Im Oktober 2026 warnt die Verbraucherzentrale fast täglich vor neuen Phishing-Mails im Namen von Commerzbank, comdirect, DKB und PayPal. Alle wollen, dass du über einen Link etwas aktualisierst, bestätigst oder neu verbindest, meist mit Frist. Die Regel ist einfach: Nie über den Link, sondern immer selbst die App oder die bekannte Webseite öffnen. Hast du schon Daten eingegeben, sofort die Bank anrufen.
Die Mail sieht ordentlich aus. Logo, Farben, ein sachlicher Ton. Deine Bank schreibt, nach einem Sicherheitsupdate müsse die Banking-App neu verbunden werden. Innerhalb von 24 Stunden, sonst funktioniert sie nicht mehr. Ein Klick, Zugangsdaten bestätigen, fertig.
Genau so eine Mail hat die Verbraucherzentrale am 13. Oktober 2026 als Phishing gemeldet. Und sie ist nicht allein. Hier steht, was gerade unterwegs ist, woran du die Mails erkennst und was du tust, wenn du schon geklickt hast.
Was gerade im Umlauf ist
Das Phishing-Radar der Verbraucherzentrale listet allein in der ersten Oktoberhälfte 2026 mehrere Wellen, die sich stark ähneln:
- Commerzbank (13. Oktober): Betreff "Aktualisierung abzuschließen". Nach einem angeblichen Sicherheitsupdate soll die Banking-App neu verbunden werden. Erst Zugangsdaten bestätigen, dann eine "neue Verbindung" aktivieren, binnen 24 Stunden.
- comdirect (16. Oktober): Betreff "comdirect: Konto im Kundenbereich aktualisieren". Vorwand sind angeblich gestiegene Betrugsversuche, verlangt wird eine "Verifizierung" über einen Link.
- PayPal (14. Oktober): Das Konto sei angeblich dauerhaft gesperrt. Über "Konto jetzt reaktivieren" soll innerhalb von 24 Stunden eine Identitätsprüfung laufen. Der Link führt auf eine fremde Adresse.
- DKB (9. Oktober): Das Konto sei trotz Benachrichtigungen nicht aktualisiert worden. In 72 Stunden drohe eine Einschränkung.
Die Namen wechseln, das Muster bleibt. Morgen kann es deine Sparkasse oder Volksbank sein.
Woran du die Mails erkennst
Keine dieser Mails ist an sich schlecht gemacht. Die Verbraucherzentrale nennt aber immer wieder dieselben Merkmale:
- Zeitdruck. 24 Stunden, 72 Stunden, sonst Sperrung. Echte Banken setzen dir keine Frist per Mail, um dein Konto zu retten.
- Unpersönliche Anrede. "Sehr geehrter Kunde" statt deines Namens, und keine Angaben zu deinem Konto.
- Ein Link zur Dateneingabe. Das ist das deutlichste Zeichen. Zugangsdaten über einen Link aus einer Mail einzugeben ist bei Banken nicht vorgesehen.
- Technische Begriffe als Tarnung. "Sicherheitsupdate", "neue Verbindung", "Verifizierung". Das soll nach normaler Wartung klingen.
- Seltsame Absender und Linkziele. Fahr am Rechner mit der Maus über den Link, ohne zu klicken. Steht dort nicht die Adresse deiner Bank, ist die Sache klar.
Mehr zu den typischen Tricks steht im Ratgeber Phishing-Mail erkennen.
So machst du es richtig
Die Verbraucherzentrale empfiehlt, solche Mails unbeantwortet in den Spam-Ordner zu verschieben und keiner Aufforderung nachzukommen. Bist du unsicher, ob doch etwas dran ist, gibt es einen sicheren Weg:
- Mail schließen, Link nicht anklicken.
- Die Banking-App selbst öffnen oder die Webseite der Bank selbst eintippen, nicht über die Mail.
- Dort nachsehen, ob es wirklich eine Nachricht oder eine offene Aufgabe gibt. Banken nutzen dafür das Postfach im Online-Banking.
- Im Zweifel die Nummer von der Karte oder der Webseite der Bank anrufen, nie eine Nummer aus der Mail.
Merksatz: Der Weg zur Bank führt immer über die App oder die Adresse, die du selbst kennst. Nie über einen Link, der dich gefunden hat.
Am Handy besonders aufpassen
Die meisten Phishing-Mails werden heute am Handy geöffnet. Dort ist das Erkennen schwerer: Du kannst nicht mit der Maus über einen Link fahren, und die Absenderadresse ist oft hinter dem Namen versteckt.
- Absender antippen. Dann zeigt die Mail-App die echte Adresse. Ein Fantasiename oder eine fremde Domain ist ein klares Zeichen.
- Link lange gedrückt halten, statt ihn anzutippen. Viele Handys zeigen dann die Zieladresse in einer Vorschau, ohne die Seite zu öffnen.
- Nicht in der Mail-App einloggen. Öffnet sich nach einem Klick ein Anmeldefenster im Browser, schließ es. Deine Bank nutzt die eigene App.
Schon geklickt und Daten eingegeben?
Dann zählt jede Minute. Laut Verbraucherzentrale:
- Sofort die Bank kontaktieren, über die bekannte Nummer, nicht über die Mail.
- Zugangsdaten ändern und den Zugang zum Online-Banking sperren lassen.
- Kontobewegungen prüfen, auch in den nächsten Tagen noch.
- Bei unberechtigten Abbuchungen Strafanzeige erstatten.
Hast du dasselbe Passwort noch woanders benutzt, ändere es dort auch. Wie du ein gekapertes Konto wieder einfängst, steht im Ratgeber E-Mail-Konto gehackt.
Und wenn du nur geklickt, aber nichts eingegeben hast: Seite schließen, Mail löschen, ruhig bleiben. In dem Fall ist meist nichts passiert.
Was dich auf Dauer schützt
- Zwei-Faktor-Freigabe nie blind bestätigen. Kommt in deiner Banking-App eine Freigabe, die du nicht selbst angestoßen hast, lehne sie ab und ruf die Bank an.
- Ein eigenes Passwort pro Konto. Ein Passwort-Manager macht das bequem und füllt Passwörter nur auf der echten Seite aus. Auf einer gefälschten Seite bleibt das Feld leer, und das ist ein gutes Warnsignal.
- Familie mitnehmen. Eltern und Großeltern sind ein beliebtes Ziel. Zeig ihnen einmal, wie man die App direkt öffnet, statt Mails zu folgen.
Die ehrliche Grenze: Kein Filter fängt jede Phishing-Mail ab, und die Fälschungen werden besser. Was zuverlässig schützt, ist die Gewohnheit, nie über Links aus Mails zur Bank zu gehen.
Quellen
- Verbraucherzentrale: Phishing-Radar, aktuelle Warnungen
- Verbraucherschutzforum: Warnung zur Commerzbank-Masche (14.10.2026)
- Borns IT- und Windows-Blog: Phishing-Alarm PayPal, DKB und Sparkassen (11.10.2026)
Ein Anruf klärt meist in zehn Minuten, ob und wie ich helfen kann. Kostenlos und unverbindlich, ich gehe fast immer selbst ran.
