Aktuell sind Briefe auf Papier im Umlauf, die wie offizielle Post der apoBank aussehen. Sie fordern zum Scannen eines QR-Codes auf, angeblich um die Bankzugänge zu „verifizieren" – dahinter liegt jedoch eine nachgebaute Website, die genau darauf ausgelegt ist, Zugangsdaten abzugreifen.
Die Schreiben arbeiten mit typischem Druckaufbau: kurze Fristen, Formulierungen wie „verpflichtend" oder „zeitnah" und die Drohung, App, Online-Banking oder apoTAN würden sonst gesperrt. Die apoBank selbst warnt aktuell (Stand 14.08.2026) vor dieser Masche und weist darauf hin, dass ähnliche Wellen bereits seit Oktober 2025 wiederkehren. Gerade weil die Briefe optisch überzeugend wirken, lohnt ein zweiter Blick – vor allem in Praxen, in denen Post oft am Empfang geöffnet wird, nicht von der Person, die das Praxiskonto führt und Unstimmigkeiten eher auffallen würden.
Woran Sie den Brief erkennen
Auf den ersten Blick wirken die Schreiben professionell gestaltet. Ein paar Merkmale wiederholen sich aber in jeder Welle dieser Masche:
- Aufforderung, einen QR-Code zu scannen, um Bankzugänge zu „verifizieren".
- Kurze Fristsetzung und Formulierungen wie „verpflichtend" oder „zeitnah erforderlich".
- Drohung mit Sperrung von App, Online-Banking oder apoTAN.
- Aufmachung wirkt offiziell, bleibt aber unpersönlich – ohne individuelle Konto- oder Vertragsangaben.
- Der QR-Code führt nicht auf die echte Adresse apobank.de.
Was zu tun ist
Liegt ein solcher Brief bereits auf dem Tisch, kommt es vor allem auf die nächsten Schritte an:
- QR-Code nicht scannen, das Schreiben nicht befolgen.
- Bei Zweifeln nur über eine selbst herausgesuchte Bankverbindung rückfragen – nicht über Kontaktdaten aus dem Brief.
- Wurden bereits Zugangsdaten eingegeben: sofort ändern und die Bank über einen bekannten Weg informieren.
- Das Praxisteam sensibilisieren, insbesondere am Empfang, wo Post meist zuerst geöffnet wird.
Warum wir das schreiben
Der aktuelle Fall betrifft Papierpost – dagegen hilft kein technischer Filter, das lässt sich nicht wegdiskutieren. Dieselbe Masche läuft aber dauerhaft auch per E-Mail, oft sogar häufiger als per Brief, und dort filtert eine gute Mail-Security einen großen Teil solcher Versuche heraus, bevor überhaupt jemand entscheiden muss. Ganz verlässlich ist das nie: Auch der beste Filter fängt nicht alles ab, deshalb bleibt aufmerksames Hinsehen im Team der zweite, ebenso wichtige Teil – dieselbe Idee, die wir im Beitrag zu unserem Schweizer-Käse-Modell beschrieben haben. Beide Bausteine ergänzen sich: die Technik übernimmt die Masse, das geschulte Auge übernimmt den Rest.
Wie gut ist Ihr Postfach heute schon geschützt?
Zu Managed SecurityAusführliche Warnmeldung der apoBank: apobank.de/service/sicherheit