# RCS, die SMS der neuen Generation: Was dieser Standard bei Betrugsmaschen wirklich verändert

> RCS ersetzt nach und nach die SMS auf Android-Handys und iPhones. Verifizierte Logos, Verschlüsselung, angereicherte Nachrichten: Was dieser Standard tatsächlich schützt – und welche neuen Türen er Betrügern öffnet.

- Source: https://www.envoyer-sms-gratuit.com/de/blog/2026-09-06/sms-frauduleux-messagerie-rcs-chiffrement-nouvelles-menaces
- Published: 2026-09-06 (6. September 2026)
- Author: L'équipe Envoyer SMS Gratuit
- Language: de
- Categories: Guide
- Tags: Cybersécurité, SMS, Smartphone, Protection des données, Guide, France 2026

---
„DHL – Ihr Paket konnte nicht zugestellt werden." Die Nachricht erscheint, aber etwas hat sich verändert. Neben dem Namen des Absenders steht ein kleines rundes Logo in den Farben des Unternehmens. Darunter ein blaues Feld: „Verifiziert". Und drei angebotene Schaltflächen: „Paket verfolgen", „Neuen Termin wählen", „Kundenservice kontaktieren".

Das ist keine SMS mehr. Das ist eine RCS-Nachricht – und sie ähnelt weit eher einer WhatsApp-Unterhaltung als dem reinen 160-Zeichen-Text, den wir seit dreißig Jahren kennen. Seit Apple den Standard Ende 2024 in iOS integriert hat und Google ihn auf Android flächendeckend ausgerollt hat, hat der native Nachrichtendienst Ihres Telefons klammheimlich seine Natur verändert. Die meisten Nutzerinnen und Nutzer haben es nie bemerkt.

Dieser Wechsel ist eine gute Nachricht für die Sicherheit. Er schafft aber auch eine gefährliche Lage: ein Publikum, das lernt, kleinen Logos und „Verifiziert"-Plaketten zu vertrauen, ohne zu wissen, was diese wirklich garantieren – und vor allem, was nicht.

![Smartphone auf einem Holztisch, auf dem Display die Wähltastatur mit einer eingegebenen unbekannten Rufnummer](/images/blog/2026-09-06-sms-frauduleux-messagerie-rcs-chiffrement-nouvelles-menaces/hero.jpg)

## RCS: Wovon genau sprechen wir?

Das Kürzel steht für *Rich Communication Services*, „angereicherte Kommunikationsdienste". Es handelt sich um einen Standard der GSMA, des weltweiten Verbands der Mobilfunkbetreiber, der bereits 2008 konzipiert wurde, um SMS und MMS abzulösen – Technologien, die gegenüber den Internet-Messengern technisch längst veraltet waren.

Konkret bringt RCS vier Dinge mit, die die SMS nie konnte:

- **Nachrichten ohne Größenbeschränkung**, mit Fotos, Videos und Dateien in voller Auflösung;
- **Lesebestätigungen und die Anzeige „schreibt gerade"**, wie bei den App-Messengern;
- **Die Übertragung über das Internet** (WLAN oder mobile Daten) statt über den Signalisierungskanal des Telefonnetzes;
- **Identifizierte geschäftliche Absender**, mit Logo, vollständigem Namen, Markenfarbe und Verifizierungsabzeichen.

Der letzte Punkt ist der, der uns hier interessiert. Im RCS-Ökosystem kann ein Unternehmen, das Ihnen Nachrichten senden möchte, nicht mehr einfach ein Gateway bezahlen und „Telekom" oder „Krankenkasse" ins Absenderfeld schreiben. Es muss einen Registrierungsprozess durchlaufen: Prüfung der Rechtsidentität, Freigabe des Logos, Kontrolle durch den Netzbetreiber oder durch Google. Dieser Baustein heißt **RCS Business Messaging**.

Auf dem Papier löst das das historische Problem der SMS: das völlige Fehlen einer Absender-Authentifizierung.

## Die Ursünde der SMS – und warum RCS sie behebt

Man muss sich klarmachen, wie naiv das SMS-Protokoll ist. Ende der 1980er-Jahre für den Austausch zwischen Teilnehmern desselben Netzes entwickelt, hat es nie einen Mechanismus zur Überprüfung des Absenders vorgesehen. Wenn ein Unternehmen eine Nachricht verschickt, füllt es ein freies Textfeld namens *Sender ID* aus. Dieses Feld wird in der gesamten technischen Kette von niemandem überprüft.

Genau das macht **Spoofing** möglich: die Fälschung des Absendernamens. Ein Betrüger, der „AMELI" in dieses Feld schreibt, landet mit seiner Nachricht im bestehenden Gesprächsverlauf der Krankenkasse auf Ihrem Telefon, direkt unter den echten Nachrichten. Cybermalveillance.gouv.fr, die französische nationale Anlaufstelle für Opfer von Cyberkriminalität, dokumentiert diesen Mechanismus seit Jahren in seinen Merkblättern zum Smishing.

Als Reaktion darauf hat Frankreich im Oktober 2023 das **Register der SMS-Absendernamen** eingeführt, betrieben von der Association Française du Multimédia Mobile (AF2M) unter der Aufsicht der Arcep. Jedes Unternehmen, das einen alphanumerischen Namen verwenden möchte, muss ihn seither anmelden, und die Netzbetreiber blockieren Sendungen mit nicht registriertem Absender. Ein echter Fortschritt – aber ein rein nationaler: Sendungen, die über ausländische Gateways oder gefälschte Mobilfunkmasten (die berüchtigten SMS Blaster) laufen, umgehen das System teilweise.

RCS geht weiter, denn die Überprüfung ist nicht deklarativ, sondern **kryptografisch und visuell**: Logo und Abzeichen werden von der Plattform ausgespielt, nicht vom Absender der Nachricht. Ein Betrüger kann sie nicht einfach im Text seiner Nachricht nachbauen.

## Was das „Verifiziert"-Abzeichen garantiert – und was nicht

Das ist der Kern des Themas und die Quelle der meisten Missverständnisse.

**Was das Abzeichen garantiert:**

> Die Instanz, die Ihnen schreibt, hat Unternehmensnachweise vorgelegt und wurde von der Plattform validiert. Das angezeigte Logo gehört ihr. Die Nachricht wurde nicht von einem Dritten erstellt, der sich für sie ausgibt.

**Was das Abzeichen absolut nicht garantiert:**

- Dass der Inhalt der Nachricht ehrlich ist. Ein tatsächlich eingetragenes Handelsunternehmen kann Ihnen sehr wohl ein irreführendes Angebot, ein Abo-Fallenmodell oder eine aggressive Ansprache schicken. Die Verifizierung betrifft die Identität, nicht die Absicht.
- Dass der Link in der Nachricht sicher ist. Nichts hindert eine legitime Nachricht daran, auf eine kompromittierte Seite zu verweisen.
- Dass alle nicht verifizierten Nachrichten betrügerisch sind. Viele kleine Betriebe, Vereine, Arztpraxen oder Werkstätten verschicken weiterhin einfache SMS. Das Fehlen eines Abzeichens ist kein Betrugssignal.

Diese Nuance muss unbedingt vermittelt werden, gerade an die besonders gefährdeten Gruppen. Zehn Jahre lang haben wir Seniorinnen und Senioren beigebracht, dass „das grüne Schloss im Browser nicht bedeutet, dass die Website seriös ist". Das RCS-Abzeichen wird gerade zum neuen grünen Schloss: ein nützlicher Hinweis, den diejenigen, die nicht wissen, was er misst, zum absoluten Beweis erheben.

## Die neuen Angriffsflächen, die RCS eröffnet

Der Wechsel vom reinen Text zu einem angereicherten Nachrichtendienst verschiebt zwangsläufig das Spielfeld. Drei Entwicklungen verdienen Aufmerksamkeit.

### 1. Die Nachricht, die nicht mehr wie eine Nachricht aussieht

Eine betrügerische SMS erkannte man an ihrer Hässlichkeit: Rechtschreibfehler, seltsame URL im Klartext, kein Layout. Eine RCS-Nachricht kann ein **Bildkarussell**, Aktionsschaltflächen, eine interaktive Karte und eine Markenfarbe anzeigen. Der Rechtschreibfehler bleibt, aber er geht in einer gepflegten Oberfläche unter, die Vertrauen weckt.

Der Reflex „Ich schaue mir den Link an, bevor ich klicke" wird zudem schwieriger: Bei einer Aktionsschaltfläche ist die Ziel-URL schlicht **nicht sichtbar**. Sie tippen auf „Paket verfolgen", ohne je zu sehen, wohin es Sie führt.

### 2. Die Rückkehr des Dateianhangs

Die SMS transportierte nur einen Link. RCS transportiert Dateien, bis zu mehreren hundert Megabyte. Damit kehrt auf dem Handy ein Angriffsvektor zurück, den man der E-Mail vorbehalten glaubte: der präparierte Anhang. Unter Android bleibt eine APK-Datei, die in einer Unterhaltung verschickt und als „die App zur Verfolgung Ihres Vorgangs" präsentiert wird, einer der wichtigsten Wege zur Installation von Banking-Spionagesoftware – wie die Teams der ANSSI und die Anbieter von Mobile-Security-Lösungen regelmäßig dokumentieren.

### 3. Die Abhängigkeit vom Internet

RCS läuft über Daten. Eine Nachricht, die verschickt wird, während Sie sich in einem Funkloch befinden oder Ihr Datenvolumen aufgebraucht ist, fällt automatisch auf die klassische SMS zurück – also ohne Abzeichen, ohne Logo, ohne Verschlüsselung. Dieser stille Wechsel erzeugt eine visuelle Ungereimtheit, die Betrüger ausnutzen können: „Ihre Nachricht ist im eingeschränkten Modus angekommen, klicken Sie hier, um sie anzusehen." Das Telefon geladen und verbunden zu halten hat hier also eine echte Sicherheitsfunktion – was den Erfolg von [kompakten Powerbanks](https://www.amazon.de/s?k=batterie+externe+compacte+pour+smartphone&tag=ds0e9f-21) bei Vielnutzern erklärt.

![Junge Frau mit Sonnenbrille liest vor einem Schaufenster eine Nachricht auf ihrem Handy](/images/blog/2026-09-06-sms-frauduleux-messagerie-rcs-chiffrement-nouvelles-menaces/body-1.jpg)

## Und was ist mit der Verschlüsselung?

Das ist das am häufigsten missverstandene Thema. Die SMS ist **nicht Ende-zu-Ende-verschlüsselt**: Sie läuft im Klartext durch die Infrastruktur des Netzbetreibers, der sie technisch mitlesen kann, und wird eine Zeit lang auf dessen Servern gespeichert. Genau deshalb raten Fachleute seit Langem davon ab, Bank-Authentifizierungscodes per SMS zu empfangen.

RCS hat diese Schwäche lange geerbt. Google hat die Ende-zu-Ende-Verschlüsselung in seine eigene Messages-App eingebaut, allerdings nur zwischen zwei Nutzern dieser App. Seit der Veröffentlichung des Profils **RCS Universal Profile 3.0** durch die GSMA im Jahr 2025 ist die Ende-zu-Ende-Verschlüsselung auf Ebene des Standards selbst vorgesehen, auch zwischen Android und iPhone. Die tatsächliche Ausbreitung hängt von den Updates der Betriebssysteme und Apps ab.

Zwei Dinge sollte man sich merken:

| | Klassische SMS | RCS (aktuelles Profil) |
|---|---|---|
| Absender authentifiziert | Nein (AF2M-Register in Frankreich) | Ja für verifizierte Unternehmen |
| Ende-zu-Ende-Verschlüsselung | Nein | Ja, je nach Version |
| Übertragung | Netz des Betreibers | Internet |
| Dateianhänge | Nein | Ja |
| Lesbar ohne Datennetz | Ja | Nein |

Die Verschlüsselung schützt Ihre **privaten** Unterhaltungen vor dem Abfangen. Gegen Betrug schützt sie überhaupt nicht: Ein Betrüger, der Ihnen direkt schreibt, schreibt Ihnen durch eine verschlüsselte Leitung – seine Lüge wird dadurch nicht vertrauenswürdiger. Vertraulichkeit mit Verlässlichkeit zu verwechseln ist der häufigste Denkfehler bei diesem Thema.

## Die Reflexe, die 2026 ein Update brauchen

Die Ankunft von RCS macht keinen der bestehenden Reflexe überflüssig. Sie fügt einige hinzu.

**1. Den Kanal prüfen, nicht die Nachricht.** Die goldene Regel bleibt unverändert: Keine Behörde, keine Bank, kein Paketdienst wird Sie auffordern, Ihre Zugangsdaten oder Bankverbindung über eine empfangene Nachricht einzugeben. Ganz gleich, welches Logo angezeigt wird: schließen und selbst auf die offizielle Website oder in die App gehen.

**2. Lange drücken statt antippen.** In den meisten Messaging-Apps zeigt ein langer Druck auf eine Aktionsschaltfläche oder einen Link die Zieladresse an, ohne sie zu öffnen. Gewöhnen Sie sich das an: Es ist die einzige Möglichkeit zu sehen, wohin eine RCS-Schaltfläche führt.

**3. Jeder in einer Unterhaltung empfangenen Datei misstrauen.** Keine öffentliche Stelle, keine seriöse Bank verteilt ihre App anders als über den App Store oder den Play Store. Eine per Nachricht empfangene Installationsdatei ist ausnahmslos betrügerisch.

**4. Auf Stimmigkeit achten, nicht auf Ästhetik.** Eine verifizierte geschäftliche Nachricht, die Sie duzt, Ihnen mit einer 24-Stunden-Frist droht oder eine „Nachzahlung von 1,99 €" verlangt, ist verdächtig – egal wie hübsch sie aufgemacht ist. Dringlichkeit und Kleinstbetrag sind die beiden beständigsten Merkmale des Betrugs.

**5. Die Meldenummer griffbereit halten.** Der französische nationale Meldedienst für betrügerische SMS und Anrufe, die 33700, wird von den Netzbetreibern unter staatlicher Aufsicht betrieben und nimmt weitergeleitete unerwünschte Nachrichten entgegen. Parallel dazu bleiben die Plattform Pharos und die Website cybermalveillance.gouv.fr die Anlaufstellen für schwerwiegendere Fälle.

**6. Bei den Messaging-Apps aufräumen.** Auf vielen Android-Telefonen sind zwei Apps installiert, die Nachrichten empfangen können. Das vervielfacht die Eingangspunkte und verwischt die Orientierung. Nur eine – aktuell gehaltene – zu behalten, erleichtert die Wachsamkeit erheblich.

## Der Sonderfall der Seniorinnen, Senioren und weniger versierten Nutzer

Jede Veränderung der Benutzeroberfläche hat eine Nebenwirkung: Sie setzt die Orientierungspunkte derjenigen zurück, die Jahre gebraucht haben, um sie aufzubauen. Eine 80-jährige Person, die endlich verstanden hatte, dass „eine echte Nachricht meiner Bank nie einen Link enthält", steht nun vor bunten Sprechblasen, Schaltflächen, Logos und Vorschaubildern.

Ein paar einfache Maßnahmen verringern das Risiko:

- **RCS deaktivieren** in den Einstellungen der Messages-App, wenn die Person es ohnehin nicht nutzt. Das Telefon kehrt zur klassischen SMS zurück – ärmer, aber übersichtlicher.
- **Die Installation von Apps aus unbekannten Quellen sperren**, eine Option in den Sicherheitseinstellungen von Android, die den Großteil der Angriffe über Dateianhänge neutralisiert.
- Für wirklich begrenzte Anwendungen ein **[Seniorenhandy mit großen Tasten](https://www.amazon.de/s?k=telephone+portable+senior+grosses+touches&tag=ds0e9f-21)** in Betracht ziehen, dessen Nachrichtenfunktion bewusst schlicht bleibt: weniger Funktionen bedeutet auch weniger Angriffsfläche.
- Wichtige Zugangsdaten in einem **Passwort-Notizbuch aus Papier** zu Hause notieren, statt sie in Handy-Notizen zu speichern oder sie in der Eile neu anfordern zu müssen – ein Moment, den Betrüger ausnutzen.
- Eine **Handyhalterung für den Schreibtisch** in der Nähe des heimischen Arbeitsplatzes aufstellen, damit die Person sich angewöhnt, ihre Nachrichten in Ruhe im Sitzen zu lesen statt im Gehen auf der Straße. Hast ist der wichtigste Faktor für einen unbedachten Klick.

## Was man sich merken sollte

RCS ist eine echte Verbesserung. Die Authentifizierung geschäftlicher Absender macht die grobe Fälschung von „CPAM" oder „La Poste", mit der das Smishing zehn Jahre lang groß geworden ist, deutlich schwieriger. Die Ende-zu-Ende-Verschlüsselung schließt, im Zuge ihrer Verbreitung, eine strukturelle Schwäche der SMS.

Aber keine technische Verbesserung hat je einen Betrug beseitigt: Sie verlagert ihn. Betrugskampagnen wandern zu gewöhnlichen Mobilfunknummern, zu WhatsApp, zu den Messengern von Verkaufsplattformen, zu gefälschten QR-Codes. Und vor allem stützen sie sich auf das, was die Technik nie beheben wird: Angst, Zeitdruck, Müdigkeit, das Vertrauen in ein Logo.

Die Frage, die man sich vor einer Nachricht stellen sollte, lautet also nicht „Sieht sie echt aus?", sondern „Verlangt sie etwas von mir, das ich nicht selbst angestoßen habe?". Diese Frage funktioniert bei einer SMS von 1995 genauso gut wie bei einer angereicherten Nachricht von 2026.

{/* image-sources: https://images.pexels.com/photos/11090579/pexels-photo-11090579.jpeg?auto=compress&cs=tinysrgb&dpr=2&h=650&w=940 https://images.pexels.com/photos/12679946/pexels-photo-12679946.jpeg?auto=compress&cs=tinysrgb&dpr=2&h=650&w=940 */}