Das Computer-Notfallteam der Sparkassen-Finanzgruppe (S-CERT) warnt seit dem 22. Oktober 2026 vor gefälschten Briefen im Namen einzelner Sparkassen. Die Schreiben tragen das rote Sparkassen-Logo, sprechen die Empfänger mit Namen an und fordern unter einem Vorwand die Verifizierung des Online-Bankings. Wer einen solchen Brief erhält, soll den abgedruckten QR-Code unter keinen Umständen scannen.
Wie
So funktioniert die Masche mit den gefälschten Briefen
Laut S-CERT landen die Fälschungen derzeit vermehrt in Briefkästen einer Stadt im Westen Deutschlands. Welche Stadt betroffen ist, teilt das Notfallteam nicht mit. Im Briefkopf steht jeweils eine konkrete Sparkasse, die Täter sprechen die Empfänger persönlich an. Das Musterschreiben der Sparkassen ist auf den 18. Oktober datiert.
Der Brief behauptet, trotz „mehrfacher Hinweise und schriftlicher Mitteilungen“ liege noch keine Verifizierung der digitalen Bankzugänge vor. Ohne diese drohe die vollständige Deaktivierung des Online-Bankings. Überweisungen, Lastschriften und Gutschriften seien dann nicht mehr möglich.
Für die angebliche Verifizierung sollen Empfänger einen QR-Code mit der Smartphone-Kamera scannen. Der Code leite, so der Brief, automatisch auf eine „gesicherte Verifizierungsseite“ weiter. Tatsächlich landen Betroffene auf einer Phishing-Seite der Kriminellen. Dort verlangen die Betrüger die Zugangsdaten fürs Online-Banking, weitere persönliche Daten und sogar eine Kopie des Ausweises.
Bei Unstimmigkeiten kündigt das Schreiben zudem den Anruf eines Kundenberaters an. Erbeutete Daten könnten Kriminelle nach Angaben des S-CERT unter anderem für betrügerische Transaktionen, Anrufe im Namen der Sparkasse und zur Änderung der Stammdaten betroffener Kunden missbraucht werden.
Quishing: QR-Code-Betrug ist kein neues Phänomen
Die Masche ist nicht neu. Auch im Namen anderer Geldinstitute wie Deutsche Bank, Commerzbank und Targobank haben Betrüger bereits Briefe mit QR-Codes verschickt, berichtet die Verbraucherzentrale Hamburg. Der Betrug per QR-Code wird auch „Quishing“ genannt. Auch
So schützen sich Sparkassen-Kunden
Wer einen verdächtigen Brief im Briefkasten findet, sollte einige Regeln beachten. Das S-CERT und die Verbraucherzentrale Hamburg raten:
- QR-Code bloß nicht scannen: Auf verdächtigen Webseiten auf keinen Fall Daten eingeben.
- Nicht unter Druck setzen lassen: Die im Brief genannten Gründe und Drohungen rechtfertigen kein vorschnelles Handeln.
- Keine Telefonnummern aus dem Brief anrufen: Auch angegebene Kontaktdaten können von den Betrügern stammen.
- Sparkasse direkt kontaktieren: Die richtigen Kontaktdaten stehen auf der Webseite der Sparkasse, im Online-Banking oder auf dem Kontoauszug.
Grundsätzlich gilt: Eine Bank verlangt niemals PIN und TAN zu Kontrollzwecken, betont die Verbraucherzentrale Hamburg.
Was Betroffene tun können, die bereits Daten eingegeben haben
Wer den QR-Code bereits gescannt und Daten eingegeben hat, muss schnell handeln. Diese Schritte sind dann wichtig:
- Zugänge sperren lassen: Betroffene melden sich umgehend bei ihrer Sparkasse und lassen Online-Banking-Zugang, Sparkassen-Card und Kreditkarte sperren, rät das S-CERT.
- Strafanzeige erstatten: Phishing und der Einsatz erbeuteter Zugangsdaten sind Computerbetrug und damit strafbar, so die Verbraucherzentrale.
- Brief aufbewahren: Die Verbraucherschützer raten, Phishing-Schreiben nicht zu löschen, sondern der Bank und der Polizei zur Verfügung zu stellen. Bei Briefen dürfte das ebenso sinnvoll sein.
Scham ist dabei fehl am Platz: Wer auf Betrüger hereinfällt, ist nicht selbst schuld, sondern Opfer einer Straftat, wie die Verbraucherzentrale betont.
FAQ: Gefälschte Sparkassen-Briefe
Erkennt man einen gefälschten Sparkassen-Brief am QR-Code?
Ein QR-Code allein ist kein Beweis für eine Fälschung, aber seriöse Banken fordern keine Verifizierung per QR-Code im Brief. Wer eine Aufforderung zur „Verifizierung“ mit Deaktivierungsdrohung erhält, sollte den Brief misstrauen und die Sparkasse über die offiziellen Kontaktdaten ansprechen.
Was passiert, wenn ich den QR-Code scanne?
Der QR-Code führt auf eine Phishing-Seite der Kriminellen. Wer dort Daten eingibt, riskiert den Missbrauch für betrügerische Transaktionen, Anrufe im Namen der Sparkasse und Änderungen der Stammdaten.
Ist der Betrug strafbar?
Ja. Phishing und der Einsatz erbeuteter Zugangsdaten sind Computerbetrug und damit strafbar, wie die Verbraucherzentrale Hamburg erklärt. Betroffene können Strafanzeige erstatten.