Betrugs-SMS erkennen: Phishing per SMS und WhatsApp

Eine Betrugs-SMS erkennst du an drei Dingen: Sie macht Druck, sie enthält einen Link oder eine Telefonnummer, und am Ende sollst du Daten eingeben oder etwas bezahlen. Ob eine Nachricht echt ist, klärst du nie über den Link darin. Im Zweifel tippst du nichts an und prüfst die Sache über die offizielle App oder eine Website, die du selbst aufrufst.

Die häufigsten Maschen

Paket- und Zoll-SMS

„Ihr Paket konnte nicht zugestellt werden“, dazu ein Link und eine kurze Frist. Die Absender geben sich als DHL oder ein anderer Paketdienst aus, in der Schweiz oft als die Post. Oft soll eine kleine Zollgebühr bezahlt werden. Die Verbraucherzentrale erklärt, dass echte Zollgebühren normalerweise vom Paketdienst bei der Zustellung kassiert werden, nicht über eine Website zur Vorauszahlung (Verbraucherzentrale). Manche Links sollen eine App installieren, die dein Adressbuch ausliest und massenhaft SMS verschickt.

Die Schweizerische Post nennt als Beispiel einen Link wie „post.ch.paysget.info“, der nach Post aussieht, aber auf eine fremde Seite führt (Die Post).

Bank oder Konto gesperrt

„Ihr Konto wurde eingeschränkt“, „Letzte Warnung“, „Aktualisierung innerhalb von 24 Stunden erforderlich“. Allein in der ersten Oktoberhälfte 2026 listet das Phishing-Radar der Verbraucherzentrale NRW gefälschte Mails im Namen von comdirect, PayPal, Commerzbank und DKB (Phishing-Radar). Die Bundesnetzagentur zeigt eine SMS, die angeblich von der Sparkasse kommt und vor einer ablaufenden Registrierung warnt (Bundesnetzagentur).

Angebliche Steuererstattung

Am 15. Oktober 2026 warnte das Phishing-Radar vor einer Mail im Stil von ELSTER: Die Erstattung aus dem Steuerbescheid sei bestätigt, du müsstest nur bis zu einer Frist Bank- und Kartendaten angeben. In Österreich warnt Watchlist Internet vor gefälschten Rückerstattungen im Namen der ÖGK und vor SMS zur angeblich ablaufenden ID Austria (Watchlist Internet). Prüf solche Nachrichten, indem du dich selbst bei ELSTER oder FinanzOnline anmeldest, statt den Link zu nutzen.

Gewinne

„Herzlichen Glückwunsch, Sie haben gewonnen“, dazu eine Bearbeitungsgebühr. Die Verbraucherzentrale NRW ist eindeutig: Wer etwas gewonnen hat, muss dafür nichts zahlen, auch keine Gebühren oder Zuschläge (Verbraucherzentrale NRW).

„Hallo Mama, das ist meine neue Nummer“

Eine unbekannte Nummer schreibt per SMS oder WhatsApp, das Handy sei kaputt, dies sei die neue Nummer. Kurz darauf geht es um eine dringende Überweisung, weil das Online-Banking angeblich nicht funktioniert. Die Bundesnetzagentur führt diese Masche ausdrücklich als Beispiel auf. Laut Verbraucherzentrale ist sie inzwischen sehr selten geworden, aber nicht verschwunden (Verbraucherzentrale). Der Schutz ist einfach: Ruf dein Kind unter der alten, bekannten Nummer an.

Die Anzeichen

Dringlichkeit: Fristen von 12, 24 oder 48 Stunden, „letzte Warnung“, drohende Sperre. Die Post nennt kurze Fristen als typisches Merkmal von Betrug.
Ein Link, der fast stimmt: eine verlängerte oder verdrehte Adresse, Kurzlinks, seltsame Zeichenfolgen. Das BSI rät, bei Zweifeln an einem Link nicht zu klicken, und nennt auch Schreibfehler, gerade bei Umlauten, als Hinweis (BSI).
Eine kleine Zahlung: ein paar Euro für die „erneute Zustellung“. Es geht um deine Kartendaten, nicht um den Betrag.
Eine App-Installation: Fordert dich ein Link auf, eine App zu installieren, ist das ein deutliches Warnzeichen.
Eine seltsame Anrede: Eine Begrüßung wie „Hallo Stefan D2“ ist laut Verbraucherzentrale meist nur ein automatisch gefüllter Platzhalter.

So prüfst du sicher

Nicht antworten. Jede Antwort bestätigt, dass deine Nummer aktiv ist.
Nicht auf den Link tippen. Öffne stattdessen selbst die App oder Website des Dienstes. Watchlist Internet bringt es auf die Formel: niemals klicken, immer selbst einloggen.
Sendungsnummer selbst eingeben. Erwartest du ein Paket, prüfst du den Status auf der Seite des Paketdienstes.
Familie über den bekannten Weg anrufen. Nicht über die Nummer aus der Nachricht.

Du bist unsicher, ob eine Nachricht echt ist? Mirabus Betrugs-Detektor erkennt in einem Screenshot gängige Betrugsmaschen und markiert verdächtig aussehende Links, Zahlungsaufforderungen sowie Druck- und Dringlichkeitsformulierungen. Links öffnet er dabei nicht. Zwei Scans pro Tag sind gratis, ohne Account. Das Ergebnis ist ein Signal, keine Garantie.

Wo du Betrugsnachrichten meldest

Deutschland

SMS und Messenger-Nachrichten bei der Bundesnetzagentur. Sie kann Rufnummern abschalten, 2025 waren es laut eigener Mitteilung rund 6.200 (Bundesnetzagentur).
Phishing-Mails an das Phishing-Radar der Verbraucherzentrale NRW: phishing@verbraucherzentrale.nrw.
Ist ein Schaden entstanden: Anzeige bei der Polizei oder über die Onlinewache.

Österreich

Betrügerische Nachrichten über das Meldeformular von Watchlist Internet.
Verdacht auf Internetkriminalität an die Meldestelle des Bundeskriminalamts, against-cybercrime@bmi.gv.at. Eine Anzeige erstattest du dort nicht, sondern bei jeder Polizeidienststelle (Bundeskanzleramt).

Schweiz

Phishing-Seiten und -Mails bei antiphishing.ch, betrieben vom Bundesamt für Cybersicherheit (BACS).
Cybervorfälle über das Meldeformular des BACS. Strafanzeigen nimmt das BACS nicht entgegen, dafür ist die Polizei zuständig.

Nach einem Klick oder einer Zahlung

Nur geklickt, nichts eingegeben: Schließ die Seite und installiere nichts. Lässt dich das Handy eine App installieren, brich ab.

Eine App installiert: Schalte den Flugmodus ein, damit die App keine Daten oder SMS mehr senden kann. Starte das Handy im abgesicherten Modus und entferne Apps, die du nicht kennst. Im schlimmsten Fall hilft nur das Zurücksetzen auf Werkseinstellungen. Informiere deinen Mobilfunkanbieter und richte eine Drittanbietersperre ein (Verbraucherzentrale).

Daten eingegeben: Ändere sofort die betroffenen Passwörter und aktiviere die Zwei-Faktor-Anmeldung. Bei Bank- oder Kartendaten ruf deine Bank an. In Deutschland sperrst du Karten und Online-Banking rund um die Uhr über den Sperr-Notruf 116 116.

Bezahlt: Kontaktiere deine Bank oder den Kartenaussteller und frag nach einer Rückbuchung. Beobachte deine Abbuchungen genau. Sichere Screenshots der Nachricht und der Zahlung und erstatte Anzeige.

Fragen und Antworten

Ist es gefährlich, eine Betrugs-SMS nur zu lesen?

Das Lesen allein ist in der Regel kein Problem. Riskant wird es, wenn du auf den Link tippst, eine App installierst, antwortest oder Daten eingibst.

Bringt es etwas, die Nummer zu blockieren?

Gegen genau diese Nummer ja, gegen die Masche kaum. Die Verbraucherzentrale weist darauf hin, dass die Absendernummern häufig wechseln. Melden hilft mehr, weil die Bundesnetzagentur Nummern abschalten kann.

Woher haben die Betrüger meine Nummer?

Laut Verbraucherzentrale etwa aus gehackten Datenbanken, aus zweifelhaftem Adresshandel oder von Apps, die auf Kontakte zugreifen.

Was, wenn die SMS echt war und ich jetzt ein Paket verpasse?

Dann findest du es auch über die Website oder App des Paketdienstes, wenn du die Sendungsnummer selbst eingibst. Ein echtes Paket geht nicht verloren, nur weil du einen Link nicht antippst.