Was ist Smishing? SMS-Phishing erkennen und vermeiden

Ihr Smartphone vibriert. Eine Textnachricht teilt mit, dass Ihr Paket nicht zugestellt werden konnte, Ihr Bankkonto gesperrt wurde oder eine Steuerrückerstattung bereitsteht. Ein Link soll das Problem lösen. Das ist Smishing — und genau darauf zählt der Angreifer.

Smishing gehört zu den am schnellsten wachsenden Formen der Cyberkriminalität in Deutschland. Im Gegensatz zu Phishing-E-Mails wirken SMS-Nachrichten persönlicher und dringender, was sie besonders gefährlich macht.

Was genau ist Smishing

Smishing setzt sich aus "SMS" und "Phishing" zusammen. Es handelt sich um einen Social-Engineering-Angriff über Textnachrichten. Der Angreifer gibt sich als vertrauenswürdige Organisation aus — eine Bank, ein Paketdienst, eine Behörde — und verleitet Sie dazu, auf einen schädlichen Link zu klicken oder persönliche Daten preiszugeben.

Das Ziel ist immer dasselbe: Zugangsdaten, Finanzinformationen stehlen oder Schadsoftware auf Ihrem Gerät installieren.

Die häufigsten Smishing-Maschen

Gefälschte Paketbenachrichtigungen

"DHL: Ihr Paket konnte nicht zugestellt werden. Bestätigen Sie Ihre Adresse: [Link]"

Mit dem Boom des Online-Handels sind gefälschte Paketnachrichten die verbreitetste Smishing-Methode. Sie imitieren DHL, Hermes, DPD, GLS und Amazon.

Gefälschte Bankmitteilungen

"Sparkasse: Ungewöhnliche Aktivität auf Ihrem Konto erkannt. Verifizieren Sie sich sofort: [Link]"

Diese Nachrichten nutzen Angst als Hebel. Sie imitieren Sparkassen, Volksbanken, Commerzbank, ING oder Zahlungsdienste wie PayPal.

Gefälschte Behördennachrichten

"Finanzamt: Sie haben Anspruch auf eine Steuerrückerstattung von 380 €. Beantragen Sie jetzt: [Link]"

Deutsche Behörden versenden keine SMS mit Links zur Dateneingabe. Das Finanzamt kommuniziert über ELSTER oder per Post.

Gewinnbenachrichtigungen

"Herzlichen Glückwunsch! Sie haben einen 500-€-Gutschein gewonnen. Einlösen innerhalb von 24 Stunden: [Link]"

Wer an keinem Gewinnspiel teilgenommen hat, hat auch nichts gewonnen.

Kontoverifizierung

"Ihr WhatsApp-Konto erfordert sofortige Verifizierung. Tippen Sie hier: [Link]"

Seriöse Dienste wie WhatsApp, Apple oder Ihre Bank fordern Sie nie per SMS auf, Ihr Konto über einen zufälligen Link zu verifizieren.

So erkennen Sie Smishing-Nachrichten

Absendernummer prüfen

Smishing-Nachrichten stammen oft von gewöhnlichen Mobilfunknummern oder ausländischen Nummern. Wenn eine angebliche Banknachricht von einer normalen Handynummer kommt, ist es nicht Ihre Bank.

Auf Dringlichkeitssprache achten

Formulierungen wie "sofort handeln", "innerhalb von 24 Stunden", "umgehend" oder "Ihr Konto wird gesperrt" sind Manipulationstaktiken, die Sie am Nachdenken hindern sollen.

Link untersuchen

Warnsignal	Beispiel
Falsch geschriebene Domain	dhl-paket-zustellung.com statt dhl.de
Verdächtige TLD	sparkasse-sicherheit.xyz
IP-Adresse statt Domain	http://192.168.1.1/verify
Zusätzliche Subdomains	commerzbank.de.verifizieren-jetzt.net

Allgemeine Anrede beachten

"Sehr geehrter Kunde" statt Ihres tatsächlichen Namens. Organisationen, die Ihre Telefonnummer haben, kennen normalerweise auch Ihren Namen.

Was tun bei einer verdächtigen SMS

1. Klicken Sie auf keinen Link. Auch nicht, um "mal zu schauen".
2. Antworten Sie nicht. Eine Antwort bestätigt, dass Ihre Nummer aktiv ist.
3. Melden Sie die Nachricht. An die Bundesnetzagentur oder Ihren Mobilfunkanbieter.
4. Blockieren Sie den Absender. Nutzen Sie die Blockierfunktion Ihres Smartphones.
5. Kontaktieren Sie die echte Organisation direkt. Über die offizielle App oder die offizielle Webseite.

Falls Sie bereits geklickt haben

1. Ändern Sie sofort Ihre Passwörter — besonders für betroffene Konten.
2. Aktivieren Sie die Zwei-Faktor-Authentifizierung.
3. Kontaktieren Sie Ihre Bank, falls Sie Finanzdaten eingegeben haben.
4. Überprüfen Sie Ihre Konten auf unautorisierte Transaktionen.
5. Führen Sie einen Sicherheitsscan auf Ihrem Gerät durch.
6. Erstatten Sie Anzeige bei der Polizei, wenn persönliche Daten kompromittiert wurden.

Smishing-Prävention: Checkliste

• Niemals Links in unerwarteten SMS anklicken
• Nachrichten direkt über die offizielle App oder Webseite der Organisation überprüfen
• Spam-Filter auf dem Smartphone aktivieren
• Einen Passwort-Manager verwenden — er füllt auf gefälschten Seiten keine Daten aus
• Betriebssystem des Smartphones aktuell halten
• Zwei-Faktor-Authentifizierung für alle wichtigen Konten aktivieren

Links sicher teilen

Wenn Sie sensible Informationen per WhatsApp teilen müssen — ein Passwort, einen privaten Link, eine vertrauliche Notiz — nutzen Sie einen Dienst, der für sicheres Teilen entwickelt wurde. LOCK.PUB ermöglicht passwortgeschützte Links, bei denen der Empfänger immer über die verifizierte Domain lock.pub auf den Inhalt zugreift.

Im Gegensatz zu Smishing-Links, die ihren wahren Zweck verbergen, fordern LOCK.PUB-Links keine persönlichen Daten an. Der Empfänger gibt das gemeinsame Passwort ein und sieht nur den Inhalt, den Sie teilen wollten.

Geschützten Link erstellen -->