Betrug per SMS und WhatsApp: gefälschte Paket-, Bank- und Gewinnnachrichten erkennen

Eine Nachricht kommt aufs Handy: „Ihr Paket konnte wegen unvollständiger Adresse nicht zugestellt werden. Tippen Sie hier, um Ihre Daten zu aktualisieren.“ Wenn du wirklich auf eine Bestellung wartest, wirkt das sehr glaubwürdig. Du tippst auf den Link, eine Seite öffnet sich, die der des echten Paketdienstes zum Verwechseln ähnlich sieht, und du sollst für eine kleine „Zustellgebühr“ deine Kartendaten eingeben.

Diese Masche heißt Smishing (SMS + Phishing), also Phishing per SMS. Dieselben Fallen werden über WhatsApp, Telegram, E-Mail und soziale Medien gestellt. In diesem Ratgeber zeigen wir die häufigsten Szenarien, wie du falsche Nachrichten und Seiten erkennst und was zu tun ist, wenn du schon auf einen Link getippt hast.

Die häufigsten Arten falscher Nachrichten

Falsche Paket- und Zollnachrichten

„Ihr Paket liegt beim Zoll, Sie müssen Gebühren zahlen“, „Zustellung fehlgeschlagen, aktualisieren Sie Ihre Adresse.“ Besonders verbreitet in Zeiten mit vielen Bestellungen.

Falsche Bank-Nachrichten

„Ihr Konto wurde aus Sicherheitsgründen gesperrt“, „Mit Ihrer Karte wurde eine verdächtige Zahlung getätigt, tippen Sie zum Stornieren“, „Ihr pushTAN-Verfahren muss aktualisiert werden.“

Falsche Behördennachrichten

Gefälschte Nachrichten zu Steuerrückerstattungen, Bußgeldern, Rundfunkbeitrag oder staatlichen Zahlungen. „Ihnen steht eine Steuerrückerstattung von 245 € zu, tippen Sie hier, um sie anzufordern.“

Gewinn- und Verlosungsnachrichten

„Glückwunsch! Sie haben bei unserer Verlosung ein iPhone gewonnen, zahlen Sie nur den Versand.“ Für ein Gewinnspiel, von dem du nichts wusstest, gibt es keinen Gewinn.

Falsche Jobs und schnelles Geld

„Verdienen Sie von zu Hause 150 € am Tag“, „Geld verdienen, nur durch Liken von Produkten.“ Solche Angebote gewinnen meist erst mit kleinen Auszahlungen Vertrauen und verlangen dann, dass du für eine „Aufgabe“ Geld einzahlst.

Nachrichten, die scheinbar von Bekannten kommen

„Hallo Mama, mein Handy ist kaputt, das ist meine neue Nummer. Ich muss dringend etwas bezahlen, erkläre ich später.“ Bei dieser Masche gibt sich der Betrüger als Angehöriger aus.

Wie WhatsApp-Konten gestohlen werden

WhatsApp-Konten sind für Betrüger wertvoll: Über ein gekapertes Konto lassen sich Geldbitten an alle Kontakte schicken.

• Die Code-Falle: „Ich habe dir aus Versehen einen 6-stelligen Code geschickt, kannst du ihn mir weiterleiten?“ Dieser Code ist in Wahrheit der Bestätigungscode, um dein WhatsApp-Konto auf einem anderen Handy einzurichten. Die Nachricht kommt oft vom bereits gekaperten Konto eines Freundes.
• Falsche Support-Nachrichten: „WhatsApp-Support: Ihr Konto wird gesperrt, teilen Sie den Code zur Bestätigung.“ So schreibt WhatsApp dir nicht.
• Falsche Umfrage- und Gewinnspiel-Links: Links in Gruppenchats, die nach Anmeldedaten fragen.

8 Wege, eine falsche Nachricht zu erkennen

1. Zeitdruck und Drohungen: „Innerhalb von 24 Stunden“, „Ihr Konto wird gesperrt“, „letzter Tag“. Echte Stellen drängen dich nicht so.
2. Ein unerwarteter Gewinn oder eine unerwartete Schuld: Ein Gewinn, eine Erstattung oder ein Bußgeld, von dem du nichts wusstest.
3. Sie enthält einen Link: Stellen schicken für Zahlungen oder Datenänderungen in der Regel keine Links per SMS; sie bitten dich, ihre App oder Website zu nutzen.
4. Eine merkwürdige Adresse: Der Link weicht von der bekannten Adresse ab, etwa „paket-zustellung-de.xyz“ für einen Paketdienst.
5. Unpersönliche Anrede: „Sehr geehrter Kunde“ oder gar keine Anrede.
6. Rechtschreib- und Sprachfehler: Nicht immer, aber oft ein Zeichen.
7. Bitte um Kartendaten, Passwörter oder Codes: Diese werden nie per Nachricht oder über ein Formular hinter einem Link abgefragt.
8. Eine ausländische oder seltsame Nummer: Internationale Nummern oder „offizielle“ Nachrichten von normalen Handynummern.

So erkennst du eine falsche Seite

Hast du auf einen Link getippt und eine Seite hat sich geöffnet, prüfe vor jeder Eingabe:

• Lies die Adresszeile genau. Falsche Seiten ähneln der echten Adresse sehr: vertauschte Buchstaben („rn“ statt „m“), Zusatzwörter („-sicherheit“, „-support“, „-zahlung“) oder andere Endungen (.xyz, .top, .online).
• Das Schloss reicht nicht. Das Schloss (https) in der Adresszeile zeigt nur, dass die Verbindung verschlüsselt ist, nicht, dass die Seite vertrauenswürdig ist. Die meisten Fälschungen nutzen ebenfalls https.
• Vorsicht, wenn mehr Daten als nötig verlangt werden. Kartennummer, Ablaufdatum, Prüfnummer und SMS-Code zusammen für eine Paketzustellung sind ein großes Warnsignal.
• Im Zweifel die Seite schließen und die offizielle App der Stelle öffnen oder die Adresse selbst eintippen.

Die goldene Regel: nicht tippen, selbst hingehen

Bei jeder Nachricht, die angeblich von einer Stelle kommt, gilt die sicherste Methode: Nutze nicht den Link aus der Nachricht. Stattdessen:

• Öffne die offizielle App deiner Bank.
• Gib die Sendungsnummer selbst auf der offiziellen Seite des Paketdienstes ein.
• Rufe ELSTER oder die Seite deiner Behörde auf, indem du die Adresse selbst eintippst.
• Im Zweifel ruf die Stelle unter einer offiziellen Nummer an, die du kennst.

Gibt es wirklich ein Problem, siehst du es auch im offiziellen Kanal.

Was tun, wenn du auf einen Link getippt hast?

Keine Panik; geh Schritt für Schritt vor:

Nur getippt, nichts eingegeben

• Schließ die Seite.
• Wurde eine unbekannte App oder Datei (besonders eine .apk auf Android) heruntergeladen, öffne sie nicht und lösche sie.
• Lass einen Sicherheitsscan auf dem Handy laufen.

Kartendaten eingegeben

• Ruf sofort deine Bank an und lass die Karte sperren; auch der zentrale Sperr-Notruf 116 116 hilft.
• Behalte die Kartenabrechnung im Blick und widersprich unbekannten Buchungen.

Passwort eingegeben

• Ändere sofort das Passwort dieses Kontos.
• Ändere es auch bei anderen Konten, auf denen du dasselbe Passwort genutzt hast.
• Aktiviere die Zwei-Faktor-Authentisierung.

Code weitergegeben oder App installiert

• Ruf deine Bank an und schildere die Lage.
• Entferne die installierte App. Wurde eine Fernwartungs-App installiert, trenne das Handy vom Internet und sprich mit deiner Bank.
• Erwäge bei Bedarf, das Handy auf Werkseinstellungen zurückzusetzen.

In jedem Fall

• Melden: Phishing-Nachrichten kannst du an die Verbraucherzentrale (Phishing-Radar) weiterleiten; Hinweise gibt auch das Bundesamt für Sicherheit in der Informationstechnik (BSI). Bei finanziellem Schaden erstatte Anzeige bei der Polizei, in vielen Bundesländern auch online.
• Beweise sichern: Speichere einen Screenshot der Nachricht, die Absendernummer und die Adresse der Seite.

Für Kinder und Jugendliche

Auch Kinder sind Ziel dieser Fallen: kostenlose Spielwährung, Gratis-Abos, falsche Gewinnspiele. Bring Kindern bei: „Jede Nachricht, die etwas Kostenloses verspricht und nach deinen Daten oder deinem Passwort fragt, ist eine Falle. Zeig sie mir, bevor du tippst.“ Mehr dazu in unserem Artikel zur Sicherheit bei Onlinespielen.

Wie Koriva hilft

Linkprüfung und Webfilter von Koriva blockieren bekannte Phishing-Seiten; auf Wunsch der Familie auch Seiten für Erwachsene und Glücksspiel. Dieser Schutz funktioniert auf Android und iPhone. Der Webfilter filtert nur Adressen; den Inhalt besuchter Seiten liest und speichert er nicht. Auf Android werden außerdem verdächtige Links in Nachrichten an das Kind der Familie gemeldet. Trotzdem kennt keine Liste jede neue Fälschung sofort; die Regel „nicht tippen, selbst hingehen“ gilt also immer.

Fazit

SMS- und WhatsApp-Betrug arbeitet mit ständig neuen Szenarien, aber immer mit denselben Grundtaktiken: Zeitdruck, Angst oder ein Gewinnversprechen, dazu ein Link. Statt auf den Link zu tippen selbst zum offiziellen Kanal zu gehen, Bestätigungscodes niemals weiterzugeben und in WhatsApp die Verifizierung in zwei Schritten zu aktivieren, macht fast alle diese Fallen wirkungslos.

Zu Betrug am Telefon lies auch unseren Artikel über Telefonbetrug durch falsche Polizisten.