Kurze Antwort
Eine echte Bank fragt niemals nach dem SMS-Code, verlangt keine Fernwartungs-App und schiebt Ihr Geld nicht auf ein „sicheres Konto“. Verlangt ein Anruf eines dieser drei Dinge, ist es Betrug – auflegen und die Nummer auf der Kartenrückseite anrufen.
Vishing ist ein Anruf, bei dem sich jemand als Ihre Bank ausgibt. Es ist kein plumper Betrug: Die anrufende Person kennt meist Ihren vollen Namen, manchmal die letzten vier Ziffern Ihrer Karte, und spricht mit der ruhigen Autorität von jemandem, der ein Skript vorliest. Die angezeigte Nummer kann die echte der Bank sein, denn das Telefonnetz prüft nicht, wer anruft.
Der ganze Anruf existiert, um eine kurze Ziffernfolge zu erhalten: den Einmalcode, den Ihre Bank per SMS sendet. Damit kann ein Angreifer eine Überweisung freigeben oder einen Empfänger hinzufügen, ohne Ihre Karte je in der Hand zu haben.
Wie der Anruf aufgebaut ist
- Eine Stimme – aufgenommen oder synthetisch – meldet „eine verdächtige Transaktion“ auf Ihrem Konto.
- Man sagt Ihnen, die Transaktion lasse sich stoppen, aber nur jetzt, in diesem Gespräch.
- Sie sollen sich identifizieren – praktisch: den gerade eingetroffenen SMS-Code vorlesen.
- Bei Zögern werden Sie an einen „Vorgesetzten“ oder eine „Betrugsabteilung“ weitergegeben: die nächste Person im selben Raum.
- Ohne Code folgt die Bitte, eine Fernwartungs-App zu installieren, damit ein „Techniker“ das Gerät absichern kann – was das Telefon übergibt.
Die vier verräterischen Merkmale
- Dringlichkeit, die Ihre Möglichkeiten streicht: „Wenn wir jetzt auflegen, ist das Geld weg.“
- Jede Frage nach SMS-Code oder Karten-PIN. Ihre Bank hat beides – sie muss es nicht hören.
- Die Aufforderung, Software zu installieren, nach der Sie nicht gesucht haben: AnyDesk, TeamViewer, QuickSupport, ein „Sicherheitszertifikat“ oder eine per Nachricht gesendete APK-Datei.
- Die Anweisung, den Anruf vor Familie oder Bankmitarbeitern geheim zu halten oder Geld auf ein „sicheres Konto“ zu verschieben, das Ihnen gehöre. Ein solches Konto gibt es nicht.
Gefälschte Nummern beweisen nichts
Die Rufnummernanzeige ist ein Feld in den Signalisierungsdaten, kein Fakt. Für wenige Euro im Monat lässt sich jede Nummer setzen, auch die offizielle Servicenummer Ihrer Bank. Ein Rückruf hilft nur, wenn Sie selbst wählen – von einem anderen Gerät oder nach einigen Minuten. Eine offen gehaltene Leitung führt weiterhin zu deren Callcenter.
Dasselbe gilt für Nachrichten nach dem Anruf: Ein Link zur Bankdomain kann eine Kopie mit vertauschtem Zeichen sein, und ein PDF mit Briefkopf ist ein aus Word gedrucktes Dokument.
Wenn Sie schon abgenommen haben
- Auflegen. Nicht erklären, nicht diskutieren, nicht auf den Vorgesetzten warten.
- Die Bank unter der Nummer auf der Kartenrückseite anrufen und die Karte sperren lassen.
- Das Passwort des Online-Bankings ändern und Empfänger sowie Daueraufträge prüfen – löschen Sie jeden „Empfänger“, den Sie nicht selbst angelegt haben.
- Eine installierte App deinstallieren und prüfen, welche Apps Bedienungshilfen oder Zugriff auf Benachrichtigungen haben; genau dieser Zugriff erlaubt es einem Fernwartungstool, SMS-Codes zu lesen.
- Melden: am selben Tag bei der Betrugsnummer der Bank und bei der Polizei, wenn Geld abgeflossen ist. Die Meldung am selben Tag macht einen Erstattungsantrag realistisch.
Prüfen Sie die Nummer, bevor Sie vertrauen
Geben Sie die anrufende Nummer in den BaitScan-Telefonprüfer ein und sehen Sie das Muster dahinter: Premiumbereiche, Serien kurzlebiger SIM-Karten und Formate, aus denen Banken nicht anrufen. Kam eine Nachricht mit dem Anruf, zeigt der Link-Prüfer, wohin der Link wirklich führt.
Häufige Fragen
Die Fragen, die zu diesem Artikel am häufigsten gestellt werden – direkt beantwortet.
Kann ein Betrüger wirklich von der Nummer meiner Bank anrufen?
Ja. Die Rufnummer wird vom Anrufer übermittelt und nicht durchgehend verifiziert, sie kann also beliebig gesetzt werden – auch auf die echte Servicenummer. Behandeln Sie die Anzeige als Hinweis, nie als Identitätsnachweis.
Die anrufende Person kannte meinen Namen und die letzten Kartenziffern. Bin ich kompromittiert?
Nein – diese Daten sind nach alten Datenlecks breit verfügbar. Sie dienen der Glaubwürdigkeit, nicht als Nachweis eines Zugriffs. Entscheidend ist, dass Sie keinen Code vorlesen und keine App installieren.
Ich habe den Code vorgelesen. Was passiert jetzt?
Gehen Sie davon aus, dass der Angreifer sofort eine Transaktion freigeben oder einen Empfänger anlegen kann. Bank anrufen, Karte sperren, Online-Banking-Passwort ändern, dann melden. Nach PSD2 können Sie für nicht autorisierte Zahlungen vor Ihrer Meldung haften – deshalb zählt der gleiche Tag.
Sollte ich zurückrufen, um das zu prüfen?
Nur wenn Sie die veröffentlichte Nummer Ihrer Bank selbst wählen. Ein Rückruf auf die anrufende Nummer verbindet Sie erneut mit derselben Operation – die Leitung gehört ihnen.
Geschrieben von Die BaitScan-Redaktion
Ergebnisse sind automatische Risikoeinschätzungen auf Basis öffentlicher Indikatoren und Heuristiken.