Smishing (SMS-Phishing): Betrügische SMS-Nachrichten erklärt
Smishing, ein Kunstwort aus SMS und Phishing, stellt eine der am schnellsten wachsenden Cyberkriminalitätsbedrohungen dar. Die Federal Trade Commission meldete zwischen 2020 und 2023 einen Anstieg von 146% bei SMS-basierten Betrugsmeldungen. Diese Angriffe nutzen die Unmittelbarkeit und das Vertrauen aus, das mit Textnachrichten verbunden ist. Opfer verlieren durchschnittlich etwa 800 Euro pro Vorfall. Im Gegensatz zum E-Mail-Phishing, das oft gefiltert wird, haben Textnachrichten eine Öffnungsrate von 98% und werden innerhalb von drei Minuten nach dem Empfang gelesen, was sie zu außergewöhnlich effektiven Angiffsvektoren macht. Betrüger versenden betrügerische Textnachrichten, die Banken, Lieferdienste, Behörden oder Arbeitgeber imitieren, um Dringlichkeit und Angst zu erzeugen. Diese Nachrichten enthalten typischerweise Links zu gefälschten Websites, die darauf ausgerichtet sind, Anmeldedaten, Kreditkartennummern, Sozialversicherungsnummern oder andere sensible Informationen zu erfassen. Das Internet Crime Complaint Center des Federal Bureau of Investigation erhielt 2023 allein über 52.000 Smishing-Beschwerden, mit Gesamtverlusten von über 42 Millionen Dollar. Das Besondere an Smishing ist seine Fähigkeit, traditionelle Sicherheitsmaßnahmen zu umgehen. Mobilgeräte verfügen oft nicht über die robusten Spam-Filter und Sicherheitssoftware, die auf Computern vorhanden sind, und Benutzer vertrauen Textnachrichten mehr als E-Mails. Angreifer nutzen Spoofing-Technologie, um Nachrichten von legitimen Telefonnummern oder Unternehmens-Kurzwahlnummern erscheinen zu lassen, und sie nutzen psychologische Auslöser wie Angst vor Sperrung von Konten, Paketlieferfehler oder Steuerproblemen, um sofortige Maßnahmen ohne kritisches Hinterfragen zu provozieren.
Häufige Methoden
- •Paketlieferungs-Betrügereien, bei denen Betrüger SMS mit der Behauptung versenden, dass ein Paket verzögert ist, nicht zugestellt wurde oder sofortige Maßnahmen erfordert. Die Links führen zu gefälschten Seiten von FedEx, UPS, USPS oder Amazon, die darauf ausgerichtet sind, Zahlungsinformationen oder Anmeldedaten zu stehlen.
- •Falsche Sicherheitswarnungen für Bankkonten, die verdächtige Aktivitäten, gesperrte Konten oder erforderliche Verifizierungen behaupten. Diese verwenden gefälschte Nummern, die mit der Bank des Opfers übereinstimmen, um legitim zu erscheinen, und leiten Benutzer zu Seiten mit Zugriffsversuch weiter.
- •Nachrichten, die Steuerbehörden oder Regierungen imitieren, und Ansprüche auf unbezahlte Steuern, Aussetzung der Sozialversicherung, Anspruch auf Konjunkturschecks oder Durchsuchungsbefehldrohungen machen. Diese fordern sofortige Zahlung per Geschenkkarte, Banküberweisung oder Kryptowährung, um erfundene Probleme zu beheben.
- •Zwei-Faktor-Authentifizierungs-Bypass-Angriffe, bei denen Betrüger Codes versenden, die angeblich von legitimen Diensten stammen. Dies täuscht Opfer, dass sie Authentifizierungscodes weitergeben, die wenige Minuten nach der Abfangung Zugriff auf echte Konten gewähren.
- •Benachrichtigungen über Preise und Lotterien, die fälschlicherweise Lottotreffer, Geschenkkarten-Belohnungen oder Preise im Wettbewerb behaupten und Opfer auffordern, Bearbeitungsgebühren zu zahlen, Bankdaten anzugeben oder böswillige Links zu klicken, um nicht vorhandene Gewinne zu beanspruchen.
- •Beschäftigungsbetrug und Gehaltsbetrug, die auf Mitarbeiter mit gefälschten Nachrichten von HR-Abteilungen oder Führungskräften abzielen und W-2-Informationen, Änderungen der direkten Einzahlung oder dringende Überweisungen anfordern. Diese sind oft zeitlich auf arbeitsreiche Perioden abgestimmt, wenn eine Überprüfung unwahrscheinlicher ist.
So erkennen Sie es
- Unerwartet erhaltene Textnachrichten von unbekannten Nummern oder Kurzwahlcodes, die vorgeben, bekannte Unternehmen zu vertreten, besonders wenn Sie keine ausstehenden Transaktionen, Lieferungen oder Kontoprobleme mit dieser Organisation haben.
- Dringende Sprache, die künstliche Zeitdruck erzeugt, wie "Antwort innerhalb von 24 Stunden erforderlich", "sofortige Maßnahme erforderlich" oder "Konto wird geschlossen". Dies soll Ihre natürliche Skepsis umgehen und unbedachte Entscheidungen erzwingen.
- Gekürzte URLs oder verdächtige Links, die nicht mit der offiziellen Domain des angeblichen Absenders übereinstimmen. Diese verwenden oft bit.ly, tinyurl.com oder falsch geschriebene Variationen von legitimen Unternehmenswebseiten.
- Anfragen nach sensiblen Informationen per SMS, einschließlich Passwörter, Sozialversicherungsnummern, Kreditkartendetails oder Konto-PINs. Legitime Organisationen fordern diese niemals über SMS an.
- Generische Grüße wie "Lieber Kunde" oder "Kontoinhaber" statt Ihres tatsächlichen Namens. Dies deutet auf in großem Stil verteilte Betrugsnachrichten hin und nicht auf personalisierte Kommunikation von Unternehmen, die Ihre Identität kennen.
- Grammatik- und Rechtschreibfehler, ungewöhnliche Formatierung oder unbeholfene Ausdrücke, die vom professionellen Kommunikationsstil legitimer Organisationen abweichen. Dies deutet oft auf Übersetzungen von ausländischen Betrugsbetrieben hin.
So schützen Sie sich
- Klicken Sie niemals auf Links in unaufgeforderten Textnachrichten, auch wenn sie legitim erscheinen. Geben Sie stattdessen die offizielle Website des Unternehmens manuell in Ihrem Browser ein oder verwenden Sie deren offizielle App, um Ihren Kontostatus direkt zu überprüfen.
- Aktivieren Sie Authentifizierung mit mehreren Faktoren mithilfe von Authentifizierungs-Apps statt SMS-Codes, wann immer möglich. SMS-basierte Zwei-Faktor-Authentifizierung bleibt anfällig für SIM-Swapping und Abfangattacken durch erfahrene Kriminelle.
- Überprüfen Sie verdächtige Nachrichten, indem Sie die Organisation direkt kontaktieren. Verwenden Sie Telefonnummern von ihrer offiziellen Website oder von der Rückseite Ihrer Kreditkarte. Verwenden Sie niemals Kontaktinformationen aus der verdächtigen Textnachricht selbst.
- Melden Sie Smishing-Versuche Ihrem Mobilfunkanbieter, indem Sie verdächtige Texte an 7726 (SPAM) weiterleiten. Dies hilft Anbietern, Betrugsnachrichten zu identifizieren und zu blockieren, und trägt zu breiteren Betrugsprävention-Datenbanken bei.
- Installieren Sie mobile Sicherheitssoftware mit Anti-Phishing-Schutz und aktualisieren Sie regelmäßig das Betriebssystem Ihres Telefons, um Sicherheitslücken zu patchen, die Smishing-Angriffe ausnutzen, um Malware oder Spyware zu installieren.
- Registrieren Sie Ihre Telefonnummer in der Nationale Liste unerwünschter Anrufe (Do Not Call Registry) und seien Sie besonders vorsichtig mit jeder SMS, die Verifizierungscodes benötigt. Legitime Unternehmen werden Sie niemals auffordern, Authentifizierungscodes durch eine beliebige Kommunikationsmethode zu teilen.
Reale Beispiele
Eine Bewohnerin von Chicago erhielt eine Nachricht, die angeblich von der USPS stammte und besagte, dass ihr Paket nicht zugestellt werden konnte, da die Adresse falsch war. Der Link führte zu einer überzeugend gefälschten USPS-Website, die ihre Kreditkarteninformationen für eine Neuzustellungsgebühr von 3,49 Euro verlangte. Nach Eingabe ihrer Daten führten die Betrüger sofort Betrügereien in Höhe von 2.400 Euro durch und verkauften ihre Karteninformationen im Dark Web, was zu monatelangen Identitätsdiebstahl-Komplikationen führte.
Ein Geschäftsführer in Texas erhielt eine Nachricht, die angeblich von der offiziellen Kurzwahlnummer seiner Bank stammte und vor verdächtiger Kontoaktivität warnte. Die Nachricht forderte ihn auf, seine Identität sofort durch Klicken auf einen Link zu überprüfen. Die gefälschte Banking-Website erfasste seinen Benutzernamen, sein Passwort und die Antworten auf Sicherheitsfragen. Innerhalb von 45 Minuten veranlassten Betrüger Überweisungen in Höhe von 18.000 Euro auf Überseeskonten, bevor der Geschäftsführer den Betrug entdeckte, indem er seine echte Bank-App überprüfte.
Ein älteres Ehepaar in Florida erhielt Nachrichten, in denen behauptet wurde, dass es 847 Euro unbezahlte Steuern schuldete und es sich Verhaftung innerhalb von 72 Stunden aussetzen würde, sofern es nicht sofort per Geschenkkarte bezahlte. Die Nachricht enthielt eine Rückrufnummer zu einem gefälschten IRS-Agenten, der das Ehepaar während eines dreistündigen Telefonats unter Druck setzte, 5.000 Euro in iTunes- und Google Play-Karten zu kaufen und die Kartennummern über das Telefon zu diktieren, bevor das Ehepaar erkannte, dass keine legitime Behörde Geschenkkartenzahlungen akzeptiert.
Häufig gestellte Fragen
Wie kann ich erkennen, ob eine SMS, die angeblich von meiner Bank oder einem Lieferunternehmen stammt, tatsächlich ein Betrugsversuch ist?
Was soll ich tun, wenn ich versehentlich auf einen Link in einer Smishing-SMS geklickt und meine Anmeldedaten oder persönlichen Informationen eingegeben habe?
Warum sind SMS gefährlicher als Phishing per E-Mail, und wie machen Betrüger ihre Nachrichten glaubwürdig?
Wie schütze ich mich vor Smishing-Angriffen, ohne legitime Nachrichten von Unternehmen, mit denen ich tatsächlich Geschäfte mache, zu verpassen?
Wenn ein Betrüger mit einem gestohlenen Zwei-Faktor-Authentifizierungscode Zugriff auf mein Konto erhalten hat, kann ich mein Konto wiederherstellen und verhindern, dass er es erneut benutzt?
Wo melden — Deutschland
Offizielle Stellen in Ihrer Region zum Melden dieses Betrugs.
BSI Bürger-CERT
CyberkriminalitätBundesamt für Sicherheit in der Informationstechnik – Warnungen und Beratung für Bürger.
Verbraucherzentrale
VerbraucherschutzBeratung für Verbraucher bei Online-Betrug und Phishing.
BaFin Verbraucherschutz
FinanzaufsichtBundesanstalt für Finanzdienstleistungsaufsicht – Anlagebetrug und Banken-Beschwerden.
Glauben Sie, auf diesen Betrug gestoßen zu sein?
How to cite this guide
Use this when referencing ScamLens content in articles, research, AI responses, or social media.
According to ScamLens (scamlens.org), smishing (sms-phishing): betrügische sms-nachrichten erklärt is described at https://scamlens.org/de/encyclopedia/smishing-sms-phishing.