„Ihr Mobilfunktarif wird am 14.09. wegen Zahlungsverzugs gesperrt (1,90 € offen). Jetzt begleichen: espace-client-regularisation[.]info"
Ein lächerlicher Betrag. Eine Frist in zwei Tagen. Und vor allem: ein Dienst, den Sie mit Sicherheit nutzen – denn Sie lesen diese Nachricht ja auf genau dem betroffenen Telefon.
Genau darin liegt die statistische Überlegenheit dieser Masche gegenüber allen anderen. Eine gefälschte Paket-SMS funktioniert nur, wenn Sie tatsächlich eine Lieferung erwarten. Ein gefälschtes Bußgeld funktioniert nur, wenn Sie Auto fahren. Eine gefälschte SMS der Krankenzusatzversicherung setzt voraus, dass Sie eine haben. Aber eine gefälschte SMS eines Mobilfunkanbieters trifft per Definition 100 % der Empfänger: Um die Nachricht überhaupt zu bekommen, braucht man einen Mobilfunkanschluss, also einen Anbieter, also eine Rechnung. Die Trefferquote ist maximal – ganz ohne jedes Targeting.
Warum dieses Szenario rechnerisch das lukrativste ist
Smishing-Kampagnen misst man an ihrer Rendite: Zahl der Opfer im Verhältnis zur Zahl der Versendungen. Die Betrüger, die Nummerndatenbanken im Großhandel einkaufen, denken exakt wie Werbetreibende.
Und das Szenario „Mobilfunkanbieter" vereint gleich vier Vorteile:
- Eine universelle Zielgruppe. Es ist keinerlei Vorauswahl nötig. Orange, SFR, Bouygues Telecom und Free decken den französischen Markt im Wesentlichen ab: Wählt der Betrüger einen der vier per Zufall, liegt er bereits mit einer Wahrscheinlichkeit von eins zu vier oder fünf richtig – und noch häufiger, wenn er einfach „Ihr Anbieter" ohne Markennamen schreibt.
- Ein glaubwürdiger und schmerzloser Betrag. 1,90 €, 2,40 €, 4,99 €: Summen, wie sie jeder schon einmal auf einer Telekomrechnung gesehen hat (außerhalb des Tarifs, Sonderrufnummer, versehentlich aktivierte Option). Zu gering, um einen Anruf beim Kundenservice zu rechtfertigen, aber realistisch genug, dass man die Sache schnell erledigen möchte.
- Eine unmittelbare, konkrete Sanktion. Die Sperrung des Anschlusses ist keine abstrakte Drohung. Ohne Telefon bekommt man keine Bankcodes mehr, kann nicht mehr anrufen, ist abgeschnitten. Diese Angst wiegt deutlich schwerer als die vor einem verlorenen Paket.
- Eine bereits vorhandene Gewohnheit. Mobilfunkanbieter verschicken tatsächlich SMS: Verbrauchsübersicht, Datenvolumen aufgebraucht, Zahlungserinnerung, Bestellbestätigung. Die gefälschte Nachricht fügt sich nahtlos in einen bereits vertrauten, legitimen Nachrichtenstrom ein.
Die Arcep weist in ihren Empfehlungen zu unerwünschten und betrügerischen Nachrichten darauf hin, dass der Telekommunikationssektor in Frankreich zu den am häufigsten missbrauchten Identitäten in Phishing-Kampagnen zählt – neben öffentlichen Stellen und Banken. Cybermalveillance.gouv.fr ordnet Smishing unter die von Privatpersonen am häufigsten gemeldeten Bedrohungen ein, mit einem wachsenden Anteil an Szenarien, die Anbieter alltäglicher Dienstleistungen imitieren.
Die fünf Varianten, die tatsächlich vorkommen
1. Die Rechnungsbegleichung
Die häufigste Variante. Kleiner Betrag, kurze Frist, Link zu einer gefälschten Zahlungsseite mit Logo und Corporate Design des Anbieters. Das unmittelbare Ziel ist die Bankkarte – Nummer, Gültigkeitsdatum, Prüfziffer – und anschließend die 3-D-Secure-Bestätigung, die von einem falschen Berater abgefangen wird, der Sie gleich darauf anruft.
2. Das Treuegeschenk
„Sehr geehrter Kunde, 18 Jahre Treue: Erhalten Sie Ihr generalüberholtes Smartphone gratis, Versandkosten 2 €." Das Register wechselt vollständig: keine Angst mehr, sondern Belohnung. Es ist dieselbe Mechanik wie bei Erstattungsbetrügereien. Die Versandkosten dienen dazu, die Bankkartendaten abzugreifen – und vor allem, um im Kleingedruckten ein wiederkehrendes Abonnement über 49 € pro Monat unterschreiben zu lassen.
3. Die falsche technische Störungsmeldung
„Auf Ihrer SIM-Karte wurde eine Unregelmäßigkeit festgestellt. Bestätigen Sie Ihre Identität, um eine Unterbrechung des Dienstes zu vermeiden." Hier wird kein Geld verlangt. Verlangt werden Ihre Kundennummer, Ihr Passwort für das Kundenkonto, manchmal Ihre SIM-Kartennummer oder Ihr Ausweisdokument. Das ist das gefährlichste Szenario – und dasjenige, das die Öffentlichkeit am schlechtesten versteht.
4. Die falsche Erstattung einer Überzahlung
„Aufgrund eines Abrechnungsfehlers steht Ihnen eine Gutschrift von 38,60 € zu." Die kommerzielle Variante der falschen Steuerrückerstattung: Man verlangt Ihre Bankverbindung „für die Überweisung", danach die Zugangsdaten zum Online-Banking „zur Überprüfung des Kontoinhabers".
5. Die angebliche Tarifänderung
„Ihr Tarif ändert sich zum 1. Oktober: +3 € pro Monat. Zum Widersprechen hier klicken." Technisch gesehen dürfen Anbieter ihre Vertragsbedingungen mit einer Vorankündigung von einem Monat ändern, und der Kunde kann kostenlos kündigen: Diese reale Regel aus dem französischen Post- und Telekommunikationsgesetzbuch verleiht der gefälschten Nachricht eine erschreckende Glaubwürdigkeit.
Die eigentliche Beute: Ihr Kundenkonto, nicht Ihre Kreditkarte
Das ist der Punkt, den die meisten Präventionsartikel übersehen. 1,90 € zu stehlen bringt nichts. Eine Kreditkartennummer zu stehlen ist nützlich, aber die Karte wird binnen weniger Tage gesperrt.
Ein Zugang zu Ihrem Kundenkonto beim Mobilfunkanbieter ist dagegen weit mehr wert. Von dort aus kann ein Betrüger:
- eine Ersatz-SIM-Karte bestellen und an eine von ihm kontrollierte Adresse liefern lassen – das ist das Einfallstor für SIM-Swapping, mit dem er anschließend Ihre Bank-Bestätigungscodes empfängt;
- Ihren RIO-Code abrufen, der für die Rufnummernmitnahme zu einem anderen Anbieter unerlässlich ist: Mit diesem Code und Ihren Identitätsdaten kann er Ihre Rufnummer übertragen und Sie ihrer berauben;
- Ihre Einzelverbindungsnachweise einsehen, die Ihre Adresse, teils teilweise maskierte Bankverbindung und Ihre Bestellhistorie enthalten;
- Optionen hinzubuchen, ein Telefon in Raten auf Ihren Namen bestellen oder die Kontakt-E-Mail-Adresse ändern, um Sie von allen Warnmeldungen abzuschneiden.
Mit anderen Worten: Das Formular, das „nur" Ihre Zugangsdaten verlangt, ist unendlich viel giftiger als jenes, das Ihre Karte abfragt. Das erste kostet Sie Ihre digitale Identität, das zweite eine Summe, die Sie sich von der Bank zurückholen können.
Einfache Regel: Ein Mobilfunkanbieter wird Sie niemals per SMS nach Ihrem Passwort, Ihrem RIO-Code, Ihrer PUK oder einem Foto Ihres Ausweises fragen. Diese Angaben zirkulieren nicht per Nachricht.
Sechs Signale, die die gefälschte SMS verraten
| Signal | Legitime Nachricht | Betrügerische Nachricht |
|---|---|---|
| Absender | Kurzer, nicht antwortbarer Name (z. B. „Orange") oder fünfstellige Kurznummer | Klassische Mobilnummer mit 06/07 oder ausländische Nummer |
| Link | Offizielle Domain des Anbieters, ohne exotische Subdomain | Ähnlich klingende Domain: orange-facture-client[.]info, sfr-regul[.]xyz |
| Personalisierung | Oft Ihr Name, die letzten 4 Ziffern der Rufnummer | „Sehr geehrter Kunde", keinerlei überprüfbare Angaben |
| Betrag | Entspricht Ihrer tatsächlichen Rechnung | Runde oder winzige Summe, nie nachvollziehbar |
| Frist | Mehrere Wochen, gestaffelte Erinnerungen | 24 bis 72 Stunden, drohender Tonfall |
| Verlangtes Zahlungsmittel | Bereits eingerichtetes Lastschriftverfahren | Bankkarte, „ausnahmsweise" einzugeben |
Das zuverlässigste Signal bleibt der Link. Französische Mobilfunkanbieter nutzen ihre Hauptdomains; alles, was nach markenname-irgendwas.tld aussieht, verdient sofortiges Misstrauen. Auf dem Smartphone wird die URL durch die Anzeige abgeschnitten: Halten Sie den Link lange gedrückt, um ihn vollständig zu sehen, ohne ihn zu öffnen, oder tippen Sie ihn von Hand auf einem größeren Bildschirm ab. Viele Leser entlarven den Schwindel allein dadurch, dass sie die Nachricht auf einem Computer oder einem Tablet mit neigbarem Ständer betrachten, wo die Adresse vollständig ausgeschrieben erscheint.
Was zu tun ist – der Reihe nach –, wenn Sie geklickt haben
Verlieren Sie keine Zeit mit Selbstvorwürfen: Schnelligkeit zählt mehr als nachträgliche Einsicht.
- Wenn Sie Ihre Bankkartendaten eingegeben haben: Rufen Sie sofort die Sperrnummer Ihrer Bank an (oder die auf der Rückseite der Karte) und lassen Sie die Karte sperren. Bei bereits erfolgter Abbuchung muss die Bank nicht autorisierte Transaktionen gemäß dem französischen Währungs- und Finanzgesetzbuch erstatten, außer bei grober Fahrlässigkeit Ihrerseits – umso wichtiger ist eine schnelle Meldung.
- Wenn Sie Ihre Anbieter-Zugangsdaten eingegeben haben: Ändern Sie das Passwort des Kundenkontos über die offizielle App, aktivieren Sie die Zwei-Faktor-Authentifizierung, sofern angeboten, und prüfen Sie, ob keine SIM-Bestellung oder Adressänderung registriert wurde.
- Wenn Sie dieses Passwort auch anderswo verwendet haben (was sehr häufig vorkommt), ändern Sie es überall. Jetzt ist der richtige Moment, auf einen Passwortmanager umzusteigen – oder ersatzweise auf ein Passwort-Notizbuch aus Papier, das außer Sichtweite verwahrt wird: eine unvollkommene Lösung, aber weit besser als dasselbe Passwort auf fünfzehn Websites.
- Melden Sie die Nachricht an die 33700, die offizielle Meldeplattform für unerwünschte SMS und Anrufe, getragen von den Mobilfunkanbietern und beaufsichtigt von der Arcep: Leiten Sie die SMS an die 33700 weiter und senden Sie anschließend die Absendernummer, wenn Sie danach gefragt werden. Das ist kostenlos und trägt zur Sperrung der Absendernummern bei.
- Melden Sie die Adresse der Website über die Plattform Phishing Initiative oder über cybermalveillance.gouv.fr, das auch zu kostenloser Unterstützung weiterleitet.
- Erstatten Sie Anzeige, wenn ein finanzieller Schaden entstanden ist – bei der Polizei, der Gendarmerie oder über den Online-Anzeigendienst des französischen Innenministeriums. Bewahren Sie Screenshots, Kontoauszüge und Zeitstempel auf.
Die Angriffsfläche dauerhaft verkleinern
Man kann einen Betrüger nicht daran hindern zu schreiben. Man kann aber begrenzen, was er aus Ihrer Reaktion machen kann.
Den physischen Zugang sichern. Die SIM-Karte selbst ist durch einen PIN-Code geschützt: Belassen Sie ihn nicht auf der Werkseinstellung. Wenn Sie häufig das Gerät wechseln oder viel reisen, verhindert eine kleine Aufbewahrungsbox für SIM-Karten, dass die Originalkarte mit der PUK verloren geht – ein Dokument, das Betrüger nur zu gern als Foto in Umlauf sehen.
Den Bankkanal vom Alltagskanal trennen. Viele Betrugsmaschen gelingen, weil dasselbe Telefon Werbung, unbekannte SMS und Bank-Bestätigungscodes empfängt. Manche Haushalte behalten bewusst ein einfaches Mobiltelefon mit großen Tasten mit einer zweiten, ausschließlich sensiblen Institutionen vorbehaltenen Rufnummer: eine gängige Praxis bei Menschen, die bereits Opfer geworden sind, und bei Senioren, die von Angehörigen begleitet werden.
Updates und Filter installieren. Android wie iOS filtern inzwischen einen Teil der unbekannten Absender heraus und markieren bestimmte gefährliche Links. Diese Schutzmechanismen funktionieren nur auf einem aktuellen System – was manchmal bedeutet, einen müden Akku zu ersetzen, statt Updates aus Angst vor der Laufzeit aufzuschieben.
Auch die Hardware schützen. Ein gesprungenes Display ist kein Thema der Cybersicherheit, macht das Lesen einer URL aber nahezu unmöglich; eine Schutzfolie aus gehärtetem Glas und eine ordentliche Hülle kosten weniger als ein Lesefehler.
Sich in Ruhe weiterbilden. Die Leitfäden von Cybermalveillance.gouv.fr sind ausgezeichnet und kostenlos, doch für Menschen, die mit dem Digitalen weniger vertraut sind, funktioniert ein gedruckter Ratgeber zu Internetbetrug neben dem Telefon oft besser als ein von der Familie geschickter Link: Man blättert im Moment des Zweifels darin – ganz ohne Bildschirm.
Der Reflex, der die Masche wirkungslos macht
Dieses ganze Schutzsystem beruht auf einer einzigen Regel, leicht zu merken und ohne jede technische Kompetenz anwendbar:
Benutzen Sie niemals den Weg, den die Nachricht Ihnen vorgibt.
Wenn die Rechnung echt ist, liegt sie in Ihrem Kundenkonto, erreichbar über die offizielle App, die Sie selbst öffnen. Wenn die Sperrung real ist, erscheint sie ebenfalls dort. Wenn das Treuegeschenk existiert, übersteht es fünf Minuten Überprüfung. Kein französischer Mobilfunkanbieter kappt einen Anschluss binnen 48 Stunden wegen 1,90 € ohne mehrere vorherige schriftliche Mahnungen.
Schließen Sie die SMS. Öffnen Sie die App. Sehen Sie sich die Rechnung an. In 100 % der betrügerischen Fälle gibt es nichts zu zahlen – und Sie haben in dreißig Sekunden eine Masche entschärft, die Tausende Menschen in diesem Monat teuer bezahlen werden.
Ein letzter Rat, der für alle Familien gilt: Sprechen Sie darüber. Diese Nachrichten funktionieren, weil man sie allein bearbeitet, in Eile, zwischen zwei Aufgaben. Eine SMS, die man jemand anderem laut vorliest, verliert augenblicklich ihre Überzeugungskraft. Das ist vermutlich die billigste Sicherheitsmaßnahme, die es gibt.
