Eine Mail mit dem Absender „Volksbank Support-42“ droht mit der Sperrung des Online-Bankings binnen 24 Stunden. Wer auf den Button klickt, landet auf einer perfekten Kopie des Banking-Portals – und bekommt kurz darauf einen Anruf.

Seit Tagen häufen sich Beschwerden über eine E-Mail, die als Absender „Volksbank Support-42“ ausweist. Sie erreicht auch Kundinnen und Kunden mit einer t-online.de-Adresse – und zwar unabhängig davon, ob die Empfänger überhaupt ein Konto bei einer Volks- oder Raiffeisenbank haben. Genau das ist das erste Indiz für einen Betrugsversuch.

Die Verbraucherzentrale führt eine nahezu identische Variante seit dem 10. August 2026 in ihrem Phishing-Radar. Dort läuft sie unter dem Betreff „Aktualisierung Ihres Zugangs zur VR-SecureGo App erforderlich“. Die Masche ist immer dieselbe: Ein angeblich ablaufender Zugang, eine sehr kurze Frist, ein grüner Button. Nur die Absendernamen und die Nummern dahinter wechseln – mal „Support-Team“, mal „Sicherheitszentrum“, aktuell eben „Support-42“. Die durchnummerierten Varianten sollen Spamfilter austricksen, die auf bereits bekannte Absenderzeilen anspringen.

Das steht in der falschen Mail

Der Text arbeitet mit Autorität und Zeitdruck. Angeblich verlange eine neue EU-Vorgabe, dass alle Zugänge zur Banking-App „erneut bestätigt“ werden. Werde die Bestätigung versäumt, werde das Online-Banking gesperrt und müsse in einer Filiale neu beantragt werden. Dieselbe Drohkulisse – Sperrung plus Filialgang – hatten Verbraucherschützer bereits im Dezember 2025 bei einer Volksbank-Welle beschrieben.

Der Button führt nicht zur Bank, sondern auf eine Domain, die zwar seriös klingt, aber auf eine billige Endung wie .top, .icu oder .cfd ausläuft. Dort steht ein täuschend echter Nachbau der Anmeldeseite.

Nachbau der Phishing-Mail mit sieben rot markierten Warnsignalen
Nachbau der Betrugsmail: Sieben Details verraten die Fälschung – von der Absenderdomain bis zum Rechtschreibfehler im Fließtext. Die Abbildung ist ein Nachbau zu Illustrationszwecken, kein echter Screenshot.

Der gefährlichste Teil kommt per Telefon

Neu ist, dass es mit dem Klick nicht endet. Volks- und Raiffeisenbanken warnen seit Monaten vor einer Kombination aus Phishing und Anruf: Wenige Minuten nachdem jemand seine Zugangsdaten auf der gefälschten Seite eingegeben hat, meldet sich eine angebliche Mitarbeiterin des „Sicherheitsteams“. Im Display erscheint dabei oft sogar die echte Rufnummer der Bank – die Nummernanzeige lässt sich technisch fälschen.

Am Telefon wird das Opfer gebeten, „zur Verifizierung“ eine Freigabe in der Banking-App zu bestätigen. Wer das tut, registriert in Wahrheit das Smartphone der Täter als neues, vertrauenswürdiges Gerät. Ab diesem Moment brauchen die Kriminellen die Bank nicht mehr zu überlisten – sie sind legitimiert.

Merksatz: Keine Bank ruft an und bittet um eine Freigabe in der App. Keine Bank verschickt Links zur „Reaktivierung“ von Zugängen. Wer beides hört, hat es mit Betrügern zu tun.

Wer hinter den Mails steckt

Die Absender sind selten Einzeltäter. Der Massenversand läuft über kommerzielle Baukästen, die im Untergrund als „Phishing-as-a-Service“ vermietet werden: fertige Vorlagen, gehostete Login-Kopien, Support inklusive. Für die Nutzung braucht es kaum technisches Wissen – bezahlt wird im Abo.

Wie groß diese Industrie ist, zeigte eine internationale Aktion im März 2026. Europol schaltete gemeinsam mit Microsoft, Trend Micro und Proofpoint die Plattform „Tycoon 2FA“ ab, die seit 2023 über mehr als 330 Domains lief und auf ihrem Höhepunkt für einen Großteil der von Microsoft blockierten Phishing-Mails verantwortlich war. Ihr Verkaufsargument: Sie konnte Zwei-Faktor-Abfragen in Echtzeit weiterreichen und damit aushebeln. Zeitgleich ging der Datenmarktplatz „Leakbase“ mit über 142.000 registrierten Nutzern vom Netz – dort werden die E-Mail-Adressen gehandelt, die solche Wellen überhaupt erst füttern.

Der Erfolg ist allerdings selten von Dauer: Sicherheitsforscher beobachteten schon wenige Wochen nach der Abschaltung wieder Aktivität aus dem Umfeld von „Tycoon 2FA“. Und die zweite Reihe der Struktur sitzt ohnehin näher: Das Geld verlässt die Konten der Opfer meist über sogenannte Finanzagenten – oft selbst angeworbene Privatleute, die ihr Konto für eine Provision zur Verfügung stellen und sich damit strafbar machen.

Wie groß das Gesamtfeld ist, hat das Bundeskriminalamt im Mai 2026 im Bundeslagebild Cybercrime beziffert: 333.922 erfasste Fälle für 2025, davon 207.888 mit Auslandsbezug. Als eine der zentralen neuen Gefahren nennt das BKA ausdrücklich künstliche Intelligenz – unter anderem, weil sie Phishing-Mails sprachlich deutlich authentischer macht. Der Rechtschreibfehler als Erkennungsmerkmal wird also seltener.

Infografik: In fünf Schritten vom Massenversand bis zur Abbuchung
Der Ablauf: Von der Massenmail bis zur Abbuchung vergehen oft nur Minuten. Eigene Darstellung nach Angaben von Europol, BKA und Verbraucherzentrale.

Woran Sie die Mail erkennen

  • Unpersönliche Anrede: „Sehr geehrte Kundin, sehr geehrter Kunde“ statt Name und Kundennummer.
  • Zeitdruck: Fristen von 24 oder 48 Stunden, verbunden mit einer Drohung.
  • Absenderadresse: Der angezeigte Name sagt nichts. Entscheidend ist die Adresse hinter dem Namen.
  • Links statt Wege: Banken bitten nie per Mail-Link um Zugangsdaten, PIN oder TAN.
  • Sie sind gar nicht Kunde: Der sicherste Hinweis überhaupt.

Was Sie jetzt tun sollten

  1. Nicht klicken, nicht antworten. Auch nicht auf „Abmelden“-Links am Ende der Mail.
  2. Bankdaten nur über den bekannten Weg prüfen: Adresse selbst eintippen oder die offizielle App öffnen. Echte Hinweise stehen im Postfach des Online-Bankings.
  3. Mail melden: Im t-online-E-Mail-Center über die Funktion „Spam melden“ und zusätzlich weiterleiten an phishing@verbraucherzentrale.nrw. Danach löschen.
  4. Schon geklickt? Sofort das Passwort ändern – von einem anderen Gerät aus, falls möglich. Wo es geht, auch den Log-in-Namen wechseln.
  5. Daten eingegeben oder eine Freigabe bestätigt? Umgehend den Zugang über die Bank oder den zentralen Sperr-Notruf 116 116 sperren lassen, Kontobewegungen prüfen und Anzeige bei der Polizei erstatten.

Was ist Phishing?

Der Begriff setzt sich aus „Password“ und „fishing“ zusammen: Kriminelle „angeln“ nach persönlichen Daten – Namen, Adressen, Passwörtern, Geburtsdaten, Kontozugängen. Die Beute wird entweder direkt genutzt, um Konten leerzuräumen und Identitäten zu übernehmen, oder in Untergrundforen weiterverkauft. Der Weg dorthin führt fast immer über eine Nachricht, die Vertrauen und Dringlichkeit gleichzeitig erzeugt.

Wer haftet, wenn das Geld weg ist?

Grundsätzlich muss die Bank nicht autorisierte Zahlungen erstatten. Sie kann sich davon befreien, wenn sie dem Kunden grobe Fahrlässigkeit nachweist – etwa die Weitergabe einer TAN oder eine bewusst erteilte App-Freigabe. Genau darum sind die Anrufe für die Täter so wertvoll: Sie verschieben die Verantwortung. Umstritten und regelmäßig Gegenstand von Gerichtsverfahren ist, wie weit diese Pflichtverletzung reicht, wenn Opfer massiv getäuscht wurden.

Dieser Abschnitt ist eine allgemeine Einordnung und ersetzt keine Rechtsberatung. Wer betroffen ist, sollte den Fall anwaltlich prüfen lassen.

„Cyberkriminelle greifen Deutschland jeden Tag an – unsere Unternehmen, unsere Behörden und unsere Infrastruktur.“

Bundesinnenminister Alexander Dobrindt zur Vorstellung des Bundeslagebilds Cybercrime, Mai 2026

Verwendete Quellen

Verbraucherzentrale, Phishing-Radar (Stand 13.08.2026) · Verbraucherschutzforum, 13.08.2026 · Bundeskriminalamt, Bundeslagebild Cybercrime 2025 (14.05.2026) · Europol zur Zerschlagung von „Tycoon 2FA“ und „Leakbase“, März 2026 · t-online, 19.12.2025 · Warnhinweise der Volks- und Raiffeisenbanken zu SecureGo-Phishing

Kommentar schreiben