Was ist Smishing? Betrug-SMS einfach erklärt (mit Beispielen)

Stellen Sie sich vor, Ihr Handy vibriert und Sie erhalten eine Kurznachricht Ihrer Bank: „Ungewöhnliche Kontobewegung festgestellt. Verifizieren Sie sich jetzt, sonst wird Ihr Zugang gesperrt.“ Das Problem: Egal, was der Absender behauptet – die SMS stammt nicht von Ihrer Bank.

Solche Fake-Textnachrichten – auch als „Smishing“ bekannt – zielen darauf ab, sensible Nutzerdaten abzugreifen oder Schadsoftware auf Ihrem Gerät zu installieren. In diesem Artikel erfahren Sie, was Smishing ist, wie die Betrugsmasche funktioniert und wie Sie sich schützen.

Smishing ist eine Betrugsmethode per Textnachricht. Dabei geben sich Kriminelle als bekannte Personen, Institutionen oder Unternehmen aus und versuchen, Sie zu einer schnellen Handlung zu drängen. Der Begriff setzt sich aus „SMS“ und „Phishing“ (wiederum ein Kunstwort aus „Password“ und „Fishing“) zusammen.

In den meisten Fällen sollen Sie einen Link anklicken, um persönliche Daten auf einer gefälschten Website einzugeben oder eine App herunterzuladen. Ziel ist es, sensible Informationen zu stehlen oder Schadsoftware auf Ihrem Gerät zu installieren.

Um sich als offizieller Kontakt auszugeben, verwenden Betrüger das sogenannte SMS-Spoofing. Beim Spoofing (vom englischen „to spoof“ für „vortäuschen“ oder „manipulieren“) wird der Absendername manipuliert, sodass auf dem Display statt einer unbekannten Nummer ein vertrauenswürdiger Name wie „BankInfo“ oder „DHL“ erscheint.

Typische Smishing-SMS enthalten eine kurze Warnung oder Information, kombiniert mit einem Link. Die Formulierungen sind bewusst so gewählt, dass sie Zeitdruck erzeugen und Sie dazu bringen, ohne langes Nachdenken auf den Link zu klicken.

Phishing ist der Oberbegriff für Betrugsversuche, bei denen Passwörter, PINs/TANs oder andere sensible Daten abgegriffen werden sollen. Der Unterschied zwischen den Varianten steckt bereits im Namen: Smishing erfolgt per SMS, E-Mail-Phishing über E-Mails und Vishing über Telefon oder Sprachnachrichten („Voice“).

Die Methoden unterscheiden sich vor allem in der Ansprache: Smishing arbeitet mit kurzen Nachrichten, die gezielt Zeitdruck erzeugen. E-Mail-Phishing setzt auf ausführlich gestaltete Fake-Mails und täuschend echte Websites. Beim Vishing versuchen Betrüger, über die Stimme Vertrauen aufzubauen oder gezielt Emotionen auszulösen, um ihr Opfer zu einer Handlung zu bewegen.

Es gibt verschiedene Arten von Smishing-Angriffen. Hier sind die häufigsten Maschen – und konkrete Beispiele, die Ihnen helfen, sie zu identifizieren:

Die bekannteste Smishing-Attacke ist die Fake-Paketdienst-SMS. Betrüger geben sich als DHL, Hermes, Deutsche Post, Amazon oder einen anderen Versanddienstleister aus und versenden falsche Sendungsbenachrichtigungen.

Hier sind ein paar Beispiele falscher Paketdienst-SMS*:

Bei dieser Art des Smishing versenden Betrüger Nachrichten im Namen Ihrer Bank oder eines Zahlungsdienstleisters wie PayPal, Klarna etc. Sie werden aufgefordert, einen Link zu öffnen und sich zu „verifizieren“, Ihre Zugangsdaten einzugeben oder eine angebliche „Sicherheits-App“ herunterzuladen.

Betrüger versenden falsche Gewinnbenachrichtigungen per SMS, obwohl Sie an keinem Gewinnspiel teilgenommen haben. Auch hier werden häufig bekannte Markennamen wie Lotto, Media Markt oder Amazon verwendet.

Smishing-SMS von falschen Inkassounternehmen oder Anwaltskanzleien drohen mit Schufa-Einträgen, Gerichtsvollziehern oder Strafanzeigen und fordern Empfänger umgehend zur Zahlung auf. Der Link in diesen SMS führt zu gefälschten Zahlungsseiten oder Schadsoftware.

Beim Behörden-Smishing geben sich die Betrüger als staatliche Stelle oder offizielle Behörde der Bundesregierung Deutschland aus und drängen den Empfänger zur Handlung.

Eine weitere, gängige Masche sind unseriöse Jobangebote per SMS, die häufig Jobs in Heimarbeit versprechen. Die Betrüger geben sich als Mitarbeitende von Jobplattformen wie Indeed oder Stepstone aus. Interessenten sollen weitere Informationen über einen Link oder über einen Messenger wie WhatsApp oder Telegram erfragen.

Beim Enkeltrick-Smishing gibt sich der Betrüger als naher Angehöriger aus, der sich in einer angeblichen Notsituation befindet und Geld braucht.

In ähnlicher Form schreiben Betrüger beim Fake-Kontakt-Smishing tausende Empfänger an und versuchen, einen persönlichen Kontakt herzustellen.

Hier ist ein Beispiel, wie eine solche SMS aussehen kann:

Da Smishing-Angriffe oft Druck durch Dringlichkeit aufbauen (z. B. eine vermeintliche Paketbenachrichtigung oder eine drohende Kontosperrung), ist Besonnenheit der wichtigste Schutzfaktor. Es gilt: Bloß nicht in Panik geraten.

Hier sind ein paar allgemeine Tipps, die Ihnen helfen, typische Smishing-Versuche frühzeitig zu erkennen und sich wirksam davor zu schützen:

Die gute Nachricht: Viele Smishing-Nachrichten sind relativ leicht zu erkennen, wie Sie vielleicht schon an den oben genannten Beispielen gesehen haben. Das ist allerdings nicht immer der Fall – und durch den Einsatz von KI könnten Betrugsversuche künftig noch überzeugender wirken.

Grundsätzlich gibt es aber einige typische Merkmale, auf die Sie achten können:

Sowohl Android als auch iOS verfügen über integrierte Warn- und Schutzmechanismen gegen Smishing und schädliche Websites.

Android bietet bereits auf Systemebene mehrere Schutzmechanismen, die verdächtige Nachrichten erkennen und potenzielle Risiken frühzeitig abfangen:

Auch iOS bietet integrierte Sicherheitsfunktionen, die Nutzer vor betrügerischen Nachrichten und gefährlichen Inhalten schützen:

Neben den integrierten Schutzfunktionen können Sie natürlich auch zusätzliche Sicherheits-Apps einsetzen. Lösungen wie Malwarebytes können dabei helfen, Geräte proaktiv vor Malware, betrügerischen Websites und Smishing-Angriffen zu schützen.

Sie haben einen verdächtigen Link geöffnet oder sensible Daten eingegeben und vermuten einen Betrugsversuch? Dann sollten Sie schnell handeln. Hier sind die wichtigsten Sofortmaßnahmen:

Smishing ist gefährlich, weil Betrüger gezielt mit psychologischem Druck arbeiten: Die Fake-Nachrichten sind kurz, wirken dringend und fordern dazu auf, sofort zu handeln. Durch SMS-Spoofing sehen diese betrügerischen Nachrichten auf den ersten Blick oft seriös aus – bei genauerer Prüfung fallen jedoch häufig Unstimmigkeiten auf.

Auf dem Smartphone ist das Risiko zusätzlich höher als am PC: Viele lesen SMS nur nebenbei, tippen schneller auf Links und können Absendernamen, Nummern oder URLs auf dem kleinen Display schlechter prüfen. Wer die typischen Tricks kennt, keine Links aus unerwarteten Nachrichten öffnet und immer nur offizielle Kontaktwege (App, Website, Hotline) nutzt, kann das Risiko deutlich senken.