollt eine Angriffswelle auf Nutzer des neuen Bezahlsystems wero. Betrüger rufen als vermeintliche Bankmitarbeiter an und fordern zur „Registrierungs-Freigabe” auf. Ihr Trick: Call-ID-Spoofing lässt auf dem Display die echte Bankfilial-Nummer erscheinen.

BGH-Urteil definiert Haftung neu

Das Timing könnte kaum brisanter sein. Am 22. Juli 2025 fällte der BGH ein Grundsatzurteil (Az. XI ZR 107/24), das die Grenzen der Kundenhaftung neu absteckt. Der entscheidende Punkt: Wann wird aus einem Moment der Schwäche grobe Fahrlässigkeit?

Im verhandelten Fall gab eine Kundin über zwei Tage hinweg mehrere TANs an einen falschen Bankmitarbeiter weiter. Der BGH entschied: Das ist keine Überrumpelung mehr, sondern grobe Fahrlässigkeit. Die Kundin bleibt auf dem Schaden sitzen.

Die neue Regel ist ebenso klar wie hart:

• Augenblicksversagen: Wer einmal in Panik auf einen Link klickt, kann mit Erstattung rechnen
• Grobe Fahrlässigkeit: Wer über Stunden oder Tage Transaktionen freigibt, haftet selbst

„Das Urteil ist kein Freibrief für Banken, aber es erhöht die Sorgfaltspflicht massiv”, erklären Bankrechts-Experten. Für heutige Opfer bedeutet das: Nach dem ersten Schreckmoment zählt jede Minute der Reflexion.

Die Technik wird raffinierter

Die Angriffe erreichen 2025 eine neue Qualitätsstufe. Aktuell kursieren Phishing-Mails der vermeintlichen Commerzbank, die per QR-Code ein „Sicherheits-Zertifikat” für PhotoTAN verlängern wollen. Diese „Quishing”-Methode umgeht viele E-Mail-Filter, da der schädliche Link als Bild kodiert ist.

Besonders perfide: Betrüger missbrauchen Anti-Phishing-Systeme als Vorwand. Bei Volksbanken-Kunden wird ein angebliches Update der „SecureGo plus App” angefordert – das System zum Schutz vor Betrug wird selbst zum Betrugsköder.

Ein neuer Hotspot sind Social-Media-Plattformen. Gefälschte Sparkassen-Profile auf Instagram locken Kunden in WhatsApp-Gruppen, wo vermeintliche Anlagetipps auf betrügerische Handelsplattformen führen. Klarstellung der Sparkassen: „Wir werben niemals über Social Media für Anlagegeschäfte.”

Human Hacking statt technischer Hack

Die Branche sieht sich einem Paradigmenwechsel gegenüber. „Die Täter brechen nicht mehr in Bankserver ein – sie lassen sich den Schlüssel vom Kunden geben”, so ein Münchner IT-Sicherheitsexperte. Die technischen Sicherheitssysteme sind robust, doch die menschliche Schwachstelle bleibt offen.

Das BGH-Urteil zwingt nun beide Seiten zum Handeln. Banken müssen ihre Warnsysteme verbessern, um bei auffälligen Transaktionen (etwa Echtzeitüberweisungen ins Ausland nach verdächtigen Anrufen) rechtzeitig einzugreifen. Versagen diese Systeme, könnte die Bank trotz Kundenfehler mithaften.

Was jetzt zu tun ist

Experten erwarten am Cyber Monday (1. Dezember) den nächsten Angriffs-Peak. Die Adventszeit dürfte zudem eine Welle von Paket-Smishing bringen.

Drei eiserne Regeln:

• Niemals Links in SMS oder E-Mails klicken – Banking nur über die offizielle App oder manuell eingetippte URL
• Sofort auflegen bei Anrufen, die zur TAN-Freigabe oder „Test-Überweisung” drängen
• Ruhe bewahren – echte Banken setzen keine 24-Stunden-Fristen

Wurde bereits eine TAN weitergegeben? Dann zählt jede Sekunde. Sofort den Sperr-Notruf 116 116 wählen, Anzeige bei der Polizei erstatten und die Bank schriftlich informieren. Nur so bleiben Erstattungsansprüche im Sinne der neuen BGH-Rechtsprechung gewahrt.

Eines ist sicher: Die Schnäppchenjagd am Black Friday kann teuer werden – wenn auch ganz anders als geplant.

Anzeige

PS: Wer gerade Black-Friday-Angebote nutzt, sollte sich zusätzlich absichern. Der gratis-Report zeigt praxisnahe Schritte, wie Sie Ihr Smartphone und Ihre Banking-Apps gegen Smishing, gefälschte QR‑Codes und Social‑Media‑Lockangebote schützen – inklusive Vorlagen für die schnelle Meldung an Bank und Polizei, falls doch eine TAN weitergegeben wurde. Ideal für alle, die jetzt schnell ihre Schutzmaßnahmen überprüfen wollen. Kostenlosen Anti-Phishing-Guide sichern