Vor ein paar Jahren gab es eine einfache Faustregel für betrügerische E-Mails: Wenn der Absender von einer kryptischen Adresse stammte, die Anrede fehlte und der Text vor holprigen Übersetzungsfehlern strotzte, wanderte die Nachricht ungelesen in den Papierkorb. Diese Zeit ist vorbei. Wer heute auf sein Smartphone schaut, sieht täuschend echte Mitteilungen. Große Sprachmodelle verfassen für Kriminelle fehlerfreie E-Mails im exakten Tonfall von Sparkasse, DHL oder Finanzamt, während moderne KI-Stimmengeneratoren vertraute Stimmen aus dem Familienkreis nach wenigen Sekunden Audiomaterial verblüffend präzise imitieren.
Das Ausmaß der aktuellen Welle belegen die Zahlen der Sicherheitsbehörden: Das Bundeskriminalamt registrierte im Bundeslagebild Cybercrime rund 335.000 Straftaten im Netz. Laut dem Cybersicherheitsmonitor des Bundesamts für Sicherheit in der Informationstechnik (BSI) war im vergangenen Jahr jeder zehnte Internetnutzer in Deutschland (11 Prozent) persönlich von Cyberkriminalität betroffen. Täglich entdeckt das BSI rund 280.000 neue Schadprogrammvarianten. Hier sind die fünf gefährlichsten Betrugsmaschen des Jahres 2026: woran du sie erkennst, welche Schutzregeln dich im Alltag absichern und was du im Notfall innerhalb der ersten 24 Stunden tun musst.
Masche 1: KI-Voice-Cloning am Telefon (Der Enkeltrick 2.0)
Der Schockanruf ist kein neues Phänomen, aber generative Audio-Werkzeuge haben die Masche auf eine neue Stufe gehoben. Früher gaben sich Täter am Telefon mit verstellter Stimme als Enkel oder Nichte aus und hofften auf schlechte Hörverbindungen. Heute setzen professionelle Banden auf Voice Cloning. Für ein überzeugendes KI-Stimmmodell genügen modernen Systemen drei bis zehn Sekunden sauberes Sprachmaterial. Kriminelle ziehen diese Schnipsel aus öffentlichen Social-Media-Profilen (Instagram-Reels, TikTok-Videos), YouTube-Beiträgen oder Mailbox-Ansagen.
Wie der Angriff abläuft
Das Telefon klingelt, und auf dem Display erscheint eine unbekannte Nummer oder per Call-ID-Spoofing die Nummer einer Polizeidienststelle. Am Hörer weint und fleht die vertraute Stimme des eigenen Kindes oder Enkels: Es habe einen schweren Autounfall verursacht, jemand liege im Koma, und die Polizei verlange eine Kaution, um eine sofortige Untersuchungshaft abzuwenden. Dann übernimmt ein angeblicher Polizeibeamter oder Staatsanwalt das Gespräch. Allein im Jahr 2025 erbeuteten Betrüger mit falschen Polizisten und Schockanrufen in Deutschland laut BKA-Zahlen 49,0 Millionen Euro.
So schützt du dich
- Das Familien-Codewort: Vereinbare mit Eltern, Großeltern und Kindern ein geheimes Wort, das man im Notfall abfragt. Kennt der Anrufer das Codewort nicht, legst du sofort auf.
- Die Rückruf-Regel: Beende das Gespräch sofort. Wähle die bekannte, im Telefonbuch deines Handys abgespeicherte Nummer deines Angehörigen selbst an. Niemals die Rückruftaste für die Nummer nutzen, die dich gerade angerufen hat.
Masche 2: Fake-Shops mit Impressums-Diebstahl (Brand-Jacking)
Online-Shopping-Betrug ist laut BSI das am weitesten verbreitete Internetdelikt in Deutschland. Der Fake-Shop-Finder der Verbraucherzentralen identifiziert monatlich zwischen 1.600 und 1.800 neue betrügerische Verkaufsseiten und hat im Gesamterfassungszeitraum über 72.700 Fake-Shops registriert. Früher erkannte man gefälschte Shops an fehlenden Impressen oder ausländischen Briefkastenfirmen. Heute nutzen Kriminelle Brand-Jacking: Sie kopieren die echte Firmenadresse, den Namen des Geschäftsführers und die Handelsregisternummer eines real existierenden deutschen Handwerksbetriebs oder Großhändlers und setzen diese Daten in das Impressum ihres Fake-Shops.
Wie die Falle funktioniert
Der Shop lockt über Google-Anzeigen oder soziale Medien mit begehrten Produkten (Klimageräte, Werkzeuge, Markenschuhe, Elektronik) zu Preisen, die rund 20 bis 35 Prozent unter dem Marktniveau liegen. Im Warenkorb werden scheinbar alle Zahlungsarten (PayPal, Kreditkarte, Rechnung) angezeigt. Im letzten Bestellschritt erscheint jedoch eine Fehlermeldung, und als einzige Option bleibt die Vorkasse per Banküberweisung. Nach der Überweisung bricht der Kontakt ab, Ware wird nie geliefert.
So schützt du dich
- Fake-Shop-Finder nutzen: Prüfe die Webadresse vor jedem Erstkauf im kostenlosen Tool der Verbraucherzentrale.
- Zahlungsarten-Check: Wenn ein Shop am Ende nur Vorkasse per Überweisung anbietet oder bei Zahlungsdienstleistern die Option „Geld an Freunde senden“ verlangt, kaufe dort nicht.
Masche 3: Paket-Smishing (Gefälschte SMS von DHL und Zoll)
Nahezu jeder Mensch bestellt Pakete im Internet. Kriminelle nutzen das mit automatisierten Massen-SMS (Smishing) aus. Laut Phishing-Radar der Verbraucherzentralen gehören Logistikmarken wie DHL, DPD und der Zoll zu den am häufigsten missbrauchten Namen.
Die typischen Vorwände
- „Ihr Paket liegt im Verteilerzentrum. Bitte zahlen Sie 1,99 Euro Zollgebühren unter folgendem Link.“
- „Ihre Adresse ist unvollständig. Aktualisieren Sie Ihre Daten innerhalb von 24 Stunden, sonst geht das Paket zurück.“
Wer auf den Link klickt, landet auf einer täuschend echten Kopie der Paketdienst-Website. Dort werden entweder Kreditkartendaten abgegriffen oder Android-Nutzer werden dazu verleitet, eine scheinbare Tracking-App als APK-Datei zu installieren. Diese App entpuppt sich als Schadsoftware (Infostealer), die Passwörter ausliest und unbemerkt Tausende teure SMS an Kontakte im Adressbuch verschickt.
So schützt du dich
- Paketdienste verlangen Nachzahlungen oder Adressänderungen niemals per SMS mit Zahlungslinks.
- Installiere auf Smartphones niemals Apps aus unbekannten Quellen außerhalb des offiziellen Google Play Store oder Apple App Store.
Masche 4: PushTAN-Kaperung und Banking-Sicherheitsfallen
Das Online-Banking in Deutschland gilt durch Zwei-Faktor-Authentifizierung als sicher. Kriminelle greifen deshalb nicht die Verschlüsselung an, sondern den Menschen, der die Freigabe erteilt. Nach Auswertungen von Sicherheitsforschern sind inzwischen über 80 Prozent aller Phishing-E-Mails mit generativer KI verfasst. Betrüger versenden fehlerfreie Nachrichten im Design von Sparkassen, VR-Banken, Deutscher Bank, DKB oder Neobrokern wie Trade Republic.
Der psychologische Trick
Die Mail warnt vor einer angeblichen „Sicherheitsumstellung“, einer Kontosperrung oder einer verdächtigen Abbuchung. Über einen Link gelangt das Opfer auf eine Login-Maske. Gibt man dort Kontonummer und Passwort ein, fordern die Täter im selben Moment telefonisch oder auf der Website zur Bestätigung einer PushTAN auf: „Bitte bestätigen Sie die PushTAN in Ihrer Bank-App, um den Sicherheitscheck abzuschließen.“ In Wahrheit bestätigt das Opfer keine Sicherheitsprüfung, sondern gibt eine Echtzeit-Überweisung frei oder autorisiert die Registrierung der Banking-App auf dem Smartphone des Betrügers.
So schützt du dich
- Lies den Displaytext der PushTAN-App: Eine TAN-App zeigt immer genau an, was freigegeben wird (z. B. „Freigabe Überweisung 2.450 Euro an IBAN DE...“ oder „Neues Gerät registrieren“). Wenn dort nicht steht, was du selbst gerade tust, lehne die Freigabe sofort ab.
- Banken fordern niemals telefonisch, per E-Mail oder per SMS dazu auf, eine PushTAN zur Stornierung oder Entsperrung einzugeben.
Masche 5: Kleinanzeigen-Kaufabwicklung mit gefälschtem Treuhanddienst
Wer gebrauchte Möbel, Fahrräder oder Elektronik auf Kleinanzeigen oder Vinted verkauft, gerät schnell ins Visier von Käufer-Betrügern.
Der Ablauf
Kurz nach dem Einstellen des Inserats meldet sich ein angeblicher Käufer. Er behauptet, den Artikel sofort kaufen zu wollen und den Betrag bereits über den Treuhanddienst „Sicher bezahlen“ hinterlegt zu haben. Der Verkäufer erhält eine SMS oder E-Mail mit einem Link: „Klicken Sie hier, um Ihr Geld auf Ihrer Kreditkarte gutschreiben zu lassen.“ Auf der gefälschten Website wird der Verkäufer aufgefordert, seine vollständigen Kreditkartendaten inklusive Prüfziffer (CVV) und Ablaufdatum einzugeben, angeblich um das Geld zu empfangen. Wer die Daten eingibt, empfängt kein Geld, sondern Kriminelle buchen innerhalb von Minuten Beträge vom Kartenkonto ab.
So schützt du dich
- Um Geld zu erhalten, braucht ein Verkäufer niemals seine Kreditkartennummer oder Prüfziffer anzugeben, sondern ausschließlich die normale IBAN.
- Die offizielle Kaufabwicklung von Kleinanzeigen läuft vollständig innerhalb der Plattform-App ab, niemals über externe Links per SMS oder WhatsApp.
Notfall-Fahrplan: Was du im Ernstfall tun musst
Wenn du bemerkst, dass du auf eine Betrugsmasche hereingefallen bist oder Geld abgebucht wurde, kommt es auf jede Minute an. Befolge diese vier Schritte in exakt dieser Reihenfolge:
Schritt 1: Sperr-Notruf 116 116 anrufen
Der Sperr-Notruf ist in Deutschland rund um die Uhr gebührenfrei erreichbar. Halte deine Kontonummer (IBAN) oder Kartennummer bereit. Über die 116 116 kannst du girocards, Debit- und Kreditkarten sowie deinen Online-Banking-Zugang sofort sperren lassen.
Schritt 2: Bank für SEPA-Recall kontaktieren
Wurde Geld per Banküberweisung an Betrüger gesendet, kontaktiere unverzüglich deine Hausbank und verlange einen SEPA-Recall (Überweisungsrückruf wegen Betrugs). Reale Erfolgschancen bestehen vor allem in den ersten 24 bis 48 Stunden, solange der Betrag noch auf dem Empfängerkonto liegt und von den Kriminellen noch nicht weiterüberwiesen oder am Automaten abgehoben wurde.
Schritt 3: Chargeback bei Kreditkartenzahlungen einleiten
Wurden unberechtigte Abbuchungen über deine Kreditkarte (Visa oder Mastercard) vorgenommen, hast du nach den Regularien der Kartenorganisationen in der Regel 120 Tage Zeit, um ein Chargeback-Verfahren einzuleiten. Melde die Buchung bei deinem kartenausgebenden Institut als nicht autorisiert oder nicht geliefert.
Schritt 4: Strafanzeige bei der Polizei erstatten
Erstatte Anzeige bei der Polizei. In Hessen und den meisten Bundesländern geht das rund um die Uhr online über die Onlinewache der Polizei. Sichere vorher Beweise (Screenshots von Nachrichten, E-Mail-Header, Chatverläufe, Überweisungsbelege). Die Vorgangsnummer der polizeilichen Anzeige benötigst du für deine Bank und für eventuelle Versicherungsansprüche.
Sicherheit im Netz ist kein Hexenwerk. Wer die typischen Druckmuster erkennt, das Familien-Codewort nutzt und PushTAN-Meldungen aufmerksam liest, nimmt modernen Betrügern die wichtigste Waffe: die Hektik.
Wie du deine Benutzerkonten ohne Passwörter absicherst, liest du im Wissensindex im Eintrag Was ist ein Passkey? sowie in der Checkliste: Der 30-Minuten-Datenschutz-Check.
