# Gefälschte SMS von der IT-Abteilung: Die Betrugsmasche, die Beschäftigte im Homeoffice trifft

> Eine SMS mit dem Absender „IT-Support" fordert Sie auf, Ihr Passwort zurückzusetzen oder eine Anmeldung zu bestätigen: So funktionieren Smishing im Unternehmensumfeld und MFA-Fatigue – und diese Reflexe schützen Sie im Homeoffice.

- Source: https://www.envoyer-sms-gratuit.com/de/blog/2026-09-09/arnaques-sms-teletravail-materiel-informatique-entreprise
- Published: 2026-09-09 (9. September 2026)
- Author: L'équipe Envoyer SMS Gratuit
- Language: de
- Categories: Guide
- Tags: Cybersécurité, Smartphone, Guide, SMS, Protection des données, France 2026

---
„IT-SUPPORT: Ihr Microsoft-365-Konto läuft in 12 Stunden ab. Setzen Sie Ihr Passwort zurück, bevor es gesperrt wird: portail-rh-connexion[.]net"

Die Nachricht kommt an einem Donnerstag um 8:47 Uhr. Sie sind zu Hause, das erste Meeting beginnt in dreizehn Minuten, die Kaffeemaschine läuft und Ihr Firmenrechner zeigt bereits eine Anmeldeaufforderung. Die Nummer kennen Sie nicht – aber die Nummer der IT-Abteilung kennen Sie auch nicht auswendig, Sie hatten sie nie. Also klicken Sie.

Genau darin liegt der Unterschied zur gefälschten Paket-SMS oder zum erfundenen Bußgeld: Diese Masche spielt nicht mit der Angst vor Geldverlust, sondern mit **der Angst, die eigene Arbeit zu blockieren**. Und sie zielt auf ein sehr konkretes Profil: die isolierte Person im Homeoffice, die niemanden im Nachbarbüro fragen kann: „Hast du das auch bekommen?"

![Mann im Anzug hält ein Smartphone in beiden Händen, daneben eine Bankkarte und Briefumschläge auf einem Schreibtisch](/images/blog/2026-09-09-arnaques-sms-teletravail-materiel-informatique-entreprise/body-1.jpg)

## Warum Betrüger von Privatpersonen auf Beschäftigte umgestiegen sind

Ein gehacktes Bankkonto bringt im besten Fall ein paar tausend Euro – und die Bank blockiert die Transaktion oft ohnehin. Ein gehacktes Firmenkonto ist etwas völlig anderes: Zugang zur internen Kommunikation, zu geteilten Dateien, zu Abrechnungstools, manchmal zum Unternehmens-VPN. Für Angreifer ist die Rentabilität schlicht nicht vergleichbar.

Die ANSSI (Agence nationale de la sécurité des systèmes d'information) dokumentiert es Jahr für Jahr in ihrem *Panorama de la cybermenace*: Der **Diebstahl von Zugangsdaten** bleibt eines der häufigsten Einfallstore für Ransomware-Angriffe auf französische Unternehmen und Kommunen. Und cybermalveillance.gouv.fr, die staatliche Hilfsplattform, führt Phishing seit mehreren Jahren in Folge an der Spitze der Hilfeanfragen von Berufstätigen.

Die SMS hat sich aus einem einfachen und für IT-Abteilungen etwas ärgerlichen Grund als bevorzugter Kanal durchgesetzt: **Das private Telefon entzieht sich den Filtern des Unternehmens.** Ein Firmenpostfach ist durch ein Antispam-Gateway, einen Virenscanner, Quarantäneregeln und manchmal ein rotes Banner „Externer Absender" geschützt. Eine SMS auf einem privaten Smartphone hat davon nichts. Sie kommt ungefiltert an, im selben Verlauf wie die Nachrichten der Familie.

## Die Anatomie einer gefälschten „IT-Abteilung"-SMS

Diese Kampagnen folgen fast immer demselben Aufbau. Wer ihn erkennt, entschärft damit bereits 90 % der Versuche.

### 1. Ein Absender, der intern klingt

Die Nachricht erscheint unter einem alphanumerischen Absendernamen – „SupportIT", „MS-Securite", „DSI-Alerte" – oder unter einer unauffälligen Mobilnummer. Wichtige Erinnerung: **Der angezeigte Absendername einer SMS ist kein Identitätsnachweis.** Er wird vom Versender beim Versand selbst deklariert. In Frankreich haben Arcep und die Fédération française des télécoms seit 2023–2024 einen Filtermechanismus für gefälschte Absendernamen eingeführt (das „MEF", ein Authentifizierungsmechanismus für Absender), der den Missbrauch registrierter Marken deutlich reduziert hat. Ein Unternehmen mit 200 Beschäftigten hat seinen Kurznamen jedoch in der Regel nicht bei den Netzbetreibern hinterlegt: Dann gibt es für Betrüger nichts zu fälschen – sie erfinden einfach.

### 2. Eine Frist mit Ablaufdatum

„Innerhalb von 12 Stunden", „noch heute Abend", „letzte Erinnerung". Die kurze Frist ist kein stilistisches Detail, sondern der Kern der Masche. Sie verhindert genau die eine Handlung, die wirklich schützt: jemanden anzurufen und nachzufragen.

### 3. Ein glaubwürdiger, bürokratischer Vorwand

Die häufigsten Vorwände aus gemeldeten Kampagnen:

| Vorwand der SMS | Was die Betrüger wirklich wollen |
|---|---|
| „Ihr Passwort läuft ab" | Ihre Zugangsdaten auf einer gefälschten Anmeldeseite |
| „Neue Sicherheitsrichtlinie, registrieren Sie Ihr Gerät neu" | Sie sollen ein Profil oder eine Fernwartungs-App installieren |
| „Bestätigen Sie die ungewöhnliche Anmeldung" | Sie sollen *deren* Anmeldung über Ihre Zwei-Faktor-Authentifizierung freigeben |
| „Aktualisierung Ihrer Bankdaten für die Gehaltsabrechnung" | Ihre Kontodaten, um Ihr Gehalt umzuleiten |
| „Der Geschäftsführer braucht Sie, antworten Sie auf diese Nummer" | Einen Dialog eröffnen und in einen CEO-Fraud überleiten |

### 4. Ein überlanger Link

Die Domain imitiert Firmenvokabular – `portail-rh`, `intranet-connexion`, `sso-securite` – gefolgt von einer ungewöhnlichen Endung. Auf einem Smartphone-Display wird die Adresse abgeschnitten. Genau deshalb funktioniert die Masche auf dem Handy besser als am Computer: Sie sehen nur den Anfang des Links.

## MFA-Fatigue: Wenn die Zwei-Faktor-Authentifizierung zur Waffe wird

Das ist der hinterhältigste Mechanismus der Jahre 2025–2026 – und der breiten Öffentlichkeit am wenigsten bekannt.

Sie haben die Zwei-Faktor-Authentifizierung für Ihr Firmenkonto aktiviert. Ausgezeichnet. Nur besitzt der Angreifer Ihr Passwort bereits – erbeutet aus einem Datenleck, für ein paar Euro gekauft. Er versucht, sich anzumelden. Ihr Telefon erhält eine Benachrichtigung: „Möchten Sie diese Anmeldung genehmigen?" Sie lehnen ab.

Er versucht es erneut. Dreimal. Zehnmal. Um 2 Uhr nachts. Dann kommt die SMS: *„IT-Support: Wir testen die Sicherheit Ihres Kontos, bitte bestätigen Sie die laufende Benachrichtigung."*

Erschöpft, genervt und beruhigt durch eine Nachricht, die den vermeintlichen Fehler erklärt, tippt die Nutzerin oder der Nutzer auf „Genehmigen". Der Angreifer ist drin. Diese Technik hat einen Namen: **MFA-Fatigue** oder *Push Bombing*. Sie wurde in mehreren dokumentierten Großangriffen der vergangenen Jahre eingesetzt, und sowohl die amerikanische CISA als auch die ANSSI empfehlen inzwischen, die Bestätigung per einfachem Knopfdruck zugunsten von *Number Matching* aufzugeben – dem Code, den man vom Anmeldebildschirm abtippen muss.

> Eiserne Regel: Eine Anmeldebenachrichtigung, die **Sie nicht selbst in derselben Sekunde ausgelöst haben**, wird immer abgelehnt. Ohne Ausnahme, ohne irgendeine per SMS gelieferte Erklärung.

Für die sensibelsten Konten bleibt der robusteste Schutz hardwarebasiert: Ein **[FIDO2-Sicherheitsschlüssel](https://www.amazon.de/s?k=cl%C3%A9+de+s%C3%A9curit%C3%A9+FIDO2+USB+NFC&tag=ds0e9f-21)**, per USB eingesteckt oder per NFC angelegt, lässt sich nicht per Phishing austricksen, weil er die Adresse der Website kryptografisch prüft, bevor er antwortet. Eine gefälschte Anmeldeseite bekommt nichts – so perfekt sie auch aussehen mag.

![Bärtiger Mann mit rasiertem Kopf blickt im Dunkeln misstrauisch auf sein Smartphone-Display](/images/blog/2026-09-09-arnaques-sms-teletravail-materiel-informatique-entreprise/body-2.jpg)

## Homeoffice, das ideale Spielfeld

Beim Arbeiten von zu Hause aus kommen drei Faktoren zusammen.

**Die soziale Isolation.** Im Büro ist die Rückfrage sofort möglich und kostenlos: Man dreht sich zum Kollegen um. Zu Hause bedeutet Nachprüfen: Teams öffnen, die richtige Ansprechperson suchen, auf Antwort warten. Der kognitive Aufwand steigt, die Wachsamkeit sinkt.

**Die Vermischung der Lebensbereiche.** Dasselbe Smartphone empfängt die SMS der Kinderärztin, die Benachrichtigung der Sportgruppe und die Warnung „IT-Sicherheit". Das Gehirn schaltet nicht in den Arbeitsmodus, sondern verarbeitet alles auf demselben Aufmerksamkeitsniveau – also nebenbei.

**Private Geräte.** Viele Beschäftigte rufen ihre dienstlichen Nachrichten auf einem Telefon ab, das ihnen selbst gehört, ohne vom Arbeitgeber vorgegebene Sicherheitskonfiguration. Ein [aktuelles Android-Smartphone](https://www.amazon.de/s?k=smartphone+Android+mises+%C3%A0+jour+s%C3%A9curit%C3%A9+longue+dur%C3%A9e&tag=ds0e9f-21) mit über mehrere Jahre garantierten Sicherheitsupdates macht hier einen echten Unterschied: Ein Gerät, das keine Patches mehr erhält, wird zum Einfallstor – egal, wie umsichtig die Person am Bildschirm ist.

Hinzu kommt ein zeitlicher Faktor: Smishing-Kampagnen gegen Berufstätige werden massiv **am Montagmorgen, am Freitagnachmittag und während der Schulferien** verschickt. Das sind die Momente, in denen IT-Abteilungen überlastet oder unterbesetzt sind – und in denen eine dringende Nachricht am plausibelsten wirkt.

## Die fünf Fragen, bevor Sie den Bildschirm berühren

Keine davon erfordert technisches Wissen.

1. **Hat meine IT-Abteilung mir jemals per SMS geschrieben?** In der überwiegenden Mehrheit der Organisationen lautet die Antwort: nein. Die Kommunikation läuft über das interne Postfach, das Intranet oder das Telefon.
2. **Fordert mich die Nachricht auf, dringend *etwas zu tun*?** Eine echte Sicherheitsmeldung informiert. Ein Betrug befiehlt.
3. **Führt der Link woandershin als auf die übliche Domain meines Unternehmens?** Wenn Sie die Adresse nicht vollständig lesen können, gehen Sie davon aus, dass die Antwort Ja lautet.
4. **Habe ich die genannte Aktion selbst ausgelöst?** Keine Zurücksetzung von mir angefordert = keine legitime Zurücksetzung.
5. **Was passiert, wenn ich diese Nachricht zwei Stunden lang ignoriere?** Fast immer: nichts. Schon diese eine Frage entschärft die Dringlichkeit.

## Was tun, wenn Sie bereits geklickt haben

Der schlimmste Reflex ist Schweigen aus Scham. Hereinzufallen ist kein berufliches Fehlverhalten, sondern die vorhersehbare Folge von Angriffen, die Profis entworfen haben. Eine Meldung innerhalb von zehn Minuten begrenzt den Schaden; eine Meldung nach drei Tagen kommt nach dem Diebstahl.

**Der Reihe nach:**

- **Ändern Sie sofort das betroffene Passwort**, nach Möglichkeit von einem anderen Gerät aus – und vor allem über die offizielle, von Hand eingetippte Adresse, niemals über den Link aus der SMS.
- **Informieren Sie Ihre IT-Abteilung oder Ihre Führungskraft**, selbst im Zweifelsfall, selbst wenn Sie nichts eingegeben haben. Nur sie können offene Sitzungen ungültig machen.
- **Prüfen Sie die Regeln Ihres Postfachs**: Angreifer legen häufig eine unsichtbare automatische Weiterleitungsregel an, um Ihre E-Mails auch nach der Passwortänderung weiterzulesen.
- **Melden Sie die SMS an die 33700**, indem Sie die Nachricht weiterleiten und anschließend die Absendernummer senden. Der von der Fédération française des télécoms betriebene Dienst ermöglicht die Sperrung der Absendernummern.
- **Erstatten Sie Anzeige, wenn Daten abgeflossen sind**, und melden Sie den Vorfall auf cybermalveillance.gouv.fr, wo Sie an Dienstleister mit ExpertCyber-Label vermittelt werden.

Kommt es im Unternehmen zu einer Verletzung des Schutzes personenbezogener Daten, besteht zudem eine gesetzliche Pflicht: die Meldung an die CNIL innerhalb von 72 Stunden, gemäß Artikel 33 der DSGVO. Ihre schnelle Meldung ist Teil dieser Kette.

![Junge Frau mit Hidschab und rosafarbenem Mantel schaut auf ihr Smartphone, auf einer Straße neben einem Geländer](/images/blog/2026-09-09-arnaques-sms-teletravail-materiel-informatique-entreprise/body-3.jpg)

## Die Angriffsfläche verkleinern – was Beschäftigte tun können

Sie haben keinen Einfluss auf die Sicherheitsrichtlinie Ihres Arbeitgebers, aber auf einiges andere sehr wohl.

**Nutzungen trennen.** Die sauberste Lösung bleibt die zweite Leitung: eine [Prepaid-SIM-Karte](https://www.amazon.de/s?k=carte+SIM+pr%C3%A9pay%C3%A9e+sans+engagement&tag=ds0e9f-21) für Anmeldungen, Lieferungen und Online-Dienste, die andere ausschließlich für vertrauenswürdige Kontakte. Auf eSIM-fähigen Smartphones kostet diese Trennung nicht einmal mehr Platz. Je seltener Ihre dienstliche Nummer kursiert, desto seltener landet sie in weiterverkauften Datenbanken.

**Die eigene Nummer nicht überall hinterlassen.** Der Artikel von WeLiveSecurity darüber, wie Betrüger an Telefonnummern kommen, erinnerte in diesem Frühjahr daran: Datenlecks bei Online-Shops, Gewinnspiele und Anmeldeformulare speisen den Großteil der Listen, die für Smishing genutzt werden. Jedes ausgefüllte Formular bedeutet zusätzliche Exposition.

**Das Gerät selbst schützen.** Ein Telefon, mit dem dienstliche Anmeldungen bestätigt werden, ist ein kritischer Gegenstand. Eine verstärkte Schutzhülle und Panzerglas sind keine Spielerei: Ein gesprungenes Display, dessen Reparatur man aufschiebt, führt zu einem übereilten Gerätewechsel – mit hastigen Kontoübertragungen und vergessenen Sitzungen auf dem alten Gerät. Ebenso verhindert eine [kompakte Powerbank](https://www.amazon.de/s?k=batterie+externe+compacte+smartphone&tag=ds0e9f-21) den Klassiker des leeren Akkus genau dann, wenn man eine Anmeldung bestätigen – oder ablehnen – müsste.

**Passwörter richtig verwalten.** Dasselbe Passwort für ein Hobbyforum und ein Firmenkonto zu verwenden, ist die Hauptursache solcher Angriffe. Ein Passwortmanager, kostenlos oder kostenpflichtig, beseitigt das Problem an einem einzigen Abend. Wer es analog bevorzugt: Ein [Passwortbuch](https://www.amazon.de/s?k=carnet+de+mots+de+passe+papier&tag=ds0e9f-21) in einer abschließbaren Schublade ist unendlich viel sicherer als ein und derselbe Generalschlüssel für alles – vorausgesetzt, es verlässt nie die Wohnung.

## Was Arbeitgeber tun sollten (und was Sie einfordern können)

Wenn Sie in der Position sind, Vorschläge zu machen: Drei Maßnahmen verändern alles, und keine davon ist teuer.

- **Einen einzigen, allen bekannten Verifizierungskanal veröffentlichen**: eine interne Nummer, eine Adresse, einen Standardsatz. „Die IT-Abteilung schreibt Ihnen niemals per SMS" muss so deutlich aushängen wie die Brandschutzhinweise.
- **Die Zwei-Faktor-Authentifizierung auf Number Matching umstellen** statt auf einen bloßen Bestätigungsknopf, und physische Schlüssel für privilegierte Konten ausgeben.
- **Eine Meldekultur ohne Sanktionen etablieren.** Eine Organisation, die hereingefallene Beschäftigte abkanzelt, sorgt dafür, dass sie erst erfährt, was los ist, wenn die Ransomware bereits läuft.

Die kostenlosen Leitfäden der ANSSI und von cybermalveillance.gouv.fr – insbesondere der *Guide des bonnes pratiques de l'informatique* und die Sensibilisierungskits für Klein- und Mittelbetriebe – liefern direkt verwendbare Materialien, ganz ohne Budget.

## Das Wichtigste in einem Satz

Eine seriöse IT-Abteilung bringt Sie nie in die Lage, in Panik über Ihr privates Telefon handeln zu müssen. Immer wenn eine Nachricht **Dringlichkeit, Link und Firmenkonto** kombiniert, lautet die einzig richtige Reaktion: die SMS schließen und eine Nummer wählen, die Sie schon kannten, bevor die Nachricht ankam.

Und wenn der Zweifel bleibt, behalten Sie dieses asymmetrische Kräfteverhältnis im Kopf: Die Betrüger brauchen Ihre Antwort innerhalb von fünf Minuten. Sie hingegen dürfen bis morgen warten.

{/* image-sources: https://images.pexels.com/photos/15697340/pexels-photo-15697340.jpeg?auto=compress&cs=tinysrgb&dpr=2&h=650&w=940 https://images.pexels.com/photos/7534799/pexels-photo-7534799.jpeg?auto=compress&cs=tinysrgb&dpr=2&h=650&w=940 https://images.pexels.com/photos/6406709/pexels-photo-6406709.jpeg?auto=compress&cs=tinysrgb&dpr=2&h=650&w=940 https://images.pexels.com/photos/6084425/pexels-photo-6084425.jpeg?auto=compress&cs=tinysrgb&dpr=2&h=650&w=940 */}