Noch mehr Schutz beim Onlinebanking So sicherst du dein Konto wirklich ab

Onlinebanking absichern: Was du sofort tun kannst

Onlinebanking ist bequem – aber nur so sicher wie dein schwächstes Glied in der Sicherheitskette. Wer heute noch mehr Schutz beim Onlinebanking möchte, braucht keinen IT-Abschluss, sondern ein paar gezielte Maßnahmen: starke Authentifizierung, gepatchte Geräte und einen klaren Plan für den Ernstfall.

Rechner: Sparplan & Zinseszins

Onlinebanking-Sicherheit – unterschätzte Gefahr im Alltag

Verbraucher:innen in Deutschland gehören zu den aktivsten Onlinebanking-Nutzergruppen – und gleichzeitig zu jenen, die am seltensten über digitale Sicherheitsrisiken nachdenken. Das liegt in der Natur des Alltags: Zwischen Beruf, Haushalt und Freizeit passiert fast alles per Smartphone. Überweisungen, Mietzahlungen, Einkäufe im Onlineshop – der digitale Griff in die Tasche ist längst Reflex. Doch genau dieser Reflex macht anfällig, denn er geschieht häufig über öffentliche WLANs im Café, in der Bahn oder im Hotel, wo eine verschlüsselte Verbindung keine Selbstverständlichkeit ist.

Ein weit verbreitetes Trugbild lautet: „Auf meinem Konto ist eh nicht viel drauf, also bin ich kein lohnendes Ziel." Das stimmt so nicht. Erstens sind auch kleine Beträge für automatisierte Betrugsmaschen interessant – Kriminelle arbeiten selten manuell, sondern skalieren Angriffe auf Tausende Konten gleichzeitig. Zweitens ist der eigentliche Schaden oft nicht das gestohlene Guthaben, sondern der Identitätsmissbrauch: Mit erbeuteten Bankdaten werden Kredite beantragt, Verträge abgeschlossen oder Waren auf fremde Rechnung bestellt.

Besonders kritisch ist die Konzentration wichtiger Zahlungsströme auf ein einziges Konto. Gehaltseingänge, die monatliche Miete, die Kaution für die neue Wohnung, Erstattungen aus der Krankenversicherung – all das landet typischerweise auf dem Girokonto. Ein einziger erfolgreicher Angriff kann damit wochenlange finanzielle Engpässe auslösen und im schlimmsten Fall die Existenz gefährden. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) weist in seinen jährlichen Lageberichten darauf hin, dass Phishing-Wellen saisonal stark ansteigen – insbesondere rund um Ereignisse wie Steuersaisonen, den Jahreswechsel oder große Shopping-Events wie Black Friday.

Die häufigsten Angriffsmethoden – und warum sie so effektiv sind

Um sich zu schützen, muss man zuerst verstehen, womit man es zu tun hat. Die mit Abstand verbreitetste Methode ist nach wie vor Phishing per E-Mail und SMS (im mobilen Kontext auch „Smishing" genannt). Betrüger verschicken täuschend echte Nachrichten im Namen von Banken, Sparkassen oder Zahlungsdiensten, die zu sofortigem Handeln auffordern – etwa zur Bestätigung eines Logins oder zur Aktualisierung von Kontodaten. Die verlinkten Seiten sehen dem Original oft bis ins letzte Detail ähnlich; selbst ein geübtes Auge kann sie ohne technische Hilfsmittel kaum von der echten Bankseite unterscheiden.

Deutlich raffinierter und daher besonders gefährlich ist der sogenannte SIM-Swap-Angriff. Dabei bringen Kriminelle einen Mobilfunkanbieter dazu, die Rufnummer des Opfers auf eine eigene SIM-Karte zu übertragen – mit erschlichenen oder gestohlenen Identitätsdaten. Ist das geglückt, erhalten die Angreifer alle SMS-TANs, die die Bank zur Transaktionsauthentifizierung versendet. Das klassische SMS-TAN-Verfahren gilt deshalb heute als das schwächste standardisierte 2FA-Verfahren.

Noch heimtückischer ist Man-in-the-Browser (MitB): Eine Schadsoftware, die sich unbemerkt im Browser einnistet, kann eine Banking-Session in Echtzeit manipulieren. Der angezeigte Kontostand bleibt korrekt, die Empfängerdetails einer Überweisung werden jedoch im Hintergrund ausgetauscht – das Geld landet auf einem fremden Konto, während der Nutzer alles für normal hält. Diese Angriffe sind durch reine Aufmerksamkeit kaum zu bemerken; hier schützen nur technische Maßnahmen auf Geräte- und Authentifizierungsebene. Ergänzend sind Social-Engineering-Anrufe (Vishing) verbreitet, bei denen sich Kriminelle als Bankberater ausgeben und unter Vorwand von Sicherheitsprüfungen zur Herausgabe von TANs drängen. Grundregel: Keine echte Bank fragt je telefonisch nach einer TAN.

2FA, FIDO2 und TAN-Verfahren: Authentifizierung richtig verstehen und einsetzen

Zwei-Faktor-Authentifizierung (2FA) ist kein Nice-to-have, sondern die wichtigste einzelne Sicherheitsmaßnahme beim Onlinebanking. Das Prinzip kombiniert zwei verschiedene Kategorien: etwas, das du weißt (PIN oder Passwort), mit etwas, das du besitzt (ein Gerät oder ein Hardware-Token) oder etwas, das du bist (Biometrie wie Fingerabdruck oder Gesichtserkennung). Selbst wenn Angreifer dein Passwort kennen, kommen sie ohne den zweiten Faktor nicht weiter. Die EU-Zahlungsdiensterichtlinie PSD2 schreibt Starke Kundenauthentifizierung (SCA) für Onlinebanking ausdrücklich vor – Banken sind also verpflichtet, mindestens zwei dieser Faktoren zu verlangen.

ChipTAN- und cardTAN-Generatoren gelten weiterhin als besonders robuste Lösung, da sie vollständig offline und geräteunabhängig arbeiten. Der Generator liest Transaktionsdaten direkt von der Bankkarte und berechnet daraus eine einmalige TAN – ohne Internetverbindung, ohne App, ohne Angriffsoberfläche. Wer regelmäßig größere Summen transferiert, fährt mit diesem Hardware-Ansatz am sichersten. PushTAN-Apps sind im Alltag bequemer und ebenfalls deutlich sicherer als SMS-TAN: Die TAN wird gerätebezogen signiert und ist an dein konkretes Smartphone gebunden, sodass ein SIM-Swap sie nicht kompromittieren kann.

Den höchsten Sicherheitsstandard der Gegenwart bieten FIDO2 und Passkeys. Dieser offene Standard ersetzt das Passwort vollständig durch ein kryptografisches Schlüsselpaar: Der private Schlüssel verlässt niemals dein Gerät, der öffentliche Schlüssel liegt beim Anbieter. Phishing ist strukturell ausgeschlossen, weil der Schlüssel an die exakte Domain der echten Bank gebunden ist – eine gefälschte Seite erhält schlicht keine gültige Antwort. Immer mehr Banken bieten Passkeys an; es lohnt sich, in den Sicherheitseinstellungen deiner Banking-App nachzuschauen, ob dieser Weg bereits verfügbar ist.

Gerät und Netzwerk absichern: Was wirklich zählt

Die sicherste Authentifizierungsmethode nützt wenig, wenn das Endgerät kompromittiert ist. Betriebssystem-Updates sind kein lästiger Zeitfresser, sondern das Fundament jeder Gerätesicherheit: Ein erheblicher Teil erfolgreicher Malware-Angriffe nutzt Schwachstellen, für die längst Patches existieren – die Nutzer sie aber noch nicht eingespielt haben. Dein Smartphone, dein Laptop und alle genutzten Browser sollten auf automatische Updates eingestellt sein. Auf Windows-Systemen reicht Windows Defender in aktueller Version als Basisschutz aus; auf Android und iOS empfiehlt sich zusätzlich eine Mobile-Security-App eines namhaften Anbieters.

Öffentliche WLANs – ob im Büro, im Café oder am Bahnhof – sind prinzipiell als unsicher zu behandeln. Ohne zusätzliche Verschlüsselung kann in vielen dieser Netze der Datenverkehr mitgelesen oder umgeleitet werden. Die Lösung: VPN-Verbindung vor dem Banking-Login aufbauen. Viele Arbeitgeber bieten ihren Mitarbeitern kostenlos Zugang zum Firmen-VPN an – diese Option ist sowohl vertrauenswürdig als auch kostenlos. Wer einen kommerziellen VPN-Dienst wählt, sollte auf Anbieter mit geprüften No-Log-Richtlinien achten. Im Zweifelsfall lieber die Mobile-Datenverbindung des Smartphones nutzen als ein offenes WLAN ohne VPN.

Auch das physische Gerät muss gesichert sein. Eine Bildschirmsperre mit PIN oder Biometrie ist Pflicht; die automatische Sperrzeit sollte auf maximal 30 Sekunden eingestellt sein. Banking-Apps sollten zusätzlich durch einen separaten App-PIN oder biometrische Freigabe gesichert werden – auch wenn das einen Schritt extra bedeutet. Geräte, die mit mehreren Personen geteilt werden (z. B. ein Familienlaptop), sind für Onlinebanking grundsätzlich ungeeignet, sofern kein eigenes Benutzerprofil mit starkem Passwort eingerichtet ist.

Passwörter: Warum du für dein Bankkonto eine eigene Strategie brauchst

Das Passwort ist die erste Verteidigungslinie – und gleichzeitig jener Bereich, in dem die meisten Menschen die größten Fehler machen. Das häufigste Problem: ein Passwort für viele Dienste. Wenn auch nur einer davon gehackt wird und die Zugangsdaten in einer Leak-Datenbank landen, sind alle anderen Konten automatisch gefährdet. Für Bankzugänge gilt deshalb eisern: ein exklusives, nie anderweitig genutztes Passwort, das du sonst nirgendwo verwendest.

Das BSI empfiehlt für Passwörter eine Mindestlänge von zwölf Zeichen, bestehend aus einer Kombination aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen. In der Praxis ist das ohne Hilfsmittel kaum umsetzbar – niemand kann sich ein Dutzend solcher Passwörter merken. Die Lösung ist ein Passwort-Manager. Tools wie KeePassXC (lokal, kostenlos, Open-Source) oder zertifizierte Cloud-Varianten generieren und speichern beliebig komplexe Passwörter; du musst dir nur noch ein einziges starkes Master-Passwort merken. Das ist kein Komfortverlust, sondern ein Sicherheitsgewinn: Du tauscht viele schwache Passwörter gegen viele starke.

Wichtig beim gemeinsam genutzten Gerät: Passwörter niemals im Browser speichern lassen, wenn andere Personen Zugang zu diesem Gerät haben. Browser-Passwortspeicher sind für den Privatgebrauch auf dem eigenen Gerät geeignet, aber auf Shared-Devices ein erhebliches Risiko. Zudem solltest du regelmäßig prüfen, ob deine E-Mail-Adresse in bekannten Datenlecks auftaucht – Dienste wie der BSI-eigene Sicherheitstest oder einschlägige Have-I-Been-Pwned-Dienste informieren dich kostenlos darüber.

Verdächtige Aktivitäten erkennen und im Ernstfall richtig reagieren

Prävention ist das Beste – aber kein System ist unfehlbar. Deshalb ist es ebenso wichtig zu wissen, wie man einen Angriff früh erkennt und was dann zu tun ist. Der einfachste Frühwarnmechanismus: Push-Benachrichtigungen für jede Transaktion aktivieren. Moderne Banking-Apps informieren in Echtzeit über Ein- und Ausgänge; wer eine Abbuchung bemerkt, die er nicht selbst ausgelöst hat, kann sofort reagieren. Ergänzend sollten Kontoauszüge mindestens wöchentlich geprüft werden – auch digital, auch wenn alles unauffällig erscheint.

Im Verdachtsfall zählt Geschwindigkeit. Der erste Schritt ist die sofortige Sperrung des Kontos: Entweder direkt über die Banking-App (sofern diese Funktion angeboten wird), telefonisch über den offiziellen Banknotruf oder über den zentralen Sperr-Notruf, der in Deutschland rund um die Uhr erreichbar ist. Danach: alle Passwörter für Banking und E-Mail von einem sicheren, nicht infizierten Gerät ändern. Das kompromittierte Gerät nicht weiter nutzen, bis es professionell bereinigt wurde.

Nach der Sperrung folgt die Dokumentation: Strafanzeige bei der Polizei stellen. Das klingt nach viel Aufwand, ist aber essenziell – einerseits für die eigene Rechtssicherheit, andererseits als Grundlage für eventuelle Rückbuchungsansprüche. Die EU-Zahlungsdiensterichtlinie PSD2 verpflichtet Banken grundsätzlich zur Erstattung nicht autorisierter Zahlungen – es sei denn, der Kontoinhaber hat grob fahrlässig oder vorsätzlich gehandelt. Grob fahrlässig wäre etwa: eine TAN auf einer offensichtlich gefälschten Seite eingeben, die PIN telefonisch weitergeben oder trotz ausdrücklicher Bankwarnung ein infiziertes Gerät verwenden. Im Streitfall entscheidet oft die Dokumentation, ob die Bank erstattet oder nicht.

Rechtlicher Rahmen und Haftung: Was Bank und Kunde jeweils verantworten

Viele Betroffene wissen nicht, dass sie im Fall eines Onlinebanking-Betrugs erhebliche Rechte haben. Die wichtigste Grundlage ist die EU-Zahlungsdiensterichtlinie PSD2 (Payment Services Directive 2), die in deutsches Recht umgesetzt wurde und Starke Kundenauthentifizierung (SCA) für alle Onlinezahlungen verbindlich vorschreibt. Bietet eine Bank kein SCA-konformes Verfahren an und entsteht dadurch ein Schaden, haftet die Bank in der Regel vollständig. Die Aufsichtsbehörde BaFin überwacht die Einhaltung dieser Anforderungen durch Zahlungsdienstleister in Deutschland.

Die Grundregel lautet: Banken haften für nicht autorisierte Zahlungen – also Zahlungen, denen der Kontoinhaber nicht zugestimmt hat. Eine Ausnahme gilt bei grober Fahrlässigkeit oder Vorsatz des Kontoinhabers. Was als grob fahrlässig gilt, ist gesetzlich nicht abschließend definiert, aber die Rechtsprechung hat typische Fälle herausgearbeitet: TAN auf einer Phishing-Seite eingeben, obwohl erkennbare Warnsignale vorhanden waren; die PIN mündlich oder schriftlich an Dritte weitergeben; oder ein Gerät für Onlinebanking nutzen, das von der Bank ausdrücklich als unsicher eingestuft wurde. Im Zweifelsfall gilt: Je besser du dich an die Sicherheitshinweise deiner Bank gehalten hast, desto stärker ist deine Position.

Praktisch bedeutet das: Sicherheitshinweise der Bank lesen und befolgen, Transaktionen zeitnah überwachen und Unregelmäßigkeiten unverzüglich melden. Wer einen Schaden zu spät meldet oder offensichtliche Warnzeichen ignoriert hat, riskiert, dass die Bank Mitverschulden geltend macht. Im Streitfall kann die Schlichtungsstelle der Deutschen Kreditwirtschaft (oder entsprechende Ombudsleute) angerufen werden – kostenlos und ohne Anwalt.

Dein persönlicher Sicherheits-Aktionsplan für die nächsten 10 Minuten

Sicherheit ist kein einmaliges Projekt, sondern eine Gewohnheit. Aber der Anfang muss irgendwo gemacht werden. Die folgenden vier Schritte lassen sich in wenigen Minuten umsetzen und erhöhen dein Schutzniveau sofort und erheblich. Du brauchst dafür kein technisches Vorwissen – nur dein Smartphone oder deinen Laptop und kurz Zeit.

Schritt 1: Öffne deinen Passwort-Manager (oder installiere jetzt KeePassXC bzw. eine vergleichbare App) und aktualisiere das Passwort für dein Onlinebanking. Es muss einzigartig, mindestens zwölf Zeichen lang und eine Kombination aus verschiedenen Zeichentypen sein. Kein anderer Dienst darf dieses Passwort teilen. Schritt 2: Navigiere in deiner Banking-App zu den Sicherheitseinstellungen und aktiviere 2FA, sofern noch nicht geschehen. Bevorzuge pushTAN oder – wenn angeboten – FIDO2/Passkeys über die klassische SMS-TAN. Schritt 3: Aktiviere Push-Benachrichtigungen für jede Transaktion. Du wirst dadurch in Echtzeit informiert, sobald eine Zahlung ausgeführt wird – und kannst sofort reagieren, falls du sie nicht selbst veranlasst hast. Schritt 4: Prüfe in deinen Konto- oder Karteneinstellungen, welche Limits für Online-Transaktionen gesetzt sind, und reduziere das tägliche Limit auf einen realistisch benötigten Betrag. So begrenzt du den maximalen möglichen Schaden im Angriffsfall.

Wer diese vier Maßnahmen umgesetzt hat, ist bereits in der Mehrheit der Onlinebanking-Nutzer und deutlich schwerer angreifbar als zuvor. Sicherheit muss kein Vollzeitjob sein – aber ein paar Minuten konsequente Einrichtung können im Ernstfall viel bewirken.

Häufige Fragen