Smishing: wie SMS-Betrug funktioniert und woran du ihn erkennst

Die Nachricht kommt an einem Dienstagnachmittag, mitten aus dem Tag heraus. Zwei Zeilen, ein Paketdienst, eine offene Zollgebühr von 2,99 Euro, darunter ein Link. Du hast tatsächlich etwas bestellt, und für drei Euro willst du keine Diskussion anfangen. Genau darauf ist die Nachricht gebaut. Sie heißt Smishing, zusammengezogen aus SMS und Phishing, und sie ist der Versuch, dir über eine Kurznachricht Zugangsdaten, Kartennummern oder eine installierte App abzuluchsen.

Dieser Text erklärt zuerst, warum ausgerechnet die SMS für diese Masche so gut taugt, obwohl E-Mail-Phishing inzwischen recht zuverlässig weggefiltert wird. Den größten Raum nehmen zwei praktische Teile ein: die Merkmale, an denen du eine Betrugs-SMS erkennst, und der ruhige Ablauf für den Fall, dass du schon getippt hast. Am Ende steht der deutsche Meldeweg, der ein anderer ist als der, den englischsprachige Ratgeber empfehlen.

Was ist Smishing

Smishing bezeichnet Phishing über Kurznachrichten. Das Ziel ist dasselbe wie bei der bekannten Phishing-Mail: Du sollst auf eine nachgebaute Seite geleitet werden und dort eintippen, was den Tätern nützt. Zugangsdaten zum Onlinebanking, Kreditkartennummer mit Prüfziffer, gelegentlich auch nur Name und Anschrift, die sich weiterverkaufen lassen. Eine zweite Spielart fordert dich auf, eine App zu installieren, die angeblich zur Sendungsverfolgung gehört.

Die Bezeichnung ist heute etwas breiter als ihr Wortbestandteil. Gemeint sind auch Nachrichten über WhatsApp oder RCS, denn die Masche unterscheidet sich dort nicht. Im deutschen Sprachgebrauch begegnen dir dieselben Nachrichten unter Phishing-SMS, Fake-SMS oder eben Betrugs-SMS, und die Verbraucherzentralen verwenden alle diese Wörter nebeneinander.

Warum SMS so gut funktioniert

E-Mail-Phishing hat es schwerer geworden. Große Anbieter prüfen mit SPF, DKIM und DMARC, ob eine Nachricht überhaupt aus der Domain stammen kann, die im Absender steht, und was durchfällt, landet im Spam-Ordner oder gar nicht erst im Postfach. Bei der SMS gibt es diese Prüfschicht nicht in vergleichbarer Form. Die Mobilfunkanbieter haben zwar Filter aufgebaut, die einen Teil der Wellen abfangen, aber ein etablierter, netzübergreifender Echtheitsnachweis für Absender fehlt.

Dazu kommt die Aufmerksamkeit. Eine SMS landet ohne Umweg in der Benachrichtigung auf dem Sperrbildschirm, und sie steht im selben Verlauf wie die Terminerinnerung vom Zahnarzt und der Bestätigungscode der Bank. Belastbare Öffnungsraten für Deutschland gibt es dafür nicht, jedenfalls keine, die einer Prüfung standhalten. Die kolportierten achtundneunzig Prozent stammen aus Werbematerial von SMS-Marketinganbietern. Unstrittig ist der Alltagsbefund: Kurznachrichten werden schneller und unkritischer angesehen als E-Mail, weil dieser Kanal jahrelang überwiegend echte Absender transportiert hat.

Der dritte Punkt ist das Format selbst. In zweihundert Zeichen kann niemand umständlich formulieren, weshalb die knappe Anweisung dort völlig normal wirkt. Es fehlen die Merkmale, an denen man betrügerische Mails oft erkennt: kein Briefkopf, der schlecht nachgebaut wäre, keine Signatur, keine sichtbare Absenderadresse. Übrig bleibt ein Satz und ein Link, und Links werden auf dem Telefon fast immer verkürzt dargestellt.

Bleibt die Absenderkennung. Eine SMS kann statt einer Rufnummer einen Namen anzeigen, technisch eine Alphanumeric Sender ID, eingeführt damit Unternehmen mit ihrem Namen erscheinen. Dieses Feld ist eine Angabe des Versenders und kein Nachweis. Trifft eine gefälschte Nachricht unter demselben Namen ein wie frühere echte, sortieren viele Telefone sie in denselben Gesprächsverlauf ein, wodurch der Fälschung die Glaubwürdigkeit der echten Nachrichten zuwächst. Wie diese Fälschung technisch zustande kommt, haben wir im Text über Spoofing ausführlich beschrieben.

Woran du eine Betrugs-SMS erkennst

Jetzt der Teil, auf den es ankommt. Einzelne Merkmale sind für sich genommen schwach, weil auch echte Nachrichten mal knapp und mal mit Link kommen. Zusammen ergeben sie ein ziemlich eindeutiges Bild.

• Sie kommt unerwartet. Du wartest auf kein Paket, hast keine Rückzahlung beantragt, keine Registrierung angestoßen. Das ist das stärkste Einzelsignal und zugleich das, das am leichtesten übersehen wird, weil fast jeder irgendetwas bestellt hat.
• Sie drängt. Eine Frist von zwölf Stunden, ein Gerichtsvollzieher in zwei Tagen, ein Konto, das gleich gesperrt wird. Zeitdruck ist kein Nebeneffekt, sondern der eigentliche Wirkstoff, weil er das Nachdenken abkürzt.
• Die Adresse passt nicht zum Absender. Sparkassen-Nachricht mit einer Adresse, in der irgendwo Sparkasse vorkommt, aber die eigentliche Domain lautet anders. Kurz-URLs, Endungen wie .info, .xyz oder .cc, Bindestriche, die einen bekannten Namen mit einem Zusatzwort verketten.
• Die Nummer ist auffällig. Auslandsvorwahl, obwohl die angebliche Bank deutsch ist. Oder eine ganz normale Mobilnummer, was für eine Behörde nicht vorkommt.
• Die Anrede ist leer. Kein Name, keine Kundennummer, dafür ein Aktenzeichen oder ein Betrag, den du nicht zuordnen kannst.
• Es geht um Geld, Zugang oder eine Installation. Zahlung, Verifizierung, Datenabgleich, App-Download. Andere Zwecke hat diese Art von Nachricht nicht.

Zwei Beispiele aus dem Bestand der Verbraucherzentrale NRW, die zeigen, wie harmlos das im Alltag daherkommt. Die Links sind hier bewusst entfernt.

IHR PAKETZUSTELLER: Es ist ein Fehler aufgetreten. Überprüfen Sie Ihre Sendungsverfolgung und zahlen Sie die Zollgebühren, um die Lieferung fortzusetzen: [Link]

Ihre Registrierung für die pushTAN läuft in 12 Stunden ab. Hier erneuern: [Link]

Weder Rechtschreibfehler noch Drohgebärde, und genau deshalb funktioniert es. Die alte Faustregel vom holprigen Deutsch trägt schon länger nicht mehr, Übersetzungswerkzeuge sind gut geworden. Was bleibt, ist der Abgleich mit deiner eigenen Erinnerung. Der Zoll erhebt bei einer Bestellung aus dem EU-Ausland keine Gebühr, deine Bank kündigt eine pushTAN-Registrierung nicht per Kurznachricht mit Zwölfstundenfrist an, und das Finanzamt verschickt überhaupt keine SMS zu Steuerbescheiden.

Die häufigsten Maschen

Die Geschichten wechseln, das Gerüst bleibt. Fünf Varianten decken den größten Teil dessen ab, was in Deutschland tatsächlich ankommt.

Die Paketmasche ist der Klassiker, und sie hat eine Vorgeschichte, die man kennen sollte. Die Schadsoftware FluBot verbreitete sich ab 2020 genau über solche Nachrichten: Wer den Link antippte, bekam eine angebliche Sendungsverfolgungs-App angeboten, die nach der Installation das Adressbuch auslas und von dort aus weitere Nachrichten verschickte. Im Mai 2022 übernahm die niederländische Polizei die Infrastruktur, koordiniert von Europol und mit Beteiligung von elf Ländern. FluBot selbst ist damit erledigt. Die Vertriebsidee, eine App über eine Paketnachricht unterzuschieben, ist geblieben.

Ein Sonderfall ist die Nachricht vom angeblichen Kind: “Hallo Mama, das ist meine neue Nummer, schreib mir bitte auf WhatsApp.” Sie beginnt oft als SMS und wandert dann in den Messenger, wo statt eines Links eine Bitte um eine schnelle Überweisung folgt. Die Bundesnetzagentur führt sie unter Enkeltrick. Aufgelöst ist der Fall in einer Minute, wenn du unter der alten, gespeicherten Nummer zurückrufst statt auf der neuen zu antworten. Dasselbe Muster über Anrufe statt Nachrichten haben wir bei den Spam-Anrufen beschrieben.

Was du tun solltest, wenn du geklickt hast

Zuerst die Entwarnung, weil sie fast immer zutrifft: Ein geöffneter Link ist noch kein Schaden. Eine Internetseite kann dein Telefon nicht im Vorbeigehen übernehmen, und eine Kurznachricht transportiert Text, keinen ausführbaren Code. Was Betrüger brauchen, ist deine Mitwirkung, und die kannst du an jeder Stelle verweigern.

Wenn du nur die Seite geöffnet hast. Schließe das Fenster. Gib nichts ein, auch nicht die vermeintlich harmlose Postleitzahl. Lade nichts herunter. Lösche die Nachricht anschließend, und behalte dein Konto ein paar Tage im Blick. Mehr ist in diesem Fall nicht nötig, und ein Virenscan bringt hier auch nichts, weil nichts installiert wurde.

Wenn du Daten eingegeben hast. Handle sofort, aber der Reihe nach. Ändere das Passwort des betroffenen Dienstes, und zwar über die offizielle App oder die selbst eingetippte Adresse, nicht über einen Link. Nutzt du dasselbe Passwort anderswo, ändere es dort ebenfalls. Ging es um Bankdaten, ruf deine Bank an, die Nummer steht auf der Rückseite deiner Karte. Der Sperrnotruf 116 116 gilt bundesweit und rund um die Uhr. Danach prüfst du die Umsätze und widersprichst unberechtigten Abbuchungen bei deiner Bank.

Wenn du eine App installiert hast. Das ist der ernste Fall, und er betrifft in der Praxis Android-Geräte, weil dort die Installation aus einer fremden Quelle außerhalb des Play Store technisch möglich ist. Unter iOS führt der Weg über den App Store, weshalb diese Variante dort praktisch nicht vorkommt. Trenne das Gerät vom Netz, deinstalliere die App, prüfe unter den Einstellungen, ob ihr Geräteverwaltungs- oder Bedienungshilfen-Rechte erteilt wurden, und entziehe sie zuerst. Ändere anschließend die Passwörter von einem anderen Gerät aus. Bleibt ein ungutes Gefühl, ist das Zurücksetzen auf Werkseinstellungen die saubere Lösung.

Wenn Geld geflossen ist. Bank anrufen und Anzeige erstatten. Die Polizei nimmt sie bei jeder Dienststelle auf, in den meisten Bundesländern auch online über die Internetwache. Hebe alles auf: die Nachricht, die Absendernummer, Kontoauszüge, Bildschirmfotos. Überweisungen lassen sich in den ersten Stunden gelegentlich noch aufhalten.

Was du in keinem Fall tust: auf die Nachricht antworten, die genannte Nummer zurückrufen oder es mit der Sache auf eigene Faust aufnehmen. Eine Antwort bestätigt dem Versender, dass hinter der Nummer ein erreichbarer Mensch sitzt, und deine Nummer wird prompt mehr wert. Wer den Verdacht hat, dass mehr passiert ist als eine einzelne Nachricht, findet die Prüfschritte im Text wurde ich gehackt.

Melden und schützen

Hier weicht Deutschland von dem ab, was in englischsprachigen Ratgebern steht. Die Kurzwahl 7726 ist der etablierte Weg in den USA und in Großbritannien. In Deutschland hängt sie am einzelnen Anbieter: Die Telekom nimmt Weiterleitungen an diese Nummer entgegen, bei anderen Anbietern war sie zeitweise gar nicht belegt und wurde als kostenpflichtige Premium-SMS abgerechnet. Als allgemeiner deutscher Meldeweg taugt sie deshalb nicht.

Zuständig ist die Bundesnetzagentur, und zwar unter dem Stichwort Rufnummernmissbrauch. Sie führt unerwünschte SMS ausdrücklich als eigenen Beschwerdefall, nimmt Meldungen über ein Onlineformular und per E-Mail an [email protected] entgegen und kann Rufnummern abschalten lassen, Rechnungslegung und Inkasso untersagen sowie Bußgelder verhängen. Nützlich sind Datum, Uhrzeit, die Absendernummer und der Wortlaut der Nachricht. Die einzelne Beschwerde bewirkt für dich nichts Unmittelbares, aber die Behörde erkennt Missbrauch an der Häufung.

Beispiele für Betrugsnachrichten sammelt außerdem das Phishing-Radar der Verbraucherzentrale NRW unter [email protected]. Die dort ausgewerteten Nachrichten landen in den öffentlichen Warnungen, aus denen auch die beiden Beispiele weiter oben stammen. Und die Polizei ist dran, sobald ein Schaden entstanden ist.

Am Telefon selbst gibt es die kleine Lösung. Unter Android blockierst du in der Nachrichten-App über das Menü der Unterhaltung den Absender und meldest ihn in einem Schritt als Spam. Unter iOS geht es über das Kontextmenü der Nachricht, und Telekom-Kunden bekommen dort seit iOS 17.2 einen eigenen Melde-Eintrag, der die Nachricht samt Empfangszeit und Absendernummer an das Abuse-Team des Anbieters übergibt. Das ist bequem und richtig, löst das Problem aber nicht: Die Gegenseite wechselt die Absendernummer im Stundentakt. Blockieren ist Aufräumen, kein Schutz.

Die Gewohnheiten, die tatsächlich tragen

Vier Regeln decken den Alltag ab, und sie funktionieren unabhängig davon, wie überzeugend eine Nachricht aussieht.

Dazu kommt die Regel, die alles andere überflüssig macht, wenn man sie einhält: TAN, Passwort und Kartendaten gehören in keine Eingabemaske, die du über einen Link aus einer Nachricht erreicht hast. Kein seriöser Anbieter braucht das, und kein Vorgang zerbricht daran, dass du dich stattdessen selbst einloggst.

Deine Nummer sparsam herauszugeben, hilft übrigens weniger als man hofft. Rufnummernblöcke werden schlicht durchgezählt, weshalb auch Anschlüsse Nachrichten bekommen, die nirgends eingetragen sind. Eine Betrugs-SMS ist deshalb kein Hinweis darauf, dass mit deinem Gerät etwas nicht stimmt.

Was bleibt

Smishing ist technisch anspruchslos. Es lebt davon, dass eine Kurznachricht auf dem Handy in einem Moment gelesen wird, in dem gerade etwas anderes ansteht, und dass drei Euro Zollgebühr zu klein wirken, um sie zu hinterfragen. Filter fangen inzwischen einiges ab, aber sie fangen nicht alles, und ein Echtheitsnachweis für SMS-Absender liegt in Europa nicht vor.

Bleibt eine Regel, die sich merken lässt. Eine Nachricht, die dich drängt und gleichzeitig einen Weg anbietet, ist keine Information, sondern eine Aufforderung. Nimm den Weg nicht, den sie dir anbietet. Nimm den, den du selbst kennst: die eigene App, die selbst eingetippte Adresse, die Nummer von der Rückseite deiner Karte. Das dauert eine Minute und ist der einzige Schutz, der bei jeder neuen Variante dieser Masche weiterhin funktioniert.

Häufige Fragen

Was ist Smishing?

Smishing ist Phishing per Kurznachricht. Kriminelle verschicken eine SMS, die von einer Bank, einem Paketdienst, einer Behörde oder einem Familienmitglied zu stammen scheint, und wollen dich damit auf eine gefälschte Internetseite locken. Dort sollst du Zugangsdaten, Kreditkartennummern oder persönliche Angaben eintippen, manchmal auch eine App installieren. Die Nachricht selbst richtet keinen Schaden an, sie ist nur der Köder.

Was bedeutet Smishing?

Das Wort ist aus SMS und Phishing zusammengezogen, also aus dem Übertragungsweg und der Betrugsform. Gemeint ist damit inzwischen jeder Phishing-Versuch über Kurznachrichten, auch wenn er über WhatsApp oder RCS läuft statt über die klassische SMS. Im Deutschen sind daneben die Begriffe Phishing-SMS, Fake-SMS und Betrugs-SMS gebräuchlich und meinen dasselbe.

Woran erkenne ich eine Betrugs-SMS?

An der Kombination aus drei Dingen: Die Nachricht kommt unerwartet, sie setzt dich unter Zeitdruck, und sie will, dass du etwas antippst. Dazu kommen verkürzte oder seltsam zusammengesetzte Internetadressen, eine Absendernummer aus dem Ausland oder ein Firmenname als Absender, eine unpersönliche Anrede und Beträge, Aktenzeichen oder Fristen, die du nicht zuordnen kannst. Der zuverlässigste Test ist der Abgleich mit deiner eigenen Erinnerung: Hast du überhaupt etwas bestellt, beantragt oder erwartet?

Was passiert, wenn ich auf den Link geklickt habe?

In den meisten Fällen zunächst nichts weiter, als dass sich eine Seite geöffnet hat. Gefährlich wird es erst durch den zweiten Schritt: Daten eintippen oder eine App installieren, die dir die Seite anbietet. Hast du nur geschaut und dann geschlossen, schließe das Fenster, lösche die Nachricht und beobachte dein Konto ein paar Tage. Hast du Zugangs- oder Zahlungsdaten eingegeben, ändere sofort das betroffene Passwort und ruf deine Bank an.

Wie melde ich eine Betrugs-SMS in Deutschland?

Zuständig ist die Bundesnetzagentur, die unter dem Stichwort Rufnummernmissbrauch Beschwerden über ein Onlineformular sowie per E-Mail an [email protected] entgegennimmt. Nützlich sind Datum, Uhrzeit, Absendernummer und der Wortlaut der Nachricht. Zusätzlich sammelt das Phishing-Radar der Verbraucherzentrale NRW Beispiele unter [email protected]. Ist Geld abgeflossen oder wurden Zugangsdaten eingegeben, gehört der Fall außerdem zur Polizei.

Ist es gefährlich, eine Spam-SMS nur zu öffnen?

Nein. Eine Kurznachricht zu lesen führt für sich genommen zu keiner Infektion, denn eine SMS transportiert Text und nicht ausführbaren Code. Der Schaden entsteht durch das, was du danach tust: den Link antippen, Daten eintippen, eine angebotene Datei installieren oder die genannte Nummer zurückrufen. Antworten solltest du trotzdem nicht, weil selbst ein kurzes Nein deine Nummer als aktiv bestätigt.

Wie blockiere ich Betrugs-SMS?

Am Telefon: unter Android in der Nachrichten-App über das Menü der Unterhaltung blockieren und als Spam melden, unter iOS über das Kontextmenü der Nachricht sperren beziehungsweise als Spam melden. Beides hilft gegen genau diesen Absender. Weil Betrüger die Absendernummer laufend wechseln, ist Blockieren allerdings eher Aufräumen als Schutz. Wirksamer sind die Filter der Mobilfunkanbieter, die einen Teil der Wellen bereits im Netz aussortieren.

Woher haben die meine Nummer?

Meist aus keiner einzelnen Quelle. Nummern stammen aus Datenlecks bei Onlinediensten, aus Gewinnspielen und Anmeldeformularen, aus Adresshandel und sehr häufig aus schlichtem Durchzählen ganzer Rufnummernblöcke. Deshalb trifft es auch Anschlüsse, die nirgendwo eingetragen sind, und deshalb sagt eine Betrugs-SMS nichts darüber aus, ob dein Telefon oder ein Konto von dir kompromittiert ist.