Was ist Smishing? Betrugs-SMS erkennen und melden

Smishing ist Phishing per SMS: Betrüger verschicken gefälschte Kurznachrichten, oft im Namen von Paketdiensten oder Onlineshops, um an Zugangsdaten, Kartendaten oder Geld zu kommen (BSI). Manche Links sollen eine App installieren, die dein Adressbuch ausliest und massenhaft SMS verschickt (Verbraucherzentrale). Läuft dieselbe Masche über WhatsApp oder einen anderen Messenger, spricht etwa das österreichische Bundeskriminalamt ebenfalls von Smishing (Bundeskriminalamt).

Woran du Smishing erkennst

Ein Link und eine Frist. „Ihr Paket konnte nicht zugestellt werden“ oder, wie in einem Beispiel der Bundesnetzagentur, eine angeblich ablaufende Registrierung bei der Sparkasse. Das BSI rät, dich nicht unter Druck setzen zu lassen.
Eine kleine Gebühr. Echte Zollgebühren kassiert laut Verbraucherzentrale der Paketdienst bei der Zustellung, nicht vorab über eine Website.
Ein Link, der fast stimmt. Das BSI nennt Rechtschreibfehler, kuriose Zeichenfolgen und Kurzlinks als Warnzeichen.
Die Aufforderung, eine App zu installieren. Stimm laut Verbraucherzentrale keiner Installation zu.
Eine seltsame Anrede wie „Hallo Stefan D2“, meist nur ein automatisch eingefügter Platzhalter.
Eine neue Nummer aus der Familie. „Hallo Mama, das ist meine neue Nummer“, kurz darauf eine dringende Überweisung. Laut Verbraucherzentrale ist diese Masche selten geworden, aber nicht verschwunden (Verbraucherzentrale).

Ein Beispiel

Ein erfundenes Beispiel, angeblich vom Paketdienst:

Ihre Sendung wird an den Absender zurückgeschickt. Bestätigen Sie Ihre Adresse bis heute 23:59 Uhr und zahlen Sie 1,99 EUR: [Link]

Kein Name, eine Frist, eine Zahlung über einen Link. Erwartest du wirklich ein Paket, gibst du die Sendungsnummer selbst auf der Website oder in der App des Paketdienstes ein.

Smishing und Phishing: der Unterschied

Phishing ist der Oberbegriff, laut BSI ein Kunstwort aus „Passwort“ und „Fishing“. Klassisch kommt es per E-Mail, getarnt als Bank, Internetanbieter oder anderer Dienstleister. Smishing ist dieselbe Masche per SMS. Beginnt eine Nachricht dagegen mit „Sorry, falsche Nummer“ und dreht sich später um Krypto-Gewinne, kann Pig Butchering dahinterstecken.

Was du tun kannst

Nicht antworten, nicht tippen. Jede Antwort zeigt, dass deine Nummer aktiv ist.
Selbst prüfen: die App oder Website des Dienstes selbst öffnen, deine Familie unter der bekannten Nummer anrufen.
Melden: in Deutschland bei der Bundesnetzagentur, die Rufnummern abschalten lassen kann, in Österreich über das Meldeformular von Watchlist Internet.
App installiert? Flugmodus an, die App im abgesicherten Modus entfernen, den Mobilfunkanbieter informieren und eine Drittanbietersperre einrichten.
Bank- oder Kartendaten eingegeben? Ruf sofort deine Bank an oder sperr Karten und Online-Banking rund um die Uhr über den Sperr-Notruf 116 116.
Bezahlt? Frag deine Bank nach einer Rückbuchung, sichere Screenshots und erstatte Anzeige, auch über die Onlinewache.

Mirabus Betrugs-Detektor prüft einen Screenshot auf gängige Betrugsmaschen, verdächtig aussehende Links (geöffnet werden sie nicht), Zahlungsaufforderungen und Druckformulierungen, das Ergebnis ist ein Signal, keine Garantie. Mehr Maschen und Meldestellen findest du in Betrugs-SMS erkennen.