Es gibt einen grundlegenden Unterschied zwischen der SMS, die Ihnen mitteilt, Ihr Bankkonto sei gesperrt, und jener, die 2,80 € nicht bezahlte Maut von Ihnen fordert. Die erste löst einen Alarm aus: Das ist groß, das ist ernst, das ist verdächtig. Die zweite löst überhaupt nichts aus. Sie ist klein, plausibel, fast langweilig – und genau deshalb ist sie 2026 zu einer der lukrativsten Smishing-Kampagnen in Frankreich geworden.
„Sie haben die A10 am 03.09. ohne gültige Durchfahrt benutzt. Fälliger Betrag: 2,80 €. Begleichen Sie innerhalb von 48 Stunden, um einen Zuschlag von 90 € zu vermeiden."
Niemand gerät beim Lesen in Panik. Man seufzt. Man denkt, die Mautbox habe wohl nicht richtig ausgelöst. Und man zahlt, denn drei Euro sind keine dreißig Minuten Recherche wert. Nur verlangt das Formular gar keine drei Euro: Es verlangt Ihre Kartennummer, das Ablaufdatum, die Prüfziffer und oft noch einen Code, der wenige Minuten später per SMS eintrifft. Ab diesem Moment sind es nicht mehr 2,80 €, die abfließen.
Warum sich so viele Kampagnen auf Autofahrer konzentrieren
Autofahrer sind aus einem sehr einfachen Grund ein ideales Ziel: Sie erhalten legitimerweise viele kurze Nachrichten rund um ihr Fahrzeug. Mautbox, Bußgeldbescheid, Parkgebühren-Nachforderung, Erinnerung an die Hauptuntersuchung, Versicherungsbenachrichtigung, Ladesäule, Parking-App. Der SMS-Kanal ist bereits mit echten, unpersönlichen Nachrichten gesättigt, was die Fälschung beim bloßen Lesen nahezu unerkennbar macht.
Hinzu kommen drei zeittypische Faktoren.
Die regulatorische Unschärfe. Zwischen dem schrittweisen Verschwinden physischer Mautschranken auf mehreren Autobahnachsen, der Umstellung auf Free-Flow-Maut, bei der man nach der Durchfahrt zahlt, und der flächendeckenden Einführung von Parkgebühren-Nachforderungen durch private Dienstleister weiß der Autofahrer nicht mehr so recht, wer überhaupt Geld von ihm verlangen darf – und innerhalb welcher Frist. Insbesondere die Free-Flow-Maut hat eine neuartige Situation geschaffen: Eine Zahlungsaufforderung wenige Tage nach einer Fahrt kann völlig legitim sein. Die Betrüger sind bereits im ersten Quartal 2026 in diese Lücke gestoßen.
Die Datenlecks. Die auf Parallelmärkten zirkulierenden Datenbanken enthalten oft weit mehr als eine Telefonnummer: Name, Postleitzahl, manchmal Fahrzeugmarke oder Teile des Kennzeichens. Eine Nachricht mit dem Hinweis „Ihr Fahrzeug mit dem Kennzeichen XX-123-XX" wirkt sofort glaubwürdig, auch wenn der Betrüger Ihr Auto nie gesehen hat.
Der kleine Betrag. Das ist die eigentliche Innovation. Eine Kampagne, die 400 € Bußgeld fordert, erzielt eine niedrige Klickrate und viele Meldungen. Eine Kampagne, die 2,80 €, 4,10 € oder 17,50 € fordert, unterläuft sowohl das emotionale Radar als auch das Radar der Betrugsabwehr der Banken, die Kleinstzahlungen reibungslos durchgehen lassen.
Die vier Nachrichtenfamilien, die im Umlauf sind
1. Die nicht beglichene Maut
Das ist die sichtbarste Kampagne seit dem Frühjahr 2026, insbesondere über den Missbrauch bekannter Mautdienst-Marken wie Ulys, Bip&Go oder Ulys/Vinci. Die Nachricht spricht von einer nicht validierten Durchfahrt, einer defekten Mautbox oder einer nicht beglichenen Free-Flow-Fahrt. Der Betrag ist lächerlich gering, die Androhung eines Zuschlags ist beziffert und datiert.
Erkennungsmerkmal: Der Link führt nie zur offiziellen Domain des Betreibers. Man findet Varianten wie ulys-regularisation.com, peage-flux-libre.info, paiement-vinci-autoroutes.net. Kein französischer Betreiber wickelt seine Zahlungen über eine Parallel-Domain ab, die in der Vorwoche registriert wurde.
2. Der gefälschte ANTAI-Bußgeldbescheid
Die Agence nationale de traitement automatisé des infractions (ANTAI) ist die offizielle Stelle, die in Frankreich Bußgeldbescheide versendet. Sie wird massiv missbraucht. Die SMS meldet eine Geschwindigkeitsüberschreitung, einen von einem Blitzer erfassten Verstoß oder ein unmittelbar bevorstehendes erhöhtes Bußgeld.
Entscheidender Punkt: Die ANTAI versendet einen erstmaligen Bußgeldbescheid nicht per SMS. Ein Bußgeldbescheid kommt per Post an die im Fahrzeugschein eingetragene Adresse oder erscheint im persönlichen Bereich der offiziellen Website antai.gouv.fr. Eine aus dem Nichts auftauchende SMS, die die Zahlung eines Bußgeldes verlangt, das Sie nie per Post erhalten haben, ist in der überwiegenden Mehrheit der Fälle Betrug. Cybermalveillance.gouv.fr weist in seinen Smishing-Warnungen regelmäßig darauf hin.
3. Die Parkgebühren-Nachforderung
Seit der Entkriminalisierung des gebührenpflichtigen Parkens wird das berühmte „FPS" (forfait post-stationnement) von den Kommunen oder ihren Dienstleistern verwaltet. Das ist ein perfektes Spielfeld für Betrug, denn die Modalitäten unterscheiden sich von Stadt zu Stadt, und kaum jemand weiß, wie ein echter Bescheid aussieht. Die Nachricht spricht von nicht bezahltem Parken in einer Stadt, in der Sie tatsächlich waren – manchmal reine Wahrscheinlichkeit, manchmal dank gekaufter Daten.
4. Die umgekehrte Erstattung
Eine perfidere Variante: Man fordert nichts von Ihnen, man schuldet Ihnen etwas. „Aufgrund eines Abrechnungsfehlers steht Ihnen eine Erstattung von 38,40 € zu. Geben Sie Ihre Bankverbindung an, um sie zu erhalten." Der psychologische Mechanismus kehrt sich um: Sie haben keine Angst mehr, Sie freuen sich. Und Sie übermitteln eine Bankverbindung, womöglich eine Kartennummer, an einen Unbekannten.
Was die Nachricht wirklich erreichen will
Man muss drei Ziele unterscheiden, denn die angemessene Reaktion ist jeweils eine andere.
| Ziel | Was das Formular verlangt | Folge |
|---|---|---|
| Direkte Zahlung | Bankkarte für einen „kleinen" Betrag | Einmalige Abbuchung, manchmal verstecktes Abo |
| Kartendaten-Abgriff | Karte + Prüfziffer + Bestätigungscode | Betrügerische Einkäufe bis zum Limit |
| Profilbildung | Name, Adresse, Kennzeichen, E-Mail | Weiterverkauf und spätere gezielte Kampagnen |
Der dritte Fall wird am meisten unterschätzt. Ein Formular, das kein Geld verlangt, ist nicht harmlos: Es reichert ein Profil an, das zwei Monate später einem Betrug mit falschem Bankberater dient – und der ist wesentlich teurer.
Die Prüfung in dreißig Sekunden
Die gute Nachricht: Es gibt eine einfache Methode, die für alle vier Nachrichtenfamilien funktioniert, ganz ohne technische Kenntnisse.
1. Klicken Sie auf nichts. Keine Ausnahme. Der Link ist der einzige Einstiegspunkt des Angriffs; solange Sie ihn nicht öffnen, passiert nichts.
2. Gehen Sie über den offiziellen Kanal, den Sie ohnehin kennen. Für ein Bußgeld: antai.gouv.fr, von Hand in die Adresszeile getippt. Für die Maut: die App oder die Website Ihres Anbieters, bei dem Sie Ihren Vertrag abgeschlossen haben. Für eine Parkgebühren-Nachforderung: die offizielle Website der Kommune. Wenn der Betrag tatsächlich fällig ist, erscheint er in Ihrem persönlichen Bereich. Andernfalls war die Nachricht gefälscht.
3. Achten Sie auf Betrag und Frist. Eine bezifferte Dringlichkeit von 24 oder 48 Stunden ist eine Signatur. Die französische Verwaltung arbeitet mit Fristen von mehreren Wochen und mit Briefen.
4. Prüfen Sie die Stimmigkeit mit Ihrem realen Leben. Sind Sie diese Strecke gefahren? Haben Sie in dieser Stadt geparkt? Eine Nachricht über eine Autobahn, die Sie nie benutzt haben, disqualifiziert sich von selbst.
5. Melden Sie es. Die 33700 bleibt die nationale Meldestelle für betrügerische SMS: Leiten Sie die Nachricht an die 33700 weiter und senden Sie anschließend die Nummer des Absenders, wenn Sie danach gefragt werden. Der Dienst ist kostenlos. Parallel dazu erfassen die Plattform Signal Conso und die Website cybermalveillance.gouv.fr die laufenden Kampagnen.
Grundregel: Es ist nie Ihre Aufgabe zu beweisen, dass die Nachricht falsch ist. Die Nachricht muss beweisen, dass sie echt ist – und sie kann das nur über einen Kanal, den Sie selbst gewählt haben.
Der Sonderfall: unterwegs auf der Straße
Die Wachsamkeit sinkt, wenn man unterwegs ist. Man liest die Nachricht auf einer Autobahnraststätte, zwischen zwei Etappen, müde, mit 12 % Akku. Genau diesen Moment nehmen die Kampagnen ins Visier, indem sie ihre Versendungen auf Freitagabende, Ferienbeginn und die großen Reisewellen konzentrieren.
Ein paar praktische Gewohnheiten senken das Risiko wirksamer als jeder abstrakte Ratschlag:
- Eine Handyhalterung fürs Auto sauber montiert lassen, damit man eine Nachricht nie in Eile oder während der Fahrt lesen muss: Eine im Stand gelesene SMS wird besser eingeschätzt.
- Eine Powerbank fürs Smartphone mitnehmen: Ein leeres Handy bedeutet, dass man nichts auf der offiziellen Website überprüfen kann – und damit die Versuchung, „schnell mal" über den erhaltenen Link zu zahlen.
- Die Fahrzeugpapiere – Fahrzeugschein, Versicherungsnachweis, Unfallbericht – in einer einzigen Dokumentenmappe fürs Auto verstauen. Wer weiß, wo seine Papiere sind, überprüft ein Kennzeichen in zehn Sekunden, statt der in der SMS angezeigten Nummer zu vertrauen.
Nichts davon ist spektakulär, aber der falsche Maut-Betrug entscheidet sich nicht über Technik: Er entscheidet sich in den fünf Sekunden, in denen man beschließt, zu prüfen – oder eben nicht.
Wenn Sie bereits geklickt und bezahlt haben
Der Fehler ist häufig und nichts, wofür man sich schämen müsste. Das Einzige, was zählt, ist Schnelligkeit.
Innerhalb einer Stunde: Rufen Sie Ihre Bank an oder sperren Sie die Karte über deren App. Die interbankarische Notrufnummer für die Kartensperrung in Frankreich lautet 0 892 705 705. Fordern Sie ausdrücklich die Sperrung der Karte, nicht nur die Reklamation der Abbuchung.
Innerhalb des Tages: Ändern Sie die Passwörter aller Konten, die dieselbe E-Mail-Adresse verwenden wie das Formular, beginnend mit dem Postfach selbst. Wenn Sie einen per SMS erhaltenen Code weitergegeben haben, gehen Sie davon aus, dass das zugehörige Konto kompromittiert ist. Ein Passwort-Manager oder ersatzweise ein Passwortbuch aus Papier, außer Sichtweite verwahrt, verhindert, dass überall dieselbe Kombination recycelt wird – genau das nutzen die Betrüger anschließend aus.
Innerhalb der Woche: Erstatten Sie Anzeige. Eine Online-Voranzeige ist über die Website des französischen Innenministeriums möglich, aber eine persönliche Anzeige bei Polizei oder Gendarmerie bleibt wirksamer, um ein für die Bank verwertbares Protokoll zu erhalten. Bewahren Sie Screenshots der SMS, Zeitstempel, Absendernummer und den Kontoauszug mit der Abbuchung auf.
Das Recht auf Ihrer Seite: Artikel L. 133-18 des französischen Code monétaire et financier sieht die sofortige Erstattung einer nicht autorisierten Zahlung vor, sofern sie fristgerecht gemeldet wurde. Die Bank kann sich weigern und grobe Fahrlässigkeit des Kunden geltend machen, doch die Cour de cassation hat mehrfach – insbesondere in Urteilen von 2023 und 2024 – klargestellt, dass die bloße Übermittlung von Daten infolge einer betrügerischen Nachricht, die eine offizielle Stelle imitiert, für die Annahme grober Fahrlässigkeit nicht ausreicht. Bei einer Ablehnung wenden Sie sich an den Bankenombudsmann und gegebenenfalls an die Banque de France.
Die Angriffsfläche im Vorfeld verkleinern
Man kann einen Betrüger nicht daran hindern, eine SMS zu verschicken, aber man kann die Wahrscheinlichkeit senken, ins Visier zu geraten – und vor allem die, anzubeißen.
- Kontaktdaten trennen. Eine Zweit-E-Mail-Adresse für Anmeldungen bei Park-, Lade- oder Mitfahrdiensten begrenzt die Verknüpfung von Datenlecks.
- SMS-Spamfilter aktivieren. Sowohl Android als auch iOS bieten eine Filterung unbekannter Absender an – unvollkommen, aber nützlich.
- Die Bankkarte niemals speichern, wo es in Park-Apps nicht zwingend nötig ist. Eine virtuelle Einmalkarte, die viele Banken anbieten, begrenzt den Schaden ganz mechanisch.
- Das Umfeld informieren. Am stärksten gefährdet sind oft jene Autofahrer, die digital wenig unterwegs sind und angesichts einer SMS, die eine Behörde erwähnt, lieber zahlen, „um Ruhe zu haben". Ein Ratgeber zur Cybersicherheit im Alltag, griffbereit in der Familie hinterlegt, bewirkt mehr als eine lange Rede.
Was Sie sich merken sollten
Die falsche Maut- oder Bußgeld-SMS wurde nicht entwickelt, um leichtgläubige Menschen zu täuschen. Sie wurde entwickelt, um Menschen in Eile zu täuschen, mit einem Betrag, der zu gering ist, um eine Überprüfung zu rechtfertigen. Es ist ein Massenbetrug: Er bringt pro Opfer wenig ein, erreicht aber bei jeder Welle Hunderttausende Nummern.
Seine Schwäche ist konstant und wird sich nicht ändern: Er braucht Ihren Klick auf seinen Link. Eine Behörde fordert Sie niemals auf, über eine per Nachricht erhaltene URL zu zahlen; sie lässt Ihnen immer die Möglichkeit, selbst auf ihre offizielle Website zu gehen. An dem Tag, an dem dieser Reflex automatisch wird – anderswo prüfen, niemals in der Nachricht –, bricht die Kampagne zusammen, wie ausgefeilt sie auch sein mag.
Und falls Zweifel bleiben: Ein echter Bescheid übersteht problemlos dreißig Minuten Überprüfung. Ein Betrug nicht. Genau darin liegt der Unterschied.
