Gefälschte Bank-SMS: Woran du eine echte Warnung von einem Betrug unterscheidest

Gerade eine bekommen? Mach nur das hier

Eine betrügerische SMS kann von einem Einkauf handeln, den du nicht kennst, von einem Zugang, der gleich gesperrt wird, von Daten, die angeblich veraltet sind, oder von Geld, das für dich bereitliegt. Das Thema wechselt von einer Welle zur nächsten. Das Ziel bleibt: Du sollst eine Seite öffnen, etwas eingeben oder eine App installieren.

Dafür gibt es einen Namen. Smishing ist die SMS-Variante des Phishings, also der gefälschten Nachricht, die Daten oder Geld holen soll. Wie die Masche allgemein aussieht, steht in was ist Smishing. Hier geht es um die Nachricht, die angeblich von deiner Bank kommt, und das ist die Variante, bei der am schnellsten Geld verschwindet.

1. Tipp in den ersten Minuten nicht auf den Link. Du brauchst die Adresse aus der Nachricht nicht, um zu prüfen, ob die Warnung echt ist.
2. Antworte nicht, und ruf die Nummer aus der SMS nicht an.
3. Öffne selbst die App deiner Bank, über das Symbol auf deinem Handy, und sieh nach, ob der Hinweis in deinem Konto steht.
4. Wenn du mit jemandem sprechen willst, nimm die Nummer von der Rückseite deiner Karte oder aus der App.
5. Melde die SMS. Markier sie als Spam, blockier den Absender und beschwer dich bei der Bundesnetzagentur über das Formular für unverlangte Nachrichten.

Wenn mit deinem Konto wirklich etwas nicht stimmt, siehst du das im offiziellen Kanal, ganz ohne den Link. Benutz nie eine Rufnummer, einen Button oder eine Adresse, die aus der Nachricht stammt, die du gerade prüfen willst.

Was eine echte Bank-SMS tut und was sie nie verlangt

Banken unterscheiden sich darin, was sie verschicken, deshalb ist die Sicherheitsseite deiner eigenen Bank der richtige Ort für die Einzelheiten. Was sich nicht unterscheidet, ist die Form der Aufforderung. Eine echte Mitteilung sagt dir etwas und schickt dich zurück in die App. Eine betrügerische Nachricht braucht eine Handlung von dir, innerhalb der Nachricht, sofort.

Die letzte Zeile lohnt sich zum Merken. Die Polizeiliche Kriminalprävention der Länder und des Bundes schreibt auf ihrer Seite zu Phishing ohne Einschränkung: Kreditinstitute fordern grundsätzlich keine vertraulichen Daten per E-Mail, per Telefon oder per Post an. Niemand, der es gut mit dir meint, sagt dir, dass du dein Geld in Sicherheit bringen sollst, indem du es woanders hin überweist. Diese Aufforderung ist nicht der erste Schritt zur Lösung, sie ist der Betrug selbst.

Dasselbe gilt für die TAN oder den sechsstelligen Code, den deine Bank dir beim Anmelden schickt. Dieser Code ist das Schloss. Wer dich bittet, ihn vorzulesen, weiterzuleiten oder auf einer Seite einzugeben, die er dir geschickt hat, will den Schlüssel, egal welche Begründung mitgeliefert wird.

Die Geschichten, die am häufigsten benutzt werden

Die Vorwände wiederholen sich, weil sie bei jedem mindestens einmal funktionieren. Das Bundesamt für Sicherheit in der Informationstechnik beschreibt auf seiner Seite zum Passwortdiebstahl durch Phishing das Muster beim Smishing: eine SMS von einer Nummer, die du nicht kennst, ein Problem oder ein Gewinn, und ein Link, der sofort benutzt werden soll. Das BSI nennt dort vor allem die angeblichen Paketdienste mit Sendungsverfolgung oder Zustellproblem und rät als Erstes zu der Frage, ob du gerade überhaupt ein Paket erwartest.

In der Bankvariante ist die Geschichte fast immer eine von diesen: eine Buchung, die du nicht kennst, eine Anmeldung von einem neuen Gerät, ein Konto, das gleich gesperrt wird, eine Überweisung, die angeblich festhängt, oder eine Rückzahlung, die freigegeben werden muss. Eine neuere Abwandlung kommt ohne Link aus und bittet dich nur um ein kurzes Ja oder Nein zu einem Einkauf. Eine Minute später ruft dann jemand an, klingt wie die Betrugsabteilung und führt dich Schritt für Schritt dahin, einen Code herauszugeben.

Auch Geld, das angeblich für dich bereitliegt, wird als Köder benutzt. Wenn eine Nachricht von einer Erstattung, einer Leistung oder einer Auszahlung spricht, geh selbst zu der Stelle oder dem Unternehmen und such die Sache dort. Was sich in all diesen Geschichten wiederholt, ist nicht das Thema. Es ist die Aufforderung: Tipp hier, sag mir den Code, installier das, überweis das Geld.

Die Absenderzeile beweist nichts

Der Name oder die Nummer, die als Absender angezeigt wird, sagt nicht, wer die Nachricht geschickt hat. Kurzwahlnummern lassen sich nachahmen, Rufnummern lassen sich fälschen, und eine betrügerische SMS kann in demselben Verlauf landen, in dem seit Jahren die echten Hinweise deiner Bank stehen, weil Handys Nachrichten nach der Absenderbezeichnung gruppieren, die ihnen mitgeliefert wird.

Wie verbreitet das Fälschen der angezeigten Nummer ist, zeigt allein die Tatsache, dass es dafür eine eigene Beschwerdestelle gibt. Die Bundesnetzagentur beschreibt auf ihrer Seite zur Manipulation von Rufnummern, dass die echte Rufnummer des Anrufenden dabei durch eine andere, gefälschte ersetzt wird. Sie weist auch darauf hin, dass es schnell gehen muss, weil die Verbindungsdaten bei den Anbietern nur wenige Tage gespeichert werden.

Eine Nummer, die deutsch aussieht, ein richtig geschriebener Name und ein Text ohne Fehler bestätigen deshalb nichts. Diese Dinge sind billig herzustellen. Die Bestätigung muss aus einem Kanal kommen, den du selbst geöffnet hast: aus der App, von der Adresse, die du selbst eintippst, oder von der Nummer auf deiner Karte.

Schau auf die Aufforderung, nicht auf die Warnung

Der alarmierende Teil zieht die Aufmerksamkeit auf sich, aber das Risiko steckt in der Handlung, die als Lösung angeboten wird. Lies über die Warnung hinweg und sieh dir an, was du tun sollst:

• Konto gesperrt oder in Prüfung: Die Nachricht will, dass du einen Link öffnest, um es zu entsperren.
• Verdächtiger Einkauf freigegeben: Der Button sagt, du sollst tippen, falls du das nicht warst.
• Daten veraltet: Du sollst sie unter einer Adresse aktualisieren, die die SMS mitliefert.
• Geld verfügbar: Der Link verspricht, die Zahlung freizugeben.
• Sicherheitsschlüssel läuft ab: Der Kontakt fragt nach dem Code, der gerade auf deinem Handy angekommen ist.

Das Thema kann wechseln, die verlangten Handlungen kaum. Einen Link öffnen, einen Code nennen, eine App installieren oder Geld überweisen. Genau diese Handlung muss außerhalb der Nachricht geprüft werden.

Wie die Nachricht meistens geschrieben ist

Die Nachricht unten haben wir selbst geschrieben, um das Format zu zeigen. Sie ist niemandes Bildschirmfoto, und der Name der Bank fehlt mit Absicht: In einer echten stünde er genau dort, und dieser Name ist es, der die Sache glaubwürdig macht.

Drei Dinge lassen diese Nachricht funktionieren, und sie funktionieren auch bei jemandem, der genau hinsieht, weil die Nachricht nachahmt, was die Bank tatsächlich macht:

• Eine kurze Frist, die kaum Raum lässt, die App zu öffnen und nachzusehen.
• Ein bequemer Ausweg, ein einziger Tipp, genau dort platziert, wo die echte Lösung länger dauern würde.
• Eine gekürzte Adresse, der man nicht ansieht, wohin der Link führt.

Benutz weder den Link noch die Nummer aus der Nachricht

Der Link öffnet eine Seite, die wie deine Bank aussieht, und die Nummer führt zu einer Person, die die Betrugsabteilung spielt. Benutz keines von beidem, auch wenn die Formulierung stimmig klingt und auch dann, wenn du tatsächlich auf eine Nachricht deiner Bank gewartet hast. Lass die SMS liegen, öffne die App vom Startbildschirm oder tipp die Adresse ein, die du schon kennst, und wenn du eine Rufnummer brauchst, nimm sie aus der App oder von der Rückseite deiner Karte.

Wenn du eine Seite doch geöffnet hast, halt das Schloss in der Adressleiste nicht für die Antwort. Eine verschlüsselte Verbindung schützt den Weg zwischen dir und dem Server, sie sagt aber nichts darüber, wem der Server gehört, und fast jede betrügerische Seite ist heute verschlüsselt. Lies die vollständige Adresse und vergleich sie mit der echten Adresse deiner Bank. Welcher Teil einer Adresse den Eigentümer einer Seite verrät, steht in ist dieser Link sicher, und woran eine nachgebaute Seite erkennbar wird, in gefälschte Website erkennen.

Wenn du es gerade nicht bestätigen kannst, lass es liegen. Ein echtes Problem steht später immer noch im offiziellen Kanal, und es verlangt nicht den Weg, den die Nachricht dir in die Hand gedrückt hat.

Aufforderungen, bei denen du das Gespräch beendest

Hör auf, wenn die Nachricht oder der Anruf danach eine dieser Sachen verlangt. Such die Bank danach über die App, die Seite oder die Nummer, die du selbst herausgesucht hast:

• Ein Passwort, welcher Art auch immer, ganz oder in Teilen.
• Die TAN oder den Code, der gerade auf deinem Handy angekommen ist.
• Dass du eine App installierst, die per Link geschickt wird, um das Problem zu beheben.
• Dass du Geld überweist, auf ein Konto, das als sicher, vorübergehend oder auf deinen Namen laufend beschrieben wird. Überweis nichts, bevor die Sache im offiziellen Kanal bestätigt ist.
• Dass du Fernzugriff erlaubst, auf dein Handy oder deinen Rechner.

Bleib nicht in demselben Gespräch, um zu fragen, ob die Aufforderung echt ist. Der Kanal, den man dir gegeben hat, gehört zu dem, was geprüft werden muss.

Wie du jede andere verdächtige SMS beurteilst

Dieselben Nachrichten kommen im Namen von Onlineshops, Paketdiensten, Mautbetreibern und digitalen Diensten, oft als kleine Gebühr für ein angeblich festgehaltenes Paket. Das genannte Unternehmen wechselt, die Prüfung nicht. Einen Überblick über die Maschen, die gerade am häufigsten vorkommen, gibt häufigste Online-Betrugsmaschen.

Wenn eine unerwartete Nachricht Druck macht oder etwas von dir will, geh das hier durch:

1. Trenn die Warnung von der Handlung. Eine alarmierende Zeile erzeugt Eile. Sieh nach, ob die angebliche Lösung einen Link, eine Antwort, einen Anruf, einen Code, eine Installation oder eine Zahlung verlangt.
2. Prüf die Geschichte in einem Kanal, den du selbst gefunden hast, nie in dem, der in der Nachricht mitgeliefert wurde.
3. Achte darauf, was deine Kontrolle verlässt. Schick kein Geld, keine Codes und keine Daten, und installier nichts, bevor die Sache bestätigt ist.
4. Prüf die Frist im offiziellen Kanal. Eine kurze Frist steht oft nur da, damit du nicht nachsiehst. Die Uhr in der Nachricht ist kein Beweis dafür, dass du über sie handeln musst.

Wie du dieselbe Frage bei einer E-Mail stellst, steht in gefälschte E-Mail erkennen, und die allgemeinen Anzeichen sammelt woran erkenne ich Betrug.

Wo du eine betrügerische SMS in Deutschland meldest

Eine einzige bundesweite Kurznummer, an die man eine Betrugs-SMS weiterleitet, gibt es in Deutschland nicht. Was es gibt, ist ein Weg, der ein paar Minuten dauert und mehrere Stellen erreicht:

• Markier die Nachricht in deinem Postfach oder in der SMS-App als Spam und blockier den Absender. Das hilft dem Filter auf deinem eigenen Gerät.
• Beschwer dich bei der Bundesnetzagentur. Sie nimmt über ihr Verbraucherportal Beschwerden zu unverlangten SMS und Kurznachrichten entgegen, außerdem zu gefälschten Rufnummern und zu unerlaubter Telefonwerbung. Für eine gefälschte Absendernummer gibt es ein eigenes Formular, und dabei zählen die Nummer des Angerufenen, die angezeigte Absendernummer, dein Anbieter sowie Datum und Uhrzeit.
• Sag dem Unternehmen Bescheid, dessen Name missbraucht wurde. Viele Banken haben dafür eine eigene Adresse auf ihrer Internetseite, meist im Kontaktbereich.

Wenn Geld weg ist oder Daten abgeflossen sind, kommt dazu die Anzeige bei der Polizei. Die Polizeiliche Kriminalprävention erklärt unter wie erstatte ich eine Anzeige, dass die Anzeige kostenlos ist und dass die Online-Anzeige in allen Bundesländern möglich ist. Die Onlinewachen der Polizeien sind für Fälle wie Betrug gedacht und ausdrücklich nicht für Notfälle. In dringenden Fällen wählst du die 110.

Wenn du mitbekommen willst, welche Wellen gerade laufen, ohne selbst zu suchen: Das Bürger-CERT des BSI verschickt einmal im Monat den Newsletter Einfach Cybersicher in leicht verständlicher Sprache, zu bestellen auf der Seite zu den Abos für Verbraucherinnen und Verbraucher. Die Verbraucherzentralen sammeln die laufenden Phishing-Wellen ebenfalls und veröffentlichen sie auf ihren eigenen Seiten.

Wenn du schon geklickt hast

Klicken passiert, auch Leuten, die genau hinsehen. Was danach kommt, hängt davon ab, was du nach dem Klick gemacht hast. Schuld ist, wer den Betrug gebaut hat. Sinnvoll ist jetzt nur noch, den Schaden zu begrenzen.

1. Sperr zuerst, dann erklär. Die BaFin schreibt auf ihrer Seite zum Datendiebstahl, dass du bei Verdacht auf Betrug sofort deine Zahlungskarten oder deinen Online-Banking-Zugang sperren lassen sollst, über deine Bank oder über den Sperr-Notruf 116 116. Diese Nummer ist rund um die Uhr erreichbar, auch an Feiertagen, und aus dem Ausland unter der Vorwahl plus 49.
2. Wenn die Seite noch offen ist: Schließ sie, ohne Felder auszufüllen, Dateien herunterzuladen oder Berechtigungen zu erteilen.
3. Wenn du ein Passwort eingetippt hast: Änder es auf der echten Seite, von einem Gerät aus, dem du traust, und überall dort, wo du dasselbe benutzt hast. Schalt bei der Gelegenheit die Zwei-Faktor-Authentisierung ein. Das BSI rät dazu, weil deine Daten dann auch noch geschützt sind, wenn das Passwort in falsche Hände gerät.
4. Wenn du etwas installiert hast: Benutz dieses Gerät nicht mehr fürs Banking, trenn es vom Netz und sprich mit den betroffenen Diensten über ein anderes Gerät.
5. Wenn schon Geld geflossen ist, ruf deine Bank an und sag, wie du gezahlt hast. Das ist nicht dasselbe. Eine Lastschrift, die du erlaubt hast, kannst du laut BaFin bis zu acht Wochen nach der Buchung zurückgeben lassen, und bei einer Lastschrift ohne Mandat hast du 13 Monate ab der Belastung. Eine Überweisung, die du selbst beauftragt hast, ist etwas anderes: Sobald der Auftrag bei der Bank eingegangen ist, kann er grundsätzlich nicht mehr widerrufen werden. Der ganze Ablauf steht in Echtzeitüberweisung und Betrug, was tun.
6. Heb alles auf. Die Nachricht, die Adresse des Links, die Uhrzeit und jeden Beleg.

Nichts davon sagt etwas über die Person aus, die geklickt hat. Diese Nachrichten sind so gebaut, dass sie aussehen wie die, die du sowieso bekommst, und sie kommen an einem ganz normalen Morgen, mitten in allem anderen. Dass eine durchkommt, ist keine Unachtsamkeit. Genau dafür ist sie gemacht.

Häufige Fragen zu gefälschten Bank-SMS