Die Betrugsversuche sind besonders problematisch, weil die Täter den Namen einer staatlichen Aufsichtsbehörde verwenden. Die BaFin ist in Deutschland unter anderem für die Aufsicht über Banken, Versicherungen und Wertpapierdienstleister zuständig. Ihr Name kann bei Empfängern den Eindruck erwecken, dass eine Nachricht besonders wichtig oder behördlich verbindlich sei.
Genau dieses Vertrauen versuchen unbekannte Absender offenbar auszunutzen.
Nach Angaben der BaFin werden sowohl Privatpersonen als auch Unternehmen kontaktiert. Die Empfänger sollen beispielsweise auf eine E-Mail reagieren, einem Hyperlink folgen oder ihre Unterschrift unter ein Dokument setzen.
Welche konkreten Inhalte die betrügerischen Nachrichten haben und welche Absichten die Absender im Einzelnen verfolgen, geht aus der vorliegenden Warnung nicht hervor. Grundsätzlich können solche Aufforderungen jedoch dazu dienen, persönliche Informationen zu erlangen, Empfänger auf gefährliche Internetseiten zu leiten oder sie zu ungewollten Erklärungen zu bewegen.
Woran Verbraucher echte BaFin-E-Mails erkennen können
Die Finanzaufsicht weist ausdrücklich darauf hin, dass sie ausschließlich E-Mail-Adressen mit dem Domainteil @bafin.de verwendet.
Eine einzige Ausnahme nennt die Behörde für ihren Newsletter. Dieser wird über die Adresse BafinWebDE@newsletter.gsb.bund.de versendet.
E-Mail-Adressen mit anderen Domainendungen sind nach Angaben der BaFin keine offiziellen Absenderadressen der Behörde.
Allerdings sollten Verbraucher beachten, dass auch die angezeigte Absenderadresse einer E-Mail manipuliert sein kann. Eine auf den ersten Blick korrekt aussehende Adresse ist deshalb noch kein endgültiger Beweis für die Echtheit einer Nachricht.
Bei Zweifeln empfiehlt es sich, die BaFin ausschließlich über Kontaktdaten zu erreichen, die unabhängig auf ihrer offiziellen Internetseite recherchiert wurden.
BaFin kontaktiert Privatpersonen nicht unaufgefordert per E-Mail
Besonders wichtig ist eine weitere Klarstellung der Finanzaufsicht: Die BaFin kontaktiert Privatpersonen nicht unaufgefordert per E-Mail.
Ebenso wenig beauftragt sie Dritte damit, solche Kontaktaufnahmen in ihrem Namen durchzuführen.
Erhält ein Verbraucher also überraschend eine E-Mail, in der sich der Absender als BaFin-Mitarbeiter oder als von der Behörde beauftragte Person ausgibt, besteht ein erheblicher Anlass zur Vorsicht.
Das gilt insbesondere dann, wenn eine schnelle Reaktion verlangt wird oder die Nachricht dazu auffordert, einen Link zu öffnen, Unterlagen zu unterschreiben oder persönliche Daten preiszugeben.
Warum Links und Unterschriften besonders kritisch sind
Die in der BaFin-Warnung genannten Aufforderungen betreffen unterschiedliche Risiken.
Wer auf eine verdächtige E-Mail antwortet, bestätigt unter Umständen, dass seine Adresse aktiv genutzt wird, und kann weitere Kontaktversuche auslösen.
Ein Hyperlink kann auf eine Internetseite führen, die einer offiziellen Behördenwebsite ähnelt. Dort könnten beispielsweise Zugangsdaten oder andere persönliche Informationen abgefragt werden. Auch technisch schädliche Inhalte sind bei betrügerischen Nachrichten grundsätzlich möglich.
Besondere Vorsicht ist außerdem geboten, wenn unbekannte Absender verlangen, Dokumente zu unterschreiben. Bevor eine Unterschrift geleistet wird, muss geklärt sein, von wem das Dokument tatsächlich stammt und welche rechtlichen Folgen damit verbunden sein können.
Diese Risiken beschreiben typische Gefahren betrügerischer E-Mails. Die BaFin-Mitteilung vom 19. Oktober 2026 enthält keine näheren Angaben darüber, ob in den konkret gemeldeten Fällen bereits Daten abgegriffen, Schadsoftware verbreitet oder finanzielle Schäden verursacht wurden.
Was Betroffene jetzt tun sollten
Wer eine verdächtige E-Mail im Namen der BaFin erhält, sollte zunächst keine Links öffnen, keine Anhänge herunterladen und keine Dokumente unterschreiben.
Auch auf die Nachricht zu antworten, ist nicht empfehlenswert, solange die Echtheit nicht zweifelsfrei geklärt ist.
Stattdessen sollten Empfänger die Absenderadresse sorgfältig prüfen und bei Bedarf direkt über die offizielle Internetseite der BaFin Kontakt zur Behörde aufnehmen.
Wer bereits auf einen verdächtigen Link geklickt oder persönliche Informationen übermittelt hat, sollte die betroffenen Zugänge sichern. Wurden Passwörter eingegeben, empfiehlt sich deren unverzügliche Änderung über die echte Website des jeweiligen Dienstes.
Sind Bankdaten oder Zahlungsinformationen betroffen, sollte auch das zuständige Kreditinstitut informiert werden.
Unternehmen sollten verdächtige Nachrichten zudem an ihre IT-Sicherheitsverantwortlichen weiterleiten, damit mögliche Risiken für die betriebliche Infrastruktur überprüft werden können.
BaFin empfiehlt Strafanzeige
Die Finanzaufsicht rät Empfängern solcher betrügerischen Nachrichten ausdrücklich, wachsam zu bleiben und Anzeige bei der Polizei oder Staatsanwaltschaft zu erstatten.
Dabei kann es hilfreich sein, die ursprüngliche E-Mail einschließlich der Absenderinformationen aufzubewahren. Auch Screenshots, beigefügte Dokumente und Informationen über bereits erfolgte Kontaktaufnahmen können für die Aufklärung relevant sein.
Wichtig ist, verdächtige Nachrichten nicht vorschnell zu löschen, bevor mögliche Beweismittel gesichert wurden.
