Verdächtige SMS erkennen: prüfen, ohne den Link anzutippen

Erst stoppen: Eine SMS ist kein sicherer Prüfweg

Phishing per SMS wird auch Smishing genannt. Dabei geben sich Betrügerinnen und Betrüger häufig als Paketdienst, Onlineshop, Bank oder Behörde aus. Die Nachricht soll meist dazu bringen, einen Link zu öffnen und anschließend Zugangsdaten oder Zahlungsdaten einzugeben. Das BSI nennt insbesondere angebliche Probleme bei der Paketzustellung, Sendungsverfolgungen und Zahlungsaufforderungen als typische Vorwände. 11

Die beste erste Reaktion ist deshalb schlicht: Nicht tippen, nicht antworten, nicht zurückrufen. Lass dich nicht von Formulierungen wie „heute“, „letzte Erinnerung“ oder „Konto wird gesperrt“ zu einer Schnellentscheidung drängen. Zeitdruck ist ein häufiges Mittel, um eine unüberlegte Reaktion auszulösen. 11

Das bedeutet nicht, dass jede unerwartete SMS automatisch Betrug ist. Aber die SMS selbst ist nicht der Ort, an dem du ihre Echtheit beweisen solltest. Prüfe die behauptete Angelegenheit auf einem Weg, den du selbst beginnst.

Woran du eine verdächtige SMS erkennst

Schau auf das Gesamtbild, nicht nur auf einen einzelnen Fehler. Mehrere dieser Punkte zusammen sind ein guter Grund, vorsichtig zu sein:

• Du erwartest kein Paket, hast dort kein Konto oder hast den genannten Vorgang nicht ausgelöst.
• Die Nachricht verlangt eine sofortige Aktion, droht mit einer Sperre oder lockt mit einer Erstattung.
• Du sollst dich über einen Link anmelden, eine Zahlung bestätigen oder Daten „aktualisieren“.
• Der Text enthält auffällige Schreibfehler, seltsame Zeichen oder eine unpassende Ansprache.
• Die Webadresse wirkt ungewöhnlich, ist verkürzt oder enthält eine bekannte Marke nur als Teil eines längeren Namens.

Ein bekannt aussehender Markenname in einer Internetadresse ist kein Echtheitsbeweis. Die Verbraucherzentrale weist ausdrücklich darauf hin, dass betrügerische Adressen echte Banknamen enthalten oder ihnen ähnlich sehen können. 12

Auch eine persönliche Anrede, ein Logo oder gutes Deutsch machen eine Nachricht nicht verlässlich. Umgekehrt ist ein Tippfehler allein noch kein Beweis. Entscheidend ist: Die SMS fordert dich zu einer Handlung über ihren eigenen Link oder ihre eigene Telefonnummer auf.

So prüfst du die Nachricht sicher

1. Link und Nummer der SMS nicht verwenden

Öffne weder den Link noch eine darin beworbene Telefonnummer. Antworte auch nicht mit „Stopp“, „Wer ist da?“ oder einer Beschwerde. Nach Einschätzung der Verbraucherzentrale kann eine Antwort signalisieren, dass die Rufnummer aktiv genutzt wird. 12

2. Den Dienst selbst starten

Wenn die SMS zum Beispiel von deiner Bank, einem Paketdienst oder einem Zahlungsanbieter zu stammen scheint, öffne dessen offizielle App selbst. Alternativ tippe die dir bekannte Internetadresse selbst in die Adresszeile ein oder nutze ein zuvor gespeichertes Lesezeichen.

Siehst du dort keinen passenden Hinweis, rufe über eine Kontaktdatenquelle an, die nicht aus der SMS stammt: etwa die Rückseite deiner Karte, einen Brief des Anbieters oder dessen selbst aufgerufene offizielle Website. Die Verbraucherzentrale empfiehlt genau diesen getrennten Prüfweg über App oder bekannte Internetseite. 12

3. Nur dort nachsehen, was wirklich offen ist

Prüfe im echten Kundenkonto beispielsweise Nachrichten, Lieferstatus, Umsätze oder Sicherheitswarnungen. Gibt es keinen Vorgang, brauchst du in der SMS nichts zu bestätigen. Gibt es einen echten Vorgang, erledige ihn nur innerhalb der offiziellen App oder auf der selbst geöffneten Seite.

4. Danach sinnvoll aufräumen

War die SMS eindeutig verdächtig und hast du nicht interagiert, kannst du sie löschen oder in deiner Nachrichten-App als Spam melden. Das Blockieren der sichtbaren Absendernummer kann Ruhe bringen, ist aber kein vollständiger Schutz: Solche Nummern wechseln häufig. Spam-Filter können die Menge unerwünschter SMS verringern, ersetzen die Prüfung aber nicht. 12

Was passiert ist, macht einen Unterschied

Nicht jeder Fehler hat dieselben Folgen. Ordne zuerst ehrlich ein, was passiert ist. So vermeidest du sowohl Panik als auch falsche Sicherheit.

Du hast nur den Link geöffnet

Schließe die Seite und kehre nicht über denselben Link zurück. Gib dort keine Daten ein, lade nichts herunter und bestätige keine Installation einer App. Die Verbraucherzentrale rät nach einem angetippten SMS-Link ausdrücklich dazu, keiner Installation einer neuen App zuzustimmen. 12

Ein geöffneter Link bedeutet nicht automatisch, dass Daten gestohlen wurden. Er ist aber auch kein Grund für Entwarnung: Manipulierte Seiten können bei veralteter Software Risiken bergen. Aktualisiere daher Betriebssystem, Browser und vorhandene Schutzsoftware. Bei einem Computer empfiehlt die Verbraucherzentrale zusätzlich einen vollständigen Scan mit aktualisierter Schutzsoftware; bei auffälligem Verhalten oder einem unerwarteten Download ist fachkundige Hilfe sinnvoll. 13

Wichtig: Gib Passwörter oder Bankdaten anschließend nicht auf dem möglicherweise betroffenen Gerät ein, bevor du die Situation geklärt hast. Nutze für wichtige Konten nach Möglichkeit ein anderes, vertrauenswürdiges Gerät oder hole dir Unterstützung.

Du hast Zugangsdaten, PIN, TAN oder Kartendaten eingegeben

Hier solltest du sofort handeln, denn diese Angaben lassen sich nicht zurückholen. Kontaktiere den echten Anbieter oder bei Bankdaten die Bank beziehungsweise den Zahlungsdienstleister über eine unabhängig gefundene Kontaktmöglichkeit. Bitte um Prüfung und, falls erforderlich, um Sperrung von Zugang, Karte oder Online-Banking. Die Verbraucherzentrale nennt dafür unter anderem die Sperrhotline 116 116, soweit sie für das betroffene Zahlungsmittel erreichbar ist. 13

Ändere das betroffene Passwort umgehend auf der echten Website oder in der offiziellen App. Wurde dasselbe Passwort noch an anderer Stelle genutzt, ändere es dort ebenfalls. Ist das E-Mail-Postfach betroffen oder als Benutzername für andere Konten eingesetzt, prüfe diese Konten besonders sorgfältig. Kontrolliere danach regelmäßig Kontoauszüge und Benachrichtigungen. 13

Du hast Geld überwiesen oder bemerkst eine unberechtigte Abbuchung

Rufe die Bank oder den Zahlungsdienstleister unverzüglich über eine verlässliche, selbst gefundene Nummer an. Schildere knapp, was passiert ist: welche Daten du eingegeben hast, ob du eine Überweisung ausgelöst hast und wann. Bitte die Bank, die möglichen Sicherungs- und nächsten Schritte mit dir zu klären. Bei unberechtigten Abbuchungen empfiehlt die Verbraucherzentrale, der Bank mitzuteilen, dass du sie nicht veranlasst hast, und eine Gutschrift zu verlangen. Eine Rückholung oder Erstattung ist damit jedoch nicht garantiert. 12

Diese Anleitung kann keine Banktransaktion stoppen oder zurückholen. War Geld betroffen, sichere die SMS, den Zeitpunkt, mögliche Screenshots und die Vorgangsnummern deiner Bank. Erstatte anschließend Anzeige bei der Polizei; auch die Verbraucherzentrale empfiehlt dies bei abgegriffenen sensiblen Daten und bei finanziellen Schäden. 12

Du hast nach dem Link eine App installiert

Schalte das Smartphone in den Flugmodus, damit eine möglicherweise schädliche App nicht weiter über das Internet kommunizieren kann. Sichere Beweise, etwa durch Bildschirmfotos, und wende dich an die Polizei. Die Verbraucherzentrale rät außerdem, den Mobilfunkanbieter zu informieren; bei Unsicherheit über die Bereinigung des Geräts kann technische Hilfe wichtig sein. 12

Zwei kurze Vorlagen für einen sicheren Anruf

Nutze diese Sätze nur, nachdem du die Kontaktdaten unabhängig von der SMS gefunden hast. Gib am Telefon keine PIN, TAN oder Passwörter weiter.

Vorlage: SMS überprüfen

Vorlage: Daten oder Geld könnten betroffen sein

Notiere bei dem Gespräch Datum, Uhrzeit, Gesprächspartner oder Vorgangsnummer. Das hilft dir, den Überblick zu behalten, ohne der SMS selbst weiter zu vertrauen.

Was du melden kannst – und was du besser bewahrst

Hast du nicht geklickt und keine Daten eingegeben, kann eine Spam-Meldung in der Nachrichten-App helfen. Aktuelle Beispiele und Warnungen zu Phishing, Smishing und ähnlichen Maschen veröffentlicht die Verbraucherzentrale in ihrem Phishing-Radar. 12

Passend dazu: WhatsApp-Kopplung sicher prüfen

Hast du hingegen geklickt, Daten eingegeben, eine App installiert oder Geld verloren, lösche die Nachricht nicht vorschnell. Sie kann zusammen mit Screenshots, Kontoauszügen und Uhrzeiten als Beleg dienen. Informiere den echten Anbieter über dessen offizielle Kontaktwege; so kann er den Missbrauch seiner Marke gegebenenfalls prüfen. 13

Für künftige SMS: eine einfache Regel

Behandle Links in unerwarteten SMS wie eine Tür, die jemand Fremdes für dich geöffnet haben will: Du musst nicht hindurchgehen, um nachzusehen. Öffne stattdessen die App, die du ohnehin nutzt, oder tippe die bekannte Adresse selbst ein.

Passend dazu: sicher Technikhilfe geben

Halte Betriebssystem und Apps aktuell und erlaube keine Installationen, nur weil eine SMS dazu drängt. Wenn du unsicher bist, ist eine kurze Pause die richtige Reaktion: erst selbst prüfen, dann handeln. Das schützt besser als der Versuch, eine gut gemachte Betrugsnachricht allein an ihrem Aussehen zu entlarven. 11