Smishing erkennen: Betrugs-SMS von Paket, Zoll & Bank

Eine Betrugs-SMS erkennst du an drei Signalen zusammen: einem Link von einer unbekannten oder ausländischen Nummer, einer erfundenen Dringlichkeit („Paket wartet“, „Konto gesperrt“, „Zollgebühr offen“) und der Aufforderung, Daten einzugeben oder eine App zu installieren. Klick den Link nicht an, antworte nicht, lösche die Nachricht. Kein echter Paketdienst und keine Bank kassiert Gebühren oder PINs per SMS-Link.

Was Smishing überhaupt ist

Smishing setzt sich aus SMS und Phishing zusammen – also Datendiebstahl per Textnachricht statt per E-Mail. Das Ziel ist immer eines von zweien: Du sollst auf einer gefälschten Seite Zugangs-, Zahlungs- oder TAN-Daten eingeben, oder du sollst eine als Sendungsverfolgung getarnte App installieren, die im Hintergrund Schadsoftware auf dem Handy einrichtet. Solche Schad-Apps verschicken teils selbst massenhaft Premium-SMS weiter – Betroffene berichten von Mobilfunkrechnungen bis zu mehreren hundert Euro.

Woran du eine Betrugs-SMS erkennst

Einzelne dieser Punkte können auch bei echten Nachrichten vorkommen. Verdächtig wird es, wenn mehrere zusammentreffen:

• Unerwartetes Paket: Eine Zustellbenachrichtigung, obwohl du nichts bestellt hast oder keine Sendung ansteht.
• Vorab-Zahlung für Zoll oder Gebühren: Angebliche Zollkosten (oft ein Kleinstbetrag wie 0,99 € oder 4,95 €), die du sofort online begleichen sollst. Echte Einfuhrabgaben stellt der Paketdienst bei der Auslieferung in Rechnung – nie per Link vorab.
• Kryptische oder verkürzte Links: Adressen, die nicht zur offiziellen Domain des Absenders passen, oft mit Zusätzen wie „-dhl-paket“ oder wahllosen Zeichen.
• Künstlicher Zeitdruck: „Innerhalb von 24 Stunden bestätigen“, sonst Rücksendung, Sperrung oder Gebühr.
• Datenabfrage: Aufforderung, PIN, TAN, Passwort oder Kreditkartennummer einzugeben oder eine „Sendungs-App“ zu installieren.
• Absender-Nummer: Häufig eine normale Handynummer oder eine ausländische Vorwahl statt einer offiziellen Kurzwahl.

Häufige Fragen

Was passiert, wenn ich nur auf den Link geklickt, aber nichts eingegeben habe?

Dann ist das Risiko gering. Installiere auf keinen Fall eine angebotene App und gib keine Daten ein. Schließe die Seite, lösche die SMS und prüfe kurz, ob sich eine unbekannte App installiert hat.

Anzeige

Woran erkenne ich, ob eine Paket-SMS echt ist?

Echte Paketdienste verlangen keine Vorab-Zahlung von Zoll oder Gebühren über einen SMS-Link und keine Dateneingabe. Prüfe die Sendung immer in der offiziellen App des Anbieters oder mit der Sendungsnummer auf der offiziellen Website, nie über den Link aus der Nachricht.

Sollte ich auf eine Betrugs-SMS mit STOP antworten?

Nein. Jede Antwort, auch STOP, bestätigt den Betrügern, dass deine Nummer aktiv ist, und bringt dir weitere Nachrichten. Nummer sperren, melden und die SMS löschen ist der richtige Weg.

Wo melde ich eine Smishing-SMS in Deutschland?

Leite sie an [email protected] weiter und melde die Absendernummer der Bundesnetzagentur als offizieller Stelle für Rufnummern-Missbrauch. Bei Schaden zusätzlich Anzeige über die Polizei-Onlinewache erstatten.

Kann Smishing auch das iPhone treffen?

Ja. Die Phishing-Seiten funktionieren auf jedem Gerät, um Passwörter oder Kartendaten abzugreifen. iPhones lassen zwar standardmäßig nur Apps aus dem App Store zu, sind gegen die Dateneingabe auf gefälschten Seiten aber genauso anfällig wie Android.

Anzeige

Richtig reagieren: Schritt für Schritt

Wenn eine verdächtige SMS ankommt, du aber noch nichts angeklickt hast:

1. Link nicht öffnen. Schon der Aufruf der Seite kann ein erster Schritt der Masche sein.
2. Nicht antworten. Eine Antwort – auch ein „STOP“ – bestätigt den Betrügern nur, dass deine Nummer aktiv ist.
3. Absender sperren. Auf dem iPhone über die Nachricht „Anrufer sperren“, auf Android in der Messages-App über das Kontextmenü „Blockieren / Als Spam melden“.
4. Nachricht melden. Leite die SMS an die Verbraucherzentrale ([email protected]) weiter und melde die Nummer der Bundesnetzagentur, der offiziellen Meldestelle für Rufnummern-Missbrauch.
5. SMS löschen. Danach die Nachricht entfernen, damit du nicht versehentlich später doch tippst.

Wenn du schon geklickt oder eine App installiert hast

Ruhig bleiben – entscheidend ist, wie weit du gegangen bist. Nur den Link geöffnet und nichts eingegeben? Dann ist das Risiko gering, aber prüfe dein Gerät. Hast du Daten eingegeben oder eine App installiert, geh so vor:

1. Handy in den Flugmodus schalten, um laufende Datenverbindungen und Weiterleitungen zu kappen.
2. Beweise sichern: Screenshots der SMS und der Seite machen, bevor du etwas löschst.
3. Unbekannte App entfernen: Auf Android im abgesicherten Modus nachsehen, ob eine frisch installierte, unbekannte App auftaucht, und diese löschen. Hilft das nicht, bleibt das Zurücksetzen auf Werkseinstellungen – vorher unbedingt ein Backup deiner Kontakte und Fotos ziehen, denn dabei werden alle Daten gelöscht.
4. Zugangsdaten ändern: Hast du irgendwo Passwörter eingegeben, ändere sie sofort – zuerst bei Bank und E-Mail-Konto – und aktiviere die Zwei-Faktor-Anmeldung.
5. Karte sperren: Bei eingegebenen Kreditkarten- oder Bankdaten die Bank kontaktieren und die Karte über den Sperr-Notruf 116 116 sperren lassen.
6. Mobilfunkanbieter informieren und einen Kostennachweis anfordern. Eine Drittanbietersperre verhindert, dass über deine Rechnung fremde „Dienste“ abgebucht werden.
7. Anzeige erstatten – online über die Polizei-Onlinewache deines Bundeslandes oder auf jeder Dienststelle.

Warum die Masche funktioniert

Smishing lebt von zwei psychologischen Hebeln. Erstens Alltagsplausibilität: Fast jeder wartet mal auf ein Paket, hat ein Bankkonto oder eine offene Rechnung im Kopf – die Nachricht trifft also oft zufällig einen echten Kontext. Zweitens der Zeitdruck, der das kurze Nachdenken ausschalten soll. Deshalb reicht als Schutz meist eine einzige Gewohnheit: bei jeder SMS mit Link und Handlungsdruck kurz innehalten und den angeblichen Absender über den offiziellen Weg prüfen – die echte Paket-App, die Banking-App oder die Servicenummer von der Kartenrückseite, nie über den Link aus der Nachricht.

So beugst du dauerhaft vor

• Drittanbietersperre beim Mobilfunkanbieter aktivieren – kostenlos und blockiert die teuersten Folgeschäden.
• Android: unter den Sicherheitseinstellungen die Installation aus unbekannten Quellen blockiert lassen und Google Play Protect aktiviert halten.
• iPhone: Apps nur aus dem App Store zulassen und Systemupdates zeitnah einspielen.
• Handynummer sparsam weitergeben und Systemupdates auf beiden Plattformen aktuell halten – viele Schadprogramme nutzen längst gepatchte Lücken.