Sicheres Online-Banking: Worauf Sie wirklich achten müssen

von

Sicheres Online-Banking hängt heute weniger an der Technik der Bank als an einem Moment: dem, in dem Sie eine Freigabe bestätigen. Die meisten Schäden entstehen nicht durch geknackte Verschlüsselung, sondern weil Kunden am Telefon oder über gefälschte Seiten dazu gebracht werden, selbst eine TAN freizugeben. Wer den Zugang sauber hält, jede Freigabe liest und bei Anrufen der „Bank“ auflegt, ist gut geschützt.

Kurz zusammengefasst

Rufen Sie Ihr Online-Banking nur über die offizielle App oder die selbst eingetippte Adresse auf, nie über Links. Lesen Sie in jeder TAN-Freigabe, was genau Sie bestätigen: Betrag, Empfänger oder die Einrichtung eines neuen Geräts. Echte Bankmitarbeiter fragen nie nach PIN oder TAN und lassen Sie nichts am Telefon freigeben, auch wenn die Nummer der Bank im Display steht. Setzen Sie ein Tageslimit, das zu Ihren üblichen Überweisungen passt. Im Ernstfall sperren Sie den Zugang über den Sperr-Notruf 116 116 oder die Sperrnummer Ihrer Bank. Wer eine Freigabe trotz klarer Warnzeichen erteilt, riskiert, den Schaden selbst zu tragen.

Wie groß ist das Risiko beim Online-Banking wirklich?

Betrug beim Online-Banking ist kein Randphänomen, aber auch nicht die häufigste Masche im Netz. In der Befragung zur Cybersicherheit 2026 von BSI und Polizeilicher Kriminalprävention nannten 13 Prozent derjenigen, die in den vorangegangenen zwölf Monaten Opfer von Cyberkriminalität geworden waren, Betrug beim Onlinebanking oder den Missbrauch von Kontodaten. Häufiger waren nur Betrug beim Onlineshopping und Fremdzugriffe auf Online-Konten.

Entscheidend ist, wie die Täter vorgehen. Die Sicherheitsverfahren der Banken sind seit der Einführung der starken Kundenauthentifizierung deutlich besser geworden: Für Überweisungen und Anmeldungen braucht es fast immer zwei unabhängige Faktoren, etwa Passwort und Smartphone. Deshalb zielen Betrüger auf den Menschen. Sie bringen Kunden dazu, den zweiten Faktor selbst zu liefern, meist am Telefon und unter Zeitdruck.

Zugang nur über die App oder die selbst getippte Adresse

Öffnen Sie Ihr Online-Banking ausschließlich über die offizielle App Ihrer Bank oder über die Adresse, die Sie selbst eintippen oder als Lesezeichen gespeichert haben. Links in E-Mails, SMS oder Messenger-Nachrichten führen bei Phishing auf täuschend echte Nachbauten der Login-Seite. Auch Suchmaschinen sind kein sicherer Weg: Betrüger schalten gelegentlich Anzeigen, die über den echten Treffern erscheinen und auf gefälschte Seiten verweisen.

Laden Sie Banking-Apps nur aus dem offiziellen App Store von Apple oder dem Google Play Store, und prüfen Sie, ob Ihre Bank als Anbieter angegeben ist. Halten Sie Betriebssystem und Apps aktuell. Die Verbraucherzentrale rät außerdem, ein eigenes, starkes Passwort nur für das Banking zu verwenden und es nirgends sonst einzusetzen.

Erscheint direkt nach einer Freigabe eine Fehlermeldung mit der Bitte, den Vorgang zu wiederholen, sollten Sie misstrauisch werden und Ihre Bank kontaktieren. Das ist ein bekanntes Muster, mit dem Täter eine zweite Freigabe für einen eigenen Auftrag erschleichen.

Welches TAN-Verfahren ist das richtige?

Moderne Verfahren wie pushTAN, photoTAN und chipTAN gelten als sicher, solange Sie die angezeigten Daten vor der Freigabe prüfen. SMS-TAN ist das schwächste der verbreiteten Verfahren, weil Kriminelle mit dem nötigen Vorwissen SMS abfangen können, worauf auch das BSI hinweist. Fragen Sie Ihre Bank, ob ein moderneres Verfahren verfügbar ist.

Verfahren So funktioniert es Stärke Schwachstelle
pushTAN / App-Freigabe Auftrag wird in einer App angezeigt und dort bestätigt Bequem, zeigt Auftragsdaten direkt an Wer ohne Lesen bestätigt, gibt fremde Aufträge frei
photoTAN App liest eine farbige Grafik vom Bildschirm und erzeugt die TAN TAN an den konkreten Auftrag gebunden Smartphone mit veralteter Software
chipTAN Separater TAN-Generator mit eingesteckter Bankkarte Gerät ohne Internetverbindung, aus der Ferne nicht angreifbar TANs, die Sie am Telefon weitergeben
smsTAN TAN kommt per SMS aufs Handy Einfach, kein Zusatzgerät SMS können abgefangen werden, Risiko bei Handydiebstahl

Wenn Ihre Bank es zulässt, ist die Trennung von Geräten ein echter Gewinn: Banking am Computer, Freigabe auf dem Smartphone. Die Verbraucherzentrale empfiehlt diese Aufteilung ausdrücklich. Wer beides auf einem Handy erledigt, sollte die Banking-App und die Freigabe-App zumindest mit unterschiedlichen Zugangsdaten schützen.

Jede Freigabe genau lesen: der wichtigste Schutz

Eine TAN-Freigabe bestätigt immer einen bestimmten Vorgang, und genau diesen Vorgang müssen Sie vor dem Tippen lesen. Bei Überweisungen zeigt die App den Betrag und die IBAN oder den Namen des Empfängers. Stimmen diese Angaben nicht mit dem überein, was Sie selbst eingegeben haben, brechen Sie ab.

Besonders gefährlich sind Freigaben, die gar keine Überweisung betreffen. Betrüger lassen sich gezielt diese Vorgänge bestätigen:

  • die Registrierung eines neuen Geräts oder einer neuen Banking-App,
  • die Hinterlegung einer Karte in Apple Pay oder Google Pay,
  • die Erhöhung des Überweisungslimits,
  • die Änderung von Telefonnummer, Adresse oder Zugangsdaten.

Mit einem eigenen registrierten Gerät können die Täter danach selbst Aufträge freigeben, ohne dass Sie noch etwas bestätigen müssen. Eine einfache Regel hilft: Bestätigen Sie nur Vorgänge, die Sie in diesem Moment selbst ausgelöst haben. Kommt eine Freigabeanfrage, mit der Sie nicht gerechnet haben, lehnen Sie ab und rufen Sie Ihre Bank über die bekannte Nummer an.

Seit dem 9. Oktober 2025 gibt es eine zusätzliche Kontrolle. Bei Überweisungen in Euro innerhalb des Europäischen Wirtschaftsraums prüft die Bank vor der Freigabe, ob der eingegebene Empfängername zur IBAN passt. Sie sehen dann eine Übereinstimmung, einen Namensvorschlag bei kleinen Abweichungen oder eine Warnung. Überweisen Sie trotz Warnung, tragen Sie das Risiko, wenn das Geld beim Falschen landet.

Die Masche mit falschen Bankmitarbeitern

Die derzeit gefährlichste Masche ist der Anruf eines angeblichen Bankmitarbeiters, der Sie zu einer Freigabe überredet. Der Ablauf ist fast immer ähnlich. Der Anrufer meldet eine verdächtige Buchung, einen Hackerangriff oder eine fremde Kartenregistrierung und bietet an, das Problem sofort zu beheben. Dafür sollen Sie „zur Bestätigung“ etwas in der App freigeben oder eine TAN durchgeben. Tatsächlich bestätigen Sie damit genau die Überweisung oder Geräteregistrierung, die Sie verhindern wollten.

Die Täter wirken glaubwürdig, weil sie oft echte Daten kennen: Ihren Namen, die Bank, manchmal Kontonummer oder Namen von Beratern. Häufig ist ein Phishing-Angriff vorausgegangen, bei dem Sie Zugangsdaten auf einer gefälschten Seite eingegeben haben.

Dazu kommt das sogenannte Call-ID-Spoofing: Die Anrufer manipulieren die angezeigte Rufnummer, sodass im Display die echte Nummer Ihrer Bank oder sogar die 116 116 erscheint. Seit Dezember 2022 gelten zwar strengere Regeln im Telekommunikationsgesetz, über die die Bundesnetzagentur wacht. Anrufe mit 110 oder 112 als Absender werden nicht mehr durchgestellt, und deutsche Festnetznummern dürfen bei Anrufen aus ausländischen Netzen nicht mehr angezeigt werden. Ganz verhindern lässt sich die Manipulation trotzdem nicht. Die Nummer im Display ist kein Beweis.

Merken Sie sich drei Sätze, die Banken und Sparkassen selbst immer wieder betonen. Ihre Bank fragt nie nach PIN oder TAN, weder per E-Mail noch am Telefon. Kein Bankmitarbeiter lässt Sie am Telefon etwas in der App freigeben. Und keine Bank bittet Sie, Geld auf ein „sicheres Konto“ zu überweisen oder eine Fernwartungs-App zu installieren.

Wenn Sie unsicher sind, legen Sie auf. Rufen Sie danach selbst bei Ihrer Bank an, und zwar über die Nummer auf Ihrer Bankkarte, Ihren Kontoauszügen oder der Website. Die Rückruftaste ist dafür ungeeignet.

Wichtig

Der Sperr-Notruf 116 116 ruft niemanden an. Er ist nur eine Nummer, die Sie selbst wählen, um Karten oder Zugänge zu sperren. Meldet sich ein Anrufer mit dieser Nummer im Display, handelt es sich laut Stiftung Warentest um Betrüger.

Limits setzen und Benachrichtigungen einschalten

Ein niedriges Tageslimit begrenzt den Schaden, falls doch einmal jemand Zugriff erhält. Bei den meisten Banken legen Sie im Online-Banking oder in der App fest, wie viel pro Tag überwiesen werden darf. Wählen Sie einen Wert, der zu Ihren üblichen Zahlungen passt. Für größere Beträge wie eine Kaution können Sie das Limit vorübergehend anheben. Bedenken Sie aber, dass auch eine Limiterhöhung eine Freigabe braucht. Im Fall, über den der Bundesgerichtshof 2025 entschieden hat, ließen sich die Täter zuerst genau diese Erhöhung bestätigen.

Nützlich sind außerdem Push-Nachrichten bei jeder Kontobewegung und jeder Kartenzahlung, die viele Banking-Apps anbieten. So bemerken Sie eine fremde Buchung sofort und nicht erst beim nächsten Kontoauszug. Schauen Sie in den Einstellungen der App außerdem gelegentlich nach, welche Geräte für Ihr Konto registriert sind, und entfernen Sie unbekannte Einträge.

Vorsicht mit öffentlichen WLANs: Die Verbraucherzentrale rät davon ab, dort ohne VPN Bankgeschäfte zu erledigen. Das mobile Datennetz Ihres Handys ist die bessere Wahl.

Wer haftet bei Betrug? Eine realistische Einordnung

Grundsätzlich muss die Bank nicht autorisierte Zahlungen erstatten, und zwar spätestens bis zum Ende des Geschäftstags nach Ihrer Meldung (§ 675u BGB). Bei leichter Fahrlässigkeit können Sie mit höchstens 50 Euro beteiligt werden (§ 675v Abs. 1 BGB). Die Bank muss dabei nachweisen, dass Sie grob fahrlässig gehandelt haben. Allein die Tatsache, dass eine korrekte TAN verwendet wurde, reicht dafür nach § 675w BGB nicht unbedingt aus.

Die Kehrseite: Wer grob fahrlässig handelt, haftet nach § 675v Abs. 3 BGB für den gesamten Schaden. Und die Gerichte legen den Maßstab bei Telefonbetrug inzwischen recht streng an. Zwei Entscheidungen zeigen, wo die Grenze verläuft:

  • BGH, Urteil vom 22. Juli 2025 (Az. XI ZR 107/24): Eine Kundin hatte einer Anruferin, die sich als Sparkassen-Mitarbeiterin ausgab, mehrere mit dem TAN-Generator erzeugte TANs durchgegeben. Die Täter erhöhten damit das Limit und überwiesen 35.555 Euro. Der Bundesgerichtshof sah grobe Fahrlässigkeit, obwohl die echte Nummer der Sparkasse im Display stand. Ausschlaggebend war unter anderem, dass zwischen dem ersten und dem zweiten Anruf ein ganzer Tag lag, in dem sie die ungewöhnlichen Umstände hätte überdenken können.
  • OLG Braunschweig (Az. 4 U 439/23): Eine Kundin hatte auf Anweisung eines falschen Bankmitarbeiters viermal per pushTAN freigegeben, angeblich um eine fremde Kreditkartenregistrierung zu löschen. Das Gericht wertete die wiederholten Freigaben trotz mehrerer Warnzeichen als schwere Sorgfaltspflichtverletzung. Die Bank musste die rund 7.900 Euro nicht erstatten.

Daraus folgt keine Pauschalregel. Gerichte prüfen jeden Einzelfall, und es gibt auch Urteile zugunsten von Kunden, etwa wenn die Täuschung besonders geschickt war oder die Freigabe nicht erkennen ließ, was bestätigt wird. Darauf sollten Sie sich aber nicht verlassen. Wer am Telefon eine Freigabe erteilt oder eine TAN weitergibt, muss damit rechnen, auf dem Schaden sitzen zu bleiben. Wurde Ihnen eine Erstattung verweigert, lohnt sich eine Beratung bei der Verbraucherzentrale oder einem Anwalt für Bankrecht.

Was tun, wenn es schon passiert ist?

Sperren Sie sofort Ihren Online-Zugang und Ihre Karten, denn jede Minute kann weitere Abbuchungen bedeuten. Gehen Sie dann in dieser Reihenfolge vor:

  1. Sperren: Rufen Sie den Sperr-Notruf 116 116 an, der rund um die Uhr erreichbar ist und neben Karten auch Online-Banking-Zugänge sperren kann, sofern Ihre Bank teilnimmt. Aus dem Ausland erreichen Sie ihn unter +49 116 116 oder +49 30 4050 4050. Alternativ nutzen Sie die Sperrnummer Ihrer Bank.
  2. Bank informieren: Melden Sie die nicht autorisierten Buchungen und verlangen Sie schriftlich die Erstattung. Fragen Sie, ob die Bank eine bereits ausgeführte Überweisung noch zurückrufen kann.
  3. Anzeige erstatten: Bei der Polizei vor Ort oder über die Onlinewache Ihres Bundeslandes. Ermittler können unter Umständen die Empfängerkonten feststellen.
  4. Beweise sichern: Notieren Sie Datum, Uhrzeit und angezeigte Rufnummer des Anrufs, machen Sie Screenshots von SMS, E-Mails und Freigaben.
  5. Zugangsdaten erneuern: Vergeben Sie nach der Entsperrung ein neues Passwort, prüfen Sie die registrierten Geräte und entfernen Sie Fernwartungs-Apps, falls Sie eine installiert haben.

Rechnen Sie in den folgenden Wochen mit weiteren Kontaktversuchen, etwa von angeblichen Ermittlern oder Anwälten, die Ihnen gegen Gebühr helfen wollen, das Geld zurückzuholen. Auch das ist eine verbreitete Folgemasche.

Häufige Fragen

Ist Online-Banking auf dem Smartphone sicher?

Ja, wenn das Gerät aktuell ist, eine Bildschirmsperre hat und Sie Apps nur aus den offiziellen Stores laden. Mehr Sicherheit bietet die Trennung, also Banking und Freigabe auf zwei verschiedenen Geräten. Melden Sie den Verlust eines Smartphones mit Banking-App sofort Ihrer Bank.

Darf meine Bank mich anrufen?

Ja, Banken rufen Kunden gelegentlich an, etwa bei auffälligen Kartenzahlungen. Sie fragen dabei aber nie nach PIN oder TAN und lassen Sie keine Freigaben erteilen. Im Zweifel legen Sie auf und rufen selbst unter der bekannten Nummer zurück.

Was bedeutet es, wenn ich eine Freigabe bekomme, die ich nicht ausgelöst habe?

Dann kennt vermutlich jemand Ihre Zugangsdaten und versucht gerade, sich anzumelden oder einen Auftrag zu erteilen. Lehnen Sie die Freigabe ab, ändern Sie Ihr Passwort und informieren Sie Ihre Bank.

Bekomme ich mein Geld zurück, wenn ich selbst überwiesen habe?

Eine Überweisung, die Sie selbst autorisiert haben, lässt sich in der Regel nicht zurückholen, auch wenn Sie getäuscht wurden. Manchmal kann die Bank sie noch stoppen, wenn Sie sehr schnell anrufen. Ansonsten bleibt die Strafanzeige, über die sich im besten Fall der Empfänger ermitteln und verklagen lässt.

Wie erkenne ich eine echte Banking-Seite?

Am sichersten ist, die Seite gar nicht erst über Links aufzurufen, sondern über ein eigenes Lesezeichen oder die App. Das Schloss-Symbol in der Adresszeile allein reicht nicht, denn auch gefälschte Seiten nutzen verschlüsselte Verbindungen.

Quellen

Weiterlesen auf Safety-IT

Das könnte dich auch interessieren