„Ihr Konto wird gesperrt. Bestätigen Sie hier Ihre Daten: securite-clientweb-verif[.]info“
Auf einem Bildschirm entlarvt sich diese Nachricht schnell. Das Auge bleibt am seltsamen Absender hängen, am überlangen Domainnamen, am falsch gesetzten Punkt, an den unregelmäßigen Abständen, am leicht verschwommenen Logo. In weniger als zwei Sekunden hat eine geübte Person drei Auffälligkeiten erkannt, ohne sie überhaupt in Worte zu fassen.
Und nun hören Sie sich das an. Ein Screenreader spricht: „Ihr Konto wird gesperrt. Bestätigen Sie hier Ihre Daten, Doppelpunkt, h-t-t-p-s Doppelpunkt Slash Slash securite Bindestrich clientweb Bindestrich verif Punkt info“. Der Sprechfluss ist linear, neutral, ohne Hierarchie. Keine einzige der visuellen Auffälligkeiten existiert noch. Übrig bleibt ein Satz – und ein Satz wird nach seinem Inhalt beurteilt, genau dem, was der Betrüger sorgfältig ausgearbeitet hat.
Das ist ein blinder Fleck, der in Präventionskampagnen fast nie zur Sprache kommt: nahezu alle Ratschläge gegen Smishing beruhen auf visuellen Hinweisen. Für blinde und sehbehinderte Menschen – oder schlicht für jene, die ihr Telefon mit sehr großer Schrift und ermüdeten Augen benutzen – funktionieren diese Ratschläge schlicht nicht.
Ein größerer Personenkreis, als man denkt
Nach Daten der Fédération des Aveugles et Amblyopes de France und den Erhebungen der DREES zum Thema Behinderung geben in Frankreich rund 1,7 Millionen Menschen eine Sehstörung an, davon sind knapp 200.000 blind oder hochgradig sehbehindert. Hinzu kommt eine weitaus größere Gruppe: Menschen über 70, die von altersbedingter Makuladegeneration (AMD), grauem Star oder grünem Star betroffen sind und nicht unbedingt Hilfsmittel nutzen, ihr Telefon aber nur mühsam lesen – mit ausgestrecktem Arm, unter einer Lampe.
Diese Nutzerinnen und Nutzer sind keineswegs abgehängt. Seit der Einführung von VoiceOver auf dem iPhone und TalkBack auf Android ist das Smartphone zu einem zentralen Instrument der Selbstständigkeit geworden: SMS lesen, ein Taxi rufen, einen Geldschein identifizieren, sich ein Foto beschreiben lassen. Das INSEE stellt fest, dass die Ausstattungsquote mit Mobiltelefonen bei Menschen mit Behinderung inzwischen der der Gesamtbevölkerung entspricht.
Die logische Folge: Sie erhalten exakt dasselbe Volumen an Betrugs-SMS wie alle anderen. Betrüger kaufen Nummerndatenbanken; sie wissen nicht – und wollen auch nicht wissen –, wer dahintersteckt. Ein gezieltes Vorgehen gibt es hier nicht. Was sich unterscheidet, ist die Erfolgsquote.
Was die synthetische Stimme auslöscht
Um das Problem zu verstehen, muss man genau betrachten, was der auditive Kanal gegenüber dem visuellen wegfallen lässt.
| Klassisches Warnsignal | Mit dem Auge wahrgenommen | Über den Screenreader wahrgenommen |
|---|---|---|
Täuschender Domainname (impots-gouv[.]services) | Sofort, die Struktur springt ins Auge | Als Silbenfolge vorgelesen, ohne Hierarchie |
| Schlecht nachgeahmte Typografie oder Logos | Sofort | Nicht vorhanden |
| Rechtschreibfehler | Sofort | Durch die Aussprache oft getilgt |
| Absender mit langer Rufnummer (+33 6…) | Auf einen Blick sichtbar | Wird vorgelesen, geht aber im Redefluss unter |
| Kurz-URL (bit.ly…) | Sofortiger Verdacht | Für das Ohr bedeutungslos |
| Layout in Großbuchstaben und Dringlichkeit | Visuell aggressiv | Durch die flache Intonation neutralisiert |
Am gravierendsten sind die URLs. Das Gehirn liest eine Webadresse von rechts nach links: Man sucht zuerst die Hauptdomain unmittelbar vor dem ersten Slash. Das ist ein räumlicher Reflex. Gesprochen verschwindet diese Struktur: secure.ameli.fr und ameli.secure-verif.fr erzeugen für ein ungeübtes Ohr einen fast identischen Klangstrom, obwohl Letzteres nichts mit der französischen Krankenkasse zu tun hat.
Zweites Problem: homoglyphe Zeichen. Betrüger ersetzen ein „l“ durch ein großes „I“, ein „o“ durch eine Null oder verwenden optisch identische kyrillische Buchstaben. Visuell ist das manchmal erkennbar. Akustisch ist es vollkommen unsichtbar – die Sprachausgabe spricht das erwartete Wort.
Drittes Problem: Fehler. Ein „Ihr Konto wurde gesperrten“ springt ins Auge. Von einer synthetischen Stimme vorgelesen, verflüchtigt sich der Grammatikfehler vollständig.
Ausführlichkeit: die Einstellung, die alles verändert
Es gibt jedoch eine sehr wirksame und erstaunlich wenig bekannte Gegenmaßnahme: die Ausführlichkeit des Screenreaders erhöhen.
Standardmäßig sind VoiceOver und TalkBack auf Flüssigkeit eingestellt. Man kann sie so konfigurieren, dass sie deutlich mehr ansagen:
- Links Zeichen für Zeichen buchstabieren statt sie wie Wörter auszusprechen. Das ist langsamer, macht eine betrügerische Domain aber hörbar;
- Satzzeichen konsequent ansagen („Punkt“, „Bindestrich“, „Slash“), indem man die Interpunktionsstufe auf „Alle“ stellt;
- Großbuchstaben melden, wodurch die durch „l“ ersetzten „I“ auffallen;
- Nicht standardmäßige Zeichen oder Sprachwechsel ansagen, was die Verwendung gemischter Alphabete verrät.
Auf dem iPhone finden sich diese Einstellungen unter Einstellungen → Bedienungshilfen → VoiceOver → Ausführlichkeit. Auf Android unter Einstellungen → Bedienungshilfen → TalkBack → Einstellungen zur Ausführlichkeit. Der praktische Rat: nicht dauerhaft im Maximalmodus bleiben – das ist ermüdend –, sondern umschalten können, sobald eine Nachricht einen Link oder eine Datenabfrage enthält.
Viele Nutzerinnen und Nutzer arbeiten übrigens mit einem Knochenschall-Kopfhörer, um ihren Screenreader zu hören, ohne von den Umgebungsgeräuschen abgeschnitten zu sein; ein guter Begleiter, wenn man sich mitten auf der Straße die Zeit nehmen will, eine Adresse zu buchstabieren, ohne ihren Inhalt in die Gegend zu rufen.
Der Handgriff, der eine SMS lesbar macht: Braille
Für entsprechend ausgestattete Nutzerinnen und Nutzer verändert die Braillezeile die Lage vollständig. Während die Sprachausgabe linearisiert, gibt Braille die Zeichenkette so wieder, wie sie ist: Jeder Punkt, jeder Bindestrich, jeder Großbuchstabe ist physisch unter dem Finger präsent. Eine betrügerische URL wird wieder analysierbar – genau wie mit dem Auge.
Das Problem ist wirtschaftlicher Natur. Eine aktualisierbare Braillezeile kostet mehrere tausend Euro, auch wenn die französische Behinderten-Ausgleichsleistung (PCH) über die MDPH einen Teil finanzieren kann. Viele Betroffene besitzen keine.
Kostenlose Zwischenlösung: der Modus „Zeichen für Zeichen lesen“. Sowohl bei VoiceOver als auch bei TalkBack lässt sich mit einer vertikalen Wischgeste der Navigationsmodus für Text ändern (Wort, Zeichen, Zeile). In den Zeichenmodus wechseln und einen Link durchgehen, bevor man ihn antippt, dauert zwanzig Sekunden. Das ist der lohnendste Handgriff dieses ganzen Artikels.
Leichte Sehbehinderung: die Zoomfalle
Menschen mit geringem Sehvermögen sind nicht besser dran – aus dem umgekehrten Grund. Wer mit 300 % Vergrößerung liest, sieht immer nur einen Bruchteil einer Zeile. Das Lesefeld schrumpft auf wenige Wörter. Das Erkennen eines Betrugs beruht aber weitgehend auf dem Gesamtbild: Es ist das Zusammenspiel von Absender, Tonfall und Link, das alarmiert, nicht jedes Element für sich.
Wer stark vergrößert, liest seine SMS also im Tunnelblick. Er sieht „Assurance Maladie“ und dann, drei Verschiebungen später, einen Link, den er gedanklich nicht mehr mit dem Kontext verknüpft. Hinzu kommt die Augenermüdung: Nach zwanzig Minuten am Bildschirm sinkt die Wachsamkeit.
Einige Anpassungen helfen tatsächlich:
- Hohen Kontrast und fetten Text in den Bedienungshilfen aktivieren, statt den Zoom bis zum Anschlag hochzudrehen;
- Eine tragbare elektronische Lupe für parallel eingegangene Papierunterlagen nutzen (Briefe von Behörden, Bankverbindungen): So vermischen sich die Kanäle nicht und man verwechselt keinen echten Brief mit einer falschen SMS;
- Eine Schreibtischlampe mit Tageslichtcharakter in der Nähe des Sessels aufstellen, in dem man sein Telefon nutzt: Schlechte Beleuchtung verdoppelt die Lesezeit und halbiert die kritische Aufmerksamkeit;
- Sensible Nachrichten nicht unterwegs lesen, im Stehen im Bus. Genau dort passieren die Fehlklicks.
Manche Menschen trennen die Nutzung deshalb lieber: ein Smartphone fürs Internet und ein Mobiltelefon mit großen Tasten für die täglichen Anrufe. Das ist kein Rückschritt, sondern eine bewusste Verkleinerung der Angriffsfläche – weniger Apps, weniger verknüpfte Konten, weniger anklickbare Links.
Der wahre Schutzschild: inhaltliche Regeln statt formaler
Da die formalen Hinweise nicht zugänglich sind, muss die Wachsamkeit auf dem aufgebaut werden, was vollkommen hörbar bleibt: dem Inhalt der Nachricht. Diese Regeln haben den Vorteil, universell zu sein und nichts mit dem Sehen zu tun zu haben.
Keine Behörde, keine Bank, kein Mobilfunkanbieter fordert per SMS eine Zahlung, eine Kreditkartennummer, einen per SMS erhaltenen Code, ein Passwort oder eine Ausweiskopie an.
Diesen Satz übernehmen Cybermalveillance.gouv.fr, die DGCCRF und die Banque de France wortwörtlich. Er genügt, um die allergrößte Mehrheit der Smishing-Kampagnen auszusortieren, ohne dass man einen einzigen Pixel prüfen müsste.
Drei inhaltliche Merkmale zum Merken, die alle sehr gut über das Ohr ankommen:
- Die bezifferte Dringlichkeit. „Innerhalb von 48 Stunden“, „letzte Mahnung“, „vor Mitternacht“. Eine französische Behörde setzt per Nachricht niemals eine so kurze Frist. Sie schreibt einen Brief.
- Der Kleinbetrag. 1,79 €, 2,90 €, 0,99 €. Der lächerliche Betrag entwaffnet das Misstrauen; er dient allein dazu, die Kartennummer abzugreifen.
- Der unerwartete Kanal. Sie haben nichts bestellt, nichts gemeldet, nichts beantragt. Eine Nachricht, die ohne vorherigen Auslöser eintrifft, ist prinzipiell verdächtig.
Die Rückrufregel: niemals dem Weg der Nachricht folgen
Der zentrale, für alle zugängliche Reflex lässt sich in einem Satz zusammenfassen: niemals den Kontaktweg nutzen, den die Nachricht selbst anbietet.
Konkret heißt das: SMS schließen und die Organisation auf einem Weg erreichen, den man bereits kennt:
- Die im Adressbuch gespeicherte oder auf der Rückseite der Bankkarte aufgedruckte Nummer;
- Die offizielle, auf dem Telefon installierte App, manuell geöffnet;
- Ein zuvor im Browser gespeichertes Lesezeichen.
Hier zahlt sich Vorbereitung aus. Wer die Nummern seiner Bank, seiner Krankenkasse, seines Mobilfunkanbieters und seiner Gemeindeverwaltung im Voraus in Klarform speichert, muss sie nicht unter Zeitdruck suchen – und genau in diesem Moment klickt man. Viele führen parallel ein Notizbuch in Großdruck oder in Braille, in dem diese Referenzkontakte außerhalb des Telefons stehen. Im Zweifel liest man das Heft, nicht die Nachricht.
Für alle, die mehrere Passwörter verwalten, bringt ein mit Screenreadern kompatibler Passwortmanager einen unerwarteten Sicherheitsvorteil: Er füllt die Zugangsdaten auf einer betrügerischen Website nicht automatisch aus, weil die Domain nicht übereinstimmt. Die verweigerte Eingabe wird so zu einer Warnung, die man ohne Augenlicht wahrnehmen kann.
Melden: Die 33700 ist barrierefrei
Das nationale Meldesystem für unerwünschte SMS funktioniert in beide Richtungen und erfordert keine komplexe visuelle Bedienung.
- Per Weiterleitung: die verdächtige SMS kostenlos an die 33700 weiterleiten. Der Dienst antwortet anschließend mit einer Nachricht und fragt die Nummer des Absenders ab, die man wiederum zurücksenden muss.
- Über die Website: Die Plattform der 33700 ermöglicht eine Online-Meldung, kompatibel mit Screenreadern.
- Bei eindeutigen Betrugsversuchen: die Plattform Pharos (internet-signalement.gouv.fr) und die Seite Cybermalveillance.gouv.fr, die an Dienstleister in der Nähe vermittelt.
Wurde Geld abgebucht, ist das Vorgehen dasselbe wie für alle anderen: sofortige Sperrung bei der Bank, Strafanzeige und Berufung auf die Artikel L133-18 ff. des französischen Währungs- und Finanzgesetzbuchs, die die Erstattung einer nicht autorisierten Transaktion vorsehen.
Ein wichtiger Punkt für Angehörige und Betreuende: Eine sehbehinderte Person, die Opfer von Smishing wird, war nicht „nachlässig“. Der gegenteilige Schluss wird häufig gezogen und ist ungerecht. Ihr wurden Informationen vorenthalten, die die Benutzeroberfläche ihr nicht vermittelt hat. Die Verantwortung liegt beim Design, nicht bei der Nutzerin oder dem Nutzer.
Was die Akteure verbessern müssten
Man muss es klar sagen: Der Großteil der Arbeit sollte nicht bei den potenziellen Opfern liegen.
- Messaging-Apps könnten dem Screenreader die tatsächliche Domain eines Links ausdrücklich ansagen, noch vor dem Öffnen, statt die rohe URL vorzulesen.
- Öffentliche Präventionskampagnen sollten audiodeskriptive Fassungen anbieten: Die meisten von Anbietern und Banken verbreiteten Sensibilisierungsgrafiken sind Screenshots … ohne Alternativtext.
- Die verifizierten geschäftlichen Absender des RCS-Standards, deren Identität vorab geprüft wird, sind ein ernst zu nehmender Ansatz: Eine strukturierte Echtheitsinformation lässt sich – anders als ein Logo – von einem Screenreader wiedergeben.
Bis dahin ruht die Wachsamkeit auf drei einfachen Säulen: den Screenreader so einstellen, dass er Links buchstabiert, die Nachricht nach ihrem Inhalt und nicht nach ihrem Aussehen beurteilen und niemals über den angebotenen Kanal zurückrufen. Drei Handgriffe, die kein Sehvermögen erfordern – und die jene, die es haben, ebenso gut schützen.
