Warnung vor gefälschten apoBank-Briefen: Betrüger versenden auch Erinnerungsschreiben mit QR-Code

19.10.2026 - Erst ein offizielles Bankschreiben, dann eine vermeintliche Erinnerung: Betrüger versuchen mit professionell gestalteter Briefpost im Namen der apoBank, medizinische Einrichtungen zur angeblichen Überprüfung ihrer Online-Banking-Zugänge zu bewegen. Wir zeigen ein aktuelles Beispiel und erklären, worauf Praxen achten sollten.

Die daten-strom.Medical-IT-Services GmbH warnt vor einer besonders raffinierten Betrugsmasche, bei der Kriminelle professionell gestaltete Briefe im Namen der Deutschen Apotheker- und Ärztebank (apoBank) versenden. Uns liegt aktuell ein entsprechendes Schreiben vor, das eine Arztpraxis auf dem Postweg erhalten hat.

Besonders bemerkenswert: Nachdem auf ein erstes Schreiben nicht reagiert wurde, erhielt die Praxis einige Wochen später eine weitere Aufforderung, die wie eine offizielle Erinnerung der Bank gestaltet ist.

Damit versuchen die mutmaßlichen Betrüger offenbar, den Druck auf die Empfänger zu erhöhen und sie doch noch zur Durchführung einer angeblich notwendigen Sicherheitsüberprüfung zu bewegen.

Täuschend echte Bankkorrespondenz

Das uns vorliegende Schreiben vom 5. Oktober 2026 ist aufwendig gestaltet und enthält zahlreiche Merkmale einer offiziellen Bankmitteilung.

Dazu gehören unter anderem:

• Das Logo und der vollständige Briefkopf der apoBank
• Eine Briefnummer und ein konkretes Ausstellungsdatum
• Die Nennung der Bankanschrift und weiterer Unternehmensangaben
• Die Bezugnahme auf gesetzliche Vorschriften
• Die Unterschrift eines namentlich genannten Vorstandsmitglieds
• Ein QR-Code zur angeblichen Durchführung einer Sicherheitsüberprüfung

Auf den ersten Blick könnte das Schreiben daher durchaus als authentische Bankkorrespondenz wahrgenommen werden.

Erinnerungsschreiben der Apo-Bank

Doch genau darauf setzen die Betrüger: Die professionelle Gestaltung soll Vertrauen schaffen und vorhandene Zweifel überwinden.

Angebliche Verpflichtung nach dem Geldwäschegesetz

Unter der Überschrift „Aktualisierung Ihrer Zugangsdaten gemäß § 10 GwG erforderlich“ wird behauptet, dass eine gesetzlich vorgeschriebene Überprüfung der digitalen Bankzugänge noch nicht abgeschlossen sei. Tatsächlich verpflichtet das Geldwäschegesetz Banken unter anderem dazu, bestimmte Kundeninformationen zu erheben und aktuell zu halten. Diese gesetzliche Verpflichtung wird hier jedoch als vermeintliche Begründung für eine Aufforderung verwendet, die Empfänger über einen QR-Code auf eine angebliche Verifizierungsseite zu führen.

Wichtig: Ein Verweis auf das Geldwäschegesetz ist kein Echtheitsnachweis für ein Bankschreiben.

Die besondere Gefahr: Ein zweites Schreiben erhöht den Druck

Besonders aufmerksam macht uns die Tatsache, dass die betroffene Praxis bereits zuvor ein ähnliches Schreiben erhalten hatte. Nachdem darauf nicht reagiert wurde, folgte einige Wochen später die nächste Aufforderung. Im aktuellen Brief wird ausdrücklich auf angeblich bereits erfolgte Hinweise und schriftliche Mitteilungen verwiesen. Damit entsteht der Eindruck, dass eine wichtige Angelegenheit seit längerer Zeit unerledigt geblieben sei. Genau hier liegt die psychologische Gefahr.

Während ein erstes Schreiben möglicherweise noch als verdächtig eingestuft und ignoriert wird, kann eine erneute, professionell gestaltete Aufforderung Zweifel hervorrufen. Empfänger könnten sich fragen, ob sie tatsächlich eine notwendige Sicherheitsüberprüfung ihrer Bank versäumt haben.

Unsere Warnung: Auch ein zweites oder drittes Schreiben macht eine betrügerische Aufforderung nicht glaubwürdiger!

© ProPK: Ein unbedacht eingescannter QR-Code kann Ihnen teuer zu stehen kommen.

Drohung mit der Sperrung des Online-Bankings

Im vorliegenden Schreiben wird behauptet, dass ohne die geforderte Verifizierung der Zugang zur apoBank-App, zum Online-Banking und zur apoTAN-Anwendung vollständig deaktiviert werde. Darüber hinaus wird mit Einschränkungen bei Überweisungen, Lastschriften und anderen Zahlungsvorgängen gedroht.

Gerade für Arzt- und Psychotherapiepraxen können solche Ankündigungen erhebliche Verunsicherung auslösen. Schließlich sind Praxen auf einen funktionierenden Zahlungsverkehr angewiesen.

Die Kombination aus vermeintlicher gesetzlicher Verpflichtung, wiederholter Aufforderung und angedrohter Kontosperrung soll offenbar dazu führen, dass die Empfänger möglichst schnell handeln.

QR-Code als Einfallstor: Vorsicht vor Quishing!

Der Brief enthält einen gut sichtbaren QR-Code mit der Aufforderung, diesen zur Durchführung der angeblichen Verifizierung zu scannen. Diese Betrugsmethode wird als Quishing bezeichnet – eine Kombination aus QR-Code und Phishing.

Dabei werden QR-Codes verwendet, um potenzielle Opfer auf Internetseiten zu führen, die beispielsweise echte Bankportale nachahmen. Auf solchen Seiten können Zugangsdaten, persönliche Informationen oder weitere sicherheitsrelevante Angaben abgefragt werden.

Auch die Aufforderung zur Freigabe von Vorgängen über eine Banking- oder TAN-App kann Bestandteil entsprechender Betrugsversuche sein.

Scannen Sie deshalb keine QR-Codes aus unerwarteten Bankschreiben, um sich darüber beim Online-Banking anzumelden oder Zugangsdaten zu bestätigen.

Unsere Empfehlungen für Arzt- und Psychotherapiepraxen

Wenn Sie ein entsprechendes Schreiben erhalten, empfehlen wir:

1. Ruhe bewahren und keinen QR-Code scannen: Lassen Sie sich nicht durch Fristen, gesetzliche Verweise oder angedrohte Kontosperrungen unter Druck setzen.
2. Keine Zugangsdaten eingeben: Geben Sie niemals Online-Banking-Zugangsdaten, Passwörter oder TANs auf Internetseiten ein, die Sie über einen QR-Code aus einem verdächtigen Schreiben erreicht haben.
3. Echtheit unabhängig überprüfen: Kontaktieren Sie Ihre Bank ausschließlich über Ihnen bereits bekannte und vertrauenswürdige Kommunikationswege. Verwenden Sie dazu beispielsweise die Telefonnummer Ihres persönlichen Bankberaters oder die Kontaktdaten aus Ihren bestehenden Bankunterlagen.
4. Auch Erinnerungsschreiben kritisch prüfen: Eine wiederholte Aufforderung ist kein Beweis dafür, dass die Mitteilung tatsächlich von Ihrer Bank stammt.
5. Mitarbeitende sensibilisieren: Informieren Sie auch diejenigen Mitarbeitenden, die in Ihrer Praxis für die Postbearbeitung, Buchhaltung oder den Zahlungsverkehr zuständig sind.
6. Verdächtige Schreiben aufbewahren: Bewahren Sie entsprechende Briefe zunächst als Beweismittel auf. Bei einem konkreten Betrugsverdacht kann eine Meldung an die Bank oder die Polizei sinnvoll sein.

Was tun, wenn der QR-Code bereits gescannt wurde?

Das bloße Scannen eines QR-Codes bedeutet nicht automatisch, dass ein Gerät kompromittiert wurde. Wurden jedoch Zugangsdaten eingegeben, TAN-Freigaben erteilt oder weitere sicherheitsrelevante Angaben übermittelt, sollte unverzüglich gehandelt werden. Kontaktieren Sie in diesem Fall umgehend Ihre Bank über einen unabhängig verifizierten Kommunikationsweg.

Lassen Sie gegebenenfalls den Online-Banking-Zugang sperren, überprüfen Sie bereits ausgelöste Transaktionen und ändern Sie betroffene Zugangsdaten über die offiziellen Zugangswege. Bei einem möglichen finanziellen Schaden sollte außerdem eine Strafanzeige in Betracht gezogen werden.

Fazit: Professionelle Gestaltung ist kein Echtheitsnachweis

Der aktuelle Fall zeigt eindrucksvoll, dass sich Betrugsversuche längst nicht mehr auf verdächtige E-Mails oder SMS beschränken. Auch klassische Briefpost wird gezielt eingesetzt, um Vertrauen zu schaffen und Empfänger zur Preisgabe sensibler Informationen zu bewegen.

Besonders gefährlich ist die Kombination aus einem glaubwürdig gestalteten Bankschreiben, einer angeblichen gesetzlichen Verpflichtung, der Androhung einer Kontosperrung und einem QR-Code.

Und selbst wenn nach einigen Wochen eine weitere Erinnerung eintrifft, gilt: Lassen Sie sich nicht unter Druck setzen und überprüfen Sie die Echtheit unabhängig!

Die daten-strom.Medical-IT-Services GmbH empfiehlt allen medizinischen Einrichtungen, ihre Mitarbeitenden regelmäßig für solche Betrugsversuche zu sensibilisieren. Denn digitale Resilienz beginnt nicht erst bei Firewall und Virenschutz, sondern auch beim bewussten Umgang mit vermeintlich vertrauenswürdigen Informationen.

Hinweis: Das uns vorliegende Schreiben wurde von einer betroffenen Arztpraxis zur Verfügung gestellt. Die Veröffentlichung erfolgt mit deren Einverständnis und unter Wahrung der Anonymität.

Quelle: daten-strom.Medical-IT-Services GmbH & Polizeiliche Kriminalprävention der Länder und des Bundes (ProPK)