Smishing ist Phishing per SMS oder ähnlicher Textnachricht. Angreifer imitieren Paketdienste, Banken, Behörden, Mobilfunkanbieter oder den internen Support. Ein Link, Rückruf oder eine Antwort soll Zugangsdaten, Zahlungsinformationen, Einmalcodes oder die Installation einer schädlichen App auslösen.
Wie funktioniert Smishing?
Kampagnen verwenden gestohlene Telefonnummern, zufällige Nummernbereiche oder Daten aus früheren Leaks. Links führen auf eine mobile Kopie einer Login- oder Bezahlseite. Andere Nachrichten bitten um Rückruf; dort übernimmt ein Angreifer mit einer vorbereiteten Support-Geschichte. Bei Unternehmenszielen soll ein Mitarbeiter mitunter eine angebliche Sicherheits-App, ein Geräteprofil oder Fernwartungssoftware installieren.
| Vorwand | Gewünschte Handlung |
|---|---|
| Paket oder Zollgebühr | Kleine Zahlung und Kartendaten eingeben. |
| Bankwarnung | Login öffnen, Transaktion bestätigen oder „Support“ anrufen. |
| Verpasste Rechnung | Link, QR-Code oder Anhang öffnen. |
| Unternehmens-IT | MFA-Code mitteilen, App installieren oder Gerätezugriff erlauben. |
| Falsche Person | Ein scheinbar zufälliges Gespräch beginnen und Vertrauen aufbauen. |
Warum wirken SMS und Messenger glaubwürdig?
Mobile Bildschirme zeigen lange URLs und Absenderdetails nur verkürzt. Nachrichten werden unterwegs und unter Zeitdruck gelesen. Absendernummern lassen sich fälschen oder über kompromittierte Konten versenden; Endgeräte können eine falsche Nachricht deshalb in einen bestehenden Verlauf einsortieren. RCS und Messenger bieten Bilder, Markenzeichen und interaktive Schaltflächen, die professionell wirken, aber den Inhalt nicht automatisch legitimieren.
Woran erkennt man Smishing?
- Eine unerwartete Nachricht verlangt sofortige Zahlung, Login oder Sicherheitsbestätigung.
- Der Link nutzt eine verkürzte, fremde oder nur ähnlich geschriebene Domain.
- Passwort, PIN, Recovery- oder MFA-Code soll per Nachricht oder Telefon mitgeteilt werden.
- Installation außerhalb des offiziellen App Stores, eines Geräteprofils oder einer Fernwartungs-App wird verlangt.
- Die Behauptung lässt sich in der bekannten App oder auf der selbst eingegebenen Website nicht nachvollziehen.
Wie sollten Empfänger reagieren?
Link, Telefonnummer und Antwortfunktion der Nachricht nicht verwenden. Stattdessen die offizielle App öffnen, die bekannte Website selbst eingeben oder eine bereits gespeicherte Rufnummer nutzen. Keine Codes oder Passwörter weitergeben. Unternehmensbezogene Nachrichten über den vorgesehenen Meldeweg weiterleiten oder als Screenshot mit Absender, Text und Zeit dokumentieren. Erst danach blockieren und löschen.
Was tun nach Klick oder Dateneingabe?
- Ein Klick allein bedeutet nicht zwingend eine Kompromittierung; Seite schließen und Vorfall melden.
- Eingegebene Zugangsdaten von einem vertrauenswürdigen Gerät ändern, Sitzungen widerrufen und MFA prüfen.
- Bei Zahlungsdaten Bank oder Kartenanbieter sofort über bekannte Kontaktdaten informieren.
- Nach App-, Profil- oder Fernwartungsinstallation das Gerät vom Netz trennen und fachkundig untersuchen lassen.
- Keine vorschnelle Werksrücksetzung durchführen, wenn Beweissicherung oder Unternehmensanalyse erforderlich ist.
Wie schützen Unternehmen mobile Kommunikation?
Unternehmensprozesse sollten sensible Freigaben niemals allein auf eine eingehende SMS stützen. Phishing-resistente MFA, Mobile-Device-Management, verwaltete App-Quellen und DNS-/Webfilter reduzieren Folgen. Training muss private wie dienstliche Geräte berücksichtigen und einen einfachen Meldeweg bieten. SMS-basierte Einmalcodes sind besser als kein zweiter Faktor, aber gegen Echtzeit-Phishing, SIM-Swapping und Weitergabe schwächer als FIDO2-basierte Verfahren.
Vielen Dank für dein Feedback! Wir werden es prüfen und unseren Artikel anpassen.