Sicherheitslücke bei Arzneimitteln und neue Phishing-Wellen im August 2026 (23.08.2026)

Jonas: Willkommen zu Crime und Kontext, ich bin Jonas. Gleich vorweg, das hier ist eine Kurzausgabe, es gab diese Woche wenig wirklich Neues, deshalb halten wir es heute kompakt. Bei mir ist wie immer Mara.

Mara: Hallo zusammen. Kurz heißt aber nicht unwichtig, oder?

Jonas: Nein, ganz im Gegenteil. Wir schauen uns zwei Themen an, die eigentlich schon länger bekannt sind, aber gerade wieder Thema werden. Einmal eine Sicherheitslücke bei Arzneimittelpackungen, und einmal der aktuelle Phishing-Radar der Verbraucherzentrale.

Mara: Arzneimittelpackungen? Das klingt jetzt erstmal nicht nach klassischem Betrugsthema.

Jonas: Ist es aber, im weiteren Sinne. Es geht um den sogenannten Manipulationsschutz auf Medikamentenpackungen. Seit einigen Jahren müssen verschreibungspflichtige Arzneimittel in der EU mit einer Vorrichtung versehen sein, die erkennbar macht, wenn eine Packung schon einmal geöffnet wurde. Das soll vor allem gefälschte Medikamente aus dem Verkehr fernhalten.

Mara: Also so eine Art Siegel, wie man es von Lebensmitteln oder Kosmetik kennt.

Jonas: Genau dieses Prinzip. Recherchen des Magazins Plusminus, über die die Tagesschau berichtet hat, zeigen jetzt aber, dass dieser Schutz bei vielen Packungen offenbar nicht zuverlässig funktioniert. Das Siegel lässt sich öffnen und wieder so verschließen, dass man es von außen kaum erkennt.

Mara: Das heißt, jemand könnte eine Packung öffnen, den Inhalt austauschen oder manipulieren, und wieder zukleben, ohne dass es auffällt?

Jonas: Genau das ist das Risiko, das die Recherche beschreibt. Und das Besondere an dem Fall ist nicht nur die technische Schwäche selbst, sondern dass die Behörden dieses Problem laut Bericht seit Jahren kennen.

Mara: Seit Jahren bekannt, aber nichts passiert? [pauses] Das ist ja fast das eigentliche Skandalöse an der Geschichte.

Jonas: Aus Sicht der Aufsicht sieht man das vermutlich differenzierter, aber ja, der Kern des Vorwurfs ist genau das: Es gibt einen bekannten Risikofaktor, aber keine spürbare Nachbesserung bei den Standards oder Kontrollen.

Mara: Warum ist das für uns als Zuhörerinnen und Zuhörer relevant, wenn es hier ja eigentlich mehr um Regulierung als um klassische Kriminalität geht?

Jonas: Weil genau solche Schwachstellen die Grundlage für organisierte Arzneimittelfälschung sein können. Wir reden hier nicht über einen einzelnen Betrüger, sondern über ein System, das Vertrauen erzeugen soll, Stichwort Fälschungssicherheit, das aber technisch angreifbar ist. Und das betrifft am Ende Patientinnen und Patienten, die sich auf dieses Siegel verlassen.

Mara: Also ein bisschen wie bei IT-Sicherheit, nur eben analog. Ein Schloss, das aussieht wie Sicherheit, aber keine echte Sicherheit bietet.

Jonas: Sehr passender Vergleich. In der Cybercrime-Welt sprechen wir oft von Systemen, die Vertrauen simulieren, ohne es wirklich zu garantieren. Genau dieses Muster sehen wir hier eben im ganz analogen Bereich.

Mara: Gibt es schon konkrete Fälle, wo das ausgenutzt wurde, oder ist das bisher eher ein theoretisches Risiko?

Jonas: Laut Bericht geht es vor allem um das nachgewiesene Risiko und die mangelnde Reaktion der Behörden, nicht um einen einzelnen aufgedeckten Fälschungsfall in großem Stil. Das muss man fair sagen, es ist also eine Sicherheitslücke mit Potenzial, keine bereits belegte Betrugswelle.

Mara: Trotzdem ein gutes Beispiel dafür, dass Sicherheitsmechanismen regelmäßig überprüft werden müssen, und nicht nur einmal eingeführt und dann für ewig als sicher gelten.

Jonas: Exakt. Und das ist am Ende die Lehre aus diesem ersten Punkt: Ein Sicherheitssystem ist nur so gut wie seine tatsächliche Überprüfung, nicht wie sein Versprechen auf dem Papier.

Mara: Okay, kommen wir zum zweiten Thema, das ist dann wieder klassischer für unseren Podcast.

Jonas: Ja, der Phishing-Radar der Verbraucherzentrale NRW für August. Die warnen aktuell wieder vor einer ganzen Welle von Phishing-Mails, die bekannte Namen missbrauchen, ELSTER, Spotify, verschiedene Volksbanken und Raiffeisenbanken, N26, die Sparkasse und sogar die Deutsche Rentenversicherung.

Mara: Das ist ja eine ziemlich bunte Mischung. Finanzamt, Streamingdienst, Bank, Rente. Was haben die gemeinsam?

Jonas: Genau die Institutionen, mit denen fast jeder irgendeine Beziehung hat. Und genau das ist die Logik dahinter. Die Täter setzen nicht auf ein Nischenopfer, sondern auf Breite. Wenn genug Menschen eine Mail bekommen, die angeblich von der Sparkasse oder von ELSTER kommt, trifft das immer irgendjemanden, der genau dort tatsächlich Kunde ist.

Mara: Und dann klickt man aus Reflex, weil man ja wirklich bei der Sparkasse ist.

Jonas: Genau. Und die Mails setzen dabei fast immer auf das gleiche Muster: angeblich müssen Zahlungsdaten aktualisiert werden, oder es gibt ein Problem mit dem Konto, das dringend gelöst werden muss. Sonst drohe eine Sperrung.

Mara: Dieser Zeitdruck ist ja fast schon ein Klassiker bei solchen Betrugsmaschen.

Jonas: Absolut zentral. Psychologisch nennt man das Verknappung oder Dringlichkeitsdruck. Wenn ich als Empfänger das Gefühl habe, ich muss sofort handeln, sonst passiert etwas Schlimmes, dann denke ich weniger nach, und genau darauf setzen die Täter.

Mara: Was sind denn die konkreten Warnzeichen, die die Verbraucherzentrale in diesen Mails beschreibt?

Jonas: Drei Dinge werden immer wieder genannt. Erstens, eine unpersönliche Anrede, also sehr geehrter Kunde statt dem eigenen Namen. Zweitens, eine Absenderadresse, die bei genauem Hinsehen nicht wirklich zur echten Institution passt, oft mit kleinen Abweichungen oder kryptischen Endungen. Und drittens, die Drohung mit einer Kontosperrung oder einem Zugriffsverlust, wenn man nicht sofort reagiert.

Mara: Das klingt jetzt fast zu einfach, um noch jemanden zu überraschen. Trotzdem funktioniert es offenbar immer noch.

Jonas: Weil viele Menschen solche Mails eben nicht in Ruhe lesen, sondern zwischen Terminen, auf dem Handy, kurz vorm Einschlafen. Genau da wird die unpersönliche Anrede oder die komische Absenderadresse leicht übersehen.

Mara: Was rät die Verbraucherzentrale dann als Reaktion, wenn man eine solche Mail bekommt?

Jonas: Ganz klar: nicht auf den Link in der Mail klicken. Stattdessen die Mail ignorieren, in den Spam-Ordner verschieben, und wenn man wirklich unsicher ist, ob es ein reales Problem gibt, direkt über die offizielle App oder die bekannte, selbst eingegebene Internetadresse des Anbieters nachsehen. Also niemals über den Link in der verdächtigen Mail.

Mara: Das heißt im Zweifel selbst zur Bank-App gehen oder die Nummer raussuchen, statt in der Mail zu klicken.

Jonas: Genau das ist der einfachste und wirksamste Schutzmechanismus. Man verlässt sich nie auf den Link, den jemand einem schickt, sondern geht immer selbst und aktiv zur bekannten Quelle.

Mara: Was mich an dieser Liste noch interessiert: ELSTER und die Rentenversicherung wirken für mich fast seriöser als Spotify. Nutzen die Täter da bewusst offizielle Behördennamen, um mehr Vertrauen zu erzeugen?

Jonas: Ja, das ist ein bewährtes Muster. Behördenname klingt nach Autorität, nach Pflicht, nach etwas, das man nicht einfach ignorieren kann. Genau deshalb tauchen Finanzamt oder Rentenversicherung so häufig in Phishing-Kampagnen auf, das erzeugt eine besonders starke Reaktion, aus Sorge, etwas offiziell Wichtiges zu verpassen.

Mara: Während man bei Spotify vielleicht eher denkt, na gut, wenn das Konto weg ist, ist es nicht das Ende der Welt.

Jonas: Richtig, aber Spotify wird trotzdem genutzt, weil es eben ein Massenprodukt ist, das viele Menschen nutzen, und weil Zugangsdaten dort oft mit E-Mail-Adressen und manchmal sogar mit wiederverwendeten Passwörtern verknüpft sind, die dann für ganz andere Konten interessant werden können.

Mara: Ah, also selbst ein vermeintlich harmloses Streaming-Konto kann als Einstiegspunkt für größere Probleme dienen, wenn Passwörter mehrfach benutzt werden.

Jonas: Exakt, und das ist eigentlich die wichtigste übergeordnete Lehre aus diesem Radar-Bericht: Phishing zielt selten nur auf ein einzelnes Konto, sondern nutzt oft die Tatsache aus, dass Menschen Zugangsdaten mehrfach verwenden.

Mara: Was beide Themen heute für mich verbindet, ist eigentlich dieser Punkt: Vertrauen in ein Sicherheitssystem, egal ob Siegel auf einer Medikamentenpackung oder Login-Seite einer Bank, ist nur so stark, wie die tatsächliche Prüfung dahinter.

Jonas: Genauso würde ich das auch zusammenfassen. Bei den Arzneimittelpackungen ist es die mangelnde behördliche Kontrolle einer bekannten technischen Schwäche, bei den Phishing-Mails ist es die mangelnde eigene Kontrolle im Alltag, also kurz hinschauen, bevor man klickt.

Mara: Kleiner Unterschied ist ja auch, beim Phishing kann jeder selbst sofort etwas tun, bei der Packungssicherung eher nicht.

Jonas: Stimmt, das ist ein wichtiger Punkt. Bei den Medikamenten liegt die Verantwortung klar bei Herstellern und Aufsichtsbehörden, da kann man als Einzelperson wenig ändern, außer aufmerksam zu bleiben und im Zweifel eine geöffnet wirkende Packung in der Apotheke ansprechen. Beim Phishing dagegen liegt ein großer Teil des Schutzes tatsächlich bei uns selbst, im ganz konkreten Alltag.

Mara: Also heute wenig neue Fälle, aber zwei gute Erinnerungen: einmal kritisch bleiben gegenüber Sicherheitsversprechen, und einmal bei jeder dringenden Mail kurz innehalten, bevor man klickt.

Jonas: Genau so würde ich das auch stehen lassen. Das war unsere kurze Ausgabe für diese Woche. Danke, dass ihr trotzdem zugehört habt, und danke dir, Mara.

Mara: Sehr gerne. Und an alle da draußen: schaut zweimal hin, bevor ihr klickt, das reicht oft schon.