Die häufigsten Betrugsmaschen im Internet: fünf Situationen und was du tun kannst

Wie du diese fünf Situationen liest

Bei den meisten Betrugsmaschen ist die Geschichte nur dazu da, dich zu einer Handlung zu bringen: zahlen, etwas Geheimes herausgeben, ein Programm installieren oder eine Seite öffnen, die der Gegenseite gehört. Die Bitte zu erkennen, ist nützlicher, als sich Dutzende Namen für dieselbe Sache zu merken.

Das Bundesamt für Sicherheit in der Informationstechnik beschreibt den Kern auf seiner Seite zu Social Engineering: Ausgenutzt werden menschliche Eigenschaften wie Hilfsbereitschaft, Vertrauen, Angst oder Respekt vor Autorität, und die Täter täuschen dabei über ihre Identität. Die Polizeiliche Kriminalprävention führt unter Onlinebetrug sechzehn Maschen auf, vom gefälschten Kundenservice über Fakeshops bis zum Anlagebetrug. Die fünf Situationen hier sind häufige Beispiele, keine Rangliste und keine vollständige Liste.

Wie groß das Feld insgesamt ist, zeigt die Statistik des Bundeskriminalamts. Laut der Pressemitteilung zum Bundeslagebild Cybercrime 2025 wurden rund 335.000 Fälle von Cybercrime im engeren Sinne registriert, etwa zwei Drittel davon aus dem Ausland oder von unbekannten Tatorten aus. Der Betrug, der bei Privatleuten ankommt, wird meist anders erfasst und steckt in dieser Zahl nicht drin.

Die zweite Hälfte der Gewohnheit ist die Frage, wo du nachsiehst. Jede Behauptung, die in einer Nachricht ankommt, lässt sich an einer Stelle prüfen, über die die Nachricht keine Kontrolle hat: die App, die du schon installiert hast, die Nummer auf deiner Karte, das Konto, in das du dich selbst einloggen kannst.

Die Zitate in diesem Artikel sind von uns erfunden. Sie zeigen die Art von Formulierung, die benutzt wird, ohne eine echte Nachricht, eine echte Marke, eine echte Bildschirmansicht oder eine echte Rufnummer nachzubauen.

Hier dieselbe Idee in einem Durchgang, mit dem, worum jede Situation bittet, und dem Ort, an dem die Antwort wirklich liegt.

• Falsche Bank: bittet um einen Link, eine TAN, ein Passwort oder eine Installation. Nachsehen in der Banking-App oder anrufen unter der Nummer auf deiner Karte.
• Verwandter mit neuer Nummer: bittet um eine eilige Überweisung. Nachsehen, indem du die alte, gespeicherte Nummer anrufst, oder jemand anderen aus der Familie.
• Offene Sendung: bittet um eine kleine Gebühr oder aktualisierte Daten. Nachsehen im Konto des Shops oder des Zustellers, wo die Bestellung wirklich liegt.
• Ungefragter Support: bittet um Fernzugriff, eine Installation oder einen Code. Nachsehen über einen Supportweg, den du selbst geöffnet hast.
• Gewinn oder Angebot: bittet um Vorkasse oder persönliche Daten. Nachsehen auf der Seite des Unternehmens, die du selbst eingetippt hast, weg von der Anzeige.

1. Die falsche Bank: ein dringendes Problem mit deinem Konto

Die Nachricht oder der Anruf meldet eine verdächtige Abbuchung, ein gesperrtes Konto, eine nötige Aktualisierung oder eine Sicherheitslücke. Der Absendername kann richtig aussehen, und die Person am Telefon kennt womöglich schon ein paar Angaben über dich. Keines von beidem sagt dir, dass der Kontakt von deiner Bank kommt.

Das Zeichen steckt in dem Weg, den man dir aus dem Problem heraus anbietet. Der Kontakt versucht, dich im Gespräch zu halten: diesen Link öffnen, diese App installieren, den Code vorlesen, der gerade gekommen ist, das Passwort bestätigen. Ein erfundenes Beispiel: „Wir haben eine offene Abbuchung festgestellt. Melde dich jetzt an, um sie zu stornieren.“

Eine echte Bank, die dich wegen Betrugs anspricht, braucht weder dein Passwort noch deine TAN, und sie braucht auch nicht, dass du Geld irgendwohin bewegst. Die Polizeiliche Kriminalprävention formuliert das auf ihrer Seite zu Phishing ohne Ausnahme: Banken fordern Daten wie PIN und TAN niemals per E-Mail, per Telefon oder per Post an. Und das BSI schreibt auf seiner Seite zu Social Engineering dasselbe für den ganzen Bereich: Banken und seriöse Firmen fordern ihre Kunden nie per E-Mail oder per Telefon zur Eingabe von vertraulichen Informationen auf.

Was du tun kannst, ohne den Kontakt zu benutzen

Beende das Gespräch. Öffne die App, die du ohnehin benutzt, oder tipp die Adresse ein, die du kennst, oder ruf die Nummer an, die auf deiner Karte steht. Ruf nicht die Nummer aus der Nachricht an und benutz nicht den Button, den sie mitgeschickt hat. Passwort und Bestätigungscode bleiben bei dir.

Fing der Zweifel mit einer SMS an, steht in was ist Smishing, worauf du achten kannst und was du tun kannst, wenn du den Link schon angetippt hast. Kam es als Anruf, hilft was ist Vishing. Und wie du eine Nachricht insgesamt liest, steht in gefälschte E-Mail erkennen.

2. Der angebliche Verwandte: eine neue Nummer und eine Bitte um Geld

Jemand meldet sich mit einem vertrauten Namen, sagt, die Nummer habe sich geändert oder er rufe vom Handy einer anderen Person an, und beginnt ein Gespräch, das sich nach Familie anhört. Dann kommt die Bitte um Geld, meistens mit einem Grund, warum du die alte Nummer nicht zurückrufen kannst.

Die Nähe ist das Werkzeug. Es geht darum, dass das Geld abgeht, bevor du mit der echten Person sprichst. Ein erfundenes Beispiel: „Mein Handy ist kaputt, das hier ist meine neue Nummer. Kannst du heute eine Zahlung für mich übernehmen?“

Die Polizeiliche Kriminalprävention beschreibt diese Masche in zwei Varianten. Beim Enkeltrick rufen die Täter mit Sätzen wie rate mal, wer hier spricht, an, geben sich als Verwandte aus und schildern eine finanzielle Notlage, die immer äußerst dringlich dargestellt wird. Beim Schockanruf geht es um einen angeblichen Unfall, eine Kaution oder eine lebensrettende Operation, und die Anrufenden halten das Opfer bis zur Geldübergabe in der Leitung, damit es keine Möglichkeit hat, mit jemandem außerhalb zu sprechen.

Wie du sicher wirst, mit wem du sprichst

Ruf die Nummer an, die du schon gespeichert hattest. Wenn niemand rangeht, versuch einen anderen bekannten Weg: das Festnetz, die Arbeit, ein anderes Familienmitglied. Verlass dich nicht auf Angaben, die innerhalb des neuen Gesprächs geliefert werden, denn jede einzelne davon gehört zu der Geschichte, die dir gerade erzählt wird.

Die Polizei rät außerdem, nicht zu raten, wer anruft, sondern den Anrufer grundsätzlich seinen Namen selbst nennen zu lassen, niemals Geld oder Wertgegenstände an Unbekannte zu übergeben und bei Verdacht die 110 zu wählen. Eine aufgezeichnete Stimme entscheidet die Sache nicht: Die Polizei führt Deepfake-Betrug mit manipulierten Videos und Tonaufnahmen inzwischen als eigene Masche. Die Verteidigung ändert sich dadurch nicht. Ruf unter der Nummer zurück, die du schon hattest.

3. Die falsche Paketgebühr: ein kleiner Betrag, damit eine Sendung weiterläuft

Die Nachricht sagt, eine Sendung liege fest, eine Adresse müsse korrigiert werden oder eine kleine Gebühr sei offen. Sie trifft am härtesten, wenn du wirklich auf etwas wartest, aber dieses Zusammentreffen sagt nichts darüber, wer sie geschickt hat.

Die verlangte Handlung ist mit Absicht klein und schnell: eine Adresse öffnen, die Kartendaten bestätigen, ein paar Euro zahlen. Ein erfundenes Beispiel: „Deine Lieferung liegt fest. Adresse aktualisieren und Freigabegebühr heute zahlen.“ Der niedrige Betrag ist genau das, was das Nachsehen unnötig erscheinen lässt, und die Seite, die ihn einzieht, will meistens die vollständige Kartennummer.

Die Verbraucherzentrale Hamburg warnt in ihrem Ratgeber zu gefährlichen Paket-SMS vor genau dieser Masche und nennt einen Satz, den man sich merken kann: Paketdienste fordern grundsätzlich nicht dazu auf, Waren im Vorfeld zu bezahlen. Sie beschreibt auch den zweiten Schaden: Wer die angebotene App installiert, holt sich unter Umständen Schadsoftware auf das Handy, die im Sekundentakt selbst SMS verschickt, und findet danach mehrere hundert Euro auf der Mobilfunkrechnung.

Wo du eine echte Sendung nachsiehst

Öffne die App oder das Konto, in dem du die Bestellung wirklich aufgegeben hast, oder tipp die Adresse des Zustellers selbst ein, und such die Sendungsnummer von dort aus. Benutz nicht den Link, den Code oder die Telefonnummer, die mit der unerwarteten Forderung gekommen sind. Wenn im echten Konto nichts offen ist, zahl nicht.

Wenn die Seite einen Shop oder einen Zusteller nachbaut, hilft gefälschte Website erkennen beim Lesen der Adresse, und ist dieser Link sicher beim Einschätzen, bevor du überhaupt öffnest.

4. Falscher Support: Hilfe, die kommt, ohne gerufen worden zu sein

Jemand ruft an, schreibt eine E-Mail oder legt eine bildschirmfüllende Warnung in deinen Browser und sagt, man habe einen Virus, ein Datenleck oder eine Abbuchung gefunden. Das Ganze ist als Kundendienst aufgemacht, aber es geht um Zugang: zu deinem Gerät, zu deinen Konten oder zu den Codes, die deine Anmeldung schützen.

Die Verbraucherzentrale Hamburg beschreibt die verbreitetste Version, den Anruf mit dem angeblichen Softwarehersteller: Die Opfer sollen eine Reparatursoftware zur Fehlerbehebung installieren, die den Betrügern vollen Zugriff auf den Rechner gewährt, und danach wird Geld verlangt, damit der Computer nicht gesperrt wird. Der Hersteller ruft von sich aus niemanden an, und das gilt für alle großen Anbieter.

Warum eine Installation und ein Code beide ein Stoppschild sind

Eine Fernwartungssoftware lässt eine andere Person dein Gerät bedienen. Ein Bestätigungscode gibt eine Anmeldung oder eine Kontoänderung frei und ist deshalb so viel wert wie ein Passwort. Wenn der Kontakt kam, ohne dass du um Hilfe gebeten hast, installier nichts und lies nichts vor. Beende die Sache und öffne selbst eine Anfrage, über die App des Unternehmens oder über die Adresse, die du eingetippt hast.

Wenn du schon installiert hast, rät die Verbraucherzentrale Hamburg zu drei Schritten: das Telefongespräch sofort beenden, den Computer so schnell wie möglich vom Internet trennen und wichtige Zugangsdaten und Passwörter sofort ändern. Danach den Rechner von jemandem prüfen lassen, der sich damit auskennt, und Anzeige erstatten. Wie diese Gespräche gebaut sind, steht in was ist Social Engineering.

5. Der Gewinn oder das Angebot, für das erst gezahlt werden soll

Eine Anzeige oder eine Nachricht verspricht ein Produkt weit unter dem normalen Preis, einen Vorteil oder einen Gewinn, für den du dich nie angemeldet hast. Zur Freigabe wirst du um eine Zahlung, eine Registrierung, ein Passwort oder Kartendaten gebeten. Dazu kommt meistens ein Countdown, der nur dafür da ist, dass du das Unternehmen nicht woanders nachschlägst.

Eine Behauptung prüft man nicht an der Stelle, die sie aufgestellt hat. Ein erfundenes Beispiel: „Du hast einen Preis gewonnen. Übernimm nur die Versandkosten, dann kommt er zu dir.“ Ein Profil kann Kommentare, Fotos und ein professionelles Aussehen haben und trotzdem letzte Woche für genau diese Geschichte gebaut worden sein.

In Deutschland ist die häufigste Form davon der Fakeshop. Die Polizeiliche Kriminalprävention beschreibt auf ihrer Seite zu Fakeshops die entscheidende Stelle: Obwohl zunächst auch andere Bezahlmethoden angeboten werden, kannst du am Ende nur per Vorkasse zahlen. Dazu kommen unrealistisch niedrige Preise, ein fehlendes oder unvollständiges Impressum und Gütesiegel ohne Link zum Aussteller. Die Polizei rät zu sicheren Zahlungsarten wie Rechnungskauf und nennt den Fakeshop-Finder der Verbraucherzentrale als Möglichkeit, einen unbekannten Shop vor dem Kauf zu prüfen.

Wie du ein Angebot weg von der Anzeige prüfst

Such das Unternehmen selbst, öffne seine Seite, indem du die Adresse eintippst, und sieh nach, ob es die Aktion dort überhaupt gibt. Vergleich den Preis mit anderen Anbietern und mit dem Laden um die Ecke. Und sieh dir vor der Freigabe an, wer das Geld bekommt: Seit dem 9. Oktober 2025 müssen alle Kreditinstitute bei Überweisungen in Euro eine Empfängerüberprüfung anbieten. Die BaFin beschreibt auf ihrer Seite zur Empfängerüberprüfung, dass der eingegebene Name vor der Freigabe mit der IBAN abgeglichen wird und dass dir bei abweichenden Angaben das Risiko angezeigt wird. Passt der Name nicht zu dem Shop, hör an dieser Stelle auf. Der Hinweis nimmt dir die Entscheidung nicht ab: Wer trotz Warnung freigibt, trägt das Risiko selbst.

Vorkasse ist genau deshalb die Zahlungsart, um die es den Tätern geht. Eine Überweisung, die du selbst beauftragt hast, kannst du laut BaFin nicht mehr widerrufen, sobald der Auftrag bei der Bank eingegangen ist.

Was sich zuletzt verändert hat

Die fünf Situationen laufen weiter. Verändert hat sich, wie sauber einige davon inzwischen gemacht sind, und welche Zahlungswege gedrängt werden. Die Bitte darunter ist immer noch Geld, Daten oder Zugang.

Nachgemachte Stimmen und Bilder

Kurze Tonaufnahmen reichen aus, um nachzuahmen, wie jemand klingt. Eine Stimme am Telefon ist deshalb kein Nachweis mehr dafür, wer anruft. Die Polizeiliche Kriminalprävention führt Deepfake-Betrug unter den Onlinebetrugsmaschen und beschreibt manipulierte Videos und Tonaufnahmen, die Echtheit vortäuschen. Behandle eine Stimme wie einen Namen auf einem Display: als Behauptung, nicht als Bestätigung.

Fakeshops, die von echten Seiten kaum zu unterscheiden sind

Die Polizei schreibt es deutlich: Kriminelle nutzen zunehmend künstliche Intelligenz, um in sehr kurzer Zeit Fakeshops mit optisch perfektem Layout und fehlerfreien Rechtstexten zu bauen. Manche sind Kopien echter Seiten. Das heißt vor allem, dass das Aussehen als Prüfkriterium ausfällt und die Zahlungsart wichtiger wird als der erste Eindruck.

Wenn du Geld für andere bewegen sollst

Manche dieser Angebote enden damit, dass Geld auf deinem Konto ankommt und du es weiterleiten sollst. Die Polizeiliche Kriminalprävention warnt unter Finanzagenten ausdrücklich davor: Es reicht, das eigene Girokonto für Überweisungen zur Verfügung zu stellen, und schon droht ein Strafverfahren wegen Geldwäsche, dazu Schadensersatzforderungen der Opfer und die Kündigung des Kontos durch die Bank. Das Geld stammt nämlich von Menschen, die selbst gerade betrogen wurden. Wenn ein Job daraus besteht, Geld zu empfangen und weiterzuleiten, hör an dieser Stelle auf, und melde unerklärte Gutschriften auf deinem Konto sofort deiner Bank.

Wenn du schon getan hast, worum gebeten wurde

Was zu tun ist, hängt davon ab, was herausgegangen ist, und der erste Schritt gehört dem Konto, das am meisten gefährdet ist. Lösch das Gespräch nicht, bevor du die Nachrichten, die Adresse der Seite, die Belege und die Angaben, mit denen man dich erreicht hat, gesichert hast.

1. In der ersten Stunde: sperren und die Bank anrufen, wenn Geld oder Kartendaten im Spiel waren. Die BaFin schreibt auf ihrer Seite zum Datendiebstahl, dass du bei Verdacht auf Betrug sofort Zahlungskarten oder den Online-Banking-Zugang sperren lassen sollst, über deine Bank oder über den Sperr-Notruf 116 116. Benutz die Nummer von deiner Karte oder aus der App, nie eine aus der Nachricht, sag klar, dass es Betrug war, und bitte um eine neue Karte.
2. Sag, wie gezahlt wurde. Eine Lastschrift kannst du zurückgeben lassen: Die BaFin nennt auf ihrer Seite zu Überweisungen und Lastschriften acht Wochen ab der Belastung bei einer erlaubten Lastschrift und 13 Monate, wenn es nie ein Mandat gab. Eine Überweisung, die du selbst beauftragt hast, kann nicht mehr widerrufen werden, sobald der Auftrag bei der Bank eingegangen ist, und bei einer Echtzeitüberweisung ist das Geld in Sekunden beim Empfänger. Die Bank kann trotzdem versuchen, die Empfängerbank zu erreichen. Frag danach, statt die Antwort zu vermuten, und rechne nicht fest mit einer Rückbuchung.
3. Änder das Passwort jedes Kontos, in das du dich eingeloggt hast, auf der echten Seite und von einem Gerät, dem du vertraust, und änder es überall dort, wo du dasselbe benutzt hast.
4. Schalt die Zwei-Faktor-Authentisierung ein und sieh dir die Liste der angemeldeten Geräte und offenen Sitzungen an. Das BSI rät zu einem zweiten Faktor, sobald ein Dienst ihn anbietet, weil deine Daten dann auch dann noch geschützt sind, wenn das Passwort in falsche Hände gerät.
5. Wenn du etwas installiert oder Fernzugriff erlaubt hast, trenn das Gerät vom Internet, entfern die Software und melde dich von diesem Gerät aus in keinem wichtigen Konto mehr an, bis es geprüft wurde.
6. Erstatte Anzeige und melde die Sache weiter. Die Polizeiliche Kriminalprävention erklärt unter wie erstatte ich eine Anzeige, dass die Strafanzeige kostenlos ist und in allen Bundesländern auch online möglich. Die Onlinewachen der Polizeien sind für nicht dringende Fälle wie Internetbetrug gedacht; bei akuten Notfällen wählst du die 110. Die BaFin empfiehlt die Anzeige zusätzlich für die KUNO-Sperrung, die den Kartenmissbrauch im Lastschriftverfahren verhindert. Kam die Sache per SMS oder als Anruf mit gefälschter Nummer, nimmt die Bundesnetzagentur über ihr Verbraucherportal Beschwerden entgegen. Und was gerade an Phishing-Wellen läuft, sammelt die Verbraucherzentrale Nordrhein-Westfalen im Phishing-Radar, mit dem die Verbraucherzentrale Hamburg in ihrem Ratgeber den eigenen Posteingang abzugleichen empfiehlt.

Wenn du wissen willst, woran du eine Sache vorher erkennst, steht das in woran erkenne ich Betrug, und was du an Gewohnheiten einbauen kannst, in Betrug vermeiden. Wie die Nachrichten selbst funktionieren, erklärt was ist Phishing, und das BSI führt die Unterarten auf seiner Seite zum Passwortdiebstahl durch Phishing.

Häufige Fragen zu Betrugsmaschen im Internet