Es gibt reichlich Literatur darüber, wie man eine betrügerische SMS erkennt: Rechtschreibfehler, verkürzte Links, alarmistischer Ton, unbekannte Nummer. Doch kaum jemand erklärt, was zu tun ist, wenn der Finger bereits auf den Link gerutscht ist. Genau dann aber entscheidet sich alles. Zwischen dem Klick und der tatsächlichen Verwertung der Daten durch die Betrüger vergehen oft einige Stunden, manchmal einige Tage. Dieses Zeitfenster ist Ihr Handlungsspielraum.
Dieser Leitfaden ist kein theoretischer Kurs. Er ist ein Notfallprotokoll, gedacht zum Abarbeiten in der vorgegebenen Reihenfolge, mit einem einfachen Ziel: den Schaden begrenzen und dann die Kontrolle zurückgewinnen. Er richtet sich an alle – auch an jene, die wenige Minuten zuvor noch überzeugt waren, „so etwas passiert nur den anderen". Im Jahr 2026 sind die Smishing-Kampagnen, die sich als Krankenkasse, Lieferdienst, Finanzverwaltung oder sogar als Zentralbank ausgeben, grafisch so hochwertig, dass gesundes Misstrauen allein nicht mehr immer ausreicht.
Zuerst: einschätzen, was Sie tatsächlich getan haben
Nicht jeder Klick ist gleich. Bevor Sie in Panik geraten, nehmen Sie sich dreißig Sekunden, um Ihren Fall einzuordnen. Der Schweregrad bestimmt den Umfang der Reaktion.
| Was Sie getan haben | Risikostufe | Wichtigste Reaktion |
|---|---|---|
| SMS geöffnet, ohne zu klicken | Sehr gering | Löschen, an die Spam-Meldestelle weiterleiten |
| Auf den Link geklickt, Seite geöffnet und wieder geschlossen | Gering bis mittel | Gerät prüfen, kritische Passwörter ändern |
| Benutzername und Passwort eingegeben | Hoch | Passwörter sofort ändern, betroffenen Dienst alarmieren |
| Bankdaten oder einen per SMS erhaltenen Code eingegeben | Kritisch | Sofortige Kartensperrung, Strafanzeige |
| Eine App über den Link installiert | Kritisch | Gerät isolieren, App deinstallieren, ggf. zurücksetzen |
Ein Punkt sollte klargestellt werden, denn er sorgt für viel unnötige Angst: Auf einem aktuellen Smartphone installiert das bloße Öffnen einer manipulierten Webseite nicht auf magische Weise einen Virus. Sogenannte „Zero-Click"-Angriffe existieren, sind aber selten, teuer und hochwertigen Zielen vorbehalten. In der überwältigenden Mehrheit der Smishing-Fälle im Alltag geht die Gefahr von dem aus, was Sie auf der Seite eingetippt haben, nicht vom dort hinterlegten Code. Das ist eine gute Nachricht: Wenn Sie nichts eingegeben und nichts installiert haben, sind Sie höchstwahrscheinlich unversehrt.
Die ersten zehn Minuten: trennen und isolieren
1. Verbindung kappen, wenn Sie etwas installiert haben
Wenn der Link Sie eine .apk-Datei auf Android herunterladen ließ oder Sie auf dem iPhone ein „Konfigurationsprofil" zugelassen haben, aktivieren Sie sofort den Flugmodus. Damit unterbrechen Sie den Kommunikationskanal zwischen der Schadsoftware und dem Server der Angreifer. Viele dieser Apps sind darauf ausgelegt, eingehende SMS – also auch Bank-Bestätigungscodes – abzufangen und in Echtzeit weiterzuleiten.
2. Geben Sie vorerst nichts mehr auf diesem Gerät ein
Solange Sie den Zustand des Telefons nicht überprüft haben, tippen Sie darauf keine Passwörter ein. Nutzen Sie ein anderes Gerät: den Familiencomputer, das Tablet, das Telefon einer nahestehenden Person. Genau jetzt zeigt sich der Nutzen eines Ersatz-Laptops oder eines einfach bedienbaren Tablets, das zu Hause für Behördengänge bereitliegt: ein zweites, sauberes Endgerät zur Verfügung zu haben, verändert in solchen Situationen alles.
3. Alles sofort dokumentieren
Screenshot der SMS (inklusive Absendernummer), Eingangszeit, Adresse des Links, Uhrzeit des Klicks, Inhalt dessen, was Sie eingegeben haben. Diese Angaben werden bei der Meldung und gegebenenfalls bei der Strafanzeige verlangt. Ein einfacher Notizblock mit Spiralbindung neben dem Telefon macht diesen Schritt angenehmer, als in der Eile erst eine Datei anlegen zu müssen.
Die folgende Stunde: Zugänge absichern
4. Passwörter ändern – aber in der richtigen Reihenfolge
Der klassische Fehler besteht darin, zuerst das Passwort des nachgeahmten Dienstes zu ändern. Das hat keine Priorität. Beginnen Sie mit der Haupt-E-Mail-Adresse: Sie ist der Schlussstein, über den sich alle anderen Konten zurücksetzen lassen. Erst danach kümmern Sie sich um den Rest, geordnet nach Sensibilität.
- Haupt-E-Mail-Postfach
- Bankkonto und Bezahl-Apps
- Kundenkonto beim Mobilfunkanbieter (oft vergessen und doch zentral)
- Behördenkonten: Finanzamt, Krankenkasse, digitale Identitätsdienste
- Soziale Netzwerke und Online-Shops
Jedes Passwort muss einzigartig sein. Wenn Sie überall dieselbe Kombination verwenden, wird aus der Kompromittierung eines einzigen Dienstes die Kompromittierung Ihres gesamten digitalen Lebens. Genau das testen Angreifer zuerst, über das sogenannte „Credential Stuffing". Ein Passwortmanager – oder ersatzweise ein Passwortbüchlein auf Papier, außer Sichtweite verwahrt – ist unendlich viel besser als eine Abwandlung der Vornamen Ihrer Kinder.
5. Zwei-Faktor-Authentifizierung und offene Sitzungen prüfen
Suchen Sie in den Sicherheitseinstellungen Ihrer wichtigsten Konten den Bereich „verbundene Geräte" oder „aktive Sitzungen". Melden Sie alles ab, was Sie nicht wiedererkennen. Prüfen Sie außerdem, ob Telefonnummer und Wiederherstellungs-E-Mail-Adresse unverändert sind: Das ist das Erste, was ein Angreifer ändert, um das Opfer aus dem eigenen Konto auszusperren.
Nutzen Sie die Gelegenheit, um die Zwei-Faktor-Authentifizierung zu verstärken. Wenn Ihre sensiblen Konten noch ausschließlich auf einem per SMS versandten Code beruhen, ziehen Sie eine Authenticator-App in Betracht oder sogar einen physischen USB-Sicherheitsschlüssel für das Haupt-Postfach: Er ist heute der einzige Faktor, der Phishing wirklich standhält, denn er prüft die Adresse der Website, bevor er überhaupt etwas herausgibt.
Wenn Ihre Bankdaten abgeflossen sind
Das ist das belastendste Szenario – und dasjenige, bei dem Schnelligkeit am meisten zählt.
6. Karte unverzüglich sperren lassen
Rufen Sie sofort die Notfallnummer Ihrer Bank an; sie steht auf der Rückseite Ihrer Karte und in Ihrer Banking-App. Ersatzweise ermöglicht der rund um die Uhr erreichbare zentrale Kartensperr-Notruf, die Karte bei sämtlichen Instituten sperren zu lassen. Verlangen Sie ausdrücklich:
- die Sperrung der betroffenen Karte;
- eine verschärfte Überwachung des Kontos;
- die vorübergehende Deaktivierung von Online-Zahlungen;
- die Überprüfung, dass kein neuer Überweisungsempfänger hinzugefügt wurde.
Der letzte Punkt ist entscheidend. Bei aktuellen Betrugsformen nutzt der Täter nicht immer die Karte: Er legt einen Empfänger an und stößt eine Überweisung an, um Sie anschließend anzurufen und den Bestätigungscode unter dem Vorwand bestätigen zu lassen, Ihr Konto zu „sichern". Notenbanken, deren Identität von diesen Netzwerken regelmäßig missbraucht wird, betonen: Keine offizielle Stelle wird Sie jemals auffordern, einen Code zu bestätigen, ein Passwort mitzuteilen oder Ihr Geld auf ein „sicheres Konto" zu überweisen.
Ein seriöser Bankberater wird Sie niemals bitten, ihm einen per SMS erhaltenen Code zu diktieren. Tut er es doch, ist er kein Bankberater.
7. Kennen Sie Ihre Rechte bei der Erstattung
Das Zahlungsrecht sieht vor, dass die Bank nicht autorisierte Zahlungsvorgänge erstatten muss, es sei denn, sie weist Ihnen grobe Fahrlässigkeit nach. Die Grenze ist zuweilen umstritten, doch der Umstand, von einer perfekt nachgebauten Bank-Website oder von einem Anruf mit gefälschter Rufnummer getäuscht worden zu sein, spricht zu Ihren Gunsten. Widersprechen Sie schriftlich und per Einschreiben und bewahren Sie eine Kopie Ihrer Strafanzeige auf. Im Fall einer Ablehnung können der Bankenombudsmann und anschließend die Finanzaufsicht eingeschaltet werden.
Die Meldung: nützlich, kostenlos und viel zu selten genutzt
8. Leiten Sie die SMS an die Spam-Meldestelle weiter
Die zentrale Kurzwahl 33700 ist in Frankreich die offizielle Meldeplattform für unerwünschte SMS und Anrufe, betrieben von den Telekommunikationsanbietern unter behördlicher Aufsicht. Das Vorgehen umfasst zwei Schritte: Leiten Sie die erhaltene Nachricht an 33700 weiter und antworten Sie anschließend auf die Bestätigungs-SMS mit der Nummer des betrügerischen Absenders. Das ist kostenlos und speist eine Datenbank, mit deren Hilfe die Absendernummern abgeschaltet werden können.
9. Melden Sie die Website bei den offiziellen Stellen
- Cybermalveillance.gouv.fr: Online-Diagnose, Vermittlung an Dienstleister, ausführliche Handlungsempfehlungen.
- Phishing Initiative / Signal Spam: um die Adresse der gefälschten Website in den Browsern auf die Sperrliste setzen zu lassen.
- Internet-signalement.gouv.fr (PHAROS): Meldung rechtswidriger Inhalte.
- Strafanzeige: bei der Polizei, der Gendarmerie oder online über das Verfahren zur Online-Anzeige bei Betrug. Das Aktenzeichen wird Ihre Bank von Ihnen verlangen.
Wenn Sie vollständige Identitätsdaten eingegeben haben (Name, Adresse, Sozialversicherungsnummer, Kopie des Ausweises), melden Sie auch das: Identitätsdiebstahl wird aus genau diesen Bausteinen aufgebaut, oft erst Monate später.
10. Informieren Sie Ihr Umfeld
Wenn Ihr E-Mail- oder Messenger-Konto kompromittiert wurde, erhalten Ihre Kontakte ihrerseits manipulierte Nachrichten – mit dem Vertrauensvorschuss, den Ihr Name verleiht. Eine kurze Warnung an die Familie verhindert eine Kettenreaktion. Das gilt besonders für ältere Angehörige, die statistisch häufiger ins Visier geraten und schlechter gerüstet sind.
Das Gerät säubern: was hilft und was nicht
Wenn Sie über den Link eine App installiert haben, reicht einfaches Deinstallieren nicht immer aus. Prüfen Sie unter Android zuerst in den Bedienungshilfen und unter „Apps mit Spezialzugriff", dass keine unbekannte App über erweiterte Rechte verfügt: Das ist der bevorzugte Mechanismus von Banking-Trojanern, um den Bildschirm auszulesen und SMS abzufangen. Entziehen Sie diese Berechtigungen vor dem Deinstallieren, sonst wird das Entfernen blockiert.
Starten Sie anschließend im abgesicherten Modus neu, um die hartnäckige App zu entfernen. Bei anhaltendem Zweifel bleibt das Zurücksetzen auf Werkseinstellungen die einzige wirkliche Garantie – daher die Bedeutung eines aktuellen Backups. Eine externe Festplatte oder eine microSD-Karte als Sicherung, einmal im Monat aktualisiert, macht aus einem Not-Reset eine reine Formsache.
Gehen Sie auf dem iPhone zu Einstellungen → Allgemein → VPN & Geräteverwaltung und löschen Sie jedes Konfigurationsprofil, das Sie nicht selbst installiert haben. Prüfen Sie ebenso die Abonnements und die hinterlegten Zahlungsmittel.
Spielen Sie in jedem Fall ausstehende Systemupdates ein. Die Mehrzahl der Schadprogramme nutzt Sicherheitslücken aus, die seit Monaten geschlossen sind: aktuell zu bleiben ist nach wie vor der lohnendste Schutz überhaupt.
Die folgenden Wochen: die lange Wachsamkeit
Ein SMS-Betrug ist nicht an einem Nachmittag erledigt. Gestohlene Daten zirkulieren, werden weiterverkauft und tauchen Monate später wieder auf.
Prüfen Sie Ihre Kontoauszüge Zeile für Zeile, einschließlich Mikroabbuchungen von wenigen Cent: Das sind Gültigkeitstests der Karte vor einer größeren Transaktion.
Rechnen Sie mit einer Zunahme von Anrufen und SMS. Wer einmal „angebissen" hat, wird als empfängliches Ziel erfasst und als solches weiterverkauft. Der erneute Kontakt der Betrüger erfolgt oft im Deckmantel einer „Betrugsbekämpfungsstelle", die anbietet, die verlorenen Beträge zurückzuholen – das ist ein zweiter Betrug, der sogenannte „Rückgewinnungsbetrug".
Kontrollieren Sie Ihre Behördenkonten. Ein unbefugter Zugriff auf Krankenkassen-, Finanzamts- oder Sozialleistungskonten erlaubt es, Erstattungen umzuleiten, indem einfach eine Bankverbindung geändert wird. Die Krankenversicherungen veröffentlichen regelmäßig Warnungen zu solchen Kampagnen und betonen, dass sie niemals Bankdaten per SMS abfragen.
Dokumentieren Sie alles in einer einzigen Akte. Schreiben, Screenshots, Aktenzeichen, Anrufdaten. Wenn es zu einem Streit mit der Bank oder einer Behörde kommt, macht diese Nachvollziehbarkeit den Unterschied.
Die Angriffsfläche für das nächste Mal verkleinern
Es wird keine endgültige Impfung gegen Smishing geben: Solange Massenversand nur wenige Cent kostet, werden die Kampagnen weitergehen. Die eigene Angriffsfläche lässt sich jedoch verkleinern.
- Trennen Sie Ihre Nutzungsbereiche. Eine E-Mail-Adresse für Einkäufe und Anmeldungen, eine andere ausschließlich für Bank und Behörden. Wenn die erste eines Tages durchsickert, bleibt die zweite unangetastet.
- Verbreiten Sie Ihre Nummer sparsam. Jedes ausgefüllte Formular ist ein potenzielles Einfallstor in weiterverkaufte Datenbanken.
- Sichern Sie die SIM-Karte. Eine nicht triviale SIM-PIN erschwert den Diebstahl der Rufnummer und damit das Abfangen von Bestätigungscodes.
- Schulen Sie Ihr Umfeld. Ein gutes allgemein verständliches Buch über Cybersicherheit für zu Hause, auf dem Wohnzimmertisch liegen gelassen, bewirkt oft mehr als eine lange Rede.
- Rufen Sie niemals eine in einer Nachricht angegebene Nummer zurück. Suchen Sie die offizielle Nummer der Organisation selbst heraus.
Das Wichtigste in Kürze
Auf einen betrügerischen Link zu klicken, ist weder ein moralisches Versagen noch ein Beweis von Naivität. Diese Nachrichten werden von Profis entworfen, die ihre Formulierungen testen, messen und optimieren wie eine Werbekampagne. Das anschließende Schamgefühl ist im Übrigen der größte Feind der Opfer: Es verzögert die Meldung, die Kartensperre, die Anzeige – also all das, was den Schaden hätte begrenzen können.
Die richtige Denkweise besteht aus drei Schritten: trennen, was noch kommunizieren kann, die Zugänge nach Wichtigkeit absichern, und melden, um sich rechtlich abzusichern und andere zu schützen. Der Rest ist eine Frage von Geduld und Aufmerksamkeit.
Und für die Zukunft verdient ein einfacher Grundsatz einen sichtbaren Platz irgendwo im Haus: Keine seriöse Organisation – Bank, Behörde, Mobilfunkanbieter, Paketdienst – wird Sie jemals per SMS auffordern, dringend einen Code, ein Passwort oder eine Bankverbindung zu bestätigen. An dem Tag, an dem eine Nachricht Sie unter Druck setzt, in weniger als vierundzwanzig Stunden zu handeln, ist genau das der Moment, überhaupt nichts zu tun, das Telefon wegzulegen und die echte Nummer anzurufen.
