Jens FischerGeldautomaten-Explosionen in Ludwigshafen, ein toter Täter auf dem Asphalt und ein Viertel, das die Kontrolle verliert: Der neue Tatort "Explosive Mischung" vom 4. Oktober 2026 zieht Millionen Zuschauer in seinen Bann. Was die ARD-Kultserie dabei nicht zeigt: Im Deutschland des Jahres 2026 laufen die gefährlichsten Angriffe auf Geldautomaten längst lautlos ab — per Schadcode und Fernzugriff, nicht per Sprengstoff.
Was "Explosive Mischung" zeigt — und was die Realität darüber hinausgeht
Kommissarinnen Lena Odenthal (Ulrike Folkerts) und Johanna Stern (Lisa Bitter) ermitteln heute Abend in einem Fall, der auf echten Strukturen basiert: Geldautomatensprengungen sind in Deutschland ein reales, zunehmendes Problem. Laut Bundeskriminalamt wurden allein 2021 bundesweit 392 Sprengversuche registriert, wobei Tätergruppen dabei rund 20 Millionen Euro erbeuteten. Die Täter kamen in der Mehrzahl aus den Niederlanden — ein transnationales Kriminalitätsmuster, das die deutsche Polizei seit Jahren beschäftigt.
Doch während das Fernsehen dramatische Explosionen und flüchtende Gangs zeigt, schlägt die IT-Sicherheitsszene seit Jahren Alarm über eine andere, weitaus diskretere Bedrohung: sogenannte Jackpotting-Angriffe, bei denen Kriminelle Geldautomaten per Schadsoftware oder manipulierter Hardware zur unkontrollierten Geldausgabe zwingen — ohne Knall, ohne Rauch, ohne Scherben.
Das Bundeskriminalamt dokumentiert beide Angriffstypen in seinen Jahreslagbildern. Die physische Variante — explosivstoffe, Gasgemische, mechanische Aufbrüche — erzeugt die medialen Bilder. Die digitale Variante hingegen verursacht oft höhere Schäden bei nahezu null Entdeckungsrisiko für die Täter in dem Moment des Angriffs.
Wie digitale Geldautomaten-Angriffe wirklich funktionieren
Jackpotting bezeichnet einen Angriff, bei dem Cyberkriminelle entweder physischen Zugang zur Festplatte des Automaten erlangen — oft über die Wartungsklappe — oder über Netzwerkschwachstellen direkt in das ATM-Betriebssystem eindringen. Ältere Geldautomaten laufen häufig noch auf Windows XP-basierten Systemen oder veralteten Windows-7-Varianten, die seit Jahren keine Sicherheits-Updates mehr erhalten.
Nach einem erfolgreichen Einbruch installieren die Täter Schadsoftware wie "Ploutus" oder "Tyupkin", die dem Automaten auf Kommando befiehlt, den gesamten Bargeldvorrat auszugeben. Der eigentliche Einbruch dauert dabei oft weniger als zwölf Minuten. Ein Komplize — der sogenannte "Money Mule" — steht zur vereinbarten Zeit am Automaten und nimmt das Geld entgegen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stuft Jackpotting seit 2019 als eigenständige, hochrelevante Bedrohungskategorie für den deutschen Bankensektor ein.
Die Herausforderung für Strafverfolgungsbehörden: Während eine Explosion Spuren, Splitter und DNA hinterlässt, kann ein Jackpotting-Angriff so durchgeführt werden, dass er kaum digitale Forensikspuren im Automaten selbst hinterlässt — wenn die Täter professionell vorgehen.
Neben dem Jackpotting gibt es weitere digitale Angriffsformen auf Geldautomaten, die in Krimiserien praktisch nie thematisiert werden. Beim Skimming werden Kartenlesegeräte oder Minikameras am Automaten angebracht, um Kartendaten und PINs abzugreifen. Beim sogenannten Black Box-Angriff wird das Kommunikationskabel zwischen Steuereinheit und Geldkassette physisch getrennt und ein externes Gerät dazwischengeschaltet, das dem Automaten Ausgabebefehle erteilt. Diese Angriffsformen erfordern keine Sprengstoffkenntnisse — wohl aber technisches Know-how auf IT-Niveau.
Wer wirklich gefährdet ist: Nicht nur Banken
Hier liegt das Missverständnis, das Serien wie der Tatort unbeabsichtigt verstärken: Geldautomaten stehen nicht nur in Bankfilialen. In Deutschland betreiben Tankstellen, Supermärkte, Einkaufszentren, Apotheken und kleine Einzelhändler eigene ATMs — oft ohne eigene IT-Sicherheitsabteilung und ohne die Wartungsinfrastruktur einer Großbank.
Gerade diese sogenannten "Independent ATM Deployers" (IADs) sind bevorzugte Angriffsziele. Der Aufwand für Kriminelle ist gering, die Erkennungswahrscheinlichkeit niedrig. Und die gesetzliche Verantwortung liegt beim Betreiber — nicht beim Hersteller oder der abwickelnden Bank.
Genau hier setzen IT-Sicherheitsberater an. Ihre Aufgabe ist es nicht, selbst den Automaten zu reparieren, sondern das Netzwerk-Umfeld, die Zugriffskontrollen und die Monitoring-Infrastruktur rund um den Automaten zu analysieren und zu härten. Viele dieser Betreiber wissen schlicht nicht, dass sie rechtlich als verantwortliche Stelle für die Datensicherheit ihres Automaten gelten — und bei einem Vorfall haftbar gemacht werden können, wenn grundlegende Schutzmaßnahmen fehlen.
Der Fall, der Ihnen passieren kann: Wann ein IT-Experte konkret eingreift
Stellen Sie sich vor: Sie betreiben eine mittelgroße Tankstelle in Rheinland-Pfalz mit einem gemieteten Geldautomaten. Der Automat läuft seit 2019, wird einmal im Jahr vom Wartungsdienstleister besucht. Die Software wurde zuletzt 2021 aktualisiert. Das Gerät hängt am selben WLAN-Router wie Ihre Kassensysteme.
Genau in diesem Szenario — das IT-Sicherheitsberater nach eigenen Angaben als "erschreckend häufig" bezeichnen — liegt das eigentliche Risiko: nicht in der Explosion, sondern in der ungeschützten Netzwerkverbindung.
Ein IT-Experte würde in diesem konkreten Fall zunächst ein Netzwerk-Audit durchführen. Ergebnis typischerweise: Der ATM befindet sich im selben IP-Subnetz wie POS-Terminal, Reservierungssystem und Buchhaltungssoftware. Eine Kompromittierung des Automaten wäre damit ein Sprungbrett in alle anderen Systeme.
Was das konkret bedeutet: Wenn der Jackpotting-Angriff auf Ihren ungesicherten ATM erfolgreich ist, verlieren Sie nicht nur den Bargeldinhalt des Automaten — je nach Befüllintervall zwischen 10.000 und 40.000 Euro. Sie verlieren auch potentiell die Integrität Ihrer gesamten Kassendaten, Kundendaten und Buchungssysteme, falls diese im selben Netz liegen.
Die IT-Sicherheitsprüfung durch einen qualifizierten Berater kostet im deutschen Markt für einen Einzelstandort mit ATM typischerweise zwischen 1.500 und 4.500 Euro — je nach Komplexität. Die Netzwerksegmentierung als Gegenmaßnahme (ATM in isoliertes VLAN verschieben) kann ein erfahrener IT-Techniker oft in einem halben Arbeitstag umsetzen.
Das If-Then-Fazit: Wenn Ihr Geldautomat älter als fünf Jahre ist UND an demselben Netzwerk wie andere Geschäftssysteme hängt, ist das Risiko eines Jackpotting-Angriffs mit Kettenauswirkungen auf Ihr Unternehmen laut BSI-Einschätzung als erhöht einzustufen — unabhängig von Ihrem Standort oder Ihrer Branche.
Was digitale Kriminalermittlung im echten Leben leistet — und wo ihre Grenzen sind
Der Tatort zeigt Ermittlerinnen, die mit Smartphones und Datenbanken fast zauberhaft schnell Täterprofile aufbauen. Die Realität der digitalen Forensik im Bereich Cybercrime ist differenzierter — und zeigt, warum externe IT-Expertise auch für Unternehmen relevant ist.
Reale digitale Forensik beginnt nach einem ATM-Angriff mit der Sicherung der Automaten-Logs, der Netzwerk-Traffic-Analyse der letzten 72 Stunden und der Auswertung von CCTV-Metadaten. Ohne ein aktives Monitoring-System liegen diese Daten oft schlicht nicht vor — weil niemand sie konfiguriert hat, zu speichern. In der Praxis stehen Ermittler nach einem Jackpotting-Angriff ohne jegliche Logs da, wenn der ATM-Betreiber kein zentrales Security-Information-and-Event-Management (SIEM) eingerichtet hat. Das erschwert die Strafverfolgung erheblich und verlängert die Zeit bis zur Schadensfeststellung um Tage oder sogar Wochen.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt deshalb in seinen Technischen Richtlinien für den Betrieb von Geldausgabeautomaten ausdrücklich ein kontinuierliches Logfile-Management und regelmäßige Integritätsprüfungen der ATM-Software. Die Umsetzung dieser Empfehlungen obliegt dem Betreiber — und erfordert in der Praxis IT-Fachkenntnisse, die in vielen kleinen und mittelständischen Unternehmen nicht vorhanden sind.
Ähnliches gilt übrigens für die Darstellung von KI-gestützter Kriminalprävention im Fernsehen — ein Thema, das auch andere Krimiserien 2026 beschäftigt.
Was Sie jetzt tun können
Die aktuelle Tatort-Folge "Explosive Mischung" ist gute Unterhaltung — und ein ungewollter, aber willkommener Anlass, die eigene Unternehmensinfrastruktur zu hinterfragen. Denn die echten Täter von heute tragen keine Sprengwesten. Sie tragen Laptops.
Betreiber von Geldautomaten außerhalb klassischer Bankstrukturen sollten drei konkrete Schritte prüfen:
Erstens: Ist der Automat netzwerkseitig vom restlichen Unternehmensnetz getrennt? Falls nein, ist die Segmentierung der dringlichste erste Schritt.
Zweitens: Wann war das letzte Firmware- oder Betriebssystem-Update des Automaten? Software älter als 24 Monate gilt nach BSI-Maßstäben als kritisch zu prüfen.
Drittens: Gibt es ein zentrales Monitoring-System, das ungewöhnliche Zugriffe auf den Automaten oder sein Netzwerk in Echtzeit meldet? Ohne dieses Monitoring ist jede Forensik nach einem Angriff blind.
All diese Fragen beantworten IT-Sicherheitsberater — nicht im Krimi-Tempo von 90 Minuten, aber mit einer Substanz, die echten Schutz bietet. Ein qualifiziertes Beratungsgespräch ist der erste Schritt: konkret, ortsnah und auf die spezifische Infrastruktur Ihres Unternehmens ausgerichtet.
Den passenden IT-Sicherheitsberater für Ihre Region finden Sie direkt bei Expert Zoom.
