KI-Phishing-Welle in Deutschland: 54 % Klickrate bei gefälschten Sparkassen-Mails

Veröffentlicht am 14.07.2026

Mehr als jeder zweite Empfänger klickt. Was nach einer Übertreibung klingt, ist das Ergebnis einer aktuellen Forschungsarbeit der Harvard University: Vollautomatisch mit Künstlicher Intelligenz erstellte Phishing-E-Mails erreichen eine Klickrate von 54 Prozent – fast das Vierfache herkömmlicher Betrugsmails, die nur auf rund 12 Prozent kommen. Und diese Zahl ist keine graue Theorie mehr: Seit Anfang Juli 2026 rollt eine konkrete Phishing-Welle durch Deutschland, die genau diese Technik nutzt. Ihr Köder: die reale Umstellung der Sparkassen-App.

Für Inhaber und Entscheider kleiner und mittlerer Unternehmen ist das mehr als ein Verbraucherthema. Wenn ein Mitarbeiter auf eine solche Mail hereinfällt, drohen Kontoübernahmen, Datenabflüsse – und im schlimmsten Fall eine meldepflichtige Datenpanne nach der DSGVO mit 72-Stunden-Frist. In diesem Artikel erklären wir, was gerade passiert, warum diese Angriffe so gefährlich sind, wie Sie prüfen, ob Sie betroffen sind, und was Sie jetzt konkret tun müssen.

Was ist passiert?

Die Verbraucherzentrale NRW hat am 7. Juli 2026 in ihrem Phishing-Radar eine neue Betrugskampagne dokumentiert, die sich als offizielle Nachricht der Sparkasse tarnt. Der Aufhänger ist geschickt gewählt, weil er stimmt: Der Deutsche Sparkassen- und Giroverband (DSGV) stellt die eigenständige S-ID-Check-App (eine App zur Freigabe von Zahlungen) bis Ende Januar 2027 ein. Künftig laufen alle Zahlungsfreigaben über die S-pushTAN-App.

„Die S-ID-Check-App wird bis Ende Januar 2027 eingestellt. Künftig erfolgen alle Zahlungsfreigaben direkt in der S-pushTAN-App. Ziel: Weniger Apps, mehr Übersicht – und ein sichereres Banking-Erlebnis für rund 50 Millionen Kunden.“ – Deutscher Sparkassen- und Giroverband (DSGV)

Genau diese echte Umstellung missbrauchen die Kriminellen. Ihre gefälschten E-Mails verlangen eine „wichtige Aktualisierung“ der S-pushTAN-App und eine Identitätsbestätigung – andernfalls werde das Konto eingeschränkt. Wer dem Link folgt, landet auf einer täuschend echten Kopie der Sparkassen-Website, auf der Zugangsdaten abgegriffen werden.

„Im Namen der Sparkassen wird zur Aktualisierung der S-pushTAN-App und zur Bestätigung der eigenen Identität aufgefordert. Andernfalls könne das Konto eingeschränkt werden. Anzeichen für Phishing: unseriöse Absenderadresse, unpersönliche Anrede, Aufforderung zur Aktualisierung und Identitätsbestätigung, Drohung mit Kontoeinschränkung, Link in der Mail.“ – Verbraucherzentrale NRW, Phishing-Radar (7. Juli 2026)

Parallel laufen weitere Wellen: Die Verbraucherzentrale warnte am 10. Juli vor gefälschten DKB-Mails, am 13. Juli vor einer falschen Commerzbank-photoTAN-Mail und am 14. Juli vor einer AOK-Gesundheitskarten-Masche. Und im Reisebereich wurden laut Atalayar/INCIBE in einer einzigen Juli-Woche über 45.000 betrügerische Reise-E-Mails identifiziert.

Der technische Hintergrund: Warum KI-Phishing so gefährlich ist

Bei klassischem Phishing verrieten sich Betrüger oft durch Rechtschreibfehler, holprige Formulierungen oder plumpe Aufmachung. Diese Zeit ist vorbei. KI-generiertes Phishing (auch KI-Spear-Phishing – gezieltes, personalisiertes Phishing) nutzt große Sprachmodelle (sogenannte LLMs wie GPT-4o oder Claude 3.5 Sonnet), um in industriellem Maßstab fehlerfreie, individuell zugeschnittene Mails zu erzeugen.

Die Harvard-Forscher um Fred Heiding, Bruce Schneier und Kollegen (arXiv:2412.00586, eingereicht am 30. November 2024) haben den kompletten Angriffsablauf getestet. Er läuft in vier Schritten ab:

1. Informationssammlung: Ein KI-Tool durchsucht öffentliche Quellen wie LinkedIn, XING, Unternehmenswebseiten und Social Media und erstellt ein individuelles „Verwundbarkeitsprofil“ der Zielperson. In 88 Prozent der Fälle waren die gesammelten Informationen laut Studie korrekt und verwertbar.
2. Personalisierte Mail-Erstellung: Das Sprachmodell verfasst eine täuschend echte E-Mail mit korrekter Anrede, persönlichen Details und aktuellen Bezügen (etwa einer laufenden App-Umstellung) – kombiniert mit psychologischem Druck wie Fristen oder Sperrdrohungen.
3. Auslieferung und Datendiebstahl: Der Link führt auf eine gefälschte, optisch identische Bankseite. Bei sogenannten Adversary-in-the-Middle-Angriffen (AiTM) werden eingegebene Daten in Echtzeit an die Angreifer weitergeleitet – und dabei können sogar Zwei-Faktor-Codes abgefangen werden.
4. Kontoübernahme und Missbrauch.

Das Ergebnis der Studie ist alarmierend:

„The AI-automated attacks performed on par with human experts and 350% better than the control group. […] The AI-gathered information was accurate and useful in 88% of cases.“ – Fred Heiding et al., Harvard University (arXiv:2412.00586)

Konkret: Klassisches Phishing erzielte 12 Prozent Klickrate. Vollautomatisch KI-generiertes Spear-Phishing erreichte 54 Prozent – genauso viel wie von menschlichen Experten erstellte Mails. Mit menschlichem Feinschliff waren es sogar 56 Prozent. KI macht Angriffe damit rund 3,5-mal effizienter – und das zu einem Bruchteil der Kosten.

Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) bestätigt diesen Trend deutlich:

„Phishing-Mails werden heute oft sprachlich professionell und wirken täuschend echt. Fehler oder krumme Umlaute sind längst kein verlässliches Erkennungsmerkmal mehr. Seriöse Banken fragen sensible Daten wie TAN oder PIN niemals per E-Mail ab.“ – BSI

Wer ist betroffen?

Kurz gesagt: potenziell jeder mit einem E-Mail-Postfach. Die aktuelle Kampagne zielt primär auf Sparkassen-Kunden (über 50 Millionen in Deutschland), doch das Muster ist beliebig übertragbar – auf Software-Updates, angebliche DSGVO-Konformitätsprüfungen, Steuerfristen oder Paketbenachrichtigungen.

Besonders im Fokus stehen KMU. Laut dem ESET SMB Cyber Readiness Index 2026 gehen 43 Prozent der Cybervorfälle bei kleinen und mittleren Unternehmen auf Social Engineering zurück. Der Grund: KMU haben oft weniger IT-Sicherheitsressourcen, verwalten aber genauso viele sensible Kunden- und Mitarbeiterdaten. Der Verizon 2026 Data Breach Investigations Report – basierend auf über 31.000 Vorfällen – zeigt, dass der menschliche Faktor bei 62 Prozent aller Datenpannen beteiligt ist und Phishing in 16 Prozent der Fälle der initiale Einbruchsweg ist.

Die Angriffe kommen dabei nicht nur per E-Mail. Weitere Varianten sind Smishing (per SMS), Vishing (per Telefon, teils mit KI-geklonten Stimmen), Quishing (über QR-Codes) sowie ausgefeilte Techniken wie CalPhishing (Schadlinks in Kalendereinladungen) oder Device Code Phishing (Umgehung der Zwei-Faktor-Anmeldung über legitime Autorisierungsprozesse).

So prüfen Sie, ob Sie betroffen sind

Da hier keine Software-Lücke ausgenutzt wird, sondern der Mensch, ist genaues Hinschauen entscheidend. Arbeiten Sie folgende Prüfschritte ab:

1. Absenderadresse prüfen: Sehen Sie sich die vollständige Absenderadresse an, nicht nur den angezeigten Namen. Offizielle Sparkassen-Mails kommen ausschließlich von @sparkasse.de-Domains. Varianten wie @sparkasse-sicherheit.com sind eindeutig Phishing.
2. Link-Ziel prüfen – ohne zu klicken: Fahren Sie mit der Maus über den Link (Mouseover) und lesen Sie die URL in der Statusleiste. Führt sie nicht zu sparkasse.de oder Ihrer regionalen Sparkassen-Domain, ist Vorsicht geboten.
3. Anrede und Inhalt prüfen: Unpersönliche Anreden wie „Sehr geehrte Kundin, sehr geehrter Kunde“ sind ein Warnsignal – Ihre Bank kennt Ihren Namen. Achten Sie auf Fehler wie „lauft“ statt „läuft“ (ein reales Beispiel aus der DKB-Kampagne vom 10. Juli 2026).
4. Zeitdruck und Drohungen erkennen: Konkrete Fristen („bis zum 15.07.2026“) kombiniert mit Sperrdrohungen sind klassisches Social Engineering. Seriöse Banken stellen keine solchen Ultimaten per E-Mail.
5. Direkt über offizielle Kanäle verifizieren: Melden Sie sich ausschließlich über die offizielle App oder die bekannte Bank-Website an – niemals über einen Link aus der E-Mail.
6. E-Mail-Header analysieren (für Technikaffine): Prüfen Sie die Felder „Return-Path“, „Received“ und „Authentication-Results“ auf SPF-/DKIM-Fehler. Ein solcher Fehler belegt, dass die Mail nicht von der angeblichen Domain stammt.
7. Mitarbeiter befragen und Logins prüfen: Hat jemand geklickt oder Daten eingegeben? Kontrollieren Sie Login-Protokolle auf unbekannte IP-Adressen, ungewöhnliche Zeiten oder fremde Geräte.
8. Phishing-Radar konsultieren: Gleichen Sie verdächtige Mails mit den aktuellen Warnungen der Verbraucherzentrale ab.

Das müssen Sie jetzt tun

Es gibt keinen Patch, den man installieren könnte – die Abwehr ist organisatorisch und technisch. Diese Maßnahmen sollten Sie priorisieren:

1. Bei Verdacht sofort: Nicht klicken. Leiten Sie verdächtige Sparkassen-Mails an warnung@sparkasse.de weiter, allgemeine Phishing-Mails an phishing@verbraucherzentrale.nrw, und löschen Sie sie danach.
2. Zwei-Faktor-Authentifizierung (MFA/2FA) überall aktivieren: Für E-Mail, Online-Banking, Microsoft 365, Cloud-Dienste und VPN. Wichtig: Standard-MFA kann durch AiTM-Angriffe umgangen werden. Bevorzugen Sie phishing-resistente Verfahren wie FIDO2-Sicherheitsschlüssel oder Passkeys.
3. E-Mail-Authentifizierung einrichten: Konfigurieren Sie SPF, DKIM und DMARC für Ihre eigene Domain. Das verhindert, dass Betrüger in Ihrem Namen Mails versenden. Prüfbar mit Tools wie MXToolbox.
4. Mitarbeiter schulen: Kurze, regelmäßige Awareness-Updates und simulierte Phishing-Tests. Beachten Sie: In Deutschland ist für solche Tests eine Betriebsvereinbarung nach § 87 BetrVG nötig. Schulen Sie besonders Buchhaltung, Einkauf und Assistenz.
5. Zahlungsprozesse absichern: Vier-Augen-Prinzip ab einem definierten Betrag; Änderungen von Bankverbindungen immer über einen zweiten, unabhängigen Kanal (Rückruf unter bekannter Nummer) verifizieren.
6. Technik nachrüsten: Anti-Phishing-Filter/E-Mail-Gateway einsetzen, Office-Makros aus dem Internet blockieren, Browser und Systeme aktuell halten.
7. Meldekette etablieren: Ein klarer interner Meldeweg (z. B. security@ihrunternehmen.de), den jeder kennt.
8. Im Schadensfall: Betroffene Geräte vom Netz trennen, alle Passwörter über ein sicheres Gerät ändern, Bank informieren (Sperr-Notruf 116 116), Strafanzeige erstatten, Beweise sichern (Mail als EML-Datei mit Headern) – und die DSGVO-Meldepflicht prüfen.

Einordnung: DSGVO, NIS2 und die rechtlichen Folgen

Für Unternehmen ist ein erfolgreicher Phishing-Angriff nicht nur ärgerlich, sondern rechtlich brisant. Gelangen durch ein kompromittiertes Mitarbeiterkonto personenbezogene Daten an Dritte, liegt eine meldepflichtige Datenschutzverletzung vor.

• Art. 33 DSGVO – Meldepflicht: Die Meldung an die Aufsichtsbehörde muss unverzüglich, möglichst binnen 72 Stunden ab Bekanntwerden erfolgen. Versäumte Meldungen sind 2026 ein zunehmend häufiger Auslöser für Bußgeldverfahren gegen KMU.
• Art. 34 DSGVO – Benachrichtigungspflicht: Bei hohem Risiko (etwa Abfluss von Bank- oder Gesundheitsdaten) müssen auch die Betroffenen informiert werden.
• Bußgelder: Bei Verstößen gegen Art. 33/34 drohen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. Berliner und Hamburger Aufsichtsbehörden nehmen laut Material erstmals systematisch auch kleinere Unternehmen ins Visier.
• NIS2: Für regulierte Unternehmen (rund 29.500 in Deutschland, seit Dezember 2025 in Kraft) gilt eine dreistufige Meldepflicht – Erstmeldung binnen 24 Stunden an das BSI, Folgemeldung binnen 72 Stunden, Abschlussbericht binnen eines Monats.
• Cyber Resilience Act (CRA): Ab dem 11. September 2026 werden Meldungen aktiv ausgenutzter Schwachstellen und schwerer Vorfälle über eine zentrale ENISA-Plattform Pflicht.

Ein Trost für private Betroffene: Nach § 675u BGB muss die Bank bei nicht autorisierten Zahlungen unverzüglich erstatten, und die Beweislast für grobe Fahrlässigkeit liegt bei der Bank (BGH-Urteil März 2024). Rechtsanwältin Mareike Banaszak ordnet ein:

„Moderne, KI-gestützte Phishing-Angriffe sind oft kaum von echter Bankkommunikation zu unterscheiden. Gerichte prüfen genau, wie professionell die Täuschung war und welche Warnhinweise tatsächlich erkennbar waren. Allein die Eingabe einer TAN oder eine Freigabe bedeutet nicht automatisch grobe Fahrlässigkeit.“ – RAin Mareike Banaszak, mbkanzlei Frankfurt

Wie ernst die Lage ist, zeigt auch die internationale Strafverfolgung: Interpols Operation First Light 2026 (Januar bis April 2026, 97 Länder) führte zu 5.811 Festnahmen, 293 Millionen US-Dollar sichergestellten Geldern und 31.014 gesperrten Bankkonten. Der Gesamtschaden durch Cyberangriffe für die deutsche Wirtschaft beziffert der Bitkom-Wirtschaftsschutzbericht 2025 auf 289,2 Milliarden Euro.

Fazit

Die 54-Prozent-Klickrate ist ein Warnschuss: Die Faustregel „Achte auf Rechtschreibfehler“ ist tot. KI erzeugt fehlerfreie, personalisierte Angriffe im industriellen Maßstab – und die aktuelle Sparkassen-Welle zeigt, wie geschickt Betrüger reale Ereignisse als Köder nutzen. Für KMU ist das Risiko hoch, weil ein einziger Klick eine Datenpanne mit DSGVO-Meldepflicht auslösen kann.

Die gute Nachricht: Die wirksamsten Schutzmaßnahmen sind kein Hexenwerk. Aktivieren Sie phishing-resistente Zwei-Faktor-Authentifizierung, richten Sie SPF, DKIM und DMARC für Ihre Domain ein, schulen Sie Ihre Mitarbeiter regelmäßig und etablieren Sie klare Melde- und Zahlungsprozesse. Wer diese Grundlagen jetzt umsetzt, macht sich zu einem deutlich unattraktiveren Ziel – auch für Angreifer mit KI im Rücken.

Und ganz konkret für den Moment: Wenn Sie eine „wichtige Aktualisierung“ Ihrer S-pushTAN-App per E-Mail erhalten – klicken Sie nicht. Öffnen Sie stattdessen die offizielle App und prüfen Sie dort, ob wirklich etwas zu tun ist. Ihre Bank fragt niemals per E-Mail nach TAN, PIN oder Zugangsdaten.