So teilen Sie einen Kontoauszug sicher (2026): Schwärzen, schützen, senden

Ein Immobilienmakler schreibt Ihnen: „Bitte senden Sie mir die Kontoauszüge der letzten drei Monate.“ Ihr Kreditsachbearbeiter sagt dasselbe. Der Steuerberater fragt zur Steuerzeit erneut. Alle paar Wochen möchte jemand Seriöses – oder jemand, der vorgibt, seriös zu sein – das sensibelste Dokument Ihres digitalen Lebens einsehen. Sie zögern. Zu Recht.

Dieser Leitfaden ist ein praktischer Fahrplan, um einen Kontoauszug zu teilen, ohne Betrug gegen sich selbst zu ermöglichen. Er behandelt, was ein Betrüger tatsächlich damit anfangen kann, drei Sicherheitsstufen, damit Sie den Aufwand an die Situation anpassen, wie Sie je nach Anwendungsfall richtig schwärzen, wie Sie ein sauberes PDF bei großen Banken herunterladen, was Passwortschutz wirklich leistet, wie Sie eine gefälschte Anfrage erkennen und was zu tun ist, wenn Sie einen ungeschwärzten Auszug bereits an die falsche Person geschickt haben.

Was ein Betrüger mit Ihrem Kontoauszug tatsächlich anfangen kann

Das Risiko ist nicht abstrakt. Wenn ein Kontoauszug in die falschen Hände gerät, passieren ganz konkrete Dinge.

Kontoübernahme durch Social Engineering. Ihr Auszug zeigt den Namen der Bank, den Namen des Kontoinhabers, aktuelle Transaktionen und teilweise Kontonummern. Damit kann ein Angreifer bei der Bank anrufen, sich als Sie ausgeben, die Sicherheitsfragen beantworten („Können Sie eine kürzliche Transaktion bestätigen?“ ist eine der üblichen) und ein neues Passwort oder eine neue Karte anfordern.

Synthetischer Identitätsbetrug. Echte Kontodaten in Kombination mit einem leicht abgewandelten Namen und einer falschen Adresse werden genutzt, um neue Kreditlinien zu eröffnen, die für Kreditgeber glaubwürdig aussehen. Der eigentliche Kontoinhaber entdeckt den Betrug erst Monate später, wenn das Inkasso beginnt.

Gezieltes Phishing. Wer Ihre Bank, Ihr Gehalt und Ihr typisches Ausgabeverhalten kennt, kann Phishing-E-Mails verfassen, die wie echte Mitteilungen der Bank wirken. „Wir haben eine ungewöhnliche Abbuchung von 847,23 $ bei [Händler, bei dem Sie letzte Woche tatsächlich eingekauft haben] festgestellt. Klicken Sie hier, um zu bestätigen.“ Solche Nachrichten sind deutlich erfolgreicher als generisches Phishing.

Lastschriftbetrug. In manchen Ländern genügen eine Kontonummer und Bankleitzahl (Sort Code, Großbritannien) bzw. Routing-Nummer (USA), um eine Lastschrift einzurichten. Viele kleine Händler überprüfen den Kontoinhaber nicht. Bis Sie es bemerken, ist das Geld weg, und die Rückerstattung hängt vom Entgegenkommen der Bank ab.

Kredit- und Mietbetrug. Ihr Name, Ihre Adresse, Ihr Arbeitgeber und Ihr Gehalt auf einem ungeschwärzten Auszug reichen als Nachweis aus, damit ein Betrüger in Ihrem Namen einen Kurzzeitkredit oder eine Kurzzeitmiete beantragt. Bis der Kreditgeber oder Vermieter Sie wegen ausbleibender Zahlung verfolgt, ist der Angreifer verschwunden – und der Schaden für Ihre Bonität bleibt an Ihnen hängen.

Der dreistufige Sicherheits-Workflow

Nicht jede Weitergabe braucht maximale Sicherheit. Passen Sie den Aufwand an die Situation an. Hier sind drei Stufen, von leicht bis paranoid.

Stufe 1: Das Nötigste (geringes Risiko, vertrauenswürdig, reguliert)

Nutzen Sie diese Stufe für Ihren langjährigen Steuerberater, das offizielle Portal eines regulierten Kreditgebers oder eine Behörde, die Sie selbst kontaktiert haben. Laden Sie das Original-PDF bei Ihrer Bank herunter, schwärzen Sie die Teile, die ausdrücklich nicht benötigt werden (vollständige Kontonummer, nicht relevante Transaktionen), und senden Sie es per E-Mail oder laden Sie es in deren Portal hoch. Den Passwortschutz können Sie überspringen. Der Empfänger ist an berufliche Standesregeln gebunden, und das Risiko eines Abfangens ist gering.

Stufe 2: Empfohlen (Standard für die meisten Weitergaben)

Nutzen Sie diese Stufe für Immobilienmakler, Hypothekenvermittler, das Onboarding beim Arbeitgeber, Versicherungsansprüche und die meisten beruflichen Situationen. Laden Sie das Original-PDF herunter. Schwärzen Sie mindestens die vollständige Kontonummer, Kartennummern und nicht relevante Ausgabenzeilen. Mit einem Passwort schützen – und zwar mit einem starken. Versenden Sie die Datei per E-Mail. Übermitteln Sie das Passwort über einen anderen Kanal: einen Telefonanruf, SMS, WhatsApp oder persönlich. Bitten Sie den Empfänger schriftlich, den Empfang zu bestätigen und die Kopie nach Abschluss des Vorgangs zu löschen.

Stufe 3: Paranoid (hohes Risiko oder nicht vertrauenswürdig)

Nutzen Sie diese Stufe für unbekannte Vermieter (besonders bei privaten Mietverhältnissen), internationale Gegenparteien, jeden, den Sie nur online kennengelernt haben, und jede Situation, die Ihren Instinkt zum Zögern gebracht hat. Überprüfen Sie den Empfänger über einen unabhängigen Kanal (rufen Sie die Hauptzentrale der Agentur an, nicht die Nummer aus der E-Mail-Signatur). Schwärzen Sie großzügig und lassen Sie nur den minimalen Mittelnachweis stehen. Verwenden Sie ein starkes Passwort mit mindestens 16 Zeichen. Übermitteln Sie das Passwort per Telefonanruf an eine Nummer, die Sie bereits hatten, nicht an die in der E-Mail angegebene. Setzen Sie sich eine Kalendererinnerung 30 Tage nach dem Versand, um die Löschung nachzuverfolgen. Überlegen Sie, ob die Anfrage überhaupt notwendig ist oder ob stattdessen ein schriftliches Schreiben Ihrer Bank zur Bestätigung des Kontostands ausreichen würde.

Schwärzungs-Checkliste nach Anwendungsfall

Verschiedene Empfänger brauchen Verschiedenes. Zu viel preiszugeben ist der häufigste Fehler. Hier steht, was jeder typische Empfänger tatsächlich benötigt und was Sie entfernen sollten.

Immobilienmakler oder Vermieter (Mietantrag)

Sie brauchen: den Nachweis, dass Ihr angegebenes Gehalt eingeht, dass Sie ein stabiles Einkommensmuster haben, und einen Endsaldo, der nahelegt, dass Sie die Miete decken können. Behalten: Ihren Namen, den Namen der Bank, die Zeiträume des Auszugs, die Gehaltseingänge und den Schlusssaldo. Schwärzen: die vollständige Konto- und Bankleitzahl bzw. Routing-Nummer (die letzten vier Ziffern stehen lassen), jede Transaktion, die nicht mit Einkommen zu tun hat (Lebensmittel, Restaurants, Abonnements, Überweisungen an Freunde), und alle Verweise auf Kontenaggregation.

Hypothekenvermittler oder Kreditsachbearbeiter

Sie brauchen: das vollständige Einkommensbild und den Nachweis bestehender Schuldenverpflichtungen, die sie auf Ihren Antrag anrechnen. Behalten: Gehaltseingänge, wiederkehrende Schuldenzahlungen (andere Kredite, Kreditkarten) und den Schlusssaldo. Schwärzen: die vollständige Kontonummer (die letzten vier Ziffern genügen), private Ausgaben ohne Bezug zu Schulden und die Kontaktdaten des Kontoinhabers. Manche Kreditgeber verlangen aus Gründen der Geldwäscheprävention (AML) ausdrücklich ungeschwärzte Auszüge; in diesem Fall ist Stufe 1 (keine Schwärzung über die Kontonummer hinaus) zusammen mit ihrem sicheren Portal der richtige Weg.

Buchhalter oder Steuerberater

Sie brauchen: steuerrelevante Transaktionen (Betriebseinnahmen, absetzbare Ausgaben, Dividendenzahlungen, erhaltene Zinsen). Behalten: alles Steuerrelevante. Schwärzen: die vollständige Kontonummer und private Ausgaben, sofern sie nicht absetzbar sind. Bei den meisten privaten Steuererklärungen entspricht die geschwärzte Version dem, was ein Hypothekenvermittler sieht, ergänzt um alle markierten Steuerkategorien.

Visum- oder Einwanderungsbeamter

Sie brauchen: den Nachweis ausreichender Mittel für die Dauer des Aufenthalts oder die finanzielle Voraussetzung der Visumklasse. Behalten: den Endsaldo, Muster der Mittelherkunft (Gehalt, Geschäftseingänge). Schwärzen: detaillierte Ausgabenkategorien, Transaktionen ohne Bezug zum Mittelnachweis. Die vollständige Kontonummer lässt sich in der Regel bis auf die letzten vier Ziffern schwärzen; prüfen Sie jedoch die konkreten Vorgaben der zuständigen Botschaft oder des Konsulats für Ihre Visumkategorie.

Onboarding beim Arbeitgeber (Einrichtung der Gehaltszahlung)

Für die Einrichtung der Gehaltszahlung brauchen sie in der Regel einen entwerteten Scheck oder ein Bankbestätigungsschreiben, keinen vollständigen Auszug. Wehren Sie sich, wenn die Personalabteilung hier einen Auszug verlangt. Ihre gesamte Transaktionshistorie mit einem Arbeitgeber zu teilen, ist für die Einrichtung einer Gehaltszahlung übertrieben. Wenn man darauf besteht, schwärzen Sie alles außer dem Namen, dem Namen der Bank, dem Namen des Kontoinhabers und den für die Zahlung nötigen Konto- bzw. Routing-Daten.

Echte Schwärzung: Schritt für Schritt

Öffnen Sie das heruntergeladene PDF in iHatePDF „PDF schwärzen“. Das Werkzeug entfernt den zugrunde liegenden Inhalt aus dem Dokument, statt nur ein schwarzes Rechteck darüberzulegen. Das ist wichtig, denn Überlagerungen lassen sich aushebeln, indem man den darunterliegenden Text markiert und kopiert oder eine OCR darüber laufen lässt. Echte Schwärzung nicht.

1. Laden Sie das heruntergeladene Auszugs-PDF hoch.
2. Ziehen Sie ein Rechteck über jede zu entfernende Information. Seien Sie gründlich: Kontonummer, Kartennummern, die vollständige Adresse, falls Sie sie nicht teilen möchten, und jede Position, die der Empfänger nicht sehen soll.
3. Nutzen Sie, falls verfügbar, die Mustersuche für E-Mail-Adressen, Telefonnummern und wiederkehrende Kennungen.
4. Prüfen Sie jede Seite. In Auszügen stehen die Kontodaten oft auf jeder Seite wiederholt in Kopf- oder Fußzeilen.
5. Wenden Sie die Schwärzungen an. Bestätigen Sie. Laden Sie das geschwärzte PDF herunter.
6. Öffnen Sie das heruntergeladene PDF und versuchen Sie, den geschwärzten Text zu markieren. Wenn Sie den ursprünglichen Text markieren oder kopieren können, hat die Schwärzung nicht funktioniert. Versuchen Sie es erneut.

Lesen Sie unseren vollständigen Schwärzungs-Leitfaden für eine ausführlichere Erläuterung und Sonderfälle (gescannte Auszüge, Konten in mehreren Währungen, große Dateien).

Passwortschutz: so machen Sie es richtig

PDF-Passwortverschlüsselung mit modernen Algorithmen (AES-256) ist wirklich stark. Das schwache Glied ist das Passwort selbst. Werkzeuge zum Knacken schwacher Passwörter sind kostenlos und schnell. Werkzeuge zum Knacken starker Passwörter bräuchten länger als die gesamte Lebensdauer des Universums.

Nutzen Sie iHatePDF „PDF schützen“ oder ein beliebiges Werkzeug mit AES-256-Verschlüsselung. Ein starkes Passwort folgt drei Regeln:

• Mindestens 12 Zeichen, für Weitergaben mit hohem Risiko besser 16 oder mehr
• Eine Mischung aus Groß- und Kleinbuchstaben, Zahlen und Symbolen
• Kein Wort aus irgendeinem Wörterbuch, kein Datum, kein Name, keine Zeile aus einem Lied

Ein guter Trick: Nehmen Sie eine Wortfolge aus vier Wörtern, auf die nur Sie kommen würden, schreiben Sie die Anfangsbuchstaben groß und streuen Sie Zahlen und Symbole ein. Beispielmuster: BlueParrot$Skylight2026 (verwenden Sie genau dieses nicht).

Übermitteln Sie das Passwort über einen anderen Kanal als die Datei. Geht die Datei per E-Mail, geht das Passwort per SMS oder Telefonanruf. Abgewehrt wird die Gefahr, dass entweder die E-Mail oder der Nachrichtenkanal abgefangen wird, nicht beide zugleich. Die Weitergabe über einen einzigen Kanal (das Passwort in derselben E-Mail wie der Anhang) hebelt die Verschlüsselung vollständig aus.

So versenden Sie ihn

Drei Versandmethoden, nach typischer Sicherheit geordnet:

Sicheres Portal des Empfängers (am besten). Banken, regulierte Kreditgeber, Behörden und viele professionelle Unternehmen haben inzwischen Dokumentenportale. Die Datei wird verschlüsselt in deren kontrollierte Umgebung hochgeladen, der Empfänger ruft sie dort ab, und die einzige Kopie außerhalb Ihres Einflussbereichs liegt auf deren Infrastruktur. Nutzen Sie diese Methode, wenn sie verfügbar ist.

E-Mail mit passwortgeschütztem Anhang (gut). Der übliche berufliche Workflow. Die Datei ist im Ruhezustand in Ihrem Postausgang und im Posteingang des Empfängers verschlüsselt. Der E-Mail-Transport zwischen großen Anbietern ist während der Übertragung TLS-verschlüsselt. Das Passwort wird getrennt übermittelt. Für nahezu jede realistische Situation akzeptabel.

Kurzlebiger Freigabelink (gut für eine einmalige Zustellung). Manche PDF-Werkzeuge, darunter iHatePDF, bieten eine Funktion „Per Link teilen“, bei der der Empfänger eine Download-URL statt eines E-Mail-Anhangs erhält. iHatePDF-Links laufen nach 35 Minuten automatisch ab, sodass die Datei nicht tage- oder wochenlang auf einem Server liegt, wie es bei langlebigen gehosteten Links mancher anderer Dienste der Fall ist. Das 30-Minuten-Fenster ist lang genug, damit der Empfänger einmal herunterladen kann, und kurz genug, damit abgefangene Links schnell unbrauchbar werden. Nützlich, wenn Größenbeschränkungen für E-Mail-Anhänge im Weg stehen oder wenn der Empfänger den Empfang in Echtzeit durch das Öffnen des Links bestätigen soll. Für unkritische Weitergaben an bekannte Empfänger ist das in Ordnung. Für Weitergaben mit hohem Risiko bleiben Sie bei der oben beschriebenen Methode aus E-Mail plus Passwort über einen separaten Kanal, da Sie dort die Gültigkeitsdauer des Passworts selbst steuern.

Warnzeichen: so erkennen Sie eine gefälschte Anfrage nach einem Kontoauszug

Seriöse Organisationen verwenden diese Muster selten. Wenn Sie sie bemerken, halten Sie inne und überprüfen Sie die Anfrage über einen Kanal, dem Sie vertrauen.

• Erzeugter Zeitdruck. „Wir brauchen das innerhalb der nächsten Stunde, sonst wird Ihr Antrag storniert.“ Echte Prozesse haben echte Fristen, aber seriöse messen Routineunterlagen selten in Zeitfenstern von nur einer Stunde.
• Nicht übereinstimmende Absenderangaben. Der Anzeigename lautet „HSBC Mortgage Team“, aber die E-Mail-Adresse ist hsbc.support@gmail.com oder eine falsch geschriebene Domain (hsbc-uk-support.com). Echte Institute senden von ihrer Hauptdomain.
• Aufforderung zu einem ungeschwärzten, vollständigen Auszug ohne Begründung. Seriöse Prozesse erklären, was sie benötigen und warum. Pauschale Aufforderungen nach „Ihrem vollständigen Kontoauszug“ ohne konkreten Umfang sind ein Warnzeichen.
• Die Bitte um das Passwort in derselben E-Mail. Kein seriöser Empfänger verlangt beides. Wenn doch, geht er entweder nachlässig mit Sicherheit um oder hofft, dass Sie es tun.
• „Wir senden Ihnen zur Bestätigung einen Code per SMS.“ Bestätigungscodes mitten im Vorgang sind der Weg, über den Kontoübernahmen ablaufen. Seriöse Prozesse überprüfen die Identität zu Beginn, nicht per SMS mitten im Ablauf.
• Druck, keine dritte Partei einzuschalten. „Rufen Sie nicht in unserem Büro an, antworten Sie einfach per E-Mail.“ Seriöse Organisationen ermutigen Sie, sie über ihre offiziellen Kanäle zu überprüfen.
• Zahlung, um einen Vorgang freizugeben. „Zahlen Sie eine kleine Bearbeitungsgebühr, um fortzufahren.“ Ein Vermieter, eine Bank oder eine Behörde, die eine Zahlung verlangt, um einen bereits angeforderten Auszug zu bearbeiten, ist ein Betrug.

Wenn Sie einen ungeschwärzten Auszug bereits an die falsche Person geschickt haben

Fehler passieren. Wie schnell Sie reagieren, verringert den Schaden. Arbeiten Sie die folgende Liste der Reihe nach ab. Das meiste davon lässt sich innerhalb der nächsten Stunde erledigen.

1. Rufen Sie die Betrugs-Hotline Ihrer Bank an. Die Nummer steht auf der Rückseite Ihrer Karte. Sagen Sie, dass möglicherweise Auszugsdaten abhandengekommen sind, und bitten Sie darum, das Konto für die nächsten 90 Tage auf ungewöhnliche Aktivitäten überwachen zu lassen.
2. Ändern Sie Ihr Online-Banking-Passwort und aktivieren Sie die Multi-Faktor-Authentifizierung, falls noch nicht geschehen.
3. Richten Sie bei den Auskunfteien eine Betrugswarnung ein. In den USA: Experian, Equifax, TransUnion. In Großbritannien: Experian, Equifax, TransUnion UK. In der EU: die jeweiligen Entsprechungen pro Land. Eine Betrugswarnung ist kostenlos, gilt ein Jahr und verpflichtet Kreditgeber, Ihre Identität zu überprüfen, bevor sie neue Kredite vergeben.
4. War die Datenpreisgabe erheblich (vollständige Kontonummer plus persönliche Daten), erwägen Sie eine Kreditsperre statt nur einer Warnung. Eine Sperre blockiert neue Kreditanträge vollständig, bis Sie sie aufheben.
5. Achten Sie in Ihrem Posteingang auf E-Mails zum Zurücksetzen von Passwörtern, die Sie nicht angefordert haben. Sie sind ein frühes Anzeichen für Versuche einer Kontoübernahme.
6. Prüfen Sie Ihre Kontoauszüge in den nächsten zwei Wochen täglich und danach zwei Monate lang wöchentlich. Melden Sie jede unbekannte Transaktion sofort.
7. War der Empfänger ein Betrüger, der sich als seriöse Partei ausgab, melden Sie es der Cyberkriminalitätsbehörde Ihres Landes: IC3 (USA), Action Fraud (Großbritannien), die örtliche Cybercrime-Dienststelle der Polizei (EU). Bewahren Sie den gesamten Schriftverkehr als Beweis auf.
8. Benachrichtigen Sie die seriöse Partei, an die Sie zu senden glaubten. Möglicherweise werden weitere ihrer Kunden mit demselben Betrug ins Visier genommen, und Ihre Meldung hilft ihnen, andere zu warnen.

Ihre Rechte nach der Weitergabe: DSGVO, CCPA, UK DPA

Sie behalten auch nach der Weitergabe Rechte an Ihren Daten. Welche Rechtsordnung gilt, hängt davon ab, wo Sie leben und wo der Empfänger niedergelassen ist.

EU (DSGVO) und Großbritannien (UK DPA). Sie können einen Antrag auf Auskunft (Data Subject Access Request, DSAR) stellen, um zu erfahren, welche Daten der Empfänger vorhält, und die Löschung verlangen, sobald die Rechtsgrundlage für die Verarbeitung entfällt. Wird beispielsweise ein Mietantrag abgelehnt oder endet das Mietverhältnis, hat der Immobilienmakler nur noch begrenzte Gründe, Ihren vollständigen Auszug aufzubewahren. Stellen Sie den Antrag schriftlich, räumen Sie 30 Tage für die Antwort ein und wenden Sie sich an das Information Commissioner's Office (Großbritannien) oder die zuständige Datenschutzbehörde (EU), falls keine Antwort erfolgt.

Kalifornien (CCPA / CPRA). Sie können erfragen, welche Daten ein Unternehmen über Sie erhoben hat, die Löschung verlangen und dem Verkauf personenbezogener Daten widersprechen. Stellen Sie den Antrag über den dafür vorgesehenen Weg des Unternehmens (oft ein Webformular auf dessen Datenschutzseite). Die Antwortfrist beträgt 45 Tage und ist auf 90 Tage verlängerbar.

Weitere US-Bundesstaaten. Virginia, Colorado, Connecticut, Utah und eine wachsende Zahl weiterer Bundesstaaten haben mit Stand 2026 ähnliche Verbraucherschutzgesetze zum Datenschutz. Die Verfahren ähneln sich. Das konkrete Vorgehen erfahren Sie beim Generalstaatsanwalt (Attorney General) Ihres Bundesstaates.

Häufig gestellte Fragen