Die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) warnt vor einer aktuellen Phishing-Kampagne, bei der Kriminelle gezielt Mitarbeiterinnen und Mitarbeiter beaufsichtigter Finanzinstitute ins Visier nehmen. Die Betrüger versenden E-Mails im Namen der Aufsichtsbehörde und versuchen, ihre Opfer zum Öffnen schädlicher Anhänge oder zum Anklicken manipulierter Links zu bewegen.
Nach Angaben der BaFin sind die Nachrichten so gestaltet, dass sie den Eindruck offizieller Behördenkommunikation erwecken. Häufig sind sie als Erinnerung oder Follow-up formuliert und enthalten scheinbar harmlose Fragen wie: „Haben Sie die Unterlagen bereits erhalten?“ oder ähnliche Formulierungen. Ziel dieser Taktik ist es, die Empfänger dazu zu verleiten, unbedacht auf einen Anhang oder einen Link zu klicken. Dahinter verbirgt sich jedoch Schadsoftware oder eine betrügerische Internetseite, über die sensible Daten abgegriffen werden können.
Besonders perfide ist die professionelle Gestaltung der E-Mails. Die Nachrichten enthalten gefälschte Signaturen angeblicher BaFin-Mitarbeiterinnen und -Mitarbeiter sowie ein nachgeahmtes BaFin-Logo. Dadurch sollen sie möglichst authentisch wirken und das Vertrauen der Empfänger gewinnen. Als Absender wird zudem eine „Abteilung für Rechtsdurchsetzung“ angegeben – eine Organisationseinheit, die es bei der BaFin tatsächlich nicht gibt. Dieser Umstand ist ein deutliches Warnsignal für einen Betrugsversuch.
Die Finanzaufsicht weist darauf hin, dass Kriminelle den Namen der BaFin immer wieder missbrauchen, um ihren Nachrichten einen offiziellen Anschein zu verleihen. Behörden genießen ein hohes Maß an Vertrauen, weshalb sich Betrüger diesen Ruf gezielt zunutze machen. Durch die vermeintliche Dringlichkeit oder den Eindruck einer behördlichen Anordnung hoffen sie, dass Empfänger weniger kritisch reagieren und schneller handeln.
Cyberkriminelle setzen dabei auf sogenannte Social-Engineering-Methoden. Statt technische Sicherheitslücken auszunutzen, manipulieren sie gezielt Menschen. Eine freundlich formulierte Erinnerung oder eine angeblich fehlende Unterlage genügt oft, um Empfänger zu einer unüberlegten Handlung zu bewegen. Wird ein infizierter Anhang geöffnet oder ein schädlicher Link angeklickt, können Schadprogramme installiert, Zugangsdaten gestohlen oder Unternehmensnetzwerke kompromittiert werden. Gerade Finanzinstitute stehen dabei besonders im Fokus, da sie über sensible Kunden- und Unternehmensdaten verfügen.
Die BaFin empfiehlt deshalb, bei unerwarteten E-Mails besondere Vorsicht walten zu lassen. Mitarbeitende sollten die Absenderadresse genau prüfen, Anhänge und Links nicht ungeprüft öffnen und bei Zweifeln Rücksprache mit der IT-Abteilung oder direkt mit der Aufsichtsbehörde halten. Insbesondere Nachrichten, die ungewöhnliche Formulierungen enthalten oder Druck zum schnellen Handeln aufbauen, sollten kritisch hinterfragt werden.
Der aktuelle Vorfall zeigt erneut, dass Phishing-Angriffe immer professioneller werden und selbst erfahrene Nutzer täuschen können. Unternehmen und Behörden sind deshalb gefordert, ihre Beschäftigten regelmäßig für Cyberrisiken zu sensibilisieren und technische Schutzmaßnahmen kontinuierlich zu verbessern. Nur durch eine Kombination aus Aufmerksamkeit, Sicherheitsbewusstsein und wirksamen IT-Schutzmechanismen lässt sich das Risiko erfolgreicher Cyberangriffe nachhaltig reduzieren.
Mit ihrer Warnung möchte die BaFin verhindern, dass weitere Finanzunternehmen Opfer der Betrugsmasche werden. Gleichzeitig macht der Fall deutlich, dass Cyberkriminalität weiterhin eine der größten Herausforderungen für den Finanzsektor darstellt. Wachsamkeit und ein kritischer Umgang mit unerwarteten E-Mails bleiben daher der wichtigste Schutz vor Phishing-Angriffen.
