--- title: "Betrugsmasche Brief: Phishing-Briefe von Commerzbank und Sparkasse erkennen" description: "Betrugsmasche Brief mit QR-Code (Quishing): So erkennen Sie gefälschte Commerzbank- und Sparkassen-Post, und das gilt rechtlich bei bereits abgebuchtem Geld." url: "https://rechtsanwaltkaufmann.de/bank-und-kapitalmarktrecht/betrugsmasche-brief" lang: "de" breadcrumb: "Start › Rechtsgebiete › Bank- und Kapitalmarktrecht › Betrugsmasche Brief: Phishing-Briefe von Commerzbank und Sparkasse erkennen" section: "Bank- und Kapitalmarktrecht" datePublished: "2025-04-03" dateModified: "2026-07-02" author: "Michelle Engelmann" authorMarkdown: "https://rechtsanwaltkaufmann.de/kanzlei/michelle-engelmann.md" reviewedBy: "Hermann Kaufmann" note: "Allgemeine Information, keine Rechtsberatung. Zitierfähig ist die Adresse unter url." --- [Bank- und Kapitalmarktrecht](https://rechtsanwaltkaufmann.de/rechtsgebiete/bank-und-kapitalmarktrecht.md) # Betrugsmasche Brief: Phishing-Briefe von Commerzbank und Sparkasse erkennen Gefälschte Bankbriefe mit QR-Code locken Kunden auf nachgebaute Login-Seiten. So erkennen Sie Quishing-Post von echten Bankschreiben, und das gilt rechtlich, wenn bereits Geld abgebucht wurde. Aktualisiert: 2\. Juli 2026 · 4 min Lesezeit · Fachlich geprüft von [Hermann Kaufmann](https://rechtsanwaltkaufmann.de/kanzlei/hermann-kaufmann.md) Das Wichtigste in Kürze Betrüger verschicken Briefe im Namen von Commerzbank, Sparkasse und anderen Instituten mit einem QR-Code zu einer gefälschten Login-Seite (Quishing). Das BSI warnte am 1.4.2026 vor einer deutlichen Zunahme solcher KI-gestützten Angriffe. Wer Daten eingegeben hat, sollte die Bank sofort informieren: Nach § 675u BGB muss sie eine nicht autorisierte Abbuchung unverzüglich erstatten, laut Schlussantrag des EuGH-Generalanwalts vom 5.3.2026 (Rs. C-70/25) auch bei grober Fahrlässigkeit des Kunden. - Betrüger nutzen zunehmend Briefe mit QR-Code (Quishing), weil postalische Post vertrauenswürdiger wirkt als E-Mails und der QR-Code die übliche Link-Vorprüfung umgeht - Das BSI warnte am 19.2.2026 vor einer deutlichen Zunahme KI-gestützter Quishing-Angriffe speziell gegen Bankkunden - Echte Banken fragen nie per Brief, E-Mail oder QR-Code nach Zugangsdaten, PIN oder TAN, unpersönliche Anrede und Zeitdruck sind typische Warnzeichen - Wurde bereits Geld abgebucht, muss die Bank den Betrag nach § 675u BGB grundsätzlich unverzüglich erstatten, die Bank trägt die Beweislast für grobe Fahrlässigkeit (§ 675w BGB) - Ein Schlussantrag des EuGH-Generalanwalts vom 5.3.2026 (Rs. C-70/25) stärkt diese Erstattungspflicht zusätzlich, auch wenn die Bank dem Kunden grobe Fahrlässigkeit vorwirft ![Stapel alter Briefumschläge mit Luftpost-Rand; Kanzlei-Banner zu Phishing-Briefen im Namen von Commerzbank und Sparkasse.](https://cms.rechtsanwaltkaufmann.de/api/media/file/betrugsmasche-brief-phishing-briefe-titelbild-d9eefcae.webp) Betrüger verschicken derzeit vermehrt Briefe im Namen von Commerzbank, Sparkasse und anderen Banken, die mit einem QR-Code zur angeblichen Aktualisierung der Kontodaten auffordern. Wer den Code scannt, landet auf einer nachgebauten Login-Seite, die Zugangsdaten dort gehen direkt an die Täter. Das Bundesamt für Sicherheit in der Informationstechnik warnte am 1. April 2026 vor einer deutlichen Zunahme solcher KI-gestützten Quishing-Angriffe. Wurde bereits Geld abgebucht, besteht meist ein Erstattungsanspruch gegen die eigene Bank. ## Was ist Quishing und warum sind Briefe damit so gefährlich? Quishing setzt sich aus „QR-Code“ und „Phishing“ zusammen und beschreibt Betrug über einen QR-Code, der zu einer gefälschten Webseite führt. Neu ist an der aktuellen Welle, dass die Täter den Code nicht mehr per E-Mail, sondern per klassischem Brief verschicken. Ein offizielles Schreiben mit Banklogo und korrekter Anschrift wirkt auf viele Menschen glaubwürdiger als eine E-Mail, die potenziell im Spam-Ordner landet. Hinzu kommt: Bei einem Link in einer Mail lässt sich die Zieladresse vorab prüfen, bei einem QR-Code sieht man erst nach dem Scannen, wohin er führt. Das Muster wiederholt sich bei den gemeldeten Fällen: Ein Kunde erhält einen Brief, angeblich von der Commerzbank, mit der Aufforderung, sein Photo-TAN-Verfahren über einen QR-Code zu aktualisieren. Dieselbe Bank ist zeitgleich auch Ziel einer separaten [Spam-SMS- und Phishing-Mail-Welle](https://rechtsanwaltkaufmann.de/bank-und-kapitalmarktrecht/commerzbank-spam-sms-phishing-mail.md), die auf ähnliche Weise die photoTAN-Aktivierung vorschiebt. Beim Scannen öffnet sich eine Seite, die der echten Commerzbank-Login-Seite täuschend ähnlich sieht. Ähnliche Briefe kursierten mit dem Vorwand einer „Sicherheitsüberprüfung des Online-Bankings“ im Namen von Sparkassen. Manche Schreiben verweisen zusätzlich auf angebliche BaFin-Maßnahmen oder Kooperationen mit IT-Sicherheitsbehörden, um seriöser zu wirken. > **Kommentar vom Anwalt:** > > Mandanten berichten mir häufig, dass gerade die Kombination aus Brief und QR-Code sie misstrauisch gemacht hat, aber erst, nachdem sie schon gescannt hatten. Das ist kein Vorwurf, das ist genau die Rechnung der Täter. Wichtiger als perfekte Vorsicht ist, schnell zu handeln, sobald der Verdacht aufkommt. > > — Hermann Kaufmann, Fachanwalt für Bank- und Kapitalmarktrecht ## Woran erkenne ich einen gefälschten Bankbrief? Einige Merkmale wiederholen sich bei den bekannten Fällen fast immer: | Merkmal | Echter Bankbrief | Betrugsbrief | | --- | --- | --- | | Anrede | Persönlich mit Namen | „Sehr geehrter Kunde“ oder „Liebe/r Kontoinhaber/in“ | | Aufforderung | Nie zur Eingabe von PIN/TAN | QR-Code zur „Datenaktualisierung“ | | Tonfall | Sachlich, ohne Frist-Drohung | Zeitdruck, drohende Kontosperrung | | Kontaktweg | Bekannte Servicenummer, Filiale | Nur der QR-Code als Handlungsoption | Banken fragen grundsätzlich nie per Brief, E-Mail oder Telefon nach Passwörtern, PINs oder TANs. Bei Zweifeln hilft nur ein Anruf über die offizielle, selbst recherchierte Telefonnummer der Bank, nicht über eine im Brief angegebene Nummer, eine Grundregel bei praktisch jedem Fall von [Online-Banking-Betrug](https://rechtsanwaltkaufmann.de/themen/online-banking-betrug.md). ## Welche anderen Betrugsmaschen kursieren neben Quishing-Briefen? Die gleiche Grundidee taucht in mehreren Varianten auf. Beim Smishing verschicken Betrüger SMS mit Links zu gefälschten Seiten, wie es aktuell auch bei gefälschten [DHL-Sendungsbenachrichtigungen per SMS](https://rechtsanwaltkaufmann.de/bank-und-kapitalmarktrecht/dhl-fake-sms-betrugsmail.md) verbreitet ist. Beim Vishing rufen sie an und geben sich als Bankmitarbeiter aus. Klassisches E-Mail-Phishing fordert weiterhin direkt zur Eingabe von Zugangsdaten auf einer nachgebauten Seite auf. Auch außerhalb des Bankings sind gefälschte Briefe unterwegs, etwa im Namen von Energieversorgern oder Mobilfunkanbietern mit angeblichen „Netzwerk-Optimierungen“, die ebenfalls per QR-Code „bestätigt“ werden sollen. ## Was tun, wenn ich bereits einen QR-Code gescannt oder Daten eingegeben habe? Zuerst zählt Tempo. Wer Zugangsdaten oder eine TAN auf der gefälschten Seite eingegeben hat, sollte sofort die Bank kontaktieren und den Online-Banking-Zugang sperren lassen, notfalls über die bundesweite Sperr-Notrufnummer 116 116. Parallel lohnt sich eine Anzeige bei der Polizei, sie ist häufig Voraussetzung für die Erstattung durch die Bank oder eine Versicherung. Screenshots der gefälschten Seite und der Original-Brief sind wichtige Beweismittel und sollten aufbewahrt werden. ## Muss die Bank abgebuchtes Geld erstatten? In den meisten Fällen ja, und zwar zügig. Nach § 675u BGB muss der Zahlungsdienstleister eine nicht autorisierte Zahlung unverzüglich erstatten und das Konto so stellen, wie es ohne die Abbuchung stünde. Die Bank kann sich nur dann auf eine Mithaftung des Kunden berufen, wenn sie ihm grobe Fahrlässigkeit nachweist, etwa weil er trotz erkennbarer Warnzeichen sensible Daten preisgegeben hat. Die Beweislast dafür liegt nach § 675w BGB bei der Bank, nicht beim Kunden. Ein Schlussantrag des Generalanwalts am Europäischen Gerichtshof vom 5. März 2026 (Rechtssache C-70/25) stärkt diese Position zusätzlich: Der Generalanwalt vertritt darin, dass die Bank eine nicht autorisierte Zahlung grundsätzlich zunächst erstatten muss, unabhängig davon, ob dem Kunden grobe Fahrlässigkeit vorzuwerfen ist. Erst danach kann die Bank prüfen, ob sie einen Gegenanspruch auf Schadensersatz hat. Das endgültige EuGH-Urteil steht noch aus, Generalanwälten folgt der Gerichtshof aber in der Mehrzahl der Fälle. > **Kommentar vom Anwalt:** > > Viele Betroffene lassen sich von der ersten Ablehnung der Bank entmutigen und geben auf. Das ist verständlich, aber meist verfrüht. Die Bank muss erst einmal erstatten und dann im Zweifel selbst beweisen, dass grobe Fahrlässigkeit vorlag, nicht umgekehrt. > > — Hermann Kaufmann, Fachanwalt für Bank- und Kapitalmarktrecht Rechtsstand: Juli 2026. ## Fragen & Antworten ### Wie erkenne ich einen Phishing-Brief der Commerzbank oder Sparkasse sicher? Typische Warnzeichen sind eine unpersönliche Anrede wie „Sehr geehrter Kunde“, ein QR-Code zur angeblichen Datenaktualisierung, Zeitdruck durch eine drohende Kontosperrung und das Fehlen eines direkten telefonischen Kontaktwegs außer dem QR-Code. Banken fragen niemals per Brief nach PIN oder TAN. ### Was mache ich, wenn ich den QR-Code aus einem verdächtigen Brief bereits gescannt habe? Solange Sie keine Daten eingegeben haben, entsteht meist kein Schaden. Haben Sie bereits Zugangsdaten oder eine TAN eingegeben, sperren Sie sofort Ihr Online-Banking (auch über die bundesweite Sperr-Notrufnummer 116 116), informieren Sie Ihre Bank und erstatten Sie Anzeige bei der Polizei. ### Erstattet mir die Bank Geld, das durch den Phishing-Brief abgebucht wurde? In der Regel ja. Nach § 675u BGB muss die Bank eine nicht autorisierte Zahlung unverzüglich erstatten. Sie kann die Erstattung nur verweigern, wenn sie Ihnen grobe Fahrlässigkeit nachweist, die Beweislast dafür trägt nach § 675w BGB die Bank. ### Was hat das EuGH-Verfahren C-70/25 mit meinem Fall zu tun? Der Generalanwalt am EuGH hat am 5.3.2026 die Position vertreten, dass Banken eine nicht autorisierte Zahlung grundsätzlich zunächst erstatten müssen, selbst wenn sie dem Kunden grobe Fahrlässigkeit vorwerfen. Das endgültige Urteil steht noch aus, stützt aber schon jetzt die Position von Phishing-Opfern gegenüber ihrer Bank. ### Sind auch andere Unternehmen als Banken von solchen QR-Code-Briefen betroffen? Ja, ähnliche Briefe kursieren auch im Namen von Energieversorgern und Mobilfunkanbietern, meist mit dem Vorwand einer „Netzwerk-Optimierung“ oder „SIM-Karten-Aktivierung“, die per QR-Code bestätigt werden soll. Quellen 1. [§ 675u BGB (gesetze-im-internet.de)](https://www.gesetze-im-internet.de/bgb/__675u.html) 2. [§ 675v BGB (gesetze-im-internet.de)](https://www.gesetze-im-internet.de/bgb/__675v.html) 3. [§ 675w BGB (gesetze-im-internet.de)](https://www.gesetze-im-internet.de/bgb/__675w.html) 4. [BSI, Warnung vom 01.04.2026 zu KI-gestütztem Quishing gegen Bankkunden](https://www.bsi.bund.de/DE/Service-Navi/Abonnements/Newsletter/Buerger-CERT-Abos/Newsletter-Einfach-Cybersicher/Einfach_Cybersicher_260401/_documents/Basics_3_Quishing.html) 5. [EuGH, Schlussantrag des Generalanwalts vom 05.03.2026, Rs. C-70/25 (curia.europa.eu)](https://curia.europa.eu/juris/liste.jsf?num=C-70/25) 6. [Verbraucherzentrale, Phishing-Radar: Quishing über gefälschte QR-Codes in Briefen](https://www.verbraucherzentrale.de/wissen/digitale-welt/phishingradar/quishing-falsche-qrcodes-in-mails-briefen-oepnv-und-strassenverkehr-98612) **Hinweis:** Dieser Artikel dient ausschließlich der allgemeinen rechtlichen Information und stellt keine Rechtsberatung im Einzelfall dar. Für die Beurteilung Ihrer konkreten Situation wenden Sie sich bitte direkt an Rechtsanwalt Hermann Kaufmann. Eine rechtliche Prüfung Ihres Falls erfolgt erst im Rahmen eines Mandats. Die Inhalte sind teilweise KI-modifiziert und werden redaktionell geprüft. Über die Autorin · Michelle Engelmann · Diplom-Juristin (LL.M.) Diplom-Juristin (Dipl.-Jur.) mit LL.M. (Master of Laws). Sie hat ihr zweites juristisches Staatsexamen abgeschlossen und schreibt für die Kanzlei verständliche Rechtstipps, vor allem zum Bank- und Kapitalmarktrecht, Arbeitsrecht und Zivilrecht. [Zum Profil →](https://rechtsanwaltkaufmann.de/kanzlei/michelle-engelmann.md) ## Das könnte Sie auch interessieren - [Online Casino Geld zurück: So holen Sie Ihre Verluste 2026 zurück](https://rechtsanwaltkaufmann.de/bank-und-kapitalmarktrecht/online-casino-geld-zurueck.md) – Wer bei einem unlizenzierten Online-Casino verloren hat, kann sein Geld meist zurückfordern. Was seit dem EuGH-Urteil vom 16.4.2026 gilt, wie Curacao-Fälle laufen und ob eine Vorlage ohne Anwalt reicht. - [Sparkasse Betrug: Aktuelle Maschen und wann die Bank haften muss](https://rechtsanwaltkaufmann.de/bank-und-kapitalmarktrecht/sparkasse-betrug-bankhaftung.md) – Fake-Anruf der angeblichen Sparkassen-Sicherheitsabteilung, S-pushTAN-Betrug oder Phishing-SMS: Sparkassen-Kunden geraten aktuell ins Visier organisierter Betrüger. Was die Sparkassen und das LKA warnen, wann Sie Ihr Geld nach § 675u BGB zurückbekommen und wie Sie gegen die Sparkasse vorgehen. - [Commerzbank Spam-SMS und Phishing-Mails: Was jetzt zu tun ist](https://rechtsanwaltkaufmann.de/bank-und-kapitalmarktrecht/commerzbank-spam-sms-phishing-mail.md) – Eine SMS oder Mail von angeblich "Commerzbank" mit Aufforderung zur photoTAN-Bestätigung ist fast immer Betrug. Wie die aktuellen Phishing-Wellen 2026 funktionieren, woran Sie sie erkennen und wann die Bank für abgebuchtes Geld haftet. - [ADAC-Kreditkarte Betrug: Solarisbank-Kunden aufgepasst](https://rechtsanwaltkaufmann.de/bank-und-kapitalmarktrecht/adac-kreditkarte-solarisbank.md) – Seit dem Wechsel der ADAC-Kreditkartenverwaltung zur Solarisbank melden zahlreiche Mitglieder unautorisierte Abbuchungen im vierstelligen Bereich. Was hinter den Betrugsfällen steckt, wie Sie sich schützen und wie Sie Ihr Geld zurückbekommen. - [DHL Fake SMS: So erkennen Sie die Betrugsmasche per SMS und E-Mail](https://rechtsanwaltkaufmann.de/bank-und-kapitalmarktrecht/dhl-fake-sms-betrugsmail.md) – Eine SMS von angeblich „DHL“ mit Link zur Paketverfolgung ist fast immer Betrug. Wie das sogenannte Smishing funktioniert, wie Sie sich schützen und welche rechtlichen Schritte nach einem Datendiebstahl möglich sind. - [Kontoeröffnungsbetrug und Identitätsdiebstahl: Was tun, wenn ein Konto auf Ihren Namen läuft?](https://rechtsanwaltkaufmann.de/bank-und-kapitalmarktrecht/kontoeroeffnungsbetrug.md) – Kriminelle nutzen gestohlene Identitäten oder überreden Menschen in finanzieller Not, ein Konto im eigenen Namen zu eröffnen und die Zugangsdaten weiterzugeben. Was strafrechtlich passiert, wie Sie sich bei SCHUFA und Bank wehren, und warum auch gutgläubige Kontoinhaber Ärger bekommen, zeigt ein Fall aus unserer Kanzlei.