Bei einem SMS-Betrug gibt es einen sehr genauen Kipppunkt. Es ist nicht der Moment, in dem die Nachricht eintrifft, und auch nicht der Moment des Klicks. Es ist jener Augenblick – Sekunden oder Stunden später –, in dem man begreift. Die Website wirkte echt, die Seite hat „gehakt", und dann keimt ein Zweifel auf. Man liest die Nachricht noch einmal. Die Absendernummer sieht plötzlich überhaupt nicht mehr nach der Bank aus.
Was danach folgt, wird fast immer schlecht verkraftet und schlecht gehandhabt. Nicht aus Mangel an Intelligenz, sondern weil uns nie jemand erklärt hat, in welcher Reihenfolge man handeln muss. Soll man die Bank vor oder nach der Anzeige anrufen? Bringt die 33700 überhaupt etwas? Hat eine Anzeige eine Chance auf Erfolg? Und vor allem: Muss die Bank erstatten?
Hier ist der komplette Ablauf, so wie er in Frankreich im Jahr 2026 tatsächlich existiert – mit den gesetzlichen Fristen, den anwendbaren Rechtstexten und den Formulierungen, die im Gespräch mit einem Bankberater den Unterschied machen.
Die ersten drei Stunden: die Reihenfolge der Prioritäten
Die Regel ist einfach: Zuerst wird die Blutung gestillt. Die Meldungen bei Behörden kommen danach, niemals davor.
1. Zahlungsmittel sperren
Wenn Sie eine Kartennummer, einen Einmalcode oder Ihre Bankzugangsdaten eingegeben haben, hat die Sperrung absolute Priorität. Drei Wege, nach Wirksamkeit geordnet:
- Die Banking-App, die heute fast immer eine Schaltfläche zur sofortigen Kartensperre anbietet;
- Die Sperrnummer Ihrer Bank, die auf der Rückseite der Karte und im Kundenbereich angegeben ist;
- Der interbankarische Sperrserver für Bankkarten unter 0 892 705 705, rund um die Uhr erreichbar, falls Sie Ihr Institut nicht erreichen.
Ein oft übersehener Punkt: Die Karte zu sperren reicht nicht immer aus. Wenn die Betrüger Ihre Online-Banking-Zugangsdaten erlangt haben, können sie eine Überweisung versuchen. Verlangen Sie ausdrücklich die Sperrung des Zugangs zum Kundenbereich und das Zurücksetzen der Zugangsdaten.
2. Die Kontrolle über das Telefon zurückgewinnen
Wenn Sie über den Link eine App installiert oder eine Berechtigung erteilt haben, betrachten Sie das Gerät als kompromittiert. Starten Sie es neu, deinstallieren Sie alles Hinzugefügte, prüfen Sie in den Einstellungen, welche Apps Zugriff auf SMS haben, und ändern Sie die Passwörter von einem anderen Gerät aus – einem Computer, einem Tablet. Das ist auch der richtige Moment, um über einen physischen FIDO2-Sicherheitsschlüssel für die sensibelsten Konten nachzudenken: Er macht das Abfangen eines Codes per SMS wirkungslos, denn es gibt keinen Code mehr, den man abfangen könnte.
3. Dokumentieren, bevor Sie löschen
Ein kontraintuitiver, aber entscheidender Reflex: Löschen Sie die betrügerische Nachricht nicht. Machen Sie Screenshots von der SMS, der Absendernummer, der aufgerufenen URL, der Uhrzeit und den beanstandeten Kontobewegungen. Diese Elemente bilden Ihre Akte. Ohne sie ist die Anzeige eine bloße eidesstattliche Erklärung; mit ihnen ist sie ein Dossier.
Die 33700: wofür sie wirklich taugt (und wofür nicht)
Die 33700 ist das nationale französische Meldesystem für unerwünschte SMS und Anrufe, betrieben von den französischen Mobilfunkanbietern unter der Ägide der Association Française du Multimédia Mobile. Die Funktionsweise ist denkbar einfach: Sie leiten die verdächtige SMS an die 33700 weiter und senden in einer zweiten Nachricht die Nummer des Absenders.
Was es leistet: Es speist eine gemeinsame Datenbank, mit der die Betreiber massenhaft genutzte Nummern und Spam-Kits abschalten können. Eine hundertfach gemeldete Nummer wird schnell neutralisiert.
Was es nicht leistet: Es bearbeitet Ihren persönlichen Fall nicht, löst keine Ermittlung zu Ihrem Schaden aus und erstattet Ihnen nichts. Die 33700 ist eine kollektive Geste, kein individuelles Rechtsmittel. Sie lohnt sich – dreißig Sekunden – ersetzt aber keinen der folgenden Schritte.
Ebenfalls zu beachten: Die Meldung an die 33700 funktioniert für klassische SMS. Bei Nachrichten über Messenger-Apps oder RCS erfolgt die Meldung in der App selbst, die über eigene Meldemechanismen verfügt.
Meldung bei den offiziellen Stellen: Cybermalveillance und Pharos
Zwei öffentliche Systeme vervollständigen das Bild, und sie dienen unterschiedlichen Zwecken.
Cybermalveillance.gouv.fr ist das nationale Hilfsangebot für Opfer von Cyberkriminalität, getragen von einem öffentlich-privaten Interessenverbund unter staatlicher Beteiligung. Der Online-Diagnoseparcours leitet Sie je nach Situation weiter (Phishing, Identitätsdiebstahl, Kontoübernahme) und vermittelt Ihnen bei Bedarf technische Dienstleister in Ihrer Nähe. Das ist der richtige Einstiegspunkt, wenn Sie nicht wissen, wo Sie anfangen sollen.
Pharos, die Plattform zur Harmonisierung, Analyse, Abgleichung und Weiterleitung von Meldungen, wird vom Office anti-cybercriminalité betrieben. Die Meldung erfolgt über internet-signalement.gouv.fr. Pharos nimmt Meldungen zu rechtswidrigen Online-Inhalten und -Verhaltensweisen entgegen – Phishing-Seiten eingeschlossen. Auch hier gilt: Meldung ≠ Strafanzeige.
Schließlich ist Perceval der Online-Dienst zur Meldung von Kreditkartenbetrug, zugänglich über FranceConnect auf service-public.fr. Er betrifft speziell betrügerische Abbuchungen von einer Karte, die in Ihrem Besitz geblieben ist. Die Perceval-Empfangsbestätigung ist ein nützliches Dokument, das Sie der bei der Bank eingereichten Akte beifügen sollten.
Anzeige erstatten: wo, wie und mit welchen Erfolgsaussichten
Entgegen einer hartnäckigen Vorstellung darf die Aufnahme einer Anzeige niemals verweigert werden. Artikel 15-3 des französischen Strafprozessgesetzbuchs verpflichtet Polizeibeamte und Hilfsbeamte der Staatsanwaltschaft, Anzeigen entgegenzunehmen – auch außerhalb ihres örtlichen Zuständigkeitsbereichs – und darüber eine Empfangsbestätigung auszustellen. Wenn ein Beamter Ihnen sagt „das bringt doch nichts", lautet die Antwort: „Ich möchte dennoch Anzeige erstatten, bitte stellen Sie mir eine Empfangsbestätigung aus."
Drei mögliche Wege:
| Weg | Ungefähre Dauer | Nutzen |
|---|---|---|
| Polizeirevier oder Gendarmerie | Sofort bis wenige Tage | Empfangsbestätigung vor Ort, Akte gemeinsam mit dem Beamten erstellt |
| Online-Anzeige (digitales Anzeigeverfahren) | Einige Tage | Praktisch, wird bei dünner Aktenlage aber mitunter in eine bloße Aktennotiz umgewandelt |
| Schreiben an den Staatsanwalt | 1 bis 3 Wochen | Sinnvoll bei hohem Schaden, ermöglicht eine vollständige schriftliche Darstellung |
Für das Schreiben an den Staatsanwalt wenden Sie sich per Einschreiben mit Rückschein an das Tribunal judiciaire am Tatort oder an Ihrem Wohnsitz. Das Schreiben muss Ihre vollständigen Kontaktdaten, die datierte chronologische Schilderung, die in Betracht kommende rechtliche Einordnung (Betrug, Artikel 313-1 des Strafgesetzbuchs; betrügerische Erhebung personenbezogener Daten, Artikel 226-18) und die Belege enthalten. Ein schlichter Archivordner für Verwaltungsunterlagen erspart es Ihnen, drei Monate später lose Blätter zusammensuchen zu müssen, wenn die Versicherung oder die Bank ein zusätzliches Dokument verlangt.
Zu den Erfolgsaussichten: Seien wir ehrlich. Smishing-Kampagnen werden überwiegend aus dem Ausland gesteuert, über gemietete Infrastrukturen und Wegwerfnummern. Die Täter werden nur selten identifiziert. Doch die Anzeige hat nicht nur eine strafrechtliche Funktion: Sie ist das Kernstück Ihrer Akte gegenüber Bank und Versicherung. Ohne sie kann die Bank bequem Zweifel am tatsächlichen Vorliegen des Betrugs vorbringen.
Der eigentliche Knackpunkt: die Rückerstattung erreichen
Hier entscheidet sich das Wesentliche – und hier geben die meisten Opfer zu früh auf, entmutigt von einer ersten Ablehnung.
Was das Gesetz sagt
Der Code monétaire et financier stellt einen klaren Grundsatz auf. Artikel L. 133-18 sieht vor, dass der Zahlungsdienstleister bei einem vom Nutzer gemeldeten nicht autorisierten Zahlungsvorgang unverzüglich erstattet, spätestens bis zum Ende des ersten auf die Meldung folgenden Geschäftstags – es sei denn, es besteht ein der Banque de France mitgeteilter Betrugsverdacht gegen den Nutzer selbst.
Artikel L. 133-19 begrenzt den vom Zahler zu tragenden Anteil, und vor allem: Wurde der Vorgang ohne starke Kundenauthentifizierung durchgeführt, obwohl diese erforderlich war, trägt der Zahler keinerlei Verlust.
Artikel L. 133-23 legt die Beweislast der Bank auf: Sie muss nachweisen, dass der Vorgang authentifiziert, aufgezeichnet und nicht von einer technischen Störung betroffen war. Und der Text stellt ausdrücklich klar, dass die vom Dienstleister aufgezeichnete Nutzung des Zahlungsinstruments nicht zwangsläufig genügt, um grobe Fahrlässigkeit zu belegen.
Der Begriff der groben Fahrlässigkeit und die Wende in der Rechtsprechung
Die Bank entgeht der Erstattung nur, wenn sie eine grobe Fahrlässigkeit Ihrerseits nachweist (Artikel L. 133-19, IV). Lange Zeit gingen die Institute davon aus, dass die Weitergabe eines per SMS erhaltenen Codes schon ihrer Natur nach grob fahrlässig sei.
Der Kassationshof hat diese Auslegung erheblich eingeengt. In einer viel beachteten Entscheidung seiner Handelskammer (Urteil vom 12. November 2020, Az. 19-12.112) hat er daran erinnert, dass es der Bank obliegt, den Nachweis grober Fahrlässigkeit zu erbringen, und dass sich diese nicht allein daraus ableiten lässt, dass der Kunde seine Daten preisgegeben hat. Die spätere Rechtsprechung hat diese Linie in Fällen von Spoofing bestätigt, also der Fälschung der Absendernummer oder des Absendernamens der Bank: Wenn sich die betrügerische Nachricht in den echten Nachrichtenverlauf des Instituts einfügt, kann dem Opfer vernünftigerweise keine grobe Fahrlässigkeit vorgeworfen werden.
Das ist das zentrale Argument, das Sie schriftlich vorbringen sollten:
Die streitgegenständliche Nachricht erschien im gewohnten Nachrichtenverlauf Ihres Instituts, unter demselben Absendernamen, sodass eine Unterscheidung für einen normal aufmerksamen Nutzer unmöglich war. Gemäß den Artikeln L. 133-18 und L. 133-23 des Code monétaire et financier obliegt es Ihnen, meine grobe Fahrlässigkeit nachzuweisen, die sich nicht allein aus der Preisgabe der Daten ergeben kann.
Das Verfahren, Schritt für Schritt
- Schriftlicher Widerspruch bei Ihrer Filiale, per Einschreiben mit Rückschein, so schnell wie möglich. Die gesetzliche Höchstfrist zur Beanstandung eines nicht autorisierten Vorgangs beträgt dreizehn Monate ab der Abbuchung (Artikel L. 133-24) – warten Sie aber nicht: Ihre Reaktionsschnelligkeit fällt bei der Beurteilung ins Gewicht.
- Einschaltung der Beschwerdestelle der Bank, falls die Ablehnung aufrechterhalten wird, mit denselben Belegen zuzüglich einer Kopie der Ablehnung.
- Bankenombudsmann: kostenlos, online anrufbar, er hat neunzig Tage Zeit für eine Stellungnahme. Seine Kontaktdaten müssen zwingend auf Ihren Kontoauszügen und auf der Website der Bank stehen. Ein erheblicher Teil der Betrugsstreitigkeiten wird auf dieser Stufe beigelegt.
- Tribunal judiciaire als letztes Mittel. Bei geringen Beträgen ist das vereinfachte Verfahren vor dem juge des contentieux de la protection ohne Anwalt zugänglich. Prüfen Sie bei dieser Gelegenheit Ihre Rechtsschutzversicherung: Viele Hausratverträge oder Premium-Kreditkarten enthalten eine solche Deckung, die die Kosten übernimmt.
Um Ihre Schreiben zu verfassen, ohne den ganzen Abend darauf zu verwenden, liefert ein aktueller Praxisratgeber zum Verbraucherrecht direkt übertragbare Musterschreiben für Mahnungen.
Die Schäden, die man zu behandeln vergisst
Die Rückerstattung durch die Bank schließt nicht alles ab. Drei blinde Flecken verdienen ein eigenes Vorgehen.
Identitätsdiebstahl. Wenn Sie eine Kopie eines Ausweises, einen Wohnsitznachweis oder eine Bankverbindung übermittelt haben, besteht das Risiko eines betrügerischen Kreditabschlusses. Sie können über die Banque de France Ihre Eintragung in das Fichier national des incidents de remboursement des crédits aux particuliers als Opfer von Identitätsdiebstahl beantragen und Ihr Auskunftsrecht bezüglich der Vorfallsdateien ausüben.
Personenbezogene Daten. Wurden Ihre Daten betrügerisch über eine gefälschte Website erhoben, die eine Organisation imitiert, ist eine Meldung an die CNIL angebracht – insbesondere dann, wenn bei der echten Organisation ein Datenleck den Ausgangspunkt für die gezielte Ansprache bildete. Die CNIL entschädigt Sie nicht, aber ihr Eingreifen kann eine Kontrolle auslösen.
Dauerhafte Absicherung der Konten. Ersetzen Sie nach dem Vorfall überall dort, wo es möglich ist, die per SMS erhaltenen Codes durch eine Authentifizierungs-App mit Zwei-Faktor-Verfahren, und bündeln Sie Ihre Passwörter in einem dedizierten Passwortmanager. Ein verschlüsseltes Passwortbuch in Papierform, zu Hause aufbewahrt, bleibt für App-Skeptiker eine akzeptable Notlösung – vorausgesetzt, es verlässt niemals die Wohnung.
Der Zeitplan zum Merken
| Zeitpunkt | Maßnahme |
|---|---|
| Std. +0 | Kartensperrung und Sperrung des Online-Zugangs |
| Std. +0 | Screenshots der SMS, der URL und der Kontobewegungen |
| Std. +1 | Passwortänderung von einem anderen Gerät aus |
| Tag 0 bis 1 | Schriftlicher Widerspruch bei der Bank (Einschreiben mit Rückschein) |
| Tag 0 bis 2 | Anzeige bei der Polizei oder online, Empfangsbestätigung aufbewahren |
| Tag 0 bis 2 | Perceval-Meldung, Weiterleitung der SMS an die 33700 |
| Tag 30 | Nachfassen und Einschaltung der Beschwerdestelle bei Schweigen |
| Tag 60 | Bankenombudsmann |
| Tag 395 max. | Gesetzliche Beanstandungsfrist (13 Monate) |
Was Sie sich merken sollten
Smishing gedeiht auf einem einfachen Mechanismus: Das Opfer schämt sich, zögert deshalb, und so laufen die Fristen ab. Dabei ist das französische Recht auf diesem Feld eher verbraucherfreundlich. Die Beweislast liegt bei der Bank, grobe Fahrlässigkeit muss nachgewiesen und darf nicht unterstellt werden, und die Rechtsprechung hat ausdrücklich anerkannt, dass eine Nachricht, die die Identität eines Instituts vortäuscht, für einen gewöhnlichen Nutzer technisch nicht erkennbar ist.
Das einzige wirklich schädliche Verhalten ist das Abwarten. Eine Meldung innerhalb der ersten Stunde, ein Dossier mit Screenshots, ein gut begründetes Einschreiben: Das unterscheidet eine erstattete Akte von einer eingestellten.
Und für die Zukunft: Der beste Reflex bleibt, niemals einen per Nachricht erhaltenen Link zu benutzen, so glaubwürdig er auch wirken mag. SMS schließen, offizielle App öffnen, nachsehen. Drei Sekunden mehr – und die Geschichte findet gar nicht erst statt.
Hauptquellen: Code monétaire et financier (Artikel L. 133-18, L. 133-19, L. 133-23, L. 133-24), Code de procédure pénale (Artikel 15-3), Code pénal (Artikel 313-1 und 226-18), Cour de cassation, chambre commerciale (Urteil vom 12. November 2020, Az. 19-12.112), Cybermalveillance.gouv.fr, service-public.fr (Perceval), Banque de France, CNIL.
