„Guten Tag, wir haben Ihre Nachricht erhalten. Ein Berater wird sich privat bei Ihnen melden, um Ihren Fall zu klären.“ Die Antwort kommt vier Minuten nach Ihrer Veröffentlichung, direkt unter der Beschwerde, die Sie entnervt auf dem offiziellen Konto einer großen Handelskette gepostet haben. Korrektes Logo, nahezu identischer Name, einwandfreier Ton. Nur gehört dieses Konto nicht der Marke – und der „Berater“, der Ihnen gleich schreiben wird, will nur eines: Ihre Telefonnummer und danach Ihre Bankdaten.
Diese Masche nimmt in der Familie des Smishing eine besondere Stellung ein. In den meisten klassischen Fällen schießt der Betrüger ins Blaue: Er verschickt tausende SMS in der Hoffnung, jemanden zu treffen, der gerade auf ein Paket oder einen Bußgeldbescheid wartet. Hier ist es umgekehrt. Sie selbst haben öffentlich angekündigt, dass Sie auf etwas warten. Der Betrüger muss sich nur noch in das Gespräch einschleichen.
Warum eine öffentliche Beschwerde eine Goldgrube ist
Wenn Sie schreiben „@Anbieter seit drei Wochen warte ich auf die Rückerstattung für meinen zurückgeschickten Router, das ist unzumutbar“, haben Sie gerade kostenlos mehrere wertvolle Informationen geliefert:
- Den Namen des betroffenen Unternehmens. Der Betrüger weiß genau, welche Verkleidung er anlegen muss.
- Die Art des Streitfalls. Rückerstattung, verlorenes Paket, bestrittene Rechnung, nicht behobene Störung: Der Vorwand ist schon geschrieben.
- Manchmal einen Betrag. Viele Beschwerden nennen eine genaue Summe, die wortgleich übernommen werden kann, um den falschen Fall glaubwürdig zu machen.
- Ihren Gefühlszustand. Eine verärgerte Person, die schon dreimal ohne Ergebnis angerufen hat, ist unendlich viel empfänglicher für einen Gesprächspartner, der endlich sagt: „Ich kümmere mich darum.“
Dieser letzte Punkt ist der eigentliche Motor der Masche. Die Betrüger verkaufen keine Angst wie bei gefälschten Bußgeld-SMS, sie verkaufen Erleichterung. Das ist eine klassische Umkehrung des Social Engineering, bei der sich das Opfer genau in dem Moment unterstützt fühlt, in dem es ausgeplündert wird.
Die Plattformen selbst erleichtern das Aufspüren. Öffentliche Erwähnungen einer Marke sind für jeden in Echtzeit einsehbar, ohne jedes aufwendige Werkzeug. Ein Betrüger, der die Erwähnungen von fünf oder sechs großen Marken beobachtet, verfügt täglich über hunderte vorqualifizierte Ziele, die sich bereits in einem Streitfall befinden.
Der Mechanismus, Schritt für Schritt
1. Das Fake-Konto, das vor dem echten antwortet
Die betrügerischen Konten imitieren die offizielle Schreibweise: ein zusätzlicher Unterstrich, ein angehängtes „offiziell“, eine Null anstelle eines O, manchmal dasselbe Profilbild, einfach übernommen. Ihr entscheidender Vorteil ist die Geschwindigkeit. Ein echter Kundenservice antwortet innerhalb einiger Stunden oder am nächsten Werktag. Das Fake-Konto antwortet in weniger als fünf Minuten – auch am Sonntagabend.
2. Der Wechsel in die Privatnachricht
Der falsche Berater bittet fast sofort darum, „aus Gründen der Vertraulichkeit privat“ weiterzuschreiben. Das Argument klingt legitim, und es ist es auch bei echten Kundendiensten. Hier hat es aber eine andere Funktion: das Gespräch aus dem öffentlichen Raum herauszuholen, wo ein anderer Nutzer oder der echte Community-Manager der Marke Alarm schlagen könnte.
3. Die Frage nach der Telefonnummer
Das ist der Dreh- und Angelpunkt der Masche. „Damit unsere Abteilung Ihren Fall bearbeiten kann, teilen Sie uns Ihre Mobilnummer und den im Vertrag genannten Namen mit.“ Die Nummer verändert alles: Sie erlaubt den Wechsel auf einen intimeren, glaubwürdigeren Kanal – und vor allem das Auslösen echter Authentifizierungs-SMS bei Diensten, bei denen der Betrüger sich einzuloggen versucht.
4. Die SMS, die offiziell wirkt
Wenige Minuten später kommt eine SMS. Sie kann einen Absendernamen anzeigen, der dem der Marke gleicht: Das ist Absender-Spoofing, eine Fälschung, mit der sich praktisch jede beliebige Kennung anzeigen lässt. Die Nachricht enthält einen Link zu einem „Rückerstattungsformular“ oder einer „Fallbestätigung“.
5. Das falsche Formular und die echte Abbuchung
Das Formular verlangt Ihre IBAN, „um die Rückerstattung zu überweisen“, dann Ihre Kartennummer, „um die Identität des Inhabers zu prüfen“, manchmal eine Überweisung von 1 € „zur Bankprüfung“. In den ausgefeiltesten Varianten folgt ein Telefonanruf, in dem Sie aufgefordert werden, den per SMS erhaltenen sechsstelligen Code vorzulesen – jenen Code, der in Wahrheit eine Zahlung bestätigt oder das Hinzufügen Ihrer Karte auf einem unbekannten Telefon freigibt. Diesen Mechanismus haben wir in unserem Artikel über am Telefon vorgelesene Bestätigungscodes ausführlich beschrieben.
Kein seriöser Kundenservice wird Sie nach Ihrer PIN, nach dem sechsstelligen Code aus der SMS oder nach einer Überweisung „zur Überprüfung“ fragen. Eine Rückerstattung erfordert niemals eine Kreditkartennummer: Eine IBAN genügt, und Ihrem Anbieter ist sie bereits bekannt, wenn Sie dort Kunde sind.
Die am stärksten betroffenen Bereiche
Nicht jede Beschwerde ist gleich riskant. Betrüger bevorzugen Streitfälle, in denen ein Geldfluss plausibel ist und der Kunde ohnehin schon auf etwas wartet:
| Art der öffentlichen Beschwerde | Typisches Betrugsszenario |
|---|---|
| Verlorenes oder nicht geliefertes Paket | „Weiterleitungsgebühr“ von wenigen Euro, die zu zahlen ist |
| Bestrittene Rechnung des Anbieters | „Kulanzgutschrift“, für die IBAN und Karte nötig sind |
| Nicht berücksichtigte Kündigung | „Rückzahlung des Überschusses“ über ein falsches Formular |
| Storniertes E-Commerce-Bestellung | „Bestätigung der Rückerstattung“ mit vorzulesendem SMS-Code |
| Defekt eines Geräts in der Garantiezeit | „Entschädigungsgutschein“, der per Zahlung aktiviert werden muss |
| Verkehr, Zug- oder Flugverspätung | Falscher Entschädigungsantrag, der Bankdaten verlangt |
In dieser Liste findet sich eine Logik, die wir bereits bei den falschen Rückerstattungen von Mobilfunkanbietern beobachtet haben: Der Betrüger schleicht sich in ein echtes, langsames und schlecht verstandenes Verfahren ein.
Die Signale, bei denen Sie stoppen sollten
Wenige Reflexe genügen, um nahezu alle dieser Versuche scheitern zu lassen.
Prüfen Sie das Konto, nicht das Logo. Ein Logo ist in drei Sekunden kopiert. Schauen Sie auf das Erstellungsdatum des Kontos, die Anzahl der Beiträge, die Historie. Ein echter Kundenservice einer großen Marke hat tausende Nachrichten hinter sich; ein Fake-Konto oft weniger als fünfzig, alle in den letzten Tagen veröffentlicht. Viele Marken geben auf ihrer offiziellen Website die genaue Liste ihrer Social-Media-Konten an: Das ist die einzige verlässliche Quelle.
Seien Sie misstrauisch bei Schnelligkeit. Eine Antwort in weniger als fünf Minuten an einem Sonntagabend, zu einem komplexen Fall, ist kein gutes Zeichen. Das ist eine Anomalie.
Gehen Sie immer vom offiziellen Kanal aus. Klicken Sie auf keinen Link, den Sie per Privatnachricht oder SMS erhalten. Öffnen Sie selbst die App Ihres Anbieters oder tippen Sie die Adresse der Website manuell ein. Das ist die goldene Regel: Der Link, der zu Ihnen kommt, ist immer unsicherer als der, den Sie selbst aufsuchen.
Geben Sie niemals Ihre vollständigen Bankdaten heraus. Eine IBAN allein erlaubt keine Abbuchung ohne Mandat, eine Kartennummer mit Ablaufdatum und Prüfziffer hingegen schon. Und ein per SMS erhaltener Code gilt als Unterschrift.
Achten Sie auf unbegründete Kanalwechsel. Vom sozialen Netzwerk zur SMS, dann von der SMS zu WhatsApp, dann zum Anruf: Jeder Sprung erschwert die Überprüfung und entfernt Sie weiter von der schriftlichen Spur. Das ist für sich genommen ein Warnsignal.
Wie man sich beschwert, ohne sich zu exponieren
Der Reflex der öffentlichen Beschwerde ist verständlich: Er funktioniert oft, denn Marken hassen sichtbare Streitfälle. Man kann ihn aber nutzen, ohne sich zur Zielscheibe zu machen.
- Erwähnen Sie das Problem, nicht die Details. „Seit drei Wochen ungelöster Streitfall, bitte kontaktieren Sie mich“ genügt. Vermeiden Sie Bestellnummer, exakten Betrag, Vertragsnummer, Wohnort und selbstverständlich die Telefonnummer im Klartext.
- Veröffentlichen Sie niemals unverpixelte Screenshots. Screenshots von Rechnungen, Lieferscheinen oder Paketverfolgungen enthalten Referenzen, die der Betrüger wortgleich übernimmt, um Sie zu überzeugen. Ein Eingabestift für Touchscreens ist dafür nicht nötig: Die meisten Telefone erlauben es, einen Bereich direkt im Screenshot-Editor zu verpixeln.
- Bevorzugen Sie den offiziellen Schriftweg. Kontaktformular der Website, Kundenbereich oder Einschreiben bei ernsten Streitfällen. Ein Block Briefpapier und einige Fensterumschläge bleiben das solideste Mittel, um eine belastbare Dokumentation aufzubauen – besonders vor der Anrufung einer Schlichtungsstelle.
- Dokumentieren Sie alles selbst. Wenn der Streit eskaliert, nützt Ihnen ein Notizbuch zur Fallverfolgung, in dem Sie Daten, Gesprächspartner und Referenzen festhalten, mehr als ein Beitragsverlauf. Das ist auch ein ausgezeichneter Reflex im Fall einer späteren Anzeige.
Bei Streitfällen mit einem Telekommunikationsanbieter gibt es den offiziellen Weg, und er ist kostenlos: Bleibt eine schriftliche Beschwerde unbeantwortet, kann der Mediator für elektronische Kommunikation angerufen werden. Die Arcep veröffentlicht ebenfalls klare Empfehlungen zu unerwünschten Nachrichten und Anrufen und weist auf die zu nutzenden Meldekanäle hin. Keine der beiden Stellen wird Sie jemals spontan per Privatnachricht kontaktieren.
Wenn Sie schon geantwortet haben
Keine Panik, aber Methode. Die Reihenfolge zählt.
- Brechen Sie das Gespräch ab. Kündigen Sie nichts an, verhandeln Sie nicht, drohen Sie nicht: Blockieren und melden Sie das Konto auf der Plattform.
- Rufen Sie unverzüglich Ihre Bank an, wenn Sie eine Kartennummer oder eine IBAN weitergegeben oder einen per SMS erhaltenen Code vorgelesen haben. Verlangen Sie die Sperrung und eine Überwachung des Kontos. Die Nummer steht auf der Rückseite Ihrer Karte oder in Ihrer Banking-App – niemals in der erhaltenen SMS.
- Ändern Sie die Passwörter der mit dieser Telefonnummer verknüpften Konten, beginnend mit Ihrem E-Mail-Postfach. Ein Passwort-Manager erleichtert das enorm; andernfalls ist ein Passwort-Notizbuch, außer Sichtweite verstaut, besser als eine Liste in den Notizen des Telefons.
- Melden Sie die SMS an die 33700, den nationalen Meldedienst für betrügerische Nachrichten. Leiten Sie die Nachricht weiter und geben Sie dann die Absendernummer an, wenn Sie danach gefragt werden. Unser Leitfaden beschreibt den vollständigen Ablauf der Meldung an die 33700.
- Erstatten Sie Anzeige und melden Sie den Fall auf Cybermalveillance.gouv.fr, wo eine Online-Diagnose und eine Orientierung je nach Situation angeboten werden. Bei Identitätsmissbrauch oder einer Abbuchung ist die Anzeige für alles Weitere unverzichtbar, insbesondere um eine Rückerstattung von der Bank zu erhalten.
Einen schutzbedürftigen Angehörigen schützen
Diese Masche trifft besonders Menschen, die soziale Netzwerke gerade erst entdecken und eine Privatnachricht mit offiziellem Logo für eine verlässliche Mitteilung halten. Für einen älteren Elternteil ist die Überlegung schlüssig: Er hat dem Unternehmen geschrieben, das Unternehmen antwortet ihm.
Einige einfache Gewohnheiten, die man in Ruhe weitergeben sollte:
- Eine einzige Regel zum Merken: Man gibt niemals eine Kartennummer oder einen per SMS erhaltenen Code heraus, an niemanden, nie, welches Logo auch angezeigt wird.
- Ein Reflex zum Zeitgewinnen: „Ich rufe Sie über die Nummer aus meinem Vertrag zurück.“ Die echten Kundenservice-Nummern neben das Telefon zu kleben, funktioniert bemerkenswert gut, und ein Festnetztelefon mit großen Tasten mit Direktwahlspeichern erspart das Suchen in einem Verzeichnis.
- Eine feste Vertrauensperson: wissen, wen in der Familie man anruft, bevor man irgendwo klickt. Meistens genügen fünf Minuten Wartezeit, damit die Masche zusammenbricht.
Unsere Artikel über den Schutz von Senioren vor SMS-Betrug und über das erste Telefon eines Jugendlichen ergänzen diesen Ansatz sinnvoll: Beide Enden der Alterspyramide werden mit den gleichen psychologischen Hebeln angegriffen, nur mit unterschiedlichen Vorwänden.
Was Sie sich merken sollten
Der falsche Kundenservice ist eine der wenigen SMS-Betrugsmaschen, bei denen das Opfer seine eigene Schwachstelle unwissentlich selbst benannt hat. Sie erinnert an eine Regel, die weit über das Smishing hinausgeht: Was Sie online über Ihre Streitfälle, Ihre Erwartungen und Ihre Einkäufe veröffentlichen, ist verwertbares Material.
Drei Sätze zum Behalten:
- Ein Kundenservice, der am Sonntagabend in vier Minuten antwortet, ist wahrscheinlich nicht der echte.
- Eine Rückerstattung verlangt niemals eine Kartennummer und niemals einen sechsstelligen Code.
- Der richtige Kanal ist immer der, den Sie selbst öffnen, nicht der, der Ihnen hingehalten wird.
Übrigens können Sie einen SMS-Versanddienst nutzen, um einen Angehörigen schnell zu warnen, dass solche Nachrichten im Umlauf sind: ein kurzer, direkter Text wie „Wenn sich nach deiner Beschwerde ein Berater bei dir meldet, gib nichts heraus und ruf mich an“. Das kostenlose SMS-Formular finden Sie auf der Startseite, ohne Anmeldung. Manchmal ist eine Nachricht aus zehn Wörtern zum richtigen Zeitpunkt mehr wert als eine lange Erklärung.
