Angebliches Sicherheits-Update von der Bank: Die Phishing-Welle im Oktober 2026 und was Betroffene jetzt tun sollten

Die Nachricht wirkt seriös: Ihre Bank kündigt ein Sicherheits-Update an, Sie sollen Ihre Daten innerhalb von 48 Stunden bestätigen, sonst werde das Konto gesperrt. Sie klicken, melden sich an, geben vielleicht noch eine TAN oder eine Freigabe in der App ein. Ein paar Stunden später fehlt Geld auf dem Konto.

Genau diese Masche läuft im Oktober 2026 in mehreren Varianten. Die Verbraucherzentrale warnt in ihrem Phishing-Radar fast täglich vor neuen Mails im Namen bekannter Banken und Dienste. In diesem Beitrag erfahren Sie, woran Sie die aktuellen Nachrichten erkennen, was Sie sofort tun sollten, wenn Sie bereits Daten eingegeben haben, und warum eine erste Ablehnung der Bank nicht das letzte Wort sein muss.

Die aktuelle Welle: Diese Nachrichten sind gerade im Umlauf

Das Phishing-Radar der Verbraucherzentrale hat allein in der zweiten Oktoberhälfte 2026 unter anderem diese Mails gemeldet:

• ING: angebliches Sicherheitsupdate, das innerhalb von 48 Stunden erledigt werden soll.
• comdirect: Aufforderung, das Konto im Kundenbereich zu aktualisieren.
• Volksbanken Raiffeisenbanken: angebliche Stammdatenbestätigung.
• easybank: Die Echtzeit-Überweisung müsse verpflichtend aktiviert werden, sonst drohe die Sperrung des Kontos.
• PayPal: Betreff zur Aktualisierung des Schutzstandards, Profilaktivität soll binnen 24 Stunden bestätigt werden.
• Amazon: Die Prime-Gebühr habe angeblich nicht abgebucht werden können.

Das Muster ist immer gleich: Ein offizieller Anlass, eine kurze Frist und eine Drohung. Der Link führt auf eine nachgebaute Anmeldeseite. Wer dort Zugangsdaten eingibt, gibt sie direkt an die Täter weiter. Oft folgt kurz darauf ein Anruf eines angeblichen Bankmitarbeiters, der eine Freigabe in der App oder eine TAN verlangt, um das Konto angeblich zu schützen.

Woran Sie die Fälschung erkennen

• Zeitdruck: Echte Banken setzen Ihnen keine 24- oder 48-Stunden-Frist per Mail mit Sperrdrohung.
• Link zur Anmeldung: Seriöse Banken schicken keine Links, über die Sie sich einloggen oder Daten bestätigen sollen.
• Absender und Adresse: Die Absenderadresse und die Zieladresse des Links passen nicht zur Bank, auch wenn das Logo stimmt.
• Allgemeine Anrede: Statt Ihres Namens steht oft nur eine neutrale Begrüßung.
• Freigabe ohne eigenen Auftrag: Wenn Ihre Banking-App eine Zahlung oder eine neue Karte zur Freigabe anzeigt, die Sie nicht selbst veranlasst haben, bestätigen Sie nichts.

Im Zweifel gilt: Rufen Sie Ihre Bank über die Nummer auf Ihrer Karte oder auf der offiziellen Website an, nie über eine Nummer aus der Mail.

Daten eingegeben? Diese Schritte sind jetzt wichtig

Wenn Sie den Link schon angeklickt und Daten eingegeben haben, zählt jede Stunde.

1. Zugang und Karten sperren: Rufen Sie sofort Ihre Bank an oder nutzen Sie den Sperr-Notruf 116 116. Lassen Sie Online-Banking, Karten und gegebenenfalls Apple Pay oder Google Pay sperren.
2. Bank schriftlich informieren: Teilen Sie der Bank zusätzlich per Brief oder über das Postfach im Online-Banking mit, welche Zahlungen Sie nicht veranlasst haben, und verlangen Sie ausdrücklich die Erstattung. Notieren Sie sich Datum und Uhrzeit Ihrer Sperrmeldung.
3. Strafanzeige erstatten: Bei der Polizei, in Berlin und Brandenburg auch über die Online-Wache. Das Aktenzeichen brauchen Sie später gegenüber der Bank.
4. Beweise sichern: Bewahren Sie die Phishing-Mail auf, machen Sie Screenshots von Kontoauszügen, SMS und Anruflisten. Löschen Sie nichts.
5. Passwörter ändern: Ändern Sie Ihre Zugangsdaten, auch bei anderen Diensten, wenn Sie dort dasselbe Passwort nutzen.

Was das Gesetz sagt: Ihr Anspruch auf Erstattung

Viele Betroffene glauben, sie seien selbst schuld und hätten keine Chance. Das stimmt so nicht. Das Gesetz verteilt das Risiko klar.

Erstattung als Grundsatz (§ 675u BGB): Hat nicht Sie, sondern ein Betrüger die Zahlung ausgelöst, ist sie nicht autorisiert. Dann muss die Bank Ihnen den Betrag unverzüglich erstatten, spätestens bis zum Ende des Geschäftstags, der auf Ihre Meldung folgt. Eine Ausnahme gibt es nur, wenn die Bank einen begründeten Verdacht auf Betrug durch Sie selbst hat und diesen der zuständigen Behörde schriftlich mitteilt.

Ihre Haftung ist begrenzt (§ 675v BGB): Normalerweise haften Sie höchstens mit 50 Euro. Voll haften Sie nur, wenn Sie in Betrugsabsicht gehandelt oder Ihre Pflichten vorsätzlich oder grob fahrlässig verletzt haben. Und wenn die Bank keine starke Kundenauthentifizierung verlangt hat, also keine Bestätigung mit zwei unabhängigen Merkmalen wie Passwort und App-Freigabe, haften Sie grundsätzlich gar nicht.

Frist (§ 676b BGB): Spätestens 13 Monate nach der Belastung müssen Sie die Bank informieren, sonst sind Ihre Ansprüche ausgeschlossen. Warten Sie aber nicht so lange, sondern melden Sie sich sofort.

Der Streitpunkt: grobe Fahrlässigkeit

Banken lehnen die Erstattung häufig mit dem Argument ab, der Kunde sei grob fahrlässig gewesen, weil er auf eine Phishing-Mail hereingefallen ist. Ob das zutrifft, hängt immer vom Einzelfall ab: Wie professionell war die Fälschung? Was genau haben Sie eingegeben oder freigegeben? Was zeigte die App bei der Freigabe an? Die Beweislast für grobe Fahrlässigkeit liegt bei der Bank.

Hinzu kommt eine wichtige neue Entscheidung des Europäischen Gerichtshofs: Die Bank darf die Erstattung nicht einfach mit dem Hinweis auf grobe Fahrlässigkeit verweigern, sondern muss grundsätzlich erst zahlen. Mehr dazu lesen Sie in unserem Beitrag EuGH-Urteil: Ihre Bank muss nach Betrug erst erstatten und darf dann streiten. Was Sie tun können, wenn die Bank trotzdem ablehnt, erklären wir in Bank verweigert Erstattung wegen grober Fahrlässigkeit.

Typische Fehler nach einem Phishing-Angriff

• Zu spät sperren: Jede Stunde gibt den Tätern Zeit für weitere Abbuchungen.
• Nur telefonisch melden: Ohne schriftliche Meldung fehlt Ihnen später der Nachweis.
• Die Ablehnung hinnehmen: Ein Standardschreiben der Bank ist keine gerichtliche Entscheidung.
• Widersprüchliche Angaben machen: Schildern Sie den Ablauf einmal sorgfältig und ehrlich, am besten schriftlich und mit Zeitangaben. Ungenaue Aussagen nutzt die Bank gern gegen Sie.
• Weitere Anrufe annehmen: Nach einem Angriff melden sich oft angebliche Polizisten oder Bankmitarbeiter, die helfen wollen. Geben Sie keine Daten mehr heraus.

Einen Überblick über weitere Maschen finden Sie auf unserer Seite zu Betrug im Bankrecht.

Häufige Fragen

Ich habe nur meine Zugangsdaten eingegeben, aber keine TAN. Bin ich sicher?

Nicht unbedingt. Mit den Zugangsdaten versuchen die Täter oft, Sie anschließend anzurufen und eine Freigabe zu erschleichen. Lassen Sie den Zugang vorsorglich sperren und ändern Sie Ihre Passwörter.

Muss die Bank wirklich zahlen, obwohl ich auf den Link geklickt habe?

Ein Klick allein macht Sie nicht automatisch grob fahrlässig. Entscheidend ist der gesamte Ablauf. Eine Garantie gibt es nicht, aber viele Fälle lohnen eine genaue Prüfung.

Was kostet mich die Prüfung?

Der Erstkontakt und eine erste Einschätzung Ihres Falls sind bei uns kostenlos. Eine ausführliche Beratung und die Prüfung Ihrer Unterlagen sind kostenpflichtig; die Kosten besprechen wir vorher mit Ihnen. Alle Informationen zu unserer Arbeit finden Sie im Bereich Bankrecht.