Es gibt eine Kategorie von Betrugsmaschen, bei denen die SMS zu nichts anderem dient, als Ihr Telefon ein zweites Mal klingeln zu lassen. Manchmal enthält die Nachricht nicht einmal einen Link. Sie lautet schlicht:
„WARNUNG: Nicht erkannter Zahlungsversuch über 749,00 € bei ELEC-STORE. Falls Sie diesen Vorgang nicht veranlasst haben, unternehmen Sie nichts, ein Berater kontaktiert Sie."
Kein Link zum Anklicken, kein Formular, nichts, was den Phishing-Kampagnen ähnelt, vor denen man Sie gewarnt hat. Sie lesen die Nachricht noch einmal, suchen die Falle, finden sie nicht. Drei Minuten später klingelt das Telefon – und auf dem Display erscheint die Nummer Ihrer Bankfiliale, genau die, die Sie selbst in Ihren Kontakten gespeichert haben. Genau hier beginnt der Betrug wirklich.
Die Banque de France weist in den regelmäßigen Arbeiten ihres Observatoire de la sécurité des moyens de paiement seit mehreren Berichtsjahren auf die Zunahme von Betrugsfällen „durch Manipulation" hin: jene Fälle, in denen der Betrüger keinerlei technische Schwachstelle benötigt, weil das Opfer selbst die Transaktionen freigibt. Die SMS ist nicht mehr die Waffe. Sie ist die Türklingel.
Warum dieses Szenario den simplen Fallenlink abgelöst hat
Zehn Jahre lang funktionierte Bank-Smishing nach einem einfachen Muster: eine SMS, ein Link, eine gefälschte Login-Seite, abgegriffene Zugangsdaten. Dieses Modell verliert aus drei sehr konkreten Gründen an Wirkung.
Erstens haben die Banken die starke Authentifizierung von Transaktionen flächendeckend eingeführt. Der Diebstahl Ihrer Zugangsdaten reicht nicht mehr aus: Jemand muss zusätzlich in der App auf „Bestätigen" tippen. Zweitens blockieren Browser und mobile Betriebssysteme einen wachsenden Anteil gefälschter Domains binnen weniger Stunden. Und drittens hat sich in der Bevölkerung der Reflex „Ich klicke nicht auf Links in SMS" durchgesetzt.
Die Betrüger haben das Problem also verlagert: Wenn das Opfer ohnehin selbst bestätigen muss, kann man diese Bestätigung auch gleich per Gespräch erwirken. Das ist langsamer, handwerklicher – aber unendlich viel lukrativer. Ein Fallenlink bringt Zugangsdaten ein, die für ein paar Euro weiterverkauft werden. Ein erfolgreicher Anruf bringt eine vier- oder fünfstellige Überweisung.
Die SMS behält in diesem Aufbau eine präzise Rolle:
- Sie erzeugt Erwartung. Sie bekommen keinen unerwarteten Anruf, Sie bekommen den angekündigten Anruf. Das normale Misstrauen gegenüber einer unbekannten Nummer setzt gar nicht erst ein;
- Sie etabliert das Vokabular. „Nicht erkannter Vorgang", „Betrugsabwehr", „Sicherung des Guthabens": Die Wörter des folgenden Gesprächs sind bereits gesetzt;
- Sie löst Adrenalin aus. 749 Euro – genug, um den Puls hochzutreiben, und wenig genug, um glaubwürdig zu bleiben.
Die angezeigte Nummer Ihrer Bank beweist gar nichts mehr
Der Kipppunkt ist in nahezu allen Erfahrungsberichten der Anrufbildschirm. Die angezeigte Nummer ist die echte Nummer des Kundenservice, manchmal sogar die Durchwahl der Filiale. Manche Opfer berichten, sie hätten die Nummer während des Gesprächs auf der Rückseite ihrer Bankkarte überprüft – und sie identisch vorgefunden.
Das ist keine Zauberei, sondern Telefon-Spoofing: die Fälschung der Rufnummernanzeige. Das Protokoll zur Anrufvermittlung wurde zu einer Zeit entwickelt, in der niemand damit rechnete, dass jemand über seine Identität lügen könnte, und die Information „Rufnummer des Anrufers" bleibt im Wesentlichen eine bloße Selbstauskunft.
Frankreich hat den Rahmen mit dem Mechanismus zur Rufnummern-Authentifizierung (MAN) verschärft, den die Arcep den Betreibern seit 2024–2025 vorschreibt: Anrufe aus dem Ausland, die eine nicht authentifizierte französische Festnetznummer anzeigen, müssen blockiert werden. Das Verfahren hat einen Teil der betrügerischen Anrufwerbung eingedämmt, hat aber blinde Flecken: legitim im Roaming genutzte französische Mobilnummern, Rufnummernblöcke, die an wenig wählerische Betreiber vermietet werden, sowie Anrufe, die vom Inland aus über Gateways geführt werden.
Merken Sie sich eine einfache Regel, die 2026 genauso gilt wie 2020: Eine angezeigte Nummer ist keine Identität. Sie ist ein Etikett, das derjenige auf den Umschlag klebt, der ihn verschickt.
Dasselbe gilt für den SMS-Verlauf. Eine betrügerische Nachricht, die dieselbe alphanumerische Absenderkennung wie Ihre Bank verwendet, reiht sich in die bestehende Konversation ein, unterhalb der echten Nachrichten, mit dem echten Verlauf darüber. Die Illusion ist perfekt.
Das Skript, Phase für Phase
Betrügerische Anrufe folgen bemerkenswert stabilen Skripten. Deren Struktur zu kennen ist wertvoller als jede Liste von „Warnsignalen" – denn die Struktur ändert sich nicht.
Phase 1 – Die Übernahme durch Legitimität
Der Gesprächspartner stellt sich mit Vor- und Nachnamen und einer „Personalnummer" vor. Er nennt Ihnen Informationen, über die eigentlich nur Ihre Bank verfügen kann: die letzten vier Ziffern Ihrer Karte, Ihre Filiale, manchmal ein oder zwei kürzliche Lastschriften. Diese Daten stammen aus geleakten Kundendatenbanken, die kiloweise weiterverkauft werden. Sie beweisen nichts, aber sie erkaufen Ihr Vertrauen in zehn Sekunden.
Phase 2 – Die Umkehrung der Rollen
Er verlangt nichts von Ihnen. Im Gegenteil, er beschützt Sie. Das ist die wirksamste Umkehrung des Skripts: Das Opfer hört auf, sich zu fragen „Mit wem spreche ich?", und fragt sich stattdessen „Wie komme ich hier heil raus?". Aus Wachsamkeit wird Kooperation.
Phase 3 – Der Loyalitätstest
„Ich werde Sie niemals nach Ihrem Code fragen, das wissen Sie doch?" Dieser Satz, ausgesprochen vom Betrüger selbst, entwaffnet vollständig. Er gibt die offizielle Warnung der Banken Wort für Wort wieder – und allein dadurch ordnen Sie Ihren Gesprächspartner der richtigen Seite zu.
Phase 4 – Die „Sicherung des Guthabens"
Das ist der Kern des Betrugs. Man müsse, so sagt er, Ihr Geld auf einem „Pufferkonto", „Treuhandkonto" oder „technischen Konto" in Sicherheit bringen, solange die kompromittierte Karte gesperrt werde. Sie erhalten gleich eine Benachrichtigung in Ihrer App: Das sei die Stornierung des betrügerischen Vorgangs, Sie müssten sie nur bestätigen. In Wirklichkeit bestätigen Sie eine ausgehende Überweisung, das Hinzufügen eines Empfängers oder die Registrierung seines Telefons anstelle Ihres eigenen.
Phase 5 – Die zeitliche Verriegelung
„Bleiben Sie dran, legen Sie nicht auf, der Vorgang läuft in vier Minuten ab." Solange Sie am Telefon sind, können Sie weder Ihre Bank anrufen noch jemanden aus Ihrem Umfeld um Rat fragen. Der Zeitdruck hat keinerlei technische Funktion: Er dient einzig dazu, Sie am Überprüfen zu hindern.
Was hier nichts mit Naivität zu tun hat
Man muss es deutlich sagen, denn Scham ist das größte Hindernis für eine Anzeige: Diese Betrugsmaschen zielen nicht auf leichtgläubige Menschen. Sie zielen auf verfügbare Menschen. Eine Führungskraft im Meeting, ein Elternteil, das gerade ein Kind beaufsichtigt, ein Handwerker auf der Baustelle, jemand, der eben online bestellt hat. Das Ziel ist keine Person, es ist ein Moment geteilter Aufmerksamkeit.
Die Skripte werden von Teams geschrieben, die sie an tausenden Anrufen testen und behalten, was konvertiert. Gegenüber einem Überzeugungsprofi, der acht Stunden am Tag arbeitet, schützt Intelligenz nicht. Nur das Verfahren schützt: eine Regel, die in Ruhe festgelegt und in der Hitze des Moments mechanisch angewendet wird.
Das Verfahren, das den Betrug beendet – in vier Schritten
1. Legen Sie auf. Immer. Es gibt keine einzige Banksituation, die es erfordert, in der Leitung zu bleiben. Ein echter Berater wird vollkommen verstehen, dass Sie zurückrufen. Ein falscher Berater wird Sie anflehen, nicht aufzulegen – das ist der beste Test, den es gibt.
2. Rufen Sie zurück, aber nicht sofort und nicht aus demselben Gespräch heraus. Zwei klassische Fallen. Der Rückruf auf die Nummer, die gerade angerufen hat, beweist nichts: Der Betrüger kann eine Nummer gefälscht haben, die er gar nicht kontrolliert – Sie landen dann bei der echten Bank, was Sie fälschlicherweise bezüglich des ersten Anrufs beruhigt. Vor allem aber kann bei manchen Festnetzanschlüssen die Leitung einige Sekunden offen bleiben, wenn der Anrufer nicht auflegt: Wählen Sie die Nummer von einem anderen Gerät aus oder warten Sie eine volle Minute. Verwenden Sie ausschließlich die Nummer auf der Rückseite Ihrer Karte oder in Ihrer App.
3. Öffnen Sie Ihre App selbst und lesen Sie den vollständigen Wortlaut jeder Benachrichtigung, bevor Sie bestätigen. Französische Banking-Apps zeigen inzwischen den tatsächlichen Gegenstand des Vorgangs an: „Hinzufügen des Empfängers X", „Überweisung über 4 200 €", „Neues vertrauenswürdiges Gerät". Dieser Wortlaut ist die einzige Wahrheit im ganzen Austausch. Lesen Sie ihn langsam, notfalls laut.
4. Notieren Sie alles, und zwar sofort. Uhrzeit des Anrufs, angezeigte Nummer, genannter Name, genannte Beträge. Ein Screenshot der ursprünglichen SMS ist mehr wert als eine Erinnerung. Wenn die Sache bis zur Anzeige geht, machen diese Elemente den Unterschied.
Für Menschen, die ihre Konten von einem Familiencomputer aus verwalten, hat eine laminierte Checkliste neben dem Arbeitsplatz – oder einfach eine handgeschriebene Karteikarte in einer stabilen Dokumentenhülle – eine überproportionale Wirkung: Sie verwandelt einen emotionalen Reflex in einen administrativen Handgriff.
Der Sonderfall pflegender Angehöriger
Dieses Szenario ist bei älteren Menschen besonders gefährlich, und zwar aus einem Grund, der nichts mit geistiger Klarheit zu tun hat: Sie wurden in einer Zeit sozialisiert, in der man ans Telefon ging und einer Stimme vertraute, die sich vorstellte. Sich zu weigern, jemandem den Hörer aufzulegen, ist eine tief verwurzelte Höflichkeitsregel.
Ein paar konkrete Anpassungen, ohne zu bevormunden:
- ein Festnetztelefon mit großen Tasten mit Anruffilter und Whitelist einrichten, das bekannte Nummern durchlässt und alle anderen auf eine Ansage umleitet;
- ein Familienpasswort vereinbaren – ein Wort, das nur Sie kennen und nach dem jede Person gefragt wird, die im Namen einer Institution anruft;
- den zu sagenden Satz neben dem Telefon an die Wand hängen: „Ich erledige nie etwas am Telefon, ich rufe meine Filiale zurück" – ein einfacher magnetischer Notizblock am Kühlschrank genügt;
- prüfen, ob das Limit für Online-Überweisungen auf einen niedrigen Betrag festgelegt ist und ob man für eine Erhöhung persönlich in die Filiale muss.
Das Überweisungslimit ist vermutlich die wirksamste Maßnahme dieser ganzen Liste. Sie hängt von keinerlei Wachsamkeit ab und funktioniert auch an einem Tag, an dem man müde ist.
Und wenn es passiert ist: Was das Recht sagt
Der französische Code monétaire et financier (Artikel L133-18 ff.) stellt einen starken Grundsatz auf: Bei einem nicht autorisierten Zahlungsvorgang erstattet die Bank unverzüglich, es sei denn, es liegt Betrug oder grobe Fahrlässigkeit des Kunden vor. Die gesamte juristische Auseinandersetzung dreht sich also um zwei Begriffe: „autorisiert" und „grobe Fahrlässigkeit".
Die Rechtsprechung hat sich in eine für Opfer eher günstige Richtung entwickelt. Die Cour de cassation hat in mehreren seit 2023 ergangenen Entscheidungen geurteilt, dass die Weitergabe eines Codes nach Täuschung durch ein ausgeklügeltes Betrugssystem – insbesondere wenn die Rufnummer der Bank gefälscht wurde – nicht automatisch grobe Fahrlässigkeit darstellt. Die Beweislast liegt bei der Bank, die das Fehlverhalten präzise nachweisen muss und sich nicht auf die Behauptung beschränken darf, der Kunde „habe ja bestätigt".
Das bedeutet keine automatische Erstattung. Es bedeutet, dass eine pauschale Ablehnung anfechtbar ist.
Die Schritte, in dieser Reihenfolge:
| Schritt | Wo | Einzuhaltende Frist |
|---|---|---|
| Karte sperren lassen | Notfallnummer der Bank, anschließend schriftliche Bestätigung | Sofort |
| Schriftlich widersprechen | Einschreiben an die Filiale, mit Erstattungsforderung nach L133-18 | Spätestens nach 13 Monaten |
| Anzeige erstatten | Polizeiwache, Gendarmerie oder Online-Anzeige | Ohne zu warten |
| SMS melden | Plattform 33700 (durch Weiterleiten der Nachricht) | Sofort |
| Ombudsstelle anrufen | Bankenombudsmann, kostenlos | Nach schriftlicher Ablehnung durch die Bank |
| Melden | Info Escroqueries 0 805 805 817, Cybermalveillance.gouv.fr | Jederzeit |
Ein oft übersehener praktischer Rat: Schicken Sie das Widerspruchsschreiben auch dann, wenn ein Berater Ihnen mündlich gesagt hat, „der Vorgang wird bearbeitet". Mündliches hinterlässt keine Spur, und die Frist von dreizehn Monaten läuft. Ein Vorrat an Umschlägen für Einschreiben oder schlicht ein Postausgangsbuch verhindert, dass diese Daten verloren gehen.
Drei Irrtümer, die Sie über Bord werfen sollten
„Meine Bank ruft mich nie an." Falsch – und genau das macht den Betrug möglich. Betrugsabwehr-Abteilungen rufen tatsächlich an, oft von unbekannten Nummern. Die richtige Regel lautet nicht „Meine Bank ruft nicht an", sondern „Ich erledige während eines eingehenden Anrufs grundsätzlich nichts".
„Eine SMS ohne Link ist harmlos." Genau das ist das hier beschriebene Modell. Das Fehlen eines Links ist ein Glaubwürdigkeitsargument, kein Unschuldsbeweis.
„Die Zwei-Faktor-Authentifizierung schützt mich." Die Zwei-Faktor-Authentifizierung schützt vor demjenigen, der Ihre Zugangsdaten stiehlt – nicht vor demjenigen, der Sie freundlich bittet, auf „Bestätigen" zu tippen. Die gesamte Energie der Betrüger richtet sich inzwischen auf genau diesen letzten Handgriff.
Was Sie sich merken sollten
Betrug durch Manipulation bekämpft man nicht mit einem Virenscanner, einem Filter oder einer App. Man bekämpft ihn mit einem auswendig gelernten Satz und einem vernünftigen Überweisungslimit.
Der Satz lautet: „Ich lege jetzt auf und rufe meine Bank unter der Nummer auf der Rückseite meiner Karte zurück." Ruhig ausgesprochen beendet er 100 % aller betrügerischen Anrufe. Kein Betrüger bleibt danach in der Leitung. Und kein echter Berater nimmt daran Anstoß.
Wer tiefer einsteigen möchte: Die öffentlichen französischen Ressourcen sind solide und kostenlos – die Merkblätter von Cybermalveillance.gouv.fr, die Veröffentlichungen des Observatoire de la sécurité des moyens de paiement der Banque de France, die Warnungen der DGCCRF sowie der Dienst 33700, um betrügerische SMS per einfacher Weiterleitung zu melden. Ein praktischer Cybersicherheits-Ratgeber für Privatpersonen in gedruckter Form kann außerdem als Gesprächsgrundlage in der Familie dienen, gerade mit Jugendlichen oder älteren Eltern – rund um ein Buch lässt sich das Thema oft leichter ansprechen als in Form einer direkten Ermahnung.
Und falls Sie bereits etwas bestätigt haben: Verlieren Sie keine Stunde mit Scham. Diese eine Stunde zählt, um eine Überweisung noch zu stoppen.
