Den Reflex kennt jeder: Eine verdächtige SMS trifft ein, man leitet sie an die 33700 weiter, löscht sie und macht weiter. Diese Geste ist nützlich – doch sie lässt eine Frage offen, die nie jemand stellt: Und dann? Wohin geht diese Meldung? Wer liest sie? Führt sie zu etwas Konkretem, oder verschwindet sie in einem Fass ohne Boden?
In diesem Artikel geht es nicht darum, eine Betrugs-SMS zu erkennen – dieses Thema ist längst hinreichend behandelt. Es geht um das, was danach kommt: die französische Verwaltungsarchitektur des Meldewesens, die Anlaufstellen, die tatsächlich existieren, was sie leisten, und vor allem um den Teil, den Betroffene zu spät entdecken – das Erstattungsverfahren der Bank, seine gesetzlichen Fristen und die Rechtsmittel, wenn das Institut sich sträubt. Denn nach französischem Recht verfügt ein Opfer von Zahlungsbetrug über weit mehr Hebel, als es ahnt.
Die 33700: Was aus Ihrer Weiterleitung wirklich wird
Die 33700 ist ein Dienst der französischen Netzbetreiber (Orange, SFR, Bouygues Telecom, Free) unter der Schirmherrschaft der Fédération française des télécoms und mit Unterstützung der öffentlichen Hand. Sie ist kostenlos, auch bei Prepaid- oder gedeckelten Tarifen.
Das offizielle Verfahren besteht aus zwei Schritten – und der zweite wird häufig vergessen:
- Die verdächtige SMS an die 33700 weiterleiten.
- Die automatische Antwort-SMS abwarten und anschließend die Nummer des Absenders zurücksenden (jene, die als Absender der betrügerischen Nachricht erschien).
Ohne diesen zweiten Schritt ist die Meldung weitgehend unbrauchbar: Die Plattform erhält einen Text, aber keine Quelle. Das ist der häufigste Fehler – und er erklärt einen Teil des Gefühls der Nutzlosigkeit, das viele Nutzer empfinden.
Sobald das Paar aus Nachricht und Nummer vorliegt, werden die Daten zusammengeführt. Die Betreiber können dann:
- die absendende Leitung abschalten, sofern sie zum französischen Netz gehört;
- Nachrichten mit bestimmten identifizierten URLs bereits auf Netzebene blockieren;
- die Informationen im Rahmen von Ermittlungen an die Justizbehörden weitergeben.
Die 33700 ist ein Instrument der kollektiven Verteidigung, nicht der individuellen Wiedergutmachung. Sie schützt die nächsten Empfänger, nicht Sie. Genau deshalb ersetzt sie niemals die übrigen Schritte.
Ein Wort zur technischen Realität: Ein wachsender Teil der seit 2025 von Teams wie Unit 42 von Palo Alto Networks beobachteten Smishing-Kampagnen verwendet überhaupt keine französischen SIM-Karten mehr. Der Versand läuft über internationale Gateways, rotierende virtuelle Nummern oder mobile Sendetechnik, die im Auto transportiert wird. Eine Leitung abzuschalten gleicht dann einem Hau-den-Maulwurf-Spiel. Das macht die Meldung nicht sinnlos, erklärt aber, warum sie nicht ausreicht.
Die weiteren offiziellen Anlaufstellen – und welche die richtige ist
Frankreich hat die Zahl der Plattformen so stark erhöht, dass Betroffene nicht mehr wissen, an wen sie sich wenden sollen. Hier die tatsächliche Zuständigkeitsverteilung.
| Plattform | Wofür sie zuständig ist | Was sie nicht leistet |
|---|---|---|
| 33700 | Unerwünschte SMS und Anrufe, Sprach-Spam | Erstattet nichts, nimmt keine Anzeige auf |
| Cybermalveillance.gouv.fr | Diagnose, Vermittlung an einen Dienstleister, Merkblätter | Ermittelt nicht, verfolgt nicht strafrechtlich |
| PHAROS (internet-signalement.gouv.fr) | Illegale Online-Inhalte, betrügerische Websites | Behandelt keinen individuellen Vermögensschaden |
| Perceval (service-public.fr) | Missbräuchliche Nutzung von Bankkarten, außerhalb einer Anzeige | Ersetzt nicht den Schritt zur eigenen Bank |
| THESEE | Online-Anzeige bei Internetbetrug | Deckt nicht alle Deliktarten ab |
| Signal Conso | Streitigkeiten mit Gewerbetreibenden, unlautere Akquise | Behandelt keinen strafrechtlichen Betrug |
Der richtige Schritt hängt davon ab, was Sie verloren haben.
Wenn Sie nichts eingegeben haben
Weiterleitung an die 33700, Nachricht löschen, fertig. Eine Anzeige wegen einer bloß empfangenen SMS ist zwecklos: Es liegt kein Schaden vor. Wenn sich die Nachrichten jedoch massiv häufen, bewahren Sie einige Screenshots auf – sie können später eine Akte untermauern.
Wenn Sie Zugangsdaten eingegeben haben
Sofortiger Wechsel der betroffenen Passwörter, Aktivierung der Zwei-Faktor-Authentifizierung, wo möglich, anschließend Meldung auf Cybermalveillance.gouv.fr, das einen individuellen Hilfeparcours bereitstellt. Für Menschen, die ein Dutzend sensibler Konten verwalten, bleibt ein Passwortbuch aus Papier, außer Sichtweite verwahrt, paradoxerweise robuster als eine Textdatei auf dem Desktop – vorausgesetzt, es verlässt niemals die Wohnung.
Wenn Sie Bankdaten preisgegeben haben
Hier zählt die Reihenfolge der Schritte, und jede Stunde ist entscheidend.
Das Bankverfahren: Was das Gesetz wirklich sagt
Das ist der am wenigsten bekannte und zugleich für Betroffene günstigste Punkt. Der Grundsatz ist im Code monétaire et financier verankert, in den Artikeln L.133-18 ff., der Umsetzung der europäischen Zahlungsdiensterichtlinie (PSD2).
Die Grundregel ist eindeutig: Bei einem nicht autorisierten Zahlungsvorgang erstattet die Bank den Betrag unverzüglich, spätestens bis zum Ende des ersten Geschäftstags nach der Meldung. Das ist keine Kulanz, sondern eine gesetzliche Pflicht.
Die Feinheiten, die man kennen sollte:
- Der bei Verlust oder Diebstahl vorgesehene Selbstbehalt von 50 € gilt nicht, wenn die Daten aus der Ferne entwendet wurden, ohne dass die Karte Ihren Besitz verlassen hat.
- Die Bank darf nur ablehnen, wenn sie eine grobe Fahrlässigkeit Ihrerseits nachweist. Die Beweislast liegt bei ihr – und die Cour de cassation hat mehrfach betont, dass die bloße Weitergabe eines per SMS erhaltenen Codes, erschlichen durch ein raffiniertes Betrugsmanöver, nicht automatisch eine solche Fahrlässigkeit begründet.
- Die Frist zur Beanstandung beträgt 13 Monate ab Belastung (70 Tage, wenn der Dienstleister außerhalb des Europäischen Wirtschaftsraums sitzt).
Konkret ist so vorzugehen:
- Unverzüglich sperren lassen (Banking-App, interbankarischer Sperrnotruf unter 0 892 705 705).
- Schriftlich widersprechen, per Einschreiben mit Rückschein, unter Auflistung von Vorgängen, Daten und Beträgen. Erst das Schriftstück setzt die gesetzlichen Fristen in Gang – ein Telefonanruf hinterlässt keine belastbare Spur.
- Meldung über Perceval, wenn die Karte genutzt wurde, ohne physisch entwendet worden zu sein. Die Eingangsbestätigung gehört in die Akte.
- Anzeige erstatten bei Polizei, Gendarmerie oder über THESEE, wenn es sich um Online-Betrug handelt.
Wenn die Bank ablehnt: die Rechtsmittel, die wirken
Ablehnungen sind häufig und werden oft mit der Allzweckformel begründet: „Sie haben den Vorgang mit Ihrem Verfahren zur starken Authentifizierung bestätigt." Das ist für sich genommen kein tragfähiger Ablehnungsgrund.
Schritt 1 – Die Beschwerdestelle
Jedes Institut verfügt über eine von der Filiale getrennte Beschwerdestelle. Schreiben Sie ihr direkt, verweisen Sie auf Artikel L.133-18 und verlangen Sie die Vorlage der technischen Nachweise, die die bestrittene Authentifizierung belegen. Die Antwortfrist ist geregelt: grundsätzlich fünfzehn Werktage, bei komplexen Fällen höchstens zwei Monate.
Schritt 2 – Der Bankenombudsmann
Kostenlos, unabhängig, online anrufbar. Seine Stellungnahmen sind nicht bindend, werden aber in der großen Mehrheit der Fälle befolgt. Voraussetzung ist, dass der interne Beschwerdeweg zuvor ausgeschöpft wurde. Die Kontaktdaten müssen zwingend auf den Kontoauszügen und in den Allgemeinen Geschäftsbedingungen stehen.
Schritt 3 – Die Aufsichtsbehörden
Die ACPR (Autorité de contrôle prudentiel et de résolution), angesiedelt bei der Banque de France, entscheidet keine Einzelstreitigkeiten, sammelt aber Meldungen und ahndet Fehlverhalten der Institute. Eine Vielzahl von Meldungen zum selben Verhalten zeigt Wirkung – mehrere Banken haben ihre Erstattungsverfahren nach koordinierten Beschwerdekampagnen verschärft, die von Verbraucherverbänden (UFC-Que Choisir, CLCV) getragen wurden.
Schritt 4 – Das Gericht
Vor dem Tribunal judiciaire bleibt das Verfahren für geringe Streitwerte unterhalb bestimmter Schwellen ohne Anwalt zugänglich. Die in den letzten Jahren veröffentlichten Entscheidungen fallen mehrheitlich zugunsten der Opfer von Bank-Spoofing aus, sofern das Manöver glaubwürdig war und die Bank kein schweres Verschulden nachweist.
Eine erfolgreiche Akte ist eine datierte Akte. Screenshots mit Zeitstempel, Einschreiben, Anzeigebestätigungen, kommentierte Kontoauszüge. Die Qualität der Archivierung wiegt schwerer als die Eloquenz des Schreibens.
Eine belastbare Akte aufbauen
Viele Rechtsmittel scheitern nicht am fehlenden Recht, sondern an fehlenden verwertbaren Beweisen. Einige konkrete Grundsätze.
Löschen Sie nichts, bevor Sie es archiviert haben. Die betrügerische SMS selbst ist ein Beweisstück: Sie zeigt den angezeigten Absender, die Uhrzeit, den Inhalt. Fotografieren Sie den Bildschirm, statt sich mit einem Screenshot zu begnügen – das Foto enthält mitunter nützliche Metadaten.
Dokumentieren Sie die Chronologie. Eine schlichte Tabelle mit drei Spalten – Uhrzeit, Ereignis, zugehöriger Beweis – ist mehr wert als eine Erzählung. Beschwerdestellen bearbeiten Hunderte von Vorgängen; derjenige, der sich in zwei Minuten lesen lässt, kommt voran.
Bewahren Sie die Originale außerhalb des Geräts auf. Wurde das Telefon kompromittiert, kann es zurückgesetzt, beschlagnahmt oder schlicht defekt sein. Ein separat aufbewahrter verschlüsselter USB-Stick oder eine externe Festplatte allein für sensible Dokumente verhindert, dass im ungünstigsten Moment alles verloren geht. Die Cloud ist keine schlechte Idee – vorausgesetzt, das zugehörige Konto war nicht selbst vom Betrug betroffen.
Lassen Sie den Zustand des Geräts feststellen, wenn eine App installiert wurde. Ein von Cybermalveillance.gouv.fr gelisteter Dienstleister kann einen technischen Bericht erstellen. Das ist gegenüber einer Versicherung oder einem Gericht ein gewichtiges Argument.
Der oft übersehene Versicherungsaspekt
Zahlreiche Premium-Bankverträge sowie manche Hausrat-Mehrfachversicherungen oder Rechtsschutzgarantien enthalten einen Cyberschutz-Baustein. Die Leistungen umfassen je nach Fall Unterstützung beim Wiederherstellen von Konten, Überwachung auf Identitätsdiebstahl oder sogar die Übernahme von Verfahrenskosten.
Lesen Sie Ihre Versicherungsbedingungen erneut, bevor Sie irgendetwas an einen privaten Dienstleister zahlen. Die Meldefrist gegenüber dem Versicherer ist meist kurz – in vielen Verträgen fünf Werktage – und beginnt mit der Entdeckung des Sachverhalts, nicht mit dem Betrug selbst.
Was man vorher tun sollte, damit alles einfacher wird
Die beste Akte ist die, die man gar nicht erst anlegen muss. Drei Gewohnheiten machen den Unterschied.
Nutzungen trennen. Eine virtuelle Bankkarte mit niedrigem Limit für Online-Käufe begrenzt den Schaden schon rein rechnerisch. Die meisten Banken bieten sie kostenlos an, man muss sie nur aktivieren.
Vorgelagert filtern. Aktuelle Betriebssysteme bieten eine automatische Sortierung unbekannter Absender. Auf älteren Geräten oder für weniger versierte Personen reduziert eine aus dem offiziellen Store installierte App zum Filtern unerwünschter SMS das Volumen spürbar, das den Nutzer tatsächlich erreicht.
Den physischen Zugriff absichern. Ein Telefon mit gesprungenem Display landet oft samt intakter Daten beim Reparaturdienst, und ein Gerät, dem der Akku ausgeht, erlaubt keine rechtzeitige Kartensperrung. Ein Panzerglas-Displayschutz und eine kompakte Powerbank sind weniger Spielerei als operative Handlungsfähigkeit an dem Tag, an dem es schnell gehen muss.
Und in Haushalten, in denen man einen älteren Angehörigen begleitet, zeigt die Erfahrung: Wissen über die richtigen Schritte wirkt besser als Angst. Ein bereitliegender praktischer Cybersicherheits-Ratgeber für Privatpersonen, in Ruhe gelesen, erzeugt dauerhaftere Reflexe als eine im Eilverfahren wiederholte Warnung.
Zusammenfassung
| Situation | Vorrangiger Schritt | Einzuhaltende Frist |
|---|---|---|
| SMS erhalten, nicht angeklickt | 33700 (Nachricht + Nummer) | Sofort |
| Zugangsdaten eingegeben | Passwörter ändern, Cybermalveillance.gouv.fr | Binnen einer Stunde |
| Bankdaten übermittelt | Sperrung, schriftlicher Widerspruch, Perceval, Anzeige | Höchstens 13 Monate für den Widerspruch |
| Bank lehnt ab | Beschwerdestelle → Ombudsmann → ACPR → Gericht | 15 Tage bis 2 Monate je Schritt |
| App installiert | Gerät isolieren, Gutachten, Anzeige | Sofort |
Eine Betrugs-SMS zu melden heißt, sich an einer kollektiven Anstrengung zu beteiligen. Seine Rechte durchzusetzen ist etwas anderes: ein individueller, schriftlicher, dokumentierter Vorgang – und weit wirksamer, als man glaubt. Das französische und europäische Recht schützt Opfer von Zahlungsbetrug deutlich besser, als die ersten Absagen des Kundenservice vermuten lassen. Man muss nur wissen, wo man anklopft und in welcher Reihenfolge.
Und wenn Sie eine nahestehende Person rasch warnen wollen, dass gefälschte SMS im Namen eines Paketdienstes oder einer Bank kursieren, bleibt eine kurze, direkt aus dem Browser verschickte Nachricht – ohne irgendetwas zu installieren – der direkteste Weg, die Information weiterzugeben. Erst recht, wenn genau das Gerät betroffen ist, dem man misstraut.
