Smishing (aus SMS und Phishing) bezeichnet Betrugs-SMS oder Messenger-Nachrichten, die Empfänger zum Klicken auf Links, zur Installation von Apps oder zur Herausgabe von Daten bewegen sollen. Es ist der mobile Kanal des Phishing – verwandt mit Vishing (Telefon) und Spear-Phishing (gezielte Mails). Laut BKA erreichten einzelne Smishing-Kampagnen 2024 bis zu 500.000 Empfänger, und der Anteil von SMS-Phishing an allen Phishing-Angriffen wächst stark.
Typische Maschen
- Paket-SMS: Angebliche Zustellprobleme von DHL, Hermes oder der Post mit Link zu einer gefälschten Tracking-Seite, die Gebühren oder Daten abgreift.
- Bankwarnungen: „Ihr Konto wurde gesperrt – bestätigen Sie sich hier" führt auf eine täuschend echte Bankseite.
- Voicemail-Benachrichtigungen: Eine SMS lockt mit neuer Sprachnachricht; die „Wiedergabe-App" ist in Wahrheit Schadsoftware.
- Behörden- und Zollnachrichten: Angebliche Gebühren oder Strafen sollen per Link sofort bezahlt werden.
- Messenger-Betrug: In WhatsApp & Co. schreiben Unbekannte als „Sohn mit neuer Nummer" oder als Paketdienst und fordern Geld oder Codes.
Warum Smishing so gefährlich ist
Kurznachrichten wirken persönlicher als Massen-Mails, und auf dem kleinen Bildschirm bleiben Absenderdetails, URLs und Rechtschreibfehler leicht unbemerkt. Viele Kampagnen nutzen verkürzte Links, die ihr Ziel erst nach dem Klick zeigen. Auf Android-Geräten kann das Öffnen präparierter Links Schadsoftware installieren, die etwa den SMS-Versand an alle Kontakte übernimmt. Die Täter nutzen außerdem offizielle Absenderkennungen (Sender-ID) – die Nummer im Kopf der SMS ist also ebenfalls kein Vertrauensbeweis.
Erkennen und Handeln
- Unaufgeforderte Links in SMS grundsätzlich nicht anklicken – Paketdienste und Banken schicken keine Zahlungslinks per SMS.
- Im Zweifel die offizielle App oder Webseite direkt aufrufen und dort den Status prüfen.
- Erhaltene Betrugs-SMS löschen, die Nummer blockieren und bei der Bundesnetzagentur melden; bei Schaden die Bank informieren und Anzeige erstatten.
Wer dennoch hereinfällt, riskiert Banking-Trojaner-Infektionen oder den Verlust von Zugangsdaten. Eine Multi-Faktor-Authentifizierung und regelmäßige Updates schützen das Konto, selbst wenn Passwörter abgefischt wurden.