Sparkasse-Kunden im Visier: Neue Phishing-Welle zielt auf S-pushTAN-App

Betrüger nutzen gefälschte Update-Aufforderungen, um die Zwei-Faktor-Authentifizierung zu umgehen. Experten warnen vor der neuen Taktik und empfehlen konkrete Schutzmaßnahmen.

Eine neue, hochgefährliche Phishing-Kampagne bringt derzeit Sparkasse-Kunden in Gefahr. Sicherheitsexperten und Verbraucherschützer warnen eindringlich vor betrügerischen E-Mails und SMS, die ein dringendes Update der S-pushTAN-App vortäuschen. Die Angreifer perfektionieren damit ihre Methoden, um die Zwei-Faktor-Authentifizierung auszuhebeln.

Die Masche mit dem „kritischen Update“

Seit Anfang Februar häufen sich die Fälle. Die gefälschten Nachrichten wirken täuschend echt: Sie nutzen die Corporate Identity der Sparkasse, inklusive Logo und Farben, und erwecken mit drängenden Betreffzeilen wie „Update erforderlich: Ihre Überweisungen sind gefährdet“ maximale Dringlichkeit. Die Botschaft ist stets dieselbe: Die S-pushTAN-App, das Herzstück für die Freigabe von Online-Überweisungen, sei veraltet. Wer nicht innerhalb von 24 bis 48 Stunden ein angebliches Sicherheitsupdate installiere, riskiere die Sperrung seines Online-Bankings.

Dieser erzeugte Zeitdruck ist der Schlüssel zum Erfolg der Betrüger. Er soll die kritische Prüfung durch den Kunden ausschalten. Die Verbraucherzentrale hat die betrügerischen „PushTAN-Update“-Mails bereits in ihren Phishing-Radar aufgenommen und als hohe Gefahr eingestuft.

So funktioniert der Angriff

Die in den Nachrichten enthaltenen Links führen auf täuschend echte Nachbildungen des Sparkasse-Onlinebankings. Dort werden die Kunden aufgefordert, ihre Login-Daten wie Benutzername und PIN einzugeben. Doch damit nicht genug: Oft folgt die Aufforderung, persönliche Daten preiszugeben oder einen QR-Code zu scannen, um die App angeblich zu „reaktivieren“.

Anzeige

Passend zum Thema: Phishing-Mails, die angebliche S‑pushTAN‑Updates verlangen, sind aktuell besonders gefährlich. Unser kostenloses Anti‑Phishing‑Paket erklärt in einem klaren 4‑Schritte‑Guide, wie Sie gefälschte Links, manipulierte QR‑Codes und Device‑Enrollment‑Betrug erkennen und sofort richtig reagieren. Ideal für Privatkunden, IT‑Verantwortliche und Bankmitarbeiter – inklusive Checkliste für Notfallmaßnahmen und konkreten Handlungsschritten, die Sie binnen Minuten umsetzen können. Jetzt das Anti-Phishing-Paket kostenlos herunterladen

Genau hier liegt die tückische Innovation dieses Angriffs. Sicherheitsexperten warnen, dass diese Methode darauf abzielt, den Initialisierungsprozess des pushTAN-Systems abzufangen. Gelingt dies, können die Kriminellen ihr eigenes Gerät mit dem Bankkonto des Opfers verknüpfen. Sie sind dann in der Lage, eigenständig und unbemerkt Überweisungen zu autorisieren. Diese als Device-Enrollment-Betrug bekannte Taktik stellt eine gefährliche Weiterentwicklung gegenüber simplen Passwort-Diebstählen dar.

Was Betroffene jetzt tun müssen

Sparkasse und Verbraucherschützer betonen eine grundlegende Regel: Die Bank fordert niemals per E-Mail oder SMS zur Aktualisierung ihrer Sicherheits-Apps auf. Offizielle Updates für die S-pushTAN-App kommen ausschließlich über den Apple App Store oder Google Play Store.

Das Computer Emergency Response Team (CERT) der Sparkassen-Finanzgruppe empfiehlt konkrete Schritte:
* Verdächtige Nachrichten an [e-mail] weiterleiten und anschließend löschen.
* Wer bereits auf einen Link geklickt und Daten eingegeben hat, muss sofort handeln: Die Notfall-Hotline der Bank anrufen, um den Online-Banking-Zugang und die pushTAN-Verbindung sperren zu lassen.
* Anschließend die PIN ändern und Anzeige bei der örtlichen Polizei erstatten.

Teil einer größeren Angriffswelle

Der Fokus auf die Sparkasse ist kein Einzelfall. Bereits am 3. Februar wurden ähnliche Warnungen für Kunden der Deutschen Bank herausgegeben. Dies deutet auf koordinierte Aktionen von Cyberkriminellen gegen die digitale Infrastruktur großer deutscher Geldinstitute hin.

Analysten sehen einen Zusammenhang mit dem Monatsanfang, wenn viele Gehälter und Daueraufträge bearbeitet werden. Die S-pushTAN-App als zentrales Freigabe-Tool wird damit zum lukrativen Angriffsziel. Die Branche arbeitet bereits an zusätzlichen Sicherheitsschichten wie Verhaltens-Biometrie. Bis diese flächendeckend eingeführt sind, bleibt die Wachsamkeit der Kunden die wichtigste Verteidigungslinie gegen diese immer raffinierteren Social-Engineering-Angriffe.

Anzeige

PS: Diese praktische 4‑Schritte‑Anleitung hilft Ihnen, PushTAN‑Update‑Fakes zu entlarven und Ihr Konto sofort zu sichern. Der Guide zeigt, welche Hinweise in SMS und E‑Mails verraten, dass es sich um eine Fälschung handelt, welche Informationen Sie niemals per Link preisgeben dürfen und welche Sofortmaßnahmen (Hotline, Sperre, PIN‑Änderung) jetzt wichtig sind. Enthalten sind Checkliste und Schritt‑für‑Schritt‑Vorlage für Notfälle. Anti-Phishing-Guide jetzt kostenlos sichern