Am 24. August 2026 hat die Verbraucherzentrale Alarm geschlagen: In Umlauf sind E-Mails, die vorgeben, von der Postbank zu stammen, und Kundinnen und Kunden auffordern, ihre BestSign-Funktion – das TAN- und Freigabeverfahren der Bank für Online-Überweisungen – binnen 24 Stunden zu „reaktivieren". Wer nicht handle, so die Drohung, dem werde das Konto gesperrt. Es ist beileibe kein Einzelfall. Nur wenige Tage zuvor, seit dem 8. August, kursierten fast identisch aufgebaute Mails im Namen der Sparkassen-Finanzgruppe, die ein angebliches „S-pushTAN-Sicherheitsupdate" ankündigten. Und dort wurde die Masche noch eine Stufe perfider: Wer auf den Link in der Mail klickte und Daten einer gefälschten Seite preisgab, bekam anschließend einen Anruf – scheinbar direkt von der Sparkasse, mit der echten, im Display angezeigten Banknummer.
Als Finanzjournalist, der diese Betrugswellen seit Jahren beobachtet, kann ich sagen: Das Muster ist nicht neu, aber die Kombination aus digitalem Köder und telefonischer Nachbearbeitung macht diese August-Welle besonders gefährlich. Sie zeigt, wie professionell organisierte Kriminelle mittlerweile arbeiten – und warum ein gesunder Grundverdacht gegenüber jeder unerwarteten Bank-Nachricht heute keine Paranoia mehr ist, sondern schlicht Notwendigkeit.
Warum eine 24-Stunden-Frist immer ein Alarmsignal ist
Der psychologische Trick hinter der Postbank-Masche ist so simpel wie wirksam: künstlich erzeugter Zeitdruck. Wer glaubt, nur 24 Stunden Zeit zu haben, bevor das eigene Konto gesperrt wird, denkt nicht mehr in Ruhe nach – er klickt. Genau das ist der Punkt, an dem seriöse Banken sich fundamental von Betrügern unterscheiden. Postbank, Sparkasse, Deutsche Bank, Comdirect oder jede andere lizenzierte Bank in Deutschland wird niemals per E-Mail ein Ultimatum von wenigen Stunden setzen, um ein TAN-Verfahren „zu erneuern". Sicherheitsrelevante Änderungen an Freigabeverfahren wie BestSign oder pushTAN laufen über die offizielle Banking-App, über den persönlich eingeloggten Bereich im Online-Banking oder über postalische Mitteilung – niemals über einen Link in einer E-Mail mit tickender Uhr.
Ein zweites verräterisches Merkmal: die Drohkulisse. Kontosperrung, Verlust des Zugangs, angeblich „letzte Mahnung" – all das sind Formulierungen, die auf maximale Emotion statt auf sachliche Information zielen. Echte Bankkommunikation ist in aller Regel nüchtern, konkret und verweist auf offizielle Kanäle, statt mit Fristen zu drohen. Wer eine solche Mail erhält, sollte sich genau diese eine Frage stellen: Würde meine Bank mich wirklich so unter Druck setzen? Die Antwort ist praktisch immer Nein.
Ein Anruf von der „echten" Nummer ist kein Vertrauensbeweis
Deutlich raffinierter – und deshalb besonders besorgniserregend – ist die Variante, die bei der Sparkassen-Finanzgruppe beobachtet wurde. Nach dem Klick auf den Phishing-Link und der Eingabe von Daten auf einer gefälschten Seite folgt ein Telefonanruf, bei dem im Display die tatsächliche, bekannte Servicenummer der Sparkasse erscheint. Technisch handelt es sich dabei um sogenanntes Call-ID-Spoofing: Die Anrufer manipulieren die übermittelte Rufnummer, sodass sie auf dem Telefon des Opfers als vertrauenswürdig erscheint, obwohl der Anruf in Wirklichkeit von ganz woanders kommt. Am Telefon wird dann versucht, die betroffene Person dazu zu bringen, eine TAN durchzugeben oder eine „Sicherheitsfreigabe" zu bestätigen – womit die Betrüger endgültig Zugriff auf das Konto erhalten.
Die zentrale Lehre daraus: Die angezeigte Rufnummer ist im Zeitalter des Spoofings kein verlässliches Echtheitsmerkmal mehr. Weder bei Banken noch bei Behörden oder Paketdiensten. Die einzig sichere Regel lautet: Kein Bankmitarbeiter wird Sie jemals anrufen und um die Durchsage einer TAN bitten – unter keinen Umständen, nicht zur „Bestätigung", nicht zur „Freischaltung", nicht zur „Sicherheitsüberprüfung". TANs sind ausschließlich dafür da, eine von Ihnen selbst in der App oder im Online-Banking initiierte Transaktion freizugeben. Sobald jemand am Telefon danach fragt, ist das Gespräch sofort zu beenden.
Was Sie konkret tun sollten, wenn eine solche Nachricht ankommt
- Nicht auf Links in der E-Mail klicken. Öffnen Sie stattdessen die offizielle Banking-App oder tippen Sie die Ihnen bekannte Internetadresse Ihrer Bank selbst in den Browser ein.
- Absenderadresse genau prüfen – auch wenn Betrüger mittlerweile täuschend echte Domains nachbauen, verraten sich viele Mails bei genauerem Hinsehen durch kleine Abweichungen.
- Bei Anrufen misstrauisch bleiben, selbst wenn die Nummer echt aussieht. Legen Sie auf und rufen Sie über die auf Ihrer Bankkarte oder im offiziellen Kundenportal hinterlegte Nummer selbst zurück.
- Niemals eine TAN am Telefon oder auf einer verlinkten Seite eingeben, die Sie nicht selbst über die App oder das Online-Banking angefordert haben.
- Verdachtsfälle melden – sowohl der eigenen Bank als auch dem Phishing-Radar der Verbraucherzentrale. Das hilft, andere Kundinnen und Kunden rechtzeitig zu warnen.
Wer bereits Daten preisgegeben hat, sollte keine Zeit verlieren: sofort die Bank kontaktieren (über die offizielle Nummer, nie über die aus der verdächtigen Mail oder dem Anruf), Karten und Zugänge sperren lassen und Anzeige bei der Polizei erstatten.
Vertrauen ist der eigentliche Preis
Diese Angriffswellen zielen letztlich nicht nur auf einzelne Konten, sondern auf das Vertrauen in digitales Banking insgesamt. Genau deshalb lohnt es sich für jeden Kunden, sich regelmäßig mit den eigenen Bankprodukten und deren Sicherheitsmerkmalen auseinanderzusetzen – nicht nur reaktiv im Betrugsfall. Wer ohnehin gerade über einen Wechsel nachdenkt, kann sich einen Überblick über aktuelle Girokonten mit modernen, phishing-resistenten Freigabeverfahren verschaffen, oder prüfen, wie Sparkonten und Festgeld- und Tagesgeldangebote ihre Kunden gegen Betrug absichern. Auch wer über einen Kredit oder eine Baufinanzierung nachdenkt, sollte wissen: Seriöse Anbieter kommunizieren Vertragsänderungen niemals per Dringlichkeits-E-Mail mit Countdown.
Fazit: Die Postbank- und Sparkassen-Fälle vom August 2026 sind ein Weckruf. Künstliche Fristen, Drohungen mit Kontosperrung und selbst ein scheinbar vertrauenswürdiger Anrufer sind heute keine Garantie mehr für Echtheit. Bewahren Sie Ruhe, nutzen Sie ausschließlich offizielle Kanäle, und geben Sie niemals, wirklich niemals, eine TAN am Telefon durch. Im Zweifel gilt: erst auflegen, dann selbst zurückrufen.