Die zehn häufigsten Phishing-Maschen 2026 — erkennen und richtig reagieren

Das Muster hinter allen Maschen

Wer die Warnungen des Phishing-Radars einige Wochen liest, erkennt: Die Absender wechseln, die Bausteine nicht. Fast jede Nachricht enthält einen Anlass (ein gesperrtes Konto, ein Paket, eine Rückerstattung), eine Frist (in den Warnungen vom 3. bis 10. September 2026 durchgehend 24 bis 48 Stunden oder „noch heute“) und eine Handlung, die nur über den Link in der Nachricht möglich sein soll. Das BSI beschreibt die Lage im Lagebericht 2025 als konstant hoch; das BKA zählte 2025 rund 335.000 Fälle von Cybercrime im engeren Sinne — bei großem Dunkelfeld.

Neu ist vor allem die Qualität. Das BKA stellt fest, dass Kriminelle KI nutzen, um Angriffe schneller, gezielter und professioneller durchzuführen. Was bleibt, sind drei Prüfungen, die keine KI fälschen kann: die vollständige Absenderadresse, das echte Linkziel und die Frage „Erwarte ich diesen Vorgang?“. Wie Sie Adressen und Links lesen, erklärt der Artikel Links richtig lesen im Detail.

1 · Die Bank: „Ihr Konto wurde eingeschränkt“

Erkennen

Die Bank-Masche ist die Dauerwelle des Jahres. Zwischen dem 3. und 10. September 2026 warnte das Phishing-Radar in vier von sechs Meldungen vor Nachrichten im Namen von Banken: „neue AGB bestätigen“, „Zwei-Faktor-Verfahren einrichten“, „TAN-App aktualisieren“, „Identität verifizieren“. Die Frist liegt bei 24 bis 48 Stunden, der Link führt auf eine nachgebaute Anmeldeseite, die Zugangsdaten und oft gleich eine TAN abfragt — mit der die Täter sofort überweisen.

So klingt es (erfundenes Beispiel)

Richtig reagieren

Nicht klicken. Öffnen Sie Ihre Banking-App oder tippen Sie die Adresse Ihrer Bank selbst ein — wenn dort keine Nachricht im Postfach liegt, war die Mail Betrug. Ihre echte Bank fragt nie per Mail, SMS oder Anruf nach PIN, TAN oder Passwort. Haben Sie bereits Daten eingegeben: sofort den Sperr-Notruf 116 116 anrufen und dann den Notfallplan abarbeiten.

2 · Die Paketdienst-SMS (Smishing)

Erkennen

Eine SMS von einer unbekannten Nummer, ein Satz, ein Link: „Ihr Paket konnte nicht zugestellt werden“, „Adresse unvollständig“, „Zollgebühr von 2,99 € fällig“. Das BKA beschreibt Phishing per SMS im Bundeslagebild als besonders auffällig. Sie funktioniert, weil fast jeder irgendein Paket erwartet — und auf dem Handy die Linkvorschau fehlt.

Die drei Stationen einer Paket-SMS:

Richtig reagieren

Tippen Sie nie auf Links in einer SMS. Erwarten Sie wirklich ein Paket, prüfen Sie den Status in der App des Paketdienstes oder über die Sendungsnummer aus der Bestellbestätigung. Dann SMS löschen.

3 · Behörde, Zoll, Finanzamt

Erkennen

Behörden genießen Vertrauen — genau deshalb missbrauchen Täter ihre Namen. Am 7. September 2026 warnte das Phishing-Radar vor Mails im Namen der Steuerverwaltung, die noch am selben Tag einen „Datenabgleich Ihrer Kontodaten“ verlangten. Weitere Varianten: eine Steuerrückerstattung „per Formular“, eine Zollgebühr, ein Bußgeld mit Zahlungslink, eine Sonderzahlung, die ein Ministerium per SMS ankündigt.

So klingt es (erfundenes Beispiel)

Richtig reagieren

Behörden fordern keinen Datenabgleich per Mail oder SMS, und Erstattungen brauchen keinen Link — sie kommen per Bescheid und werden auf das Konto überwiesen, das der Behörde längst bekannt ist. Im Zweifel rufen Sie die Behörde über die Nummer auf einem echten Schreiben an.

4 · Streaming-Abo und Online-Shop: „Zahlung fehlgeschlagen“

Erkennen

„Ihre Zahlung konnte nicht verarbeitet werden — aktualisieren Sie Ihre Zahlungsmethode innerhalb von 48 Stunden, sonst wird Ihr Abo beendet.“ Laut BSI-Lagebericht 2025 gehörten Streaming-Dienste lange zu den am häufigsten nachgeahmten Branchen, bis Anfang 2025 eine Welle im Namen großer Online-Händler sie von der Spitze verdrängte. Die Verbraucherzentrale warnte im März 2026 vor einer solchen Mail im Namen eines Musik-Streaming-Dienstes, komplett mit unpersönlicher Anrede und 48-Stunden-Frist.

Richtig reagieren

Öffnen Sie die App oder die selbst eingetippte Seite des Dienstes und sehen Sie unter „Konto“ nach. Ist dort alles in Ordnung, war die Mail Betrug. Nebeneffekt von Passwort-Managern: Sie füllen Zugangsdaten nur auf der echten Domain aus — bleibt das Feld leer, stimmt die Seite nicht.

5 · „Hallo Mama, hallo Papa“

Erkennen

Per SMS oder Messenger meldet sich angeblich Ihr Kind: Das Handy sei kaputt oder in der Waschmaschine gelandet, das hier sei die neue Nummer. Nach ein paar freundlichen Nachrichten folgt die Notlage — eine Rechnung müsse sofort bezahlt werden, das neue Gerät sei noch nicht fürs Online-Banking freigeschaltet. Die Verbraucherzentrale dokumentiert Fälle mit Überweisungen von über 20.000 Euro und merkt an, dass Meldungen 2026 seltener geworden sind (Stand 22.07.2026) — verschwunden ist die Masche nicht.

So klingt es (erfundenes Beispiel)

Richtig reagieren

Der einzige sichere Test: Rufen Sie Ihr Kind auf der alten, bekannten Nummer an. Kein Geld, bevor Sie die Stimme gehört haben. Ein Familien-Codewort, das nur Sie kennen, entschärft die Masche dauerhaft — wie Sie das mit älteren Angehörigen einrichten, steht im Abschnitt für Angehörige.

6 · Quishing: der QR-Code als Köder

Erkennen

Ein QR-Code ist ein Bild. Kein Spam-Filter und kein menschliches Auge kann lesen, wohin er führt — das BSI nennt genau das im Lagebericht 2025 als Grund, warum die Erkennung so schwer ist. Die Codes stecken in Mails („Scannen Sie zur Freischaltung“), in Briefen mit Bank-Logo und seit 2025 als professionell gedruckte Aufkleber auf Parkscheinautomaten: In mehreren deutschen Großstädten überklebten Täter die echten Bezahl-Codes, die Polizei berichtete darüber am 28. Februar 2025.

Richtig reagieren

Prüfen Sie, ob der Code Teil der Beschriftung ist oder aufgeklebt wurde. Nach dem Scannen zeigt das Handy die Adresse an — lesen Sie sie, bevor Sie sie öffnen, und vergleichen Sie die Domain mit der offiziellen. Die Park-App laden Sie direkt aus dem App-Store; QR-Codes in Mails oder Briefen zu Konto oder Zahlung scannen Sie gar nicht.

7 · Fake-Shops: das Schnäppchen, das nie kommt

Erkennen

Fake-Shops sind, so die Polizeiliche Kriminalprävention, „täuschend echt aussehende Verkaufsplattformen“ — mit gefälschtem Impressum, unrechtmäßig kopierten Gütesiegeln und einem auffällig günstigen Preis für gefragte Produkte wie Spielekonsolen oder Smartphones. Warnzeichen laut Verbraucherzentrale: nur Vorkasse als Zahlungsart, Rechtschreibfehler oder verdrehte Markennamen in der Adresse, Siegel, die beim Anklicken ins Leere führen.

Richtig reagieren

Prüfen Sie die Adresse des Shops im kostenlosen Fakeshop-Finder der Verbraucherzentrale — er zeigt eine Ampel. Bezahlen Sie, wenn überhaupt, per Rechnung oder Lastschrift, nie per Vorkasse oder Bargeld-Transferdienst. Die Polizei bringt es auf den Punkt: „Wenn Sie sich unsicher sind, kaufen Sie am besten gar nicht im gewählten Shop.“

8 · Gefälschte Rechnungen und CEO-Fraud

Erkennen

Diese Masche zielt auf Firmen, Vereine und Selbstständige. Variante eins: eine Rechnung eines echten Lieferanten mit „geänderter Bankverbindung“ — die Mail stammt aus einem gekaperten oder nachgeahmten Postfach. Variante zwei, der CEO-Fraud: Die Täter recherchieren laut Polizei vorab in Handelsregister, Website und sozialen Netzwerken, geben sich dann per Mail oder Anruf als Geschäftsführung oder Geschäftspartner aus und drängen die Buchhaltung zu einer eiligen, vertraulichen Überweisung ins Ausland — oft mit dem Vorwand einer Firmenübernahme. Die Polizei spricht von Schäden in Millionenhöhe.

So klingt es (erfundenes Beispiel)

Richtig reagieren

Feste Regeln schlagen Bauchgefühl: Jede Änderung einer Bankverbindung wird über die bekannte Telefonnummer des Lieferanten bestätigt, nie über die in der Mail. Überweisungen ab einer festgelegten Summe brauchen ein Vier-Augen-Prinzip — auch wenn „der Chef“ es eilig hat.

9 · Stellenangebote per Messenger („Task Scamming“)

Erkennen

Eine Nachricht von einer unbekannten Nummer: „Wir suchen Teilzeitkräfte, 200 bis 500 € am Tag, einfache Aufgaben von zu Hause.“ Die Polizeiliche Kriminalprävention warnte am 10. Dezember 2025 vor dieser Variante: Die Täter geben sich als Personalvermittler aus, die „Aufgaben“ bestehen aus Bewerten von Hotels oder Liken von Videos. Anfangs gibt es kleine Auszahlungen, dann heißt es, für höhere Aufgabenstufen müsse man selbst Geld — meist in Kryptowährung — einzahlen. Andere Varianten sammeln Ausweisdaten oder kapern das Messenger-Konto.

Richtig reagieren

Seriöse Arbeitgeber werben nicht unaufgefordert per Messenger, und kein Job verlangt Vorkasse. Stellen Sie in Ihrem Messenger ein, dass Fremde Sie nicht zu Gruppen hinzufügen dürfen, blockieren und melden Sie die Nummer, und schicken Sie niemals Ausweiskopien an Unbekannte.

10 · Kryptobetrug und falsche Anlageberater

Erkennen

Die Kontaktaufnahme kommt per Messenger, Anzeige oder über ein vermeintlich versehentlich falsch adressiertes „Hallo“. Bald geht es um Geldanlage: Kryptowährungen, garantierte Renditen, ein persönlicher „Berater“. Nach einer kleinen Einzahlung zeigt die Handelsplattform beeindruckende Gewinne — die Polizei stellt klar: „In der Regel findet oft gar kein Handel statt.“ Wer auszahlen will, soll erst Steuern, Gebühren oder eine „Geldwäscheprüfung“ bezahlen. Danach folgen oft „Recovery Scams“: angebliche Ermittler, die das Geld zurückholen wollen — gegen Vorkasse.

Richtig reagieren

Prüfen Sie jeden Anbieter in der Unternehmensdatenbank der BaFin; wer dort fehlt, darf in Deutschland keine Finanzdienstleistungen anbieten. Gewähren Sie nie Fernzugriff auf Ihren Rechner. Wenn Sie bereits eingezahlt haben: Zahlungen stoppen, Bank kontaktieren, Screenshots sichern, Anzeige erstatten — und keinem „Rückholdienst“ trauen.

Alle zehn Maschen auf einen Blick

Häufige Fragen