Smishing (SMS-Phishing) ist Phishing über SMS und Messenger, das Opfer auf gefälschte Websites lockt oder sie zur Herausgabe von Codes und Zahlungsdaten verleitet.
Wie Smishing funktioniert
Der Angreifer verschickt eine kurze, dringliche Nachricht mit Link: Ein Paket kann nicht zugestellt werden, eine Maut oder ein Bußgeld ist offen, die Bankkarte wurde gesperrt, eine Steuererstattung wartet. Der Link führt zu einer überzeugenden Kopie der Website eines Paketdienstes, einer Bank oder Behörde, die Kartendaten, Zugangsdaten oder ein Einmalpasswort abfragt. Absendernamen werden oft gespooft, und Nachrichten kommen per iMessage, RCS oder WhatsApp, um die Spamfilter der Netzbetreiber zu umgehen.
Große kriminelle Gruppen nutzen fertige „Smishing-Kits“ und SIM-Farmen für Millionen Nachrichten. Auch in Deutschland sind gefälschte Paket-SMS seit Jahren verbreitet; seit 2024 rollen zudem Wellen angeblich unbezahlter Mautgebühren über US-Autofahrer, vor denen das FBI warnte.
Warum Smishing funktioniert
SMS werden fast sofort gelesen, Nachrichten scheinbar bekannter Dienste genießen Vertrauen, und auf dem kleinen Bildschirm ist nur eine verkürzte URL zu sehen. Im mobilen Browser lässt sich die echte Domain schwerer prüfen. Wie andere Formen des Phishings setzt Smishing auf Social Engineering, nicht auf technische Exploits.
So schützen Sie sich
- Links in unerwarteten Nachrichten nicht antippen, sondern die offizielle App öffnen oder die Adresse selbst eingeben.
- Einmalcodes niemals weitergeben – echte Banken oder Paketdienste fragen nicht danach.
- Verdächtige SMS beim Mobilfunkanbieter melden und löschen.
- Wo möglich phishing-resistente Verfahren wie Passkeys statt SMS-Codes nutzen.
