Bundesregierung verschärft Cyber-Sicherheit für Banken und Verbraucher

Gerichte weisen Banken stärkere Haftung bei Phishing zu. Das BSI wird zur zentralen Marktüberwachung für vernetzte Produkte.

Der digitale Wandel im Finanzsektor erlebt eine Phase verschärfter Verantwortung – ausgelöst durch das EU-Cyber-Resilience-Gesetz (CRA) und neue Gerichtsurteile zur Haftung von Banken bei Phishing-Angriffen. Der Hintergrund: Mindestens jeder vierte Deutsche wurde bereits Opfer von Smartphone-Betrug.

Anzeige

Während Gerichte die Haftung der Banken verschärfen, bleibt die eigene Vorsorge der effektivste Schutz vor Phishing-Fallen. Erfahren Sie in diesem kostenlosen Ratgeber, wie Sie Ihr Smartphone in wenigen Minuten gegen Hacker absichern und Ihre Konten schützen. 5 Schutzmaßnahmen jetzt kostenlos sichern

Gerichte weisen Banken stärkere Haftung zu

Mehrere richtungsweisende Urteile verlagern die Verantwortung für digitale Betrugsfälle zunehmend auf die Geldhäuser. Das Oberlandesgericht (OLG) Koblenz entschied am 17. April 2026, dass eine Sparkasse einen Kunden vollständig entschädigen muss. Das Gericht befand: Das Klicken auf einen Link in einer betrügerischen Nachricht sei nicht automatisch grob fahrlässig.

Parallel dazu beschäftigte sich das OLG Linz mit einem Fall von 41 ungewöhnlichen Transaktionen – insgesamt 203.000 Euro innerhalb von 90 Minuten. Das Gericht sprach der Bank eine Mitschuld zu, weil deren Betrugserkennungssysteme trotz der auffälligen Aktivitäten nicht ausgelöst hatten. Für Experten ist klar: Banken müssen künftig in Echtzeit überwachen, um rechtliche und finanzielle Risiken zu minimieren.

Künstliche Intelligenz treibt Betrugsmethoden an

Die Dringlichkeit besserer Sicherheitsmaßnahmen zeigt eine aktuelle Schufa-Erhebung: Über 25 Prozent der Deutschen wurden bereits Opfer von Smartphone-Betrug – ein Anstieg um sechs Prozentpunkte im Vergleich zum Vorjahr. 58 Prozent der Betroffenen erleiden finanzielle Schäden. Während viele Verluste gering ausfallen, berichten 13 Prozent von Schäden zwischen 1.000 und 10.000 Euro. Sechs Prozent verloren sogar mehr als 10.000 Euro.

Kriminelle Organisationen nutzen zunehmend KI für Sprachklone und personalisierte Phishing-Kampagnen. Ende April 2025 wurden Wellen von Phishing-Angriffen auf Nutzer des Elster-Steuerportals und von PayPal gemeldet. Auch die Deutsche Bahn geriet ins Visier: Bei Angriffen rund um das Deutschlandticket drohen Täter mit rechtlichen Schritten und hohen Verzugszinsen.

Ein Einzelfall zeigt die Verwundbarkeit selbst technisch versierter Nutzer: Im Februar 2026 verlor ein Kunde der Handelsplattform Trade Republic über 18.000 Euro durch eine SMS-Spoofing-Attacke. Sicherheitsforscher von Zimperium und Cleafy dokumentierten zudem eine Welle von Android-Schadsoftware, die sich über illegale Streaming-Apps verbreitet und Dutzende Banking-Apps angreift.

BSI wird zum „digitalen TÜV“

Der Bundestag verabschiedete am 30. April 2026 einen Gesetzesentwurf zur Umsetzung des EU-Cyber-Resilience-Gesetzes. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) wird zur zentralen Marktüberwachungsbehörde für alle vernetzten Produkte – faktisch ein „digitaler TÜV".

Der Zeitplan ist ambitioniert: Ab dem 11. September 2026 müssen Unternehmen aktiv ausgenutzte Sicherheitslücken melden. Die vollständigen CRA-Anforderungen werden bis Dezember 2027 verbindlich. Das BSI erhält dafür 95 neue Stellen im Jahr 2026, insgesamt 141 zusätzliche Mitarbeiter bis 2029. Die Regierung stellt zudem rund zehn Millionen Euro für ein Reallabor zur Cyber-Resilienz bereit.

Auch im Online-Handel ändert sich etwas: Ab dem 19. Juni 2026 müssen deutsche Online-Shops einen deutlich sichtbaren „Widerruf-Button" anbieten. Die Maßnahme basiert auf der EU-Richtlinie 2023/2673 und soll Verbrauchern das Kündigen von Abos mit zwei Klicks ermöglichen.

Unternehmen hinken bei Sicherheit hinterher

Die betriebliche Vorsorge bleibt lückenhaft. Die TÜV-Weiterbildungsstudie 2026 zeigt: 75 Prozent der Arbeitgeber bieten Schulungen an, aber nur 29 Prozent haben eine schriftliche Digitalisierungsstrategie. 65 Prozent der Unternehmen begrenzen ihre Weiterbildungsbudgets auf maximal 1.000 Euro pro Mitarbeiter und Jahr. Dabei sehen 40 Prozent der Firmen einen wachsenden Bedarf an KI-Qualifikationen, um Deepfakes und Social Engineering zu erkennen.

Zum Welt-Passwort-Tag am 7. Mai 2026 empfehlen Sicherheitsorganisationen wie ESET und das BSI verstärkt die Nutzung der Multi-Faktor-Authentifizierung (MFA). Sie gilt für zentrale Netzwerkzugänge, Cloud-Dienste und Administratorkonten nicht mehr als optional. Angesichts von „Passwort-Raten" als Angriffsmethode bei über 43 Prozent erfolgreicher Einbrüche werden klassische Passwörter zunehmend durch biometrische Verfahren und Sicherheitsschlüssel ersetzt.

Anzeige

Die Empfehlung von Sicherheitsbehörden zur Multi-Faktor-Authentifizierung unterstreicht die Notwendigkeit, sensible Zugänge wie das Elster-Portal optimal zu schützen. Mit den richtigen Kenntnissen über versteckte Funktionen und Sicherheitsvorgaben meistern Sie Ihre Steuererklärung künftig stressfrei und rechtlich abgesichert. Kostenloses MeinElster E-Book sichern

Aufsichtsbehörden unter Druck

Die steigende Zahl von Sicherheitsbeschwerden zeigt sich in der Verwaltungsarbeit der Regulierer. Der Digital Services Coordinator (DSC) bei der Bundesnetzagentur verzeichnete 2025 insgesamt 3.321 Anfragen und Beschwerden – ein Anstieg um 150 Prozent im Vergleich zu 2024. Die Behörde leitete 26 neue nationale Verwaltungsverfahren ein, nach nur vier im Vorjahr.

Die hohe Strafe von 120 Millionen Euro gegen die Plattform X durch die EU-Kommission zeigt die finanziellen Konsequenzen bei Verstößen gegen die neuen Digitalstandards.

Ausblick: Biometrie und standardisierte Sicherheit

Die kommenden Monate stehen im Zeichen standardisierter und automatisierter Sicherheitsprotokolle. Nach Pilotprojekten im Sommer 2026 plant die Bundesregierung die Einführung einer „Deutschland-App" und einer EU-weiten digitalen Identitätsbörse (EUDI-Wallet) bis Ende 2027. Diese Tools sollen viele traditionelle Login-Methoden durch sichere Smartphone-Identifikation ersetzen.

Im Bankensektor liegt der Fokus auf der Umsetzung des CRA und der Weiterentwicklung KI-gestützter Betrugserkennung. Wenn das BSI im September 2026 seine Marktüberwachung aufnimmt, müssen Unternehmen mit häufigeren Audits rechnen. Das Ziel: Sicherheitskritische Prozesse wie Visa-Anträge oder Banktransaktionen schneller machen – und gleichzeitig die Hürden für automatisierte Cyberangriffe erhöhen.