Kartenbetrug 2026: Wie Smishing und Quishing funktionieren – und wie Sie Ihr Geld zurückbekommen
Kartenbetrug ist kein Randphänomen mehr. Die Polizeiliche Kriminalstatistik zählte für 2025 rund 96.400 Fälle von Betrug mit Konten und Zahlungskarten, etwa fünf Prozent mehr als im Jahr zuvor. Beim Bundesverband der Verbraucherzentralen stiegen die Beschwerden über Cyberkriminalität im Zusammenhang mit Finanzdienstleistungen sogar um 54 Prozent. Dieser Ratgeber erklärt, wie die aktuellen Maschen ablaufen, woran Sie sie erkennen – und was nach einem Schaden rechtlich für Sie spricht.
Die Zahlen: Was sich 2026 verändert hat
Der Betrug hat sich verlagert. Klassische E-Mail-Phishing-Wellen gibt es weiterhin, gewachsen sind 2026 aber vor allem zwei Varianten: Quishing, also Betrug über manipulierte QR-Codes, legte im ersten Quartal 2026 um 146 Prozent zu. Smishing – Phishing per SMS – sprang im zweiten Quartal um 162 Prozent nach oben.
Der Grund für das Wachstum ist industrielle Arbeitsteilung. Im Sommer 2026 haben das Bundeskriminalamt und die Zentralstelle zur Bekämpfung der Internetkriminalität gemeinsam mit US-Behörden die Phishing-Plattform Kratos abgeschaltet und dabei über 200 Server deaktiviert. Die Plattform arbeitete wie ein Franchise: rund 1.800 Abnehmer starteten damit etwa 15.000 betrügerische Kampagnen pro Monat.
Für Kartenbesitzer heißt das: Die Angriffe kommen nicht mehr in erkennbar schlechtem Deutsch. Vorlagen, Absendernummern und nachgebaute Bank-Websites stammen aus professionellen Baukästen, und wer den Betrug allein an Rechtschreibfehlern festmachen will, erkennt ihn heute nicht mehr.
So läuft die typische Masche ab
Schritt eins ist fast immer eine Nachricht mit Zeitdruck: eine angeblich nicht zustellbare Paketsendung, eine offene Zollgebühr von 2,99 Euro, eine gesperrte Karte oder ein Abo, das gleich verlängert wird. Der Link führt auf eine Kopie der Bank- oder Kartenanbieter-Seite, die Zugangsdaten und Kartendaten abgreift.
Schritt zwei ist der eigentliche Schaden – und der passiert meist per Telefon. Kurz nach der Dateneingabe ruft ein angeblicher Mitarbeiter der Betrugsabteilung an, oft mit gefälschter Rufnummer der echten Bank. Er bittet darum, eine Push-Freigabe in der Banking-App zu bestätigen, um die Karte zu "sichern". Tatsächlich bestätigt das Opfer damit die Hinterlegung der eigenen Karte in einer fremden Wallet oder gibt eine Zahlung frei.
Beim Quishing ersetzen Täter QR-Codes im öffentlichen Raum – an Parkautomaten, Ladesäulen oder auf Rechnungen – durch eigene Aufkleber. Der Code führt auf eine Bezahlseite, die täuschend echt aussieht und Kartendaten mitschneidet. Weil ein QR-Code keine sichtbare Adresse hat, fällt der Austausch nicht auf.
Die drei zuverlässigsten Warnsignale
Erstens: Keine echte Bank fordert Sie per SMS, E-Mail oder Telefon auf, eine Freigabe in der App zu erteilen. Freigaben bestätigen immer eine Aktion, die Sie selbst ausgelöst haben. Wenn jemand am Telefon erklärt, wofür Sie gerade freigeben sollen, ist das Gespräch beendet.
Zweitens: Zeitdruck ist Methode. Formulierungen wie "innerhalb von 24 Stunden", "letzte Mahnung" oder "Konto wird gesperrt" sollen das Nachdenken abkürzen. Legen Sie auf und rufen Sie über die Nummer auf der Kartenrückseite zurück – niemals über eine Nummer aus der Nachricht.
Drittens: Prüfen Sie den Freigabetext in der App, nicht nur den Button. Dort steht, was tatsächlich bestätigt wird: eine Zahlung, eine Kartenhinterlegung in einem Wallet oder eine Änderung des Tageslimits. Wer nur auf "Bestätigen" schaut, übersieht genau die Information, auf die es ankommt.
Nach dem Schaden: Die ersten Stunden zählen
Sperren Sie die Karte sofort – in der App oder über den Sperr-Notruf 116 116, aus dem Ausland mit der Vorwahl +49. Melden Sie den Vorfall danach der Bank über einen dokumentierbaren Kanal, also Banking-Postfach oder E-Mail, nicht nur telefonisch. Ändern Sie anschließend die Zugangsdaten zum Online-Banking und prüfen Sie, ob eine fremde Geräte- oder Wallet-Registrierung hinterlegt wurde.
Erstatten Sie Anzeige bei der Polizei. Das ist kein Selbstzweck: Banken verlangen die Vorgangsnummer regelmäßig als Nachweis, und im Streitfall stützt die Anzeige Ihre Darstellung.
Widersprechen Sie den unautorisierten Buchungen schriftlich und mit Fristsetzung. Wichtig ist die 13-Monats-Frist: Wer eine unautorisierte Abbuchung nicht spätestens 13 Monate nach der Belastung rügt, verliert seine Ansprüche. Bei Kreditkarten läuft parallel das Chargeback-Verfahren über das Kartennetzwerk.
Ihr Erstattungsanspruch – und wo Banken abwehren
Die gesetzliche Ausgangslage ist verbraucherfreundlich: Bei einer nicht autorisierten Zahlung muss die Bank den Betrag unverzüglich erstatten und das Konto wieder auf den Stand bringen, auf dem es ohne die Belastung wäre. Das steht in § 675u BGB und gilt unabhängig davon, ob der Täter gefasst wird.
Die Ausnahme steht in § 675v BGB: Bei grober Fahrlässigkeit des Kunden haftet dieser in voller Höhe. Genau hier setzen Banken in Phishing- und Smishing-Fällen an – die Weitergabe einer TAN oder eine erteilte Push-Freigabe wird regelmäßig als grob fahrlässig eingestuft. Ob das im Einzelfall trägt, hängt stark davon ab, wie professionell die Täuschung war und wie die Bank ihre Freigabetexte formuliert.
Lassen Sie eine pauschale Ablehnung deshalb nicht auf sich beruhen. Kostenlose Wege zur Überprüfung sind die Schlichtungsstellen der Bankenverbände, die Beschwerde bei der BaFin und die Rechtsberatung der Verbraucherzentrale. Erfahrungsgemäß bewegen sich Institute, sobald der Fall dokumentiert und die Argumentation konkret ist.
Vorbeugen: fünf Einstellungen, die wirklich helfen
Aktivieren Sie Echtzeit-Benachrichtigungen für jede Kartenbuchung. Das ist der einzige Mechanismus, der Ihnen einen Schaden innerhalb von Sekunden statt beim Monatsabschluss meldet. Setzen Sie zusätzlich das Kartenlimit auf einen Wert, den Sie tatsächlich brauchen.
Nutzen Sie für Online-Einkäufe eine virtuelle Karte oder eine separate Karte mit niedrigem Limit. Wird die Nummer abgegriffen, ist der Schaden begrenzt und die Hauptkarte bleibt nutzbar. Viele Anbieter erlauben es, virtuelle Kartennummern pro Händler zu erzeugen und einzeln zu löschen.
Schalten Sie in der Banking-App Funktionen ab, die Sie nicht brauchen – etwa Auslandszahlungen, Bargeldabhebung im Nicht-EU-Ausland oder Online-Zahlungen ohne 3D-Secure. Und prüfen Sie einmal im Quartal, welche Geräte und Wallets für Ihr Konto freigeschaltet sind. Eine fremde Registrierung, die dort seit Wochen steht, ist der wahrscheinlichste Vorbote der nächsten Abbuchung.