Sie kommen gerade aus einer Besprechung oder von einem Arzttermin. Das Telefon vibriert: „Sie haben 1 neue Sprachnachricht erhalten. Jetzt anhören: [Link]“. Nichts Beunruhigendes. Niemand droht Ihnen, niemand fordert 2,99 €, kein Paket hängt im Zoll fest. Nur jemand, der versucht hat, Sie zu erreichen, während Sie nicht verfügbar waren.
Genau deshalb funktioniert es.
Seit zwei Jahren hat sich die Mailbox-Benachrichtigung zu einem der lukrativsten Smishing-Köder entwickelt. Sie löst weder Angst noch Euphorie aus – die beiden Emotionen, die wir zu erkennen gelernt haben. Sie löst etwas viel schwerer Bekämpfbares aus: ganz banale Neugier.
Warum ausgerechnet diese Nachricht durch alle Raster fällt
Aufklärungskampagnen – die von Cybermalveillance.gouv.fr ebenso wie die der Banken – stützen sich auf eine Liste von Warnsignalen: Dringlichkeit, Drohung, Rechtschreibfehler, Geldforderung, unbekannter Absender. Die falsche Sprachnachricht erfüllt keinen einzigen dieser Punkte.
Sehen Sie sich an, was sie tatsächlich anbietet:
- Keine Dringlichkeit. Eine Sprachnachricht wartet. Sie wartet auch morgen noch. Es gibt keinen Countdown, also auch kein ausgelöstes Misstrauen.
- Keine Transaktion. Es werden weder Kreditkartendaten noch eine Überweisung noch ein Identitätsnachweis verlangt. Zumindest nicht sofort.
- Ein zu 100 % plausibler Sachverhalt. Sie haben diese Woche mit Sicherheit Anrufe verpasst. Die Nachricht muss gar nicht glaubwürdig wirken: Sie ist es rein mechanisch.
- Eine gewohnte Handlung. Die Mailbox abzuhören gehört seit dreißig Jahren zur Routine jedes Handynutzers.
Hinzu kommt, dass mehrere Mobilfunkanbieter tatsächlich SMS-Benachrichtigungen zur Mailbox verschicken, teils mit einem Link zu ihrem „Visual Voicemail“-Dienst. Dem Nutzer bleibt kein verlässlicher Anhaltspunkt mehr, um Echtes von Falschem zu unterscheiden. Man hat ihm beigebracht, Links zu misstrauen – und ausgerechnet sein eigener Anbieter schickt ihm welche.
Die Regel, die weiterhin gilt: Eine legitime Sprachnachricht hört man über das eigene Telefon ab, indem man die Mailbox anruft oder die offizielle App des Anbieters nutzt. Niemals über einen per SMS erhaltenen Link.
Was nach dem Klick passiert: drei Szenarien
Der Link führt nicht immer an denselben Ort. Die Betrüger testen, segmentieren und passen sich dem Betriebssystem an, das die Landingpage erkennt. Drei Kategorien von Folgen dominieren.
1. Die Seite zum Abgreifen von Zugangsdaten
Das ist die einfachste Variante. Der Link öffnet eine Seite, die die Oberfläche Ihres Mobilfunkanbieters nachbildet: Logo, Farben, kopierte Rechtshinweise. Die Botschaft ist immer dieselbe: „Melden Sie sich in Ihrem Kundenbereich an, um Ihre Nachricht abzuhören.“
Sie geben Benutzername und Passwort ein. Beides landet direkt beim Betrüger. Der Kundenbereich eines Anbieters ist eine Fundgrube: Er enthält Ihre Adresse, Ihre Bankverbindung, Ihre detaillierte Abrechnung – und vor allem die Möglichkeit, eine neue SIM-Karte zu bestellen oder Optionen zu ändern. Damit sind wir beim Thema Rufnummern-Übernahme.
2. Die App, die installiert werden soll
Die aggressivere Variante, vor allem auf Android gerichtet. Die Seite behauptet, „zum Abhören ist die App Visual Voicemail erforderlich“, und bietet eine Datei zum Download außerhalb des Play Store an.
Die installierte Datei ist ein Banking-Trojaner. Die Familien, die Sicherheitsforschern bekannt sind – die Varianten von FluBot, 2022 von Europol zerschlagen, seither aber vielfach kopiert, oder Stämme vom Typ Anatsa, auf die mehrere Antiviren-Hersteller hingewiesen haben – funktionieren alle nach demselben Prinzip:
| Was die App verlangt | Was sie damit tatsächlich macht |
|---|---|
| Zugriff auf SMS | Fängt Bestätigungscodes der Bank ab |
| Zugriff auf Kontakte | Schickt dieselbe Betrugs-SMS an Ihr gesamtes Adressbuch |
| Bedienungshilfen-Dienst | Legt gefälschte Login-Masken über Ihre echten Apps |
| Anzeige über anderen Apps | Erfasst, was Sie tippen – inklusive Passwörter |
Der letzte Punkt macht die Sache so gravierend: Das Opfer verliert kein Geld im Moment des Klicks, sondern drei Tage später, wenn es seine Banking-App öffnet und seine Codes auf einer perfekt nachgebauten Fake-Maske eingibt.
3. Die Weiterleitung auf eine Mehrwertnummer
Die unauffälligere Variante: Der Link zeigt eine Schaltfläche „Mailbox anrufen“, die eine Nummer wählt, die mit 0899 oder 0891 beginnt. Der Anruf kostet mehrere Euro pro Minute, während eine Bandansage Sie so lange wie möglich hinhält. Der Schaden ist überschaubar, ein paar Dutzend Euro – im Maßstab einer ganzen Kampagne aber gewaltig.
Das Warnsignal, das fast niemand beachtet: die Adresse
Eine echte Sprachnachricht verweist nie auf eine exotische Domain. Die Betrüger nutzen kurze Adressen, oft erst am Vortag registriert, die sich beruhigender Wörter bedienen.
Beispiele für Muster aus jüngsten Kampagnen:
messagerie-vocale-espaceclient.xyzrepondeur-orange-fr.infovoicemail-sfr.online- generische Linkverkürzer, die das eigentliche Ziel verschleiern
Der nützliche Reflex passt in einen Satz: Der Domainname ist das, was direkt vor dem ersten / steht. In orange.fr-messagerie.xyz/ecoute lautet die Domain nicht orange.fr, sondern fr-messagerie.xyz. Alles davor ist bloße Kulisse.
Auf einem Smartphone-Bildschirm ist dieses Lesen mühsam: Die Adressleiste ist kurz, der Text winzig, und die Hälfte der URL wird abgeschnitten. Das ist einer der Gründe, warum mobiler Betrug besser funktioniert als Betrug per E-Mail. Für alle, die vor ihrem Display die Augen zusammenkneifen, macht ein höhenverstellbarer Handyhalter auf dem Schreibtisch tatsächlich einen Unterschied: Man liest eine Adresse in Ruhe, statt sie mit ausgestrecktem Arm zu erraten.
Was man konkret tun sollte, wenn diese SMS eintrifft
Nichts zu tun ist bereits eine gültige Handlung
Wenn Sie unsicher sind, ignorieren Sie die Nachricht und rufen Sie Ihre Mailbox ganz normal an. Bei nahezu allen französischen Anschlüssen genügt es, die 888 (Orange), die 123 (SFR), die 660 (Bouygues) oder die 740 (Free) zu wählen – oder lange auf die Taste 1 zu drücken. Gibt es eine echte Nachricht, ist sie dort. Gibt es keine, haben Sie Ihre Ermittlung in acht Sekunden abgeschlossen.
Melden Sie es an die 33700
Leiten Sie die verdächtige SMS an die 33700 weiter, die offizielle Meldeplattform für betrügerische SMS und Anrufe, die von den Mobilfunkanbietern unter staatlicher Aufsicht betrieben wird. Der Dienst antwortet und fragt nach der Nummer des Absenders: Leiten Sie auch diese weiter. Das ist kostenlos und sorgt dafür, dass die Absendernummern abgeschaltet werden.
Sie können außerdem eine Meldung auf Cybermalveillance.gouv.fr abgeben und eine betrügerische Website bei der Plattform Phishing Initiative oder über internet-signalement.gouv.fr (PHAROS) melden.
Blockieren und löschen
Auf iPhone wie auf Android lässt sich ein Absender mit zwei Tipps direkt aus der Konversation heraus blockieren. Das stoppt die Kampagne nicht – die Betrüger wechseln stündlich die Nummer –, aber es räumt Ihren Nachrichtenverlauf auf und verhindert, dass ein weniger wachsamer Angehöriger, dem Sie das Gerät leihen, versehentlich klickt.
Wenn Sie bereits geklickt haben
Der bloße Klick, ohne Eingabe oder Installation, ist selten dramatisch. Die Gefahr beginnt im nächsten Schritt. Hier die Reihenfolge der Maßnahmen.
- Trennen Sie die Verbindung. Sofort in den Flugmodus, bis Sie die Kontrolle zurückhaben. Das unterbricht den laufenden Datenabfluss.
- Prüfen Sie die Liste der installierten Apps. Einstellungen → Apps, nach Installationsdatum sortiert. Jede unbekannte App, die in den Minuten nach dem Klick aufgetaucht ist, muss deinstalliert werden. Wenn sich die App auf Android nicht deinstallieren lässt, starten Sie im abgesicherten Modus neu.
- Ändern Sie die betroffenen Passwörter, beginnend mit dem Kundenbereich des Mobilfunkanbieters, dem E-Mail-Postfach und der Bank – und zwar von einem anderen Gerät aus, nicht vom verdächtigen Telefon. Ein Laptop von zu Hause eignet sich dafür bestens.
- Informieren Sie Ihre Bank. Lassen Sie die Karte sperren, wenn Sie Bankdaten eingegeben haben. Zur Erinnerung: Artikel L133-18 des französischen Währungs- und Finanzgesetzbuchs verpflichtet zur Erstattung nicht autorisierter Transaktionen, sofern die Bank keine grobe Fahrlässigkeit nachweist.
- Warnen Sie Ihre Kontakte. Diese Schadprogramme verbreiten sich über das Adressbuch: Eine einfache Gruppennachricht „Klickt nicht auf das, was ich euch geschickt habe“ verhindert ein Dutzend weiterer Opfer.
- Erstatten Sie Anzeige, wenn ein finanzieller Schaden entstanden ist, und legen Sie Screenshots der SMS und der Transaktionen bei.
In den schwersten Fällen – seit mehreren Tagen installierte Schad-App, anhaltend auffälliges Verhalten – bleibt das vollständige Zurücksetzen des Telefons die einzige Garantie. Umso wichtiger ist es, seine Daten bereits gesichert zu haben: Eine externe Festplatte fürs Smartphone oder schlicht ein aktives Cloud-Backup verwandeln eine Katastrophe in einen unangenehmen Nachmittag.
Angehörige schützen, die viele solcher Nachrichten bekommen
Die am stärksten gefährdeten Menschen sind nicht die am wenigsten klugen, sondern die am häufigsten kontaktierten und die vor dem Bildschirm am meisten auf sich allein gestellt sind. Ein älterer Elternteil, der drei Benachrichtigungen pro Tag erhält, wird statistisch gesehen irgendwann eine davon öffnen.
Einige wirksame Hebel, nach Nutzen geordnet:
- Den integrierten Spamfilter aktivieren. Auf dem iPhone: Einstellungen → Nachrichten → Unbekannte Absender filtern. Auf Android bietet Google Messages seit 2025 einen verstärkten Schutz vor gefährlichen Links, dessen Aktivierung man in den Sicherheitseinstellungen prüfen sollte.
- Die Installation von Apps aus unbekannten Quellen deaktivieren – unter Android. Das ist die Sperre, die 90 % der oben beschriebenen Trojaner blockiert.
- Einen einzigen Reflex vereinbaren: „Im Zweifel schickst du mir ein Foto der Nachricht, bevor du irgendetwas anfasst.“ Keine komplizierte Regel, nur diese eine.
- Die Technik vereinfachen, wenn es sinnvoll ist. Für eine Nutzung, die sich auf Anrufe und SMS beschränkt, beseitigt ein Seniorenhandy mit großen Tasten die Angriffsfläche des Webbrowsers schlicht und ergreifend vollständig.
- Das Wissen auf Papier bringen. Ein praktischer Leitfaden zur digitalen Sicherheit, der auf dem Couchtisch liegt, wird deutlich häufiger konsultiert als ein per Messenger verschickter Link – besonders von denen, die Bildschirmen ohnehin misstrauen.
Was uns diese Masche über alle anderen lehrt
Die falsche Sprachnachricht ist technisch nicht ausgefeilt. Ihre Stärke liegt woanders: Sie fügt sich in eine Gewohnheit ein, statt sie zu stören.
Das ist die große Verschiebung im mobilen Betrug der letzten zwei bis drei Jahre. Die ersten Smishing-Wellen schrien: Konto gesperrt, Bußgeld unbezahlt, Paket zurückgehalten. Sie setzten auf Panik – und Panik erzieht mit der Zeit: Man gewöhnt sich daran, man entwickelt Antikörper. Die heutigen Kampagnen machen das Gegenteil: Sie flüstern. Eine Sprachnachricht, ein App-Update, eine Terminbestätigung, eine Rückerstattung von ein paar Euro. Nichts Alarmierendes, also nichts zu prüfen.
Angesichts dessen reicht eine Liste von Warnsignalen nicht mehr aus. Man muss sie durch eine Verkehrsregel ersetzen, die sich viel leichter merken und weitergeben lässt:
Man erreicht einen Dienst nie über den Weg, den eine Nachricht vorschlägt. Man geht den Weg, den man ohnehin kennt: die eigene Mailbox-Nummer, die installierte App, die von Hand eingetippte Adresse, die Nummer des eigenen Beraters.
Diese Regel verlangt keinerlei technische Kenntnisse. Sie hängt nicht von der Qualität der Fälschung ab, nicht von der Rechtschreibung, nicht vom Logo und nicht vom Domainnamen. Sie funktioniert gegen die falsche Mailbox ebenso wie gegen den falschen Paketboten, die falsche Bank oder das falsche Finanzamt. Und sie hat den Vorzug, in einen Satz zu passen, den man einem Jugendlichen genauso vorsagen kann wie einem Großelternteil.
Die nächste SMS mit einer angeblichen Sprachnachricht wird kommen. Vielleicht morgen. Die richtige Antwort wird nicht darin bestehen, zu erraten, ob sie echt ist: Sie wird darin bestehen, die eigene Mailbox anzurufen – so wie man es tat, bevor irgendjemand auf die Idee kam, Ihnen einen Link zu schicken.
