Betrug vermeiden: was du prüfst, bevor du klickst oder zahlst

Die sieben Gewohnheiten unten senken das Risiko. Sie nehmen es nicht weg. Viele Betrugsversuche haben keine Rechtschreibfehler, keinen absurden Preis und keine fehlende Angabe, und manche kommen mit deinem Namen, deiner Anschrift und einem echten letzten Kauf schon ausgefüllt an. Wenn sich eine Sache nicht prüfen lässt, ist es eine völlig gute Entscheidung, sie liegen zu lassen.

1. Gib dir Zeit, bevor du entscheidest

Wenn jemand sofort eine Zahlung, einen Klick oder eine Antwort verlangt, ist das der Moment, aus dem Gespräch herauszutreten und eine zweite Quelle zu suchen. Du schuldest dem Anrufer keine Diskussion. Du darfst auflegen, die Nachricht schließen und auf das Thema zurückkommen, wenn du woanders nachgesehen hast.

Ein echtes Problem kann auch dringend sein. Der Unterschied ist, dass ein echtes noch da ist, wenn du die App selbst öffnest, und dass niemandem Ehrlichem geschadet wird, wenn du dir zehn Minuten nimmst. Erzeugter Druck ist eines der wenigen Dinge, die fast alle Maschen gemeinsam haben. Das BSI nennt es ausdrücklich: nicht unter Zeitdruck handeln. Und die Polizeiliche Kriminalprävention beschreibt beim Schockanruf genau diesen Mechanismus, eine erfundene Notlage plus Eile, damit gar nicht erst nachgedacht wird.

2. Such den offiziellen Weg selbst

Verlass die Nachricht und nimm einen Weg, der schon deiner war: die App, die du vorher installiert hast, die Adresse, die du selbst eintippen kannst, die Nummer auf der Rückseite deiner Karte oder auf deinem Kontoauszug. Ruf keine Nummer an, die im selben Kontakt stand, der dir das Problem gebracht hat.

Das BSI gibt dieselbe Anweisung: nicht auf Links in verdächtigen E-Mails und SMS klicken und die Organisation auf einem anderen Weg erreichen, um nachzufragen. Die Polizei ergänzt die Variante für Bankgeschäfte: die Bankseite nur über ein eigenes Lesezeichen oder die selbst eingetippte Adresse aufrufen und die Kontobewegungen regelmäßig ansehen.

Wenn der andere Weg nicht antwortet

Stille auf der anderen Seite macht die Forderung nicht echt. Wenn ein Familienmitglied nicht rangeht, wartest du, oder du fragst jemand anderen, der es wissen müsste. Wenn der offizielle Kundendienst für heute geschlossen hat, ist das kein Grund, doch die Nummer oder den Link aus der Nachricht zu nehmen, weil jemand gesagt hat, die Frist laufe heute Abend ab.

Eine echte Rechnung kann ein Fälligkeitsdatum, eine Mahngebühr oder eine andere Bedingung haben, die ernst zu nehmen ist. Das siehst du auf der Rechnung, im Vertrag, in der App oder auf der offiziellen Seite nach, sobald sie erreichbar ist. Solange du nicht weißt, woher die Forderung kommt und wer das Geld bekommt, bleibt sie unbezahlt.

Richtige Daten über dich beweisen nicht, wer spricht

Dein vollständiger Name, deine Anschrift, dein Arbeitgeber, ein Kauf von letzter Woche: All das kann benutzt werden, damit eine Nachricht klingt, als käme sie von einer echten Stelle. Das BSI führt Identitätsdiebstahl über Datenlecks als eine der Methoden auf, mit denen solche Angaben in Umlauf geraten.

Mitten im Gespräch herauszufinden, woher eine Angabe stammt, funktioniert nicht, und der Versuch ist ein Umweg. Geh stattdessen zurück auf den offiziellen Weg und sieh nach, ob die beschriebene Sache dort überhaupt existiert. Dasselbe gilt für ein Foto, einen Namen und eine vertraute Art zu schreiben. Wenn eine neue Nummer um Geld bittet, ruf die alte an oder sprich mit jemandem in der Nähe, bevor du etwas schickst.

3. Lies die ganze Adresse, bevor du etwas eingibst

Eine Seite kann Farben, Fotos und Formulierungen exakt kopieren. Lies also die Adresse in der Browserzeile und nicht das Aussehen der Seite. Vertauschte Buchstaben, angehängte Wörter und unerwartete Endungen sind alle ein Grund, woanders nachzusehen als über diesen Link.

Lies eine Adresse von rechts nach innen und fang beim letzten Teil vor dem ersten einzelnen Schrägstrich an. Dieses Stück ist die tatsächliche Seite. Eine lange Adresse mit einem bekannten Firmennamen irgendwo in der Mitte ist nicht diese Firma.

Das https schützt die Verbindung, nicht deine Interessen. Es sagt, dass der Verkehr verschlüsselt ist, nicht, dass der Shop oder die Person dahinter ehrlich ist, und eine gefälschte Seite kann es genauso haben. Das BSI schreibt das ausdrücklich zu Fake-Shops. In gefälschte Website erkennen steht, wie du die Domain vom Rest der Adresse trennst, und ist dieser Link sicher zeigt, was du tust, bevor du einen öffnest.

Kurzlinks, Knöpfe und QR-Codes verstecken ihr Ziel, bis du sie öffnest. Wenn eine Nachricht von einer Bank, einer Lieferung, einer Leistung oder einer Rechnung handelt, ist es schlicht schneller, den Link liegen zu lassen und den Dienst selbst zu öffnen, als ihn zu entschlüsseln.

4. Sieh nach, wer das Geld bekommt, bevor du freigibst

Jedes Bezahlfenster zeigt dir etwas über das Ziel: einen Namen, eine Firma, eine IBAN. Lies das, bevor du bestätigst. Wenn es nicht zu der Person oder der Firma aus der erzählten Geschichte passt, schick die Zahlung nicht ab.

Seit dem 9. Oktober 2025 müssen alle Kreditinstitute bei Überweisungen eine Empfängerüberprüfung durchführen: Sie gleichen ab, ob der Name, den du eingibst, zum Konto hinter der IBAN passt. Bei einer Abweichung warnt dich die Bank, und du kannst abbrechen, die Daten korrigieren oder trotzdem freigeben. Gibst du frei, geht das Geld an die IBAN, die du eingetragen hast, und die BaFin schreibt, dass die Bank dann nicht dafür einsteht. Behandle die Warnung als Grund zu stoppen, nicht als Versicherung.

Pass die Zahlungsart an das Risiko an. Die Unterschiede stehen in Wissenswertes zu Überweisungen und Lastschriften der BaFin:

• Lastschrift: Einer autorisierten SEPA-Basislastschrift kannst du bis zu acht Wochen nach der Buchung widersprechen. Wurde ohne dein Mandat abgebucht, muss die Bank dir den Betrag spätestens einen Tag nach deiner Meldung erstatten, und du hast dafür 13 Monate ab dem Buchungstag.
• Überweisung und Echtzeitüberweisung: Ein Auftrag, den du selbst freigegeben hast, kann nach Eingang bei der Bank grundsätzlich nicht mehr widerrufen werden. Die Bank kann eine Rückholung versuchen. Versprechen kann sie dir nichts, und wer dir etwas anderes erzählt, verspricht etwas, das er nicht halten kann.
• Kauf auf Rechnung: Du zahlst erst, wenn die Ware da ist. Das BSI nennt es als eine der Zahlungsarten, die ein seriöser Shop anbieten sollte.

Auch wenn der Name richtig aussieht, muss die Forderung noch bestätigt werden. Ein Konto kann jemandem gehören, den man für das Ganze angeworben hat, und eine Geschichte kann sich eine echte Person aus deinem Umfeld borgen. Erreich die Person, die um Geld gebeten hat, auf einer Nummer, die du schon hattest, oder das Unternehmen über seinen eigenen Kanal.

Bei einer Rechnung vergleichst du den Empfänger mit dem, der eigentlich bezahlt werden müsste. Lass dir nicht erklären, dass das Geld an eine Partnerfirma oder auf ein Konto der Buchhaltung gehen muss, ohne dass du diese Verbindung beim Unternehmen selbst bestätigen lässt. Geänderte Kontodaten mitten in einem laufenden E-Mail-Verlauf sind ein bekanntes Muster.

5. Sei vorsichtig bei einer kleinen Gebühr, mit der du nicht gerechnet hast

Eine Zustellgebühr, eine Freigabegebühr, eine Anmeldegebühr, eine kleine offene Maut. Der Betrag ist mit Absicht niedrig. Bei ein paar Euro fühlt sich Nachsehen wie Übertreibung an, und die Seite, die kassiert, will dann meistens die vollständige Kartennummer oder führt später zu einer viel größeren Zahlung.

Wenn du diese Gebühr nicht erwartet hast, sieh in der App oder auf der Seite des Shops, der Behörde oder des Paketdienstes nach, selbst eingetippt. Die Bundesnetzagentur rät bei solchen SMS zum selben Vorgehen: prüfen, ob die Adresse im Link zur offiziellen Seite passt, und keine persönlichen Daten über einen Link aus einer SMS eingeben. Dort kannst du die Nachricht auch melden.

Die erfundene Zustellgebühr ist eine der meistwiederholten Geschichten überhaupt, zusammen mit der gefälschten Bankwarnung und der Verwandten mit der neuen Nummer. Alle drei stehen in die häufigsten Online-Betrugsmaschen.

6. Wenn jemand einen Code, ein Passwort oder eine Installation will, beende den Kontakt

Sag in einem Anruf oder Chat, den jemand anderes begonnen hat, kein Passwort, keinen Einmalcode, keinen Wiederherstellungsschlüssel und keine Sicherheitsantwort an. Installier keine App, keine Erweiterung und kein Programm, weil ein Anrufer sagt, das sei nötig, um etwas zu reparieren. Das BSI formuliert es kurz: keine persönlichen Daten am Telefon herausgeben.

Falscher Kundendienst bittet um Bildschirmfreigabe oder Fernzugriff, um zu helfen. Sobald diese Software läuft, kann die andere Person das Gerät bedienen und sehen, was darauf ist. Öffne den Dienst über einen Weg, den du selbst gefunden hast, und sieh nach, ob es die Anfrage überhaupt gibt.

Ein Einmalcode ist so viel wert wie ein Passwort, weil er eine Anmeldung oder eine Kontoänderung abschließt. Wenn ein Code ankommt, obwohl du dich gar nicht anmelden wolltest, versucht möglicherweise jemand, in das Konto zu kommen, was nicht heißt, dass es geklappt hat. Gib ihn nicht weiter und sieh dir die Sicherheitseinstellungen dieses Kontos an.

Wenn der Code für deine Rufnummer war und nicht für ein Konto, fängt vielleicht ein anderes Problem an. Ein plötzlicher Ausfall deines Mobilfunks, ohne dass du etwas geändert hast, ist ein Grund, sofort deinen Anbieter anzurufen.

7. Schütze das Konto, bevor dich jemand kontaktiert

Manche Schutzmaßnahmen wirken, bevor überhaupt eine Nachricht ankommt, und die meisten stellst du einmal ein.

• Zwei-Faktor-Authentisierung bei E-Mail, Banking, sozialen Netzwerken und Messengern. Damit reicht ein gestohlenes Passwort allein nicht. Das BSI rät, sie einzuschalten, sobald ein Dienst sie anbietet, weil viele Dienste sie zwar haben, aber ab Werk ausgeschaltet lassen. Es rät ausdrücklich davon ab, sie wieder abzuschalten, und empfiehlt, mehrere zweite Faktoren zu hinterlegen, falls das Handy kaputtgeht.
• Ein eigenes Passwort für jeden Dienst. Wenn ein Passwort mehrere Konten öffnet, öffnet ein einziges Datenleck alle. Das BSI empfiehlt einen Passwortmanager und nennt zwei Wege zu einem guten Passwort: kurz und komplex, also 8 bis 12 Zeichen aus vier Zeichenarten, oder lang und einfach, also 20 bis 25 Zeichen aus zwei Zeichenarten, zum Beispiel eine Folge von Wörtern.
• Benachrichtigungen für Buchungen einschalten in der Banking- und Karten-App, damit dich eine fremde Zahlung am selben Tag erreicht und nicht erst am Monatsende.
• Limits einstellen, die zu deinen echten Ausgaben passen, wo deine Bank das erlaubt. Viele lassen dich ein Tages- oder Überweisungslimit setzen. Sieh nach, was deine App anbietet, statt es anzunehmen.
• Updates einspielen. Das BSI zählt das Einspielen von Sicherheitsupdates und einen aktuellen Virenschutz zu den Grundlagen und sagt im selben Atemzug, dass es einen hundertprozentigen Schutz vor Angriffen nicht gibt.

Warum keine Liste alles erwischt

Nicht jede Masche benutzt Eile, schlechte Grammatik, einen Link oder einen unmöglichen Preis. Es gibt keine Anzahl von Warnzeichen, die beweist, dass eine Nachricht gefälscht ist. Manche echten Kontakte wirken seltsam, und ein gut gebauter Betrug kann sich völlig gewöhnlich anfühlen. Das BSI schreibt es in einem Satz: einen hundertprozentigen Schutz gibt es nicht.

Behandle also jedes Signal als Grund, eine unabhängige Bestätigung zu suchen, und nicht als Urteil. Ein Preis weit unter dem üblichen, die Bitte um Verschwiegenheit, eine Zahlung an einen Dritten, eine Firma, die außerhalb ihrer eigenen Anzeige nirgends auftaucht: Jedes davon erhöht den Wert des Nachsehens, und jedes muss zusammen mit dem Rest der Situation gelesen werden.

Wenn du die häufigsten Online-Betrugsmaschen kennst, erkennst du die Form schneller. Der Schutz kommt trotzdem daraus, dass du aus der erzählten Geschichte heraustrittst und woanders nachsiehst.

Wenn du schon geklickt, Daten gegeben oder gezahlt hast

Was zu tun ist, hängt davon ab, was passiert ist. Schließ die Seite und beende den Kontakt. Sichere die Nachricht, die Nummer, die Adresse der Seite und jeden Beleg. Lösch nicht alles, bevor du aufgeschrieben hast, wonach Bank, Plattform oder Polizei fragen werden.

1. In der ersten Stunde: ruf deine Bank an, wenn Geld oder Kartendaten im Spiel waren. Nutz die Nummer auf deiner Karte, sag klar, dass es Betrug war, frag, ob die Zahlung noch gestoppt werden kann, und lass die Karte sperren und neu ausstellen. War es eine Lastschrift, widersprich ihr; dafür hast du bis zu acht Wochen, und bei einer Abbuchung ohne dein Mandat 13 Monate.
2. Hast du ein Passwort herausgegeben, änder es von einem Gerät aus, dem du traust, und überall dort, wo du dasselbe Passwort noch einmal benutzt hast.
3. Hast du etwas installiert oder Zugriff auf das Gerät erlaubt, trenn es vom Internet und lass es ansehen, bevor du dich von dort wieder in Konten einloggst.
4. Hast du den Zugang zu einem Konto verloren, nutz nur den Wiederherstellungsweg des Dienstes selbst und warne die Kontakte, die jetzt Anfragen in deinem Namen bekommen könnten.
5. Sind persönliche Daten abgeflossen, gibt es in Deutschland keine einzelne Stelle, die das für dich aufräumt, und wir erfinden dafür keine. Was hilft, ist die Reihenfolge: betroffene Konten sichern, die Bank informieren, Buchungen beobachten, Anzeige erstatten und den Nachweis darüber aufheben, weil Unternehmen ihn oft sehen wollen.

Danach erstattest du Anzeige, bei einer Polizeidienststelle oder online über die Onlinewache der Polizei deines Bundeslandes. Das ist auch deshalb sinnvoll, weil Banken und Versicherungen oft danach fragen. Nichts davon garantiert, dass das Geld zurückkommt.

Wenn dich jemand bedroht oder du in Gefahr bist, ruf die 110 an. Für den medizinischen Notfall gilt die 112. Geht es um Streit mit einem Unternehmen statt um eine Straftat, wendest du dich zuerst schriftlich an das Unternehmen und danach an die BaFin, die sagt, was sie kann und was nicht: Sie holt eine Stellungnahme ein, entscheidet deinen Einzelfall aber nicht und verweist dafür auf Ombudsleute, Schlichtungsstellen und Gerichte. Ihr Verbrauchertelefon 0800 2 100 500 ist kostenlos. Die Verbraucherzentrale deines Bundeslandes berät ebenfalls zu Verträgen und Zahlungen.

Quellen, die wir geöffnet haben

Die Empfehlungen in diesem Artikel wurden am 22. September 2026 auf diesen Seiten geprüft:

• BSI: Passwortdiebstahl durch Phishing
• BSI: Methoden der Cyber-Kriminalität
• BSI: Zwei-Faktor-Authentisierung und Sichere Passwörter erstellen
• BSI: Woran erkenne ich sichere Onlineshops?
• Polizeiliche Kriminalprävention: Schockanruf und Phishing nicht ins Netz gehen
• Polizei: Onlinewachen der Polizeien in Deutschland
• Bundesnetzagentur: SMS Spam
• BaFin: Wissenswertes zu Überweisungen und Lastschriften und Empfängerüberprüfung bei Überweisungen
• BaFin: Bei der BaFin beschweren

Das Beispiel in diesem Artikel ist von uns erfunden und benutzt keine echte Marke, kein echtes Logo und keine echte Servicenummer. Dieser Artikel nennt keine Statistik und keine Zahl, und er ist keine Rechtsberatung.

Häufige Fragen dazu, wie man Betrug vermeidet