Phishing erkennen 2026: Wie dich Betrüger täuschen wollen
Schlechtes Deutsch und komische Grußformeln reichen als Warnzeichen nicht mehr. KI macht gefälschte Bank-SMS, Behörden-Mails und sogar Anrufe mit geklonter Stimme 2026 überzeugend echt. So erkennst du die aktuellen Maschen und was wirklich schützt.
Phishing gibt es, seit es E-Mail gibt. Neu ist 2026, wie gut es inzwischen funktioniert. Laut dem Cybersicherheitsmonitor des deutschen Bundesamts für Sicherheit in der Informationstechnik (BSI) wurde jede neunte Person in Deutschland im vergangenen Jahr Opfer einer Straftat im Internet. 88 % davon berichten von einem spürbaren Schaden, ein Drittel mit echtem Geldverlust. Hochgerechnet sind das knapp 4 von 100 Internetnutzer:innen, die im letzten Jahr tatsächlich Geld verloren haben.
Der Grund, warum das gerade jetzt schwerer zu erkennen ist: Künstliche Intelligenz schreibt fehlerfreie Betrugs-SMS im Ton deiner Bank, baut in Minuten eine täuschend echte Fake-Login-Seite und klont mittlerweile sogar Stimmen aus ein paar Sekunden Audiomaterial. Dieser Artikel geht vier aktuelle Maschen durch, mit echten Beispielen aus Österreich und Deutschland, und zeigt, welche eine Regel in fast allen Fällen reicht.
Die Klassiker, neu aufpoliert: Phishing und Smishing
Phishing kommt per E-Mail, Smishing per SMS, beides mit demselben Ziel: dich auf eine gefälschte Seite zu locken, die aussieht wie das Online-Banking deiner Bank oder das Portal einer Behörde, und dort deine Zugangsdaten oder eine TAN abzugreifen. Aktuelle Beispiele, die österreichische und deutsche Verbraucherschützer laufend melden:
Klimabonus-Phishing: E-Mail angeblich vom Finanzministerium, Köder ist eine Auszahlung von bis zu 400 €. Wer auf den Link klickt, landet auf einer Fake-Seite und gibt dort Konto- oder Kartendaten ein. Watchlist Internet meldete dazu im März 2026 eine besonders starke Welle.
Phishing-SMS im Namen von FinanzOnline: angebliche Fristen zur Registrierung. Tatsächlich geht es den Absendern nur um Kontakt- und Bankdaten. Ein Dauerbrenner, der laut Watchlist Internet in immer neuen Runden auftaucht.
Sparkasse, Ende Februar 2026: Fake-Mail zu einer angeblichen „Routineprüfung“, die die pushTAN-Freigabe unter Zeitdruck verlangt. Fast zeitgleich kursierten Nachrichten im Namen von Volksbanken/Raiffeisenbanken: „VR-SecureGo muss sofort erneuert werden“. Beide Male mit Link auf eine gefälschte Login-Seite.
Die eine Konstante über alle diese Fälle: Keine Bank und keine Behörde fragt per E-Mail, SMS oder Telefon nach TAN, PIN oder Passwort. Wer danach fragt, ist per Definition nicht deine Bank, unabhängig davon, wie professionell die Nachricht aussieht.
Quishing: der Trick mit dem QR-Code
Bei Quishing klebt der Betrug wörtlich über der echten Information: Kriminelle überkleben QR-Codes an Parkscheinautomaten, Ladesäulen oder auf Paket-Benachrichtigungen mit eigenen Aufklebern. Ein QR-Code lässt sich mit dem Auge kaum von einem echten unterscheiden, die URL dahinter sieht man erst, wenn man schon gescannt hat.
Ein dokumentierter Fall aus Deutschland: In Kassel entdeckte die Stadtverwaltung 2026 gefälschte QR-Code-Aufkleber im Design des Anbieters EasyPark auf mehr als 300 Parkscheinautomaten. Wer damit „bezahlte“, landete auf einer Fake-Zahlungsseite statt beim echten Parkdienst.
Vor dem Scannen prüfen, ob der Aufkleber sauber ins Gerät eingelassen ist oder lose über etwas anderem klebt. Und nach dem Scannen die angezeigte Vorschau-URL lesen, bevor man drauf klickt: Smartphones zeigen sie meist an, ohne dass man wirklich öffnen muss.
Enkeltrick 2.0: wenn die Stimme wirklich echt klingt
Der klassische Enkeltrick funktioniert über eine gespielte Notlage am Telefon. Die neue Version braucht dafür nicht einmal mehr einen Schauspieler: Aus wenigen Sekunden Audiomaterial, zum Beispiel aus einem Social-Media-Video oder einer Mailbox-Nachricht, lässt sich eine Stimme mit KI täuschend echt klonen.
Wie weit das gehen kann, zeigt ein mittlerweile international bekannter Fall aus Hongkong: 2024 nahm ein Mitarbeiter des Ingenieurbüros Arup an einer Videokonferenz teil, in der scheinbar mehrere Kolleg:innen und der Finanzchef zu sehen waren. Tatsächlich waren alle bis auf ihn selbst Deepfakes. Er überwies daraufhin rund 25 Millionen US-Dollar auf Konten der Betrüger. Der Fall gilt bis heute als eines der eindrücklichsten Beispiele dafür, dass Video- und Stimmfälschung längst über einzelne Telefonanrufe hinausgeht.
Zwei Dinge, die auch 2026 noch verraten, dass eine Stimme künstlich ist: unnatürliche Pausen, wenn man eine unerwartete Zwischenfrage stellt, und ein Klang, der zu „sauber“ ist, ohne Hintergrundgeräusche wie Verkehr oder Widerhall. Der zuverlässigste Schutz bleibt aber ein vorher vereinbartes Familien-Codewort für echte Notfälle, plus der Rückruf auf einer bekannten Nummer, statt das laufende Gespräch fortzusetzen.
Fake-Trading und Krypto: der teure Klick
Professionell aussehende Websites, die „den Handel revolutionieren“ und automatisierte KI-Gewinne versprechen: Die österreichische Finanzmarktaufsicht (FMA) und die deutsche BaFin warnen 2026 verstärkt vor Fake-Trading-Plattformen und unseriösen Krypto-Anbietern. Die BaFin hat Investitionen in Kryptowerte im Februar 2026 ausdrücklich als eines ihrer „Risiken im Fokus“ für das Jahr eingestuft und gemeinsam mit den europäischen Aufsichtsbehörden EBA, EIOPA und ESMA Merkblätter dazu veröffentlicht.
Die Masche funktioniert oft in Stufen: Eine erste kleine Einzahlung wird tatsächlich mit Gewinn ausgezahlt, damit es echt wirkt. Wer daraufhin größere Summen einzahlt, erreicht plötzlich niemanden mehr, das Konto ist eingefroren, der Kontakt bricht ab.
Ein seriöser Broker steht bei der FMA (Österreich) oder BaFin (Deutschland) als konzessioniertes Unternehmen in der offiziellen Datenbank. Das lässt sich vor der ersten Einzahlung in wenigen Minuten prüfen. Wie ein seriöses erstes Depot überhaupt aussieht, erklärt der Artikel Erstes Depot eröffnen.
Die eine Regel, die fast immer reicht
- TAN, PIN und Passwort gehören nirgendwo hin außer in die eigene App. Keine Bank, keine Behörde, kein seriöses Unternehmen fragt danach per Mail, SMS oder Telefon.
- Nicht über den Link in der Nachricht gehen. Stattdessen die eigene Banking-App öffnen oder die Adresse selbst eintippen, nie den Link aus der verdächtigen Nachricht anklicken.
- Bei Druck und Frist besonders misstrauisch werden. „Dein Konto wird in 24 Stunden gesperrt“ ist fast immer das Signal, gerade nicht schnell zu handeln.
- Anbieter vor der ersten Zahlung prüfen. Bei Investment-Angeboten in der FMA- oder BaFin-Datenbank nachsehen, bei allem anderen den Firmennamen zusammen mit „Erfahrungen“ oder „Betrug“ suchen.
- Verdacht melden, auch wenn nichts passiert ist. Das hilft, dass die nächste Person gewarnt ist, bevor sie klickt.
Wo du prüfen und melden kannst
Watchlist Internet – aktuelle Betrugsmaschen nachschlagen und melden.
FMA – Warnliste unseriöser Anbieter und Broker-Datenbank.
Phishing-Radar der Verbraucherzentrale – aktuelle Wellen im Überblick.
BaFin – Warnliste unseriöser Finanzanbieter.
Das Wichtigste in Kürze
🎯 Key Points
Quellen
- Bundesamt für Sicherheit in der Informationstechnik (BSI) — Cybersicherheitsmonitor 2026
- Watchlist Internet — aktuelle Phishing- und Betrugswarnungen Österreich
- Verbraucherzentrale — Phishing-Radar Deutschland
- BaFin — Warnung vor Finanzbetrug mit KI und Kryptowerten, 12. Februar 2026
- Fortune — Bericht zum Arup-Deepfake-Betrugsfall, Hongkong 2024
Alle Inhalte und Zahlen in diesem Artikel dienen der allgemeinen Information, wurden sorgfältig recherchiert, aber ohne Gewähr auf Richtigkeit, Vollständigkeit oder Aktualität zusammengestellt — Betrugsmaschen entwickeln sich laufend weiter. Keine Rechtsberatung, siehe auch unsere finanziellen Hinweise.