Smishing: So erkennen und vermeiden Sie betrügerische SMS

Smishing, eine Mischung aus „SMS“ und „Phishing“, ist Betrug mithilfe gefälschter Textnachrichten. Die Nachricht wirkt meist, als käme sie von einem Paketdienst, einer Bank, einer Behörde oder einem Zahlungsdienst, und drängt Sie, schnell auf einen Link zu tippen oder Informationen preiszugeben. In diesem Artikel erklären wir, wie Sie Smishing-Nachrichten erkennen und sich schützen.

Wie funktioniert Smishing?

Das Ziel des Betrügers ist, dass Sie ohne Nachzudenken handeln. Die Nachricht löst Panik, Neugier oder die Freude über einen Gewinn aus und lenkt Sie auf eine gefälschte Seite. Dort werden Sie nach einem Passwort, Kartendaten oder einem Bestätigungscode gefragt. Was Sie eingeben, landet beim Betrüger.

Nachrichten werden meist massenhaft verschickt, der Absender muss also nicht wissen, wer Sie sind. Wenn Ihre Nummer in einem Leck oder einer Liste auftaucht, kann Sie eine Nachricht erreichen. Manche Nachrichten sind persönlicher und enthalten Ihren Namen oder Details, die einer echten Bestellung ähneln. Deshalb ist „Da steht mein Name drin“ kein Zeichen von Vertrauenswürdigkeit.

Typische Smishing-Szenarien

Die Themen ändern sich mit der Zeit, das Muster bleibt gleich. Achten Sie auf Folgendes:

• Liefermitteilung: „Ihr Paket konnte nicht zugestellt werden, bitte aktualisieren Sie Ihre Adresse.“
• Bankwarnung: „Auf Ihrem Konto gibt es verdächtige Aktivitäten, bitte jetzt bestätigen.“
• Zahlungs- oder Steuerschuld: „Sie haben einen offenen Betrag, sonst fällt eine Strafe an.“
• Preise und Gewinnspiele: „Sie haben ein Geschenk gewonnen, tippen Sie hier, um es zu erhalten.“
• Kontosperrung: „Ihr Konto wird gesperrt, melden Sie sich jetzt an.“
• Eine „falsch verbunden“-Nachricht von Unbekannten: Ziel ist, einen Chat zu beginnen und Vertrauen aufzubauen.

Allen gemeinsam sind Dringlichkeit, Drohungen oder eine große Belohnung und die Aufforderung, den Link in der Nachricht zu öffnen.

Tipps zum Erkennen einer Smishing-Nachricht

Ein einzelnes Zeichen reicht oft nicht aus; je mehr Anzeichen Sie sehen, desto höher ist das Risiko:

1. Eine unerwartete Nachricht: Seien Sie misstrauisch, wenn Sie ein Paket, das Sie nicht bestellt haben, oder eine Bank, die Sie nicht nutzen, kontaktiert.
2. Dringende oder bedrohliche Sprache: Druckformulierungen wie „innerhalb von 24 Stunden“, „sofort“ oder „Ihr Konto wird geschlossen“.
3. Ein seltsamer Link: Gekürzte Links oder Domains, die einer offiziellen Adresse mit leicht veränderten Buchstaben ähneln.
4. Eine Aufforderung zur Preisgabe von Daten: Seriöse Organisationen fragen per SMS nie nach Passwörtern, Kartennummern oder Bestätigungscodes.
5. Sprach- und Rechtschreibfehler: Nicht immer, aber holprige Sätze sind ein Hinweis.
6. Ein merkwürdiger Absender: Eine zufällige Nummer oder ein Absendername, der eine offizielle Stelle nachahmt. Absendernamen lassen sich ebenfalls fälschen und sind für sich allein kein Vertrauensbeweis.

Wenn Sie unsicher sind, antworten Sie nicht und tippen Sie nicht auf den Link. Prüfen Sie die Lage über die offizielle App der Organisation oder über eine Adresse, die Sie selbst eingeben.

Was tun, wenn Sie getippt oder Daten eingegeben haben?

Jeder kann einen Fehler machen; entscheidend ist, schnell zu handeln:

1. Geben Sie keine weiteren Informationen ein und schließen Sie die Seite.
2. Wenn Sie ein Passwort preisgegeben haben, ändern Sie es sofort über einen sicheren Weg. Haben Sie es auch anderswo verwendet, ändern Sie es dort ebenfalls.
3. Wenn Sie Kartendaten weitergegeben haben, rufen Sie Ihre Bank an und lassen Sie die Karte sperren.
4. Wenn Sie einen Bestätigungscode weitergegeben haben, melden Sie die Sitzungen des Kontos ab und prüfen Sie die Einstellungen der Zwei-Schritt-Verifizierung.
5. Wenn Sie eine App auf Ihrem Telefon installiert haben, entfernen Sie sie und prüfen Sie das Gerät mit einem vertrauenswürdigen Sicherheitstool.
6. Melden Sie die Nachricht Ihrer Bank, Ihrem Mobilfunkanbieter oder der betreffenden Organisation und löschen Sie sie anschließend.

Alltagsgewohnheiten gegen Smishing

• Öffnen Sie die App, statt auf SMS-Links zu tippen. Prüfen Sie Liefer- oder Bankmitteilungen in der offiziellen App.
• Nutzen Sie einen Passwortmanager. Er füllt Ihr gespeichertes Passwort nicht auf einer gefälschten Seite aus, und genau das ist schon ein Warnzeichen.
• Verwenden Sie für kritische Konten einen Passkey oder eine Authenticator-App. Selbst wenn das Passwort gestohlen wird, bleibt das Konto verschlossen. Einen Vergleich der Verfahren finden Sie in unserem Artikel zur Zwei-Schritt-Verifizierung.
• Filtern Sie unbekannte Nummern und Spam. Aktivieren Sie in Ihrem Telefon die Funktionen „Unbekannte Absender filtern“ und Spam-Meldung.
• Sprechen Sie mit Ihrem Umfeld. Ältere Familienmitglieder sind häufig Ziel solcher Betrugsversuche; gemeinsames Durchgehen von Beispielnachrichten hilft sehr.
• Prüfen Sie die Nachricht. Kontaktieren Sie die Organisation über eine offizielle Nummer, die Sie bereits kennen; rufen Sie nicht die Nummer aus der Nachricht an.

Geben Sie Ihre Nummer nicht überall weiter

Ein Grund, warum Smishing-Nachrichten Sie erreichen, ist, dass Ihre Nummer in vielen Listen und Datenbanken steht. Wenn Sie in jedes Anmeldeformular Ihre echte Nummer eintragen, erhöht sich die Wahrscheinlichkeit für Spam- und Phishing-SMS. Ausführlicher haben wir das in Warum Sie Ihre Telefonnummer nicht überall angeben sollten behandelt.

Für kurze Tests, ein zweites Konto oder Probeanmeldungen können Sie statt Ihrer echten Nummer eine Einmal-Nummer verwenden, damit Ihre Hauptnummer nicht auf einer Werbeliste landet. Aktuelle Dienste und Länder finden Sie auf der Preisseite. Beachten Sie, dass eine virtuelle Nummer nicht dauerhaft ist und manche Plattformen sie einschränken können; halten Sie sich daher an die Bedingungen des jeweiligen Dienstes. Das ist allein keine vollständige Antwort auf Smishing; der eigentliche Schutz sind umsichtiges Verhalten und starke Verifizierungsverfahren.

Schutz für Familie und Umfeld

Smishing wirkt am besten in unachtsamen Momenten: an einem stressigen Tag, beim schnellen Blick aufs Telefon oder bei Menschen, die neu im Umgang mit Technik sind. Deshalb betrifft der Schutz nicht nur Sie, sondern auch Ihr Umfeld.

• Vereinbaren Sie mit Ihrer Familie eine einfache Regel, zum Beispiel: „Zeig mir, bevor du in einer Nachricht auf einen Link tippst.“
• Zeigen Sie älteren Verwandten Beispiele gefälschter Nachrichten und erklären Sie, dass eine Bank per SMS nie nach Codes, Passwörtern oder Kartendaten fragt.
• Aktivieren Sie auf den Telefonen von Kindern die Filterung unbekannter Absender und die Beschränkung der App-Installation.
• Wenn Sie eine verdächtige Nachricht erhalten, schicken Sie Ihren Nahestehenden einen Screenshot, damit dieselbe Nachricht nicht auch andere erwischt.

Wenn Sie bei einer Nachricht unsicher sind, kostet es nichts, fünf Minuten zu warten; eine echte Mitteilung erscheint meist auch in der offiziellen App.

Häufig gestellte Fragen

Was ist der Unterschied zwischen Smishing und Phishing?

Phishing ist der allgemeine Begriff und kann per E-Mail, Telefon, in sozialen Netzwerken und mehr stattfinden. Smishing ist die Variante, die über SMS (Textnachrichten) läuft.

Ich habe nur auf den Link getippt und nichts eingegeben. Bin ich in Gefahr?

In den meisten Fällen richtet das bloße Antippen wenig Schaden an, doch seltene Risiken durch Lücken in Geräten oder Browsern gibt es. Schließen Sie die Seite sofort, löschen Sie alles, was Sie heruntergeladen haben, und halten Sie Ihr Gerät auf dem neuesten Stand.

Die Nachricht sieht so aus, als käme sie von der Nummer einer echten Organisation. Kann sie trotzdem gefälscht sein?

Ja. Absendernamen können nachgeahmt werden, und manchmal landet eine gefälschte Nachricht sogar im echten Nachrichtenverlauf. Achten Sie auf den Inhalt und darauf, was gefordert wird, und vertrauen Sie eher der offiziellen App als dem Link.

Wo kann ich Smishing-Nachrichten melden?

Sie können sie der Spam-Meldestelle oder -App Ihres Mobilfunkanbieters, der betroffenen Organisation und Ihrer Bank melden. Die Funktion „Als Spam melden“ auf Ihrem Telefon hilft ebenfalls. Weitere Informationen finden Sie auf unserer Seite mit den häufig gestellten Fragen.