Ein täuschend echt wirkender Bankbrief, ein QR-Code und später ein vermeintlich hilfsbereiter Bankmitarbeiter am Telefon: Mit einer mehrstufigen Betrugsmasche haben Kriminelle einen Arzt aus Thüringen um knapp 100.000 Euro gebracht. Der Fall zeigt besonders eindrücklich, dass moderne Phishing-Angriffe längst nicht mehr nur aus schlecht formulierten E-Mails und verdächtigen Links bestehen.
Nach dem Bericht begann der Betrug mit einem Schreiben, das angeblich von der Deutschen Apotheker- und Ärztebank, kurz Apobank, stammte. Der Empfänger sollte seine Daten verifizieren und dafür einen im Brief abgedruckten QR-Code verwenden. Tatsächlich führte dieser nicht zum echten Onlinebanking, sondern auf eine von den Tätern kontrollierte Seite, die dem Bankauftritt nachempfunden war.
Der Fall gehört damit zum sogenannten Quishing – einer Variante des Phishings, bei der QR-Codes genutzt werden, um Opfer auf manipulierte Internetseiten zu führen.
Besonders bemerkenswert ist, dass sich die Täter offenbar gezielt an eine Berufsgruppe wenden, für die die Apobank ein naheliegender und vertrauter Absender ist. Nach Angaben im Bericht warnt auch die Kassenärztliche Vereinigung Hessen aktuell vor gefälschten Schreiben im Namen der Bank und verweist darauf, dass entsprechende Quishing-Versuche bereits seit Sommer 2024 verstärkt beobachtet werden.
Warum ein Papierbrief besonders glaubwürdig wirken kann
Der betroffene Arzt berichtet, dass das Schreiben zwischen seinem gewöhnlichen Praxis-Papierkram lag. Genau darin liegt eine Stärke dieser Betrugsform.
Phishing wird von vielen Menschen zunächst mit E-Mails, SMS oder Messenger-Nachrichten verbunden. Ein physischer Brief kann dagegen seriöser erscheinen – insbesondere dann, wenn Gestaltung, Sprache und Anlass plausibel wirken.
Der Arzt sollte angeblich seine Daten verifizieren, damit sein Konto weiterhin problemlos funktioniere. Er scannte den QR-Code und gab auf der anschließend geöffneten Seite seine Bankdaten ein. Erst später stellte sich heraus, dass die vermeintliche Banking-Seite lediglich dazu diente, Informationen abzugreifen.
Damit war der Angriff allerdings noch nicht beendet.
Der zweite Angriff kam per Telefon
Am Abend erhielt der Arzt einen Anruf von einem angeblichen Bankmitarbeiter. Dieser erklärte, es seien verdächtig hohe Überweisungen auf fremde Konten festgestellt worden.
Das ist der besonders raffinierte Teil des beschriebenen Vorgehens: Der Betrüger trat nicht mehr als jemand auf, der Geld oder Zugangsdaten verlangte, sondern scheinbar als Helfer, der einen bereits laufenden Betrug verhindern wollte.
Beim Opfer konnte diese Geschichte zusätzlich plausibel erscheinen, weil es sich an den zuvor gescannten QR-Code erinnerte. Der Verdacht, möglicherweise tatsächlich auf eine Phishing-Seite geraten zu sein, bestätigte scheinbar genau das, was der Anrufer behauptete.
Die Täter nutzten damit offenbar die Verunsicherung aus, die sie zuvor selbst erzeugt hatten.
Die vermeintliche Rettungsaktion wurde zur eigentlichen Falle
Nach Darstellung des Betroffenen behauptete der falsche Bankmitarbeiter anschließend, das tägliche Überweisungslimit sei auf 500.000 Euro erhöht worden. Er bot angeblich an, dieses auf 100.000 Euro zu reduzieren.
Der Arzt stimmte zu und bestätigte den Vorgang mit einer TAN.
Erst rückblickend stellte er fest, dass sein tatsächliches bisheriges Tageslimit lediglich 25.000 Euro betragen hatte. Die Geschichte des Anrufers hätte also Anlass zu Misstrauen geben können. In der konkreten Stresssituation bemerkte der Betroffene diesen Widerspruch jedoch nicht.
Das illustriert einen wichtigen Mechanismus solcher Angriffe: Die Täter müssen ihre Opfer nicht dauerhaft täuschen. Es genügt, in einem entscheidenden Moment genügend Zeitdruck, Angst und Vertrauen zu erzeugen, damit eine sicherheitsrelevante Handlung bestätigt wird.
Die Polizei Jena bezeichnet das Vorgehen im MDR-Bericht entsprechend als professionell und psychologisch geschickt und spricht von gezielter Manipulation.
Eine TAN ist keine Bestätigung der Identität des Anrufers
Der Fall macht außerdem einen verbreiteten Denkfehler sichtbar: Eine TAN oder eine Freigabe in einer Banking-App bestätigt nicht, dass der Gesprächspartner tatsächlich Mitarbeiter der Bank ist.
Sie autorisiert vielmehr einen konkreten Vorgang.
Deshalb ist entscheidend, vor jeder Freigabe genau zu prüfen, welcher Vorgang auf dem eigenen Gerät angezeigt wird. Die telefonische Erklärung eines angeblichen Bankmitarbeiters sollte dabei niemals wichtiger sein als die Informationen, die das eigene Banking-System zur Freigabe anzeigt.
Wer während eines unerwarteten Bankanrufs zu einer TAN-Freigabe oder einer anderen sicherheitsrelevanten Handlung aufgefordert wird, sollte das Gespräch beenden und die Bank anschließend selbst über eine bereits bekannte beziehungsweise unabhängig überprüfte Telefonnummer kontaktieren.
Das eigentlich Beunruhigende: Die Täter kombinierten mehrere Kanäle
Der Fall ist auch deshalb bemerkenswert, weil die Täter offenbar nicht auf einen einzigen Angriffskanal setzten.
Brief → QR-Code → gefälschte Banking-Seite → Telefonanruf → TAN-Freigabe.
Jeder einzelne Schritt bereitete den nächsten vor. Der Brief schuf Vertrauen. Die falsche Internetseite lieferte den Tätern Informationen. Der anschließende Anruf erzeugte Angst vor einem vermeintlich bereits laufenden Kontodiebstahl. Der angebliche Bankmitarbeiter präsentierte schließlich unmittelbar die vermeintliche Lösung.
Gerade diese Kombination kann klassische Warnmechanismen umgehen. Ein Betroffener muss nicht glauben, dass ein fremder Anrufer vertrauenswürdig ist – er muss lediglich glauben, dass der Anrufer Informationen über einen tatsächlichen Vorgang besitzt. Wenn die Täter diese Informationen zuvor selbst erbeutet haben, wirkt der Anruf erheblich glaubwürdiger.
Was man aus dem Fall lernen kann
Ein QR-Code sollte sicherheitstechnisch ähnlich behandelt werden wie ein unbekannter Link. Dass er auf einem professionell gestalteten Papierbrief gedruckt ist, sagt nichts darüber aus, wohin er tatsächlich führt.
Besonders bei Bankgeschäften empfiehlt sich deshalb ein einfaches Prinzip: Banking nicht über Links oder QR-Codes aus unerwarteten Schreiben öffnen. Stattdessen die bekannte Banking-App selbst starten oder die Internetadresse der Bank eigenständig aufrufen.
Noch wichtiger ist der Umgang mit überraschenden Telefonanrufen. Meldet sich angeblich eine Bank wegen eines akuten Sicherheitsproblems und verlangt unmittelbar eine TAN, Freigabe oder Änderung von Limits, sollte das Gespräch beendet werden. Anschließend kann man die Bank über einen selbst gewählten offiziellen Kontakt zurückrufen.
Kritische Einordnung
Der Fall zeigt zugleich, warum die einfache Erklärung „Das hätte man doch merken müssen“ zu kurz greift. Natürlich gab es Warnsignale: einen QR-Code zur Anmeldung, die Aufforderung zur Eingabe von Bankdaten und später die ungewöhnliche Geschichte über ein angeblich auf 500.000 Euro erhöhtes Überweisungslimit.
Doch die Täter präsentierten diese Elemente nicht gleichzeitig. Sie bauten offenbar Schritt für Schritt eine Situation auf, in der die jeweils nächste Handlung plausibel erscheinen sollte.
Das entschuldigt nicht jede unvorsichtige Freigabe, erklärt aber, warum auch Menschen mit langjähriger beruflicher und geschäftlicher Erfahrung auf solche Angriffe hereinfallen können. Der entscheidende Schutz besteht deshalb weniger darin, sich selbst für „zu erfahren für Phishing“ zu halten, sondern darin, feste Sicherheitsregeln einzuhalten – gerade dann, wenn eine Situation dringend und glaubwürdig erscheint.
Fazit: Der Verlust von knapp 100.000 Euro begann nicht mit einer spektakulären Hackerattacke, sondern mit einem scheinbar gewöhnlichen Brief. Besonders gefährlich war die Kombination aus analogem Schreiben, digitalem Datendiebstahl und anschließendem Social Engineering am Telefon. Der wichtigste Warnhinweis lautet deshalb: Ein professionelles Erscheinungsbild, Kenntnisse über das eigene Konto oder ein scheinbar plausibler Anruf beweisen nicht, dass man tatsächlich mit seiner Bank kommuniziert.
