„Ihr Paket konnte am 26.09. wegen Abwesenheit nicht zugestellt werden. Erneute Zustellung innerhalb von 48 Std. moglich: Umbuchungsgebuhr 1,95 EUR. https://suivi-repriselivraison.com“
Die Nachricht kommt am Freitagabend. Sie sind 400 Kilometer von zu Hause entfernt, das Auto steht vor einer Ferienwohnung, und Sie wissen sehr gut, dass Sie tatsächlich eine Sendung erwarten. Sie sind abwesend – das ist faktisch richtig. Ein Zusteller hätte vorbeikommen können. Und Sie haben in diesem Moment keine einfache Möglichkeit zu prüfen, was in Ihrem Briefkasten liegt.
Genau darin besteht das Prinzip des saisonalen Smishings: keine Situation erfinden, sondern sich in eine reale Situation einschleichen. Der Betrüger verlangt nicht, dass Sie einer unwahrscheinlichen Geschichte glauben – er verlangt, dass Sie etwas bestätigen, das Sie ohnehin schon annehmen.
Warum Ihre Abwesenheit für Betrüger Gold wert ist
Eine wahllos verschickte falsche Liefer-SMS bringt kaum Erfolg. Dieselbe Nachricht an jemanden, der wirklich nicht zu Hause ist, funktioniert deutlich besser – aus drei Gründen.
Eine Überprüfung ist unmöglich. Zu Hause ist der natürliche Reflex, in den Briefkasten zu schauen: keine Benachrichtigungskarte aus Papier, keine Geschichte. Unterwegs fällt diese physische Kontrolle weg. Es bleibt nur die SMS und ihr Versprechen.
Die Dringlichkeit ist echt. Ein Paket, das zurück ins Depot geht, verderbliche Ware, ein Einschreiben mit Aufbewahrungsfrist: Wer abwesend ist, weiß, dass er unter Zeitdruck steht, den er nicht kontrolliert.
Die mentale Belastung ist maximal. Im Urlaub wie auf Geschäftsreise bearbeitet man seine Benachrichtigungen zwischen zwei Türen, in einem instabilen Netz, oft mit fast leerem Akku. Und Cybermalveillance.gouv.fr wiederholt es in allen Merkblättern zum Phishing: Eile ist der wichtigste Erfolgsfaktor eines Betrugs. Nicht die Intelligenz des Opfers steht zur Debatte, sondern sein Kontext.
Das Problem ist: Dieser Kontext ist längst kein Geheimnis mehr.
Wie Betrüger wissen (oder erraten), dass Sie verreist sind
Es gibt keine Datei aller Urlauber. Aber es gibt eine Anhäufung von Signalen, die die Information in großem Maßstab erratbar macht.
Die Echtzeit-Posts
Das Strandfoto in der Story, der Check-in am Flughafen, das „endlich Urlaub“: Diese Elemente sind für hunderte Accounts öffentlich oder halböffentlich – und manche davon haben keinerlei Grund, es gut mit Ihnen zu meinen. Die französischen Gendarmerien wiederholen jeden Sommer denselben Hinweis, im Rahmen der Opération Tranquillité Vacances: Fotos erst nach der Rückkehr posten, niemals während.
Ganz einfach: der Kalender
Man muss Sie nicht kennen. Die Wellen falscher Liefer-SMS erreichen ihren Höhepunkt genau dann, wenn statistisch das ganze Land unterwegs ist: Schulferien, Brückentage im Mai, die Woche zwischen Weihnachten und Neujahr, Schulanfang. Eine „Benachrichtigung wegen Abwesenheit“ am 15. August zu verschicken heißt, mit einer national sehr hohen Abwesenheitsquote zu spielen.
Geleakte Kundendaten
Die ausgefeiltesten Kampagnen kombinieren den Kalender mit gestohlenen Datenbanken, die Namen, Postadresse und Mobilnummer enthalten – häufig aus Datenschutzverletzungen bei Transportunternehmen, Onlinehändlern oder Buchungsplattformen. Die Nachricht sagt dann nicht mehr „Ihr Paket“, sondern „Ihr Paket für die Lilienstraße 12“. Die CNIL veröffentlicht regelmäßig Abmahnungen und Sanktionen nach solchen Lecks: Jeder Vorfall versorgt den Markt für zielgerichtete SMS über Jahre hinweg.
Die digitale Nachbarschaft
Manche Betrüger arbeiten direkt von der Straße aus. Ein überfüllter Briefkasten, eine Woche lang geschlossene Rollläden, dauerhaft dunkle Fenster: Das physische Auskundschaften existiert weiterhin – und verbindet sich heute mit dem SMS-Kanal zu einem glaubwürdigen Szenario.
Die vier Szenarien der Saison
1. Die falsche Benachrichtigungskarte mit Umbuchungsgebühr
Der Klassiker, aber verfeinert. Der verlangte Betrag ist verschwindend gering – 1,95 €, 2,40 €, 0,99 € – was das Misstrauen entschärft. Das Ziel ist nie diese Mikrozahlung: Es geht um die vollständige Eingabe der Bankdaten auf einer geklonten Bezahlseite, die anschließend für viel größere Abbuchungen genutzt oder dazu verwendet werden, Ihre Karte in einer mobilen Wallet zu registrieren.
Kein französischer Zustelldienst berechnet per SMS eine „Umbuchung der Lieferung“. La Poste weist ausdrücklich darauf hin, dass sie niemals über einen SMS-Link die Zahlung von Gebühren für die Zustellung eines Pakets oder Briefs verlangt.
2. Der falsche Alarm- oder Kamera-Alert
„Bewegungserkennung an Ihrem Wohnsitz, 03:14 Uhr. Bilder ansehen: …“ Die Nachricht spielt mit der stärksten Angst von Urlaubern. Der Link führt zu einer gefälschten Anmeldeseite eines Videoüberwachungsdienstes, die Benutzernamen und Passwort abgreifen soll – manchmal die eines tatsächlich genutzten Kontos, wenn der Betrüger die Marke aus einem Datenleck oder einem simplen Foto der Hausfassade erraten hat.
Wenn Sie wirklich ein Überwachungssystem nutzen, sollte eine vernetzte Überwachungskamera für den Innenbereich ausschließlich über die offizielle App abgerufen werden, niemals über einen per Nachricht erhaltenen Link. Und prüfen Sie vor der Abreise, ob die Zwei-Faktor-Authentifizierung für das zugehörige Konto aktiviert ist.
3. Der falsche Nachbar, der falsche Hausmeister, die falsche Hausverwaltung
Handwerklicher, aber gefährlicher. „Guten Tag, ich bin der neue Hausmeister, in Ihrer Wohnung wurde ein Wasserschaden gemeldet, können Sie mir den Zugangscode bestätigen / mir sagen, wer Ihre Schlüssel hat?“ Hier gibt es keinen manipulierten Link: Das Ziel ist die physische Information. Solche Nachrichten gehen manchmal einem Einbruch voraus.
4. Der falsche Tier- oder Pflanzenbetreuungsdienst
Eine Nische, aber im Aufwind. Vermittlungsplattformen zwischen Privatpersonen (Tierbetreuung, Haustausch, Ferienvermietung) erzeugen Unterhaltungen außerhalb der Plattform, in denen Identitätsmissbrauch trivial ist. Ein „Ich hole die Katze morgen ab, bestätigen Sie mir die genaue Adresse und den Code“ ist ein hervorragender Vorwand, um Zugang zu erhalten.
Die Merkmale, die eine gefälschte SMS verraten
Kein einzelnes Signal genügt, aber ihre Häufung ist aussagekräftig.
| Element | Legitime Nachricht | Betrügerische Nachricht |
|---|---|---|
| Absender | Kurzer Firmenname oder erkennbare Kurznummer | Mobilnummer 06/07, ausländische Nummer oder missbrauchter Name |
| Link | Offizielle Domain des Unternehmens | Zusammengesetzte Domain: suivi-colis-repriselivraison.com, Endungen .top, .icu, .shop |
| Aufforderung | Sendungsverfolgung, Information, Zeitfenster | Zahlung, Zugangsdaten, per SMS erhaltener Code, physischer Zugangscode |
| Frist | Unverbindlich | Countdown von 24 oder 48 Std. |
| Rechtschreibung | Akzente vorhanden | Fehlende Akzente („absence“, „etre“), unregelmäßige Großschreibung |
Achtung vor einer modernen Falle: Fehlende Akzente sind kein zuverlässiges Kriterium mehr. Heutige Textgeneratoren produzieren korrektes Französisch. Umgekehrt verzichten manche legitime SMS aus Kodierungsgründen auf Akzente. Die Rechtschreibung ist also nur noch ein nachgeordnetes Indiz – der Domainname bleibt der entscheidende Maßstab.
Und vor allem: Eine betrügerische SMS kann problemlos im selben Gesprächsverlauf erscheinen wie eine echte Nachricht des Unternehmens. Das SMS-Netz überprüft die Identität des angezeigten Absenders nicht; die Namensfälschung („Colissimo“, „Chronopost“, „Banque“) gruppiert die Fälschung optisch zu den echten Nachrichten. Eine alte, authentische Nachricht direkt darüber garantiert nichts über die nächste.
Die Abwesenheit vorbereiten: die Checkliste vor der Abreise
Zu Hause
- Die Abwesenheit melden – bei Gendarmerie oder Polizeirevier über die Opération Tranquillité Vacances, ein kostenloser Service, Formular auf service-public.fr.
- Die Post von einer Vertrauensperson leeren lassen oder Nachsendung bzw. Aufbewahrung bei La Poste beauftragen. Ein voller Briefkasten ist eine öffentliche Ankündigung.
- Anwesenheit simulieren, aber mit Maß: Eine programmierbare smarte Steckdose an einer Wohnzimmerlampe bleibt die einfachste und günstigste Lösung.
- Zu gesprächige Abwesenheitsnachrichten auf Anrufbeantwortern und in sozialen Netzwerken vermeiden.
Auf dem Telefon
- Das Betriebssystem vor der Abreise aktualisieren: Ein großer Teil der ausgenutzten Sicherheitslücken betrifft nicht aktualisierte Versionen.
- Prüfen, ob der Spamschutz Ihres Mobilfunkanbieters aktiv ist. Alle vier französischen Anbieter bieten eine Filterung, und die 33700 bleibt der nationale Meldedienst für unerwünschte SMS: Leiten Sie die Nachricht weiter und anschließend die Absendernummer, wenn der Dienst danach fragt.
- Das Telefon sichern. Wenn das Gerät unterwegs verloren geht oder gestohlen wird, macht ein Backup den entscheidenden Unterschied.
- Vorsorge gegen den leeren Akku treffen: Eine Powerbank mit großer Kapazität verhindert Situationen, in denen man seine Nachrichten in Eile bearbeitet, bei 3 % Akku, ohne irgendetwas überprüfen zu können.
Beim Geld
- Das Limit der Bankkarte vorübergehend über die Banking-App senken – die meisten erlauben es, Limits mit zwei Klicks herabzusetzen und nach der Rückkehr wieder anzuheben.
- Zahlungsbenachrichtigungen in Echtzeit aktivieren: der beste existierende Betrugsmelder.
- Kontaktloses Bezahlen per Smartphone bevorzugen, da dabei niemals die echte Kartennummer an den Händler übertragen wird.
Was tun, wenn die SMS schon angekommen ist
- Nicht klicken. Auch nicht „nur mal schauen“. Manche Seiten sammeln bereits beim Öffnen technische Informationen.
- Über den offiziellen Kanal prüfen. Öffnen Sie die App des Zustelldienstes oder tippen Sie die Webadresse selbst ein. Eine echte Sendungsnummer existiert im System des Transporteurs; eine erfundene nicht.
- Eine Vertrauensperson anrufen, wenn die Nachricht Ihr Zuhause betrifft. Ein Nachbar, der in den Briefkasten schaut, klärt die Frage in zwei Minuten.
- Melden. Leiten Sie die Nachricht an die 33700 weiter (SMS) oder melden Sie sie auf signal-spam.fr. Betrugsanzeigen können über die Plattform THESEE des Innenministeriums eingereicht werden.
- Die Nummer sperren und die Nachricht löschen – nach der Meldung.
Wenn Sie geklickt und Ihre Daten eingegeben haben
- Kontaktieren Sie sofort Ihre Bank und lassen Sie die Karte sperren. Das französische Währungs- und Finanzgesetzbuch (Artikel L133-18) verpflichtet zur Rückerstattung nicht autorisierter Zahlungsvorgänge, außer bei grober Fahrlässigkeit des Karteninhabers; die Banque de France und die ACPR betonen regelmäßig, dass die bloße Tatsache, manipuliert worden zu sein, nicht automatisch grobe Fahrlässigkeit darstellt.
- Ändern Sie die Passwörter der betroffenen Konten, beginnend mit dem E-Mail-Postfach, das als Wiederherstellungsschlüssel für alles Übrige dient. Ein Passwort-Manager verhindert, dass überall dasselbe Kennwort verwendet wird.
- Erstatten Sie Anzeige, auch aus der Ferne. Bewahren Sie Screenshots, Absendernummer und Zeitstempel auf.
- Überwachen Sie Ihre Kontoauszüge mehrere Monate lang: Gestohlene Daten werden manchmal erst Wochen später ausgewertet.
Der blinde Fleck: SMS ist kein Identitätskanal
Das ist der Punkt, aus dem alles andere folgt. Die SMS wurde 1992 als technischer Signalisierungsdienst konzipiert; ein Mechanismus zur Authentifizierung des Absenders war nie Teil davon. „Chronopost“ anstelle einer Nummer anzuzeigen ist ein banaler kommerzieller Vorgang, zugänglich für jeden, der den richtigen Vermittler kennt – auch außerhalb Europas, wo die Kontrollen laxer sind.
Die Arcep und die Fédération française des télécoms haben seit 2025 einen Mechanismus zur Authentifizierung von Rufnummern für Anrufe eingeführt, und die Register für Absendernamen werden für SMS zunehmend strenger. Das ist eine echte Verbesserung, sie beseitigt aber weder Kampagnen, die von einfachen SIM-Karten aus verschickt werden, noch SMS Blaster, die lokal senden, ohne das Netz der Betreiber zu nutzen.
Daraus folgt eine Regel, die nicht altert:
Eine SMS kann Sie informieren. Sie darf Ihnen niemals als Grundlage dienen, um zu entscheiden. Jede Handlung, bei der Geld, Zugangsdaten oder ein physischer Zugang im Spiel sind, muss über einen Kanal bestätigt werden, den Sie selbst gewählt haben.
Was Sie noch heute Abend tun können
Nehmen Sie sich fünf Minuten vor Ihrer nächsten Abreise. Klären Sie, wer in Ihrem Umfeld die Post leert. Senken Sie das Limit Ihrer Karte. Aktivieren Sie Zahlungsbenachrichtigungen. Speichern Sie die 33700 in Ihren Kontakten, um sie im Ernstfall nicht suchen zu müssen. Und sprechen Sie darüber mit den Menschen in Ihrem Umfeld, die solche Nachrichten erhalten, ohne immer zu wissen, was damit zu tun ist – ein praktischer Ratgeber zu digitalen Betrugsmaschen auf dem Wohnzimmertisch bewirkt für die Wachsamkeit einer Familie oft mehr als eine lange Rede.
Der Betrug mit der falschen Benachrichtigungskarte beruht auf keiner technischen Meisterleistung. Er beruht auf einem Kalender, einer Abwesenheit und dreißig Sekunden Unaufmerksamkeit. Die ersten beiden Faktoren werden Sie nicht ändern. Den dritten schon.
