Paket-SMS-Betrug erkennen: gefälschte Paketbenachrichtigung entlarven

Eine SMS meldet, dein Paket hänge fest, die Adresse sei unvollständig oder es seien noch ein paar Euro Zoll offen, und darunter steht ein Link. Fast jeder erwartet mal ein Paket, deshalb funktioniert diese Masche so gut. Die Absender schicken die Nachricht an möglichst viele Nummern und hoffen, dass ein Teil gerade wirklich auf eine Lieferung wartet und ohne nachzudenken tippt. Die gute Nachricht ist, dass echte Paketdienste und gefälschte SMS sich an klaren Punkten unterscheiden. Diese Anleitung zeigt dir die Merkmale, die häufigste Lüge dahinter und wie du eine echte Sendung selbst prüfst, ohne je auf den Link zu tippen.

Das Wichtigste in Kürze

• Nicht tippen, löschen. Hast du den Link noch nicht angetippt, ist die Lage harmlos. Lösch die Nachricht und antworte nicht.
• Zoll wird nie vorab per Link kassiert. Der Zoll stellt Einfuhrabgaben erst bei der Auslieferung über den Paketdienst in Rechnung, nie vorher über eine Webseite.
• Typische Merkmale: unerwartete Nachricht, Zeitdruck, ein Link, der nicht zur echten Domain passt, und Schreibfehler gerade bei Umlauten.
• Selbst prüfen statt klicken. Sendungsnummer in der offiziellen App oder Webseite von Hand eingeben, nicht über den SMS-Link.
• Beim Klick droht auf Android eine schädliche App, die im Hintergrund SMS verschickt. Auf dem iPhone ist das Risiko geringer, weil sich Apps nicht so einfach unterschieben lassen.
• Schon geklickt? Handy in den Flugmodus, betroffene Passwörter über ein anderes Gerät ändern, bei Kartendaten sofort die Bank informieren.

So erkennst du eine gefälschte Paket-SMS

Die Nachrichten wirken echt, verraten sich aber an wiederkehrenden Punkten:

• Du erwartest die Sendung nicht. Oder du erwartest ein Paket, aber nicht über diesen Dienst und nicht mit einem offenen Betrag. Ein Absender, der plötzlich Geld oder Daten will, ist verdächtig.
• Zeitdruck. Formulierungen wie „letzte Möglichkeit, es abzuholen" oder „wird heute zum Absender zurückgesendet" sollen dich zum schnellen, unüberlegten Tippen bringen.
• Der Link passt nicht zur Marke. Ein echter Dienst nutzt seine eigene Domain. Steht in der Adresse etwas wie „dhl.de-paket-tracking.com", ist die eigentliche Domain nicht dhl.de, sondern der Teil direkt vor dem ersten einzelnen Schrägstrich. Verkürzte Links verschleiern das Ziel zusätzlich.
• Schreibfehler und krude Zeichen. Verbraucherzentrale und BSI nennen Fehler gerade bei Umlauten wie ä, ö, ü sowie eingestreute Sonderzeichen als typisches Merkmal. Ein Satz wie „Ihr paket wird heute zuruckgesendet" ohne Umlaute ist ein deutliches Warnsignal.

Ein einzelnes Merkmal reicht zum Misstrauen, kommen mehrere zusammen, ist die Sache klar.

Die Zoll- und Gebühren-Lüge

Die wirksamste Variante behauptet, für die Zustellung sei noch ein kleiner Betrag fällig, oft Zoll oder eine Gebühr von ein, zwei Euro. Die Summe ist bewusst niedrig, damit du sie ohne Nachdenken zahlst und dabei deine Kartendaten preisgibst. Dagegen hilft ein einfaches Wissen: Der Zoll kassiert nie vorab über eine Webseite. Er erklärt selbst, dass der Paketdienstleister dir verauslagte Einfuhrabgaben erst bei der Auslieferung in Rechnung stellt. Eine echte Gebühr zahlst du beim Zusteller an der Tür oder regulär beim Anbieter, nicht über einen Link aus einer SMS. Verlangt eine Nachricht Geld vor der Zustellung, ist sie gefälscht.

Was beim Klick passiert

Auf dem Link warten je nach Gerät unterschiedliche Fallen. Betroffen sind beide Systeme:

• Android. Häufig wirst du aufgefordert, eine App zur Sendungsverfolgung zu installieren. Dahinter steckt Schadsoftware, die laut Verbraucherzentrale im Hintergrund massenweise SMS an gespeicherte Kontakte verschickt und so hohe Kosten verursacht. Deshalb sollte auf Android die Installation aus unbekannten Quellen deaktiviert bleiben. Den Schalter findest du unter Einstellungen, Apps, Spezieller App-Zugriff, Unbekannte Apps installieren, dort für jeden Browser getrennt.
• iPhone. Hier lässt sich eine App nicht so einfach unterschieben, weil iOS nur geprüfte Quellen zulässt. Das Risiko ist geringer, aber nicht null: Statt einer App wartet oft eine nachgebaute Fangseite, die deine Zugangs- oder Kartendaten abgreift. Gib dort nichts ein.

Beide Male behauptet die Nachricht ein Problem, das nur ein Klick lösen soll. Genau dieser Klick ist die Falle.

So prüfst du eine echte Sendung richtig

Erwartest du wirklich ein Paket, brauchst du die SMS gar nicht. Prüf den Status auf dem sauberen Weg:

• Sendungsnummer selbst eingeben. Öffne die offizielle App oder Webseite des Paketdiensts, die du kennst oder selbst über die Suche findest, und gib die Sendungsnummer aus deiner Bestellbestätigung von Hand ein.
• Nichts aus der SMS übernehmen. Keine Nummer, keinen Link und keinen Betrag aus der Nachricht verwenden. Steht keine Sendungsnummer bereit, frag beim Shop nach, wann geliefert wird.

Wie du gefälschte Nachrichten grundsätzlich entlarvst, egal ob Paket, Konto oder Sprachnachricht, steht ausführlich im Ratgeber Smishing erkennen: Betrugs-SMS entlarven.

Schon getippt oder Daten eingegeben?

Kein Grund zur Panik, aber jetzt zählt ruhiges Handeln. So gehst du vor:

• Flugmodus an. Das BSI rät, das Gerät sofort aus dem Mobilfunknetz zu nehmen. Das unterbindet weiteren SMS-Versand über dein Handy. Auf dem iPhone geht das über das Kontrollzentrum, auf Android über die Schnelleinstellungen oben im Bildschirm.
• App entfernen. Hast du auf Android eine App installiert, deinstalliere sie wieder, im Zweifel über den abgesicherten Modus, in dem fremde Apps nicht mitlaufen.
• Passwörter ändern. Hast du Zugangsdaten auf einer Fangseite eingegeben, ändere sie umgehend über ein anderes, sauberes Gerät. Nutzt du dasselbe Passwort mehrfach, tausch es überall.
• Bank informieren. Hast du Karten- oder Kontodaten preisgegeben, kontaktiere sofort deine Bank über die offizielle Nummer und lass Karte oder Zahlungen sperren.
• Anbieter informieren. Melde den Vorfall deinem Mobilfunkanbieter und prüf deine nächste Rechnung auf unbekannte Beträge.

Bist du danach unsicher, ob auf dem Gerät noch etwas hängt, ist ein Zurücksetzen auf Werkseinstellungen der gründlichste Schnitt. Wie du das sauber machst und vorher deine Daten sicherst, steht im Ratgeber Daten sicher löschen.

Wo du die SMS meldest

Melden lässt Rufnummern und Seiten schneller abschalten. Verdächtige SMS meldest du über das Beschwerdeformular der Bundesnetzagentur zum Rufnummernmissbrauch. Ist ein Schaden entstanden oder wurden Daten abgegriffen, erstatte zusätzlich Anzeige bei der Polizei, online über die Onlinewache oder auf der Dienststelle. Nimm dein Smartphone zur Beweissicherung mit.

Warum ein aktuelles Gerät mitschützt

Der Paket-SMS-Betrug zielt auf den Menschen, nicht auf eine Lücke im Handy, deshalb schützt kein Gerät allein davor. Trotzdem spielt dein Gerät eine Rolle: Tippst du versehentlich auf einen Link mit Schadcode, fängt ein aktuelles Betriebssystem das eher ab als ein Modell ohne Updates. Für welchen Zeitraum die Hersteller Updates liefern, erklärt der Ratgeber Wie lange ein Smartphone Updates bekommt.

Bei uns bekommst du geprüfte Geräte, neu oder generalüberholt, die noch im Update-Zeitraum liegen. Ein generalüberholtes Smartphone durchläuft dabei die Prüfung im Haus. Stöbern kannst du im Smartphone-Sortiment.

Talkis Empfehlung

Behandle jede unerwartete Paket-SMS mit Link und Zeitdruck wie eine Fälschung, bis das Gegenteil bewiesen ist. Statt zu tippen, prüfst du selbst über die offizielle App oder Webseite mit deiner Sendungsnummer. Merk dir die Faustregel, die den Betrug aushebelt: Kein Paketdienst und kein Zoll verlangt Geld oder Daten über einen SMS-Link. Richte zusätzlich beim Mobilfunkanbieter die Drittanbietersperre ein und halte dein Betriebssystem aktuell. Bist du unsicher, ob dein Gerät noch Updates bekommt, frag mich.

Smartphones ansehen

Häufige Fragen

Ich erwarte wirklich ein Paket. Kann die SMS dann echt sein? Möglich, aber verlass dich nicht auf die SMS. Öffne die offizielle App oder Webseite des Paketdiensts und gib deine Sendungsnummer aus der Bestellbestätigung von Hand ein. Verlangt die SMS Geld oder Daten über einen Link, ist sie gefälscht.

Muss ich Zollgebühren vorab über einen Link zahlen? Nein. Der Zoll stellt Einfuhrabgaben erst bei der Auslieferung über den Paketdienst in Rechnung. Eine echte Gebühr zahlst du beim Zusteller oder regulär beim Anbieter, nie vorab über eine Webseite.

Ich habe auf den Link getippt. Was jetzt? Schalte das Handy in den Flugmodus. Hast du nur die Seite geöffnet, aber nichts eingegeben und nichts installiert, ist das Risiko gering. Hast du auf Android eine App installiert, entferne sie. Ändere danach über ein anderes Gerät die Passwörter betroffener Konten und kontaktiere bei eingegebenen Kartendaten sofort deine Bank.

Wo kann ich die SMS melden? Über das Beschwerdeformular der Bundesnetzagentur zum Rufnummernmissbrauch. Bei entstandenem Schaden zusätzlich Anzeige bei der Polizei, online oder auf der Dienststelle.