Was ist Smishing? Beispiele und wie man SMS-Betrug verhindern kann

Smishing hat sich in den USA zu einer Hauptbetrugsmasche entwickelt, da Betrüger gezielt Mobiltelefone angreifen, wo die Sicherheitsvorkehrungen oft schwächer sind und Nachrichten in der Regel sofort Beachtung finden. Laut Der neueste Bericht der FTC Bei SMS-Betrugsfällen meldeten Verbraucher im Jahr 2024 Verluste in Höhe von 470 Millionen US-Dollar durch Betrugsmaschen, die mit einer SMS begannen – mehr als das Fünffache des im Jahr 2020 gemeldeten Betrags. E-Mails verfügen über eine jahrzehntelange Infrastruktur zur Spamfilterung, während SMS für viele Nutzer immer noch direkt und vertrauenswürdig wirkt, was sie zu einem attraktiven Kanal für Angreifer macht.

Was ist Smishing?

Smishing ist eine Phishing-Attacke, die über SMS-Nachrichten erfolgt. Dabei gibt sich der Angreifer als vertrauenswürdige Quelle aus, um den Empfänger dazu zu verleiten, auf einen Link zu klicken, persönliche Daten preiszugeben oder Geld zu überweisen. Der Begriff setzt sich aus „SMS“ (Short Message Service) und „Phishing“ (Bezeichnung für betrügerische Angriffe, bei denen gefälschte Nachrichten verwendet werden, um Informationen oder Geld zu stehlen) zusammen.

Wie alle Phishing-Angriffe ist auch Smishing eine Form des Social Engineering. Der Angriff nutzt keine Software-Schwachstelle aus, sondern das Vertrauen der Menschen, deren Dringlichkeitsgefühl und den Instinkt, schnell zu reagieren, wenn etwas wichtig erscheint. Die Nachricht erzeugt ein Szenario, das real und zeitkritisch wirkt, und präsentiert dann einen Link oder eine Aufforderung, die der Angreifer kontrolliert.

Wie Smishing funktioniert

Der Mechanismus folgt einem einheitlichen Muster, unabhängig davon, welche Marke oder Institution der Angreifer imitiert:

1. Der Angreifer versendet eine SMS, in der er sich als Bank, Kurierdienst, Regierungsbehörde oder als eine dem Empfänger bekannte Person ausgibt.
2. Die Nachricht erzeugt Dringlichkeit: eine Betrugswarnung, eine verpasste Lieferung, ein entzogener Führerschein, eine nicht bezahlte Mautgebühr, eine Sicherheitswarnung.
3. Der Empfänger klickt auf einen Link oder antwortet mit persönlichen Informationen.
4. Der Link führt zu einer gefälschten Webseite, die Anmeldeinformationen oder Zahlungskartendaten abfängt oder Schadsoftware auf dem Gerät installiert.
5. Der Angreifer nutzt die gestohlenen Daten für Finanzbetrug, Kontoübernahmen oder Identitätsdiebstahl.

Warum Smishing in den Jahren 2025 und 2026 so gut funktioniert

Smishing ist erfolgreich, weil Textnachrichten immer noch direkter und persönlicher wirken als E-Mails. Die meisten Menschen lesen SMS innerhalb weniger Minuten nach Erhalt, während mobile Nachrichtendienste weniger Filter- und Warnmechanismen bieten als E-Mails, die von jahrzehntelanger Spam-Erkennung und Absenderauthentifizierung profitieren.

Angreifer nutzen zudem verkürzte Links, die das Ziel verschleiern und es den Empfängern erschweren, die Legitimität einer Website vor dem Anklicken zu beurteilen. Sobald der Link geöffnet ist, landen die Opfer mit viel höherer Wahrscheinlichkeit auf einer überzeugenden gefälschten Anmeldeseite, einem Zahlungsportal oder einer Lieferwebsite.

Gängige Arten von Smishing-Angriffen

Smishing-Nachrichten können viele Formen annehmen, aber die folgenden gehören zu den häufigsten:

• Liefer- und Paketbetrug: Diese SMS geben sich als Nachrichten von USPS, UPS, FedEx, DHL, Amazon oder anderen Lieferdiensten aus. Sie behaupten, ein Paket habe nicht zugestellt werden können und verlinken auf eine gefälschte Seite zur Terminverschiebung oder Gebührenzahlung, die Kartendaten und andere persönliche Informationen abfragt. Vorgetäuschte Paketzustellungsprobleme waren die am häufigsten gemeldete Betrugsmasche per SMS. FTC-Daten für 2024.
• Warnmeldungen zu Banken und Finanzen: Diese Nachrichten behaupten, dass verdächtige Aktivitäten auf einem Bankkonto, einer Kreditkarte oder einem Zahlungsdienst wie PayPal, Venmo oder Cash App festgestellt wurden. Der Link führt zu einer kopierten Anmeldeseite, auf der die vom Empfänger eingegebenen Zugangsdaten gespeichert werden.
• Amtsmissbrauch und Mauterhebung: Betrüger geben sich als Behörden oder Dienstleister wie das Finanzamt, die Kfz-Zulassungsstelle oder E-ZPass aus. Die Nachricht verspricht möglicherweise eine Steuerrückerstattung, droht mit Führerscheinentzug oder fordert die Zahlung einer unbezahlten Mautgebühr. Die verlinkte Seite dient dazu, Zahlungsinformationen, Identifikationsdaten oder Zugangsdaten zu sammeln.
• Betrugsversuche im Zusammenhang mit Kontoverifizierung und OTPs: Diese SMS melden einen unbekannten Anmeldeversuch bei einem Apple-, Google-, Kryptowährungs- oder Bankkonto. Der Empfänger wird möglicherweise auf eine gefälschte Seite zum Zurücksetzen des Passworts weitergeleitet oder zur Eingabe eines Einmalpassworts aufgefordert. Ein Angreifer, der den Code erlangt, kann unter Umständen einen echten Anmeldeversuch durchführen. CISA betrachtet SMS-Codes als eine der schwächeren Formen der Multifaktor-Authentifizierung.
• Betrugsmaschen bei Preisen und Gewinnspielen: Diese Nachrichten behaupten, der Empfänger habe ein Handy, einen Geschenkgutschein, einen Gewinnspielpreis oder einen anderen Preis gewonnen. Um diesen zu erhalten, soll die Person eine geringe Versandgebühr bezahlen oder persönliche Daten angeben. Der Preis existiert nicht, und die Daten gelangen in die Hände des Betrügers.
• Imitation von Chef und Kollegen: Der Betrüger verwendet eine unbekannte Telefonnummer und gibt sich als Führungskraft, Manager oder Kollege aus. Er inszeniert einen angeblichen Notfall im Unternehmen und fordert Geschenkgutscheine, Geldüberweisungen, Zugangsdaten oder vertrauliche Firmendaten. Neue Mitarbeiter und Angestellte, die Zahlungen bearbeiten, sind häufig Zielscheibe, da sie mit internen Ansprechpartnern und Genehmigungsverfahren weniger vertraut sind.

So erkennen Sie eine Smishing-Nachricht

Die meisten Smishing-Nachrichten enthalten Warnsignale. Prüfen Sie unerwartete Texte sorgfältig, bevor Sie antworten oder einen Link öffnen:

• Unbekannter Absender: Die Nachricht stammt von einer Ihnen unbekannten Nummer oder von einem langen Zahlencode anstelle einer kurzen alphanumerischen Absenderkennung, die Sie mit der Marke in Verbindung bringen.
• Dringlichkeit oder Drohungen: Die SMS setzt Sie unter Druck, sofort zu handeln, um eine Abbuchung, Kontosperrung, Zustellungsfehler, eine Geldstrafe oder andere Konsequenzen zu vermeiden. Betrüger nutzen die Dringlichkeit, um zu verhindern, dass Empfänger die Forderung zuerst prüfen.
• Verdächtige Links: Die Domain ist falsch geschrieben, stimmt nicht mit der offiziellen Website der Organisation überein oder ist hinter einer Kurzform versteckt. URLGehen Sie nicht davon aus, dass ein Link sicher ist, nur weil der Rest der Nachricht professionell aussieht.
• Anfragen zu persönlichen oder finanziellen Informationen: Seien Sie misstrauisch gegenüber SMS, in denen nach Passwörtern, Einmalcodes, Sozialversicherungsnummern, Kartendaten, Bankinformationen, Geschenkkarten, Kryptowährungen oder Gebühren für die Paketfreigabe gefragt wird. Seriöse Organisationen werden Sie niemals per SMS nach einem Einmalcode fragen.
• Allgemeine Grüße: Der Text enthält möglicherweise eine ungenaue Anrede, lässt Ihren Namen aus, verweist auf ein Konto, das Sie nicht besitzen, oder enthält Informationen, die nicht mit einer tatsächlichen Bestellung oder Transaktion übereinstimmen. Diese Unstimmigkeiten deuten darauf hin, dass dieselbe Nachricht an viele Empfänger gesendet wurde.
• Grammatikfehler und ungewöhnliche Formulierungen: Rechtschreibfehler, unnatürliche Formulierungen, ungewöhnliche Groß- und Kleinschreibung oder ein uneinheitliches Branding können auf Betrug hindeuten. Dies allein ist jedoch kein verlässlicher Test mehr, da betrügerische Nachrichten professionell gestaltet und überzeugend sein können.

Im Zweifelsfall kontaktieren Sie die Organisation direkt über deren offizielle Website oder eine Ihnen bereits bekannte Telefonnummer. Verwenden Sie niemals die in der verdächtigen Nachricht angegebenen Kontaktdaten.

Smishing vs. Phishing vs. Vishing: Die drei Kanäle

Phishing, Smishing und Vishing sind verwandte Social-Engineering-Angriffe, die über verschiedene Kommunikationskanäle erfolgen. Angreifer nutzen alle drei, um sich als vertrauenswürdige Organisationen auszugeben, Dringlichkeit zu erzeugen und Menschen zur Preisgabe von Informationen oder zur Überweisung von Geld zu bewegen.

Phishing E-Mail-basierte Angriffe sind die ursprüngliche und gemessen am Gesamtvolumen immer noch die häufigste Form. Sie zielen auf Anmeldedaten für Bankkonten, Arbeitskonten oder private Plattformen ab. Zu den wichtigsten Schutzmaßnahmen gehören die Absenderauthentifizierung, Spamfilterung und die Sensibilisierung der Nutzer. E-Mail-Spam-Statistiken Phishing bleibt weltweit der dominierende Bedrohungskanal.

Schmunzelnd Smishing-Angriffe sind pro Versuch häufiger erfolgreich als E-Mail-Phishing, da die Filter auf Mobilgeräten schwächer sind und die Klickraten bei SMS höher. Die Angriffe sind in der Regel kürzer und einfacher als Phishing-E-Mails: Die meisten Smishing-SMS enthalten lediglich einen einzigen Link.

Vishing Vishing nutzt Sprachanrufe, oft kombiniert mit Smishing bei kanalübergreifenden Angriffen. Dabei wird der Empfänger per SMS aufgefordert, eine bestimmte Nummer anzurufen, wo ein Angreifer den Betrug fortsetzt. Sprachanrufe in Echtzeit lassen sich schwerer unterbrechen und bewerten als SMS oder E-Mails. Daher ist Vishing besonders effektiv gegen Opfer, die bereits verunsichert sind.

Wie man sich vor Smishing schützt

Keine einzelne Maßnahme kann jeden Smishing-Versuch verhindern, aber die Kombination mehrerer Schutzebenen verringert die Wahrscheinlichkeit, Opfer zu werden, erheblich.

• Die Regel, niemals zu klicken: Klicken Sie niemals auf Links in unerwarteten SMS von unbekannten Absendern, egal wie dringend die Nachricht auch klingen mag. Sollte die in der SMS beschriebene Situation real sein (z. B. ein erwartetes Paket oder eine Anfrage Ihrer Bank), überprüfen Sie dies direkt auf der offiziellen Website oder in der App des Unternehmens, anstatt auf den Link in der SMS zu klicken.
• SMS-Filterung auf Ihrem Gerät: Beide großen mobilen Plattformen verfügen über integrierte Filterfunktionen. Auf dem iPhone gehen Sie zu „Einstellungen“ > „Nachrichten“ und aktivieren „Unbekannte Absender filtern“. Auf Android öffnen Sie die Nachrichten-App, gehen zu „Einstellungen“ und aktivieren den Spamschutz. Diese Funktionen erkennen zwar nicht jeden Smishing-Versuch, filtern aber viele offensichtliche E-Mails, bevor sie Ihre Hauptnachrichtenliste erreichen.
• Melden Sie sich bei 7726: In den USA leiten Sie verdächtige SMS an die Nummer 7726 weiter, die auf einer Tastatur das Wort „SPAM“ ergibt. Dies ist der Meldecode, den alle großen US-Mobilfunkanbieter verwenden, um Smishing-Nummern zu identifizieren und zu blockieren. In Großbritannien gilt derselbe Code. Die Meldung dauert nur wenige Sekunden und hilft den Anbietern, andere Kunden vor demselben Absender zu schützen.
• Multifaktor-Authentifizierung (MFA) verwenden: Aktivieren Sie die Zwei-Faktor-Authentifizierung (2FA) für wichtige Konten, insbesondere für Ihre E-Mail-, Bank- und Geschäftskonten. Verwenden Sie nach Möglichkeit eine Authentifizierungs-App oder einen Hardware-Sicherheitsschlüssel anstelle von SMS-Verifizierungscodes, da Textnachrichten abgefangen oder Ziel von Social-Engineering-Angriffen sein können.
• Mobile Sicherheitssoftware: Seriöse mobile Sicherheits-Apps erkennen bekannte Schadsoftware. URLSie können betrügerische Websites blockieren, bevor diese geladen werden. Außerdem scannen sie nach Schadsoftware, falls ein schädlicher Link bereits angeklickt wurde. Apps etablierter Sicherheitsunternehmen bieten eine zusätzliche Schutzebene, die weder die Filter der Mobilfunkanbieter noch die Geräteeinstellungen abdecken.
• Seien Sie vorsichtig bei KI-generierten Betrugsmaschen: Kriminelle nutzen zunehmend KI, um überzeugende Textnachrichten mit realistischer Formulierung, präzisem Branding und Details aus früheren Datenlecks oder öffentlich zugänglichen Quellen zu erstellen. Schlechte Grammatik ist kein verlässliches Warnsignal mehr. Achten Sie daher darauf, ob die Anfrage selbst Sinn ergibt, und überprüfen Sie unerwartete Nachrichten eigenständig.

Was tun, wenn Sie Opfer eines Smishing-Betrugs geworden sind?

Handeln Sie sofort, sobald Sie bemerken, was passiert ist. Gehen Sie dabei die folgenden Schritte nacheinander durch:

• Schritt 1: Beenden Sie jeglichen Kontakt mit dem Betrüger: Antworten Sie nicht, rufen Sie keine Nummern in der Nachricht an und klicken Sie nicht erneut auf den Link. Jede weitere Interaktion liefert dem Angreifer mehr Informationen und Zeit zum Handeln.
• Schritt 2: Betroffene Konten sichern: Wenn Sie auf einer gefälschten Anmeldeseite ein Passwort eingegeben haben, ändern Sie dieses Passwort umgehend beim echten Dienst. Ändern Sie außerdem das Passwort aller anderen Konten, die dieselben Anmeldedaten verwenden, da die Wiederverwendung von Anmeldedaten es Angreifern ermöglicht, nach einem einzigen Sicherheitsvorfall auf mehrere Konten zuzugreifen.
• Schritt 3: Nehmen Sie direkt Kontakt mit der betroffenen Institution auf: Falls die Smishing-Nachricht den Anschein erweckte, von Ihrer Bank, einer Zahlungs-App oder einem von Ihnen tatsächlich genutzten Dienst zu stammen, rufen Sie diese unter der Nummer auf Ihrer Karte oder über deren offizielle Website an. Melden Sie den Vorfall und bitten Sie darum, Ihr Konto wegen verdächtiger Aktivitäten zu kennzeichnen.
• Schritt 4: Lassen Sie Ihre Kreditwürdigkeit sperren, falls sensible Identitätsdaten offengelegt wurden: Falls Sie Ihre Sozialversicherungsnummer, Ihr Geburtsdatum oder andere identitätsbestätigende Daten angegeben haben, kontaktieren Sie die großen Kreditauskunfteien (Equifax, Experian und TransUnion) und lassen Sie Ihre Kreditdaten sperren. Dadurch wird verhindert, dass neue Konten in Ihrem Namen eröffnet werden, während der Sachverhalt geprüft wird.
• Schritt 5: Melden Sie den Vorfall: Melden Sie den Vorfall der FTC über ReportFraud.ftc.gov und leiten Sie die Originalnachricht an die Nummer 7726 in den USA weiter. Wurde Geld gestohlen, kontaktieren Sie außerdem die betreffende Bank oder den Zahlungsdienstleister und erwägen Sie, den Vorfall der örtlichen Polizei zu melden.
• Schritt 6: Konten und Kreditberichte mindestens 90 Tage lang überwachen: Angreifer behalten gestohlene Zugangsdaten manchmal wochenlang, bevor sie sie einsetzen. Überprüfen Sie regelmäßig Ihre Konto- und Kreditkartenabrechnungen, achten Sie auf verdächtige Benachrichtigungen und fordern Sie eine kostenlose Kreditauskunft an, um unautorisierte Aktivitäten festzustellen.

Wenn Sie auf einen Link geklickt haben und Schadsoftware vermuten, führen Sie umgehend einen Sicherheits-Scan Ihres Mobilgeräts durch, entfernen Sie alle unbekannten Apps, die nach dem Vorfall aufgetaucht sind, und erwägen Sie einen Werksreset, falls sich Ihr Gerät ungewöhnlich verhält. Zu den möglichen Anzeichen für Schadsoftware gehören unerwartet hoher Akkuverbrauch, neu installierte Apps, die Sie nicht selbst installiert haben, oder ein plötzlicher Anstieg des Datenverbrauchs.

SMS-Betrügern immer einen Schritt voraus sein

Smishing funktioniert, weil es vertraute Situationen, bekannte Namen und Druck ausnutzt, um zum Handeln zu bewegen, bevor man die Nachricht liest. Die Nachrichten mögen einfach sein, aber sie können trotzdem überzeugend wirken. Wer eine unerwartete Anfrage erkennt und kurz innehält, um sie zu überprüfen, kann die meisten Versuche im Keim ersticken.

Die wirksamsten Vorsichtsmaßnahmen sind einfach: Öffnen Sie keine Links in unerwarteten Textnachrichten, aktivieren Sie die Nachrichtenfilterung, melden Sie verdächtige Nachrichten an 7726 und überprüfen Sie jede Behauptung über den offiziellen Kontakt der Organisation.

SMS-Sicherheit ist nur ein Teil des Schutzes von Kunden und der Geschäftskommunikation. Unternehmen müssen auch E-Mails sichern. SPF, DKIM und DMARC und gleichzeitig eine saubere Kontaktliste zu pflegen. DeBounce E-Mail-Validierung Identifiziert ungültige, Wegwerf- und riskante Adressen vor dem Versand, reduziert so Bounces und schützt die Absenderreputation. Starten Sie mit 100 kostenlosen Verifizierungen, um die Qualität Ihrer Liste vor Ihrer nächsten Kampagne zu prüfen.