SMS-Betrug: Fake-SMS erkennen, richtig reagieren und melden

Ein Paket hängt angeblich beim Zoll fest, die pushTAN läuft ab, eine neue Voicemail wartet: Gefälschte SMS wirken oft harmlos und alltäglich. Fachleute nennen das Smishing – eine Mischung aus SMS und Phishing. Die Täter wollen Passwörter und Kartendaten stehlen, Schad-Apps verbreiten oder Sie zu einer Überweisung bringen. Die gute Nachricht: Wer die typischen Muster kennt, erkennt die meisten Fake-SMS sofort.

Aktuelle Fake-SMS im Überblick

Paket- und Zoll-SMS

Laut Verbraucherzentrale geht es bei Paket-SMS immer um eine Zustellung. Die Absender geben sich als DHL, Deutsche Post, DPD, Hermes, UPS oder Amazon aus. Manche Nachrichten sprechen Sie mit Vornamen an – die Namen werden automatisch eingesetzt, oft aus gestohlenen Kontaktlisten. Ein Teil der Links verbreitet Schad-Apps für Android, etwa „FluBot“ oder „TeaBot“. Diese Apps lesen Daten aus und verschicken massenhaft SMS an Ihre Kontakte.

Zum Zoll: Zollgebühren kassiert normalerweise der Zusteller bei der Übergabe. Sie werden nicht vorab über einen SMS-Link bezahlt. Echte Hinweise zur Vorauszahlung enthalten eine Sendungsnummer und den Namen des Absenders.

Bank-SMS und pushTAN

Die Nachrichten behaupten, ein Verfahren laufe ab, die Karte sei gesperrt oder eine hohe Zahlung stehe an. Als Absender erscheint manchmal sogar der Name der Bank statt einer Nummer. Die Links enthalten Banknamen, führen aber nicht zu echten Bankseiten. Auch Telefonnummern in solchen SMS gehören nicht zur Bank. Prüfen Sie im Zweifel in Ihrer Banking-App oder rufen Sie die Bank über die dort angezeigten Kontaktdaten an.

Finanzamt, Gericht und Behörden

Die Verbraucherzentrale stellt klar: „Das Finanzamt verschickt keine SMS zu Steuerbescheiden!“ Andere Fake-SMS drohen mit einem Gerichtsvollzieher, der meist zwei Tage nach Empfang pfänden werde, oder mit einem „Pfändungsbeschluss“, den ein angeblicher Sachbearbeiter aufheben könne. Druck und kurze Fristen sind hier das wichtigste Warnsignal.

Voicemail- und Mobilfunk-SMS

Nachrichten wie „Neue Voicemail:“ tragen oft einen bekannten Anbieternamen als Absender, etwa „Vodafone“. Der Link führt nicht zu einer Sprachnachricht, sondern zu einer Seite, die Sie zur Installation einer App drängt – angeblich, weil die Nachricht nur damit abspielbar sei. Andere SMS behaupten, ein Kauf im Google Play Store sei an Ihrer Drittanbietersperre gescheitert, oder Ihre Rufnummer werde deaktiviert. Echte Mailbox-Benachrichtigungen enthalten in der Regel keinen Link zu einer unbekannten Website – rufen Sie im Zweifel Ihre Mailbox direkt an.

Maut-SMS

Der ADAC berichtete im Juli 2026 von gefälschten SMS und E-Mails zu angeblich offenen Mautgebühren auf französischen Autobahnen, etwa über 6,80 Euro. Der Link führt zu einer nachgebauten Betreiberseite. Seriöse Zahlungsaufforderungen enthalten laut ADAC keine direkten Zahlungslinks. Die Masche richtet sich nach Einschätzung des ADAC vor allem an Empfänger in Frankreich.

Auch der Enkeltrick kommt per SMS: „Hallo Mama, das ist meine neue Nummer“. Mehr dazu im Ratgeber WhatsApp-Betrug.

So erkennen Sie eine Fake-SMS

• Ein Link soll angetippt werden – oft mit kurzer Frist oder Drohung (Sperrung, Pfändung, Rücksendung).
• Eine kleine Gebühr soll per Karte bezahlt werden.
• Eine App soll außerhalb des App Stores oder von Google Play installiert werden, oder Sie sollen die Installation aus „unbekannten Quellen“ erlauben.
• Der Absendername stimmt, die Nachricht ist trotzdem falsch: Namen wie „Vodafone“ oder der Name Ihrer Bank lassen sich fälschen.
• Tippfehler, seltsame Zeichen, unpersönliche oder automatisch eingesetzte Anrede.
• Sie erwarten gar nichts: kein Paket, keine Steuererstattung, keine Nachricht vom Gericht.

Fake-SMS bekommen: So reagieren Sie richtig

Tippen Sie den Link nicht an und rufen Sie keine Nummer aus der Nachricht an. Antworten Sie nicht – jede Antwort zeigt den Tätern, dass Ihre Nummer aktiv ist. Erwarten Sie wirklich ein Paket, geben Sie die Sendungsnummer selbst auf der Website des Paketdienstes ein oder fragen Sie beim Absender nach. Machen Sie einen Screenshot, melden Sie die SMS und löschen Sie sie dann. Den Absender zu blockieren ist möglich, hilft aber wenig, weil die Nummern ständig wechseln.

Das bloße Öffnen einer SMS nennen die Warnungen von Verbraucherzentrale und Behörden nicht als Gefahr. Kritisch wird es, wenn Sie den Link antippen und dort Daten eingeben oder eine App installieren. Was dann zu tun ist, steht unten unter „Wenn es schon passiert ist“.

Betrügerische SMS melden

• Bundesnetzagentur: Über das Online-Beschwerdeformular „SMS oder Messenger“ können Sie Spam- und Betrugs-SMS melden, auch solche mit Bank- oder Paketdienst-Logos. Telefonisch erreichen Sie die Behörde unter 0228 14 15 16. Die Bundesnetzagentur kann unter anderem die Abschaltung missbrauchter Rufnummern anordnen. Wie eine Beschwerde abläuft, erklärt der Ratgeber Beschwerde bei der Bundesnetzagentur.
• Polizei: Haben Sie Daten eingegeben, Geld verloren oder eine App installiert, erstatten Sie Anzeige – über die Onlinewache Ihres Bundeslandes oder auf einer Dienststelle. Nehmen Sie das Handy mit.
• Verbraucherzentrale: Im Phishing-Radar der Verbraucherzentrale sehen Sie, welche Maschen gerade kursieren.

Sie können auch prüfen, ob eine Absendernummer bereits gemeldet wurde: Geben Sie sie in unsere Rückwärtssuche ein oder schauen Sie in die neuen Meldungen.

Vorbeugen: So bekommen Sie weniger Fake-SMS

• Erlauben Sie auf Android keine Installation von Apps aus unbekannten Quellen. Auf dem iPhone lassen sich normalerweise nur Apps aus dem App Store installieren.
• Halten Sie Betriebssystem und Apps aktuell.
• Lassen Sie bei Ihrem Mobilfunkanbieter eine Drittanbietersperre einrichten. Sie verhindert Abbuchungen fremder Anbieter über Ihre Handyrechnung.
• Geben Sie Ihre Handynummer nur weiter, wenn es wirklich nötig ist.