Eine SMS mit dem Hinweis auf ein gesperrtes Bankkonto, ein angeblich fehlendes Paket oder eine offene Rechnung wirkt schnell dringlich. Ich erkläre, was hinter solchen Nachrichten steckt, wie Smishing funktioniert, woran Sie den Betrug erkennen und was Sie tun sollten, wenn Sie bereits auf einen Link getippt oder Daten eingegeben haben.
Smishing lässt sich meist an Druck, gefälschten Absendern und gefährlichen Links erkennen
- Smishing ist Phishing per SMS oder Messenger-Nachricht.
- Typische Vorwände sind Paketzustellungen, Bankkonten, Steuerbescheide und angebliche Familiennotfälle.
- Niemals auf Links tippen, Zugangsdaten eingeben oder Apps aus einer SMS heraus installieren.
- Nach einem Klick sollten Sie abhängig vom Vorfall Bank, Mobilfunkanbieter und Polizei informieren.
- Die sicherste Prüfung erfolgt über die offizielle App oder eine selbst eingetippte Internetadresse.
Was ist Smishing und was steckt dahinter?
Smishing ist eine Form des Phishings, bei der Kriminelle SMS oder Kurznachrichten als Köder verwenden. Der Begriff setzt sich aus „SMS“ und „Phishing“ zusammen. Ziel ist meist, Passwörter, Bankdaten, Kreditkartendaten oder persönliche Informationen zu stehlen.
Die Nachricht führt häufig auf eine gefälschte Internetseite. Diese sieht der echten Website einer Bank, eines Paketdienstes oder einer Behörde oft erstaunlich ähnlich. Gibt das Opfer dort seine Daten ein, landen sie direkt bei den Betrügern. In anderen Fällen soll eine manipulierte App installiert werden, die weitere Informationen ausliest oder SMS mit Sicherheitscodes abfängt.
Der entscheidende Unterschied zu einer gewöhnlichen Werbe-SMS liegt in der betrügerischen Absicht. Eine echte Nachricht kann ebenfalls einen Link enthalten, doch seriöse Anbieter fordern normalerweise nicht per SMS zur Eingabe von Online-Banking-Passwörtern, vollständigen Kartendaten oder Sicherheitscodes auf. Genau diese Erwartung sollte bei mir immer die erste Warnlampe einschalten.
So funktioniert der Betrug in der Praxis
Smishing nutzt weniger technische Raffinesse als psychologischen Druck. Die Nachricht soll eine schnelle Reaktion auslösen, bevor der Empfänger die Angaben überprüft. Häufig geht es um Angst, Zeitdruck, Neugier oder die Aussicht auf einen kleinen Vorteil.
Typische Beispiele für betrügerische SMS
- Paketdienst: Eine Sendung könne wegen einer fehlenden Zoll- oder Zustellgebühr nicht ausgeliefert werden.
- Bank: Das Konto werde gesperrt, wenn eine Sicherheitsprüfung nicht innerhalb weniger Stunden abgeschlossen werde.
- Behörde: Ein Steuerbescheid oder eine Rückerstattung sei online abrufbar.
- Mobilfunkanbieter: Eine Rechnung sei offen oder eine Drittanbietersperre müsse bestätigt werden.
- Neue Voicemail: Eine Sprachnachricht könne über einen Link angehört werden.
- Familienbetrug: Ein angebliches Kind oder ein Angehöriger bittet wegen einer neuen Telefonnummer dringend um Geld.
Die Verbraucherzentrale warnt regelmäßig vor solchen Varianten und nennt neben Paket-SMS auch falsche Nachrichten zu Online-Banking, Steuerbescheiden und Gerichtsverfahren. Entscheidend ist nicht, ob der Text perfekt formuliert ist. Auch grammatikalisch korrekte Nachrichten können gefälscht sein, weil Betrüger ihre Vorlagen inzwischen professionell anpassen.
Was nach dem Klick passieren kann
Ein Link kann zu einer gefälschten Login-Seite führen, auf der Benutzername, Passwort und TAN abgefragt werden. Andere Seiten verlangen eine kleine Zahlung, etwa 1,99 Euro für eine angebliche Zustellgebühr. Diese kleine Transaktion soll Vertrauen schaffen und gleichzeitig Kartendaten abgreifen.
Besonders riskant sind Nachrichten, die zur Installation einer App außerhalb des offiziellen App-Stores auffordern. Auf Android-Geräten kann dadurch Schadsoftware auf das Smartphone gelangen. Bei einem iPhone ist eine direkte Installation meist stärker eingeschränkt, doch Datendiebstahl über gefälschte Websites bleibt auch dort möglich.
| Betrugsart | Kanal | Typisches Ziel |
|---|---|---|
| Phishing | E-Mail oder Website | Passwörter und Zahlungsdaten stehlen |
| Smishing | SMS oder Messenger | Auf einen Link locken, Daten abfragen oder Malware verbreiten |
| Vishing | Telefonanruf | Opfer im Gespräch zu einer Freigabe oder Überweisung bringen |
| Quishing | QR-Code | Auf eine gefälschte Website weiterleiten |
Diese Methoden werden oft kombiniert. Nach einer gefälschten SMS folgt beispielsweise ein Anruf, bei dem sich der Täter als Bankmitarbeiter ausgibt. Ich behandle deshalb auch eine scheinbar harmlose Nachricht vorsichtig, wenn kurz danach ein unerwarteter Anruf mit demselben Thema kommt.
Woran Sie eine Smishing-SMS erkennen
Ein einzelnes Merkmal beweist noch keinen Betrug. Mehrere Warnzeichen zusammen ergeben jedoch ein sehr klares Bild. Besonders misstrauisch werde ich, wenn eine Nachricht Dringlichkeit mit einer ungewöhnlichen Handlung verbindet.
- Unerwarteter Anlass: Sie haben kein Paket bestellt, keine Rückerstattung beantragt und keinen Kontakt mit dem genannten Anbieter aufgenommen.
- Zeitdruck: Das Konto werde „heute“ gesperrt oder die Gebühr müsse innerhalb weniger Stunden bezahlt werden.
- Ungewöhnlicher Link: Die Adresse wirkt verkürzt, enthält Tippfehler oder passt nicht zur offiziellen Domain des Unternehmens.
- Abfrage sensibler Daten: Die Nachricht verlangt Passwort, PIN, TAN, Kreditkartennummer oder Ausweisdaten.
- Unpersönliche Ansprache: Es fehlen Kundennummer, Name oder andere nachvollziehbare Angaben.
- Unstimmiger Absender: Ein vertrauter Anzeigename ist kein Beweis, denn Absender können manipuliert werden.
- Ungewöhnliche Zahlungsaufforderung: Eine angebliche Zustellgebühr soll über eine fremde Zahlungsseite beglichen werden.
Ein häufiger Denkfehler lautet: „Die SMS kam von derselben Nummer wie frühere echte Nachrichten.“ Das reicht nicht als Beweis. Nachrichten können in bestehende Kommunikationsverläufe eingeordnet oder Absenderinformationen manipuliert werden. Der Absendername ist weniger zuverlässig als der unabhängige Weg zum Anbieter.
Öffnen Sie stattdessen die offizielle App oder geben Sie die bekannte Internetadresse selbst in den Browser ein. Prüfen Sie dort, ob tatsächlich eine offene Rechnung, eine Kontosperre oder eine Sendung existiert. Antworten Sie nicht auf die verdächtige SMS und rufen Sie keine darin genannte Telefonnummer an.
Was Sie nach einem Klick sofort tun sollten
Ein versehentliches Antippen bedeutet noch nicht automatisch, dass Ihr Konto gehackt wurde. Entscheidend ist, was danach passiert ist. Wenn sich nur eine Seite geöffnet hat und Sie keine Daten eingegeben sowie keine Datei installiert haben, schließen Sie sie, löschen Sie die Nachricht und beobachten Sie Ihre Konten aufmerksam.
Wenn Sie Daten eingegeben haben
- Bank kontaktieren: Nutzen Sie ausschließlich die Telefonnummer aus der offiziellen Bank-App, von der Rückseite Ihrer Karte oder aus echten Vertragsunterlagen.
- Zugang sperren: Lassen Sie Online-Banking, Karten oder betroffene Zahlungsdienste vorübergehend sperren.
- Passwörter ändern: Ändern Sie das betroffene Passwort über eine bekannte, sichere Website. Verwenden Sie es auch bei anderen Diensten, müssen Sie diese ebenfalls absichern.
- Sitzungen beenden: Melden Sie unbekannte Geräte und aktive Sitzungen aus dem jeweiligen Konto ab.
- Vorgang dokumentieren: Sichern Sie SMS, Screenshots, Uhrzeit, Rufnummer und Zahlungsbelege.
- Anzeige erstatten: Bei finanziellen Schäden oder Datendiebstahl sollten Sie die Polizei einschalten.
Bei einer verdächtigen Überweisung zählt jede Minute. Bitten Sie die Bank um einen Überweisungsrückruf, auch wenn eine Rückholung nicht garantiert werden kann. Für viele deutsche Bankkarten und Konten ist außerdem der Sperr-Notruf 116 116 relevant. Verwenden Sie bei Unsicherheit trotzdem die offiziellen Kontaktdaten Ihrer Bank.
Lesen Sie auch: Smishing und Phishing erkennen und richtig reagieren
Wenn eine App installiert wurde
Eine unbekannte App sollten Sie nicht einfach öffnen oder weiterlaufen lassen. Trennen Sie das Smartphone zunächst vom Internet, indem Sie WLAN und mobile Daten deaktivieren. Entfernen Sie die App, entziehen Sie ihr zuvor gegebenenfalls Administrator- oder Bedienungshilfenrechte und führen Sie danach alle verfügbaren System- und Sicherheitsupdates durch.
Wenn die App Zugriff auf SMS, Bildschirm, Kontakte oder Bedienungshilfen erhalten hat, reicht das bloße Löschen möglicherweise nicht aus. In diesem Fall ist professionelle Hilfe sinnvoll. Bei einem stark kompromittierten Gerät kann sogar ein Zurücksetzen auf Werkseinstellungen erforderlich sein. Sichern Sie persönliche Fotos und Dokumente vorher, aber übernehmen Sie keine unbekannten Apps oder verdächtigen Einstellungen.
Wie Sie Ihr Smartphone und Ihr Zuhause besser schützen
Kein Filter erkennt jede Betrugsnachricht. Die wirksamste Schutzmaßnahme ist deshalb eine feste Routine. Ich öffne Links aus unerwarteten SMS grundsätzlich nicht, selbst wenn die Nachricht auf den ersten Blick plausibel wirkt.
- Aktivieren Sie automatische Updates für Betriebssystem, Browser und wichtige Apps.
- Installieren Sie Apps nur aus dem offiziellen App-Store und prüfen Sie die verlangten Berechtigungen.
- Verwenden Sie für wichtige Konten einzigartige Passwörter und möglichst eine sichere Mehrfaktor-Authentifizierung.
- Prüfen Sie Banking- und Kreditkartenumsätze regelmäßig, statt nur auf Benachrichtigungen zu reagieren.
- Aktivieren Sie Spamfilter und die integrierten Schutzfunktionen der Nachrichten-App.
- Veröffentlichen Sie Ihre private Mobilfunknummer möglichst nicht öffentlich.
- Besprechen Sie mit Angehörigen ein Codewort für dringende Geldforderungen.
Für das vernetzte Zuhause ist das Smartphone oft der zentrale Schlüssel zu Router, Kameras, Türschloss oder Smart-Home-Zentrale. Ein kompromittiertes Hauptkonto kann deshalb weit mehr betreffen als nur eine einzelne SMS. Schützen Sie das zentrale E-Mail-Konto besonders streng, weil sich darüber häufig weitere Dienste zurücksetzen lassen.
SMS-Codes sind besser als gar keine zusätzliche Absicherung, aber sie gelten nicht als die stärkste Form der Mehrfaktor-Authentifizierung. Wenn ein Dienst Sicherheitsschlüssel oder eine Authenticator-App unterstützt, ist das meist robuster. Trotzdem bleibt die wichtigste Grenze bestehen: Kein seriöser Anbieter braucht Ihren persönlichen Freigabecode am Telefon oder über einen SMS-Link.
Die wichtigste Regel für jede verdächtige Nachricht
Smishing funktioniert, weil eine Nachricht vertraut aussieht und eine schnelle Reaktion verlangt. Genau diese Kombination sollten Sie unterbrechen. Legen Sie das Smartphone kurz beiseite, öffnen Sie den Anbieter über einen unabhängigen Weg und prüfen Sie den Vorgang dort.
Eine echte Bank, ein Paketdienst oder eine Behörde kann warten, bis Sie die Information selbst kontrolliert haben. Kein Zeitdruck rechtfertigt die Preisgabe von Passwort, PIN, TAN oder Kartendaten. Wer diese Regel beherzigt, nimmt dem SMS-Betrug seinen wichtigsten Vorteil: den Moment der unüberlegten Reaktion.
