Erste Septemberwoche. Sie haben in drei Tagen vierzehn Formulare ausgefüllt, ein Kästchen für das Klassenfoto angekreuzt, den Beitrag für den Förderverein überwiesen und ein Konto auf einem Elternportal angelegt, dessen Passwort Sie längst wieder vergessen haben. Das Handy vibriert: „Mensa-Service – negativer Saldo auf dem Konto Ihres Kindes festgestellt. Bitte bis zum 08.09. ausgleichen, um den Zugang zur Schulmensa aufrechtzuerhalten: [Link]".
Absurd finden Sie das nicht. Sie haben letzte Woche tatsächlich irgendetwas bezahlt, sind sich aber nicht sicher, ob es wirklich die Mensa war. Sie wissen auch nicht mehr, ob das Lastschriftmandat verlängert wurde. Und die Vorstellung, dass Ihr Kind am Donnerstagmittag ohne Essen dasteht, gibt den Ausschlag.
Schul-Smishing beruht auf keiner technischen Meisterleistung. Es beruht auf etwas viel Banalerem: Im September haben Eltern den Überblick über ihre eigenen Verwaltungsvorgänge verloren.
Warum der Schulanfang ein ideales Zeitfenster ist
Betrugskampagnen per SMS folgen dem Kalender. Falsche Paketbenachrichtigungen explodieren im November und Dezember, falsche Bußgeldbescheide nach langen Wochenenden, falsche Steuerrückerstattungen im Sommer. Der September gehört der Schule – und das Terrain ist aus drei Gründen besonders günstig.
Die Menge legitimer Nachrichten ist ungewöhnlich hoch. Zwischen der Schul-App, dem Elternportal der Kommune, dem Elternbeirat, dem Sportverein und dem Schulbusbetreiber kann eine Familie in vierzehn Tagen ein Dutzend offizieller Mitteilungen erhalten. Eine betrügerische Nachricht, die sich in diesen Strom einschleicht, fällt schlicht nicht auf.
Die Zahlungswege sind zersplittert. Je nach Gemeinde wird die Mensa über ein kommunales Portal, über einen privaten Dienstleister, per Lastschrift, per Karte oder über eine Kassenstelle abgerechnet. Kein Elternteil kennt den Namen des Dienstleisters seiner Stadt auswendig. Genau diese ganz normale Unkenntnis nutzt der Betrüger aus: Er muss nicht einmal die richtige Stelle imitieren, weil Sie ja gar nicht wissen, von wem Sie Post erwarten müssten.
Es geht um ein Kind. Das ist der entscheidende Unterschied zu einer gefälschten Bank-SMS. Die Prüfung eines Kontos kann man auf morgen verschieben. Was das eigene Kind um eine Mahlzeit bringen, von einem Schulausflug ausschließen oder von einer Aktivität fernhalten könnte, verschiebt man nicht. Der Hebel ist nicht die Angst, Geld zu verlieren, sondern die Angst, ein schlechter Elternteil zu sein.
Die häufigsten Maschen in diesem Jahr
Die Formulierungen ändern sich, die Mechanik bleibt. Das sind die Varianten, die in den Meldungen zum Schuljahresbeginn am häufigsten auftauchen.
| Vorwand | Typische Nachricht | Was wirklich verlangt wird |
|---|---|---|
| Offene Mensa-Rechnung | „Negativer Saldo, bitte innerhalb von 48 h ausgleichen" | Kreditkartendaten auf einem gefälschten Portal |
| Schulmaterial oder Bücher | „Bücherbestellung unvollständig, Restbetrag offen" | Kleine Zahlung + Bankdaten |
| Schulausflug / Klassenfahrt | „Anzahlung für die Klassenfahrt nicht verbucht" | Überweisung auf eine betrügerische IBAN |
| Schülerversicherung | „Pflichtnachweis fehlt, hier abschließen" | Scheinvertrag + vollständige Identitätsdaten |
| Schülerbeförderung | „Buskarte nicht validiert, Ausweis reaktivieren" | Zugangsdaten des regionalen Portals |
| Klassenfoto | „Ihre Fotobestellung läuft ab" | Zahlung auf einer kopierten Website |
| Schulplattform-Konto | „Ihr Zugang wird deaktiviert, bitte neu anmelden" | Zugangsdaten, die anderswo wiederverwendbar sind |
Zwei Entwicklungen verdienen besondere Aufmerksamkeit.
Die erste ist der Betrug mit der finanziellen Beihilfe. Nachrichten kündigen eine Restzahlung der Einschulungsbeihilfe, eine „Mensa-Prämie" oder eine Landesbeihilfe an, die man abholen soll. Das Prinzip ist dasselbe wie bei gefälschten Rückerstattungen von Familienkasse oder Krankenkasse: Man verspricht Ihnen Geld, um an Ihre Bankverbindung und einen Ausweis zu kommen, die anschließend dazu dienen, einen Kredit aufzunehmen oder echte Zahlungen umzuleiten. Sagen wir es klar: Die Einschulungsbeihilfe wird berechtigten Familien automatisch von der CAF oder der MSA ausgezahlt – ohne Antrag per SMS, ohne Link zum Anklicken.
Die zweite ist die angebliche Dringlichkeitsnachricht der Schule: „Vorfall in der Einrichtung, bitte lesen Sie die Elterninformation", samt Link. Dieser Vorwand verlangt kein Geld. Er zielt auf die Installation einer App oder das Abgreifen von Zugangsdaten und stützt sich auf eine Emotion, die jedes rationale Abwägen kurzschließt. Keine Schule verschickt eine Sicherheitswarnung über einen externen Link von einer unbekannten Mobilnummer.
Was diese Nachrichten glaubwürdig macht
Der Absendername beweist gar nichts
Viele dieser SMS erscheinen mit einem Absendernamen in Textform – „SCHULE", „MENSA", „RATHAUS" – statt mit einer Nummer. Diese Fälschung der Absenderkennung, das sogenannte Spoofing, ist über bestimmte internationale Gateways technisch trivial. Schlimmer noch: Wenn der angezeigte Name einem Absender entspricht, der bereits in Ihrem Verlauf steht, kann sich die gefälschte Nachricht in denselben Chatverlauf einreihen wie die echten SMS der Schule – direkt unter der legitimen Nachricht der Vorwoche.
Das ist der Punkt, der Eltern am meisten verblüfft. Der Gesprächsverlauf ist kein Echtheitsbeweis: Ihr Telefon gruppiert Nachrichten nach angezeigtem Namen, nicht nach überprüfter Identität.
Persönliche Informationen beweisen ebenso wenig
Manche Nachrichten nennen den Vornamen des Kindes, die Gemeinde, manchmal den Namen der Schule. Das scheint ohne Zugriff auf die Schulakten unmöglich – und doch zirkulieren diese Daten: Datenlecks bei Betreuungsdienstleistern, Verteilerlisten von Vereinen, Anmeldungen zu Aktivitäten, soziale Netzwerke, in denen Eltern zu jedem Schuljahresbeginn Fotos und Schulnamen veröffentlichen. Ein bekannter Vorname ist keine Unterschrift.
Die Regel, die immer gilt: Eine zutreffende Information in einer Nachricht bestätigt nicht die Nachricht. Sie bestätigt nur, dass der Absender auf irgendeinem Weg Zugang zu dieser Information hatte.
Der Betrag ist bewusst lächerlich klein
12,40 €. 6,90 €. 23 €. Die geforderten Summen sind so kalibriert, dass sie kein Misstrauen wecken: zu klein, um einen Anruf beim Rathaus zu rechtfertigen, plausibel genug, um ein paar Mahlzeiten zu entsprechen. Das Ziel ist fast nie diese Abbuchung. Das Ziel ist die Eingabe Ihrer Kartennummer, des Ablaufdatums und der Prüfziffer auf einer kopierten Seite – Daten, die anschließend für weitaus größere Transaktionen genutzt werden, mit umgeleiteter Freigabe über einen falschen Bankberater, der Sie ein paar Tage später anruft.
Die Überprüfung in dreißig Sekunden
Sie müssen kein Experte sein. Sie brauchen nur eine einzige Gewohnheit: niemals den Weg nutzen, den die Nachricht vorgibt.
- Klicken Sie nicht auf den Link. Auch nicht, um „nur mal zu schauen". Manche Seiten starten auf Android einen automatischen Download.
- Öffnen Sie das gewohnte Portal selbst. Über Ihre bereits installierte App, über Ihr gespeichertes Lesezeichen oder indem Sie die Adresse der Gemeinde eintippen. Wenn tatsächlich eine offene Rechnung besteht, wird sie dort angezeigt.
- Rufen Sie das Sekretariat der Schule oder das Schulamt der Gemeinde an – unter der Nummer, die auf einem zum Schuljahresbeginn erhaltenen Papierdokument steht, niemals unter der Nummer aus der SMS.
- Sehen Sie sich die Domain des Links an, ohne ihn zu öffnen, indem Sie ihn lange gedrückt halten, bis die URL erscheint. Offizielle französische Adressen enden auf
.gouv.fr, auf dem.frder Gemeinde oder tragen den Namen des bekannten Dienstleisters – nicht exotische Endungen oder endlos lange Domainnamen. - Fragen Sie andere Eltern. Eine Nachricht an die Elternvertreter der Klasse genügt oft, um in dreißig Sekunden zu erfahren, ob die ganze Klasse dieselbe SMS bekommen hat.
Dieser letzte Punkt wird unterschätzt. Schul-Smishing-Kampagnen laufen in großem Maßstab: Wenn Ihr Nachbar dieselbe Nachricht erhalten hat, obwohl sein Kind auf eine andere Schule geht, ist der Zweifel sofort ausgeräumt.
Der erschwerende Faktor: das Handy des Kindes
Der September ist auch der Monat, in dem viele Kinder ihr erstes Gerät bekommen. Betrügerische Nachrichten machen aber nicht bei den Eltern halt: Jugendliche erhalten ihre eigenen Varianten – falsche Spiele-Codes, falsche Tarifangebote, falsche Gewinnbenachrichtigungen – und sie klicken statistisch gesehen schneller.
Drei Vorsichtsmaßnahmen sind besser als lange Reden:
- Aktivieren Sie die Filterung unbekannter Absender in der Nachrichten-App (Android wie iOS bieten eine automatische Sortierung von Nachrichten nicht gespeicherter Absender).
- Deaktivieren Sie die Installation von Apps außerhalb des offiziellen Stores auf Android-Geräten.
- Sorgen Sie für einen physischen Speicherort für Passwörter: Ein zu Hause verwahrtes Passwortbuch bleibt für viele Familien sicherer als eine Datei „codes.txt" in den Handynotizen.
Und wenn das Gerät für eine stark eingegrenzte Nutzung gedacht ist, verringert ein einfaches Mobiltelefon mit großen Tasten ohne Browser und ohne App-Installation die Angriffsfläche ganz mechanisch – die Betrugsnachricht kann ankommen, führt aber nirgendwohin. Es ist auch die Lösung, für die sich viele Familien bei Großeltern entscheiden, die dieselben Nachrichten erhalten, ohne die nötigen Anhaltspunkte zum Aussortieren zu haben.
Das Gerät absichern, das diese Nachrichten empfängt
Ein Smartphone, das als einziges Einfallstor zum administrativen Familienleben dient, verdient einige elementare, oft vernachlässigte Vorsichtsmaßnahmen auf der Hardwareseite.
Halten Sie das System aktuell. Die meisten Phishing-Seiten nutzen Leichtgläubigkeit aus, keine Sicherheitslücken – doch jene, die Spionagesoftware installieren wollen, zielen auf alte, ungepatchte Versionen.
Schützen Sie Display und Gehäuse. Ein gesprungenes Telefon wird irgendwann in aller Eile ersetzt, oft indem man Backups hastig einspielt und Apps aufs Geratewohl neu installiert: Genau dabei schleichen sich Sicherheitsfehler ein. Eine Panzerglas-Schutzfolie und eine stoßfeste Schutzhülle sind wenig glamourös, ersparen Ihnen aber genau diesen überstürzten Umstieg.
Achten Sie auf die Akkulaufzeit. Ein Gerät, das im falschen Moment ausgeht, schneidet Sie vom Zugang zu Ihren Banking-Apps und zur Zwei-Faktor-Authentifizierung ab – genau dann, wenn Sie etwas überprüfen müssten. Eine kompakte Powerbank in der Tasche löst das Problem für den Schultag.
Wenn Sie geklickt oder gezahlt haben
Der schlimmste Reflex ist Schweigen aus Scham. Diese Nachrichten werden von Profis entworfen, um aufmerksame Menschen zu täuschen; darauf hereinzufallen ist kein Intelligenzmangel.
Innerhalb einer Stunde:
- Kontaktieren Sie Ihre Bank, um die betroffene Karte sperren zu lassen und die Transaktion zu melden.
- Ändern Sie das Passwort des betroffenen Portals sowie jedes anderen Dienstes, bei dem Sie dasselbe verwendet haben.
- Gehen Sie an keinen eingehenden Anruf, bei dem sich jemand als Ihre Bank ausgibt: Der falsche Berater meldet sich fast immer erst nach der Dateneingabe.
In den folgenden Tagen:
- Melden Sie die Nachricht an die 33700, die offizielle französische Meldeplattform für betrügerische SMS (leiten Sie die SMS an die 33700 weiter und senden Sie anschließend die Absendernummer, wenn Sie danach gefragt werden).
- Erstatten Sie Anzeige, online oder auf der Polizeiwache. Die Eingangsbestätigung wird von der Bank häufig verlangt.
- Informieren Sie sich auf Cybermalveillance.gouv.fr, wo eine geführte Diagnose angeboten und auf die passenden Schritte verwiesen wird, sowie beim kostenlosen Dienst Info Escroqueries (0 805 805 817).
- Benachrichtigen Sie die Schule: Sie kann die anderen Familien warnen, was die Kampagne weit wirksamer stoppt als eine einzelne Meldung.
Artikel L. 133-18 des französischen Währungs- und Finanzgesetzbuchs sieht die Erstattung nicht autorisierter Transaktionen vor, außer bei grober Fahrlässigkeit des Kunden. Die freiwillige Preisgabe von Zugangscodes auf einer betrügerischen Website wird von Banken oft als Fahrlässigkeit eingestuft, doch die Rechtsprechung hat sich zugunsten der Opfer überzeugender Spoofing-Angriffe entwickelt. Bleiben Sie hartnäckig und zögern Sie im Ablehnungsfall nicht, den Bankenombudsmann einzuschalten.
Der Reflex, den Sie sich ein für alle Mal aneignen sollten
Der Schulstart geht vorbei, und die Vorwände werden wechseln: Halloween, Weihnachtsgeschenke, Anmeldungen im Januar, Klassenfahrten im Frühling. Was sich nicht ändern wird, ist die Struktur der Falle.
Eine reale Institution + eine kurze Frist + ein kleiner Betrag + ein Link. Sobald diese vier Elemente in ein und derselben Nachricht zusammentreffen, betrachten Sie sie bis zum Beweis des Gegenteils als gefälscht – und suchen Sie diesen Beweis woanders als in der Nachricht selbst.
Erklären Sie das Ihren Kindern, Ihren Eltern, den anderen Familien der Klasse. Ein allgemein verständliches Buch über Cybersicherheit in der Familie kann helfen, mit Jugendlichen die Grundlagen zu legen, aber das Wesentliche passt in einen Satz, den sich jeder merken kann: Man prüft eine Nachricht niemals mit der Nachricht selbst.
Und wenn Sie andere Eltern schnell darüber informieren müssen, dass eine Kampagne kursiert, genügt eine einfache SMS über einen Online-Dienst, ganz ohne Installation. Die beste kollektive Verteidigung gegen eine Smishing-Kampagne bleibt nach wie vor die Geschwindigkeit, mit der sich die Information in der Nachbarschaft verbreitet.
