Smishing: Was eine Betrugs-SMS ist und woran du sie erkennst

Was Smishing bedeutet

Der Name setzt SMS und Phishing zusammen, also den Begriff für gefälschte Nachrichten, die Daten aus den Empfängern herausfischen sollen. Nur der Kanal ändert sich, und die Vorsicht ist dieselbe wie bei jeder anderen gefälschten Nachricht, die es auf deine Daten abgesehen hat. Das Bundesamt für Sicherheit in der Informationstechnik führt Smishing auf seiner Seite zum Passwortdiebstahl durch Phishing als eine der Unterarten und rät kurz und deutlich: im Zweifel nicht auf die Links in der SMS klicken.

Weil in eine SMS so wenig hineinpasst, ist der Betrug meistens kurz: eine Warnung, eine Frist und ein Link. Die fehlende Erklärung, die in einer E-Mail seltsam aussehen würde, wirkt in einer Kurznachricht ganz normal. Genau deshalb funktioniert das Format so gut.

Dazu kommt, dass eine SMS auf dem Sperrbildschirm landet. Du liest sie zwischen zwei anderen Dingen, oft im Stehen, oft unterwegs, und entscheidest in derselben Sekunde. Eine E-Mail liest man eher am Schreibtisch, mit der Möglichkeit, kurz woanders nachzusehen. Die SMS nimmt dir diesen Moment weg, und das ist kein Zufall.

Die Verbraucherzentrale Hamburg warnt in ihrem Ratgeber zu gefährlichen Paket-SMS vor genau dieser Masche und beschreibt einen Schaden, den viele nicht auf dem Zettel haben: Wer den Link antippt und die angebotene App installiert, holt sich unter Umständen Schadsoftware auf das Handy, die im Sekundentakt selbst SMS verschickt. Auf der Mobilfunkrechnung stehen danach mehrere hundert Euro.

Die Geschichten, die in einer SMS am besten funktionieren

Die Themen wiederholen sich, weil sie auf fast jeden gleichzeitig passen. Ein Paket, das im Zoll hängt, eine offene Zustellgebühr, eine Adresse, die korrigiert werden muss, eine verdächtige Abbuchung auf der Karte, Bonuspunkte, die verfallen, eine Banking-App, die neu eingerichtet werden soll, ein Zugang, der bestätigt werden muss. Die Nachricht muss nicht wissen, welches Paket deins ist. Sie muss nur darauf setzen, dass eins unterwegs ist.

Kleine Beträge senken den Widerstand zusätzlich. Die Seite fragt nach der Karte und ein paar persönlichen Angaben, um ein oder zwei Euro einzuziehen, während es in Wahrheit um die Daten geht, die später benutzt werden. Ein kleiner Betrag, eine kurze Frist und ein alltägliches Thema sind das Standardwerkzeug von Social Engineering, also von Gesprächsführung und Druck, die jemanden zum Handeln bringen, bevor er nachsieht.

Die Verbraucherzentrale Hamburg nennt dazu einen Satz, den man sich merken kann: Paketdienste fordern grundsätzlich nicht dazu auf, Waren im Vorfeld zu bezahlen. Wenn eine SMS eine Zahlung verlangt, damit ein Paket weiterlaufen darf, ist das schon die Antwort.

Dieses Beispiel haben wir erfunden. Es zeigt die Art von Formulierung, die benutzt wird, ohne die Marke, das Aussehen oder die Rufnummer eines echten Unternehmens nachzubauen.

Warum die SMS echt aussehen kann

Manche Handys sortieren Nachrichten nach dem Absendernamen. Eine gefälschte SMS kann deshalb im selben Verlauf landen wie die echten Nachrichten eines Unternehmens. Das ist kein Nachweis, sondern nur die Folge davon, dass der Absendername übereinstimmt. Absendernamen und Rufnummern lassen sich fälschen, und die Bundesnetzagentur behandelt genau das auf ihrem Verbraucherportal zu Ärger mit Rufnummern und Anrufen, wo unverlangte SMS und gefälschte Absendernummern eigene Beschwerdefälle sind.

Die Nummer auf dem Bildschirm ist also kein Beweis. Eine deutsche Vorwahl, eine kurze Nummer oder ein Absendername sind Angaben, die die Gegenseite selbst gewählt hat. Sauberes Deutsch und dein Vorname sind ebenfalls kein Beweis, denn beides ist billig zu bekommen.

Lies stattdessen die Form der Aufforderung. Setzt die SMS eine kurze Frist? Bietet sie genau einen Weg an, die Sache zu lösen? Und führt dieser eine Weg über einen Link in der Nachricht statt über ein Konto, das du schon hast? Wenn du dreimal ja sagst, hast du genug gelesen.

Warum Filter und Blockieren nicht alles abfangen

Mobilfunkanbieter und Handyhersteller filtern einen Teil davon, und es lohnt sich, diese Funktionen einzuschalten. In den Einstellungen der Nachrichten-App lassen sich Nachrichten von unbekannten Absendern in eine eigene Liste sortieren, Absender blockieren und Nachrichten als Spam melden. Das senkt die Menge spürbar.

Eine Mauer ist es nicht. Betrugs-SMS wechseln ständig die Nummer, das Blockieren eines Absenders stoppt also genau diese eine Nummer. Nachrichten, die über Internetdienste verschickt werden, kommen außerdem in einer Form an, mit der dein Filter noch keine Erfahrung hat.

Behandle den Filter deshalb als etwas, das dir Entscheidungen abnimmt, nicht als etwas, das für dich entscheidet. Eine SMS, die durchkommt, ist nicht dadurch seriöser, dass sie durchgekommen ist. Die Prüfung, auf die es ankommt, findet weiterhin außerhalb der Nachricht statt.

Eine Sache lohnt sich dagegen sofort und ist typisch deutsch: die Sperre für Zahlungen über die Mobilfunkrechnung. Die Bundesnetzagentur erklärt auf ihrer Seite zu Drittanbietern, dass du mit einer solchen Sperre verhinderst, dass Leistungen, die keine Verbindungsleistungen sind, über deine Telefonrechnung abgerechnet werden. Du richtest sie bei deinem Mobilfunkanbieter ein. Das nimmt einem Teil dieser Maschen die Kasse weg, bevor sie überhaupt anfangen.

Sendungen und Abbuchungen außerhalb der SMS prüfen

Bei einer Sendung: Öffne die App oder tipp die Adresse des Shops ein, bei dem du bestellt hast, oder die des Zustellers, und sieh dir die Bestellung an, die dort schon liegt. Bei Bank oder Karte: Öffne die offizielle App und lies dort die Umsätze und Hinweise. Kopier keine Sendungsnummer, keine Telefonnummer und keine Adresse aus der verdächtigen SMS heraus, um damit zu suchen, denn eine für den Betrug erfundene Sendungsnummer führt nur wieder zum Betrug zurück.

Die Verbraucherzentrale Hamburg rät zum selben Vorgehen und beginnt mit einer einfachen Frage: Hast du überhaupt ein Paket erwartet? Ihr Ratgeber Achtung, Phishing empfiehlt, die Internetadresse des Unternehmens direkt im Browser einzugeben, statt einen Link anzutippen, keine Anhänge zu öffnen und keine QR-Codes aus solchen Nachrichten zu scannen.

Wenn im offiziellen Konto nichts auftaucht, zahl nicht, nur um etwas freizugeben oder zu regeln. Es gibt keine echte Forderung, die sich ausschließlich über einen Link in einer SMS erledigen lässt.

Nicht antworten, blockieren, melden

Antworte nicht, auch nicht, um zu sagen, dass du es durchschaut hast oder dass sie aufhören sollen, und ruf die Nummer aus der SMS nicht an, denn diese Nummer gehört zum Betrug. Eine Antwort bestätigt nur, dass dein Anschluss aktiv ist, und bringt meistens mehr davon.

In Deutschland gibt es keine bundesweite Kurznummer, an die du eine Betrugs-SMS weiterleiten kannst. Was es gibt, ist die Bundesnetzagentur: Sie nimmt über ihr Verbraucherportal Beschwerden zu unverlangten SMS, zu gefälschten Absenderrufnummern und zu unerlaubter Telefonwerbung entgegen. Die Beschwerde reichst du über ein Formular ein, und je genauer du Absendernummer, Datum, Uhrzeit und Wortlaut angibst, desto brauchbarer ist sie. Blockier danach den Absender in der Nachrichten-App und melde die Nachricht dort als Spam, damit der Filter dazulernt.

Wenn eine SMS dich auffordert, eine App zu installieren, egal ob zur Sicherung deines Kontos, zur Freigabe einer Lieferung oder zur Aktualisierung eines Banking-Zugangs: installier sie nicht. Apps kommen aus dem offiziellen App-Store und nie über einen Link aus einer Nachricht. Ein so installiertes Programm kann dem Absender Zugriff auf dein Handy geben und damit auf alles, wo du dich darauf anmeldest.

Wenn du den Link schon angetippt hast

Schließ die Seite. Wenn du nichts eingegeben hast, ist mit großer Wahrscheinlichkeit nichts passiert, und es gibt keinen Grund, zurückzugehen und es auszuprobieren. Wichtig ist nur, ob du etwas eingetippt oder gezahlt hast.

1. Wenn du Kartendaten eingegeben hast, sperr die Karte sofort. Das geht über die App deiner Bank oder über den Sperr-Notruf 116 116. Die BaFin schreibt auf ihrer Seite zum Datendiebstahl, dass du bei Verdacht auf Betrug sofort Zahlungskarten oder den Online-Banking-Zugang sperren lassen und deine Bank informieren sollst. Bitte gleich um eine neue Karte.
2. Wenn Geld abgegangen ist, sag deiner Bank, wie gezahlt wurde. Bei einer Lastschrift kannst du widersprechen: Die BaFin nennt auf ihrer Seite zu Überweisungen und Lastschriften acht Wochen ab der Belastung, wenn du die Lastschrift erlaubt hast, und 13 Monate, wenn es nie ein Mandat gab. Eine Überweisung, die du selbst beauftragt hast, liegt anders: Sobald der Auftrag bei der Bank eingegangen ist, kann er nicht mehr widerrufen werden, und bei einer Echtzeitüberweisung ist das Geld in Sekunden weg. Die Bank kann trotzdem versuchen, die Empfängerbank zu erreichen. Ruf also schnell an, aber rechne nicht mit einer Rückbuchung.
3. Wenn du ein Passwort eingetippt hast, änder es auf der offiziellen Seite, und änder es überall dort, wo du dasselbe benutzt hast. Schalt die Zwei-Faktor-Authentisierung ein, damit das Passwort allein nicht reicht. Das BSI empfiehlt das für jeden Dienst, der es anbietet.
4. Wenn du etwas installiert hast, geh schnell vor. Die Verbraucherzentrale Hamburg rät bei Paket-SMS mit Schadsoftware, zuerst den Flugmodus einzuschalten, damit keine weiteren Nachrichten verschickt werden, danach Beweise zu sichern und das Gerät auf Werkseinstellungen zurückzusetzen. Melde dich in der Zwischenzeit von dem Gerät aus nirgendwo mehr an und benutz ein anderes für Bank und Passwörter.
5. Sicher die Beweise, bevor du etwas löschst. Mach einen Screenshot der SMS, notier die Absendernummer, die Adresse, die der Link geöffnet hat, und die Uhrzeit, und heb Rechnung oder Kontoauszug auf. Eine Meldung ist mit diesen Angaben deutlich mehr wert, und deine Bank fragt in aller Regel danach.
6. Erstatte Anzeige. Die Polizeiliche Kriminalprävention erklärt unter wie erstatte ich eine Anzeige, dass die Strafanzeige kostenlos ist und dass die Online-Anzeige in allen Bundesländern möglich ist. Die Onlinewachen der Polizeien sind genau für solche nicht dringenden Fälle gedacht; bei akuten Notfällen wählst du die 110.

Wenn nach der SMS ein Anruf kam, bei dem sich jemand als Sicherheitsabteilung deiner Bank ausgegeben hat, lies vorher wie ein Betrugsanruf funktioniert. Die beiden Hälften gehören oft zusammen.

Häufige Fragen zu Smishing