Phishing bei Banken und TWINT: Die Betrugsmaschen werden immer perfider

Eine Nachricht deiner Bank, eine angebliche Zahlung über TWINT oder ein Käufer auf Ricardo: Phishing beginnt heute oft in einer vollkommen alltäglichen Situation. Die Nachrichten sind professionell gestaltet, enthalten bekannte Logos und beziehen sich teilweise sogar auf eine echte Transaktion. Moderne Betrüger bauen eine glaubwürdige Geschichte auf, erzeugen Zeitdruck und bringen ihre Opfer dazu, Zugangsdaten einzugeben, einen QR-Code zu scannen oder eine Transaktion freizugeben. Dabei kann es jeden treffen. Auch vorsichtige und technisch erfahrene Personen können in einem unaufmerksamen Moment auf eine gut vorbereitete Betrugsmasche hereinfallen.

Das Wichtigste auf einen Blick

Phishing ist ein Betrugsversuch, bei dem Kriminelle an Passwörter, Kartendaten, E-Banking-Zugänge oder Sicherheitscodes gelangen möchten. Die Täter geben sich beispielsweise als Bank, TWINT, Post, Polizei, Online-Marktplatz oder Käufer aus. Die wichtigste Schutzregel lautet: Öffne dein E-Banking, TWINT oder einen Online-Marktplatz immer selbst über die offizielle App oder eine gespeicherte Adresse. Verwende keine Links oder QR-Codes aus unerwarteten Nachrichten. Besonders misstrauisch solltest du werden, wenn du angeblich sofort handeln musst, eine Zahlung bestätigen sollst oder persönliche Daten eingeben musst, um Geld zu erhalten. Hast du bereits Zugangsdaten eingegeben oder eine verdächtige Transaktion freigegeben, musst du sofort deine Bank beziehungsweise den Herausgeber deiner Zahlungsmittel kontaktieren. Danach solltest du Passwörter ändern, Beweise sichern und bei einem finanziellen Schaden Strafanzeige erstatten.

Phishing ist heute oft kaum noch am Aussehen erkennbar

Früher liessen sich viele Phishing-Nachrichten an schlechtem Deutsch, ungewöhnlichen Absenderadressen oder billig gestalteten Webseiten erkennen. Solche Warnzeichen gibt es weiterhin. Sie reichen aber nicht mehr aus. Gefälschte Nachrichten sind heute meist sprachlich korrekt und optisch professionell. Kriminelle kopieren Logos, Farben, Formulierungen und ganze Webseiten bekannter Unternehmen. Teilweise verwenden sie persönliche Angaben, die aus Datenlecks, Inseraten oder öffentlich zugänglichen Profilen stammen. Auch die Absenderadresse ist kein sicherer Beweis. Bei E-Mails, SMS und Telefonanrufen kann ein vertrauter Name oder sogar eine bekannte Telefonnummer angezeigt werden, obwohl die Nachricht nicht von diesem Absender stammt. Deshalb sollte deine Reaktion nie davon abhängen, ob eine Nachricht «echt aussieht». Entscheidend ist, zu welchen Handlungen du aufgefordert wirst.

Typische Forderungen sind:

• auf einen Link klicken

• einen QR-Code scannen

• Zugangsdaten eingeben

• einen SMS-Code weitergeben

• eine Anmeldung in der Bank-App bestätigen

• eine Fernwartungssoftware installieren

• Geld auf ein angeblich sicheres Konto überweisen

Eine Bank oder ein Zahlungsdienstleister verlangt niemals per unerwarteter E-Mail oder am Telefon, dass du Passwörter, Kartendaten oder Bestätigungscodes bekannt gibst. Solchen Aufforderungen solltest du unter keinen Umständen nachkommen. Falls du es getan hast, musst du das Konto oder die Karte umgehend sperren lassen.

So funktioniert die Ricardo- und Marketplace-Masche

Der Ablauf ist auf Ricardo, Tutti, Anibis oder Facebook Marketplace häufig ähnlich.

Ein angeblicher Käufer interessiert sich für einen Artikel. Danach versucht er, die Kommunikation auf SMS, WhatsApp oder E-Mail zu verlagern. Oft behauptet er, die Ware bereits bezahlt zu haben oder einen Kurierdienst mit der Abholung zu beauftragen.

Anschliessend erhält der Verkäufer einen Link oder QR-Code. Auf einer professionell aussehenden Seite soll er die Zahlung «bestätigen», das Konto «verifizieren» oder die Auszahlung «freischalten». In Wahrheit führt die täuschend echt aussehende Seite nicht zu Ricardo, TWINT, der Post oder einer Bank. Die eingegebenen Informationen landen bei den Betrügern. Mit den abgefangenen Login-Daten können sie sich in dein Konto einloggen und Geld überweisen oder abbuchen. Da sich die Täter meist im Ausland befinden, sind die Strafverfolgung und das Sicherstellen des Geldes meist nicht erfolgreich.

Ein realer Fall: CHF 5’000 Schaden nach einem Verkauf auf Ricardo

Wie glaubwürdig solche Angriffe wirken können, zeigt ein Fall aus unserem persönlichen Umfeld. Das Opfer wollte einen Artikel über Ricardo verkaufen. Im Zusammenhang mit der angeblichen Bezahlung über TWINT erhielt es eine E-Mail zur «Verifikation». Die Nachricht und die verlinkte Seite sahen täuschend echt aus und vermittelten den Eindruck, die Bestätigung sei notwendig, damit das Geld gutgeschrieben werden könne. Auf der gefälschten Seite wurden die TWINT-Zugangsdaten abgegriffen. Der entstandene Schaden belief sich auf CHF 5’000. Der Angriff funktionierte nicht, weil das Opfer leichtsinnig war. Er funktionierte, weil die Betrüger eine plausible Situation ausnutzten. Ein Artikel wurde verkauft, eine Zahlung wurde erwartet und die angebliche Verifikation schien Teil des normalen Ablaufs zu sein. Genau deshalb sind Kleinanzeigen-Plattformen für Phishing besonders attraktiv.

Du musst nie bezahlen, um Geld zu erhalten

Bei vielen Betrugsmaschen glaubt das Opfer eine Zahlung zu empfangen, löst aber tatsächlich selbst eine Zahlung aus. Das kann beispielsweise passieren, wenn ein angeblicher Käufer einen TWINT-QR-Code schickt. Er behauptet, der Verkäufer müsse den Code scannen, um den Kaufpreis oder eine Rückerstattung zu erhalten. Um Geld zu erhalten, musst du niemals deine vollständigen Bank-, Karten- oder TWINT-Zugangsdaten eingeben. Für eine normale TWINT-Überweisung an dich benötigt die andere Person grundsätzlich deine Mobiltelefonnummer. Ein zusätzlicher Zahlungslink oder eine Verifikation auf einer fremden Webseite ist nicht erforderlich.

Falsche TWINT-E-Mails und angebliche Kontosperrungen

Bei klassischen TWINT-Phishing-Mails behaupten die Täter beispielsweise:

• dein TWINT-Konto müsse überprüft werden

• deine persönlichen Angaben seien veraltet

• eine Zahlung sei blockiert

• es habe einen verdächtigen Anmeldeversuch gegeben

• dein Konto werde gesperrt, wenn du nicht sofort reagierst

• du müsstest neue Datenschutzbestimmungen bestätigen

Der Link führt auf eine gefälschte Webseite. Dort sollen persönliche Angaben, Kartendaten oder Zugangsinformationen eingegeben werden. TWINT weist darauf hin, dass weder TWINT noch Partnerunternehmen Kunden auffordern, Passwörter oder persönliche Informationen über einen Link zu teilen. Verdächtige E-Mails sollten nicht geöffnet beziehungsweise weiterbearbeitet werden. Die Drohung mit einer Kontosperrung ist dabei kein nebensächliches Detail. Angst und Zeitdruck sollen verhindern, dass du ruhig nachdenkst oder die Nachricht über einen zweiten Kanal überprüfst.

Betrügerische Bankanrufe: «Wir müssen eine Zahlung stoppen»

Eine besonders perfide Variante ist das Phishing per Telefon. Die anrufende Person gibt sich als Mitarbeiter deiner Bank, eines Kreditkartenunternehmens, von TWINT, der Polizei oder einer Behörde aus. Der angebliche Mitarbeiter erklärt, es sei eine verdächtige Zahlung festgestellt worden. Um dein Geld zu schützen, sollst du:

• einen Sicherheitscode bekannt geben

• eine Anmeldung in deiner Bank-App bestätigen

• eine Zahlung auf ein «Sicherheitskonto» ausführen

• eine neue App installieren

• den Zugriff auf deinen Computer erlauben

Ein echter Bankmitarbeiter braucht keinen Sicherheitscode oder Fernzugriff auf deinen privaten Computer, um eine verdächtige Zahlung zu sperren. Lege bei einem unerwarteten Sicherheitsanruf deshalb auf. Rufe deine Bank anschliessend selbst über die Nummer auf ihrer offiziellen Webseite, auf deiner Bankkarte oder in der App zurück. Schildere den Vorfall und kläre mit deiner Bank das weitere Vorgehen. Verwende nie eine Nummer, die dir die anrufende Person vorgibt.

Wenn die Betrüger deine Bestätigung missbrauchen

Eine Zwei-Faktor-Authentifizierung bietet einen wichtigen zusätzlichen Schutz. Sie verhindert aber nicht jeden Betrug. Moderne Phishing-Seiten können Daten in Echtzeit weiterleiten. Während du Benutzername und Passwort auf der gefälschten Seite eingibst, melden sich die Betrüger damit bei deiner Bank an. Danach erscheint auf deinem Smartphone eine tatsächliche Freigabeanfrage. Das Opfer glaubt möglicherweise, es bestätige seine Identität oder stoppe einen Betrugsversuch. In Wahrheit bestätigt es die Anmeldung der Täter oder eine Transaktion. Genau deshalb solltest du eine Freigabe niemals automatisch bestätigen.

Lies immer vollständig:

• Was wird bestätigt?

• Welcher Betrag wird überwiesen?

• An wen geht das Geld?

• Wird ein neues Gerät registriert?

• Hast du die Aktion selbst unmittelbar zuvor ausgelöst?

Passt auch nur ein Detail nicht, lehne die Freigabe ab und kontaktiere deine Bank. Die Sicherheitsbestätigung ist häufig der letzte Moment, in dem du den Betrug noch stoppen kannst.

Gefälschte Paket- und Post-Nachrichten

Ein Paket könne wegen einer falschen Adresse nicht zugestellt werden. Es fehle eine kleine Zollgebühr. Für eine erneute Zustellung müsse ein geringer Betrag bezahlt werden. Solche SMS und E-Mails wirken oft harmlos. Der verlangte Betrag ist oft so klein, dass das Opfer keine seriöse Prüfung vornimmt. Auf der gefälschten Seite werden jedoch Karten- und persönliche Daten abgefragt. Die Täter können anschliessend versuchen, deutlich höhere Transaktionen auszuführen oder die erfassten Informationen für weitere Angriffe zu nutzen.

Wenn du prüfen willst, ob tatsächlich ein Paket für dich unterwegs ist, kannst du die Sendungsnummer in der Post-App oder auf der offiziellen Webseite des Lieferdienstes eingeben.

QR-Code-Phishing: Der Link, den du nicht siehst

Ein QR-Code ist letztlich nur eine andere Form eines Links. Der Unterschied ist, dass du die Zieladresse vor dem Scannen nicht erkennst. Prüfe deshalb vor dem Öffnen die angezeigte Zieladresse. Scanne keinen Code, nur weil ein bekanntes Logo danebensteht. Bei einer Zahlung musst du zusätzlich Empfänger und Betrag in der App kontrollieren. Das Bild des QR-Codes sagt nicht zuverlässig, welche Transaktion tatsächlich ausgelöst wird.

Betrüger können QR-Codes:

• per E-Mail oder Messenger versenden

• auf gefälschten Rechnungen platzieren

• über bestehende Codes auf Parkautomaten oder Plakaten kleben

• für angebliche Rückerstattungen verwenden

• als Bestätigung einer Zahlung tarnen

Gefälschte Suchanzeigen und Bank-Webseiten

Phishing beginnt nicht immer mit einer Nachricht. Betrüger können auch gefälschte Bankseiten über Suchmaschinenanzeigen verbreiten. Wer den Namen seiner Bank googelt und unkritisch das erste Resultat öffnet, kann auf einer täuschend echt kopierten Login-Seite landen. Dort eingegebene Daten werden teilweise in Echtzeit für einen Anmeldeversuch bei der echten Bank verwendet. Am sichersten ist es, die E-Banking-Adresse als Lesezeichen zu speichern oder die offizielle App zu verwenden.

Die wichtigsten Warnzeichen

Ein einzelnes Warnzeichen beweist noch keinen Betrug. Treffen mehrere Punkte zusammen, solltest du die Aktion jedoch abbrechen.

Warnzeichen	Weshalb es verdächtig ist
Du sollst sofort handeln	Zeitdruck soll eine Prüfung verhindern.
Dein Konto werde gesperrt	Angst erhöht die Bereitschaft, Anweisungen zu befolgen.
Du sollst Daten eingeben, um Geld zu erhalten	Für eine Gutschrift sind keine Login- oder Kartendaten nötig.
Ein Käufer sendet einen externen Zahlungslink	Zahlungen sollten innerhalb der vorgesehenen Plattform oder App vorgenommen werden.
Du sollst einen QR-Code für eine Rückerstattung scannen	Der Code kann stattdessen eine Zahlung auslösen.
Ein Bankmitarbeiter verlangt einen Code	Sicherheitscodes und App-Freigaben sind nur für selbst ausgelöste Aktionen bestimmt.
Du sollst AnyDesk oder eine ähnliche App installieren	Damit können Täter deinen Bildschirm und Computer kontrollieren.
Die Kommunikation wird auf WhatsApp verlagert	Betrüger versuchen häufig, die Schutzmechanismen der Plattform zu umgehen.
Du sollst eine vertrauliche Aktion geheim halten	Banken und Behörden verlangen nicht, dass Vorgänge geheim hältst

So schützt du dich wirksam

Öffne Apps und Webseiten immer selbst

Verwende keine Links aus unerwarteten E-Mails, SMS oder Chatnachrichten. Öffne stattdessen die Bank-, TWINT-, Post- oder Marktplatz-App selbst. Sollte wirklich eine wichtige Mitteilung bestehen, findest du sie direkt in deinem Konto.

Bestätige nur selbst ausgelöste Aktionen

Eine echte Freigabeanfrage kann trotzdem Teil eines Betrugs sein. Bestätige sie nur, wenn du die zugrunde liegende Anmeldung oder Zahlung selbst ausgeführt hast. Kontrolliere Empfänger, Betrag und Art der Freigabe vollständig.

Gib Sicherheitscodes nie weiter

SMS-Codes, Einmalpasswörter, Wiederherstellungscodes und App-Bestätigungen sind persönliche Schlüssel. Ein Bankmitarbeiter verlangt diese niemals.

Verwende für jedes Konto ein eigenes Passwort

Wird ein Passwort bei einem anderen Dienst gestohlen, können Täter automatisiert versuchen, sich damit bei deinem E-Mail-Konto oder weiteren Plattformen anzumelden.

Ein Passwortmanager erleichtert die Verwendung unterschiedlicher Passwörter.

Aktiviere die Zwei-Faktor-Authentifizierung

Wo möglich, solltest du einen zweiten Sicherheitsfaktor aktivieren. Er erschwert die Kontoübernahme erheblich. Der zweite Faktor schützt aber nur, wenn du Freigabeanfragen sorgfältig liest.

Nutze Passkeys, wenn sie angeboten werden

Passkeys sind an die echte Webseite oder App gebunden. Eine gefälschte Phishing-Seite kann den geheimen Schlüssel deshalb nicht einfach abfangen.

Halte Geräte und Apps aktuell

Installiere Aktualisierungen für Smartphone, Computer, Browser und Apps zeitnah. Sie schliessen bekannte Sicherheitslücken.

Richte Benachrichtigungen ein

Aktiviere Push-Mitteilungen für Zahlungen, Kartenbelastungen und Anmeldungen. Je schneller du eine unberechtigte Transaktion bemerkst, desto grösser ist die Chance, dass deine Bank noch reagieren kann.

Lege Limiten bewusst fest

Prüfe die Tages- und Zahlungslimiten deiner Bank, Kreditkarte und TWINT-App. Eine tiefere Limite verhindert einen Angriff nicht, begrenzt aber den möglichen Schaden.

Was tun, wenn du auf einen Phishing-Link geklickt hast?

Ein Klick allein bedeutet nicht automatisch, dass dein Konto übernommen wurde. Entscheidend ist, was danach passiert ist.

Du hast nur die Seite geöffnet

Schliesse die Seite und lade keine Datei herunter. Gib keine Daten ein und erteile keine Berechtigungen.

Du hast ein Passwort eingegeben

Ändere das Passwort sofort über die echte App oder Webseite. Hast du dasselbe Passwort bei anderen Diensten verwendet, musst du es auch dort ändern. Beginne beim E-Mail-Konto, weil darüber häufig weitere Konten zurückgesetzt werden können. Aktiviere anschliessend die Zwei-Faktor-Authentifizierung.

Du hast Bank-, Karten- oder TWINT-Daten eingegeben

Kontaktiere sofort deine Bank, den Kartenherausgeber beziehungsweise den Support deiner TWINT-App. Warte nicht darauf, ob tatsächlich eine Belastung erscheint. Karten und Zugänge sollten vorsorglich gesperrt werden.

Du hast eine Freigabe bestätigt oder Geld überwiesen

Rufe sofort die Notfallnummer deiner Bank an. Frage ausdrücklich, ob die Zahlung gestoppt oder zurückgerufen werden kann.

Danach solltest du:

1. Zugänge und Karten sperren lassen.

2. Passwörter ändern.

3. Unbekannte Geräte entfernen.

4. den Marktplatz oder den betroffenen Dienst informieren.

5. Strafanzeige bei der Polizei erstatten.

Beweise sichern, bevor du Nachrichten löschst

Nach einem Betrug solltest du möglichst viele Informationen dokumentieren:

• vollständige E-Mail inklusive Absender

• SMS- und WhatsApp-Verlauf

• Telefonnummern und Benutzerprofile

• Link und Domain der Phishing-Seite

• Inserat und Artikelnummer

• Zahlungsbelege

• Empfängername und IBAN

• Zeitpunkte der Kontakte und Transaktionen

• Antworten der Bank oder Plattform

Nimm keinen weiteren Kontakt mit den Betrügern auf. Bezahle insbesondere keine angeblichen Gebühren, um verlorenes Geld zurückzuerhalten. Nach einem erfolgreichen Betrug werden Opfer teilweise erneut von angeblichen Ermittlern, Anwälten oder Rückholservices kontaktiert.

Erstattet die Bank den Schaden?

Ob eine Bank, ein Kartenherausgeber oder ein anderer Zahlungsdienstleister den Schaden übernimmt, lässt sich nicht pauschal beantworten.

Entscheidend können unter anderem sein:

• welche Daten weitergegeben wurden

• ob das Opfer eine Transaktion selbst bestätigt hat

• wie schnell die Sperrmeldung erfolgte

• welche Sicherheits- und Sorgfaltspflichten missachtet wurden

• ob die Bank ungewöhnliche Vorgänge hätte erkennen müssen

• wie der konkrete Angriff technisch ablief

  
  

Eine Rückerstattung ist deshalb weder automatisch ausgeschlossen noch garantiert.

Melde den Schaden unverzüglich schriftlich bei deiner Bank und verlange eine nachvollziehbare Prüfung des Ablaufs. Beschreibe genau, welche Nachricht du erhalten, welche Daten du eingegeben und welche Freigaben du gegeben hast. Lehnt die Bank eine Rückerstattung ab, solltest du zuerst den bankinternen Beschwerdeweg nutzen. Danach kann je nach Fall eine Anfrage beim Schweizerischen Bankenombudsman infrage kommen.

Wo kannst du Phishing melden?

Auch wenn kein finanzieller Schaden entstanden ist, solltest du überzeugende Phishing-Versuche melden. Dadurch können betrügerische Seiten schneller erkannt und andere Personen gewarnt werden.

Mögliche Anlaufstellen sind:

• das Online-Meldeformular des Bundesamts für Cybersicherheit

• deine Bank oder dein Kartenherausgeber

• der Herausgeber deiner TWINT-App

• die betroffene Verkaufsplattform

• die Polizei

Opfer sollten sich nicht schämen

Nach einem Betrug reagieren viele Menschen mit Scham. Sie fragen sich, wie sie auf die Nachricht hereinfallen konnten und erzählen niemandem davon. Das hilft vor allem den Tätern. Professionelle Betrugsmaschen sind gezielt darauf ausgerichtet, menschliche Reaktionen auszunutzen: Hilfsbereitschaft, Angst, Zeitdruck oder Respekt vor einer vermeintlichen Autorität. Dass eine Person getäuscht wurde, bedeutet nicht, dass sie unvorsichtig oder technisch ungebildet ist. Wichtiger ist, sofort zu handeln, Unterstützung zu holen und offen über die Masche zu sprechen. Nur so kann dazu beigetrgen werden, den Betrügern das Handwerk zu legen.

Unsere wichtigste Empfehlung

Verlasse dich nicht auf das Aussehen, die Formulierung oder die Absenderadresse eines Phishing-Mails. Diese Merkmale lassen sich immer besser fälschen. Konzentriere dich stattdessen auf den verlangten nächsten Schritt. Sobald du über einen zugesandten Link Zugangsdaten eingeben, eine App-Freigabe bestätigen, einen QR-Code scannen oder eine Software installieren sollst, brich den Vorgang umgehend ab. Öffne den betroffenen Dienst selbst und kontrolliere in Ruhe, ob wirklich eine Meldung oder Zahlung besteht. Im Zweifel rufst du deine Bank über eine selbst recherchierte Nummer an.

Fazit: Nicht nur Nachrichten prüfen, sondern Handlungen hinterfragen

Phishing bei Banken und TWINT wird gefährlicher, weil die Angriffe immer besser in reale Alltagssituationen eingebettet werden. Ein Verkäufer erwartet tatsächlich eine Zahlung. Ein Paket ist tatsächlich unterwegs. Die angezeigte Telefonnummer scheint tatsächlich zur Bank zu gehören. Genau diese glaubwürdigen Anknüpfungspunkte nutzen die Täter. Du solltest bei jeder unerwarteten Aufforderung prüfen, welche Handlung von dir verlangt wird. Niemand benötigt dein E-Banking-Passwort, damit du Geld erhältst. Kein Bankmitarbeiter braucht einen Sicherheitscode zur Verifikation. Eine Rückerstattung erfordert keine Zahlung. Und eine Bank muss deinen Computer nicht per Fernwartung übernehmen, um dein Konto zu schützen.

Sollte trotzdem etwas passieren, musst du umgehend deine Bank kontaktieren, denn es zählt jede Sekunde. Phishing kann jeden treffen. Entscheidend ist nicht, niemals einen Fehler zu machen, sondern Warnzeichen zu kennen und nach einem Fehler sofort richtig zu handeln.

---

FAQ

Was ist Phishing?

Beim Phishing geben sich Kriminelle als vertrauenswürdige Organisation oder Person aus. Ihr Ziel ist es, Passwörter, E-Banking-Zugänge, Kartendaten oder Sicherheitscodes zu stehlen oder das Opfer zur Freigabe einer Zahlung zu bewegen.

Woran erkenne ich eine Phishing-Nachricht?

Typische Warnzeichen sind Zeitdruck, angedrohte Kontosperrungen, unerwartete Links, Aufforderungen zur Eingabe persönlicher Daten und ungewöhnliche Zahlungs- oder Verifikationsschritte. Eine professionelle Gestaltung beweist nicht, dass die Nachricht echt ist.

Ruft die Bank per Telefon an?

Eine Bank kann Kunden kontaktieren. Sie wird aber nicht verlangen, dass du Passwörter oder Sicherheitscodes bekannt gibst, Geld auf ein Sicherheitskonto überweist oder einer unbekannten Person Fernzugriff auf deinen Computer gewährst. Lege im Zweifel auf und rufe die Bank selbst zurück.

Können auch vorsichtige Personen auf Phishing hereinfallen?

Ja. Moderne Angriffe sind professionell gestaltet und nutzen reale Situationen, persönliche Informationen, Zeitdruck und psychologische Manipulation. Deshalb können auch vorsichtige und technisch erfahrene Menschen getäuscht werden.