Smishing

Smishing: Phishing per SMS und Messenger

Smishing ist Phishing per Kurznachricht: Eine SMS oder Chatnachricht gibt sich als bekannte Firma oder Behörde aus und lockt mit einem Link auf eine gefälschte Seite oder zu einer schädlichen App. Das Wort verbindet laut BSI „SMS“ und „Phishing“; das österreichische Bundeskriminalamt zählt auch Angriffe über Messenger-Dienste dazu.

Der Grundtrick ist derselbe wie beim Phishing per E-Mail. Was der Kanal Handy daran ändert, darum geht es hier.

Der Zuruf im Treppenhaus

Eine SMS funktioniert wie ein Zuruf im Treppenhaus. „Dein Paket liegt unten, du musst nur noch die Gebühr zahlen“: Schon bist du halb auf dem Weg, bevor du überlegt hast, wer da eigentlich gerufen hat. Ein Brief hat einen Umschlag und einen Briefkopf, eine E-Mail wenigstens eine Absenderadresse, die sich prüfen lässt. Eine SMS hat ein paar Zeilen und einen Namen darüber, mehr nicht.

Und dieser Name kann von irgendwem stammen. Erscheint in einer verdächtigen SMS die Hausbank oder ein bekannter Postdienstleister als Absender, ist diese Anzeige laut der österreichischen Regulierungsbehörde RTR mit großer Wahrscheinlichkeit gefälscht. Im Treppenhaus würdest du dich umdrehen und nachsehen. Auf dem Display gibt es niemanden, nach dem du dich umdrehen kannst.

Dazu kommt der Moment. Kurznachrichten liest du unterwegs, an der Kasse, zwischen zwei Terminen, auf einem kleinen Bildschirm, auf dem eine lange Adresse ohnehin nicht ganz hineinpasst. Auf genau diesen schnellen Reflex setzen die Täter. Und weil die echte Paketbenachrichtigung im selben Postfach landet wie die gefälschte, wirkt die Fälschung erst einmal ganz normal.

So läuft Smishing ab

1. Der Versand. Die Nachrichten gehen massenhaft hinaus, per SMS, über Apples iMessage oder über Messenger. Mit absichtlichen Buchstabendrehern und zufälligen Zeichenfolgen versuchen die Täter laut BSI, die Spamfilter der Mobilfunkanbieter zu umgehen.
2. Der Anlass. Typisch sind ein Paket, dessen Zustellung angeblich gescheitert ist oder das eine kleine Zollgebühr kostet, eine Bank, deren TAN-Verfahren angeblich neu registriert werden muss, eine angebliche Sprachnachricht oder eine Behörde. In Österreich kursierten Ende 2025 laut RTR vermehrt Phishing-SMS mit der Absenderkennung „Austria-ID“ oder „Finanzonline“.
3. Der Link. Er führt auf eine Seite im Design des Paketdienstes oder der Bank, die Karten- oder Zugangsdaten verlangt. Oft ist er gekürzt oder enthält kuriose Zeichenfolgen, die auf dem kleinen Bildschirm kaum auffallen.
4. Die App-Falle. Auf Android-Geräten bieten manche dieser Seiten eine App zum Download an, angeblich für die Sendungsverfolgung. Im Frühjahr 2021 verbreiteten Kriminelle in Deutschland auf diesem Weg die Schadprogramme FluBot und TeaBot, die laut BSI Adressdaten ausspähten und selbst weitere Betrugs-SMS verschickten. Wer ein iPhone nutzt, landet nach Angaben des BSI in der Regel auf Werbe- oder Phishing-Seiten.
5. Der Griff nach dem Messenger-Konto. Eine Variante zielt auf das Konto selbst: Jemand bittet dich, einen Code weiterzuleiten, der gerade per SMS gekommen ist. Solche Codes dienen der Registrierung deines Kontos auf einem Gerät, deshalb rät die Polizei, sie nie weiterzugeben.

Was eine installierte Schad-App anrichten kann, beschreibt der Eintrag zu Schadsoftware.

Sonderfall Schweiz: SMS aus dem Rucksack

Im September 2025 berichtete das Schweizer Bundesamt für Cybersicherheit BACS von zahlreichen Meldungen zu SMS mit angeblichen „Parkbussen“, wie Bußgelder fürs Falschparken in der Schweiz heißen. Auffällig: Alle, die eine solche SMS bekamen, hatten sich kurz vorher im selben Gebiet der Westschweiz aufgehalten, und bei einem wechselte das Handy kurz vor dem Empfang von 4G auf 2G.

Das BACS geht von einem sogenannten SMS-Blaster aus. Das ist ein mobiles Gerät, etwa so groß wie ein PC-Gehäuse, das Kriminelle in Kofferräumen, Rucksäcken oder auf Fahrrädern verstecken. Es gibt sich als Funkzelle aus, zwingt Handys im Umkreis von 500 bis 1.000 Metern auf das veraltete 2G-Netz und schickt ihnen SMS mit frei gewähltem Absender. Wer das Gerät betreibt, braucht dafür keine Telefonnummer, und die Filter der Mobilfunkbetreiber greifen nicht, weil die Nachricht gar nicht durch deren Netz läuft.

Neuere Android-Versionen bieten laut Android-Projekt einen Schalter, mit dem sich 2G abschalten lässt. Wo er steht und wie er heißt, hängt vom Hersteller ab.

Ein Beispiel aus Kassel

Das Beispiel ist erfunden, die Bausteine stammen aus Warnungen von BSI und Verbraucherzentrale. Klaus, 71, wohnt in Kassel und wartet auf ein Paket. Am Vormittag kommt eine SMS: Das Paket sei im Verteilerzentrum angehalten worden, hier könne er die Sendung verfolgen. Er tippt auf den Link. Die Seite sieht aus wie die eines Paketdienstes und bietet eine „Tracking-App“ an. Als sein Android-Handy fragt, ob der Browser unbekannte Apps installieren darf, wird er unsicher und schickt seiner Tochter in Göttingen einen Screenshot.

Ihr Rat: nichts installieren, die Seite schließen, das Paket mit der Sendungsnummer aus der Bestellbestätigung in der offiziellen App des Paketdienstes suchen. Danach prüft sie mit ihm in den „Einstellungen“, dass der Browser keine Apps installieren darf, und meldet die SMS bei der Bundesnetzagentur. Hätte die Nachricht eine Zollgebühr verlangt, wäre die Sache noch klarer gewesen: Der Zoll verschickt Zahlungsaufforderungen nie per SMS, E-Mail oder Messenger, und verauslagte Einfuhrabgaben kassiert in der Regel der Paketdienst bei der Zustellung.

Wäre die App schon installiert, raten Fachstellen wie das BACS bei solcher Schadsoftware, das Handy auf die Werkseinstellungen zurückzusetzen. Kartendaten, die auf der Seite gelandet sind, lässt man sofort sperren.

Woran du Smishing erkennst

Irrtümer und Grenzen

„Mein Mobilfunkanbieter filtert so etwas.“ Teilweise. Die deutschen Anbieter haben laut BSI schon 2021 Filter eingerichtet, die aber keinen vollständigen Schutz bieten, weil die Täter ständig gegensteuern. Ein SMS-Blaster umgeht sie ganz.

„Auf dem iPhone kann nichts passieren.“ Die App-Falle betrifft vor allem Android. Die Phishing-Seite funktioniert auf jedem Gerät gleich: Was du dort eintippst, ist weg.

„Der Hallo-Mama-Trick ist auch Smishing.“ Nur zum Teil. Er kommt per SMS oder Messenger, will aber keine Zugangsdaten, sondern direkt eine Überweisung. Die Polizei führt ihn als Messenger-Betrug, die Bundesnetzagentur als Spielart des Enkeltricks. Die Abwehr ist trotzdem dieselbe: über einen zweiten, bekannten Weg nachfragen.

Eine Grenze nennt die RTR offen: Die Absender lassen sich meist nicht verfolgen, weil die Kennung gefälscht ist und große internationale Netzwerke dahinterstehen. Meldungen lohnen sich trotzdem, denn je mehr eingehen, desto schneller erkennen die Stellen neue Wellen und warnen alle anderen.

Wo du Smishing meldest

Stand: November 2026.

Was du jetzt tun kannst

1. Tippe in unerwarteten Kurznachrichten keine Links an. Sendungen, Bankmitteilungen und Behördenpost prüfst du in der offiziellen App oder auf der Webseite, die du selbst aufrufst.
2. Prüfe auf Android-Geräten in den „Einstellungen“, welche Apps andere Apps installieren dürfen. Die Option heißt je nach Gerät „Unbekannte Apps installieren“ oder „Apps aus unbekannten Quellen“; das BSI rät, die Installation aus unbekannten Quellen abzuschalten.
3. Schalte in WhatsApp die „Verifizierung in zwei Schritten“ ein und gib Bestätigungscodes nie weiter. Die Polizei rät außerdem, das Profilbild nur für „Meine Kontakte“ sichtbar zu machen; laut ihrer Anleitung geht das unter „Einstellungen“ › „Datenschutz“ › „Profilbild“. So sehen Fremde nicht, wer hinter deiner Nummer steckt.
4. Vereinbare in der Familie eine einfache Regel: Wer per Nachricht um Geld bittet, wird unter der alten, bekannten Nummer zurückgerufen, bevor jemand eine neue Nummer speichert oder überweist.
5. Melde verdächtige Nachrichten bei der Stelle deines Landes, sperre dann den Absender und lösche die Nachricht.

Verwandte Begriffe

Den Grundmechanismus erklärt der Eintrag Phishing per E-Mail und Webseite. Kommt statt eines Links ein Code zum Scannen, geht es um Quishing mit gefälschten QR-Codes. Warum angebliche Angehörige so leicht Vertrauen gewinnen, zeigt Social Engineering und seine Tricks.