Eine Nachricht vom Paketdienst, der Bank oder dem eigenen Kind wirkt auf dem Smartphone schnell harmlos. Ich zeige, woran Sie SMS-Betrug erkennen, welche Maschen besonders häufig sind und was Sie sofort tun sollten, wenn Sie bereits auf einen Link getippt, Daten eingegeben oder Geld überwiesen haben.
Mit wenigen Checks lässt sich der größte Schaden verhindern
- Keine Links öffnen, wenn die Nachricht unerwartet kommt oder Druck erzeugt.
- Codes und TANs niemals weitergeben, auch nicht an angebliche Bankmitarbeiter.
- Paketgebühren prüfen, indem Sie die offizielle App oder Website selbst öffnen.
- Nach einem Klick auf einen verdächtigen Link sofort Flugmodus aktivieren, falls eine App installiert wurde.
- Bei finanziellen Schäden Bank, Mobilfunkanbieter und Polizei unverzüglich informieren.
Was SMS-Betrug so wirksam macht
Die Fachbezeichnung lautet Smishing, eine Kombination aus SMS und Phishing. Kriminelle verschicken Kurznachrichten, die zu einem Klick, einer Zahlung oder der Eingabe vertraulicher Daten verleiten sollen.
Der Trick funktioniert, weil eine SMS persönlicher und dringender wirkt als eine gewöhnliche Werbenachricht. Ein angebliches Lieferproblem, eine gesperrte Banking-App oder eine Nachricht vom eigenen Kind erzeugt genau den kurzen Moment, in dem viele Menschen handeln, bevor sie prüfen. Meine wichtigste Regel lautet deshalb Dringlichkeit ist kein Echtheitsbeweis.
Die Absendernummer hilft bei der Einschätzung, ist aber kein zuverlässiger Schutz. Rufnummern können gefälscht, aus dem Ausland verschickt oder so gewählt werden, dass sie einer bekannten Nummer ähneln. Auch ein vertrauter Name im Nachrichtenkopf beweist nicht, dass die Nachricht tatsächlich von diesem Unternehmen stammt.
Diese Betrugsmaschen tauchen besonders häufig auf
| Vorwand | Typische Aufforderung | Worauf die Täter zielen |
|---|---|---|
| Paket oder Zollgebühr | Lieferung bestätigen, Adresse korrigieren oder einen kleinen Betrag bezahlen | Kreditkartendaten, Zugangsdaten oder Schadsoftware |
| Bank oder Bezahldienst | Konto entsperren, Zahlung stornieren oder TAN bestätigen | Online-Banking, Karten- und Sicherheitscodes |
| Neue Handynummer | Auf WhatsApp wechseln und dringend Geld überweisen | Schnelle Überweisung unter falscher Identität |
| Sprachnachricht oder Gewinn | Link öffnen, um eine Nachricht abzuhören oder einen Preis abzuholen | Login-Daten, Abonnements oder persönliche Informationen |
Gefälschte Paketbenachrichtigungen
Die Nachricht behauptet, ein Paket könne wegen einer fehlenden Adresse, einer Zollgebühr oder eines Zustellfehlers nicht ausgeliefert werden. Der Link führt oft auf eine nachgeahmte Website, die dem Auftritt eines Paketdienstes täuschend ähnlich sieht.
Die Verbraucherzentrale warnt, dass solche Links nicht nur Daten abfragen, sondern auch die Installation schädlicher Apps auslösen können. Besonders kritisch sind Android-Geräte, wenn eine App aus einer unbekannten Quelle installiert wird. Eine echte Sendung prüfen Sie immer über die selbst geöffnete App oder Website des Paketdienstes.
Falsche Banknachrichten und missbrauchte TANs
Eine Bank fordert Sie nicht per unerwartetem Link dazu auf, Zugangsdaten oder eine TAN auf einer fremden Seite einzugeben. Besonders gefährlich wird es, wenn kurz nach der SMS ein Anruf folgt. Der angebliche Bankmitarbeiter behauptet dann, den Betrug stoppen zu wollen, und verlangt den Code, der gerade auf Ihrem Smartphone angekommen ist.
Dieser Code kann in Wirklichkeit dazu dienen, eine Karte für Apple Pay, Google Pay oder einen anderen Bezahldienst auf dem Gerät des Täters zu aktivieren. Ein Bestätigungscode gehört ausschließlich zu dem Vorgang, den Sie selbst gestartet haben. Lesen Sie deshalb den Text der SMS vollständig, statt nur die Zahlen zu nennen.
Der Enkeltrick per SMS
„Hallo Mama, das ist meine neue Nummer“ ist ein typischer Einstieg. Kurz danach folgt meist eine Geschichte über ein verlorenes Handy, eine offene Rechnung oder eine angebliche Notlage.
Ich würde eine solche Nachricht niemals über die neue Nummer verifizieren. Rufen Sie die Person unter der bereits gespeicherten alten Nummer an oder fragen Sie über einen anderen bekannten Kontakt nach. Wer sich durch diese Rückfrage unter Druck gesetzt fühlt, soll genau deshalb misstrauisch werden.
So erkennen Sie eine gefälschte Nachricht
Ein einzelnes Merkmal reicht nicht immer aus. Mehrere Warnzeichen zusammen machen den Betrugsversuch jedoch meist deutlich. Besonders verdächtig ist die Kombination aus unerwartetem Anlass, Zeitdruck und einem Link.
- Sie haben kein Paket bestellt oder erwarten keine Zahlung.
- Die Nachricht droht mit einer Sperre, Rücksendung oder Gebühr.
- Die Webadresse wirkt verkürzt, ungewöhnlich oder enthält zufällige Buchstaben.
- Der Text enthält auffällige Fehler, eine unpersönliche Anrede oder eine fremde Sprache.
- Sie sollen Kreditkarten-, Login-, Ausweis- oder Kontodaten eingeben.
- Eine angebliche Kontaktperson bittet plötzlich um Geld oder einen Sicherheitscode.
- Die Nachricht fordert eine App-Installation oder die Freigabe ungewöhnlicher Berechtigungen.
Rechtschreibfehler sind allerdings kein zwingender Beweis. Professionelle Kampagnen können sprachlich sauber wirken, während echte Unternehmen manchmal fehlerhafte Vorlagen verwenden. Ich prüfe deshalb nicht nur den Stil, sondern vor allem den ausgelösten Handlungsdruck und das verlangte Ziel.
Auch ein Vorhängeschloss im Browser beweist keine Seriosität. Es verschlüsselt die Verbindung, sagt aber nichts darüber aus, wem die Website gehört. Öffnen Sie die offizielle Adresse deshalb selbst aus einem gespeicherten Lesezeichen oder über die bekannte App.
Was Sie nach dem Empfang sofort tun sollten
Wenn Sie nur gelesen haben, ist die Lage meistens unkompliziert. Antworten Sie nicht, rufen Sie keine unbekannte Nummer an und öffnen Sie den Link nicht. Erstellen Sie bei Bedarf einen Screenshot, blockieren Sie den Absender und löschen Sie die Nachricht.
- Stoppen Sie den Vorgang und schließen Sie die Nachricht.
- Prüfen Sie den angeblichen Anlass über einen unabhängigen Kanal.
- Sichern Sie Screenshots, Rufnummer, Link und Zeitpunkt.
- Melden Sie den Vorfall je nach Fall dem Anbieter, der Polizei oder der Bundesnetzagentur.
Sie haben den Link geöffnet
Wenn Sie nur eine Website gesehen, aber keine Daten eingegeben und nichts installiert haben, schließen Sie den Browser und löschen Sie eventuell heruntergeladene Dateien. Aktualisieren Sie das Betriebssystem und den Browser. Beobachten Sie in den nächsten Tagen Ihre Konten besonders aufmerksam.
Haben Sie Benutzername oder Passwort eingegeben, ändern Sie das Passwort sofort über die echte Website. Verwenden Sie dasselbe Passwort auch an anderen Stellen, muss es dort ebenfalls geändert werden. Aktivieren Sie zusätzlich die Zwei-Faktor-Anmeldung, sofern der Dienst sie anbietet.
Sie haben eine App installiert
Schalten Sie das Smartphone zunächst in den Flugmodus, damit eine mögliche Schadsoftware keine weiteren Daten überträgt oder SMS versendet. Machen Sie Beweisfotos und lassen Sie das Gerät bei Bedarf von der Polizei oder einer fachkundigen Stelle prüfen.
Deinstallieren Sie unbekannte, kürzlich hinzugefügte Apps. Bei Android können Sie im abgesicherten Modus nach der verdächtigen Anwendung suchen. Wenn sich die App nicht zuverlässig entfernen lässt, kann ein Zurücksetzen auf die Werkseinstellungen nötig sein. Sichern Sie wichtige persönliche Daten vorher auf einem sauberen Gerät.
Informieren Sie außerdem Ihren Mobilfunkanbieter. Fragen Sie nach einem Nachweis über ungewöhnlich viele versendete SMS und nach einer Sperre für kostenpflichtige Dienste. Eine solche Sperre kann vor weiteren Rechnungsbeträgen schützen, ersetzt aber keine Prüfung des Smartphones.
Lesen Sie auch: Social Phishing erkennen und nach Fehlklick richtig handeln
Sie haben Daten oder Geld übermittelt
Bei Bank- oder Kartendaten zählt jede Minute. Rufen Sie die Bank über die Nummer auf der offiziellen Website oder auf der Rückseite der Karte an, lassen Sie betroffene Karten und Zugänge sperren und prüfen Sie alle Kontobewegungen. Bei einer Überweisung kann ein schneller Rückruf der Bank manchmal noch helfen, eine Rückholung ist aber nicht garantiert.
Erstatten Sie Anzeige und bewahren Sie Nachrichten, Screenshots, Kontoauszüge und Zahlungsbelege auf. Schämen Sie sich nicht dafür. Solche Nachrichten sind darauf ausgelegt, einen Menschen im unpassenden Moment zu überrumpeln, und die Verantwortung liegt bei den Tätern.
Welche Schutzmaßnahmen im Alltag wirklich helfen
Technik kann viele Angriffe abfangen, aber sie erkennt nicht jede überzeugend formulierte Nachricht. Am wirksamsten ist eine kleine feste Routine, die Sie auch unter Zeitdruck einhalten können.
- Installieren Sie Apps nur aus vertrauenswürdigen Quellen und halten Sie das Betriebssystem aktuell.
- Deaktivieren Sie bei Android die Installation aus unbekannten Quellen.
- Nutzen Sie für Banking ein eigenes, starkes Passwort und eine aktivierte Zwei-Faktor-Anmeldung.
- Schalten Sie Push-Mitteilungen für Kontobewegungen ein.
- Speichern Sie die offiziellen Apps und Websites Ihrer Bank und Paketdienste als Favoriten.
- Geben Sie Verifizierungscodes niemals an andere Personen weiter.
- Informieren Sie ältere Angehörige und Jugendliche über den Trick mit der neuen Handynummer.
Unerwünschte SMS können Sie bei Ihrem Mobilfunkanbieter und der Bundesnetzagentur melden. Die Behörde kann unter bestimmten Voraussetzungen Rufnummern abschalten oder andere Maßnahmen gegen Rufnummernmissbrauch einleiten. Eine Meldung verhindert nicht automatisch den nächsten Angriff, hilft aber dabei, bekannte Kampagnen schneller einzudämmen.
Eine Antwort wie „Wer ist da?“ halte ich für keine gute Idee. Sie bestätigt dem Absender, dass die Nummer aktiv gelesen wird. Blockieren, dokumentieren und melden ist in der Regel sinnvoller als eine Diskussion mit dem Betrüger.
Ein einfacher Prüfritus für die nächste SMS
Bevor ich auf eine unerwartete Nachricht reagiere, stelle ich mir drei Fragen. Habe ich diesen Vorgang selbst ausgelöst? Wird eine ungewöhnliche Handlung verlangt? Kann ich den Absender über eine bekannte App, Website oder Telefonnummer unabhängig erreichen?
Wenn eine Antwort unklar bleibt, bleibt die Nachricht liegen. Ein Paket wartet, ein Konto lässt sich über die offizielle App prüfen und ein Angehöriger ist über die alte Nummer erreichbar. Die sicherste Reaktion auf SMS-Betrug ist oft nicht mehr Technik, sondern ein kurzer Moment Abstand.
