Smishing (SMS-Phishing)
Phishing kommt längst nicht mehr nur per E-Mail. Beim Smishing erreicht der Angriff Ihr Smartphone als SMS oder Messenger-Nachricht – so erkennen und stoppen Sie ihn.
- Kategorie
- Phishing per SMS & Messenger
- Angriffsweg
- Kurznachricht mit Link oder Rückruf-Aufforderung
- Typische Köder
- Paketzustellung, Voicemail, Bank-Warnung
- Bester Schutz
- Keine Links aus unerwarteten SMS öffnen
Wie funktioniert Smishing?
Smishing verlagert einen Phishing-Angriff von der E-Mail auf das Smartphone. Technisch handelt es sich um dieselbe Täuschung wie beim klassischen Phishing, nur dass der Köder als Kurznachricht ankommt. Weil der Angriff auf Vertrauen, Gewohnheit und Zeitdruck setzt, zählt Smishing zu den Methoden des Social Engineering. Das Vorgehen ist dabei fast immer gleich und folgt einem erprobten Muster:
- 1Die Angreifer versenden massenhaft SMS, die scheinbar von einem bekannten Absender stammen – etwa einem Paketdienst, einer Bank oder einem Mobilfunkanbieter.
- 2Die Nachricht erzeugt Dringlichkeit oder Neugier: eine angeblich wartende Sendung, eine neue Sprachnachricht oder eine vermeintliche Sicherheitswarnung.
- 3Ein enthaltener Link führt auf eine nachgebaute Seite, die zur Eingabe von Zugangsdaten, Zahlungsinformationen oder zur Installation einer App auffordert.
- 4Die eingegebenen Daten landen direkt bei den Tätern, die damit Konten übernehmen, Zahlungen auslösen oder weitere Angriffe starten.
Smishing ist aus einem einfachen Grund besonders wirksam: Auf dem Smartphone werden Nachrichten als unmittelbar und persönlich empfunden, verkürzte Links lassen sich kaum überprüfen und viele Sicherheitsfilter, die auf E-Mails spezialisiert sind, greifen bei SMS schlechter. Zudem handeln Menschen unterwegs schneller und unaufmerksamer als am Schreibtisch.
Typische SMS-Köder im Überblick
Smishing-Nachrichten greifen immer wieder dieselben Alltagssituationen auf, weil sie plausibel wirken und viele Empfänger gleichzeitig ansprechen. Die folgende Übersicht zeigt die vier häufigsten Köder-Typen, wie sie jeweils wirken und woran Sie sie erkennen – rein beschreibend und ohne nachstellbare Vorlagen:
| Köder-Typ | So wirkt die Nachricht | Typisches Warnsignal |
|---|---|---|
| Paket- / Zustell-SMS | Hinweis auf eine angeblich wartende Sendung, eine verpasste Zustellung oder eine fällige Gebühr. | Eine Zustellung, die Sie nicht erwarten, kombiniert mit einem Link zur „Verfolgung“ oder „Zollzahlung“. |
| Voicemail- / Mailbox-Hinweis | Benachrichtigung über eine neue Sprachnachricht, die sich nur über einen Link oder eine zusätzliche App abrufen lasse. | Sprachnachrichten erreichen Sie normalerweise direkt über Ihr Telefon, nicht über einen externen Link. |
| Bank- / Konto-Warnung | Warnung vor einer verdächtigen Transaktion oder vor einer angeblich notwendigen „Verifizierung“ des Kontos. | Druck zur sofortigen Bestätigung sensibler Daten über einen Link statt über die bekannte Banking-App. |
| Gewinn- / Prämien-SMS | Nachricht über einen angeblichen Gewinn, ein Geschenk oder eine exklusive Prämie, die nur kurz abrufbar sei. | Ein Gewinn ohne jede Teilnahme und die Aufforderung, zur „Einlösung“ persönliche Daten preiszugeben. |
Allen Varianten gemeinsam ist eine Aufforderung zum sofortigen Handeln – kombiniert mit einem Link oder einer Rückrufnummer. Wer kurz innehält und den Kontext prüft, entlarvt die meisten dieser Nachrichten schnell. Besonders perfide wird Smishing, wenn es gezielt auf eine Person zugeschnitten ist: Dann spricht man von Spear-Phishing, bei dem die Nachricht persönliche Details enthält und dadurch noch glaubwürdiger wirkt.
Warum Link-Kürzer und kleine Displays das Risiko erhöhen
Smishing ist nicht deshalb so erfolgreich, weil die Nachrichten besonders raffiniert wären, sondern weil das Medium den Angreifern entgegenkommt. Auf dem Smartphone fehlen viele Prüfmöglichkeiten, die am Desktop selbstverständlich sind. Gleich mehrere Faktoren wirken dabei zusammen:
- Link-Kürzer verbergen das wahre Ziel: Statt einer lesbaren Adresse erscheint nur eine kryptische Kurz-URL, die sich vor dem Antippen kaum einem Absender zuordnen lässt.
- Kleine Displays zeigen Adressen abgeschnitten an: Eine Tippfehler-Domain oder ein angehängter Fremdname fällt auf dem Smartphone deutlich seltener auf als am großen Bildschirm.
- Viele SMS-Apps blenden Links sofort klickbar ein, ohne eine Vorschau des Ziels – ein versehentliches Antippen genügt.
- SMS gelten als persönlich und vertrauenswürdig: Anders als eine E-Mail landet eine Kurznachricht ungefiltert und ohne Spam-Ordner direkt im Posteingang.
- Unterwegs und nebenbei sinkt die Aufmerksamkeit – genau die Situation, in der die meisten SMS gelesen und beantwortet werden.
Warum reine Technik hier an Grenzen stößt
Wie verbreitet und teuer ist der Faktor Mensch?
Smishing wirkt nicht über eine technische Lücke, sondern über eine menschliche Handlung – den Klick oder die Dateneingabe nach einer SMS. Dass genau dieser Faktor Mensch das zentrale Einfallstor ist, zeigen anerkannte Branchenberichte seit Jahren mit stabiler Deutlichkeit:
der Sicherheitsvorfälle gehen auf den Faktor Mensch zurück – etwa auf einen unbedachten Klick auf einen SMS-Link.
Quelle: Verizon Data Breach Investigations Report 2024
so häufig war Phishing 2024 der initiale Angriffsvektor bei Datenpannen – über alle Kanäle hinweg.
Quelle: IBM Cost of a Data Breach Report 2024
der Unternehmen in Deutschland waren von Datendiebstahl, Spionage oder Sabotage betroffen.
Quelle: Bitkom 2024
Die Zahlen beschreiben ein Muster, das Smishing besonders ausnutzt: Nicht die Firewall, sondern die alltägliche Interaktion ist heute das häufigste Einfallstor. Das BSI beobachtet zudem eine deutliche Zunahme von Phishing über mobile Kanäle, seit Zahlungen, Zustellungen und Kommunikation selbstverständlich über das Smartphone laufen. Weil eine SMS technische Filter leichter umgeht, entscheidet am Ende die Reaktion des Menschen über Erfolg oder Scheitern des Angriffs.
Woran erkenne ich eine Phishing-SMS?
Eine einzelne Auffälligkeit ist noch kein Beweis – treten mehrere zusammen auf, ist höchste Vorsicht geboten. Achten Sie besonders auf diese Warnsignale:
- Unerwarteter Kontext: eine Sendung, Rechnung oder Warnung, mit der Sie nicht gerechnet haben
- Unbekannte, ausländische oder ungewöhnlich formatierte Absendernummer
- Künstlicher Zeitdruck und Drohungen („Konto wird gesperrt“, „letzte Chance“)
- Verkürzte oder kryptische Links, deren Ziel nicht erkennbar ist
- Aufforderung, Zugangsdaten, TANs oder Zahlungsdaten einzugeben oder eine App zu installieren
Eine ausführliche Anleitung, wie Sie verdächtige Nachrichten über alle Kanäle hinweg entlarven, finden Sie im Ratgeber Phishing-Mails erkennen. Viele der dort beschriebenen Merkmale gelten für SMS genauso.
In fünf Schritten richtig reagieren
Wer eine verdächtige SMS erhält, braucht keine technische Analyse – nur eine ruhige, eingeübte Routine. Mit diesen Schritten entschärfen Sie eine Smishing-Nachricht zuverlässig, bevor Schaden entsteht:
- 1App statt Link: Rufen Sie den betreffenden Dienst – Paketverfolgung, Banking oder Mailbox – immer über die offizielle App oder die manuell eingetippte Web-Adresse auf, nie über den Link in der Nachricht.
- 2Absender und Kontext prüfen: Kontrollieren Sie die Nummer, die Schreibweise und ob Sie die angebliche Sendung, Zahlung oder Warnung überhaupt erwartet haben.
- 3Nicht antworten und nicht zurückrufen: Jede Reaktion bestätigt den Angreifern, dass Ihre Nummer aktiv ist – auch ein kurzes „STOP“ oder ein Rückruf.
- 4Nichts eingeben, nichts installieren: Geben Sie nach einem SMS-Link keine Zugangsdaten, TANs oder Zahlungsdaten ein und installieren Sie keine Apps oder Konfigurationsprofile.
- 5Löschen und melden: Entfernen Sie die Nachricht und melden Sie sie im Unternehmen über den gewohnten Meldeweg, damit Kolleginnen und Kollegen rechtzeitig gewarnt werden können.
Schon getippt oder Daten eingegeben?
Wie schützt man sich vor Smishing?
Der beste Schutz vor Smishing ist konsequentes, ruhiges Handeln. Diese Regeln helfen im Alltag zuverlässig weiter:
- Keine Links aus unerwarteten oder unaufgeforderten SMS öffnen – auch nicht unter Zeitdruck
- Absendernummer und Textqualität prüfen: unbekannte Nummern, Abkürzungen oder Rechtschreibfehler sind Warnsignale
- Dienste immer über die offizielle App oder die manuell eingetippte Web-Adresse aufrufen, nie über den Link in der Nachricht
- Niemals Zugangsdaten, TANs oder Zahlungsinformationen nach einem SMS-Link eingeben
- Keine Apps oder Profile installieren, zu denen eine SMS auffordert
- Verdächtige SMS löschen, nicht beantworten – und im Unternehmen über den gewohnten Meldeweg melden
Die einfache Faustregel
Smishing und verwandte Phishing-Varianten
Smishing ist kein Einzelphänomen, sondern Teil einer ganzen Familie von Angriffen, die dasselbe Prinzip über unterschiedliche Kanäle verfolgen. Kommt die Täuschung über das Telefon, spricht man von Vishing; versteckt sie sich hinter einem QR-Code, handelt es sich um Quishing. Richtet sich der Angriff gezielt gegen Führungskräfte, spricht man von Whaling, und die betrügerische Anweisung einer vermeintlichen Chefin oder eines Chefs firmiert als CEO-Fraud.
Allen Varianten gemeinsam ist das Prinzip des getarnten Köders: Nur das Medium wechselt, das Ziel bleibt dasselbe. Wer die Gemeinsamkeiten versteht, erkennt neue Maschen schneller wieder. Einen Überblick über alle Begriffe und ihre Zusammenhänge bietet unser Cyber-Lexikon.
So hilft SECMIND
Technische Filter stoppen viele, aber längst nicht alle Smishing-Angriffe – entscheidend bleibt der Mensch, der die Nachricht liest. SECMIND trainiert genau diesen Reflex: Mit realistischen Phishing-Simulationen und praxisnahen Security-Awareness-Trainings lernen Ihre Mitarbeitenden, verdächtige Nachrichten über alle Kanäle hinweg zu erkennen, richtig zu reagieren und Vorfälle niederschwellig zu melden. Über mehrere Kampagnen hinweg werden die Erfolge messbar – und das vollständig anonymisiert und DSGVO-konform.
Smishing wird dabei nicht isoliert, sondern im Zusammenhang aller Phishing-Varianten geübt. So ist die Phishing-Simulation fest in das Security-Awareness-Training eingebettet, sodass Ihr Team ein durchgängiges Gespür für Täuschungsversuche entwickelt.
Starten Sie mit einer Standortbestimmung
Häufige Fragen zu Smishing
Was ist Smishing?
Smishing ist Phishing per SMS oder Messenger-Nachricht. Der Begriff setzt sich aus „SMS“ und „Phishing“ zusammen. Angreifer versenden Kurznachrichten, die scheinbar von einem vertrauenswürdigen Absender stammen, und verleiten die Empfänger dazu, auf einen Link zu klicken, vertrauliche Daten einzugeben oder eine schädliche App zu installieren.
Woran erkenne ich eine Phishing-SMS?
Typische Warnsignale sind: eine unbekannte oder ausländische Absendernummer, unerwarteter Kontext (eine Sendung, die Sie nicht erwarten), künstlicher Zeitdruck, verkürzte oder kryptische Links sowie die Aufforderung, Zugangsdaten einzugeben oder eine App zu installieren. Seriöse Unternehmen fordern niemals per SMS-Link zur Eingabe sensibler Daten auf.
Was sind die häufigsten Smishing-Köder?
Am häufigsten sind gefälschte Paket- und Zustell-SMS, angebliche Voicemail- oder Mailbox-Hinweise, Warnungen vor verdächtigen Konto-Transaktionen und Gewinn- oder Prämien-Nachrichten. Allen gemeinsam ist eine plausible Alltagssituation, kombiniert mit einem Link und der Aufforderung, sofort zu handeln.
Warum erhöhen Link-Kürzer das Risiko bei Smishing?
Ein Link-Kürzer ersetzt die eigentliche Adresse durch eine kurze, kryptische URL. Dadurch lässt sich das wahre Ziel vor dem Antippen nicht mehr erkennen oder einem Absender zuordnen. Auf kleinen Smartphone-Displays werden Adressen zusätzlich abgeschnitten dargestellt, sodass getarnte Tippfehler-Domains kaum auffallen – beides spielt den Angreifern in die Hände.
Was tun bei einer Smishing-SMS?
Klicken Sie keinen Link an und geben Sie keine Daten ein. Antworten Sie nicht und rufen Sie keine genannte Nummer zurück. Löschen Sie die Nachricht und rufen Sie den betreffenden Dienst bei Bedarf über die offizielle App oder manuell eingegebene Web-Adresse auf. Haben Sie bereits auf einen Link getippt oder Daten eingegeben, ändern Sie betroffene Passwörter, informieren Sie Ihre Bank und melden Sie den Vorfall intern.
Wie schützt man sich vor Smishing?
Der wirksamste Schutz ist Aufmerksamkeit: unerwartete SMS kritisch hinterfragen, keine Links aus Kurznachrichten öffnen und Dienste ausschließlich über die offizielle App oder die manuell eingetippte Adresse nutzen. In Unternehmen senken regelmäßige Awareness-Trainings und Phishing-Simulationen das Risiko spürbar, weil Mitarbeitende solche Muster schneller erkennen.
Worin unterscheidet sich Smishing von klassischem Phishing?
Beim klassischen Phishing kommt der Angriff per E-Mail, beim Smishing per SMS oder Messenger. SMS wirken oft persönlicher und unmittelbarer, verkürzte Links lassen sich kaum prüfen und viele technische Filter greifen auf dem Smartphone schlechter – das macht Smishing besonders tückisch.
Kann man Smishing im Unternehmen trainieren?
Ja. Mit realistischen, aber harmlosen Phishing-Simulationen lässt sich auch der SMS-Kanal abbilden und einüben. Mitarbeitende erleben im geschützten Rahmen, wie eine Smishing-Nachricht wirkt, und lernen, sie zu erkennen und zu melden. So wird die Awareness über mehrere Kampagnen hinweg messbar besser – vollständig anonymisiert und DSGVO-konform.
Trainieren Sie Ihr Team gegen Phishing über alle Kanäle
Starten Sie Ihre kostenlose 7-Tage-Demo – ohne Kreditkarte, in wenigen Minuten eingerichtet.
Jetzt kostenlos testen