Es gibt eine Kategorie von SMS-Betrug, über die kaum gesprochen wird – weil sie gar nicht wie Betrug aussieht. Keine gefälschte Bankseite, kein sechsstelliger Code, den man dringend eintippen soll, keine Drohung mit Kontosperrung. Nur eine gute Nachricht: Sie wurden ausgelost, Ihre Treue wird belohnt, Ihr Paket ist geschenkt, es fehlen nur noch 1,95 € Versandkosten.
Sechs Wochen später weist Ihr Kontoauszug drei Abbuchungen über je 49,90 € zugunsten eines Unternehmens aus, von dem Sie noch nie gehört haben. Und der unangenehmste Teil der Geschichte ist dieser: Irgendwo auf der Seite, die Sie in dreißig Sekunden ausgefüllt haben, stand – in hellem Grau, in Schriftgröße 7, unterhalb des Bestätigungsbuttons –, dass Sie ein monatlich verlängerbares Abonnement abschließen.
Im englischen Fachjargon nennt man das negative option billing, auf Deutsch eine Abo-Falle oder ein standardmäßig untergeschobenes Abonnement. Das ist nicht ganz Diebstahl. Es ist in der Bearbeitung weit schlimmer: Es ist eine juristische Grauzone, die so gestaltet ist, dass sie wie ein Vertrag aussieht.
Warum diese Falle besser funktioniert als eine gefälschte Bankseite
Klassische Smishing-Kampagnen – gefälschte SMS von La Poste, der Krankenkasse oder Ihrer Bank – setzen auf Angst und Dringlichkeit. Sie funktionieren, stoßen aber heute auf wachsenden Widerstand: Die Öffentlichkeit wurde massiv sensibilisiert, Banken betonen, dass sie niemals einen Code per SMS verlangen, und Cybermalveillance.gouv.fr wiederholt diese Botschaft seit Jahren.
Die Geschenk-SMS umgeht diese mentale Abwehr vollständig. Sie löst keinen einzigen der Alarme aus, auf die Sie gelernt haben zu hören:
- Sie verlangt kein Passwort.
- Sie verlangt keinen Bestätigungscode der Bank – nun ja, doch, aber später und für einen lächerlich kleinen Betrag, den Sie ohne Nachdenken freigeben.
- Sie gibt sich nicht zwingend als staatliche Stelle aus: Oft verweist sie nur vage auf „Ihren Mobilfunkanbieter“, „eine große Handelskette“, „unseren Partner“.
- Sie bedroht Sie nicht, sie macht Ihnen eine Freude.
Der psychologische Hebel ist nicht Angst, sondern Reziprozität und der Besitztumseffekt: Sobald man Ihnen sagt, dass Ihnen etwas bereits gehört, wird der Verzicht darauf als Verlust empfunden. Fügen Sie einen Countdown auf dem Bildschirm hinzu („Ihr Gewinn ist noch 9 Min. 47 reserviert“), und die Bedenkzeit verschwindet.
Die Betrüger, die dieses Modell nutzen, wollen nicht 800 € auf einen Schlag stehlen. Sie wollen sechs Monate lang 49 € von Tausenden Menschen abbuchen, die für diesen Betrag individuell niemals Anzeige erstatten werden.
Der Mechanismus, Schritt für Schritt
1. Die Köder-Nachricht
Die SMS ist kurz, oft fehlerfrei und zunehmend personalisiert – Abgleich mit geleakten Datenbanken sei Dank. Die wiederkehrenden Formulierungen im Jahr 2026:
- „Hallo [Vorname], Ihre Bestellung Nr. 8842 ist für ein Geschenk berechtigt. Wählen Sie es hier aus: …“
- „Ihr Tarif berechtigt Sie diesen Monat zu 1 Gratis-Zubehör.“
- „Rückerstattung von 74,32 € für Ihren Vorgang verfügbar. Bestätigen Sie Ihre Daten.“
- „Produkttest: Erhalten Sie [bekannte Marke] und behalten Sie sie.“
Der Link führt auf eine kürzlich registrierte, kurze Domain, die nichts mit der genannten Marke zu tun hat und oft auf einer exotischen Endung oder einer generischen Subdomain liegt.
2. Der Qualifizierungstrichter
Die Seite fragt nicht sofort nach Ihrer Karte. Sie lässt Sie zunächst spielen: ein Glücksrad, drei Truhen zum Öffnen, ein Quiz mit vier Fragen. Dieser Umweg ist keine Dekoration. Er hat zwei Funktionen:
- Sie schrittweise binden. Wer bereits vier Fragen beantwortet hat, bricht im fünften Schritt sehr viel seltener ab.
- Ihre Daten sammeln. Alter, Lebenssituation, Interessen, Postleitzahl: Diese Informationen sind auf den Märkten für Adressdatenhandel manchmal mehr wert als das Abo selbst.
3. Die Bankkarte für „die Gebühren“
Dann folgt die Abfrage der Bankdaten, gerechtfertigt durch einen winzigen Betrag: 1 €, 1,95 €, 2,90 € Beteiligung an den Versandkosten. Sie bestätigen mit Ihrer Banking-App – die starke Kundenauthentifizierung funktioniert einwandfrei, sie bestätigt eine Zahlung, die Sie tatsächlich autorisiert haben.
Das ist der Kern des Problems: PSD2 und Zwei-Faktor-Authentifizierung schützen Sie nicht vor einem Vertrag, den Sie ungelesen unterschrieben haben. Sie prüfen, dass Sie es sind – nicht, dass die Transaktion redlich ist.
4. Die unsichtbare Klausel
Unter dem Button, in einem grauen Textblock auf weißem Grund, steht ein Satz wie: „Mit der Bestätigung treten Sie dem Premium-Service zum Preis von 49,90 € pro Monat nach einer Testphase von 3 Tagen bei, jederzeit kündbar.“ Die erste Abbuchung erfolgt eine Woche später, mit einem undurchsichtigen Buchungstext: ein Kürzel aus drei Buchstaben, eine Firma mit Sitz außerhalb Frankreichs, ohne jeden Bezug zur ursprünglichen SMS.
Was das französische Recht sagt – und warum es auf Ihrer Seite steht
Anders als viele Betroffene glauben, ist diese Praxis nicht allein deshalb legal, weil die Klausel existierte. Das französische und europäische Recht regelt diese Art des Fernabsatzes sehr streng.
| Regel | Anwendbare Vorschrift | Was das für Sie bedeutet |
|---|---|---|
| Ausdrückliche Zustimmung zu jeder Zusatzzahlung | Artikel L. 224-2 des Verbrauchergesetzbuchs | Ein vorangekreuztes Kästchen oder ein versteckter Hinweis gilt nicht als Zustimmung |
| Irreführende Geschäftspraxis | Artikel L. 121-2 ff. | Das Verschweigen einer wesentlichen Information (des tatsächlichen Preises) ist eine Straftat |
| Widerrufsrecht von 14 Tagen | Artikel L. 221-18 | Es läuft bei Dienstleistungen ab Vertragsschluss |
| Klare und verständliche vorvertragliche Information | Artikel L. 221-5 | Hellgraue Schriftgröße 7 unter dem Button ist weder klar noch lesbar |
| Anfechtung einer nicht autorisierten Zahlung | Artikel L. 133-18 des Währungs- und Finanzgesetzbuchs | Erstattung durch die Bank, unter bestimmten Bedingungen |
Die französische Wettbewerbs- und Verbraucherschutzbehörde (DGCCRF) veröffentlicht regelmäßig Warnungen zu solchen „Gewinnspielen“, die in Abonnements münden. Die Meldung erfolgt über die Plattform SignalConso. Für die cyberkriminelle Dimension verweist Cybermalveillance.gouv.fr auf die passenden Stellen, und die Plattform Pharos nimmt Meldungen zu rechtswidrigen Inhalten entgegen.
Zur SMS selbst: Jede betrügerische Nachricht kann kostenlos an die 33700 weitergeleitet werden, das nationale Meldesystem für SMS-Spam, das von der Association Française du Multimédia Mobile in Zusammenarbeit mit den Mobilfunkanbietern betrieben wird.
Was tun, wenn bereits abgebucht wurde
Die Reihenfolge zählt. Viele Betroffene schreiben zuerst an den Kundenservice des Unternehmens – das ist der schlechteste erste Schritt, denn er kostet Tage, in denen weitere Abbuchungen erfolgen.
Schritt 1 – Den Zahlungsfluss stoppen, nicht nur widersprechen
Rufen Sie Ihre Bank an und verlangen Sie ausdrücklich:
- die Sperre gegenüber dem Händler (Blockade künftiger Abbuchungen dieses Empfängers);
- und bei erheblichen Zweifeln den Austausch der Karte. Die neue Nummer macht wiederkehrende Autorisierungen hinfällig.
Achtung: Eine bloße „Sperrung wegen Verlust“ genügt nicht immer, um bereits autorisierte wiederkehrende Zahlungen zu stoppen. Verwenden Sie die exakten Worte: „Ich widerspreche einer wiederkehrenden Zahlungsautorisierung und verlange deren Sperrung.“
Schritt 2 – Die Erstattung schriftlich verlangen
Richten Sie eine schriftliche Beanstandung an Ihre Bank (Einschreiben oder gesicherte Nachricht im Kundenbereich) und berufen Sie sich auf das Fehlen einer ausdrücklichen Zustimmung. Fügen Sie bei:
- den Screenshot der erhaltenen SMS;
- die Adresse der Website, falls Sie sie noch im Verlauf haben;
- die Aufstellung der Abbuchungen;
- den genauen Zeitablauf.
Die gesetzliche Frist zur Beanstandung einer nicht autorisierten Transaktion beträgt 13 Monate ab Belastung (Artikel L. 133-24 des Währungs- und Finanzgesetzbuchs). Lassen Sie diese Frist nicht verstreichen in dem Glauben, „es ist ohnehin zu spät“.
Schritt 3 – Förmlich kündigen, auch wenn der Vertrag wackelig ist
Senden Sie ein Einschreiben mit Kündigung und Widerruf an die im Impressum der Website angegebene Adresse. Das ist das Dokument, das Ihnen später dient. Viele Menschen bewahren keinerlei Papierbelege ihrer Schritte auf; die Empfangsbestätigungen in einem Ordner mit Klarsichthüllen abzulegen, erspart es, die Akte sechs Monate später hektisch rekonstruieren zu müssen.
Schritt 4 – Melden
- SignalConso (DGCCRF) für die Geschäftspraxis.
- 33700 für die SMS.
- Anzeige bei Gendarmerie oder Polizei bei relevanten Beträgen, oder Online-Voranzeige.
- Ihre Verbraucherschutzorganisation (UFC-Que Choisir, CLCV), falls Sie bei der Bank auf Widerstand stoßen.
Sieben Reflexe, die diese Art von Falle unschädlich machen
1. Keine Lotterie kennt Sie. Man kann kein Spiel gewinnen, an dem man nicht teilgenommen hat. Diese Regel allein schließt 90 % der Fälle aus.
2. Misstrauen Sie Kleinstbeträgen. Ein bewusst lächerlicher Betrag ist ein Warnsignal, keine Garantie. Sein einziger Zweck ist es, Ihre Bankdaten und Ihre Freigabe zu erhalten.
3. Lesen Sie, was unter dem Button steht, nicht darüber. Die entscheidenden Bedingungen stehen systematisch nach dem Call-to-Action, in einer kontrastarmen Farbe.
4. Trennen Sie Ihre Zahlungsmittel. Reservieren Sie eine virtuelle Einmalkarte oder eine aufladbare Prepaid-Karte für Einkäufe auf Seiten, die Sie nicht kennen. Das Limit begrenzt den Schaden ganz automatisch. Die meisten französischen Banken bieten diesen Service in ihrer App an.
5. Prüfen Sie Ihre Kontoauszüge jeden Monat. Eine Abbuchung von 49 € fällt niemandem auf, der nur auf den Saldo schaut. Ein einfaches Haushaltsbuch oder eine Tabellenkalkulation genügt, um einen unbekannten Buchungstext zu entdecken.
6. Verwenden Sie nicht überall Ihre Hauptnummer. Jedes Gewinnspielformular, jede Verlosung im Einkaufszentrum füttert die weiterverkauften Datenbanken. Für nicht essenzielle Anmeldungen leistet eine zweite Nummer auf einer Prepaid-SIM ohne Vertragsbindung sehr gute Dienste.
7. Antworten Sie niemals mit „STOPP“ auf eine betrügerische Nachricht. Das gesetzliche STOPP funktioniert nur bei angemeldeter Werbung identifizierter Unternehmen. Einem Betrüger bestätigt es lediglich, dass die Nummer aktiv ist.
Der Sonderfall besonders gefährdeter Personen
Diese Art von Betrug trifft sehr ungleich. Menschen, die allein leben, mit Benutzeroberflächen wenig vertraut sind oder ihr Smartphone ohne passende Brille nutzen, werden den Hinweis in Schriftgröße 7 schlicht nie sehen. Das ist kein Aufmerksamkeitsmangel: Das ist bewusst feindselig gestaltetes Design.
Einige konkrete Maßnahmen, ohne zu bevormunden:
- Textvergrößerung und hohen Kontrast in den Bedienungshilfen des Telefons aktivieren.
- Für längeres Lesen am Bildschirm machen Lupenbrillen mit starker Vergrößerung jene rechtlichen Hinweise lesbar, die Benutzeroberflächen absichtlich vergraben.
- Eine einfache, nicht verhandelbare Regel in der Familie vereinbaren: keine Bankkartendaten über einen per SMS erhaltenen Link eingeben, niemals, aus welchem Grund auch immer.
- Ein niedriges Zahlungslimit auf der Karte einrichten, das sich punktuell anpassen lässt.
Wer die Hintergründe solcher Manipulationen umfassender verstehen möchte: Mehrere allgemein verständliche Bücher zur Cybersicherheit für ein breites Publikum erklären die Mechanismen des Social Engineering sehr gut, ohne technische Vorkenntnisse zu verlangen.
Und wenn Sie nur geklickt haben?
Auf den Link zu klicken, ohne etwas auszufüllen, ist auf einem aktuellen Smartphone in der überwiegenden Mehrheit der Fälle folgenlos. Das eigentliche Risiko beginnt bei der Eingabe von Informationen. Dennoch einige vernünftige Vorsichtsmaßnahmen:
- Prüfen Sie, ob Ihr Betriebssystem aktuell ist – das ist der wirksamste und zugleich am meisten vernachlässigte Schutz.
- Kontrollieren Sie unter Android, dass keine App außerhalb des offiziellen Stores installiert wurde.
- Wenn Sie Ihre E-Mail-Adresse eingegeben haben, rechnen Sie mit mehr Spam; erwägen Sie einen Passwort-Manager, um Ihre Zugänge zu trennen, falls Sie überall dasselbe Passwort verwenden.
- Beobachten Sie Ihre Konten drei Monate lang.
Was Sie sich merken sollten
Die Geschenk-SMS ist das freundliche Gesicht des Smishing. Sie greift nicht Ihre Bank an, sie greift Ihr Leseverhalten an. Sie setzt nicht auf Panik, sondern auf dreißig Sekunden Begeisterung und auf eine Typografie, die dafür gemacht ist, übersehen zu werden.
Die Gegenmaßnahme ist weder technisch noch kompliziert: Keine Zahlung, nicht einmal ein Euro, wird über einen per SMS erhaltenen Link eingegeben. Wenn das Angebot echt ist, existiert es auch dann, wenn Sie die Adresse der offiziellen Website selbst in Ihren Browser eintippen. Und wenn es nur in der SMS existiert, hat es nie existiert.
Im Zweifel: Nachricht an die 33700 weiterleiten, auf SignalConso melden und löschen. Ein Geschenk, das Ihre Bankkarte verlangt, ist kein Geschenk: Es ist eine getarnte Rechnung.
