Sparkassen-Kunden im Visier: Neue Phishing-Welle rollt durchs Land

Eine koordinierte Attacke auf Mobile-Banking-Nutzer versetzt den Finanzsektor in Alarmbereitschaft. Kriminelle kombinieren gefälschte Nachrichten mit Telefonanrufen – und hebeln so selbst moderne Sicherheitssysteme aus.

Das Wochenende brachte keine Ruhe für Deutschlands Banken. Seit Samstag warnen Verbraucherschützer und die Sparkassen-Finanzgruppe vor einer professionellen Betrugsmasche, die Millionen Kunden bedroht. Besonders perfide: Die Täter setzen auf eine Doppelstrategie aus digitalen Fallen und menschlicher Manipulation.

Die aktuelle Angriffswelle folgt einem ausgeklügelten Muster. Kunden erhalten Nachrichten mit dramatischen Betreffzeilen wie “Aktualisierung erforderlich – Ref: 8731399”. Die Drohung: Ohne sofortiges Handeln werde der Zugang gesperrt.

Doch damit beginnt der Albtraum erst. Wer auf den Link klickt, erhält kurz darauf einen Anruf. Im Display erscheint tatsächlich “Sparkasse” – möglich durch sogenanntes Call-ID-Spoofing. Am anderen Ende drängen vermeintliche Bankmitarbeiter zur Freigabe von Transaktionen.

Anzeige

Viele Android-Nutzer unterschätzen, wie schnell Banking-Trojaner wie ToxicPanda Ihr Smartphone kapern und Überweisungen auslösen können. Ein kostenloses Sicherheitspaket erklärt die 5 wichtigsten Schutzmaßnahmen – von sicheren Installationsquellen über Berechtigungschecks bis zu Verhaltenstipps bei verdächtigen Anrufen und QR-Codes. Die Schritt‑für‑Schritt-Anleitungen sind speziell auf Alltagsnutzer zugeschnitten und helfen, Wallets, Banking-Apps und Messenger nachhaltig zu schützen. Jetzt kostenloses Android-Sicherheitspaket herunterladen

Das Computer-Notfallteam der Sparkassen (S-CERT) spricht von einer “neuen Qualität der Bedrohung”. Diese Hybrid-Angriffe missbrauchen gezielt das Vertrauen in die menschliche Komponente des Bankings.

ToxicPanda: Der unsichtbare Feind im Smartphone

Während Phishing auf den Faktor Mensch zielt, attackiert eine neue Malware-Generation die Geräte direkt. Sicherheitsforscher von Cleafy und Zimperium schlagen Alarm wegen des Banking-Trojaners ToxicPanda.

Die Malware aus Asien hat längst Europa erreicht. Ihr Können ist beängstigend:

• Tarnung als harmlose Apps wie Google Chrome oder Visa-Updates
• Überwachung des Bildschirms und Abfangen von Eingaben in Echtzeit
• Direkte Initiierung von Transaktionen vom infizierten Gerät

Das Tückische: Die Bank erkennt das Gerät als “vertrauenswürdig”. Dass am anderen Ende ein Krimineller sitzt, bleibt unbemerkt. Experten nennen diese Methode On-Device Fraud (ODF) – eine dramatische Weiterentwicklung klassischer Schadsoftware.

Parallel wächst die Bedrohung durch “FakeCall”. Diese Malware kapert die Anruffunktion. Wählt das Opfer seine Bankhotline, landen sie bei Betrügern.

BaFin jagt dubiose Plattformen

Die Bundesanstalt für Finanzdienstleistungsaufsicht verschärft ihre Gangart. Erst am Freitag warnte die BaFin vor RecoverX – einer Website, die ohne Erlaubnis Finanzdienstleistungen anbietet.

Die Masche folgt einem bekannten Muster: Unrealistische Renditeversprechen oder Hilfe bei der Rückholung verlorener Gelder. Ein klassischer “Recovery Scam”, der Opfer ein zweites Mal schädigt.

Die Warnung reiht sich ein in eine Serie gegen unlizenzierte Plattformen. Die Botschaft der Aufsicht ist klar: Der Markt wird mit dubiosen Apps geflutet, die Gelder einsammeln und verschwinden.

Quishing: Wenn QR-Codes zur Falle werden

Die Angreifer entwickeln ständig neue Methoden. Ein besorgniserregender Trend: Quishing – Phishing per QR-Code. Gefälschte Codes auf angeblichen Bankbriefen oder Parkautomaten umgehen Sicherheitssoftware, da E-Mail-Filter sie nicht als gefährlich erkennen.

Der Report “2025 Digital Banking Fraud Trends” von BioCatch stuft Deutschland als eines der Hauptziele für Phishing-Attacken ein. Die Waffe der Banken: Verhaltensbiometrie. Diese Systeme erkennen, ob ein Nutzer das Handy anders hält als sonst oder zögerlich tippt – Hinweise auf Manipulation.

Was Sie jetzt tun müssen

Die Weihnachtszeit verschärft die Lage. Hohes Transaktionsvolumen und sinkende Aufmerksamkeit spielen Betrügern in die Hände.

Diese Regeln schützen:

• Niemals Links folgen – Banken versenden keine Aktualisierungslinks per SMS oder Mail
• Rückruf-Regel beachten – Bei Druck sofort auflegen, Bank selbst unter offizieller Nummer anrufen
• App-Hygiene wahren – Nur aus offiziellen Stores installieren, keine Downloads aus unbekannten Quellen

ToxicPanda verbreitet sich fast ausschließlich über Sideloading – die Installation außerhalb des Google Play Stores.

Die EU-Regulierung PSD3 wird Banken künftig zwingen, Betrugsopfer besser zu entschädigen. Das beschleunigt Investitionen in KI-basierte Abwehrsysteme. Bis dahin bleibt das Smartphone das attraktivste Ziel für Cyberkriminelle.

Anzeige

PS: Diese 5 Maßnahmen machen Ihr Smartphone spürbar sicherer – Tipp 3 schließt eine oft übersehene Lücke beim App‑Download. Das Gratis‑Paket liefert praktische Checklisten, erklärt Sideloading‑Risiken und zeigt, wie Sie Verhaltensbiometrie‑Hinweise und gefälschte QR‑Codes erkennen. Ideal für alle, die Online‑Banking, PayPal und Messenger auf dem Android-Gerät nutzen. Kostenloses Sicherheitspaket per E‑Mail anfordern