„HERZLICHEN GLUCKWUNSCH! Ihre Nummer wurde unter unseren treuen Kunden ausgelost. Ihr Gewinn (Smartphone der neuesten Generation) ist bis heute Abend reserviert. Nur noch 1 Exemplar verfugbar: https://fidelite-recompense-cadeau.com/lot"
Diese SMS droht Ihnen nicht. Sie spricht nicht von einem Bußgeld, nicht von einem gesperrten Konto, nicht von einem im Zoll festgehaltenen Paket. Sie gratuliert Ihnen. Und genau das macht sie so gefährlich: Wir haben kollektiv gelernt, SMS zu misstrauen, die Angst machen. Wir haben nie gelernt, SMS zu misstrauen, die Freude machen.
Die Masche mit dem falschen Gewinnspiel ist eine der ältesten in der Smishing-Landschaft und eine der wenigen, die keine Behörde oder öffentliche Stelle imitieren muss, um zu funktionieren. Sie stiehlt nicht zwangsläufig Ihre Bankzugangsdaten. Oft richtet sie in Bezug auf die Dauer etwas viel Schlimmeres an: Sie verpasst Ihnen eine wiederkehrende Abbuchung, die Sie monatelang nicht bemerken werden.
Warum die gute Nachricht besser funktioniert als die Drohung
Smishing-Kampagnen, die mit Angst arbeiten – Bußgeld, verpasste Lieferung, gesperrtes Konto –, haben einen Nachteil: Sie lösen auch Misstrauen aus. Wer sich Sorgen macht, will überprüfen. Er ruft seine Bank an, fragt einen Angehörigen, tippt den Namen des Dienstes in eine Suchmaschine.
Wer sich geschmeichelt fühlt, überprüft dagegen anders. Er prüft, ob der Gewinn echt ist, nicht, ob der Absender echt ist. Die ganze Aufmerksamkeit richtet sich auf den Gegenstand der Belohnung, niemals auf die Identität dessen, der sie verspricht. Diese Verschiebung der Aufmerksamkeit nutzen Betrüger seit den Anfängen des Telefonmarketings – und Cybermalveillance.gouv.fr ordnet sie unmissverständlich den Varianten des Phishings zu: Welche Emotion auch eingesetzt wird, der Mechanismus bleibt das Erbeuten von Daten oder Geld durch Täuschung.
Hinzu kommen drei sehr konkrete Hebel:
- Die künstliche Knappheit. „Nur noch 1 Exemplar verfügbar", „Angebot gültig bis heute Abend", „nur 3 Gewinner". Der Countdown nimmt die Zeit zum Nachdenken – genau wie bei den falschen Bußgeld-SMS.
- Die persönliche Ansprache. „Ihre Nummer wurde ausgelost" erzeugt die Illusion einer Auswahl. In Wirklichkeit geht die Nachricht gleichzeitig an Zehntausende Nummern.
- Der lächerlich kleine Betrag. Man verlangt nicht 500 € von Ihnen, sondern 1,95 € „Versandkosten". Ein Betrag, der zu gering ist, um echte Wachsamkeit auszulösen – und genau darum geht es bei dieser Konstruktion.
Die fünf häufigsten Verpackungen
Das Geschenk-Szenario tritt in recht stabilen Familien auf, die sich von Kampagne zu Kampagne wiederfinden.
1. Die Verlosung einer großen Handelskette. Die SMS nennt eine Supermarktkette, einen Elektronikhändler oder eine sehr bekannte Modemarke. Der Gewinn ist ein Einkaufsgutschein über 500 € oder ein „Überraschungspaket". Das Argument: Sie sind Kunde, also teilnahmeberechtigt.
2. Das Markenjubiläum. „Zu unserem 40. Jubiläum verschenken wir 1.000 Preise." Der Vorwand ist scheinbar überprüfbar (die Marke existiert tatsächlich und hat irgendwo auch ein Jubiläum), in der Praxis aber nicht nachprüfbar.
3. Das Treueprogramm des Mobilfunkanbieters. Die Nachricht gibt sich als Mitteilung Ihres Mobilfunkanbieters aus und spricht von „abgelaufenen Treuepunkten", die in ein Geschenk umgewandelt werden können. Das ist die glaubwürdigste Version, denn Treueprogramme von Mobilfunkanbietern existieren wirklich.
4. Der Produkttest. „Sie wurden ausgewählt, um einen neuen Saugroboter / eine vernetzte Zahnbürste / eine Kaffeemaschine kostenlos zu testen." Man muss nur „die Versandkosten übernehmen". Dieses Format gedeiht, weil es Produkttestprogramme ebenfalls gibt, bei echten Verbraucherpanels.
5. Die Werbe-Rückerstattung. Die umgekehrte Variante: Man schenkt Ihnen nichts, sondern gibt Ihnen Geld für einen früheren Einkauf zurück. Die Nachricht imitiert einen Kundenservice.
In allen Fällen folgt die Landingpage demselben Skelett: ein Glücksrad oder eine Zufriedenheitsumfrage mit drei Fragen, eine Gewinnanimation und dann ein Formular.
Die eigentliche Falle ist nicht der Gewinn, sondern das Formular
Hier unterscheidet sich die Geschenk-Masche von den anderen. Das Ziel ist nicht immer, ein Konto in einem einzigen Vorgang zu leeren. Oft geht es darum, Sie unbemerkt ein Abonnement mit automatischer Verlängerung abschließen zu lassen.
Der typische Ablauf:
- Sie „gewinnen" am manipulierten Glücksrad (es landet immer auf einem Gewinn).
- Man verlangt Name, Vorname, Adresse, Geburtsdatum, E-Mail, Mobilnummer. Viele Daten, begründet mit „dem Versand des Gewinns".
- Man verlangt 1,95 € oder 2,99 € Versandkosten, zu bezahlen mit Bankkarte.
- Ganz klein, unter dem Bezahlbutton: der Hinweis auf einen „Premium"-Dienst, der zum Beispiel mit 39,90 € pro Monat abgerechnet wird, jederzeit kündbar, inklusive 48-stündiger Testphase.
- Der Gewinn kommt nie an. Die monatliche Abbuchung dagegen beginnt.
Der Betrag von 1,95 € ist kein Preis: Er ist ein Test der Kartengültigkeit. Er bestätigt, dass Kartennummer, Ablaufdatum und Prüfnummer korrekt sind, und dient als Grundlage für die Autorisierung der folgenden Abbuchungen.
Ein kostenloses Geschenk, das eine Bankkarte verlangt, ist kein Geschenk. Die Aufforderung, Bankdaten zur „Deckung der Kosten" anzugeben, ist das Stoppsignal – ganz unabhängig vom angezeigten Betrag.
Manche Varianten verlangen überhaupt keine Karte. Sie verlangen eine „Bestätigung per SMS", indem man ein Schlüsselwort an eine kostenpflichtige Kurznummer sendet, oder die Bestätigung eines erhaltenen Codes – was ein Abonnement für einen Content-Dienst auslöst, der über die Mobilfunkrechnung abgerechnet wird. Das ist der historische Mechanismus von SMS+, missbraucht für Betrug.
Die Signale, die die Nachricht in zehn Sekunden verraten
Schon bevor man den Link öffnet, häufen sich mehrere Indizien.
| Signal | Was es verrät |
|---|---|
| Keine Nennung Ihres Namens | Massenversand, nicht personalisiert |
| Absender = zehnstellige Mobilnummer | Marken verwenden Absendernamen oder Kurznummern |
Langer, zusammengesetzter Domainname (fidelite-cadeau-lot-2026.xyz) | Wegwerf-Domain, nur für die Kampagne angelegt |
| „Nur noch 1 Exemplar verfügbar" | Erzeugte Knappheit, klassischer Druckhebel |
| Gewinn ohne Bezug zur genannten Marke | Generischer Baukasten, von Kampagne zu Kampagne recycelt |
| Fehlende Akzente, keine Cedillen | Ausländisches Versand-Gateway mit unakzentuiertem Text |
| Keine zugängliche Teilnahmebedingungen | Ein legales Gewinnspiel in Frankreich veröffentlicht solche |
Der letzte Punkt ist juristisch der stichhaltigste. Eine seriöse Werbeaktion verfügt über Teilnahmebedingungen, die einsehbar sind, benennt den Veranstalter (Firmenname, Adresse) und macht die Übergabe eines Gewinns niemals von einer Zahlung abhängig. Die DGCCRF weist regelmäßig darauf hin, dass Werbelotterien den Verbraucher weder über seine Gewinnchancen noch über die tatsächlichen Kosten in die Irre führen dürfen.
Und es gibt einen unschlagbaren Test des gesunden Menschenverstands: Haben Sie teilgenommen? Man gewinnt nicht bei einem Spiel, bei dem man sich nicht angemeldet hat. Wenn die Nachricht Ihnen nicht sagen kann, wann und wie Sie teilgenommen haben, hat es kein Spiel gegeben.
Warum Sie – und wie sie an Ihre Nummer kamen
Die Frage kommt immer wieder: „Woher kennen die meine Nummer?" Drei Wege dominieren.
Datenlecks. Die großen Sicherheitsvorfälle der letzten Jahre haben Dateien in Umlauf gebracht, die Name, Vorname, E-Mail, Mobilnummer und manchmal die Adresse enthalten. Die CNIL dokumentiert dies regelmäßig. Ihre Nummer wurde nicht erraten: Sie wurde gekauft.
Frühere Gewinnspiele, echte oder gefälschte. Jedes Formular, das auf einer Seite zur „kostenlosen Teilnahme" ausgefüllt wird, füttert Datenbanken, die weiterverkauft werden. Das falsche Gewinnspiel von gestern finanziert die SMS von heute.
Die Zufallsgenerierung. Die französischen Mobilnummernbereiche sind in ihrer Struktur öffentlich bekannt. Ein Gateway kann mechanisch Millionen von Kombinationen erzeugen, ganz ohne personenbezogene Daten.
In den ersten beiden Fällen kann die Nachricht Ihren Vornamen enthalten – was ihre Glaubwürdigkeit enorm erhöht, ohne irgendetwas über den Absender zu beweisen. Es ist dieselbe Verschiebung wie bei den falschen Liefer-SMS, die eine genaue Adresse nennen: Die Daten sind kein Beweis für Seriosität mehr.
Die konkreten Reflexe, in der richtigen Reihenfolge
Klicken Sie nicht, auch nicht aus Neugier. Das Öffnen der Seite reicht aus, um zu bestätigen, dass die Nummer aktiv ist, wenn der Link eine eindeutige Kennung enthält. Neugier bezahlt man mit der Menge an SMS, die in den folgenden Wochen eintreffen.
Melden Sie die Nachricht an 33700. Das ist die offizielle Meldestelle für unerwünschte SMS und Anrufe in Frankreich, unterstützt von der Arcep und den Mobilfunkanbietern. Leiten Sie die Nachricht an 33700 weiter und antworten Sie dann auf die Bestätigungs-SMS mit der Nummer des Absenders. Der Dienst ist kostenlos und trägt tatsächlich zur Sperrung der sendenden Nummern bei.
Melden Sie die betrügerische Adresse bei Phishing Initiative und geben Sie eine Meldung auf cybermalveillance.gouv.fr ab, wenn Sie mit der Seite interagiert haben. Bei festgestellten Betrugsfällen ermöglicht die Plattform THESEE (service-public.fr) eine Online-Anzeige.
Prüfen Sie über den offiziellen Kanal. Wenn die SMS Ihren Mobilfunkanbieter, Ihren Händler oder Ihre Bank erwähnt, gehen Sie über die auf Ihrem Telefon installierte App oder über die Nummer auf der Rückseite Ihrer Karte – niemals über den Link. Dieser Reflex lässt sich leichter durchhalten, wenn das Telefon einsatzfähig bleibt: Ein USB-C-Netzladegerät verhindert leere Akkus, die dazu verleiten, auf einem Bildschirm im Notbetrieb „schnell mal" zu handeln.
Rufen Sie keine kostenpflichtigen Nummern zurück. Ein Rückruf „zur Bestätigung Ihres Gewinns" an eine 08-Nummer oder eine Kurznummer kann nach Dauer abgerechnet werden.
Wenn Sie Ihre Bankkarte schon angegeben haben
Die Frist zählt mehr als alles andere.
- Lassen Sie die Karte sofort sperren bei Ihrer Bank, über die App oder die Notrufnummer Ihres Instituts. In Frankreich ist der interbankarische Sperrserver unter 0 892 705 705 erreichbar.
- Verlangen Sie die Rückbuchung und den Widerruf der Einzugsermächtigung. Eine nicht autorisierte Zahlung muss von der Bank unter den im Code monétaire et financier vorgesehenen Bedingungen erstattet werden; die ACPR und die Banque de France erinnern regelmäßig an diesen Rahmen, auch wenn das Opfer manipuliert wurde.
- Suchen Sie nach wiederkehrenden Abbuchungen auf den letzten drei Kontoauszügen: Eine anonyme Buchung über 39,90 € erscheint oft jeden Monat, ohne Aufmerksamkeit zu erregen.
- Erstatten Sie Anzeige und bewahren Sie alles auf: Screenshot der SMS, URL, Zeitstempel, Kontoauszüge. Ein handschriftlich auf einem datierten A5-Notizblock kommentierter Auszug leistet ausgezeichnete Dienste, um am Schalter die Chronologie zu rekonstruieren.
- Überwachen Sie Ihre anderen Konten: Dieselbe E-Mail-Adresse und dasselbe Passwort an anderer Stelle sind eine offene Tür.
Wenn die Abbuchung über die Rechnung Ihres Mobilfunkanbieters läuft, widersprechen Sie beim Kundenservice und verlangen Sie die Sperrung der SMS+-Dienste und der Käufe über die Rechnung. Diese Sperrung ist kostenlos und gilt dauerhaft, solange Sie sie nicht aufheben.
Die am stärksten gefährdeten Personen schützen
Falsche Gewinne treffen alle Profile, aber zwei Gruppen zahlen teurer: isolierte ältere Menschen, für die ein persönlicher Kontakt einen sozialen Wert hat, und Jugendliche, die manchmal zahlen, ohne den wiederkehrenden Charakter eines Abonnements zu erfassen.
Einige einfache Maßnahmen verändern die Lage:
- Käufe über die Mobilfunkrechnung deaktivieren auf den Anschlüssen von Minderjährigen und schutzbedürftigen Personen. Das ist die wirksamste Maßnahme, und sie ist kostenlos.
- Eine Karte mit systematischer Autorisierungsabfrage bevorzugen oder eine aufladbare Prepaid-Karte für Online-Einkäufe: Das Limit begrenzt den Schaden eines versteckten Abonnements mechanisch.
- Den SMS-Spamfilter aktivieren, den iOS und Android anbieten, und den Absender nach der Meldung blockieren.
- Einen Gesprächsrahmen schaffen. Ein praktischer Leitfaden zu digitalen Betrugsmaschen, der in Reichweite liegt, mit der Regel „kein Geschenk wird bezahlt", ist besser als eine mündliche Ermahnung, die eine Woche später vergessen ist.
- Den Bildschirm lesbar halten. Ein großer Teil der versehentlichen Klicks entsteht durch hastiges Lesen auf einem gesprungenen oder verschmutzten Display; eine Schutzfolie aus Hartglas verhindert den Betrug nicht, macht es aber leichter, Zweifel auszuräumen, wenn man einen Link Zeichen für Zeichen nachliest.
Für Senioren mit einem Tastengerät erleichtert ein Mobiltelefon mit großen Tasten das Leben zusätzlich: weniger Apps, weniger Browser, weniger Angriffsflächen – auch wenn die SMS nach wie vor ankommt.
Was man sich merken sollte
Das falsche Gewinnspiel per SMS ist kein Betrug zweiter Klasse. Es ist einfach geduldiger als die anderen: Es sucht keine Überweisung innerhalb von zehn Minuten, es sucht eine Einzugsermächtigung, die ein Jahr lang hält.
Drei Sätze genügen, um sich dauerhaft zu schützen:
- Man gewinnt nicht bei einem Spiel, bei dem man sich nicht angemeldet hat.
- Ein Gewinn, der Versandkosten per Bankkarte verlangt, ist kein Gewinn.
- Eine Nachricht, die das Nachdenken verbietet – „nur noch 1 Exemplar verfügbar", „bis heute Abend" –, ist eine Nachricht, die weiß, dass sie das Nachdenken nicht überleben würde.
Der Rest ist Gewohnheit. Die Weiterleitung an 33700 dauert zwanzig Sekunden, das Blockieren des Absenders fünf, und im Umfeld darüber zu sprechen kostet noch weniger. Genau das senkt die Rendite dieser Kampagnen: nicht eine bessere Technologie, sondern ein kollektiver Reflex.
