Phishing-Welle bei Sparkasse: Was Quishing für Sie bedeutet

Phishing-Welle bei Sparkasse, Volksbank und Postbank: Was die aktuelle Betrugsmasche für Sie bedeutet

Anfang Juli 2026, konkret zwischen dem 2. und 4. Juli, rollte eine gezielte Phishing-Welle über Kundinnen und Kunden von Sparkasse, Volksbank und Postbank hinweg. Betrüger verschickten gefälschte E-Mails und QR-Codes, die täuschend echt wie offizielle Bankmitteilungen aussahen. Die Sparkasse reagierte bereits am 2. Juli mit einer offiziellen Warnung an ihre Kundschaft. Parallel dazu registrierte die Polizei in mehreren Bundesländern Fälle, in denen sich Betrüger als vermeintliche Bank-Sicherheitsmitarbeiter ausgaben und gezielt bei älteren Menschen EC-Karten samt PIN abholten. Zwei unterschiedliche Maschen, ein gemeinsamer Nenner: Beide zielen darauf ab, das Vertrauen in die eigene Bank auszunutzen, um an Zugangsdaten oder direkt an Bargeld zu kommen. Als Finanzjournalist ordne ich für Sie ein, was diese Welle konkret bedeutet, wie die neuere Betrugsmasche "Quishing" technisch funktioniert und warum gerade ältere Menschen beim sogenannten Bankmitarbeiter-Trick ins Visier geraten.

Was Anfang Juli konkret passiert ist

Die gefälschten E-Mails im Namen von Sparkasse, Volksbank und Postbank folgten einem inzwischen bekannten Muster: Sie forderten Empfänger auf, angeblich aus Sicherheitsgründen ihre Zugangsdaten zu bestätigen, die pushTAN-App zu aktualisieren oder eine angeblich blockierte Überweisung freizugeben. Der entscheidende Unterschied zu vielen früheren Wellen war der Einsatz von QR-Codes anstelle klassischer Links. Statt auf einen blau unterstrichenen Link zu klicken, sollten die Opfer einen QR-Code in der E-Mail oder auf einem beigefügten Dokument mit dem Smartphone scannen. Genau dieses Detail macht die aktuelle Welle technisch raffinierter und für viele Spamfilter schwerer erkennbar als klassisches Text-Phishing.

Parallel dazu meldete die Polizei in mehreren Regionen Fälle des sogenannten Bankmitarbeiter-Tricks: Unbekannte riefen ältere Menschen an, gaben sich als Mitarbeiter der Bank oder Sparkasse aus und behaupteten, die EC-Karte des Opfers sei fehlerhaft, kompromittiert oder müsse dringend ausgetauscht werden. Im Gespräch wurde geschickt auch die PIN erfragt, angeblich zur "Verifizierung" oder für den Kartentausch. Kurze Zeit später erschien eine angebliche Kurier- oder Abholperson persönlich an der Haustür, um die "defekte" Karte entgegenzunehmen. Mit Karte und PIN konnten die Täter anschließend am Geldautomaten Bargeld abheben, bevor die Betroffenen überhaupt bemerkten, dass etwas nicht stimmte.

Wie Quishing technisch funktioniert und sich von klassischem Phishing unterscheidet

Quishing ist ein Kunstwort aus "QR-Code" und "Phishing" und bezeichnet Betrugsversuche, bei denen gefälschte QR-Codes anstelle von Text-Links zum Diebstahl von Zugangsdaten eingesetzt werden. Technisch bleibt das Grundprinzip gleich: Am Ende des Scans landet das Opfer auf einer gefälschten Login-Seite, die dem echten Online-Banking-Portal zum Verwechseln ähnlich sieht, und gibt dort seine Zugangsdaten ein. Der entscheidende Unterschied liegt in der Erkennbarkeit:

• Kein sichtbarer Link: Bei klassischem E-Mail-Phishing kann man mit der Maus über einen Link fahren und die Ziel-URL in der Statuszeile prüfen. Ein QR-Code verrät sein Ziel nicht, bevor man ihn tatsächlich gescannt hat.
• Wechsel des Geräts: Die E-Mail wird oft am Computer gelesen, der QR-Code aber mit dem Smartphone gescannt. Dadurch greifen viele Sicherheitswarnungen des E-Mail-Programms oder Browser-Schutzmechanismen des Computers gar nicht erst.
• Geringere Aufmerksamkeit gegenüber Bildern: Viele Menschen sind mittlerweile dafür sensibilisiert, verdächtige Links nicht anzuklicken, betrachten ein Bild wie einen QR-Code aber als harmlos.
• Kombination mit Telefonbetrug: In den aktuellen Fällen folgte auf das Scannen und die Dateneingabe teils ein Anruf eines angeblichen Bankmitarbeiters, der zusätzlich noch eine TAN für eine Überweisung erfragte. Diese Kombination aus digitalem und persönlichem Kontakt erhöht die Erfolgsquote der Betrüger erheblich.

Wichtig zu wissen: QR-Codes können auch auf Papier auftauchen, etwa auf gefälschten Briefen, Flyern oder sogar Aufklebern über echten QR-Codes an Automaten. Die Warnung gilt deshalb nicht nur für E-Mails, sondern für jeden QR-Code, dessen Herkunft Sie nicht zweifelsfrei kennen.

Warum ältere Menschen beim Bankmitarbeiter-Trick gezielt angegriffen werden

Die Rechnung der Täter

Der sogenannte Abholbetrug an der Haustür richtet sich fast ausschließlich gegen ältere Menschen, und das ist kein Zufall, sondern kalkuliertes Vorgehen der Täter. Mehrere Faktoren spielen dabei zusammen. Ältere Menschen sind statistisch häufiger allein zu Hause erreichbar und nehmen unbekannte Anrufe eher an als jüngere Berufstätige, die tagsüber im Büro sind. Zudem ist die Autorität von Bankmitarbeitern und offiziellen Institutionen für viele ältere Menschen historisch stärker verankert. Der respektvolle Umgang mit einer vermeintlichen Autoritätsperson am Telefon wird von den Tätern gezielt ausgenutzt, indem sie Druck aufbauen und wenig Zeit zum Nachdenken lassen.

Hinzu kommt, dass viele ältere Menschen mit digitalen Sicherheitswarnungen weniger vertraut sind als mit persönlichem, direktem Kontakt: Ein Anruf und ein persönlicher Besuch an der Haustür wirken für sie oft glaubwürdiger und legitimer als eine E-Mail, bei der man gelernt hat, misstrauisch zu sein. Die Täter nutzen genau diese Vertrauensbasis, um ihre Geschichte plausibel klingen zu lassen: eine defekte Karte, eine verdächtige Abbuchung, ein dringender Kartentausch. Alles klingt nach einem hilfsbereiten Service, tatsächlich handelt es sich um eine sorgfältig einstudierte Betrugsmasche.

Was Sie jetzt konkret tun sollten

Unabhängig davon, ob Sie eine verdächtige E-Mail, einen unbekannten QR-Code oder einen ungewöhnlichen Anruf erhalten: Es gibt klare, einfache Regeln, die Sie vor beiden Betrugsformen schützen.

• Geben Sie niemals Ihre PIN weiter — weder am Telefon, noch persönlich, noch schriftlich. Keine Bank, keine Sparkasse und kein echter Bankmitarbeiter fragt jemals nach Ihrer PIN.
• Scannen Sie keine QR-Codes aus unbekannten Quellen — weder aus E-Mails noch von Zetteln, Aufklebern oder Briefen, deren Absender Sie nicht zweifelsfrei überprüfen können.
• Ihre Bank ruft Sie niemals an, um eine Kartenabholung an der Haustür zu vereinbaren. Kein Institut in Deutschland schickt einen Kurier vorbei, der Ihre EC-Karte persönlich entgegennimmt. Wer das behauptet, ist ein Betrüger.
• Nutzen Sie ausschließlich offizielle Kontaktwege: Bei Zweifeln an einer E-Mail oder einem Anruf legen Sie auf und rufen Sie selbst die auf Ihrer Bankkarte oder im Kontoauszug gedruckte Servicenummer an, niemals eine Nummer aus der verdächtigen Nachricht selbst.
• Sperren Sie im Zweifel sofort: Die zentrale Sperrnotrufnummer 116 116 funktioniert kostenlos aus dem deutschen Fest- und Mobilfunknetz und sperrt Karten rund um die Uhr, unabhängig von Ihrer Bank.
• Informieren Sie ältere Angehörige aktiv: Sprechen Sie mit Eltern oder Großeltern konkret über den Bankmitarbeiter-Trick. Ein einziges klärendes Gespräch kann verhindern, dass jemand aus Respekt oder Höflichkeit die eigene Karte weitergibt.

Vertrauen ist das eigentliche Ziel der Betrüger

Sowohl Quishing als auch der Bankmitarbeiter-Trick funktionieren nur, weil die Täter das Vertrauen in Banken und offizielle Kommunikationswege gezielt missbrauchen. Genau deshalb lohnt es sich, grundsätzlich zu wissen, wie Ihre eigene Bank tatsächlich kommuniziert: Welche Nummern sind offiziell hinterlegt, über welche Kanäle meldet sich Ihr Institut normalerweise, und was würde niemals passieren. Wer sein Girokonto ohnehin überprüfen oder wechseln möchte, sollte dabei auch auf transparente, klar dokumentierte Sicherheits- und Kommunikationsrichtlinien des jeweiligen Anbieters achten. Auch wer größere Beträge in Sparkonten oder Festgeldanlagen anlegt, sollte sich vorab informieren, wie der Anbieter im Betrugsfall reagiert und über welche Wege eine Sperrung möglich ist. Und wer aktuell einen Kredit aufnehmen möchte, sollte grundsätzlich misstrauisch werden, sobald ein angeblicher Kreditgeber am Telefon nach Zugangsdaten oder einer Kartennummer fragt, denn auch im Kreditgeschäft nutzen Betrüger ähnliche Maschen.

Fazit: Wachsamkeit schützt mehr als jede Technik

• Die aktuelle Phishing-Welle bei Sparkasse, Volksbank und Postbank kombiniert klassische Phishing-E-Mails mit der neueren Quishing-Methode über QR-Codes.
• QR-Codes verbergen ihr Ziel, bis Sie sie tatsächlich scannen — genau deshalb sind sie schwerer zu durchschauen als klassische Links.
• Der Bankmitarbeiter-Trick zielt gezielt auf ältere Menschen, weil Vertrauen in Autoritätspersonen und persönlichen Kontakt gezielt ausgenutzt wird.
• PIN niemals weitergeben, keine unbekannten QR-Codes scannen, keine Kartenabholung an der Haustür akzeptieren — diese drei Regeln verhindern die meisten Schadensfälle.
• Im Zweifel: auflegen, selbst zurückrufen, offizielle Nummern nutzen. Ihre Bank hat immer Verständnis für einen zusätzlichen Sicherheitscheck.

Bleiben Sie wachsam, sprechen Sie mit Familienmitgliedern über diese Betrugsmaschen und vertrauen Sie im Zweifel Ihrem Bauchgefühl. Wenn Sie ohnehin über Ihre Bankverbindung nachdenken, nutzen Sie unseren aktuellen Vergleich für Girokonten in Deutschland, um einen Anbieter mit transparenten Sicherheitsstandards zu finden.