Man liest eine SMS immer in der falschen Reihenfolge. Zuerst den Text, das Versprechen oder die Drohung, die darin steckt – und dann, manchmal zu spät, die Zeile darüber: jene, die anzeigt, wer schreibt. Dabei enthält genau diese Zeile fast die gesamte nützliche Information.
Denn in Frankreich kann eine Nachricht unter mindestens fünf verschiedenen technischen Identitäten eintreffen: als klassische Mobilnummer mit 06 oder 07, als geografische Rufnummer, als vier- oder fünfstellige Kurznummer, als in Buchstaben geschriebener Name („AMELI", „Colissimo", „BANQUE") oder als internationale Nummer. Jedes dieser Formate folgt eigenen Regeln, kostet den Absender unterschiedlich viel und bietet ein sehr ungleiches Maß an Verlässlichkeit.
Sie unterscheiden zu können, ersetzt keine Vorsicht, verändert aber die Ausgangslage radikal: Man kann in drei Sekunden sortieren, noch bevor man den eigentlichen Nachrichtentext gelesen hat, was plausibel ist und was nicht.
Die fünf Gesichter eines SMS-Absenders
1. Die klassische Mobilnummer (06 / 07)
Das ist das Format einer Privatperson. Eine echte französische Mobilnummer, von der ARCEP einem Betreiber und von diesem einem Kunden zugeteilt. Man kann darauf antworten, man kann dort anrufen.
Ein Unternehmen oder eine Behörde hat normalerweise keinerlei Grund, Ihnen für eine offizielle Benachrichtigung von einer 06 oder 07 zu schreiben. Wenn das doch passiert – „Ihr Paket ist blockiert, bitte hier regeln", unterzeichnet mit einer 07 –, ist der Absender entweder eine Privatperson oder, weit häufiger, ein Betrüger mit Prepaid-SIM-Karten oder einem automatisierten Versandgerät (die berüchtigten „SIM-Boxen").
Merken Sie sich diesen einfachen Reflex: Eine institutionelle Nachricht, die von einer privaten Mobilnummer kommt, ist eine Anomalie – ganz unabhängig vom Inhalt.
2. Die Kurznummer (4 bis 5 Ziffern)
Kurznummern werden in Frankreich von der ARCEP im Rahmen des Nummerierungsplans vergeben und reguliert. Sie gliedern sich in große Familien, die an ihrer Vorwahl erkennbar sind:
| Format | Verwendung | Beispiel aus der Praxis |
|---|---|---|
| 3xxxx (5 Ziffern) | SMS-Dienste, darunter MAN (Multi-Access Number) | Sendungsverfolgung, Warnhinweise |
| 36xxx / 38xxx | SMS Multi-Access Number, darunter 38028 (Signal Spam / 33700) | Spam-Meldung |
| 7xxxx / 8xxxx | Kostenpflichtige SMS, Gewinnspiele, Votings, Spenden | Spenden an eine Organisation |
| 1xx | Not- und Sozialdienste (112, 114, 115, 119) | 114: Notruf per SMS für Gehörlose und Schwerhörige |
Zwei Kurznummern sollte man sich in Frankreich merken:
- 33700: der Meldedienst für unerwünschte SMS und Anrufe, betrieben von den französischen Netzbetreibern. Man leitet die betrügerische Nachricht dorthin weiter und schickt anschließend auf Nachfrage die Absendernummer nach.
- 114: die per SMS erreichbare Notrufnummer für gehörlose, schwerhörige oder sprachlich eingeschränkte Personen.
Ein wichtiger Punkt: Kurznummern werden bei Aggregatoren gemietet, nicht dauerhaft gekauft. Dieselbe fünfstellige Nummer kann daher nacheinander mehreren Werbetreibenden dienen. Eine „schon einmal gesehene" Kurznummer ist kein Echtheitsbeweis – sie zeigt lediglich, dass der Absender einen deklarierten professionellen Kanal genutzt hat.
3. Der alphanumerische Absender (ein Name statt einer Nummer)
Das ist das täuschendste Format und dasjenige, das man vorrangig verstehen sollte. Wenn Ihr Telefon „AMELI", „SFR" oder „LIVRAISON" oben im Gesprächsverlauf anzeigt, zeigt es keine geprüfte Identität an: Es zeigt eine Zeichenkette, die der Absender selbst geliefert hat, in einem technischen Feld der Nachricht, der sogenannten Sender ID oder OADC (Originating Address).
Technisch gesehen ist dieses Feld reine Selbstauskunft. Nichts im SMS-Protokoll zertifiziert es. Genau das ermöglicht das Spoofing des Absenders: Man gibt sich als Marke aus, damit die Nachricht an der richtigen Stelle erscheint.
Und hier greift die wirksamste Falle des französischen Smishings: die Gruppierung von Konversationen. Nutzt eine betrügerische Nachricht exakt dieselbe Sender ID wie eine zuvor empfangene legitime Nachricht, kann Ihre Messaging-App sie in denselben Verlauf einfügen wie die echten Nachrichten der Organisation. Die Phishing-SMS erscheint dann direkt unter der echten SMS zum Arzttermin oder mit dem Lieferungscode. Den Rest erledigt der Kontext.
Ein Gesprächsverlauf authentifiziert gar nichts. Eine betrügerische Nachricht kann sich in eine bestehende legitime Konversation einschleichen, wenn sie denselben Absendernamen wiederverwendet.
Frankreich hat seit 2023–2024 Gegenmaßnahmen eingeführt: das MAN-Register und die Pflicht der Netzbetreiber, alphanumerische Sender IDs zu filtern, die nicht in einem Register angemeldet sind. Die Idee ist, in Frankreich nur Absendernamen zuzulassen, die von identifizierten Unternehmen registriert wurden. Das Verfahren hat das reine Spoofing-Volumen gesenkt, aber nicht beseitigt: Kampagnen umgehen den Filter über internationale Routen oder registrieren glaubwürdige Gattungsnamen („INFO-COLIS", „SECURITE"), die keine geschützten Marken sind.
4. Die geografische Rufnummer (01 bis 05 oder 09)
Eine SMS von einer 01 oder 09 zu erhalten, ist längst nichts Seltenes mehr: Festnetznummern können seit einigen Jahren technisch SMS transportieren. Manche Arztpraxen, Werkstätten oder kleine Geschäfte nutzen das über ihre Verwaltungssoftware für Terminerinnerungen.
Die 09 verdient besondere Aufmerksamkeit: Diese „nicht geografischen" Nummern werden massiv in der IP-Telefonie eingesetzt, sind also leicht in großer Zahl zu bekommen und wegzuwerfen. Viel Kaltakquise – und ein Teil des Betrugs – läuft darüber.
5. Die internationale Nummer
Eine +44, +212, +48 oder +1 bei einer SMS, die angeblich von Ihrer französischen Bank kommt, ist eine gravierende Unstimmigkeit. Smishing-Kampagnen nutzen häufig billige internationale Routen, weil sie den nationalen Filtern teilweise entgehen.
Achtung aber auf eine Nuance: Manche völlig legitimen ausländischen Dienste (eine Buchungsplattform, ein amerikanischer Messenger, der einen Verifizierungscode schickt) schreiben von einer internationalen Nummer. Das Kriterium lautet nicht „international = Betrug", sondern „international, obwohl die Organisation rein französisch ist = Betrug".
Was Ihr Telefon Ihnen nicht zeigt
Kein gängiges Betriebssystem zeigt den vollständigen Header einer SMS an. Sie sehen weder die Kennung der Kurzmitteilungszentrale (SMSC), die die Nachricht zugestellt hat, noch die genutzte Route oder den tatsächlichen Netz-Zeitstempel. Diese Elemente existieren – sie sind sogar für Netzbetreiber und, im Verfahrensfall, für Ermittler auswertbar –, gelangen aber nicht bis auf Ihren Bildschirm.
Was Sie hingegen tun können:
- Lange auf die Nachricht drücken und dann die Details anzeigen: Unter Android zeigt das Menü „Details" bisweilen den Rohabsender, die Netzempfangszeit und den Typ (SMS, MMS, RCS).
- Den Kanal prüfen: Eine RCS-Nachricht wird mit Lesebestätigung und oft mit einem verifizierten Markenlogo angezeigt (RCS Business Messaging). Eine Nachricht, die vorgibt, von einer großen Marke zu stammen, aber als reine SMS ankommt, obwohl dieselbe Marke Ihnen sonst per RCS mit Logo schreibt, sollte Sie stutzig machen.
- Auf die Länge achten: Eine SMS mit mehr als 160 Zeichen wird verkettet. Das ist für sich genommen kein Betrugssignal, doch automatisierte Kampagnen arbeiten oft mit kalibrierten, sich wiederholenden Formulierungen.
Der Test mit drei Fragen
Bevor Sie irgendetwas anklicken, genügen in der großen Mehrheit der Fälle drei Fragen.
1. Passt das Absenderformat zur angegebenen Organisation?
Eine französische Behörde oder ein großes Unternehmen schreibt von einer Kurznummer, von einem deklarierten alphanumerischen Absender oder per verifiziertem RCS. Nicht von einer 07, nicht von einer „seltsamen" +33 7, nicht von einer ausländischen Nummer.
2. Verlangt die Nachricht eine dringende Handlung mit Zahlung oder Identifizierung?
Die drei erfolgreichsten Betrugskombinationen in Frankreich bleiben: ein kleiner zu zahlender Betrag (Zollgebühren, Paketneuzustellung, Bußgeld), eine „Aktualisierung" der Bankdaten und eine „Kontoprüfung" mit einem anderweitig erhaltenen Code. Die Dringlichkeit ist der Wirkstoff.
3. Führt der Link auf eine offizielle Domain?
Französische Behörden nutzen Domains mit .gouv.fr oder bekannte Markendomains. Ein Kurzlink, eine zusammengesetzte Domain (ameli-remboursement-fr.com), eine irreführende Subdomain (ameli.fr.securite-connexion.net): All das disqualifiziert sofort. Anzumerken ist, dass das Lesen einer langen URL auf einem 6-Zoll-Display eine mühsame Übung ist; vielen Lesern hilft ein verstellbarer Handyhalter, um eine zweifelhafte Nachricht auf Augenhöhe statt mit ausgestrecktem Arm zu prüfen – oder man sieht sich die Nachricht schlicht auf einem größeren Bildschirm an.
Prüfen ohne Klicken: die Methode des Parallelkanals
Die wirksamste Regel gegen Smishing passt in einen Satz: Man überprüft eine Nachricht niemals über die Nachricht selbst.
Konkret:
- Eine SMS Ihrer Bank? Man öffnet die Banking-App oder ruft die Nummer an, die auf der Rückseite der Karte steht.
- Eine SMS der Krankenkasse? Man meldet sich beim Ameli-Konto an, indem man die Adresse selbst eintippt, oder nutzt die offizielle App.
- Eine SMS eines Paketdienstes? Man gibt die Sendungsnummer auf der Website des Dienstleisters ein, ohne den Link zu nutzen.
- Eine SMS vom Finanzamt? Man geht über impots.gouv.fr und den persönlichen Bereich.
Diese Disziplin kostet zehn Sekunden mehr. Sie neutralisiert so gut wie alles, auch sehr sorgfältig gemachte Kampagnen.
Für Haushalte, die diese Reflexe festhalten möchten – etwa mit Jugendlichen oder weniger versierten Angehörigen –, wirken ein paar Seiten aus einem Cybersicherheits-Ratgeber für Einsteiger, die neben dem Familiencomputer liegen, oft mehr als eine lange Rede: Die Mechanismen schwarz auf weiß zu sehen, macht sie greifbar.
Melden: Was das wirklich bewirkt
Viele Leser vermuten, dass eine Meldung im Nichts verschwindet. Tatsächlich funktionieren in Frankreich zwei Wege:
- 33700 (unerwünschte SMS, Anrufe und Nachrichten), getragen von den Netzbetreibern. Man leitet die Nachricht an die 33700 weiter und antwortet anschließend mit der Absendernummer. Massiv gemeldete Nummern werden gesperrt, identifizierte Versender können sanktioniert werden.
- cybermalveillance.gouv.fr und die Plattform THESEE für eine Online-Anzeige wegen Internetbetrug. Signal Spam ergänzt das Ganze auf der E-Mail-Seite.
ARCEP und DGCCRF verfolgen zudem Verstöße gegen die Werberegeln. Und beim Datenschutz erinnert die CNIL regelmäßig daran, dass SMS-Werbung eine vorherige ausdrückliche Einwilligung erfordert: Eine unaufgeforderte Werbenachricht, in die Sie nie eingewilligt haben, ist bereits an sich ein Regelverstoß – selbst wenn sie nicht betrügerisch ist.
Die Angriffsfläche verkleinern
Einen Absender zu erkennen, ist eine defensive Fähigkeit. Man kann auch vorgelagert eingreifen und die Zahl der zweifelhaften Nachrichten begrenzen, die überhaupt ankommen.
Auf dem Telefon filtern. iOS bietet das Filtern unbekannter Absender (Einstellungen → Apps → Nachrichten → „Unbekannte Absender filtern"), wodurch Nachrichten von Nummern außerhalb Ihrer Kontakte in einen eigenen Tab wandern. Google Messages bietet unter Android einen Spamschutz, der 2025–2026 deutlich ausgebaut wurde – mit Erkennung von Betrugsmustern und Ausblenden von Links in verdächtigen Nachrichten.
Nummern trennen. Nutzen Sie eine Zweitnummer – zweite Leitung eines Tarifs, dedizierte eSIM, Nummer eines Onlinedienstes – für kommerzielle Anmeldungen, Kleinanzeigen und Lieferungen. Die Hauptnummer bleibt Angehörigen, der Bank und Behörden vorbehalten. Eine Prepaid-SIM-Karte ohne Vertragsbindung reicht für diese Rolle völlig aus und kostet ein paar Euro.
Absichern, was Ihre Konten schützt. Die SMS bleibt das schwächste Glied der Zwei-Faktor-Authentifizierung, weil sie von einer Nummer abhängt, die entführt werden kann. Sensible Konten auf eine Authenticator-App oder auf einen physischen FIDO2-Sicherheitsschlüssel umzustellen, nimmt der SMS ihre Rolle als Generalschlüssel. Das ist der Schritt, der ein erfolgreiches Smishing deutlich weniger folgenreich macht.
Auf die Lesehardware achten. Ein banales, aber reales Detail: Ein guter Teil der versehentlichen Klicks entsteht durch ein zerkratztes Display, einen nassen Finger oder das Lesen in der Metro. Eine Panzerglas-Schutzfolie und etwas Licht genügen, um Fehlgriffe zu reduzieren.
Der Sonderfall politischer und institutioneller SMS
Das Frühjahr 2026 hat anlässlich der Kommunalwahlen daran erinnert, dass eine vollkommen legale SMS vollkommen nervig sein kann. Die von alphanumerischen Absendern verschickten Wahlkampfnachrichten sorgten für zahlreiche Reaktionen, und viele Empfänger fragten sich, woher ihre Nummer stammte.
Hier gilt es, zwei Dinge zu unterscheiden:
- Eine betrügerische SMS zielt auf Geld oder Zugangsdaten ab. Man meldet sie an die 33700 und löscht sie.
- Eine unerwünschte, aber rechtmäßige oder halb rechtmäßige SMS fällt unter das Werberecht. Hier ist der Hebel die DSGVO: den Absender nach der Herkunft der Daten fragen, sein Widerspruchsrecht ausüben und bei Verweigerung die CNIL einschalten. Das Schlüsselwort „STOP" bleibt in kommerziellen SMS Pflicht – gegenüber einer Betrugskampagne hat es dagegen weder Wert noch Nutzen, denn eine Antwort bestätigt nur, dass die Nummer aktiv ist.
Drei Sekunden, fünf Formate
Mit der Zeit wird das Lesen des Absenders zum Automatismus. Eine bekannte Kurznummer: plausibel. Ein Markenname in einem bereits bestehenden Verlauf: plausibel, aber der Link bleibt zu prüfen. Eine 07 im Namen einer Behörde: wegwerfen. Eine +48 im Namen einer französischen Bank: wegwerfen. Eine 09 mit einem Kurzlink: wegwerfen.
Die SMS wurde nie dafür entworfen, zu beweisen, wer spricht. Sie wurde 1992 entwickelt, um 160 Zeichen in einem übrig gebliebenen Signalisierungskanal zu transportieren. Vierunddreißig Jahre später transportiert sie Arzttermine, Bankcodes und behördliche Vorladungen – ohne je einen nennenswerten Authentifizierungsmechanismus erhalten zu haben. Es liegt am Empfänger, diese Lücke zu schließen, und das beginnt damit, die erste Zeile vor allen anderen zu lesen.
