Die E-Mail bleibt das beliebteste Einfallstor für Cyberkriminelle – und Banken zählen zu ihren bevorzugten Angriffszielen. Warum das so ist, welche Sicherheitsrisiken daraus für Bankkunden entstehen und wie sich Finanzinstitute effektiv schützen können, analysieren wir in diesem Beitrag.
Warum sind Banken besonders im Visier von Phishing-Angriffen?
Phishing – der Versuch, über gefälschte Nachrichten sensible Daten wie Passwörter oder TANs zu stehlen – hat sich in den letzten Jahren drastisch professionalisiert. Besonders häufig werden Banken angegriffen, darunter vor allem bekannte Institute wie die Sparkassen, Volksbanken oder Großbanken wie Deutsche Bank und Commerzbank.
Der Hauptgrund liegt auf der Hand: Banken verwalten Geld – und wo Geld fließt, existiert immer ein Anreiz für Betrüger. Dabei geht es nicht nur um das direkte Abfangen von Zugangsdaten, sondern auch um den Aufbau langfristiger Betrugsinfrastrukturen mittels Social Engineering.
Besonders perfide ist, dass Cyberkriminelle gezielt das hohe Vertrauen der Kundschaft in ihre Bankinstrumente ausnutzen. Laut dem BSI-Lagebericht 2024 geben über 60 % der Internetnutzer*innen an, dass sie Banken und Sparkassen als vertrauenswürdige Absender einstufen – ein Einfallstor für täuschend echte Fake-Mails.
Aktuelle Zahlen: Die Bedrohung wächst weiter
Die IT-Sicherheitslage im Finanzsektor hat sich laut Bundesamt für Sicherheit in der Informationstechnik (BSI) weiter verschärft. Im Jahr 2023 wurden über 360.000 Phishing-Vorfälle mit direktem Bezug zu Banken registriert – ein Anstieg von 18 % gegenüber dem Vorjahr (Quelle: BSI-Lagebericht 2024).
Eine Studie von Proofpoint aus dem Jahr 2023 zeigt zudem, dass 75 % aller untersuchten Phishing-Kampagnen vorgeben, von Finanzinstituten zu stammen. Besonders häufig betroffen: Sparkassen und große Direktbanken wie ING oder DKB.
Typische Methoden: So funktionieren die Angriffe
Betrüger setzen auf eine Palette an Techniken, um Empfänger*innen zum Handeln zu verleiten. Die gängigsten Vorgehensweisen beinhalten:
- Gefälschte E-Mails mit dringlichem Handlungsbedarf: Zum Beispiel Mitteilungen über eine vermeintliche Konto-Sperrung oder verdächtige Zahlungen.
- Link- oder PDF-Anhänge zu manipulierten Login-Seiten: Diese kopieren das Corporate Design der Bank täuschend echt.
- Spoofing bekannter Absender-Adressen: Angreifer nutzen legitime Domains mit minimalen Abweichungen oder hacken sogar echte Mailaccounts.
Viele Phishing-Mails werden zudem mithilfe von KI-generierten Texten oder Deepfakes emotional aufgeladen, um die Opfer unter Druck zu setzen. Die Gefahr: Selbst technisch versierte Nutzer*innen klicken unter Stress auf schadhafte Inhalte.
Warum Sparkassen besonders oft im Visier stehen
Die Sparkassen-Finanzgruppe ist mit über 40 Millionen Kund*innen die größte Bankengruppe Deutschlands – ein lukratives Ziel für Cyberkriminelle. Zudem betreiben die 370 Sparkassen eigene IT-Infrastrukturen, was eine heterogene Angriffsfläche bedeutet.
Viele Angriffe nutzen regionale Logos oder personalisierte Ortsangaben („Ihre Sparkasse Hamburg“) und verstärken so die Glaubwürdigkeit der Phishing-Mail. Hinzu kommt: Da viele Kunden ihre Sparkasse als konservativ und sicher einstufen, neigen sie dazu, Mitteilungen weniger kritisch zu hinterfragen.
Ein weiteres Einfallstor sind Drittanbieter-Apps oder -Portale, die mit Sparkassen-Daten verknüpft werden. Diese können von Angreifern ausgenutzt werden, sofern keine starken Authentifizierungsmechanismen bestehen.
Ein Fallbeispiel: Im Mai 2024 wurde eine Welle von Phishing-Mails bekannt, die im Namen der „Sparkasse Westmünsterland“ gefälschte TAN-Abfragen verschickte. Innerhalb von zwei Wochen gingen über 12.000 Beschwerden ein – ein massiver Imageschaden für das Institut.
Risiken für Kundinnen und Kunden
Gelingt der Angriff, drohen den Kunden teils gravierende Folgen: Finanzielle Verluste durch Überweisungen, Identitätsdiebstahl oder Missbrauch von Kreditkarteninformationen. Besonders betroffen sind oft ältere Menschen oder weniger digital affine Personen.
Hinzu kommt ein Vertrauensverlust, der negative Auswirkungen auf das Kundenverhältnis haben kann. Untersuchungen zeigen, dass rund 41 % der Betroffenen den Wechsel zu einer anderen Bank in Erwägung ziehen, wenn sie Opfer eines Phishing-Angriffs wurden (Quelle: Bitkom-Studie 2023).
Welche Schutzmaßnahmen ergreifen Banken?
Viele Institute haben ihre Sicherheitsarchitekturen in den letzten Jahren deutlich gestärkt. Zu den gängigen Maßnahmen zählen:
- Zwei-Faktor-Authentifizierung (2FA): Etabliert bei nahezu allen Mobile- und Online-Banking-Plattformen, teilweise auch mit biometrischen Prüfungen.
- KI-gestützte Erkennungssysteme: Banken setzen Software zur Echtzeitanalyse verdächtiger Transaktionen und Login-Versuche ein.
- Awareness-Kampagnen: Regelmäßige Kundeninformationen über aktuelle Betrugsversuche und Handlungshinweise.
Jedoch gibt es weiterhin Optimierungsbedarf – etwa bei der Erkennbarkeit legitimer Bankkommunikation oder der flächendeckenden Implementierung von FIDO2-Standards.
Praktische Tipps gegen Phishing – auch für Bankkunden
IT-Sicherheit ist nicht allein Aufgabe der Banken. Auch Kund*innen können zur eigenen Sicherheit beitragen – mit diesen einfachen, aber wirksamen Maßnahmen:
- Immer direkt zur Bankseite navigieren: Tippen Sie die URL manuell ein statt Links in E-Mails zu folgen.
- Absender-Adresse genau prüfen: Misstrauen ist angebracht bei kleinen Abweichungen, z. B. „sparkasse-de.com“ statt „sparkasse.de“.
- Ungewöhnliche Aufforderungen ignorieren: Keine Bank verlangt per Mail eine TAN oder PIN-Eingabe.
Zusätzlich lohnen sich Phishing-Simulationen oder kurze IT-Schulungen – Angebote, die mittlerweile verstärkt auch von großen Banken für Privatkunden verfügbar gemacht werden.
Fazit: Sicherheit braucht Aufklärung, Technik und Wachsamkeit
Phishing-Angriffe auf Banken werden auch in den kommenden Jahren nicht abnehmen – im Gegenteil: Mit zunehmender Digitalisierung und KI-unterstützten Methoden wächst auch die Komplexität der Angriffe. Umso entscheidender ist es, dass Finanzinstitute und Kund*innen gemeinsam Verantwortung übernehmen.
Banken müssen ihre IT-Sicherheitsstrategien weiterentwickeln und transparent kommunizieren, während Verbraucher*innen für Phishing-Risiken sensibilisiert und aufgeklärt werden müssen. Es braucht einen Schulterschluss – zwischen Technik, Bildung und Vertrauen.
Wie sind Sie selbst beim Online-Banking auf Phishing-Versuche gestoßen? Haben Sie wirkungsvolle Schutzmechanismen erlebt? Diskutieren Sie mit uns in den Kommentaren – Ihre Erfahrungen zählen!
