Es gibt eine Kategorie von Betrugs-SMS, bei der sämtliche üblichen Ratschläge ins Leere laufen.
„Prüfen Sie die Nummer des Absenders." Sie stimmt. „Schauen Sie, ob die Nachricht von einer unbekannten Nummer kommt." Sie kommt nicht von einer unbekannten Nummer. „Vergleichen Sie mit früheren Nachrichten Ihrer Bank." Sie steht direkt unter den früheren Nachrichten Ihrer Bank, im selben Verlauf, mit derselben Kopfzeile, demselben Absendernamen, demselben Layout.
Dieses Phänomen hat einen Namen: Absenderfälschung oder Spoofing. Technisch ist das nichts Neues – die Schwachstelle ist so alt wie die kommerzielle SMS –, doch die industrielle Nutzung durch Betrugsnetzwerke, kombiniert mit der KI-gestützten Automatisierung von Manipulationsszenarien, hat sie in Frankreich zum Vektor Nummer eins für telefonischen Bankbetrug gemacht.
Und anders als beim gefälschten Paketdienst oder der falschen Arztterminerinnerung lässt sich diese Art von Nachricht nicht mit bloßem Auge erkennen. Man muss die Methode wechseln.
Warum ein Betrüger „CreditMutuel" ins Absenderfeld schreiben kann
Wenn ein Unternehmen Ihnen eine SMS schickt, verwendet es in der Regel keine Telefonnummer, sondern eine alphanumerische Absenderkennung: „Ameli", „Colissimo", „SFR", „BNPPARIBAS". Technisch heißt dieses Feld Sender ID und ist seit den 1990er-Jahren im GSM-Standard definiert.
Das Problem lässt sich in einem Satz zusammenfassen: Dieses Feld beruht auf einer bloßen Selbstauskunft.
Im ursprünglichen SMS-Protokoll gibt es keinerlei Authentifizierungsmechanismus, wie man ihn von der E-Mail kennt (SPF, DKIM, DMARC). Der Absender trägt eine Zeichenkette von maximal elf Zeichen ein, und das Netz transportiert sie unverändert bis auf Ihren Bildschirm. Nichts im Standard prüft, ob die Organisation, die „CAISSEEPARGNE" schreibt, tatsächlich die Caisse d'Épargne ist.
Bei einem seriösen französischen Anbieter und einer sogenannten „Premium"-Route existieren Kontrollen: Der A2P-Aggregator (Application-to-Person) verlangt ein Mandat, prüft die Identität des Auftraggebers und registriert die Sender ID. Doch das SMS-Netz ist ein weltweit verbundenes System. Eine Nachricht kann über einen ausländischen Betreiber eingespeist werden, über eine billig eingekaufte „graue" Route, und mit gefälschter Kennung in Frankreich ankommen. Genau das tun die Betrugsplattformen, die häufig außerhalb Europas gehostet und im Abonnement verkauft werden.
Das Detail, das Spoofing verheerend macht: die Bündelung der Konversation
Richtig ernst wird die Sache auf Seiten des Smartphones.
iOS und Android gruppieren Konversationen nach Absenderkennung, nicht nach technischer Route oder Zertifikat. Wenn Ihre Bank Ihnen von „MEINEBANK" schreibt und ein Betrüger eine Nachricht mit exakt derselben Zeichenkette einspeist, landen beide in derselben Konversation.
Die betrügerische Nachricht erbt damit das gesamte angesammelte Vertrauenskapital:
- sie erscheint unter Ihren echten Bestätigungscodes;
- sie teilt sich den sichtbaren Verlauf Ihrer legitimen Kommunikation;
- sie profitiert vom Kontext („ach ja, das ist ja der Verlauf meiner Bank");
- sie umgeht Spam-Filter, die auf unbekannte Nummern abzielen.
Keine noch so große visuelle Wachsamkeit kann das ausgleichen. Das ist strukturell bedingt.
Das typische Szenario 2026: Die SMS ist nur der Türöffner
Es wäre ein Irrtum zu glauben, das Ziel der Nachricht sei, Sie zum Klicken auf einen Link zu bewegen. Immer häufiger gibt es überhaupt keinen Link – womit automatische Filter und Sicherheitswarnungen ausgehebelt werden.
Das vorherrschende Muster sieht so aus:
- Die Warn-SMS. „Zahlungsversuch über 749 € bei [Händler] festgestellt. Falls Sie diese Transaktion nicht veranlasst haben, kontaktieren Sie 09 XX XX XX XX." Sie erscheint im legitimen Verlauf der Bank.
- Der Anruf. Entweder Sie rufen die angegebene Nummer an, oder – in der aggressiveren Variante – ein „Berater" ruft Sie innerhalb weniger Minuten an, ebenfalls mit gefälschter Rufnummernanzeige (Spoofing gibt es auch in der Sprachtelefonie).
- Die Manipulation. Der Gesprächspartner kennt Ihren Namen, manchmal Ihre letzten Einkäufe, Ihre Filiale. Er ist ruhig, professionell und rät Ihnen sogar von übereilten Schritten ab. Er bittet Sie, die betrügerische Transaktion zu „blockieren".
- Der Abgriff. Er lässt Sie einen Vorgang in Ihrer Banking-App bestätigen, einen per SMS erhaltenen Code diktieren oder ein neues Gerät für Ihr Konto registrieren. Sie selbst autorisieren die Überweisung.
Das ist der sogenannte „Falscher-Bankberater-Betrug", den die Banque de France und das Observatoire de la sécurité des moyens de paiement Jahr für Jahr als eine der teuersten Betrugsformen pro Opfer dokumentieren. Die gespoofte SMS ist nicht der Betrug: Sie ist der Schlüssel, der die Tür öffnet.
Die Regel, die vor 90 % dieser Szenarien schützt, passt in einen Satz: Keine Bank wird Sie jemals bitten, während eines Telefongesprächs eine Transaktion zu bestätigen, zu stornieren oder zu „blockieren", indem Sie einen Code diktieren oder eine Benachrichtigung freigeben. Eine Freigabe dient ausschließlich dazu, etwas zu autorisieren, niemals dazu, etwas zu annullieren.
Was Frankreich eingeführt hat (und wo die Grenzen liegen)
Anders als oft angenommen, wird das Thema vom Regulierer nicht ignoriert.
Das Gesetz vom 30. Mai 2023 zur Bekämpfung von Betrug und Missbrauch beim Telefonmarketing hat den Grundsatz eines Mechanismus zur Rufnummernauthentifizierung festgeschrieben. Die Arcep hat anschließend das technische Regelwerk MAN (Mécanisme d'Authentification des Numéros) veröffentlicht, das seit Oktober 2024 schrittweise zunächst für Festnetznummern und dann für Mobilnummern in Kraft getreten ist.
Das Prinzip: Ein französischer Betreiber muss prüfen, ob ein Anruf oder eine Nachricht mit einer französischen Rufnummer tatsächlich von einem legitimen Nutzer dieser Nummer stammt. Andernfalls muss der Verkehr unterbrochen werden. Bei betrügerischen Anrufen mit gefälschten französischen Ortsnetznummern sind die Ergebnisse messbar.
Man muss allerdings ehrlich benennen, was dieses System nicht löst:
| Fallkonstellation | Vom MAN abgedeckt? |
|---|---|
| Anruf mit gefälschter französischer 01/09-Nummer | Ja, weitgehend gefiltert |
| Anruf mit gefälschter französischer Mobilnummer | Ja, seit der Ausweitung des Systems |
| SMS mit gefälschter französischer Nummer | Teilweise |
| SMS mit gefälschter alphanumerischer Sender ID | Nein, außerhalb des direkten Geltungsbereichs |
| Aus dem Ausland eingespeiste SMS mit Markenkennung | Hängt von den Filtern des Zielnetzbetreibers ab |
Parallel dazu haben die Fédération française des télécoms und die Netzbetreiber Listen geschützter alphanumerischer Kennungen entwickelt: Eine Marke registriert ihre Sender ID, und die Betreiber blockieren ausländische Nachrichten, die versuchen, sie zu missbrauchen. Dieses System funktioniert – es beruht jedoch auf der Freiwilligkeit der Unternehmen und deckt weder die Tausenden nicht registrierten Marken noch typografische Varianten ab („MEINE-BANK", „MEINEBANK1").
Mit anderen Worten: Die Lage bessert sich, gelöst ist sie nicht.
Die Prüfmethode, die funktioniert – in drei Schritten
Da die visuelle Kontrolle wirkungslos ist, muss man auf die Logik der kanalübergreifenden Überprüfung umschalten. Das Prinzip ist einfach: Bestätigen Sie eine Information niemals in dem Kanal, über den sie gekommen ist.
1. Die Handlung aussetzen, nicht das Nachdenken
All diese Szenarien basieren auf künstlicher Dringlichkeit. Der Betrag ist hoch, die Frist kurz, der Gesprächspartner erzeugt Anspannung. Die Gegenmaßnahme ist mechanisch: Nichts, was mit Bankgeschäften zu tun hat, muss innerhalb von fünf Minuten entschieden werden. Kein von einer Bank erkannter Betrugsvorgang erfordert Ihr sofortiges telefonisches Eingreifen; Sperrverfahren existieren und funktionieren auch im Nachhinein.
2. Auflegen und selbst zurückrufen
Die zu wählende Nummer ist niemals die in der Nachricht angegebene oder die auf dem Display angezeigte. Es ist die Nummer auf der Rückseite Ihrer Bankkarte oder in Ihrer offiziellen App. Ein wichtiger, oft übersehener Punkt: Bei alten Festnetzanschlüssen konnte ein Betrüger die Leitung offen halten, um einen Rückruf vorzutäuschen. Auf dem Mobiltelefon ist dieses Risiko praktisch null, warten Sie dennoch einige Sekunden, bevor Sie wählen.
Wer mehrere Konten oder Karten verwaltet, fährt am robustesten damit, die Sperrnummern außerhalb des Telefons festzuhalten: ein schlichtes Telefonregister-Notizbuch neben dem Schreibtisch oder eine laminierte Karte im Portemonnaie ist besser als eine Notiz, die in einem Smartphone verloren geht, das gestohlen oder kompromittiert werden kann.
3. In der App prüfen, niemals über einen Link
Öffnen Sie Ihre Banking-App über das Icon, nicht über die SMS. Wenn ein verdächtiger Vorgang existiert, ist er dort zu sehen. Erscheint nichts, ist die Nachricht gefälscht. Diese Prüfung dauert zwanzig Sekunden und neutralisiert die überwältigende Mehrheit der Versuche.
Die Angriffsfläche im Vorfeld verkleinern
Spoofing funktioniert umso besser, je mehr der Betrüger über Sie weiß. Die Nachricht „Ihre Karte mit der Endziffer 4412" hat nichts Magisches: Solche Daten zirkulieren nach dem Abfluss von Kundendatenbanken. Einige Maßnahmen begrenzen die Angriffsfläche.
Die Hauptnummer abschotten. Eine zweite Leitung – Prepaid-Karte oder zusätzliche eSIM – für kommerzielle Anmeldungen, Lieferungen und Kleinanzeigen zu nutzen, reduziert das Volumen betrügerischer Nachrichten auf Ihrer Bankleitung erheblich. Dual-SIM-Telefone sind längst Standard und machen die Umstellung schmerzlos.
Die Authentifizierung von der SMS lösen. Der Einmalcode per SMS bleibt das schwächste Glied: Er ist abfangbar, durch Manipulation weiterleitbar und anfällig für SIM-Swapping. Wo ein Dienst es zulässt, verändert eine Zwei-Faktor-Authentifizierungs-App oder sogar ein physischer FIDO2-Sicherheitsschlüssel für die sensibelsten Konten (Haupt-E-Mail-Postfach, Passwortmanager) das Schutzniveau vollständig. Ein Hardware-Schlüssel lässt sich einem falschen Berater nicht am Telefon diktieren.
Wiederverwendete Passwörter vermeiden. Das Szenario des falschen Beraters wird sehr viel glaubwürdiger, wenn der Betrüger bereits Zugriff auf ein Händlerkonto hat. Ein Passwortmanager, auch in der kostenlosen Variante, durchbricht diese Kette. Wer Papier bevorzugt: Ein zu Hause verwahrtes, verschließbares Passwortbuch ist dem Post-it unter der Tastatur weit überlegen.
Systematisch melden. Die 33700 ist der nationale französische Meldedienst für unerwünschte SMS und Anrufe, betrieben von den Netzbetreibern. Leiten Sie die Nachricht an die 33700 weiter und antworten Sie anschließend auf Nachfrage mit der Absendernummer. Das ist kostenlos und speist die Sperrlisten. Ergänzend leitet die Plattform Cybermalveillance.gouv.fr zu den nötigen Schritten weiter, und Perceval auf service-public.fr ermöglicht die Meldung der betrügerischen Nutzung einer Bankkarte.
Ändert RCS die Lage?
Das ist die wirklich gute Nachricht dieser Zeit. RCS (Rich Communication Services), der von den Netzbetreibern ausgerollte SMS-Nachfolger, der inzwischen sowohl von iOS als auch von Android unterstützt wird, bringt ein Konzept mit, das der SMS fehlt: den verifizierten Absender.
Im Rahmen von RCS Business Messaging muss ein Unternehmen seine Identität von einem zugelassenen Aggregator prüfen lassen. Die Nachricht erscheint dann mit Logo, verifiziertem Namen und einem Verifizierungsabzeichen, das die Messaging-App anzeigt. Google Messages hat zudem 2025 und 2026 seine automatische Betrugserkennung verstärkt, wobei verdächtige Nachrichten lokal auf dem Gerät klassifiziert werden.
Zwei Einschränkungen allerdings:
- Das Nebeneinander schafft eine Grauzone. Solange die klassische SMS als Rückfallebene existiert, kann ein Betrüger gezielt diesen nicht authentifizierten Kanal ansteuern. Eine nicht verifizierte Nachricht ist nicht zwangsläufig betrügerisch – viele kleine und mittlere Unternehmen haben noch nicht umgestellt –, eine verifizierte Nachricht ist dagegen eine belastbare Garantie.
- Das Abzeichen schützt die Identität, nicht den Inhalt. Eine legitime Marke kann eine aggressive Kampagne verschicken; umgekehrt muss das Fehlen des Abzeichens bei einer scheinbar von der Bank stammenden Nachricht künftig als eigenständiges Warnsignal gelten.
Die Gewohnheit, die man sich aneignen sollte, ist also einfach: Bei einer Nachricht mit finanzieller Tragweite nach dem Abzeichen suchen. Fehlt es, wenden Sie ausnahmslos das Verfahren der kanalübergreifenden Überprüfung an.
Das Wichtigste in Kürze
- Das Absenderfeld einer SMS beruht auf einer bloßen Selbstauskunft: Es kann gefälscht werden, und die betrügerische Nachricht reiht sich dann in den legitimen Verlauf Ihrer Bank ein.
- Die visuelle Prüfung nützt in genau diesem Fall nichts. Nur die kanalübergreifende Überprüfung schützt.
- Das französische System zur Rufnummernauthentifizierung (MAN-Regelwerk der Arcep) hat Anrufe mit gefälschten französischen Nummern stark reduziert, deckt aber keine alphanumerischen Kennungen ab.
- Keine Bank verlangt, während eines Anrufs irgendetwas zu bestätigen, zu diktieren oder freizugeben.
- RCS mit verifiziertem Absender ist die erste strukturelle Antwort auf das Problem; bis zur vollständigen Verbreitung wird es noch dauern.
Die SMS wurde 1992 als technischer Servicekanal zwischen Ingenieuren konzipiert. Vierunddreißig Jahre später ist sie zum Eingangstor zu unseren Bankkonten geworden – ohne jemals die entsprechenden Authentifizierungsmechanismen erhalten zu haben. Solange diese Lücke nicht geschlossen ist, bleibt der beste Schutz ein zutiefst menschlicher Reflex: den Kanal verlassen, um zu überprüfen.
