Phishing-Welle: Betrüger geben sich als Behörden aus
09.02.2026 - 06:00:12
Kriminelle nutzen gefälschte Rechnungen und Drohanrufe, um an Geld und Daten zu gelangen. Eine neue Welle hochprofessioneller Phishing-Angriffe alarmiert Kommunen und Sicherheitsbehörden in Deutschland und weltweit. Die Betrüger imitieren dabei täuschend echt Mitarbeiter von Stadtverwaltungen, Finanzämtern oder anderen Behörden.
Die Methoden werden immer raffinierter. Öffentlich zugängliche Informationen aus Ratsvorlagen oder Bauanträgen werden genutzt, um personalisierte und glaubwürdige Nachrichten zu konstruieren. Die Folgen sind gravierend: von hohen finanziellen Verlusten bei Bürgern und Unternehmen bis hin zu operativen Störungen in der Verwaltung.
Gefälschte „Genehmigungsgebühren“ für Bauherren
Ein neuer Schwerpunkt sind Betrugs-E-Mails, die sich an Bauherren und Gewerbetreibende richten. Die Absender geben sich als Mitarbeiter der Bauaufsicht oder des Planungsamts aus und schicken gefälschte Rechnungen für eine angebliche „Antrags-Genehmigungsgebühr“. Mit dem Hinweis auf dringende Zahlung zur Vermeidung von Projektverzögerungen wird Druck aufgebaut.
Die Täter recherchieren gründlich. Sie nutzen Projektnummern und Zeitpläne aus öffentlichen Sitzungsunterlagen, die auf Gemeinde-Websites stehen. So wirken die Zahlungsaufforderungen authentisch. Die Opfer werden oft aufgefordert, die Überweisungsdaten per E-Mail anzufordern und jegliche Rückfragen nur auf diesem Weg zu klären – eine Taktik, um eine Überprüfung am Telefon zu verhindern. Einige Behörden prüfen nun, E-Mail-Adressen aus öffentlichen Dokumenten zu entfernen.
Passend zum Thema Phishing-Angriffe gegen Verwaltungen und Unternehmen: Dieser kostenlose Anti-Phishing-Guide erklärt in 4 klaren Schritten, wie Sie gefälschte Rechnungen, CEO-Fraud und manipulierte Absenderadressen erkennen und technisch abwehren. Mit Praxis-Checks für E-Mail-Authentifizierung (SPF/DMARC), Prüflisten für verdächtige Zahlungsaufforderungen und Vorlagen für Mitarbeiterwarnungen. Anti-Phishing-Paket jetzt kostenlos herunterladen
Drohanrufe und Missbrauch von Software-Diensten
Die Masche beschränkt sich nicht auf E-Mails. Immer häufiger kommt es zu dreisten Telefonanrufen. Die Anrufer geben sich als Beamte vom Finanzamt, der Sozialversicherung oder sogar als Polizisten aus. Sie drohen mit sofortigen Kontosperrungen, Haftbefehlen oder dem Entzug von Leistungen, sollte nicht umgehend bezahlt werden.
Zur Glaubwürdigkeit manipulieren sie die Rufnummernanzeige („Spoofing“). Oft haben sie durch frühere Datenlecks bereits persönliche Informationen der Angerufenen, was ihre Forderungen plausibel erscheinen lässt. In den USA wurden etwa Ärzte gezielt von angeblichen Drogenfahndern bedroht.
Eine weitere, wachsende Gefahr ist der Missbrauch seriöser Cloud-Dienste und SaaS-Plattformen. Kriminelle nutzen deren Systeme, um Phishing-Nachrichten zu versenden, die wie vertrauenswürdige Benachrichtigungen von Microsoft, Google oder anderen Anbietern aussehen. Eine einzige solche Kampagne kann Hunderttausende Nachrichten an Zehntausende Organisationen versenden.
Millionenschäden und verschärfte Gegenmaßnahmen
Der finanzielle Schaden ist immens. Im US-Bundesstaat New York verlor ein County kürzlich durch einen Phishing-Angriff über 3 Millionen Euro. Die Folge: eine komplette Überarbeitung der IT-Sicherheitsrichtlinien für alle Mitarbeiter.
Die Strafverfolgung schlägt zurück. Anfang Februar 2026 zerschlug das FBI mit internationalen Partnern Betrügerzentren in Indien und nahm sechs Verdächtige fest. Die ermittelten Betrugsfälle summierten sich auf fast 50 Millionen Euro Schaden. Parallel wird auf politischer Ebene an schärferen Gesetzen gearbeitet, wie dem kürzlich eingebrachten „SCAM Act“ im US-Senat gegen Banken-Imitation und betrügerische Werbung.
So schützen Sie sich vor den Betrugsversuchen
Echte Behörden fordern niemals per E-Mail oder Telefon zur sofortigen Zahlung auf oder verlangen sensible Daten wie PINs oder Passwörter. Experten raten zu größter Skepsis bei allen unaufgeforderten Kontaktversuchen, die Druck aufbauen.
- Unabhängig prüfen: Antworten Sie nicht auf die verdächtige Nachricht. Suchen Sie die offizielle Telefonnummer der Behörde auf der originalen Website und fragen Sie dort nach.
- E-Mails genau lesen: Achten Sie auf Fehler, seltsame Formulierungen oder generische Anreden. Fahren Sie mit der Maus über Links (ohne zu klicken), um die echte Ziel-URL zu sehen.
- Anhänge meiden: Öffnen Sie keine Dateianhänge und klicken Sie keine Links in verdächtigen E-Mails.
- Drohungen ignorieren: Seriöse Ämter drohen nicht mit sofortiger Verhaftung und verlangen keine Zahlung via iTunes-Gutscheinen, Western Union oder Kryptowährungen.
Angesichts der immer perfekteren Täuschung ist gesundes Misstrauen der beste Schutz. Verdächtige Kommunikation sollte immer bei der Polizei oder dem Bundesamt für Sicherheit in der Informationstechnik (BSI) gemeldet werden.
PS: CEO-Fraud und psychologisch ausgeklügelte Phishing-Maschen sind besonders gefährlich – dieser Gratis-Report zeigt, welche sieben psychologischen Tricks Angreifer nutzen und wie Sie Ihre Mitarbeiter effektiv schulen, Abläufe sicher gestalten und Verdachtsfälle schnell melden. Enthalten: Checkliste für Zahlungsfreigaben und Vorlagen zur internen Kommunikation. Jetzt kostenlosen Anti-Phishing-Guide sichern
