Anruf der Bank-Sicherheitsabteilung: TAN-Betrug erkennen und abwehren

Das Telefon klingelt, im Display steht eine Schweizer Nummer, und die Stimme am anderen Ende klingt professionell: «Guten Tag, hier spricht die Sicherheitsabteilung Ihrer Bank. Wir haben eine verdächtige Transaktion auf Ihrem Konto festgestellt.» Was dann folgt, ist eines der erfolgreichsten Betrugsszenarien überhaupt – und es kostet Betroffene regelmässig viel Geld. Die Masche heisst Vishing, eine Mischung aus «Voice» und «Phishing», und sie zielt genau auf den Moment, in dem Sie aus Sorge um Ihr Geld handeln. Hier erfahren Sie, wie die Täter vorgehen und wie Sie sich schützen.

Das Drehbuch der Betrüger

Die Anrufe folgen fast immer demselben Skript. Zuerst wird Druck aufgebaut: Es habe eine verdächtige Überweisung gegeben, das Konto sei kompromittiert, gerade versuche jemand, Geld abzubuchen. Dann kommt die vermeintliche Rettung – die «Bank» könne die Transaktion noch stoppen, aber dafür müssten Sie sofort mitwirken.

Genau in diesem Moment kommen die entscheidenden Fragen: Sie werden gebeten, einen Code zu bestätigen, der gerade auf Ihr Handy geschickt wurde. Oder eine Zahl aus der Banking-App vorzulesen. Oder eine Push-Nachricht zu «bestätigen», um den angeblichen Betrugsversuch abzuwehren. In Wahrheit ist genau das die Überweisung der Betrüger: Der Code, den Sie vorlesen oder bestätigen, autorisiert eine echte Zahlung von Ihrem Konto – nur eben auf das Konto der Täter.

Besonders perfid: Viele Opfer glauben, mit der «Ablehnung» einer Transaktion zu helfen, während sie im Hintergrund eine echte Freigabe auslösen. Moderne Banking-Apps zeigen Push-Nachrichten, deren Bedeutung auf den ersten Blick nicht immer klar ist – und genau diese Unsicherheit nutzen die Täter aus.

Warum Banken niemals nach Codes fragen

Die goldene Regel lautet: Ihre Bank fragt Sie niemals am Telefon nach einem Code, einer TAN oder einem Passwort. Weder UBS noch Raiffeisen, weder Zürcher Kantonalbank noch PostFinance – keine einzige seriöse Bank in der Schweiz tut das. Freigabecodes und Push-Bestätigungen dienen ausschliesslich dazu, von Ihnen selbst ausgelöste Zahlungen zu autorisieren. Es gibt keinen Vorgang, für den ein Mitarbeiter diese Codes bräuchte.

Genauso wenig verlangen Banken am Telefon:

• Ihr komplettes E-Banking-Passwort
• Login-Namen zusammen mit dem Passwort im selben Gespräch
• Die Installation von Fernzugriff-Software auf Ihrem Gerät
• Bargeldabhebungen oder Wertübergaben an Kuriere

Wenn am Telefon nach irgendetwas davon gefragt wird, ist es Betrug – ohne Ausnahme. Auch dann, wenn der Anrufer Ihren Namen, Ihre Kontonummer oder Teile Ihrer IBAN kennt. Solche Daten stammen häufig aus Phishing-Mails, Datenlecks oder öffentlichen Quellen und erzeugen ein trügerisches Gefühl von Seriosität.

Der Rückruf-Test: So verifizieren Sie den Anrufer

Wie unterscheiden Sie einen echten Bankanruf von einem gefälschten? Der sicherste Weg ist der Rückruf über eine Nummer, die Sie selbst gefunden haben. Legen Sie auf, suchen Sie die offizielle Nummer Ihrer Bank – sie steht auf Ihrer Bankkarte, in der App oder auf der Website der Bank – und rufen Sie diese Nummer an. Fragen Sie dort nach, ob es einen echten Vorgang zu Ihrem Konto gibt.

Verlassen Sie sich dabei niemals auf die Nummer im Display. Durch sogenanntes Call-ID-Spoofing können Betrüger jede beliebige Rufnummer vortäuschen, auch echte Nummern bekannter Banken oder Filialen. Die Anzeige des Banknamens auf dem Display beweist also gar nichts.

Ein weiterer Test: Bitten Sie den Anrufer, konkrete Details zu nennen – Betrag, Datum, Empfänger der verdächtigen Transaktion. Seriöse Mitarbeiter können das. Betrüger weichen aus, machen Druck oder behaupten, diese Informationen seien «aus Sicherheitsgründen» nur telefonisch freizugeben. Jede Form von Zeitdruck ist ein Alarmsignal: Eine echte Kontosperrung läuft nicht in fünf Minuten ab.

Was Sie im Ernstfall tun

Wenn das Schlimmste passiert ist – Sie haben einen Code weitergegeben oder eine Bestätigung in der App gedrückt –, zählt jede Minute:

1. Rufen Sie sofort Ihre Bank an und lassen Sie Karten und E-Banking-Zugang sperren. Bei schneller Meldung können Zahlungen oft noch gestoppt oder zurückgebucht werden.
2. Ändern Sie Zugangsdaten für das E-Banking und alle Konten, die dasselbe Passwort verwenden.
3. Zeigen Sie den Vorfall bei der Polizei an, idealerweise mit Notizen zu Uhrzeit, Nummer und Gesprächsinhalt.
4. Melden Sie den Fall dem NCSC über report.ncsc.admin.ch, damit andere gewarnt werden.
5. Informieren Sie Ihre Angehörigen, denn dieselbe Masche wird oft in kurzer Zeit bei mehreren Personen aus demselben Umfeld versucht.

Wichtig: Lassen Sie sich von der Bank nicht abwimmeln. Bitten Sie um ein Gesprächsprotokoll und alle Transaktionsdaten – das brauchen Sie für die Anzeige und mögliche Einsprachen. Bei Streitigkeiten über eine Rückerstattung kann Ihnen die Stiftung für Konsumentenschutz weiterhelfen.

Vorsorge treffen

Wer die Masche kennt, fällt kaum noch darauf herein. Sprechen Sie mit Ihren Eltern und Grosseltern über Code-Betrug – gerade ältere Menschen sind Hauptzielgruppe dieser Anrufe. Hilfreich ist auch, Anrufe unbekannter Nummern gar nicht erst anzunehmen: Klingelt es von einer Nummer, die Sie nicht kennen, lassen Sie es klingeln. Apps wie NoCall warnen zusätzlich vor gemeldeten Betrugsnummern, bevor Sie abnehmen. Und die wichtigste Regel bleibt: Wer am Telefon nach Codes fragt, ist ein Betrüger – Punkt.