Seit Jahren beruht der Kampf gegen betrügerische SMS auf einer einfachen Annahme: Eine Betrugs-SMS muss zwangsläufig irgendwo hindurch. Über eine Versandplattform, über einen Aggregator, über einen Netzbetreiber. Und wenn eine Nachricht durch eine Leitung läuft, kann man sie filtern, blockieren und zum Absender zurückverfolgen.
Im Jahr 2026 bricht diese Annahme zusammen. Eine neue Generation von Betrugsmaschen nimmt überhaupt keine Leitung mehr. Die Nachricht kommt nicht von Orange, SFR, Bouygues oder Free. Sie kommt von überhaupt keinem Netzbetreiber. Sie wird direkt über die Luft ausgestrahlt – von einem Kasten im Kofferraum eines Autos, das gerade fährt oder fünfzig Meter von Ihnen entfernt parkt.
Man nennt das einen SMS-Blaster – manchmal auch „Fake-Basisstation", „fake base station" oder, im älteren Vokabular der Nachrichtendienste, einen Verwandten des IMSI-Catchers. Und das zentrale Problem lautet: Ihr Netzbetreiber kann keine Nachricht filtern, die er nie zu sehen bekommen hat.
Was ein SMS-Blaster wirklich ist
Ein Mobiltelefon ist kein misstrauisches Gerät. Seine Grundlogik, geerbt von den ersten GSM-Standards der 1990er-Jahre, besteht darin, sich mit der Antenne zu verbinden, die das beste Signal liefert. Es verlangt von dieser Antenne keinen Nachweis. In den ältesten Netzgenerationen – insbesondere im 2G-Netz – funktioniert die Authentifizierung nur in eine Richtung: Das Netz prüft, ob Ihre SIM-Karte legitim ist, aber Ihr Telefon prüft nicht, ob die Antenne es ist.
Ein SMS-Blaster nutzt genau diese Konstruktionsschwäche aus. Das Gerät passt in eine Sporttasche oder einen Hartschalenkoffer: ein Software-Defined Radio, ein Verstärker, ein Akku, manchmal ein simpler Laptop zur Steuerung des Ganzen. Es gibt sich als Mobilfunkmast aus, zwingt die Telefone in der Umgebung, 4G oder 5G zu verlassen und auf 2G zurückzufallen, und schiebt ihnen dann direkt eine SMS unter.
Die Reichweite variiert je nach Sendeleistung und Umgebung – typischerweise von einigen Dutzend bis zu einigen Hundert Metern in dicht bebauten Stadtgebieten. Wer langsam durch eine Einkaufsstraße, eine Hochbahnstrecke oder eine verstopfte Hauptverkehrsachse fährt, kann mit einem einzigen Gerät in einer Stunde mehrere Tausend Telefone erreichen.
Der entscheidende Punkt: Die so verbreitete SMS existiert in den Systemen des Netzbetreibers überhaupt nicht. Sie taucht in keinem Abrechnungsprotokoll auf, auf keiner Überwachungsplattform, in keinem Anti-Spam-Werkzeug. Für das Netz wurde diese Nachricht nie verschickt.
Warum die üblichen Schutzmaßnahmen hier nichts bringen
Die französischen Netzbetreiber haben ihr Arsenal in den vergangenen Jahren erheblich aufgerüstet. Die Meldestelle 33700, betrieben von der Association Française du Multimédia Mobile, erlaubt es, eine unerwünschte SMS zu melden und missbräuchlich genutzte Nummern abschalten zu lassen. Netzfilter erkennen Massenversand, gesperrte URLs und wiederkehrende Muster. Das Regelwerk MAN (Mécanisme d'Authentification des Numéros) hat das Fälschen von Rufnummern deutlich erschwert.
All diese Mechanismen teilen eine Voraussetzung: Die Nachricht läuft über eine überwachte Infrastruktur. Der SMS-Blaster hebelt genau diese Voraussetzung aus.
| Klassische Schutzmaßnahme | Wirksamkeit gegen einen SMS-Blaster |
|---|---|
| Anti-Spam-Filter des Netzbetreibers | Keine – die Nachricht durchquert das Netz nicht |
| Meldung an die 33700 | Nützlich für die Ermittlung, aber es gibt keine Nummer zum Abschalten |
| Sperren der Absendernummer | Keine – der Absender ist eine beliebige Bezeichnung |
| Erkennung von Massenversand | Keine – auf Betreiberseite ist kein Volumen sichtbar |
| Anti-Spam-App auf dem Handy | Teilweise – hängt von Inhalt und URL ab |
Eine weitere, noch perfidere Folge: Der angezeigte Absender wird vollständig vom Angreifer festgelegt. Es kann ein Bankname sein, der Name einer Behörde, eine bekannte Kurzwahlnummer. Auf manchen Telefonen kann sich die betrügerische Nachricht, wenn die Bezeichnung exakt der eines legitimen Absenders entspricht, der bereits in Ihren Unterhaltungen vorkommt, in den bestehenden Gesprächsverlauf einreihen – direkt unter den echten Nachrichten Ihrer Bank oder Ihrer Rentenkasse. Genau dieser Mechanismus der Gruppierung nach Absendername erklärt einige der jüngsten Wellen gefälschter SMS, die den exakten Namen offizieller Stellen anzeigen.
Was in diesen Nachrichten steht
Der Inhalt unterscheidet sich nicht grundlegend vom gewöhnlichen Smishing – es ist der Übertragungsweg, der sich ändert. Man findet die großen Klassiker wieder, in tadellosem Französisch:
- Das festgehaltene Paket: Zollgebühren von 1,79 €, dringend zu begleichen, mit einem Link zu einer geklonten Zahlungsseite.
- Die gefälschte Banknachricht: „Eine Transaktion über 749 € wurde eingeleitet. Falls Sie diese nicht veranlasst haben, klicken Sie hier."
- Die Behörde: unbezahltes Bußgeld, Aktualisierung der Krankenversichertenkarte, Erstattung der Zusatzversicherung, Klärung des Rentenkontos.
- Der Maut- oder Parkdienst: besonders wirksam, wenn der Blaster entlang einer Verkehrsachse unterwegs ist.
- Der gefälschte Bestätigungscode, gefolgt von einem Anruf: „Guten Tag, Betrugsabteilung Ihrer Bank, wir sehen einen Zugriffsversuch auf Ihr Konto."
Der emotionale Auslöser ist immer derselbe: finanzielle oder behördliche Dringlichkeit, verbunden mit einer Handlung, die in weniger als vierundzwanzig Stunden erfolgen muss.
Warum sich diese Technik verbreitet hat
Drei Faktoren kamen zusammen.
Die Hardware ist erschwinglich geworden. Programmierbare Software-Defined Radios, ursprünglich Werkzeuge für Forschung und Amateurfunk, kosten heute einige Hundert Euro. Das nötige Know-how für ihre Zweckentfremdung zirkuliert in geschlossenen Communities, in Form gebrauchsfertiger Baukästen.
Die Grenzkosten sind gleich null. Eine SMS über einen Netzbetreiber zu verschicken kostet Geld und hinterlässt eine buchhalterische Spur. Hunderttausend Nachrichten über einen Blaster auszustrahlen kostet nur Strom. Das Geschäftsmodell des Betrugs verändert sich dadurch grundlegend: keine Strohmann-Konten, keine SIM-Boxen, keine mitwirkenden Aggregatoren mehr nötig.
Die Rückverfolgbarkeit ist nahezu null. Das Gerät hat keinen Vertrag, keine auswertbare Netzkennung, keine IP-Adresse. Die einzige Möglichkeit, es auszuschalten, besteht darin, es physisch zu orten – eine Peilarbeit, die Zeit, Ausrüstung und die Koordination zwischen der ANFR (der französischen Frequenzbehörde), den Netzbetreibern und den Sicherheitskräften erfordert. Solche Einsätze gibt es und sie führen auch zum Erfolg, aber sie setzen voraus, dass jemand die Auffälligkeit überhaupt erst meldet.
Nebenbei sei daran erinnert, dass der Einsatz eines solchen Geräts in Frankreich strafrechtlich schwer wiegt: Senden auf zugewiesenen Frequenzen ohne Genehmigung, Störung des Betriebs eines elektronischen Kommunikationsnetzes, bandenmäßiger Betrug. Die drohenden Strafen bemessen sich in Jahren Gefängnis.
Die Einstellungen, die wirklich etwas bewirken
Einen Knopf „Anti-SMS-Blaster" gibt es nicht. Aber es gibt eine Maßnahme mit direkter und messbarer Wirkung: 2G abschalten.
Da der Angriff auf dem erzwungenen Rückfall auf ein Protokoll beruht, bei dem die Antenne ihre Identität nicht nachweisen muss, wird ein Telefon, das 2G schlicht verweigert, sehr viel schwerer in die Falle zu locken.
Unter Android
Die meisten neueren Android-Versionen bieten einen eigenen Schalter. Der Pfad variiert je nach Hersteller, sieht aber ungefähr so aus: Einstellungen → Netzwerk & Internet → SIM-Karten → SIM auswählen → „2G zulassen", zu deaktivieren. Manche Hersteller platzieren die Option in einem Menü „Sicherheit und Datenschutz".
Android bietet in den neuesten Versionen zudem einen Netzwerkschutz-Modus, der unverschlüsselte Verbindungen ablehnt und warnen kann, wenn das Telefon eine Basisstation mit auffälligem Verhalten erkennt. Wenn Ihr Gerät das anbietet, aktivieren Sie es.
Auf dem iPhone
iOS bietet keinen separaten 2G-Schalter. Der Blockierungsmodus (Einstellungen → Datenschutz & Sicherheit → Blockierungsmodus) deaktiviert allerdings unter anderem den Rückfall auf unsichere Mobilfunknetze. Es handelt sich um einen restriktiven Modus, gedacht für exponierte Personengruppen – Journalisten, Anwälte, Mandatsträger – und er schränkt einige Alltagsfunktionen ein. Für die meisten Nutzerinnen und Nutzer ist er im Alltag nicht zu empfehlen, kann aber punktuell in einer Risikosituation aktiviert werden.
Die übrigen sinnvollen Einstellungen
- Aktivieren Sie die Filterung unbekannter Absender (iOS: Einstellungen → Apps → Nachrichten; Android: Nachrichten → Einstellungen → Spam-Schutz).
- Lehnen Sie die Installation von Apps außerhalb des App Store oder Play Store konsequent ab. Das ist das Haupteinfallstor für die zweite Angriffsstufe.
- Prüfen Sie, ob die Zwei-Faktor-Authentifizierung Ihrer sensiblen Konten nicht ausschließlich auf SMS beruht. Eine Authenticator-App oder, besser noch, ein physischer FIDO2-Sicherheitsschlüssel durchtrennt die gesamte Kette: Selbst wenn der Angreifer Ihre Zugangsdaten erbeutet, bleibt er blockiert.
Noch ein Wort zur Netzabdeckung: In Gebieten mit schwachem 4G-Signal fällt Ihr Telefon von selbst auf 2G zurück – was Sie angreifbarer macht. Wenn Sie in einem teilweise unterversorgten Gebiet wohnen, verringert ein von der ARCEP zugelassener Mobilfunk-Repeater, fachgerecht installiert, dieses ständige Umschalten. Achtung: In Frankreich sind nur zugelassene und angemeldete Modelle legal.
Woran Sie erkennen, dass Sie gerade ins Visier geraten sind
Einige Anzeichen, für sich genommen harmlos, ergeben zusammen ein Bild:
- Ihr Telefon springt unvermittelt auf 2G oder „E" um, obwohl Sie mitten in der Stadt sind, in einem normalerweise gut versorgten Gebiet.
- Sie verlieren für einige Sekunden das Netz, und direkt nach der erneuten Einbuchung trifft eine SMS ein.
- Die Nachricht taucht nirgends auf – auch nicht im Verlauf Ihres Kundenkontos beim Netzbetreiber.
- Mehrere Personen um Sie herum – im selben Waggon, in derselben Halle, in derselben Warteschlange – erhalten zur selben Zeit dieselbe Nachricht.
- Der angezeigte Absender wirkt vollkommen legitim, aber der Link führt auf eine Domain, die sich leicht von der offiziellen unterscheidet.
Der letzte Punkt verdient einen systematischen Reflex: Beurteilen Sie eine SMS niemals nach dem angezeigten Absender, sondern immer nach der geforderten Handlung. Eine öffentliche Stelle fragt Sie niemals per SMS nach Ihren vollständigen Bankdaten. Ameli weist auf seiner Website ausdrücklich darauf hin: Die französische Krankenkasse verlangt niemals per Nachricht Bankverbindungen oder Sozialversicherungsnummern.
Der richtige Reflex in drei Schritten
Klicken Sie nicht. Das klingt banal, ist aber der einzige Bruchpunkt, der ganz allein Ihnen gehört. Eine ungelesene SMS richtet nichts an. Eine gelesene SMS richtet nichts an. Erst der Klick setzt alles Weitere in Gang.
Prüfen Sie über einen Kanal, den Sie selbst gewählt haben. Nicht die Nummer aus der Nachricht, nicht den Link: Ihre selbst geöffnete Banking-App, die auf der Rückseite Ihrer Karte aufgedruckte Nummer, die offizielle Website, die Sie selbst in den Browser eintippen.
Melden Sie es. Leiten Sie die Nachricht an die 33700 weiter (kostenlos, alle Netzbetreiber) und erstatten Sie bei Schaden Anzeige über den dafür vorgesehenen Online-Dienst. Das Portal Cybermalveillance.gouv.fr verweist an die richtigen Ansprechpartner und bietet klare Handlungsleitfäden. Selbst ohne verwertbaren Absender speisen diese Meldungen die Statistiken, die die Ortungseinsätze der ANFR auslösen.
Wenn das Unglück schon geschehen ist
Der Klick ist passiert, die Zugangsdaten wurden eingegeben. Es bleibt ein Handlungsfenster – und es ist kurz.
- Lassen Sie sofort sperren, bei Ihrer Bank und über den interbankarischen Kartensperrdienst unter 0 892 705 705.
- Ändern Sie die Passwörter der betroffenen Konten von einem anderen Gerät aus – von einem Computer, falls Sie vermuten, dass das Telefon kompromittiert ist. Ein Passwort-Manager verhindert nebenbei die Kettenreaktion bei Konten, die dasselbe Passwort teilen.
- Prüfen Sie Ihre Rufumleitungen und SMS-Weiterleitungsregeln. Eine gängige Praxis besteht darin, unauffällig eine Weiterleitung einzurichten, um Bestätigungscodes abzufangen.
- Dokumentieren Sie alles: mit Zeitstempel versehene Screenshots der Nachricht, der Nummer, der Uhrzeit. Genau diese Elemente machen bei der Anzeigeerstattung und beim Erstattungsantrag gegenüber der Bank den Unterschied – geregelt in den Artikeln L.133-18 ff. des französischen Währungs- und Finanzgesetzbuchs.
Wenn Sie einen Angehörigen begleiten, dem diese Reflexe weniger vertraut sind, leistet ein praktischer Ratgeber zur Cybersicherheit im Alltag, auf dem Wohnzimmertisch abgelegt, oft mehr als eine lange Rede: Er erlaubt es, mehrfach auf das Thema zurückzukommen, ohne dass es als Belehrung empfunden wird.
Was sich in den nächsten Jahren ändern wird
Die gute Nachricht: Der technische Übertragungsweg stirbt aus. 2G wird bei den französischen Netzbetreibern offiziell abgeschaltet – Orange und SFR haben ihren Abschaltfahrplan gestartet, die anderen ziehen nach. An dem Tag, an dem kein Telefon im Umlauf mehr auf 2G zurückfallen kann, verliert diese spezielle Angriffskategorie den größten Teil ihres Spielfelds.
Die schlechte Nachricht: Forscherinnen und Forscher dokumentieren bereits Varianten, die auf 4G abzielen und Signalisierungsnachrichten ausnutzen, die vor der vollständigen Authentifizierung ausgetauscht werden. Das Prinzip bleibt dasselbe: Zwischen dem Moment, in dem ein Telefon eine Antenne entdeckt, und dem Moment, in dem es deren Legitimität prüft, existiert ein Zeitfenster. Es wird mit jeder Generation kleiner, aber es verschwindet noch nicht.
Bis dahin ist die Denkweise, die man sich merken sollte, einfach – und sie gilt weit über den SMS-Blaster hinaus: Die scheinbare Herkunft einer Nachricht ist niemals ein Beweis. Weder der Name des Absenders noch der Gesprächsverlauf, in dem sie auftaucht, noch die Qualität der Formulierung. Zählt allein die Frage, wozu die Nachricht Sie auffordert – und wenn die Handlung Ihr Geld, Ihre Zugangsdaten oder Ihre persönlichen Daten betrifft, verdient sie es, anderswo überprüft zu werden, über einen Weg, den Sie selbst gewählt haben.
