Was ist Smishing?

Kurz erklärt

Smishing ist Phishing per SMS oder Messenger: Betrüger verschicken gefälschte Kurznachrichten, um Zugangsdaten, Zahlungsdaten oder die Installation von Schadsoftware zu erreichen. Das Wort setzt sich aus „SMS“ und „Phishing“ zusammen. Weil am Smartphone weniger Details sichtbar sind als am Computer, fallen gefälschte Links dort besonders leicht durch.

Wie funktioniert Smishing?

Smishing folgt demselben Muster wie klassisches Phishing, nur auf einem anderen Kanal. Die Nachricht ist kurz, wirkt alltäglich und enthält fast immer einen Link. Häufige Vorwände sind:

• eine angeblich nicht zustellbare Paketsendung mit „Zollgebühr“ oder „Neuzustellung“
• eine Warnung der Bank, dass das Konto gesperrt oder eine Zahlung blockiert wurde
• eine Steuergutschrift, die angeblich über FinanzOnline abgeholt werden muss
• Messenger-Nachrichten wie „Hallo, das ist meine neue Nummer“, in denen sich Betrüger als Familienmitglied oder Kollege ausgeben

Der Link führt entweder auf eine gefälschte Website, die Bank- oder Login-Daten abfragt, oder er fordert zur Installation einer App auf. Solche Apps, die außerhalb der offiziellen App-Stores angeboten werden, sind häufig Trojaner: Sie lesen SMS mit, fangen Bestätigungscodes ab oder versenden selbst weitere Betrugsnachrichten. Absendernummern lassen sich fälschen, sodass eine SMS sogar im selben Verlauf wie echte Nachrichten Ihrer Bank erscheinen kann.

Ein typisches Beispiel aus dem KMU-Alltag

Ein Elektroinstallationsbetrieb mit acht Mitarbeitenden bestellt regelmäßig Material online. Ein Monteur erhält auf seinem Firmenhandy eine SMS: „Ihre Sendung wartet. Bitte bestätigen Sie die Zustellung hier.“ Da gerade eine Lieferung erwartet wird, tippt er auf den Link und folgt der Aufforderung, eine „Tracking-App“ zu installieren. Die App fordert weitreichende Berechtigungen an. Kurz darauf verschickt das Handy hunderte SMS an fremde Nummern, und Kund:innen aus dem Adressbuch melden sich wegen merkwürdiger Nachrichten. Außerdem waren am Gerät die Firmen-E-Mails eingerichtet, deren Zugangsdaten nun ebenfalls als gefährdet gelten müssen.

Woran Sie Smishing erkennen

• Die Nachricht kommt unerwartet und enthält einen Link, oft verkürzt oder mit ungewöhnlicher Endung.
• Es wird Dringlichkeit erzeugt: Frist, Sperre, Gebühr.
• Sie sollen eine App außerhalb des offiziellen Stores installieren oder Einstellungen ändern.
• Eine bekannte Person schreibt von einer neuen Nummer und bittet rasch um Geld.

So schützen Sie Ihr Unternehmen

• Keine Links aus SMS öffnen: Rufen Sie Paket- oder Bankinformationen immer direkt über die offizielle App oder Website auf.
• Apps nur aus offiziellen Stores: Sperren Sie auf Firmenhandys die Installation aus unbekannten Quellen.
• Geräte aktuell halten: Betriebssystem-Updates schließen Lücken, die Schad-Apps ausnutzen. Mehr dazu unter Patch-Management.
• Sichere Zweitfaktoren wählen: Authenticator-Apps oder Passkeys sind robuster als SMS-Codes, siehe Zwei-Faktor-Authentifizierung.
• Team informieren: Teilen Sie aktuelle Maschen, etwa von watchlist-internet.at, kurz im Team.

Was tun im Ernstfall?

1. Wurde eine App installiert, schalten Sie das Gerät in den Flugmodus und deinstallieren Sie die App. Im Zweifel setzen Sie das Gerät auf Werkseinstellungen zurück.
2. Haben Sie Bankdaten eingegeben, kontaktieren Sie sofort Ihre Bank und lassen Sie Karten oder Zugänge sperren.
3. Ändern Sie von einem anderen, sauberen Gerät aus die Passwörter aller Konten, die am Handy eingerichtet waren.
4. Erstatten Sie Anzeige bei der Polizei und melden Sie die Nachricht an die Watchlist Internet.

Wurden über eine Smishing-Seite Firmen-Zugangsdaten abgegriffen, wird Xcubitor künftig die anschließende verdächtige Anmeldung erkennen und Sie per WhatsApp warnen.