« CIC: Ungewöhnliche Anmeldung auf Ihrem Konto von einem neuen Gerät festgestellt. Falls Sie diesen Vorgang nicht veranlasst haben, sichern Sie Ihr Konto hier: cic-verification-acces[.]com »
Sie erhalten diese Nachricht um 18:40 Uhr, als Sie den Bahnhof verlassen. Die Person neben Ihnen schaut im selben Moment auf ihr Handy und runzelt die Stirn. Die Nachricht ist identisch. Sie haben nicht denselben Netzbetreiber, nicht dieselbe Bank, keinerlei Verbindung zueinander. Und trotzdem haben Sie beide auf die Sekunde genau dieselbe SMS bekommen.
Das ist keine klassische Smishing-Kampagne. Es wurde keine Nummernliste auf dem Schwarzmarkt gekauft, es gab kein Versand-Gateway, keinen Netzbetreiber am anderen Ende. Da steht ein Auto 150 Meter weiter, ein Gerät läuft über die Fahrzeugbatterie, und ein falscher Mobilfunkmast hat alle Handys im Viertel gezwungen, sich mit ihm zu verbinden, um ihnen eine Nachricht direkt in den Posteingang zu schieben. Genau das nennt man einen SMS-Blaster.
Was der SMS-Blaster radikal verändert
Bislang hatten alle betrügerischen SMS, die wir in diesem Magazin analysieren, eines gemeinsam: Sie laufen über das Netz. Der Betrüger bezahlt einen Massenversanddienst, oft im Ausland, spielt eine Nummernliste ein und drückt auf „Senden". Die Nachricht läuft über Netzbetreiber, passiert Spamfilter und hinterlässt auswertbare Spuren. Genau deshalb ergibt eine Meldung an die 33700 Sinn – den offiziellen französischen Meldedienst für Spam-Anrufe und -SMS, der von der Association Française du Multimédia Mobile in Zusammenarbeit mit den französischen Netzbetreibern betrieben wird: Sie speist eine ganz reale Sperrkette.
Der SMS-Blaster überspringt diese gesamte Ebene. Das Gerät verhält sich wie eine mobile Basisstation – ein Mobilfunkmast im Miniaturformat. Die Handys in der Umgebung, konstruktionsbedingt auf das stärkste Signal ausgerichtet, klinken sich von selbst ein. Sobald die Verbindung steht, schiebt das Gerät eine Nachricht ins Endgerät, genau wie es ein echtes Netz tun würde. Die Folgen sind gravierend:
- Kein Netzbetreiber ist beteiligt. Weder Orange noch SFR, Bouygues oder Free haben diese Nachricht je gesehen. Die Anti-Smishing-Filter der Netzbetreiber, die jedes Jahr zig Millionen betrügerische SMS blockieren, sind außen vor.
- Es wird keine Rufnummer benötigt. Der Betrüger kennt Ihre Nummer nicht, hat sie nie gekauft, nie gesehen. Er beschießt ein geografisches Gebiet, keine Liste.
- Der angezeigte Absender ist völlig frei wählbar. Das Gerät bestimmt die Absenderkennung: „CIC", „Ameli", „Chronopost", „ANTAI". Nichts zwingt zu einem glaubwürdigen Rufnummernformat.
- Die Nachricht kann in einem bestehenden Chatverlauf landen. Das ist das beunruhigendste Detail: Stimmt der angezeigte Absender exakt mit dem einer Marke überein, von der Sie bereits legitime SMS erhalten haben, gruppieren manche Handys die gefälschte Nachricht in denselben Verlauf – direkt im Anschluss an die echten.
Dieser letzte Punkt zerstört den wichtigsten Prüfreflex, den sich die Öffentlichkeit mühsam angeeignet hat. „Schauen Sie, ob die Nachricht im selben Verlauf wie die vorherigen ankommt": Dieser lange gültige Rat schützt gegen diese Technik nicht mehr.
Wie kann sich ein Kasten als Mobilfunkmast ausgeben?
Die Antwort lautet in einem Wort: 2G. GSM wurde Anfang der 1990er-Jahre eingeführt, zu einer Zeit, in der es vor allem darum ging, Privatpersonen am Mithören von Gesprächen zu hindern. Das Netz authentifiziert das Handy, aber das Handy authentifiziert das Netz nicht wirklich. Anders gesagt: Ihr Mobiltelefon weist seine Identität gegenüber der Antenne nach, die Antenne muss Ihrem Handy gegenüber nichts beweisen.
Die nachfolgenden Generationen haben diesen Mangel behoben. 3G, dann 4G und 5G verlangen eine gegenseitige Authentifizierung: Ein Piratengerät kann sich nicht mehr als legitimes Netz ausgeben. Nur ist die Abwärtskompatibilität in vielen Endgeräten standardmäßig aktiviert. Der Angreifer muss also lediglich die 4G-/5G-Bänder lokal stören oder überstrahlen, damit die Handys mangels besserer Option brav auf 2G „zurückfallen". Das nennt man einen Downgrade-Angriff.
Das technische Prinzip ist nicht neu: Es handelt sich um einen Verwandten der „IMSI-Catcher", jener Abhörkoffer, die von manchen Diensten seit Langem eingesetzt werden und Sicherheitsforschern seit über fünfzehn Jahren bekannt sind. Neu sind der Preis, die Miniaturisierung und der massenhafte kriminelle Einsatz.
Die nötige Hardware, früher Staaten vorbehalten, passt heute in einen Rucksack und lässt sich von einem Laptop aus steuern. Die Behörden mehrerer Länder – darunter Großbritannien, Thailand, Vietnam und Neuseeland – haben in den letzten Jahren derartige Geräte beschlagnahmt, oft eingebaut in Fahrzeuge, die durch die Innenstädte fuhren. In Frankreich erfüllt der Betrieb eines nicht genehmigten Funksenders auf den Netzbetreibern zugewiesenen Frequenzen mehrere eigenständige Straftatbestände, unabhängig vom Betrug selbst: Störsendung und unerlaubte Aussendung werden nach dem Code des postes et des communications électroniques geahndet, überwacht von der ANFR (Agence nationale des fréquences).
Kurze Reichweite, aber enormer Durchsatz
Ein SMS-Blaster deckt keine ganze Stadt ab. Seine nutzbare Reichweite bemisst sich in Hunderten von Metern – einige Dutzend in dichter Bebauung, mehr im offenen Gelände. In diesem Umkreis kann er dafür mehrere Tausend Endgeräte pro Stunde erreichen. Daher die Wahl der Orte: Bahnhöfe, U-Bahn-Ausgänge, Märkte, Einkaufszentren, Stadionumfeld, Warteschlangen bei Festivals. Überall dort, wo die Menschendichte am größten ist und die Leute im Gehen auf ihr Handy schauen.
Das von der Fachpresse beschriebene Vorgehen ist fast immer dasselbe: ein unauffälliges Fahrzeug, ein Gerät im Kofferraum, gespeist von einer leistungsstarken Powerbank, zwanzig bis vierzig Minuten Parkzeit, dann Ortswechsel. Keine Interaktion mit den Opfern. Kein physischer Kontakt. Der „Paketbote" existiert nicht, der „Bankberater" ruft noch nicht an – alles entscheidet sich beim Klick.
Eine per SMS-Blaster versendete Nachricht erkennen
Da die Absenderkennung nichts mehr beweist, muss die Aufmerksamkeit auf andere Signale wandern. Vier Indizien treten häufig gemeinsam auf:
| Indiz | Was Sie beobachten | Warum es aufschlussreich ist |
|---|---|---|
| Gleichzeitigkeit | Mehrere Personen um Sie herum erhalten dieselbe Nachricht | Eine klassische Kampagne zielt nicht auf ein geografisches Gebiet |
| Kurzer Netzausfall | Ihr Handy zeigte kurz zuvor „E", „G" oder gar keine Daten an | Anzeichen für ein erzwungenes Downgrade auf 2G |
| Unpassende Marke | Eine SMS von einer Bank, bei der Sie gar kein Kunde sind | Der Angriff ist nicht zielgerichtet: Er beschießt die Fläche |
| Link mit zusammengebasteltem Domainnamen | cic-verification-acces.com, ameli-mise-a-jour.net | Keine Behörde und keine Bank nutzt solche Domains |
Das zweite Indiz ist das technischste, aber auch das zuverlässigste. Wenn Ihr Handy mitten in einer mit 4G/5G versorgten Innenstadt plötzlich für einige Minuten auf „E" oder „G" umspringt und danach eine überraschende SMS eintrifft, verdient dieser Zufall Ihr Misstrauen. Wer eine kompakte Powerbank in der Tasche hat, bemerkt solche Wechsel übrigens häufiger, weil er die Statusleiste beim Laden unterwegs aufmerksamer beobachtet.
Das dritte Indiz bleibt trotz allem das zugänglichste: Ein Flächenangriff ist definitionsgemäß schlecht zielgerichtet. Wenn Sie ein „Zahlungsproblem" von einer Handelskette erhalten, bei der Sie nichts bestellt haben, oder eine Warnung von einer Bank, die nicht Ihre ist, ist die Sache erledigt.
Die Einstellung, die den Angriff unschädlich macht: 2G deaktivieren
Das ist die wirksamste Gegenmaßnahme, und sie kostet nichts. Da der Angriff auf einem erzwungenen Rückfall auf 2G beruht, sägen Sie den Ast ab, auf dem der Betrüger sitzt, wenn Sie Ihrem Handy diese Verbindung verbieten.
Unter Android
Die meisten aktuellen Android-Versionen bieten einen eigenen Schalter, der auf eine von Google ab Android 12 eingeführte Funktion zurückgeht:
- Einstellungen → Netzwerk & Internet → SIM-Karten (oder „Mobilfunknetz")
- Suchen Sie die Option „2G zulassen" und deaktivieren Sie sie.
Manche Hersteller benennen sie anders oder verstecken sie in einem Menü „Bevorzugter Netzwerktyp", in dem man „Nur 4G/5G" auswählt. Auf Geräten, die diese Einstellung nicht anzeigen, ist sie oft noch über das erweiterte Netzbetreibermenü erreichbar.
Ein umfassenderer „erweiterter Schutzmodus" existiert außerdem unter dem Namen Advanced Protection in den neuesten Android-Versionen: Er deaktiviert 2G, blockiert unverschlüsselte Verbindungen und härtet mehrere Netzwerkverhalten mit einem einzigen Handgriff ab.
Auf dem iPhone
Apple bietet keinen separaten „2G"-Schalter, aber der Blockierungsmodus (Einstellungen → Datenschutz & Sicherheit → Blockierungsmodus) deaktiviert unter anderem unsichere Mobilfunkverbindungen, darunter 2G. Dieser Modus ist bewusst restriktiv: Er schränkt auch Anhänge, bestimmte Webfunktionen und eingehende Einladungen ein. Er richtet sich an wirklich exponierte Personen, nicht an den Alltagsgebrauch für jedermann.
Andernfalls kann man zumindest unter Einstellungen → Mobilfunk → Datenoptionen → Sprache & Daten prüfen, ob das Gerät tatsächlich auf 5G oder LTE steht und nicht auf einem alten Kompatibilitätsmodus.
Und wenn Sie 2G brauchen?
Zwei legitime Fälle bleiben. Erstens behalten manche ländlichen Gebiete eine Rest-2G-Abdeckung als Sicherheitsnetz für die Sprachtelefonie. Zweitens existieren viele vernetzte Geräte – Tracker, Alarmanlagen, Seniorenhandys mit großen Tasten, GPS-Uhren für Kinder – nur in der 2G-Variante. Wenn Sie einen Angehörigen ausstatten, zählt die Wahl des Geräts: Ein 4G-VoLTE-fähiges Modell, selbst ein sehr einfach zu bedienendes, ist besser als ein auf 2G festgelegtes Gerät. Die französischen Netzbetreiber haben im Übrigen die schrittweise Abschaltung von 2G und 3G bis zum Ende des Jahrzehnts eingeleitet, was diesen Punkt hinfällig machen wird – so weit sind wir aber noch nicht.
Die übrigen Reflexe, die weiterhin gelten
Das Deaktivieren von 2G beseitigt den häufigsten Einfallsvektor. Der weitere Verlauf des Betrugs bleibt allerdings gleich: Die Nachricht will Sie dazu bringen, auf einen Link zu klicken und Zugangsdaten einzugeben. Die klassischen Abwehrmaßnahmen behalten also ihren vollen Wert.
- Niemals den erhaltenen Link benutzen. Öffnen Sie die offizielle App Ihrer Bank oder tippen Sie die Adresse selbst ein. Diese eine Regel neutralisiert die überwältigende Mehrheit aller Kampagnen – mit oder ohne Blaster.
- Über einen unabhängigen Kanal prüfen. Rufen Sie die Nummer auf der Rückseite Ihrer Bankkarte an, niemals die in der SMS genannte.
- Eine robuste Zwei-Faktor-Authentifizierung aktivieren. Ein physischer FIDO2-Sicherheitsschlüssel oder eine Authenticator-App ist besser als ein per SMS verschickter Code – genau weil der SMS-Kanal das schwächste Glied ist.
- Das System aktuell halten. Die monatlichen Sicherheitsupdates von Android und iOS schließen regelmäßig Lücken im Netzwerk-Stack. Ein vom Hersteller aufgegebenes Handy ist verwundbarer – und nicht nur gegenüber Blastern.
- Vor der zweiten Stufe auf der Hut sein. Die SMS ist selten der komplette Betrug: Sie dient als Aufhänger für einen Anruf des „falschen Bankberaters" einige Stunden oder Tage später. Dieses Manipulationsszenario, das laut Beobachtungen der Banque de France stark zunimmt, kostet die Opfer am meisten Geld.
Für Haushalte, die ein Mindestmaß an digitaler Hygiene festhalten wollen, bleibt ein außer Sichtweite verwahrtes Passwortbuch aus Papier paradoxerweise ein durchaus vertretbares Sicherheitswerkzeug für alle, die keinen Software-Manager wollen – vorausgesetzt, es enthält keine Bankcodes und wandert nie mit in die Tasche.
Was tun, wenn Sie geklickt haben
Die Reihenfolge der Schritte zählt mehr als ihre Anzahl.
- Sofort die Datenverbindung trennen (Flugmodus), wenn Sie einen laufenden App-Download vermuten. Ein Blaster kann unter Android auch einen Link zur Installation einer Schadsoftware ausspielen.
- Passwörter ändern – von einem anderen Gerät aus, beginnend mit dem Haupt-E-Mail-Konto und dem Online-Banking.
- Ihre Bank anrufen über die offizielle Nummer und die Karte sperren lassen, falls Sie Kartendaten eingegeben haben. Zur Erinnerung: Nach dem Code monétaire et financier muss eine nicht autorisierte Transaktion grundsätzlich von der Bank erstattet werden, außer bei grober Fahrlässigkeit Ihrerseits – daher ist es wichtig, schnell und schriftlich zu melden.
- Per SMS an die 33700 melden (indem Sie die Nachricht weiterleiten) und Anzeige erstatten. Auch wenn der Netzbetreiber die Nachricht nicht transportiert hat, hilft die Meldung, die Kampagne zu dokumentieren und die zugehörigen Domains zu sperren.
- Ihr geografisches Umfeld warnen: Kolleginnen und Kollegen, Nachbarn, Geschäftsleute im Viertel. Ein Flächenangriff trifft eine Gemeinschaft, nicht eine Einzelperson.
Das offizielle Portal cybermalveillance.gouv.fr bietet einen kostenlosen Hilfsparcours und die Vermittlung an Dienstleister, und service-public.fr erläutert das Verfahren zur Anzeigenerstattung. Die Arcep wiederum weist regelmäßig auf die Meldewege für unerwünschte Kommunikation hin.
Was uns diese Technik über die Zukunft sagt
Der SMS-Blaster markiert eine unauffällige, aber tiefgreifende Wende: SMS-Betrug wird zu einer Bedrohung aus unmittelbarer physischer Nähe. Zwanzig Jahre lang hat man der Öffentlichkeit beigebracht, die Gefahr komme von „irgendwoher", von einem anonymen Server im Ausland. Hier kommt sie aus der Straße nebenan, aus einem gewöhnlichen Fahrzeug, für eine halbe Stunde.
Das hat zwei praktische Konsequenzen. Erstens lässt sich Wachsamkeit nicht mehr vollständig an die Netzbetreiber delegieren: Ein Netzfilter, so leistungsfähig er auch sein mag, sieht nichts von einer Nachricht, die gar nicht durchs Netz läuft. Zweitens werden die Einstellungen des Endgeräts, lange als Detail für Experten abgetan, zu einer Verteidigungslinie erster Ordnung – genauso wie es eine Panzerglas-Schutzfolie für das Display ist.
Der Rat, der allem standhält, hat sich dagegen keinen Millimeter bewegt: Keine Bank, keine Behörde und kein Paketdienst wird Sie jemals auffordern, Ihre Zugangsdaten über einen per SMS erhaltenen Link einzugeben. Ganz gleich, welcher Absender angezeigt wird, ganz gleich, in welchem Chatverlauf, ganz gleich, welche Antenne – echt oder falsch – die Nachricht befördert hat.
