Fake-SMS erkennen und richtig reagieren: Das raten Experten

Eine SMS Ihrer Bank, ein Hinweis zu einer Steuerrückzahlung, eine neue Sprachnachricht auf der Mailbox: Solche Nachrichten wirken alltäglich und können trotzdem eine Falle sein. Dieser Artikel fasst zusammen, was die Verbraucherzentrale zu Fake-SMS rät. Zusätzlich haben wir die Seite der Bundesnetzagentur zu unerlaubter Telefonwerbung gelesen und halten fest, was sie für SMS hergibt.

Was hinter Fake-SMS steckt

Die Verbraucherzentrale nennt diese Betrugsform Smishing, ein Wort aus SMS und Phishing. Die Ziele der Kriminellen: Zugangsdaten zu Online-Konten abfischen, Menschen zum Installieren gefährlicher Apps bewegen oder schlicht personenbezogene Daten sammeln. Weil die meisten Menschen ein Smartphone besitzen und über Links aus einer SMS direkt eine Internetseite öffnen können, nutzen die Täter diesen Weg.

Typische Maschen

Die Verbraucherzentrale beschreibt unter anderem diese Fälle:

• Angebliche Bank-SMS: Es geht um Neuerungen oder Probleme beim Online-Banking. Die angezeigten Internetadressen wirken teilweise, als gehörten sie wirklich zur genannten Bank. Dass der Name der Bank in der Adresse vorkommt, bedeutet aber nicht, dass die Seite echt ist.
• Steuern und Gerichtsvollzieher: SMS über eine angebliche Steuerrückzahlung sollen auf dubiose Seiten locken. Die Verbraucherzentrale hält fest: Das Finanzamt verschickt keine SMS zu Steuerbescheiden. Auch falsche Drohungen mit dem Besuch eines Gerichtsvollziehers oder einem angeblichen Pfändungsbeschluss waren im Umlauf. Rufen Sie die genannte Nummer nicht an.
• Neue Voicemail: Die SMS ist knapp, etwa „Neue Voicemail“ oder „Sie haben einen verpassten Anruf“, gefolgt von einem Link. Er führt nicht zur Mailbox, sondern soll zur Installation einer App bewegen. Eine solche App könnte laut Verbraucherzentrale Daten des Smartphones kopieren, unbemerkt massenhaft SMS über Ihre Nummer verschicken oder anderen Schaden anrichten.
• Drittanbietersperre und Rufnummer: Gefälschte Nachrichten geben vor, vom Mobilfunkanbieter zu stammen. Mal soll die Rufnummer deaktiviert werden, mal geht es um einen angeblichen Kauf im Play Store und die Drittanbietersperre.

Die Seite zur Voicemail ist mit dem Stand 7. März 2024 datiert, die Seite zu Bank und Steuer mit dem Stand 13. Oktober 2026. Die Grundregeln sind in beiden Texten gleich.

Was Sie nicht tun sollten

• Tippen Sie keinen Link an, rufen Sie keine Telefonnummer aus der Nachricht an.
• Erlauben Sie keine Installation einer neuen App.
• Haben Sie den Link angetippt, geben Sie auf der geöffneten Seite keine Zugangsdaten und keine anderen Daten ein.
• Antworten Sie nicht auf die SMS. Jede Reaktion zeigt, dass die Handynummer aktiv genutzt wird.

Wie Sie stattdessen prüfen

Die Verbraucherzentrale rät: Atmen Sie durch, denn die Kriminellen bauen auf Schreck und hektische Handlungen. Öffnen Sie Ihre Banking-App oder die Internetseite Ihres Online-Bankings und sehen Sie nach, ob die Behauptung stimmen kann. Rufen Sie Ihre Bank nur unter den Telefonnummern an, die im Online-Banking als Kontaktmöglichkeiten stehen.

Bei Nachrichten, die angeblich vom Mobilfunkanbieter stammen, rufen Sie den Anbieter über die Service-Hotline an. Die finden Sie zum Beispiel auf einer Rechnung. Bei vermeintlichen Mailbox-Hinweisen rufen Sie Ihre Mailbox mit der normalen Nummer an, die meist schon im Smartphone gespeichert ist. Haben Sie eine App des genannten Unternehmens, schauen Sie dort nach: Eine echte Nachricht sollte dort ebenfalls auftauchen.

Vorbeugen

Die Verbraucherzentrale nennt mehrere Schutzmaßnahmen:

• In vielen Nachrichten-Apps lässt sich einstellen, dass nur SMS von gespeicherten Kontakten ankommen. Dann müssen Sie aber Nummern für Service-Angebote wie Terminerinnerungen speichern, um solche Nachrichten weiter zu erhalten.
• Manche Smartphones und Sicherheits-Apps bieten Spam-Filter, die die Zahl solcher SMS verringern können.
• Geben Sie Ihre Handynummer nur an, wenn es zwingend nötig ist.
• Wenn nichts mehr hilft, kann ein Wechsel der Rufnummer eine Überlegung wert sein.
• Halten Sie Betriebssystem, Apps und Virenschutz durch Updates aktuell.
• Aktivieren Sie bei Ihrem Mobilfunkanbieter eine Drittanbietersperre, sofern nicht bereits eingerichtet.
• Auf Android-Geräten können Sie die Installation von Apps aus unbekannten Quellen in den Einstellungen verbieten. Suchen Sie dort nach „unbekannt“ und dem Eintrag „Unbekannte Apps installieren“. Bei iPhones sind laut Verbraucherzentrale nur Installationen aus dem App-Store und aus anderen Stores mit vorab geprüften Apps möglich, es sei denn, das Gerät wurde bewusst manipuliert.

Wenn Sie den Link schon geöffnet haben

Die Verbraucherzentrale beschreibt diese Schritte:

1. Schalten Sie das Smartphone in den Flugmodus, damit eine schädliche App keine weiteren Daten über das Internet senden kann.
2. Sammeln Sie Beweise, zum Beispiel durch Bildschirmfotos, und erstatten Sie Anzeige bei der Polizei. Sie können auch mit dem Gerät zur nächsten Polizeiwache gehen, damit dort Beweise gesichert werden.
3. Um eine schädliche App zu deinstallieren, starten Sie das Smartphone im abgesicherten Modus neu und suchen nach kürzlich installierten, unbekannten Apps. Im schlimmsten Fall hilft nur das Zurücksetzen in den Auslieferungszustand. Bei Hilfebedarf nennt die Seite das Bundesamt für Sicherheit in der Informationstechnik (BSI).
4. Informieren Sie Ihren Mobilfunkanbieter und lassen Sie sich einen Kostennachweis über möglicherweise verschickte SMS erstellen. Besteht der Anbieter trotz Strafanzeige und Darlegung der Schadsoftware auf Zahlung, informieren Sie die Bundesnetzagentur.

Wurde Geld von Ihrem Konto abgebucht, rufen Sie unbedingt bei Ihrer Bank an. Sagen Sie, dass Sie die Abbuchungen nicht veranlasst haben, und fordern Sie die Gutschrift. Sind Kosten entstanden, könnte eine Hausratversicherung aufkommen, wenn der Vertrag Schutz vor Phishing enthält. Das steht in den Bedingungen.

Was die Bundesnetzagentur dazu sagt

Die verlinkte Seite der Bundesnetzagentur behandelt unerlaubte Werbeanrufe, nicht SMS. Zu unerwünschter Werbung per SMS oder zu Beschwerden darüber macht sie keine Angaben, deshalb geben wir dazu nichts wieder. Zu Anrufen, bei denen Täter zum Beispiel an Passwörter oder Kontodaten gelangen wollen, schreibt sie: Die Aufklärung solcher Taten ist Aufgabe von Polizei und Staatsanwaltschaft. Die Bundesnetzagentur nimmt keine Strafanzeigen entgegen. Das betrifft Telefonate. Ob die gleiche Aufteilung für Betrugs-SMS gilt, sagt die Seite nicht. Die Verbraucherzentrale rät bei SMS zur Anzeige bei der Polizei.

Wenn Sie wissen möchten, was über Sie öffentlich im Netz sichtbar ist, bietet Remove Me eine kostenlose Analyse ohne Konto. Sie durchsucht öffentlich sichtbare Webergebnisse, bekannte Datenlecks (Have I Been Pwned) und ein Register von Datenhändlern. Den Bericht schalten Sie mit einem sechsstelligen Code frei, der per E-Mail kommt. Löschanfragen versendet Remove Me bisher nicht für Sie.