Der Anruf vom falschen Bankmitarbeiter
Der falsche Bankmitarbeiter ist eine Form von Vishing, Phishing per Telefon: Der Anrufer gibt sich als Bank, Polizei oder IT-Support aus und bringt den Kunden dazu, eine TAN zu nennen oder eine Zahlung freizugeben. In Deutschland darf ein Anruf aus einem ausländischen Netz keine deutsche Nummer anzeigen, und die EU-Zahlungsregeln sehen eine Erstattung bei Bank-Imitation vor. Termine zu Betrug und Payments stehen im Kalender weiter unten.
Wie ein solcher Anruf abläuft
Das BSI beschreibt Anrufer, die sich als Polizei, Bankangestellte oder IT-Support ausgeben, Zeitdruck oder eine Drohung aufbauen und im Gespräch persönliche Daten sammeln. Im Bankfall verlangt der Anrufer eine TAN oder die Freigabe einer Anfrage in der Banking-App. Das BSI rät, mit der Bank ein Codewort zu vereinbaren.
Der Bericht 2025 von EBA und EZB zum Zahlungsbetrug (auf Englisch) zählt solche Fälle zur Manipulation des Zahlers, die 2024 74 Prozent des Werts betrügerischer Überweisungen ausmachte. Der Bericht nennt Vishing neben Phishing und Smishing als Technik dahinter und soziale Netzwerke als Quelle der persönlichen Details, die einen Anruf glaubwürdig machen.
Gefälschte Rufnummern und § 120 TKG
Oft zeigt der Anruf eine Nummer, der der Kunde vertraut. § 120 des Telekommunikationsgesetzes begrenzt diesen Trick: Eine deutsche Nummer darf als Anrufer nur angezeigt werden, wenn der Anruf aus dem deutschen öffentlichen Telefonnetz kommt. Kommt ein Anruf mit deutscher Nummer aus einem ausländischen Netz, wird die Anzeige unterdrückt. Roaming-Anrufe im Mobilfunk sind ausgenommen.
Eine Nummer im Display beweist trotzdem nicht, wer anruft. Das BSI rät, aufzulegen und die Anfrage über einen anderen Kanal zu prüfen, etwa per Anruf bei der Bank unter ihrer bekannten Nummer.
Autorisiert oder nicht: wer nach dem Anruf zahlt
Es kommt darauf an, wer die Zahlung auslöst. Erschleicht der Anrufer eine TAN und löst die Überweisung selbst aus, ist sie nicht autorisiert. Die Bank erstattet nach § 675u BGB, und der Kunde trägt den Schaden nur bei grober Fahrlässigkeit. Überweist der Kunde selbst, ist die Zahlung autorisiert, der Fall der Seite zum APP-Betrug.
Die Zahlungsdiensteverordnung PSR schließt einen Teil dieser Lücke. Laut Europäischem Parlament (auf Englisch) muss der Zahlungsdienstleister den vollen Betrag erstatten, wenn sich ein Betrüger als dessen Mitarbeiter ausgibt und der Kunde eine Zahlung freigibt, sofern der Kunde Anzeige erstattet und den Dienstleister informiert. Vor einer Euro-Überweisung zeigt zudem die Empfängerüberprüfung, ob der Name zur IBAN passt, die der Anrufer diktiert hat.
Kommende Events zu Betrug und Payments in Deutschland
Was unterscheidet Vishing, Phishing und Smishing?
Alle drei sollen Login-Daten oder eine Zahlung erbeuten, indem sich jemand als vertrauenswürdige Organisation ausgibt. Phishing meint meist E-Mail, Smishing SMS und Vishing einen Anruf. Die Seite zu Phishing bei Banken behandelt Mail und SMS.
Was tun, wenn die Bank anruft?
Das BSI rät, am Telefon keine persönlichen Daten zu nennen, aufzulegen und die Anfrage über einen anderen Kanal zu prüfen, etwa per Anruf bei der Bank unter der bekannten Nummer. Ein mit der Bank vereinbartes Codewort hilft, einen echten Anruf von einem falschen zu unterscheiden.
Vishing und Finance Loop
Finance Loop ist der Treffpunkt für Betrugs- und Payments-Teams, die Fälle von Bank-Imitation in Deutschland, Österreich und der Schweiz bearbeiten. Finance Loop kündigte die KI Exchange 2026 in Hamburg an, mit Betrugserkennung per KI im Programm.
Finance Loop ist ein Experten-Netzwerk und will neue Technologien im Finanzwesen voranbringen, wie KI, digitale Zahlungen sowie Cloud- und Blockchain-Lösungen. Finance Loop hilft seinen Mitgliedern, Fähigkeiten und persönliche Netzwerke in diesen Feldern aufzubauen: Investment & digitale Vermögenswerte, Payments & digitales Geld, Digitale Infrastruktur & Souveränität und Risk & Compliance.