Bankkarte – dieses kleine Stück Plastikin Ihrer Brieftasche gilt für die meisten Menschen als unverzichtbarer Schlüssel zum eigenen Geld. Doch eine neue, hochprofessionelle Betrugsmasche zeigt erschreckend deutlich: Selbst wenn Ihre Bankkarte physisch in Ihrer Hand bleibt, könnenKriminelle sie für Zahlungen und Geldabhebungen missbrauchen. Seit Ende September 2026 warnen Erste Bank und Sparkassenin Österreich eindringlich vor einer ausgeklügelten Methode, bei der Betrüger per Telefon, WhatsApp und einer gefälschten Sicherheits-App vollständigen Zugriff auf Ihre Bankkarte erlangen – ohne dass Sie diese jemals aus der Hand geben müssen.
Die neue Dimension des Telefonbetrugs: Wenn Technologie zur Waffe wird
Was diese Masche von klassischen Enkeltrick-Varianten oder dem bekannten „Fake-Polizist”-Betrug unterscheidet, ist die raffinierte Kombination aus psychologischer Manipulation und technischem Know-how. Die Täter nutzen nicht länger nur die Angst und Gutgläubigkeit ihrer Opfer – sie verwandeln das Smartphone des Betroffenen in ein Werkzeug für den eigenen Raubzug.
Der typische Ablauf beginnt mit einem scheinbar harmlosen Anruf. Eine Person meldet sich als Mitarbeiter Ihrer Bank und schildert ein dringendes Sicherheitsproblem: angeblich gab es einen unberechtigten Zugriff auf Ihr Konto oder eine verdächtige Transaktion wurde festgestellt. Diese Nachricht löst bei den meisten Menschen sofort Alarmbereitschaft aus – genau das ist das Ziel der Betrüger. In diesem Moment der Verunsicherung sind Opfer besonders empfänglich für scheinbar hilfreiche Ratschläge.
Kurz nach dem Anruf folgt eine WhatsApp-Nachricht mit einem Link zu einer angeblichen „Sicherheits-App”. Die Täter argumentieren, diese App sei notwendig, um Ihr Konto zu schützen oder die verdächtigen Aktivitäten zu überprüfen. Wer die App installiert, öffnet damit unwissentlich Tür und Tor für weitreichenden Zugriff auf das eigene Gerät.
NFC-Technologie: Vom Komfort-Feature zum Sicherheitsrisiko
Das eigentliche Herzstück dieser Betrugsmasche ist die NFC-Funktion (Near Field Communication), die in modernen Smartphones und Bankkarten standardmäßig verbaut ist. Ursprünglich entwickelt, um kontaktloses Bezahlen an der Kasse oder am Geldautomaten zu ermöglichen, wird diese Technologie nun von Kriminellen für ihre Zwecke missbraucht.
Nach der Installation der Schadsoftware werden die Opfer aufgefordert, NFC an ihrem Android-Gerät zu aktivieren und ihre Bankkarte an das Handy zu halten – angeblich zur Verifizierung oder zur Änderung der PIN. Was in diesem Moment geschieht, bleibt für den Nutzer völlig unsichtbar: Eine spezielle Malware namens „WindRelay” liest die drahtlose Kommunikation zwischen Bankkarte und Smartphone aus und leitet diese Daten in Echtzeit an ein Gerät der Betrüger weiter.
Cybersecurity-Experten von Group-IB, die diesen Betrugstyp intensiv untersucht haben, beschreiben WindRelay als maßgeschneiderte NFC-Relay-Malware. In Kombination mit dem Fernsteuerungs-Trojaner „SpyNote” entsteht ein gefährliches Duo: SpyNote ermöglicht den Tätern die vollständige Kontrolle über das infizierte Smartphone, während WindRelay als virtueller Kartenleser fungiert.
So funktioniert der „Ghost Tap”: Ihre Karte bleibt bei Ihnen – trotzdem wird sie benutzt
Das Perfide an dieser Methode, die in der Sicherheitsbranche auch als „Ghost Tap” bezeichnet wird: Die Bankkarte verlässt niemals die Hand des Opfers. Dennoch können die Täter damit an Geldautomaten Bargeld abheben oder in Geschäften bezahlen – als würden sie die physische Karte selbst besitzen.
Technisch gesehen fungiert das infizierte Smartphone des Opfers als Brücke. WindRelay fängt die bei jedem NFC-Kontakt entstehenden Daten ab – einschließlich der dynamischen Sicherheitscodes, die bei kontaktlosen Zahlungen generiert werden. Diese Informationen werden live an ein zweites Gerät der Kriminellen gestreamt, das dann an einem Geldautomaten oder Terminal verwendet wird. Aus Sicht des Zahlungssystems sieht es so aus, als wäre die echte Bankkarte vor Ort.
In dokumentierten Fällen dauerte der gesamte Angriffszyklus lediglich 13 Minuten. In dieser kurzen Zeitspanne gelang es den Tätern nicht nur, die Malware zu installieren und die Bankkarte auszulesen, sondern auch noch über die Banking-App des Opfers Kredite aufzunehmen. Die finanziellen Schäden können somit weit über das Guthaben auf dem Girokonto hinausgehen.
Warum gerade Android-Nutzer im Fokus stehen
Die aktuellen Warnungen der Erste Bank und Sparkassen richten sich insbesondere an Besitzer von Android-Smartphones. Dies ist kein Zufall: Das offene Ökosystem von Android erlaubt es Kriminellen vergleichsweise einfach, schadhafte Apps außerhalb der offiziellen Google-Play-Stores zu verbreiten. Zudem bieten Android-Geräte tiefgreifende Systemzugriffe, die von Malware wie SpyNote ausgenutzt werden können.
Betroffen von dieser Masche sind derzeit vor allem Kunden in Österreich, Tschechien, der Slowakei und Slowenien. Sicherheitsforscher haben jedoch bereits mehr als 23 verschiedene WindRelay-Varianten identifiziert, die zwischen November 2025 und Juli 2026 auf Plattformen wie VirusTotal hochgeladen wurden. Dies deutet auf eine professionalisierte, grenzüberschreitende Betrugsinfrastruktur hin.
Drei goldene Regeln: Was Ihre Bank niemals von Ihnen verlangen wird
Die wichtigste Erkenntnis für jeden Bank-Kunden lautet: Echte Bankmitarbeiter werden Sie unter keinen Umständen zu den folgenden Handlungen auffordern. Wenn Sie eine dieser Forderungen hören, handelt es sich mit absoluter Sicherheit um Betrug:
- Installation einer App: Keine seriöse Bank wird Sie telefonisch dazu auffordern, eine per WhatsApp oder SMS zugesandte App zu installieren. Sicherheitssoftware wird ausschließlich über offizielle Kanäle bereitgestellt.
- Karte ans Handy halten: Der Hinweis, Ihre Bankkarte an das Smartphone zu halten, ist ein klares Betrugssignal. Diese Handlung hat im Kontext eines Telefonats mit Ihrer Bank keinerlei sinnvolle Funktion.
- PIN am Telefon nennen: Die Geheimzahl Ihrer Bankkarte ist ausschließlich für Sie bestimmt. Kein Bankmitarbeiter, kein Polizist und keine andere autorisierte Person wird Sie jemals nach Ihrer PIN fragen.
Sofortmaßnahmen bei Verdacht: So minimieren Sie den Schaden
Sollten Sie bereits in eine solche Situation geraten sein, ist schnelles Handeln entscheidend. Legen Sie im Zweifelsfall sofort auf, ohne weitere Anweisungen zu befolgen. Öffnen Sie keinen Link aus verdächtigen Nachrichten und installieren Sie keine unbekannten Apps.
Wenn Sie Ihre Bankkarte bereits an das Handy gehalten haben, kontaktieren Sie umgehend Ihre Bank über die offizielle Telefonnummer – nicht über eine Nummer, die Ihnen die Anrufer genannt haben. Lassen Sie Ihre Bankkarte sofort sperren, um weiteren Missbrauch zu verhindern. In vielen Fällen bietet die Bank auch einen Ersatz an, der innerhalb weniger Werktage bei Ihnen eintrifft.
Zusätzlich empfiehlt sich die Überprüfung Ihres Kontostands und Ihrer letzten Transaktionen. Dokumentieren Sie alle verdächtigen Vorgänge und erstatten Sie gegebenenfalls Anzeige bei der Polizei. Viele Banken bieten ihren Kunden zudem spezielle Betrugs-Hotlines oder Sicherheitscenter an, die bei der Abwicklung solcher Vorfälle unterstützen.
Die Zukunft des Bankbetrugs: Was kommt nach WindRelay?
Sicherheitsexperten warnen davor, dass WindRelay und ähnliche Malware-Familien lediglich den Anfang einer neuen Generation von Banking-Fraud darstellen. Die Kombination aus Social Engineering und technischer Raffinesse macht diese Angriffe besonders gefährlich – und schwer zu erkennen.
Für die Zukunft ist davon auszugehen, dass Kriminelle ihre Methoden weiter verfeinern werden. Denkbar sind etwa Angriffe, die nicht nur NFC-Daten abfangen, sondern auch Biometrie-Sensoren manipulieren oder Zwei-Faktor-Authentifizierungen umgehen. Die Bank-Branche steht daher vor der Herausforderung, Sicherheitsmaßnahmen kontinuierlich anzupassen, ohne die Nutzerfreundlichkeit übermäßig einzuschränken.
Für Kunden bedeutet dies: Wachsamkeit bleibt der beste Schutz. Hinterfragen Sie unerwartete Anrufe, klicken Sie nicht auf Links von unbekannten Absendern und geben Sie niemals sensible Daten preis. Ihre Bankkarte ist mehr als nur ein Stück Plastik – sie ist der Schlüssel zu Ihrem finanziellen Leben. Schützen Sie sie entsprechend.
Die aktuellen Warnungen von Erste Bank und Sparkassen unterstreichen einmal mehr: Im digitalen Zeitalter ist Sicherheit eine gemeinsame Aufgabe von Bank-Instituten und Kunden. Nur durch gegenseitige Aufmerksamkeit und schnelle Reaktion auf neue Bedrohungen lässt sich das eigene Geld wirksam vor Trickdieben schützen.
Quellen
Falscher Bankmitarbeiter am Telefon: So plündern Betrüger ihr Konto übers Handy
Schützen Sie Ihre Karte(n) und installieren Sie keine „Sicherheits-Apps“
