Der Entwurf war schon geschrieben – es fehlte ein Klick
Fehler sind menschlich – trotz Awareness-Schulungen und Trainings. Denn auch die Angreifer werden immer besser.
Ein Fall aus meinem Umfeld, vergangene Woche. Es lag bereits eine fertige E-Mail im Postausgang. Empfänger: die Täter. Inhalt: der Code, mit dem sich das Online-Banking auf einem fremden Gerät freischalten lässt. Geschrieben, aber nicht gesendet – weil ein leises Unbehagen dazwischenkam und jemand vorher noch eine zweite Meinung wollte. Das war der gesamte Sicherheitspuffer. Kein Filter, keine Richtlinie. Nur ein Zögern.
Der Ablauf
Kein Anruf aus dem Nichts. Der Betroffene hat selbst nach Festgeldangeboten gesucht und dabei einen Finanzvermittler gefunden. Dessen Argumentation: Man arbeite mit einem namhaften Kreditinstitut zusammen und bekomme durch gebündelte Anlagevolumina bessere Konditionen als ein Privatkunde bei direkter Buchung. Nötig sei allerdings ein Referenzkonto bei dieser Bank – wie bei Tagesgeld üblich – für Ein- und Auszahlungen. Das lege man gemeinsam an, um die Weiterleitung auf das eigentliche Festgeldkonto kümmere man sich dann.
Zwei Sätze, die alles erklären: den Zins über Markt, den Umweg über einen Dritten, das zusätzliche Konto und warum das Geld zunächst auf ein Konto des Anlegers selbst geht. Und es ist keine abwegige Konstruktion – seriöse Zinsplattformen arbeiten genau so.
Dann per Mail ein Antragsformular im Briefkopf der Bank. Ausgefüllt, unterschrieben, zurückgesendet. Ein regulärer Legitimationsvorgang. Ein Bestätigungsschreiben der Bank. Eine Überweisung, bei der es sehr weh getan hätte. Und ganz zum Schluss die Bitte um den Aktivierungscode. Nur zur Freischaltung. Reine Formsache.
Warum die Standardregeln versagt haben
Misstrauen Sie unaufgeforderten Angeboten. Es gab keines. Die Suche ging vom Betroffenen aus.
Nie an Unbekannte überweisen. Eingehalten – das Empfängerkonto lautete auf den eigenen Namen.
Auf ausländische Kontoverbindungen achten. Deutsche IBAN.
Prüfen, ob die Bank echt ist. Bank echt. Konto echt. Legitimation echt. Zugangsdaten kamen tatsächlich von der Bank.
Die Täter haben kein Geld umgeleitet. Sie haben dafür gesorgt, dass ihr Opfer ein legitimes eigenes Konto eröffnet, es befüllt – und hätte ihnen anschließend den Schlüssel dazu übergeben.
Manipuliert war am Ende ein einziges Datenfeld: die im Kontoantrag hinterlegte Mobilfunknummer. Der Betroffene hatte seine eigene eingetragen. Weil das unterschriebene Formular aber über den Vermittler zur Bank ging, wurde sie unterwegs getauscht. Dies öffnete den Tätern die Tür.
Das ist der Punkt, an dem die Gefahr beginnt. Nicht die Beteiligung eines Vermittlers – die ist bei Zinsplattformen üblich und legal. Sondern dass ein unterschriebenes Dokument einen Dritten passiert und dort veränderbar ist. Was bei der Bank ankam, war nicht mehr das, was der Unterzeichner abgegeben hatte.
Gefälscht waren nur drei Dinge: der Vermittler, das Formular und die Bestätigung. Alles andere war echt und hat das Gefälschte beglaubigt. Diese Mischung ist wirksamer als jede perfekte Fälschung.
Die Kleinigkeiten
Rückblickend gab es an mehreren Stellen Abweichungen. Schweizer Schreibweisen in einem deutschen Bankschreiben. Kein Datum, keine Kunden-, keine Vorgangsnummer. Ein Fußzeilenblock, wörtlich aus dem Impressum kopiert – inklusive einer Person, deren Funktion nicht zur Unterschrift passte. Dank für die „weiterhin“ vertrauensvolle Zusammenarbeit, beim Neukunden. Konditionen, die es am Markt nicht gab.
Jede für sich hätte einen ersten Zweifel begründen können. Keine war laut genug. Wer eine Erwartung im Kopf hat, sucht nach Bestätigung, nicht nach Widersprüchen. Der Mensch will glauben – und übersieht Kleinigkeiten dann gerne.
„Gier frisst Hirn“, heißt es an dieser Stelle gern. Und ja, der Zins war das eigentliche Warnsignal – das härteste im ganzen Fall und das einzige, das schon vor dem ersten Dokument sichtbar war. Der EZB-Einlagesatz liegt aktuell (August 2026) bei 2,25 Prozent, die besten 12-Monats-Festgelder am Markt bei gut drei. Die angebotenen 4,12 Prozent lagen über allem, was seriös zu bekommen war.
Nur – schauen wir, wie wenig Gier dafür nötig war. Auf 100.000 Euro und ein Jahr sind das gut tausend Euro Unterschied. Kein Versprechen vom schnellen Geld, keine Verdopplung, keine Krypto-Fantasie. Tausend Euro.
Das ist die eigentlich unangenehme Nachricht. Der Köder muss nicht groß sein, er muss plausibel sein. Wer darauf wartet, dass ihn eine unrealistische Rendite misstrauisch macht, wartet auf ein Signal, das nie kommt – und übersieht dabei den einen Prozentpunkt, für den es keine Erklärung gibt. Außer der, die einem freundlich mitgeliefert wird.
Was bleibt
Zugangsdaten verlassen niemals die eigene Hand. Keine PIN, keine TAN, kein Aktivierungscode – an niemanden, auch nicht an die vermeintliche Bank. Verifiziert wird nur über selbst gewählte Kanäle: Rufnummer von der eigenen Karte, nie aus dem fraglichen Schreiben. Und ein eingehender Anruf beweist nichts, Rufnummern lassen sich fälschen.
Dazu eine zweite Regel. Nicht: Finger weg von Vermittlern – reguläre Zinsplattformen arbeiten mit Partnerbank und Referenzkonto genauso. Sondern: Wer ist dieser Vermittler eigentlich? Zugelassene Anbieter stehen mit ihrer Erlaubnis in den öffentlichen Registern der Aufsicht, haben ein Impressum, eine Domain mit Historie und eine Telefonnummer, die zur Registereintragung passt. Fünf Minuten Recherche vor der ersten Unterschrift kosten nichts. Und was ein Konto tatsächlich enthält, sagt einem die Bank selbst – über eine Nummer, die man sich selbst besorgt hat.
Ergebnis nach Analyse und knapp drei Stunden intensiver Zusammenarbeit: eine Kontensperre bei der Bank, eine Anzeige bei der Polizei und viel Kaffee. Ein Betrag im hohen fünfstelligen Bereich, der möglicherweise verloren gewesen wäre, konnte gerettet werden.
Awareness erzeugt Aufmerksamkeit, keine Fehlerfreiheit. Wichtiger ist eine Kultur, in der man fragen darf, bevor man auf Senden drückt. Wer einmal erlebt hat, dass so ein Anruf peinlich wird, ruft beim nächsten Mal nicht an.
Der Entwurf war schon geschrieben. Er ist nie rausgegangen. Das ist der ganze Unterschied.
Der Fall ist hier bewusst verkürzt und anonymisiert dargestellt. Einige Einzelheiten bleiben außen vor, weil Verfahren laufen und die Aufarbeitung noch nicht abgeschlossen ist – an der einen oder anderen Stelle ist bis heute nicht restlos geklärt, wie die Täter im Detail vorgegangen sind.
Sie möchten Ihre Prozesse und Notfallabläufe einmal von außen prüfen lassen? Sprechen Sie mich an.
