„SICHERHEITSRUECKRUF: Ein ueber Ihr Konto gekauftes Produkt ist von einem Herstellerrueckruf betroffen (Ueberhitzungsgefahr). Rueckerstattung von 79,90 EUR verfuegbar. Melden Sie Ihr Geraet vor dem 02.10.: https://rappel-securite-conso.net“
Die Nachricht droht nicht. Sie fordert nichts. Im Gegenteil: Sie teilt Ihnen mit, dass man Ihnen Geld schuldet – und dass man sich um Ihre Sicherheit sorgt. Zwei Register, die man selten mit Betrug in Verbindung bringt, und genau darin liegt die erschreckende Wirksamkeit dieser Smishing-Kampagne, die in den letzten Monaten in französischen Postfächern aufgetaucht ist.
Wo die falsche Maut-SMS auf Schuldgefühle setzt und die falsche Bank-SMS auf Panik, setzt diese hier auf etwas viel Angenehmeres: das Gefühl, gut betreut zu werden. Ein seriöser Hersteller warnt Sie, dass ein Gerät in Ihrem Besitz Feuer fangen könnte. Wer würde da misstrauisch werden?
Der Produktrückruf: ein offizielles, reales und wenig bekanntes Verfahren
Anders als bei vielen anderen Kulissen, die Betrüger verwenden, ist an dieser nichts erfunden. Rückrufe gefährlicher Produkte sind in Frankreich und in der gesamten Europäischen Union gesetzlich vorgeschrieben. Seit April 2021 bündelt die Website RappelConso, betrieben von der französischen Behörde für Wettbewerb, Verbraucherschutz und Betrugsbekämpfung (DGCCRF), sämtliche Rückrufe von Lebensmitteln und Nicht-Lebensmitteln, die auf dem französischen Markt in Verkehr gebracht wurden. Auf europäischer Ebene veröffentlicht das System Safety Gate (früher RAPEX) wöchentlich die von den Mitgliedstaaten übermittelten Warnmeldungen.
Welche Kategorien tauchen in diesen Rückrufen am häufigsten auf? Spielzeug, Kosmetika, Lebensmittel – und ganz regelmäßig Unterhaltungselektronik: nicht konforme Netzteile, Lithium-Powerbanks mit Überhitzungsrisiko, Ladegeräte ohne gültige CE-Kennzeichnung, E-Scooter, defekte Rauchmelder.
Anders gesagt: Eine SMS, die den Rückruf eines Ladegeräts oder einer Powerbank ankündigt, behauptet nichts Absurdes. Genau solche Produkte werden tatsächlich mehrmals pro Jahr zurückgerufen. Die Lüge betrifft nicht das Szenario. Sie betrifft den Kanal.
Wie ein echter Rückruf abläuft
Ein echter Rückruf folgt einem recht schwerfälligen Ablauf – und genau diese Schwerfälligkeit macht ihn erkennbar:
- Er wird öffentlich veröffentlicht auf RappelConso, mit einem detaillierten Datenblatt: Marke, Modell, Chargennummern, GTIN/EAN-Codes, Vertriebszeitraum, Art des Risikos, empfohlenes Vorgehen.
- Er wird in den betroffenen Verkaufsstellen ausgehängt, auf einem standardisierten Aushang.
- Wenn der Händler über Ihre Kontaktdaten verfügt (Kundenkarte, Kundenkonto, Online-Kauf), kann er Sie kontaktieren – aber ganz überwiegend per E-Mail oder Brief, nicht per SMS mit Link.
- Das empfohlene Vorgehen ist fast immer dasselbe: Verwenden Sie das Produkt nicht weiter und bringen Sie es ins Geschäft zurück, zum Umtausch oder zur Rückerstattung, bei Vorlage des Produkts selbst.
Dieser letzte Punkt ist der wichtigste, und genau ihm widerspricht die Betrugsmasche frontal. Ein echter Rückruf verlangt von Ihnen, einen Gegenstand zurückzugeben. Der Betrug verlangt von Ihnen, eine Bankkarte einzugeben.
Was der Link tatsächlich verlangt
Das Formular, zu dem die SMS führt, ist sorgfältig gemacht. Generisches, aber glaubwürdiges Logo, Banner in den Nationalfarben, Hinweise wie „Wirtschaftsministerium“ oder „Nationaler Produktrückruf-Dienst“, manchmal eine vorausgefüllte falsche Fallnummer. Der Ablauf umfasst drei oder vier Bildschirme, und jeder hat eine genaue Funktion.
| Bildschirm | Was von Ihnen verlangt wird | Wozu es wirklich dient |
|---|---|---|
| 1 | Das betroffene Produkt aus einer Liste auswählen | Sie sagen selbst, was Sie besitzen |
| 2 | Name, Vorname, Postadresse, E-Mail, Telefon | Einen verkaufbaren Datensatz anlegen und den Rest glaubwürdig machen |
| 3 | Bankdaten „für die Überweisung“ | Eine Kartennummer oder IBAN abgreifen |
| 4 | Bearbeitungsgebühr von 1 bis 2 € | Prüfen, ob die Karte aktiv ist, und 3-D Secure auslösen |
Der vierte Bildschirm ist die perfideste Neuerung. Im Rahmen einer Rückerstattung eine Kleinstzahlung zu verlangen, wirkt absurd – und funktioniert doch, weil es als „Gebühr für die Bankprüfung“ oder „Identitätsvalidierung“ verpackt wird. Die wahre Rolle: Sie zu einer starken Kundenauthentifizierung zu bringen. Indem Sie diese Zahlung von 1,50 € in Ihrer Banking-App bestätigen, hinterlegen Sie Ihre Karte manchmal in einer digitalen Geldbörse, die der Betrüger kontrolliert – und mit der er anschließend im Geschäft bezahlen kann, ohne Sie jemals wieder zu brauchen.
Das zweite Szenario, seltener, aber teurer, ist der Rückruf mit Austausch. Man teilt Ihnen mit, Ihr Gerät müsse ersetzt werden und ein Ersatzmodell werde Ihnen gegen eine Beteiligung von 19 bis 39 € zugeschickt. Sie zahlen, Sie erhalten nichts – und haben obendrein Ihre vollständige Adresse übermittelt.
Warum diese Masche besser funktioniert als andere
Sie kehrt das Kräfteverhältnis um
Die überwältigende Mehrheit betrügerischer SMS stellt Sie in die Rolle des Schuldners: Sie schulden ein Bußgeld, eine Maut, Zollgebühren. Das Gehirn hat gelernt, diesem Muster zu misstrauen – die Präventionskampagnen von Cybermalveillance.gouv.fr hämmern seit Jahren ein: „Per SMS wird niemals eine Zahlung von Ihnen verlangt.“
Hier ist es umgekehrt: Sie sind der Gläubiger. Wachsamkeit ist aber eine Ressource, die sich angesichts einer Bedrohung mobilisiert – und viel weniger angesichts einer guten Nachricht. Die Forschung zur Psychologie der Überzeugung dokumentiert dieses Nachlassen unter dem Begriff „Optimismus-Bias“ schon seit Langem.
Sie stützt sich auf eine berechtigte Sorge
Zwischenfälle mit Lithium-Ionen-Akkus sind keine Hirngespinste. Feuerwehren und Versicherer warnen regelmäßig vor Brandherden durch ladende Geräte, besonders mit nicht zertifiziertem Zubehör. Wer schon einen Bericht über einen im Hausflur brennenden E-Scooter gesehen hat, ist mental bereits vorbereitet.
Das ist auch der passende Moment für den grundlegenden Hinweis: Bei solchen Geräten ist Konformität kein Marketingdetail. Ein zertifiziertes USB-C-Ladegerät mit lesbarer CE-Kennzeichnung, Herstellernamen und nachvollziehbarer Referenz kostet ein paar Euro mehr als ein anonymer Block – und genau das ist der Unterschied zwischen einem Zubehörteil und einem Objekt, das auf RappelConso landet. Dieselbe Logik gilt für eine Powerbank mit zertifizierten Zellen, deren Datenblatt die tatsächliche Kapazität und die Überladeschutzmechanismen klar ausweist.
Sie kennt manchmal Ihren Kauf
Manche Varianten nennen eine konkrete Handelskette, sogar ein plausibles Bestelldatum. Das ist keine Magie: Es ist das Ergebnis der massiven Datenlecks, die in den vergangenen Jahren Mobilfunkanbieter, Versicherungsmakler und E-Commerce-Plattformen getroffen haben. Die CNIL wurde in Frankreich mit mehreren dieser großflächigen Vorfälle befasst, bei denen Millionen Datensätze mit Name, Adresse, Telefonnummer und teils Bestellhistorie betroffen waren.
Ein Betrüger, der über solche Datenbanken verfügt, muss keine Million Nachrichten mehr aufs Geratewohl verschicken. Er schreibt dreitausend echten Kunden derselben Kette – und nennt die Kette. Die Klickrate explodiert.
Sechs Reflexe, um nicht hineinzufallen
1. Prüfen Sie den Rückruf an der Quelle, niemals über den Link in der SMS. Öffnen Sie selbst Ihren Browser und suchen Sie nach „RappelConso“. Die öffentliche Website listet die laufenden Rückrufe auf und erlaubt das Filtern nach Kategorie und Marke. Steht der angekündigte Rückruf nicht dort, existiert er nicht.
2. Hinterfragen Sie die Form der Rückerstattung. Kein legitimer Rückruf erstattet per Überweisung nach Eingabe einer Kartennummer in ein Webformular. Die Rückerstattung erfolgt im Geschäft gegen Rückgabe des Produkts oder als Gutschrift. Die physische Rückgabe ist die Regel, weil der Hersteller verpflichtet ist, den Gegenstand vom Markt zu nehmen.
3. Nehmen Sie den Domainnamen unter die Lupe. rappel-securite-conso.net, rappelconso-remboursement.fr, conso-securite-gouv.org: Keine dieser Domains gehört dem Staat. Französische öffentliche Dienste nutzen Domains mit .gouv.fr – RappelConso liegt auf rappel.conso.gouv.fr. Alles, was nachahmt, ohne auf .gouv.fr zu enden, ist gefälscht.
4. Seien Sie misstrauisch bei Kleinstzahlungen. Eine einfache Regel ohne Ausnahme: Man zahlt niemals, um erstattet zu werden. Verlangt ein Formular 1 €, 1,50 € oder 2 € „Prüfgebühr“, schließen Sie die Seite.
5. Urteilen Sie nicht nach dem Absender. Der angezeigte Name kann „RAPPEL“, „SECURITE“ oder sogar der Name einer bekannten Kette sein. Das Fälschen der alphanumerischen Absenderkennung bleibt technisch möglich, auch wenn der von den französischen Netzbetreibern eingeführte und von der Arcep beaufsichtigte Authentifizierungsmechanismus das Ausmaß seit Inkrafttreten der Anti-Spoofing-Regelung verringert hat.
6. Melden Sie es – in drei Sekunden. Leiten Sie die Nachricht an die 33700 weiter, die kostenlose Meldenummer für betrügerische SMS, die der Verband Phone Marketing im Auftrag der Netzbetreiber verwaltet. Sie können eine Meldung auch über die Plattform PHAROS (internet-signalement.gouv.fr) abgeben oder die Merkblätter von Cybermalveillance.gouv.fr nutzen.
Wenn Sie schon geklickt und Ihre Daten eingegeben haben
Verschwenden Sie keine Zeit mit Selbstvorwürfen: Die Reihenfolge der Schritte zählt mehr als die Schnelligkeit Ihrer Reue.
- Lassen Sie die Karte sofort sperren – über Ihre Bank, per App oder über die Notfallnummer auf der Rückseite Ihrer Karte. Die Kartensperrung hat Vorrang vor allem anderen.
- Prüfen Sie Ihre digitalen Geldbörsen. Schauen Sie in den Einstellungen Ihres Telefons und in Ihrer Banking-App, ob eine Karte einem Gerät hinzugefügt wurde, das Sie nicht kennen – und löschen Sie sie.
- Ändern Sie die Passwörter der betroffenen Konten, falls Sie eine Zugangskennung mehrfach verwendet haben. Ein Passwortmanager macht das erträglich, und ein kleines Passwortbuch aus Papier, zu Hause verwahrt, bleibt eine akzeptable Lösung für alle, die Apps abschreckend finden – vorausgesetzt, es verlässt die Wohnung nie.
- Erstatten Sie Anzeige bei der Polizei oder Gendarmerie, oder online über das Verfahren zur Online-Anzeige bei Betrug. Davon hängt oft die Erstattung durch die Bank ab.
- Berufen Sie sich auf Artikel L133-18 des französischen Währungs- und Finanzgesetzbuchs, der die Bank verpflichtet, einen nicht autorisierten Zahlungsvorgang zu erstatten, sofern Ihnen keine grobe Fahrlässigkeit vorzuwerfen ist. Die Grenze ist umstritten, aber sie existiert, und die Entscheidungen des französischen Kassationsgerichtshofs der letzten Jahre haben die Position der Opfer raffinierter Identitätsmissbräuche eher gestärkt.
Einem Angehörigen helfen, der solche Nachrichten erhält
Kampagnen mit falschen Rückrufen richten sich gern an ältere Menschen, bei denen Verwaltungsvokabular noch einen Gehorsamsreflex auslöst. Drei einfache Handgriffe helfen viel mehr als eine lange Rede:
- Den integrierten Spam-Filter aktivieren. iOS und Android bieten an, unbekannte Absender zu sortieren und unerwünschte Nachrichten zu melden; fünf Minuten in den Einstellungen genügen.
- Eine einzige, einprägsame Regel aufstellen: „Bevor du in einer SMS auf irgendetwas klickst, rufst du mich an.“ Eine Regel ist besser als zehn Erkennungskriterien.
- Den Alltag entlasten. Für sehr alte Eltern beseitigt ein Mobiltelefon mit großen Tasten ohne Webbrowser die Angriffsfläche komplett: ohne Browser führt ein manipulierter Link nirgendwohin. Und ein praktischer Ratgeber zu digitalen Betrugsmaschen, der auf dem Wohnzimmertisch liegt, wirkt oft mehr als ein Telefongespräch.
Was diese Masche über die Zukunft verrät
Der falsche Produktrückruf markiert eine deutliche Entwicklung: Betrüger geben sich nicht mehr damit zufrieden, Behörden nachzuahmen, die etwas fordern. Sie ahmen nun jene nach, die schützen. Nach falschen Gesundheitswarnungen, falschen Erstattungen der Krankenzusatzversicherung und nun falschen Sicherheitsrückrufen ist die Logik immer dieselbe – die öffentlichen Einrichtungen zu kapern, denen die Bürger vertrauen.
Die Gegenmaßnahme besteht nicht darin, allem zu misstrauen; das ist erschöpfend und führt am Ende dazu, dass man auch echten öffentlichen Diensten misstraut. Sie lässt sich in einem Satz zusammenfassen, der für fast alle SMS gilt, die Sie dieses Jahr erhalten werden: Eine wahre Information übersteht die Überprüfung, ein Betrug nicht. Schließen Sie die Nachricht, öffnen Sie selbst die offizielle Website, suchen Sie die Information. Existiert sie, werden Sie sie finden. Existiert sie nicht, haben Sie gerade 79,90 € gespart – und sehr viel mehr.
