Neuer Banking-Trojaner in Deutschland: Modulare Malware attackiert Konten

Ein neuer Banking-Trojaner macht seit wenigen Tagen die Runde in Deutschland, und er kommt nicht als plumper Einzeltäter, sondern als Baukasten. Sicherheitsforscher berichten von gezielten Phishing-Kampagnen, die deutsche Bankkunden ins Visier nehmen und Zugangsdaten sowie TAN-Verfahren angreifen. Das Pikante daran: Die Malware ist modular aufgebaut, lässt sich per Plug-ins erweitern und kann so binnen Stunden neue Funktionen nachladen. Wer glaubt, Banking-Malware sei ein Nischenthema für Paranoiker, hat wenig überraschend die letzten Jahre verschlafen.

Der Clou an der aktuellen Welle ist die Kombination aus Massenphishing und chirurgischer Präzision. Angreifer verschicken Massen-Mails, aber sobald ein Opfer anbeißt, entscheidet ein Nachlademodul, welche Bank als Overlay simuliert wird. Genau diese Beliebigkeit macht die Abwehr so brisant. Während frühere Angriffswellen meist auf eine einzige Zielbank zugeschnitten waren, funktioniert die neue Generation wie ein Chamäleon: Ein und derselbe Schadcode kann innerhalb kürzester Zeit für ein Dutzend verschiedener Institute umkonfiguriert werden, ohne dass die Angreifer den Kern der Malware überhaupt anfassen müssen.

Modulare Malware als Businessmodell

Banking-Trojaner waren früher monolithische Programme: eine Funktion, ein Ziel, fertig. Die aktuelle Generation modularer Malware funktioniert anders. Ein schlanker Kern infiziert das Gerät, alles Weitere kommt als Plug-in nach – Overlay-Angriffe für gefälschte Login-Masken, SMS-Abfang für TAN-Codes, Fernsteuerungsmodule für den kompletten Gerätezugriff. Diese Architektur ist kein Zufall, sondern Kalkül: Cyberkriminelle mit wenig technischem Vorwissen können auf Malware-as-a-Service-Plattformen fertige Bausteine mieten, statt selbst Code zu schreiben.

Das Ergebnis ist ein Ökosystem, in dem Einstiegsbarrieren fallen. No-Code-Builder für Schadsoftware sind längst keine Randerscheinung mehr, sondern Teil eines florierenden Untergrundmarkts, wie auch eine aktuelle Sicherheitsstudie über Online-Bankraub nahelegt. Wer heute einen Banking-Trojaner für den deutschen Markt braucht, muss keinen einzeiligen Exploit schreiben – er kauft ein Modul, konfiguriert die Zielbank und startet die Kampagne. Genau diese Demokratisierung der Angriffswerkzeuge sorgt dafür, dass sich Vorfälle wie der aktuelle in immer kürzeren Abständen wiederholen.

Bemerkenswert ist zudem, wie arbeitsteilig die Untergrundökonomie inzwischen organisiert ist. Es gibt Entwickler, die ausschließlich an den Kernmodulen der Malware feilen, andere spezialisieren sich auf Overlay-Designs für einzelne Banken, wieder andere verkaufen fertige Phishing-Kits samt Hosting. Diese Arbeitsteilung erinnert stark an legitime Softwareentwicklung – nur dass am Ende keine App im Store steht, sondern ein leergeräumtes Konto. Wer glaubt, dass hinter solchen Kampagnen einzelne Hobby-Hacker stecken, unterschätzt die Professionalisierung der Szene erheblich.

Ein Blick zurück: Von Emotet zu den modularen Nachfolgern

Um die Tragweite der aktuellen Welle einzuordnen, hilft ein Blick in die jüngere Vergangenheit. Deutschland hat mit Schadsoftware wie Emotet bereits erlebt, wie zerstörerisch modulare Architekturen sein können – damals allerdings primär im Unternehmensumfeld, mit Ransomware als Nachlademodul. Die Ermittlungsbehörden gelang es seinerzeit, die Infrastruktur in einer international koordinierten Aktion abzuschalten, was zeitweise als Erfolgsgeschichte gefeiert wurde. Die Freude währte jedoch nur kurz: Neue Gruppen übernahmen Marktanteile, verbesserten die Architektur und brachten ähnliche Konzepte in neuer Form zurück.

Der aktuelle Banking-Trojaner setzt genau an dieser Stelle an, richtet sich aber nicht gegen Unternehmensnetzwerke, sondern direkt gegen private Bankkonten. Diese Verschiebung ist kein Zufall: Während Unternehmen zunehmend in Endpoint-Security und Netzwerksegmentierung investieren, bleibt der einzelne Bankkunde oft die schwächste Stelle in der Kette. Ein Smartphone ohne Mobile-Device-Management, ohne IT-Abteilung im Hintergrund und mit einem Nutzer, der abends müde auf einen Link tippt, ist für Angreifer schlicht der bequemere Weg zum Geld.

Die Zahlen hinter der Warnung

Belastbare Deutschland-Zahlen zu einzelnen, brandneuen Kampagnen sind naturgemäß dünn – Sicherheitsforscher brauchen Zeit, bis aus ersten Beobachtungen verlässliche Statistiken werden. Die größere Bedrohungslage lässt sich aber sehr wohl beziffern. Laut einem aktuellen Mobile-Threat-Report von Kaspersky sind Angriffe von Banking-Trojanern auf Android-Geräte um rund 56 Prozent gegenüber dem Vorjahr gestiegen, begleitet von mehr als 255.000 neu entdeckten Trojaner-Varianten, wie unter anderem die Berliner Zeitung berichtete.

Parallel dazu haben Auswertungen mehrere deutsche Finanzinstitute als Ziel im Malware-Katalog genannt, darunter Namen wie Commerzbank, Deutsche Bank und Postbank – wichtig ist hier die Einordnung: Das bedeutet, dass diese Apps im Zielkatalog der Malware auftauchten, nicht automatisch einen bestätigten Einbruch ins Bankensystem selbst. Trotzdem zeigt die Häufung, wie systematisch der deutsche Finanzsektor Cyberangriff für Cyberangriff ins Fadenkreuz genommen wird. Wer das für Panikmache hält, sollte sich fragen, warum ausgerechnet die größten deutschen Retailbanken in solchen Listen immer wieder auftauchen.

Interessant ist auch die zeitliche Dimension: Die Zahl neuer Varianten wächst schneller, als klassische signaturbasierte Virenscanner nachziehen können. Wenn monatlich Zehntausende neue Varianten auftauchen, wird Signaturerkennung zum Wettlauf, den die Verteidiger kaum gewinnen können. Genau deshalb setzen moderne Sicherheitslösungen zunehmend auf Verhaltensanalyse statt auf reine Mustererkennung – ein Trend, der sich in den kommenden Jahren voraussichtlich noch verstärken wird.

Phishing als Einfallstor

Kein Banking-Trojaner installiert sich selbst. Er braucht ein Opfer, das klickt, tippt oder eine App aus einer zwielichtigen Quelle lädt. Genau hier setzen die aktuellen Kampagnen an: gefälschte SMS mit angeblichen Sicherheitswarnungen der eigenen Bank, Nachrichten über verschlüsselte Messenger mit Links zu manipulierten APK-Dateien, E-Mails, die aussehen wie eine Rechnung, ein Paketstatus oder eine dringende Kontoverifizierung.

Der Trend geht dabei weg von der plumpen Massen-E-Mail mit Rechtschreibfehlern und hin zu deutlich glaubwürdigeren Formulierungen. Ob dahinter tatsächlich in jedem Fall generative KI steckt, wie manche Berichte suggerieren, lässt sich im Einzelfall selten beweisen – dass Phishing insgesamt professioneller geworden ist, aber schon. Stakkato der Angriffsvektoren: Messenger-Link, gefälschte App, Overlay-Fenster, TAN-Abgriff, fertig. Vier Schritte zum leeren Konto, und die wenigsten Opfer merken, wann genau es passiert ist.

Auffällig ist außerdem, wie stark die Angreifer auf psychologischen Druck setzen. Formulierungen wie eine angeblich binnen 24 Stunden ablaufende Kontosperrung oder eine dringende Verifizierung wegen ungewöhnlicher Aktivität erzeugen genau die Art von Zeitdruck, die rationales Nachdenken ausschaltet. Wer solche Nachrichten erhält, sollte sich bewusst eine Pause verordnen, bevor er klickt – ein einfacher, aber wirkungsvoller Trick, der auch bei anderen Betrugsformen hilft, wie etwa im Zusammenhang mit größeren Sicherheitsvorfällen rund um Zugangsdaten und Passkeys immer wieder deutlich wird.

TAN-Verfahren unter Beschuss

Das eigentlich Brisante an der aktuellen Trojaner-Generation ist der gezielte Angriff auf TAN-Verfahren. Lange galt Zwei-Faktor-Authentifizierung als sicherer Schutzwall – bis Malware anfing, genau diesen Wall zu untergraben. Bei SMS-TAN reicht ein Abfangmodul, das eingehende Nachrichten mitliest und weiterleitet, noch bevor das Opfer sie überhaupt sieht. Bei App-basierten Freigabeverfahren setzen Overlay-Angriffe an: Ein gefälschtes Fenster legt sich über die echte Banking-App und fängt Eingaben ab, während im Hintergrund längst eine andere Transaktion läuft.

Push-TAN-Verfahren, bei denen eine Freigabe per separater App bestätigt wird, gelten als robuster, sind aber nicht unangreifbar, sobald ein Gerät bereits vollständig kompromittiert ist und der Trojaner Bildschirminhalte mitlesen oder sogar Eingaben simulieren kann. Genau das ist der Grund, warum Sicherheitsforscher bei modularer Malware besonders nervös werden: Ein Plug-in für Session-Übernahme reicht, um selbst mehrstufige Freigabeprozesse auszuhebeln. Persönlich halte ich das für den eigentlichen Paradigmenwechsel dieser Angriffswelle – es geht nicht mehr nur um gestohlene Passwörter, sondern um die komplette Kontrolle über den Freigabeprozess.

Manche Sicherheitsexperten argumentieren, dass biometrische Verfahren wie Fingerabdruck- oder Gesichtserkennung diesem Problem entgegenwirken könnten, weil sie schwerer zu simulieren sind als eine einfache PIN-Eingabe. Das stimmt zumindest teilweise – doch auch hier gilt: Sobald ein Gerät durch Root- oder Jailbreak-Techniken vollständig kompromittiert ist, kann Malware theoretisch auch biometrische Freigaben umleiten oder deren Ergebnis manipulieren. Es gibt also keine hundertprozentige Lösung, nur unterschiedlich hohe Hürden für Angreifer.

Welche Banken und Nutzer im Fokus stehen

Die aktuelle Kampagne richtet sich, wie frühere Wellen von Banking-Trojaner-Angriffen in Deutschland, offenbar nicht mit der Gießkanne, sondern gezielt. Phishing-Mails werden laut Berichten von Handelsblatt zunehmend so zugeschnitten, dass sie Kunden bestimmter Institute ansprechen – Layout, Absenderadresse, sogar der Tonfall orientieren sich am jeweiligen Bank-Branding. Das erhöht die Erfolgsquote erheblich, weil ein Opfer, das ohnehin Kunde der genannten Bank ist, eine solche Nachricht kaum hinterfragt.

Betroffen sind dabei nicht nur Großbanken. Auch mittelgroße Institute und Sparkassen tauchen in Beobachtungen auf, wenn auch seltener in Schlagzeilen. Wer denkt, kleine Regionalbanken seien für Cyberkriminelle uninteressant, irrt: Jede Bank mit Online-Banking-Zugang ist ein potenzielles Ziel, sobald ein Plug-in für das jeweilige Login-Layout existiert. Und die zu bauen, ist im modularen Baukastensystem eine Frage von Stunden, nicht Wochen. Diese Entwicklung lässt sich in einen größeren Zusammenhang einordnen, wenn man betrachtet, wie sich Ransomware-Angriffe in Deutschland in den vergangenen Jahren verändert haben – auch dort verschob sich der Fokus zunehmend von wenigen prominenten Zielen zu einer breiteren, opportunistischeren Angriffsfläche.

Besonders gefährdet erscheinen dabei Nutzergruppen, die Banking-Apps auf älteren Android-Geräten ohne regelmäßige Sicherheitsupdates betreiben. Wer sein Smartphone seit Jahren nicht aktualisiert hat, trägt de facto ein offenes Scheunentor mit sich herum, selbst wenn die Banking-App selbst auf dem neuesten Stand ist. Auch Nutzer, die Apps aus Drittanbieter-Stores oder über direkte APK-Downloads installieren, setzen sich einem deutlich höheren Risiko aus als jene, die sich strikt an offizielle Kanäle halten.

Rechtliche Fragen und Haftung im Schadensfall

Ein Aspekt, der in der öffentlichen Debatte oft zu kurz kommt, ist die Frage der Haftung. Grundsätzlich gilt: Banken haften bei nicht autorisierten Zahlungsvorgängen in der Regel, es sei denn, dem Kunden lässt sich grobe Fahrlässigkeit nachweisen. Genau an dieser Stelle wird es in der Praxis kompliziert, denn wer eine gefälschte App installiert oder TAN-Codes an vermeintliche Bankmitarbeiter weitergegeben hat, bewegt sich juristisch auf dünnem Eis. Die genaue Bewertung hängt stets vom Einzelfall ab und wird im Streitfall oft erst vor Gericht geklärt.

Für Betroffene bedeutet das in der Praxis: Wer den Verdacht hat, Opfer eines Banking-Trojaners geworden zu sein, sollte nicht nur die Bank informieren, sondern auch möglichst lückenlos dokumentieren, wann welche Nachricht empfangen und welche Aktion ausgeführt wurde. Screenshots, Zeitstempel und eine zeitnahe Anzeige bei der Polizei erhöhen die Chancen, dass ein Schaden später überhaupt anerkannt wird. Wer wochenlang zögert, weil die Sache peinlich erscheint, verschlechtert die eigene Position unnötig.

Schutzmaßnahmen für Bankkunden

Die gute Nachricht: Wer ein paar Grundregeln beachtet, senkt das Risiko drastisch, ohne paranoid werden zu müssen. Folgende Schritte helfen konkret gegen die aktuelle Bedrohung durch Banking-Trojaner in Deutschland:

• Banking-Apps ausschließlich aus offiziellen App-Stores installieren, niemals über Links aus SMS, E-Mail oder Messenger.
• Bei unerwarteten Sicherheitswarnungen der eigenen Bank direkt die offizielle App oder Website aufrufen, statt auf Links in Nachrichten zu klicken.
• Berechtigungen von installierten Apps regelmäßig prüfen – ungewöhnliche Zugriffsrechte auf SMS, Bildschirminhalte oder Bedienungshilfen sind ein Warnsignal.
• Betriebssystem und Banking-App stets aktuell halten, da viele Angriffe bekannte Sicherheitslücken älterer Versionen ausnutzen.
• Bei Verdacht auf Kompromittierung sofort die Bank kontaktieren und Online-Banking-Zugänge sperren lassen, bevor größerer Schaden entsteht.
• Push-Benachrichtigungen der Banking-App aufmerksam lesen und bei unklaren Freigabeanfragen die Transaktion grundsätzlich ablehnen.
• Separate Geräte oder zumindest getrennte Profile für Online-Banking und alltägliche App-Nutzung erwägen, um die Angriffsfläche zu reduzieren.

Wer schon einmal eine verdächtige App auf dem Smartphone entdeckt hat, weiß: Das Bauchgefühl trügt selten. Ein kurzer Moment der Skepsis vor dem Klick ist meist wirkungsvoller als jede nachträgliche Schadensbegrenzung. Ein einfaches Gedankenexperiment hilft dabei oft weiter: Würde die eigene Bank tatsächlich per SMS mit einem Link auf eine dringende Sicherheitsmaßnahme hinweisen? In den allermeisten Fällen lautet die ehrliche Antwort: eher nicht.

Was Unternehmen und Banken jetzt tun sollten

Die Verantwortung liegt nicht allein bei einzelnen Kundinnen und Kunden. Banken selbst stehen unter Druck, ihre Betrugserkennung an die neue Angriffsgeneration anzupassen. Verhaltensbasierte Anomalie-Erkennung, die ungewöhnliche Transaktionsmuster erkennt statt nur auf einzelne Login-Daten zu schauen, wird zunehmend zum Standard. Auch die Kommunikation mit Kundinnen und Kunden gehört auf den Prüfstand: Wenn Banken selbst SMS mit Links verschicken, erleichtern sie Angreifern die Tarnung ihrer Phishing-Nachrichten ungewollt.

Sinnvoll wäre zudem eine konsequentere Aufklärungsarbeit direkt in den Banking-Apps selbst, etwa durch kurze, wiederkehrende Warnhinweise beim Login oder bei ungewöhnlichen Transaktionen. Einige Institute experimentieren bereits mit Geräte-Fingerprinting, das erkennt, wenn eine Transaktion plötzlich von einem untypischen Gerät oder Standort ausgelöst wird, und in solchen Fällen zusätzliche Bestätigungsschritte einfordert. Solche Maßnahmen kosten Entwicklungsressourcen, verringern aber messbar die Erfolgsquote automatisierter Angriffe.

Für den Finanzsektor insgesamt bedeutet die aktuelle Cyberangriff-Welle vor allem eines: Investitionen in Erkennungssysteme zahlen sich aus, bevor der nächste Trojaner mit neuen Plug-ins auftaucht – und der wird kommen, das ist so sicher wie die nächste Steuererklärung. Sicherheitsforscher wie die Kolleg:innen von Heise Security beobachten die Kampagne weiter und dürften in den kommenden Wochen weitere Details zu den eingesetzten Modulen veröffentlichen. Bis dahin bleibt vor allem eine Frage offen: Wie viele Kontenübernahmen braucht es noch, bis TAN-Verfahren grundsätzlich neu gedacht werden?

Auch auf europäischer Ebene wächst der Druck, gemeinsame Standards für starke Kundenauthentifizierung weiterzuentwickeln. Die bestehenden Regularien haben zwar bereits viele einfache Angriffe erschwert, konnten aber mit der Geschwindigkeit modularer Malware bislang nicht Schritt halten. Eine engere Zusammenarbeit zwischen Banken, Sicherheitsbehörden und internationalen Partnern gilt vielen Fachleuten als notwendige, wenn auch mühsame Voraussetzung, um der nächsten Angriffswelle nicht erneut einen Schritt hinterherzulaufen.

Wer sein Online-Banking heute nutzt, sollte sich nicht auf die Illusion verlassen, dass Zwei-Faktor-Verfahren allein ausreichend Schutz bieten. Ein wacher Blick auf App-Berechtigungen und ein gesundes Misstrauen gegenüber unerwarteten Nachrichten der eigenen Bank kosten wenig Zeit – und ersparen im Zweifel den Anruf bei der Kontosperr-Hotline um drei Uhr morgens.