So prüfst du, ob ein Anruf oder eine SMS deiner Bank echt ist

So prüfst du, ob ein Anruf oder eine SMS deiner Bank echt ist

«Hier ist die Sicherheitsabteilung Ihrer Bank. Wir haben eine verdächtige Belastung festgestellt und müssen Ihre Identität überprüfen.» Oder per SMS: «Ihr Konto wird gesperrt. Bestätigen Sie hier Ihre Daten.» Anrufe und Nachrichten im Namen der Bank sind ein Klassiker des Telefonbetrugs, nicht weil die Täter Technikgenies wären, sondern weil sie das Drehbuch perfektioniert haben: Zeitdruck, Autorität und eine «Lösung», bei der du sofort handeln sollst, ohne nachzudenken. Das Bundesamt für Cybersicherheit (BACS) erklärt diese Maschen unter Phishing, Vishing, Smishing: Vishing ist die telefonische Variante, Smishing jene per SMS.

Die gute Nachricht: Du musst nicht in der Lage sein, einen echten Anruf in der Hitze des Moments von einem falschen zu unterscheiden. Das kann niemand, denn die angezeigte Nummer lässt sich fälschen, und die Drehbücher imitieren echte Bankmitarbeitende gut. Was du brauchst, ist eine Methode, die funktioniert, ohne dass du entscheiden musst. Hier ist sie.

Die Methode: Du legst auf, du rufst an

Sie funktioniert bei Anrufen wie bei SMS und hat drei Schritte:

1. Tu nichts innerhalb der eingehenden Nachricht. Gib keine Daten preis, tippe auf keine Links, drücke keine Tasten, installiere nichts und lies keine Codes vor, die du erhältst. Bei einem Anruf verabschiede dich höflich und leg auf. Es passiert nichts, wenn du deiner echten Bank auflegst: Sie ruft wieder an, oder du klärst es über einen anderen Kanal.
2. Öffne selbst den offiziellen Kanal. Ruf deine Bank unter der Nummer an, die auf der Rückseite deiner Karte oder auf ihrer offiziellen Website steht (die Adresse tippst du selbst ein), oder öffne die offizielle Bank-App, installiert aus dem App-Store. Nutze nie die Nummer, die dich angerufen hat, und nie den Link, den man dir geschickt hat.
3. Prüfe dort. Gab es eine verdächtige Belastung, ein gesperrtes Konto oder einen offenen Vorgang, siehst du es in deinen Kontobewegungen, oder die echten Mitarbeitenden bestätigen es dir. Steht dort nichts, war die Nachricht gefälscht.

Das ist alles. Entscheidend ist, zu verstehen, warum es funktioniert: Du wählst den Kanal, also nützt es dem Betrüger nichts, die Nummer gefälscht oder die Website der Bank kopiert zu haben. Sein Betrug lebt im Anruf oder in der SMS; sobald du dort raus bist, hat er nichts mehr in der Hand.

Dieselbe Methode gilt für angebliche Mitteilungen der Steuerverwaltung oder der AHV-Ausgleichskasse, für gefälschte Bussen-SMS und für gefälschte Paket-SMS. Einmal gelernt, hilft sie dir überall.

Was deine echte Bank nie von dir verlangen wird

Präge dir diese Liste ein, sie ist der Schnelltest, wenn du zweifelst:

• Deine PIN, dein vollständiges Passwort oder deine E-Banking-Zugangsdaten. Die echte Bank kann verlangen, dass du dich in IHRER App oder auf IHRER Website anmeldest; nie aber wird sie verlangen, dass du ihr Zugangsdaten am Telefon oder per SMS durchgibst.
• Codes, die du per SMS oder in der App erhältst. Diese Codes und Freigaben autorisieren Vorgänge. Wer sie am Telefon verlangt, will dich einen Vorgang freigeben lassen, den ER gestartet hat. Das ist die zentrale Falle fast jedes Bank-Vishings.
• Dass du eine Fernwartungs-App installierst (AnyDesk, TeamViewer und ähnliche), «um dir zu helfen». Keine Bank macht das. Es ist der Schritt, bevor dein Konto vor deinen Augen leergeräumt wird.
• Dass du eine «Test»- oder «Storno»-Überweisung machst. Überweisungen, die du selbst auslöst, lassen sich kaum rückgängig machen. Die Bank bittet dich nie, Geld am Telefon zu verschieben, um dich zu schützen.
• Dass du handelst, ohne aufzulegen. «Legen Sie nicht auf, es ist dringend, sonst wird die Belastung ausgeführt.» Zeitdruck ist das Werkzeug des Betrügers. Die echte Bank will lieber, dass du prüfst, als dass du schnell gehorchst.

Die häufigsten Varianten und ihr Drehbuch

• Die Belastung, die du nicht kennst. «Es gibt eine Belastung von CHF 800 bei einem Elektronikhändler, kennen Sie die?» Du sagst Nein, und man führt dich zum «Storno»: etwas installieren, Codes nennen, eine Überweisung machen. Das ganze Theater nach dem «Nein» ist der Betrug.
• Das per SMS gesperrte Konto. Ein Link zu einer Website, die genau wie die deiner Bank aussieht und wo du Benutzername und Passwort eingibst. Ab da handeln die Täter.
• Der falsche Mitarbeiter, der dich «schützt». Freundlich, professionell, mit deinen Grunddaten (Name, Adresse, Geburtsdatum, letzte Kartenziffern: All das kursiert in Datenlecks). Professionalität beweist nichts; nur der Kanal beweist etwas.
• Die getarnte Zahlungsfreigabe. Man bittet dich, auf dem Handy etwas zu bestätigen oder einen QR-Code zu scannen, «um deine Identität zu prüfen», und in Wahrheit gibst du eine Zahlung frei, etwa in der Bank- oder in der TWINT-App. Prüfe immer genau, was du in einer App bestätigst.

Was tun, wenn du schon Daten oder Codes preisgegeben hast

1. Ruf sofort deine Bank an (Nummer auf der Kartenrückseite) und schildere den Vorfall. Lass Karten sperren, offene Vorgänge stoppen und deine Zugangsdaten ändern.
2. Prüfe die Kontobewegungen der folgenden Tage, mit aktivierten Benachrichtigungen in der App.
3. Erstatte Strafanzeige bei der Kantonspolizei, mit Screenshots und der Nummer des Anrufers; den nächsten Posten und Online-Angebote findest du über Suisse ePolice. Den Betrugsversuch kannst du zudem dem BACS über das Meldeformular melden.
4. Melde die Nummer im Verzeichnis der Spam-Nummern, damit sie markiert bleibt.
5. Frag deine Bank, welche Möglichkeiten es je nach Zahlungsweg gibt, Geld zurückzuholen, und rechne realistisch: Je schneller du dich meldest, desto besser die Chancen.

Kurze Fragen

Beweist die Nummer auf dem Display nicht, dass es meine Bank ist? Nein. Die Nummer des Anrufers lässt sich fälschen (das nennt sich Spoofing), und Betrüger nutzen genau das mit echten Banknummern, damit eine Suche nach der Nummer seriös aussieht. In der Schweiz müssen Transitanbieter seit dem 1. Januar 2026 (Festnetznummern) bzw. dem 1. Juli 2026 (Handynummern) Anrufe aus dem Ausland kennzeichnen, die eine Schweizer Nummer anzeigen; der Anbieter der angerufenen Person kann die Nummer dann entfernen oder den Anruf sperren (BAKOM). Das erschwert Spoofing, schliesst es aber nicht aus. Deshalb gilt weiterhin: nie innerhalb des Anrufs entscheiden.

Was, wenn sie schon meinen Namen, meine Adresse und meinen Kontostand kennen? Persönliche Daten kursieren in Datenlecks, und Kontostände lassen sich vage erfinden («eine grössere Belastung»). Dass jemand etwas über dich weiss, macht ihn nicht zu deiner Bank. Wende die Methode trotzdem an.

Kann ich etwas verlangen, um den Anrufer zu prüfen? Du kannst nach dem Namen der Person und einer Fallnummer fragen ... und danach auflegen und selbst bei der Bank anrufen, um es zu prüfen. Jede «Prüfung», die ohne Auflegen stattfindet, beweist nichts.

Ist meine Bank verärgert, wenn ich auflege? Nein. Leg ohne schlechtes Gewissen auf und ruf selbst die offizielle Nummer an. Genau das wünscht sich ihre Sicherheitsabteilung von dir.

Merke dir die Regel in einem Satz: Wenn dich deine Bank kontaktiert, tu dort nichts; leg auf, öffne selbst den offiziellen Kanal und prüfe. Teile sie mit deinen Nächsten: Dieser eine Satz kann viel Geld sparen.