Phishing-Welle: Deutsche Banken und Google im Abwehrkampf

Die Verbraucherzentrale schlägt Alarm: In den vergangenen 48 Stunden haben Cyberkriminelle ihre Angriffe auf Millionen deutscher Bankkunden dramatisch intensiviert. Die Weihnachtszeit als Chance? Für Betrüger allemal – denn gestresste Konsumenten klicken schneller, fragen später.

Volksbank und Commerzbank: Neue Qualität der Täuschung

Die Volksbanken Raiffeisenbanken melden seit gestern eine aggressive E-Mail-Kampagne. Der Köder: Ein angeblich neues “Sicherheitssystem” müsse sofort aktiviert werden. Wer nicht reagiere, riskiere die Kontosperrung. Eine zweite Angriffswelle behauptet seit Ende November, eine “Frist zur Datenverifizierung” laufe ab – in dramatischem Rot hervorgehoben.

Noch ausgefeilter zeigt sich der Angriff auf Commerzbank-Kunden. Seit Mittwoch kursieren E-Mails mit dem Betreff “Wichtige Aktualisierung Ihrer photoTAN-App!”. Die Masche: Vorgebliche “Sicherheitsverbesserungen” erfordern ein zwingendes Update. Was harmlos klingt, zielt direkt auf die Zwei-Faktor-Authentifizierung. Die Betrüger wollen Opfer dazu bringen, ein betrügerisches Gerät zu autorisieren oder sensible Login-Daten preiszugeben.

Viele Android‑Nutzer unterschätzen aktuell die Gefahr durch Phishing‑Angriffe per SMS, E‑Mail oder gefälschte Apps – gerade wenn Banken und Paketdienste im Visier stehen. Unser kostenloses Sicherheitspaket erklärt die 5 wichtigsten Schutzmaßnahmen für Ihr Android‑Smartphone: sichere App‑Einstellungen, biometrische Optionen, App‑Quellen prüfen, regelmäßige Update‑Routine und spezielle Tipps für Mobile‑Banking. Schritt‑für‑Schritt und sofort umsetzbar, auch mit Checklisten für weniger technikaffine Nutzer. Gratis Android-Sicherheitspaket herunterladen

Sparkasse: Wenn der “Mitarbeiter” anruft

Die Sparkassen-Finanzgruppe warnt zusätzlich vor falschen “S-ID”-Update-Anforderungen. Besonders perfide: Eine kombinierte Kampagne aus E-Mail und Telefonanruf. Betrüger geben sich als Sparkassen-Mitarbeiter aus und behaupten, es gebe Probleme mit PayPal-Zahlungen. Ihr Ziel: Fernzugriff auf das Online-Banking oder die Bestätigung betrügerischer pushTAN-Anfragen.

Wie gefährlich sind diese Angriffe wirklich? Sicherheitsexperten sprechen von einer “neuen Qualität der Kontextualisierung”. Statt allgemeiner Phishing-Mails imitieren die Kriminellen präzise spezifische Bankprozesse wie photoTAN-Updates – und nutzen dabei exakt die Begriffe, die Kunden aus echten Bank-Kommunikationen kennen.

DHL-Betrug: Drei aktive Varianten zur Hochsaison

Parallel zur Banking-Offensive läuft die größte Paket-Phishing-Welle des Jahres. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hatte bereits am 26. November vor einer “Cyber Week”-Kriminalitätswelle gewarnt – sie ist eingetreten.

Seit dem 1. Dezember kursieren drei unterschiedliche Betrugsmaschen, die DHL imitieren. Per SMS oder E-Mail wird behauptet, ein Paket könne wegen “unbezahlter Zollgebühren” oder “fehlender Adressdaten” nicht zugestellt werden. Die verlinkten Portale wirken täuschend echt und zielen auf Kreditkarteninformationen. Wichtig zu wissen: DHL fordert niemals per SMS-Link Zahlungen oder sensible Daten für Inlandssendungen an.

Googles Gegenschlag: KI hört mit

Ausgerechnet am Mittwoch, mitten in diese Angriffswelle hinein, kündigte Google eine massive Ausweitung seiner Sicherheitsfunktionen für Android an. Das Timing könnte kaum passender sein.

Die bedeutendste Neuerung: Ein KI-System analysiert Telefongespräche in Echtzeit auf Betrugsversuche. Erkennt die künstliche Intelligenz typische Muster – etwa Fragen nach Banking-PINs oder Aufforderungen zu Geldüberweisungen –, löst sie sofort visuelle und akustische Warnungen aus. Google bestätigte am Mittwoch, dass das Pilotprogramm auf große Finanz-Apps ausgeweitet wird, zunächst in den USA mit JPMorgan Chase und Cash App.

Zudem rollt Google die “Identity Check”-Funktion aus. Sie fügt biometrische Sicherheitsebenen für kritische Geräteeinstellungen hinzu. Befindet sich ein Smartphone an einem unbekannten Ort, sind Fingerabdruck oder Gesichtsscan erforderlich, um PIN-Änderungen oder die Deaktivierung von “Mein Gerät finden” vorzunehmen. Angreifer, die lediglich einen beobachteten Code kennen, laufen damit ins Leere.

GhostFrame und Calendly: Wenn Profis ins Visier geraten

Während Privatpersonen um ihre Konten bangen, kämpfen Unternehmen gegen Wirtschaftsspionage. Am Donnerstag enthüllten Sicherheitsforscher GhostFrame, ein neues Phishing-Framework, das bereits über eine Million Angriffe ermöglicht hat. Die Technik: Bösartige Login-Felder werden unsichtbar über legitim aussehende Hintergründe gelegt – eine “Iframe”-Architektur, die Standard-E-Mail-Filter kaum erkennen.

Gleichzeitig läuft eine hochprofessionelle Kampagne gegen Google Workspace-Zugänge. Angreifer missbrauchen Calendly-Meeting-Einladungen als Köder. Sie geben sich als Recruiter oder potenzielle Geschäftspartner aus und nutzen das Vertrauen, das Nutzer alltäglichen Planungstools entgegenbringen.

KI gegen KI: Das digitale Wettrüsten

Die Verschmelzung dieser Ereignisse markiert einen Wendepunkt. Ein Cybersecurity-Analyst zur Commerzbank-Kampagne: “Wir erleben den Übergang von generischen Massen-E-Mails zu hochgradig kontextualisierten Ködern, die spezifische Bankprozesse nachahmen.”

Googles Einführung geräteinterner KI-Analyse stellt einen paradigmatischen Wechsel dar: von der Blockade schädlicher Links hin zur Erkennung der Absicht hinter einer Interaktion. Doch Experten warnen: Wenn Verteidiger KI einsetzen, werden Angreifer nachziehen. Die nächste Generation von Phishing-Mails wird von künstlicher Intelligenz verfasst sein – in fehlerfreiem Deutsch und mit perfekt geklonten Stimmen für Telefonbetrug.

Was kommt noch bis Jahresende?

Sicherheitsexperten rechnen mit anhaltend kritischen Bedrohungsleveln bis Ende Dezember. Getrieben von der Hektik des Paketversands und administrativen Jahresabschlussaufgaben dürfte die Angriffswelle kaum abflauen.

Drei Entwicklungen zeichnen sich ab:

Eskalation der Imitationen: Amazon, DHL und die großen deutschen Banken werden weiterhin im Fokus stehen. Die Kampagnen werden sich gegenseitig überbieten.

KI versus KI: Das digitale Wettrüsten beschleunigt sich. Verteidiger setzen maschinelles Lernen zur Erkennung ein, Angreifer zur Perfektionierung ihrer Täuschungen.

Ende der TAN-Ära? Banken könnten verstärkt auf physische Sicherheitsschlüssel oder strikt biometrische Authentifizierung drängen. SMS- und App-basierte TANs haben ihre Schwächen zu deutlich offenbart.

Die Verbraucherzentrale rät eindringlich: Nutzen Sie ausschließlich die offiziellen Apps Ihrer Dienstleister für jegliche Verifizierung. Klicken Sie niemals auf Links in unaufgefordert zugesandten E-Mails – egal wie dringlich die Aufforderung klingt. Im Zweifel gilt: Lieber einmal zu oft bei der Bank anrufen als einmal zu wenig misstrauisch sein.

PS: Sie sind nicht machtlos gegen ausgefeilte Phishing‑Tricks. In unserem kostenlosen Ratgeber erfahren Sie, wie Sie Ihr Android‑Handy ohne teure Zusatz‑Apps so konfigurieren, dass Betrüger kaum eine Chance haben: gesperrte App‑Berechtigungen, Quellen‑Checks, biometrische Einstellungen und eine Notfall‑Checkliste für betrügerische Anrufe und SMS. Der Leitfaden lässt sich in wenigen Minuten durchgehen und hilft sofort, verdächtige Kontakte richtig einzuschätzen. Jetzt kostenloses Sicherheitspaket anfordern