Eine SMS über ein angeblich festhängendes DHL-Paket oder ein Anruf mit der Nummer deiner Bank kann sehr echt wirken. Genau darauf setzen Smishing und Fake-Anrufe: Sie bringen dich unter Zeitdruck, damit du einen Link öffnest, eine TAN nennst oder Geld überweist. Als Grundregel handelst du nicht über die Nachricht oder den Anruf, sondern prüfst den genannten Anbieter selbst über einen bekannten Weg.
Smishing beginnt mit einer Nachricht, nicht mit einer echten Sendung
Der Begriff Smishing setzt sich aus „SMS“ und „Phishing“ zusammen. Gemeint sind Betrugsversuche per SMS oder Messenger-Nachricht, mit denen Kriminelle Passwörter, TANs oder Kreditkartendaten abgreifen wollen. Auf einem Smartphone ist die vollständige Webadresse oft nicht sofort zu sehen. Dadurch wird ein kurzer Link besonders riskant.
Am häufigsten tauchen gefälschte Paketbenachrichtigungen im Namen von DHL, Hermes oder DPD auf. Darin heißt es etwa, ein Paket könne nicht zugestellt werden, die Adresse müsse bestätigt werden oder es seien Zollgebühren offen. Hinter dem Link steckt dann eine nachgebaute Paketdienst-Seite, die Kreditkartendaten abfragt. In einer anderen Variante sollst du eine App installieren, die SMS-TANs abfängt.
Wichtig ist die klare Grenze: Kreditkartendaten gibst du nie über einen Link aus einer SMS ein. Ob für eine Sendung wirklich etwas offen ist, zeigt dir die offizielle App des Paketdienstes. Auch eine persönliche Anrede wie „Hallo Rudi O.“ ist kein Beweis. Für solche Nachrichten können Kriminelle Daten aus geleakten Datenbanken oder unseriösen Gewinnspielen nutzen.
Fünf Warnsignale stoppen die Nachricht vor dem Klick
Keine einzelne Formulierung entlarvt jede Betrugs-SMS. Treffen mehrere der folgenden Punkte zu, behandelst du die Nachricht besser als Betrugsversuch und öffnest ihren Link nicht.
- Zeitdruck: Formulierungen wie „Ihr Konto wird in 24 Stunden gesperrt“ sollen eine schnelle Reaktion erzwingen. Seriöse Unternehmen und Behörden setzen in SMS keine solchen Ultimaten.
- Ein Link: Statt den Link zu testen, öffnest du die offizielle App oder tippst die bekannte Webadresse selbst ein.
- Eine ungewöhnliche Nummer: Sie kann ein Hinweis sein, aber auch ein sichtbarer Absendername wie „Sparkasse“ ist kein Echtheitsbeweis. Dieser Text lässt sich fälschen.
- Die Bitte um heikle Daten: Passwort, TAN und Kreditkartennummer gehören nicht in ein SMS-Formular.
- Eine unerwartete Nachricht: Erwartest du gar kein Paket, ist eine angebliche Zustellmeldung besonders verdächtig.
Bei zwei Absendern ist die Lage eindeutig: Das Finanzamt verschickt keine SMS zu Steuerbescheiden oder Steuerrückzahlungen. Auch Gerichtsvollzieher kündigen eine Pfändung nicht per SMS-Link an.
Bei „Hallo Mama“ prüfst du die alte Nummer statt zu antworten
Beim Familien-Notruf-Betrug gibt sich jemand per SMS oder WhatsApp als dein Kind aus. Angeblich ist das alte Handy verloren gegangen oder es gibt eine neue Nummer. Oft folgt die Aufforderung, auf WhatsApp zu schreiben. Damit soll der erste Kontakt Vertrauen schaffen; später kommt eine Geldforderung, oft über eine dreistellige Summe.
Fehler wie „das Ist meine neue nummer“ sind ein Warnsignal, aber nicht das einzige. Entscheidend ist der Abgleich über einen unabhängigen Weg. Ruf die alte, bei dir gespeicherte Nummer an oder nutze einen anderen bekannten Kontaktkanal. Antworte nicht auf die neue Nummer und gehe auf keine Geldforderung ein, bevor du die Person so erreicht hast.
Eine vertraute Banknummer beweist beim Anruf nichts
Beim Call-ID-Spoofing manipulieren Betrüger die übermittelte Rufnummer. Auf deinem Display kann deshalb die echte Nummer deiner Bank stehen, obwohl der Anruf nicht von der Bank kommt. 2025 gingen bei der Bundesnetzagentur 85.158 Beschwerden über Rufnummernmissbrauch ein. Die angezeigte Nummer allein ist deshalb kein Echtheitsbeweis.
Als Vorwand dienen ein angebliches Sicherheitsupdate oder eine unbefugte Abbuchung. Im Gespräch sollst du dann eine TAN nennen oder eine Überweisung autorisieren. Dabei gilt eine einfache Regel: Eine Bank fragt am Telefon niemals nach TAN, PIN oder Passwort. Ausschließlich für eine von dir selbst gestartete Transaktion darf eine TAN verwendet werden. Zum Stoppen einer Zahlung oder als „Sicherheitsfreigabe“ und Stornierung taugt sie nicht.
So reagierst du auf den Anruf ohne Risiko
- Beende das Gespräch, sobald nach einer TAN, PIN oder einem Passwort gefragt wird.
- Gib keine Daten ein und bestätige keine Überweisung während des Telefonats.
- Öffne die offizielle Banking-App oder rufe die Bank über eine dir bekannte Nummer selbst an.
- Prüfe dort, ob es tatsächlich eine auffällige Buchung oder eine Nachricht der Bank gibt.
Direkt zum Anbieter gehen und dein Handy zusätzlich absichern
Nicht über eine SMS-Adresse oder das Display prüfst du einen seriösen Absender, sondern über den getrennten Weg zum Anbieter. Öffne bei einer Paket-SMS die Paketdienst-App selbst. Bei einer Bankmeldung gehst du in die offizielle Banking-App. So kann der Link aus der Nachricht keine Rolle mehr spielen.
Unerwünschte Nummern kannst du auf Android und iPhone direkt in der Telefon-App über „Anrufer blockieren“ sperren. Gegen diese eine Nummer hilft das; Betrüger wechseln allerdings häufig die Endziffern. Bei vielen Anbietern kannst du Anrufe mit unterdrückter Nummer automatisch abweisen lassen.
Zusätzlich schützt eine Drittanbietersperre. Damit wird die Abrechnung von Diensten Dritter über die Handyrechnung blockiert, etwa Abos über WAP-Billing oder Premium-SMS. Auf Antrag muss jeder Mobilfunkanbieter in Deutschland sie kostenlos einrichten. Anrufe zu 0900er-Nummern sperrt sie nicht; dafür gibt es eine eigene Sperre beim Anbieter. Beantragen lässt sich die Sperre in der Regel über Kundenportal, App, Hotline oder Shop; bei Prepaid-Karten wie Aldi Talk oder Blau ist der Kundenservice zuständig.
Nach einem Klick zählt die Reihenfolge deiner nächsten Schritte
Hast du nur eine Nachricht gelesen, aber keinen Link geöffnet und keine Daten preisgegeben, reicht es, sie zu löschen oder zu melden. Nach einem Klick oder nach eingegebenen Daten solltest du dagegen sofort handeln. Gehe diese Schritte der Reihe nach durch:
- Flugmodus einschalten: Damit kappst du zunächst die Netzwerkverbindungen.
- Karte sperren: Wenn du Bankdaten eingegeben hast, lässt du die Karte sofort über den Sperr-Notruf 116 116 sperren. Sie ist rund um die Uhr erreichbar und aus dem deutschen Festnetz kostenlos; nicht jede Bank ist angeschlossen, dann gilt die Sperrnummer deiner Bank.
- Passwort ändern: Ändere das betroffene Passwort über die offizielle Seite oder App, niemals über den SMS-Link. Hast du dasselbe Passwort bei weiteren Diensten verwendet, änderst du es dort ebenfalls.
- Bank informieren: Bitte die Bank, das Online-Banking-Konto auf fremde Buchungen zu prüfen.
- Schadsoftware entfernen: Wurde über den Link eine App installiert, deinstalliere sie. Lässt sie sich nicht entfernen, kann ein Zurücksetzen auf Werkseinstellungen nötig sein. Zusätzlich gehört ein Sicherheits-Scan mit einer vertrauenswürdigen Sicherheits-App dazu.
- Anzeige erstatten: Bei verlorenem Geld erstattest du Strafanzeige bei der Polizei, online über die Onlinewache oder persönlich auf der Dienststelle.
Anschließend kannst du SMS-Spam, Rufnummernmissbrauch und Call-ID-Spoofing kostenlos bei der Bundesnetzagentur melden. Halte dafür die angezeigte Rufnummer, Datum und Uhrzeit sowie eine Beschreibung der Nachricht oder des Anrufs fest. Die Behörde stellt dafür eigene Online-Formulare bereit, getrennt nach Rufnummernmissbrauch und unerlaubter Telefonwerbung. 2025 schaltete die Behörde rund 6.200 Rufnummern ab und ordnete für mehr als 2.000 Nummern ein Einziehungs- und Abrechnungsverbot an.
Häufige Fragen
Ist eine Paket-SMS mit Link immer Betrug?
Nicht immer, aber Paket-SMS mit Link sind ein beliebter Köder. Statt zu klicken, prüfst du eine erwartete Sendung direkt in der offiziellen App oder auf der selbst eingegebenen Webseite des Paketdienstes.
Kann die Nummer meiner Bank im Display gefälscht sein?
Das ist möglich. Call-ID-Spoofing kann die echte Rufnummer der Bank anzeigen. Eine Bank verlangt am Telefon niemals TAN, PIN oder Passwort.
Was mache ich, wenn ich eine TAN weitergegeben habe?
Informiere sofort die Bank, prüfe das Online-Banking auf fremde Buchungen und erstatte bei Schaden Anzeige. Mit einer TAN autorisierst du eine Zahlung; sie kann keine Zahlung stornieren.
Wo melde ich eine betrügerische Nummer?
Rufnummernmissbrauch, SMS-Spam und Call-ID-Spoofing kannst du kostenlos über das passende Online-Formular der Bundesnetzagentur melden. Notiere dazu Nummer, Datum, Uhrzeit und den Ablauf.