Malvertising: Wenn die gefälschte Bank-Anzeige bei Google ganz oben steht

Wer Malvertising Bank Google Anzeige nicht als eigenständige Betrugsform erkennt, klickt schneller auf eine gefälschte Bank-Seite, als ihm lieb ist – mit teils gravierenden finanziellen Folgen.

Wer bei Google nach seiner Bank, seinem Broker oder seiner Krypto-Börse sucht, klickt in aller Regel auf das oberste Ergebnis. Genau diese Gewohnheit machen sich Betrüger mit einer Methode zunutze, die als Malvertising bezeichnet wird: Sie kaufen bei Google bezahlte Suchanzeigen und lassen sie auf täuschend echt nachgebaute Login-Seiten führen. Das Phänomen Malvertising Bank Google Anzeige trifft längst nicht mehr nur vereinzelte Nutzer, sondern ist zu einem der wirkungsvollsten Einfallstore für Phishing und Kontoübernahmen geworden.

Besonders wirksam macht die Masche: Eine bezahlte Anzeige erscheint bei Google grundsätzlich noch vor den organischen Suchergebnissen – optisch von der Bank-Domain kaum zu unterscheiden, mit ähnlicher URL und mitunter sogar mit dem echten Markenlogo versehen. Wer glaubt, eine hohe Platzierung bei Google sei automatisch ein Qualitäts- oder Vertrauensmerkmal, irrt sich gefährlich.

Dieser Beitrag ordnet die Betrugsmasche technisch und rechtlich ein: Wie funktioniert Malvertising konkret, welche Verantwortung trägt die Werbeplattform, welche Ansprüche haben Betroffene gegenüber ihrer Bank, wenn bereits Geld überwiesen wurde, und wie lassen sich gefälschte Anzeigen im Vorfeld erkennen.

Was ist Malvertising und warum funktioniert die Masche so gut

Der Begriff Malvertising setzt sich aus malicious (bösartig) und advertising (Werbung) zusammen und beschreibt die missbräuchliche Nutzung regulärer Werbeplätze für betrügerische Inhalte. Bei der hier beschriebenen Ausprägung, dem Malvertising Bank Google Anzeige-Muster, buchen Kriminelle über das Google-Ads-System Suchanzeigen für Markenbegriffe wie den Namen einer bekannten Bank, eines Neobrokers oder einer Krypto-Handelsplattform. Betroffen waren in der Vergangenheit unter anderem Kunden der N26 Bank und der BW Bank, deren Namen für gefälschte Anzeigen missbraucht wurden.

Klickt ein Nutzer auf die Anzeige, landet er nicht auf der echten Startseite der Bank, sondern auf einer optisch nahezu identischen Kopie – oft mit einer Domain, die sich nur durch einen einzelnen Buchstaben, einen zusätzlichen Bindestrich oder eine andere Top-Level-Domain vom Original unterscheidet. Dort werden Zugangsdaten, TANs oder Kreditkartendaten abgefragt und in Echtzeit an die Täter weitergeleitet, ähnlich wie bei den in unserem Beitrag zum Sparda-Bank-Phishing beschriebenen gefälschten E-Mails.

Anders als beim klassischen Phishing per E-Mail, das häufig an Spam-Filtern oder der Skepsis der Empfänger scheitert, nutzt die Fake-Google-Anzeige die Suchintention des Opfers selbst aus: Wer aktiv nach seiner Bank sucht, ist in dem Moment besonders empfänglich, weil er ohnehin vorhatte, sich einzuloggen.

Warum eine hohe Google-Platzierung kein Gütesiegel ist

Google prüft Werbetreibende zwar über ein Verifizierungsverfahren, das bei Finanzdienstleistungen strengere Nachweise verlangt. Dieses System ist jedoch kein lückenloser Schutzwall: Betrüger nutzen gefälschte Unternehmensregistrierungen, kurzlebige Werbekonten oder kompromittierte, bereits verifizierte Konten, um die Prüfung zu umgehen. Eine Anzeige kann daher tagelang aktiv sein, bevor sie entdeckt und entfernt wird.

Rechtlich entscheidend ist: Eine Anzeigenposition bei Google ist ein bezahltes Werbeprodukt, kein redaktionell geprüftes Ranking und schon gar kein staatliches Gütesiegel. Verbraucher übertragen unbewusst das Vertrauen, das sie einer Suchmaschine als neutraler Informationsquelle entgegenbringen, auf einen Werbeplatz, der schlicht an den Meistbietenden verkauft wird. Diese Fehlwahrnehmung ist der eigentliche Hebel, mit dem Malvertising Bank Google Anzeige funktioniert.

Auch die kleine Kennzeichnung „Anzeige“ vor dem Suchergebnis wird von vielen Nutzern schlicht überlesen, weil sie auf mobilen Endgeräten kaum auffällt und optisch kaum vom organischen Ergebnis abgesetzt ist.

Der Ablauf im Detail: Von der Anzeige zur gefälschten Login-Seite

In der Praxis läuft ein typischer Malvertising-Vorfall in mehreren Schritten ab, die sich technisch klar nachvollziehen lassen und für die anschließende rechtliche Aufarbeitung von Bedeutung sind:

• Die Täter buchen eine Google-Ads-Kampagne für den Markennamen der Bank oder des Brokers, teils mit sogenannten Cloaking-Techniken, die Prüfern eine harmlose Seite zeigen, echten Nutzern jedoch die Fake-Seite ausspielen.
• Der Klick führt auf eine Domain, die dem Original zum Verwechseln ähnlich sieht, häufig mit gültigem SSL-Zertifikat, das lediglich die Verschlüsselung, nicht aber die Echtheit der Seite bestätigt.
• Auf der Fake-Seite werden Login-Daten, anschließend TAN oder Einmalpasswort abgefragt – oft in Echtzeit an ein Kontrollsystem der Täter weitergeleitet, das sich parallel bei der echten Bank einloggt.
• Mit den abgegriffenen Zugangsdaten wird innerhalb weniger Minuten eine Überweisung oder ein Krypto-Transfer ausgelöst, bevor das Opfer den Betrug bemerkt.

Rechtliche Einordnung: Betrug, unlauterer Wettbewerb und Plattformverantwortung

Die Täter selbst machen sich in aller Regel wegen Betrugs nach § 263 StGB strafbar, weil sie durch die Täuschung über die Echtheit der Bank-Seite einen Vermögensschaden herbeiführen. Ergänzend kommen wettbewerbs- und kennzeichenrechtliche Ansprüche der geschädigten Bank in Betracht: § 8 UWG gibt ihr einen Unterlassungsanspruch gegen die missbräuchliche Verwendung ihrer Kennzeichen, markenrechtlich ergänzt durch § 14 MarkenG.

Für die Werbeplattform selbst – also Google als Betreiber des Anzeigensystems – gilt die Haftungsordnung des Digitale-Dienste-Gesetzes (DDG) in Verbindung mit dem europäischen Digital Services Act. Nach Art. 6 des Digital Services Act haftet ein Hosting-Diensteanbieter grundsätzlich erst, wenn er von rechtswidrigen Inhalten Kenntnis erlangt und nicht unverzüglich reagiert. Diese Kenntnisabhängigkeit ist der zentrale Grund, warum gemeldete Fake-Anzeigen zwar in aller Regel entfernt werden, eine automatische Vorabprüfung jeder Anzeige aber rechtlich nicht zwingend vorgeschrieben ist.

Für Betroffene bedeutet das: Eine zivilrechtliche Inanspruchnahme der Werbeplattform selbst ist in der Praxis schwierig und selten aussichtsreich. Der wirksamere Weg führt über die eigene Bank – nämlich über das Zahlungsdiensterecht, sobald tatsächlich Geld überwiesen wurde.

Wenn bereits Geld überwiesen wurde: Erstattungsanspruch nach § 675u BGB

Wurde über die Malvertising Bank Google Anzeige eine Überweisung ausgelöst, handelt es sich rechtlich um eine nicht autorisierte Zahlung. Die Weitergabe von TAN oder Login-Daten an Betrüger stellt keine wirksame Autorisierung im Sinne des Zahlungsdiensterechts dar – das kontoführende Kreditinstitut muss den Betrag nach § 675u S. 2 BGB dem Grunde nach unverzüglich erstatten.

Die Bank kann dem allerdings nach § 675v BGB entgegenhalten, dass der Kunde grob fahrlässig gehandelt hat, etwa weil er trotz erkennbarer Warnsignale auf die gefälschte Seite Daten eingegeben hat. Der Bundesgerichtshof hat mit dem Urteil XI ZR 107/24 vom 22. Juli 2025 klargestellt, dass eine einmalige, kurze Überraschungssituation als sogenanntes Augenblicksversagen die grobe Fahrlässigkeit im Einzelfall ausschließen kann – anders bewertete der BGH jedoch den Fall, in dem die Kundin am Folgetag nach einer Bedenkzeit erneut TANs herausgab. Diese Differenzierung ist bei Malvertising-Fällen besonders relevant, weil der erste Klick auf die Anzeige typischerweise spontan und ohne Vorwarnung erfolgt.

Die Beweislast für die grobe Fahrlässigkeit trägt dabei die Bank, nicht der Kunde. Wer sich unmittelbar nach dem Vorfall meldet, verbessert seine Position zusätzlich, weil sich der zeitliche Ablauf und die Umstände des Klicks dann noch nachvollziehbar dokumentieren lassen.

Die 13-Monats-Frist: Wann die Reklamation gegenüber der Bank verfristet

Wer eine nicht autorisierte Zahlung erstattet haben möchte, muss die Ausschlussfrist des § 676b Abs. 2 BGB beachten: Die Zahlung ist der Bank spätestens 13 Monate nach der Belastung anzuzeigen, sonst erlischt der Erstattungsanspruch grundsätzlich. In der Praxis sollte diese Frist keinesfalls ausgereizt werden – je früher die Meldung erfolgt, desto besser lassen sich Zahlungswege noch nachverfolgen und desto glaubhafter ist die Darstellung des Geschehens.

Parallel zur zivilrechtlichen Meldung gegenüber der Bank empfiehlt sich unabhängig von dieser Frist eine Strafanzeige wegen Betrugs, da nur so die Ermittlungsbehörden Kontobewegungen der Täterseite zeitnah nachverfolgen und gegebenenfalls einen Vermögensarrest nach § 111e StPO veranlassen können.

Neue Schutzmechanismen: IBAN-Namensabgleich und künftige Haftungsregeln

Seit dem 9. Oktober 2025 ist die sogenannte Verification of Payee (VoP) – der automatisierte Namensabgleich zwischen IBAN und Zahlungsempfänger – bei Euro-Instant-Überweisungen europaweit verpflichtend. Weicht der hinterlegte Kontoinhaber vom eingegebenen Namen ab, muss die Bank den Zahler warnen. Unterlässt sie diese Warnung, kann sich daraus eine eigene Haftung der Bank für den entstandenen Schaden ergeben – ein Ansatzpunkt, der bei Malvertising-Fällen mit anschließender Fehlüberweisung zunehmend an Bedeutung gewinnt.

Auf europäischer Ebene zeichnet sich zudem eine grundlegende Verschiebung der Haftungslogik ab: Mit der künftigen Zahlungsdiensteverordnung (PSR), deren Trilog-Einigung im April 2026 erzielt wurde, soll nach Art. 59 des Verordnungsentwurfs die Haftung der Banken und Zahlungsinstitute erstmals auch auf autorisierte, aber betrügerisch veranlasste Zahlungen ausgeweitet werden – insbesondere bei Fällen mit gefälschter Anrufer-Kennung. Diese Regeln sind zum Zeitpunkt dieses Beitrags noch nicht unmittelbar anwendbar; nach der Verkündung im Amtsblatt ist mit einer Übergangsfrist zu rechnen. Für heutige Malvertising-Fälle gilt daher weiterhin die bestehende Rechtslage der §§ 675u, 675v BGB.

Malvertising Bank Google Anzeige erkennen: Praktische Warnsignale

Auch wenn sich gefälschte Anzeigen technisch immer weiter verfeinern, gibt es wiederkehrende Warnsignale, an denen sich eine gefälschte Bank-Anzeige oft erkennen lässt:

• Die angezeigte URL weicht minimal von der bekannten Bank-Domain ab, etwa durch einen zusätzlichen Bindestrich, eine andere Endung oder vertauschte Buchstaben.
• Die Seite fragt ungewöhnlich früh nach vollständigen Zugangsdaten oder gleich nach der TAN, noch bevor überhaupt ein Vorgang ausgelöst wurde.
• Rechtschreibfehler, ungewöhnliche Formulierungen oder ein von der gewohnten Bank-Optik abweichendes Layout tauchen auf.
• Es wird ungewöhnlicher Zeitdruck aufgebaut, etwa mit Hinweisen auf eine angeblich gesperrte Karte oder ein sofort zu bestätigendes Sicherheitsupdate.
• Statt der Adresszeile mit dem Bank-Namen erscheint eine generische Landingpage-Domain, die keinerlei Bezug zur Bank erkennen lässt.

Sicherer als der Klick auf eine Anzeige ist grundsätzlich die manuelle Eingabe der bekannten Bank-Adresse in die Adresszeile des Browsers oder die Nutzung eines zuvor gespeicherten Lesezeichens. Wer unsicher ist, sollte die Anzeige nicht anklicken, sondern die Bank direkt über die bekannte Telefonnummer kontaktieren.

Was tun nach einem Malvertising-Vorfall: Die wichtigsten Sofortmaßnahmen

Wer den Verdacht hat, auf eine gefälschte Anzeige hereingefallen zu sein, sollte in der genannten Reihenfolge handeln: Zunächst die eigene Bank telefonisch über die offizielle Notfallnummer kontaktieren und, sofern möglich, die betroffene Karte oder den Online-Zugang sperren lassen. Anschließend die Zugangsdaten aller betroffenen Konten ändern, sofern der Zugriff noch besteht, und eine Strafanzeige bei der Polizei stellen.

Für das weitere Verfahren ist es sinnvoll, Screenshots der Anzeige und der Fake-Seite zu sichern, bevor diese offline genommen wird, sowie sämtliche Kommunikation mit der Bank zu dokumentieren. Als Geschädigter eines Ermittlungsverfahrens steht Betroffenen zudem über einen Rechtsanwalt Akteneinsicht nach § 406e StPO zu, um den Ermittlungsstand und mögliche Täterspuren nachzuvollziehen.

Auch die Meldung der betrügerischen Anzeige direkt bei Google über die entsprechende Meldefunktion ist sinnvoll, ersetzt aber nicht die Anzeige bei der Polizei und nicht die fristgerechte Reklamation gegenüber der eigenen Bank. Wer Muster aus anderen, verwandten Betrugsformen kennt, etwa Vishing-Anrufe angeblicher Bankmitarbeiter oder klassische Phishing-E-Mails, erkennt die Parallelen in der psychologischen Vorgehensweise schneller.

Kanzlei Dr. Araujo Kurth – Ihr Partner im Bank- und Kapitalmarktrecht

Die Kanzlei Dr. Araujo Kurth berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.

Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken, Zahlungsdienstleistern und Finanzinstituten bis zur Durchsetzung von Schadensersatz- und Rückforderungsansprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.

Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.

FAQs – Häufig gestellte Fragen zu Malvertising Bank Google Anzeige