Am 20. Oktober 2026 hat das Bundesamt für Cybersicherheit (BACS), das Kompetenzzentrum des Bundes, eine neue Betrugsmasche gemeldet, die TWINT ins Visier nimmt, die Schweizer App für mobiles Bezahlen. Betrüger versuchen, mit Phishing rund um Hotelbuchungen die Kontrolle über TWINT-Konten zu übernehmen. Ihre Methoden ähneln jenen des Kleinanzeigen-Phishings, präzisiert das Amt. Behörden und betroffene Unternehmen nennen konkrete Signale, um diese Fallen zu erkennen, und das BACS eine Anleitung für danach.

Diese Seite behandelt ausschliesslich Betrugsfälle. Die Installation der App und ihre Nutzung im Alltag sind auf unserer Seite So funktioniert TWINT beschrieben.

TWINT wird im Alltag genutzt, im Geschäft wie online. Laut seiner Website akzeptieren 4 von 5 Geschäften und über 84 % der Onlineshops in der Schweiz die App. Sie dient auch zwischen Privatpersonen: Mit ihr lässt sich laut derselben Seite «Geld senden und anfordern oder Rechnungen teilen».

Welche TWINT-Betrugsmaschen werden in der Schweiz gemeldet?

Die im Oktober 2026 veröffentlichten Warnungen zeichnen fünf Arten von Fallen. Nicht alle nennen TWINT ausdrücklich: Die Tabelle stellt sie als datierte Beispiele dar.

FalleDatiertes BeispielWas stutzig machen sollteQuelle
Phishing rund um Hotelbuchungen20. Oktober 2026Die Betrüger zielen nun auf TWINT- und E-Banking-Konten, nicht mehr nur auf KreditkartenBACS
Gefälschte WhatsApp-Nachrichten mit echten DatenOktober 2026, Kundinnen und Kunden von TCS CampingEin Link oder eine Zahlungsaufforderung per WhatsApp, die TCS Camping nicht verschicktTCS, zitiert von ICTjournal
Gefälschte Anmeldewarnung14. Oktober 2026, im Namen von PostFinanceEine Nachricht, die dazu drängt, sich über einen Link anzumeldenSKP
Gefälschte Rückerstattung21. Oktober 2026, im Namen des britischen FinanzministeriumsDas Versprechen, Geld zu erhaltenSKP
Gefälschter «Schweizer» Onlineshop13. Oktober 2026.ch-Domain und lokale Geschichte, aber Impressum im Ausland und Lager in AsienBACS

Die beiden Warnungen der Schweizerischen Kriminalprävention (SKP) stehen auf ihrer Website skppsc.ch, in ihrer Liste der Warnmeldungen. Die erste imitiert PostFinance, das Finanzinstitut der Post. Die zweite beruft sich auf das HM Treasury und verspricht eine Rückerstattung.

TWINT-Betrug bei Kleinanzeigen: Was ist bekannt?

Das Kleinanzeigen-Phishing ist eine dem BACS bekannte Methode: Das Amt zieht sie als Vergleichspunkt heran, um die Variante vom 20. Oktober 2026 zu beschreiben. Die auf seiner Startseite veröffentlichte Zusammenfassung schildert den Ablauf nicht Schritt für Schritt. Wir rekonstruieren ihn hier deshalb nicht.

Ein Punkt ergibt sich aus der Beschreibung der App selbst. Laut TWINT dient die Funktion «Unter Freunden» dazu, Geld zu senden, aber auch, Geld anzufordern. Unsere Analyse: Eine in der App erhaltene Anfrage fordert die Person, die sie erhält, zum Zahlen auf. Ein Verkäufer, der auf das Geld seines Käufers wartet, muss nichts bezahlen. Eine Anfrage, die ihn in diesem Moment erreicht, sollte ihn also stutzig machen.

Dieselbe Vorsicht gilt an der Kasse. TWINT beschreibt dort einen einfachen Vorgang: den QR-Code scannen und dann die Zahlung bestätigen. Unsere Analyse: Jede Bestätigung in der App setzt Geld ein und verdient es, gelesen zu werden, bevor man sie freigibt.

Warum wirkt eine gefälschte Nachricht so glaubwürdig?

Manche Betrüger verwenden echte Informationen. Das zeigt der Fall von TCS Camping, dem Camping-Zweig des Touring Club Schweiz (TCS). Daten seiner Kundinnen und Kunden wurden bei Camping.care gestohlen, dem Dienstleister, der seine Buchungen verwaltet. Laut dem Informatikmagazin ICTjournal wurden am 27. Oktober 2026 rund 15'000 Kundinnen und Kunden vor Betrugsversuchen auf WhatsApp gewarnt.

Gemäss dem von ICTjournal zitierten Schreiben des TCS übernehmen die gefälschten Nachrichten existierende Namen, Telefonnummern und Buchungsnummern. Bankverbindungen und IBAN sind laut TCS nicht betroffen. Auch der Campingplatz Hüttenberg im Thurgau warnt seine Gäste vor ähnlichen Nachrichten. 2clics hat den Fall in seinem Artikel «TCS Camping: Datenleck und gefälschte WhatsApp-Nachrichten» ausführlich beschrieben.

Auch was man selbst veröffentlicht, nährt diese Betrugsmaschen. Das BACS hat seinen Cyber Security Month 2026 dem übermässigen Teilen von Informationen gewidmet, dem «Oversharing». Laut dem Amt wirken ein Foto, ein Ort oder ein Name für sich genommen harmlos. Kombiniert ergeben sie ein genaues Bild, «das ein Krimineller gezielt ausnutzen kann».

Wie erkennt man einen TWINT-Betrug vor dem Bezahlen?

Die konsultierten Quellen nennen mehrere konkrete Signale. Keines genügt für sich allein, aber jedes ist ein Grund, innezuhalten:

  • ein Link oder eine Zahlungsaufforderung, die per Messenger im Namen eines Unternehmens eintreffen; TCS Camping zum Beispiel verschickt weder Links noch Zahlungsaufforderungen per WhatsApp;
  • eine Nachricht, die eine echte Buchung nennt: Der TCS warnt, dass die gestohlenen Daten für neue Phishing-Versuche genutzt werden können; unsere Analyse: Wer diese Nummer kennt, beweist damit nicht die Identität des Absenders;
  • eine Anmeldewarnung mit einem Link: Das BACS rät, nie darauf zu klicken, sondern die Adresse des Dienstes selbst einzugeben;
  • ein unerwartetes Rückerstattungsversprechen, wie jenes der gefälschten E-Mail, die die SKP am 21. Oktober 2026 gemeldet hat;
  • eine TWINT-Geldanforderung, die eintrifft, während man auf eine Zahlung wartet;
  • ein Onlineshop, der sich als schweizerisch ausgibt: Laut dem BACS offenbart ein genauer Blick auf das Impressum oder die allgemeinen Geschäftsbedingungen manchmal eine Firma mit Sitz im Ausland.

Was tun, wenn man auf TWINT hereingefallen ist?

Man muss sofort handeln. Das BACS erinnert auf seiner Seite «Was tun bei einem gehackten Konto oder einem Datenleck?» daran: Oft bemerkt man den Diebstahl erst, wenn es schon zu spät ist. Das Amt gibt dort eine Anleitung:

  1. bei einem Bankkonto oder einem Finanzdienst sofort den Anbieter kontaktieren;
  2. umgehend das Passwort ändern, falls der Zugang zum Konto noch möglich ist;
  3. die Zwei-Faktor-Authentifizierung überall aktivieren, wo es möglich ist;
  4. das System und die Apps aktualisieren und dann einen Virenscan durchführen;
  5. die Karten sperren lassen und die Kontoauszüge prüfen;
  6. bei einem finanziellen Schaden Anzeige bei der Kantonspolizei erstatten.

Auf der Seite von TWINT verweist die Startseite auf die häufig gestellten Fragen, dann auf den Chatbot und den Kundendienst der App. Die häufig gestellten Fragen behandeln unter anderem den Fall einer automatisierten Zahlung, die der Nutzer beanstandet. Die konsultierte Startseite sagt nichts über eine Zahlung, die infolge einer Täuschung bestätigt wurde.

Eine Meldung an das BACS bleibt nützlich, auch im Nachhinein. Das Amt nimmt freiwillige Meldungen von Cybervorfällen aus der Bevölkerung entgegen und hilft Betroffenen bei den nötigen Schritten, wie es auf seiner Website heisst.

Wie schützt man sein Konto im Voraus besser?

Ein Eindringen früh zu erkennen, hilft, es zu stoppen, so das BACS. Das Amt rät, Anmeldungen von ungewöhnlichen Orten oder zu ungewöhnlichen Zeiten im Auge zu behalten; Apple, Google oder Microsoft verschicken in solchen Fällen eine Benachrichtigung. Am 19. Oktober 2026 hat das Amt zudem eine Einstufung der Anmeldemethoden in fünf Stufen veröffentlicht, von «niedrig» bis «hoch». Laut dem Bericht von 2clics handelt es sich nicht um eine Zertifizierung, sondern um eine Referenz für die Wahl einer Lösung.

Händler, die über TWINT kassieren, stellen sich andere Fragen, vor allem zu den Kosten: Diese werden auf unserer Seite zu den TWINT-Gebühren für Händler behandelt. Die anderen Zahlungsmittel verfolgen wir in unserer Rubrik zu den digitalen Zahlungen in der Schweiz.

Wichtige Zahlen

  • 15'000 Kundinnen und Kunden von TCS Camping vor Betrugsversuchen auf WhatsApp gewarnt, laut ICTjournal am 27. Oktober 2026;
  • 4 von 5 Geschäften und über 84 % der Onlineshops in der Schweiz akzeptieren TWINT, laut der Website von TWINT;
  • 5 Stufen in der Einstufung der Authentifizierungsmethoden, die das BACS am 19. Oktober 2026 veröffentlicht hat.

Was man noch nicht weiss

  • die Zahl der Opfer von TWINT-Betrug in der Schweiz: Die Zusammenfassung des BACS vom 20. Oktober 2026 beziffert sie nicht;
  • der genaue Ablauf des Kleinanzeigen-Phishings, das die konsultierten Seiten nennen, ohne es zu beschreiben;
  • ob TWINT oder die Banken eine einem Betrüger bestätigte Zahlung zurückerstatten: Die konsultierten Quellen sagen es nicht;
  • die technischen Schutzmechanismen der App, etwa der Code oder die Biometrie, die zum Bezahlen verlangt werden;
  • die Sicherheitsratschläge von TWINT selbst, die auf seiner Startseite fehlen.

Quellen

  • Bundesamt für Cybersicherheit, Startseite und Aktuelles des BACS, darunter «Woche 42: TWINT-Konten im Visier einer neuen Phishing-Variante rund um Hotelbuchungen» (20. Oktober 2026), «Woche 41: Wenn der Bezug zur Schweiz täuscht» (13. Oktober 2026) und «Cyber Security Month 2026: «Oversharing»» (5. Oktober 2026)
  • Schweizerische Kriminalprävention, Startseite von skppsc.ch, Warnungen vom 14. und 21. Oktober 2026
  • TWINT, Startseite für Privatkunden, konsultiert am 30. Oktober 2026
  • ICTjournal, «PHP2Shell: des escrocs ciblent les campeurs suisses», 27. Oktober 2026, zitiert von 2clics.com in «TCS Camping: Datenleck und gefälschte WhatsApp-Nachrichten»
  • Bundesamt für Cybersicherheit, «Was tun bei einem gehackten Konto oder einem Datenleck?» und «Fünf Schritte zu einer sicheren Authentifizierung» (19. Oktober 2026), zitiert von 2clics.com in «Online-Betrug: KI-gestützte Antidetect-Browser» und «TWINT: So funktioniert die Schweizer Bezahl-App»