Es ist Freitag, 17:40 Uhr. Sie räumen Ihren Schreibtisch auf. Das Handy vibriert, eine unbekannte Nummer, eine kurze Nachricht:
„Guten Tag, hier ist Laurent. Ich sitze in einer Besprechung und kann nicht ans Telefon gehen. Ich brauche Sie für einen vertraulichen Vorgang – sind Sie verfügbar?"
Laurent, so heißt Ihr Geschäftsführer. Die Nachricht ist höflich, fehlerfrei, ohne Link, ohne Anhang. Sie verlangt nichts – noch nicht. Sie fragt nur, ob Sie da sind. Und genau weil sie nichts verlangt, antworten die meisten Menschen mit „ja".
Smishing gegen Unternehmen galt lange als Problem der IT-Abteilung, zu lösen mit Filtern auf dem dienstlichen E-Mail-Konto. 2026 hat es sich einen anderen Eingang gesucht: das Mobiltelefon der Beschäftigten – ein Terrain, auf dem der Arbeitgeber nichts filtert, auf dem es keine Sicherheitswarnungen gibt und auf dem die Nachricht mitten zwischen den SMS des Zahnarztes und der Schule landet.
Warum das Handy zum gewählten Schwachpunkt geworden ist
Ein Unternehmen, selbst ein kleines, schützt seine Postfächer recht ordentlich. Spamfilter, Banner „Externer Absender", Blockade ausführbarer Anhänge, Mehr-Faktor-Authentifizierung: Eine betrügerische E-Mail hat gute Chancen, aussortiert oder markiert zu werden, bevor sie gelesen wird.
Die dienstliche SMS dagegen existiert kaum als geregelter Kanal. In der überwiegenden Mehrheit der Betriebe laufen dringende interne Absprachen über das private Handy oder über ein nicht überwachtes Diensthandy. Das Ergebnis:
- Keinerlei Filterung, wie sie beim E-Mail-Verkehr selbstverständlich ist.
- Kein Hinweisbanner für externe oder ungewöhnliche Absender.
- Ein schmaler Bildschirm, auf dem man schnell liest, oft im Stehen, oft im Gehen.
- Eine soziale Norm der Kürze: Eine SMS aus drei Zeilen ohne Grußformel irritiert niemanden, während eine gleichlautende E-Mail verdächtig wirken würde.
Hinzu kommt die massenhafte Verfügbarkeit betrieblicher Informationen. Ein Betrüger muss längst nichts mehr infiltrieren: Öffentliche Organigramme, berufliche Netzwerke, Pressemitteilungen, Impressumsangaben und Stellenanzeigen reichen aus, um zu rekonstruieren, wer leitet, wer die Gehaltsabrechnung macht, wer Überweisungen freigibt und wer gerade neu im Team ist. Der Neuzugang ist übrigens ein statistisch bevorzugtes Ziel: Er kennt die Gepflogenheiten des Hauses noch nicht und wird kaum wagen, Nein zu sagen.
Die vier Szenarien, die am häufigsten vorkommen
1. Der Chef-Betrug, SMS-Variante
Das ist das eingangs beschriebene Szenario. Es beginnt nie mit einer Geldforderung. Es beginnt mit einer harmlosen Kontaktaufnahme – „sind Sie verfügbar?", „ich habe eine neue Nummer, speichern Sie diese" – deren einziger Zweck es ist, eine erste Antwort zu bekommen. Diese Antwort kippt die Beziehung: Sobald Sie „ja, ich höre" geschrieben haben, befinden Sie sich in einem Gespräch, und ein Gespräch erzeugt die stillschweigende Verpflichtung, weiter zu antworten.
Was dann folgt, ist selten eine direkte Überweisung. Es nimmt oft unauffälligere Wege: Kauf digitaler Geschenkgutscheine „für einen Kunden", dringender Versand eines eingescannten Dokuments, Weitergabe einer Kontaktliste oder Freigabe einer Zahlung, die „die Kanzlei bereits vorbereitet hat".
Die französische Polizei und die staatliche Plattform Cybermalveillance.gouv.fr dokumentieren diese Betrugsfamilie – den sogenannten „gefälschten Überweisungsauftrag" – seit mehreren Jahren. Die mobile Variante ist nur die Anpassung an den schnellsten Kanal.
2. Der falsche IT-Support
Hier ahmt die Nachricht ein Ticket oder eine technische Warnung nach:
„[IT] Ihre Microsoft-Sitzung läuft heute ab. Melden Sie sich erneut an, um die Sperrung Ihres Kontos zu vermeiden: …"
Dieses Szenario zielt auf das Passwort und vor allem auf den Einmal-Bestätigungscode. Seine 2026 wirksamste Variante kombiniert SMS und Anruf: Zuerst erhalten Sie die Nachricht, dann erklärt Ihnen ein sehr ruhiger Gesprächspartner, er „bearbeite das Ticket", und bittet Sie, ihm den soeben erhaltenen Code vorzulesen. Diesen Code hat der Betrüger selbst ausgelöst, als er versuchte, sich in Ihr Firmenkonto einzuloggen.
3. Die geänderte Bankverbindung
Die buchhalterische Version des Betrugs. Eine Nachricht gibt sich als bekannter Lieferant aus und kündigt eine neue Bankverbindung an, mitunter mit einer korrekten Rechnungsnummer – erlangt bei einem früheren Angriff auf das Postfach des echten Lieferanten. Die SMS dient als Erinnerung oder Bestätigung einer betrügerischen E-Mail: Dieselbe Information über zwei verschiedene Kanäle zu erhalten, erzeugt einen ausgesprochen wirksamen Eindruck von Stimmigkeit.
4. Die gefälschte HR-Nachricht
„Pflichtaktualisierung Ihrer Personalakte bis zum 15.09.: Bescheinigung, Bankverbindung und Ausweisdokument hier hochladen."
Diese Kampagne richtet sich direkt gegen die Beschäftigten, nicht gegen das Unternehmen. Ziel ist es, eine vollständige Identität zu sammeln: Nachweisdokument, Bankverbindung, Sozialversicherungsnummer. Genug, um Konsumkredite aufzunehmen, eine Erstattung umzuleiten oder einen Identitätsdiebstahl vorzubereiten, der Monate später zutage tritt.
Was diese Nachrichten 2026 so schwer erkennbar macht
Drei Entwicklungen haben die gewohnten Anhaltspunkte zunichtegemacht.
Die Sprachqualität. Rechtschreibfehler und holprige Übersetzungen sind kein verlässliches Indiz mehr. Die Texte sind heute flüssig, korrekt interpunktiert und an das Vokabular der jeweiligen Branche angepasst.
Die angezeigte Nummer. Das Fälschen der Absenderkennung erlaubt es, statt einer Nummer einen Namen erscheinen zu lassen – manchmal sogar innerhalb des Chatverlaufs eines bestehenden Kontakts. Die Arcep und die Fédération française des télécoms haben die Einführung des Verfahrens zur Authentifizierung von Rufnummern – des „MAN" – unterstützt, das dieses Phänomen bei Anrufen eindämmt; das Ökosystem alphanumerischer Absender bleibt jedoch unvollkommen abgedichtet.
Die Kenntnis des Kontexts. Der Betrüger nennt einen echten Projektnamen, eine echte Frist, einen echten Kundennamen. Diese Information stammt selten aus einem Hackerangriff: Sie stammt aus den Veröffentlichungen des Unternehmens selbst.
Der richtige Reflex lautet nicht mehr „Ist diese Nachricht glaubwürdig?", sondern „Ist diese Anfrage über diesen Kanal normal?". Ein Geschäftsführer, der einen Finanzvorgang per SMS anfordert, ist unnormal – auch wenn alles andere perfekt wirkt.
Die eine Regel, die am besten schützt: der Rückruf über einen von Ihnen gewählten Kanal
Sämtliche Empfehlungen lassen sich in einem Satz zusammenfassen: Man überprüft eine Anfrage niemals über die Kontaktdaten, die in der Anfrage selbst stehen.
Konkret:
- Antworten Sie nicht auf die SMS, auch nicht mit „Wer sind Sie?". Jede Antwort bestätigt, dass die Nummer aktiv ist und dass Sie mitlesen.
- Rufen Sie die Person unter der Nummer zurück, die Sie bereits in Ihrem Adressbuch haben, oder über das interne Verzeichnis – oder stecken Sie einfach den Kopf ins Nachbarbüro.
- Geht es um Geld, wenden Sie das Vier-Augen-Prinzip an: zwei Personen, zwei verschiedene Kanäle, keine Ausnahme wegen Dringlichkeit.
- Melden Sie die Nachricht an die 33700, den französischen Meldedienst für unerwünschte SMS, und leiten Sie sie an Ihre IT-Verantwortlichen oder die Geschäftsleitung weiter.
- Bewahren Sie einen datierten Screenshot auf: Er wird gebraucht, falls Anzeige erstattet werden muss.
Zeitdruck ist das einzige wirklich unverzichtbare Werkzeug des Betrügers. Ein Betrüger, der sein Opfer nicht drängen kann, hat kein Szenario mehr. Deshalb ist die wirksamste Abwehr in einem Unternehmen nicht technischer, sondern kultureller Natur: ausdrücklich festzulegen, dass keine dringende Anfrage jemals in weniger als einer Stunde bearbeitet werden muss – und dass niemandem jemals ein Vorwurf daraus gemacht wird, nachgefragt zu haben.
Berufliches und Privates trennen, ohne sich das Leben schwer zu machen
Ein Teil des Problems entsteht durch die Vermischung der Nutzung. Wenn dasselbe Telefon die SMS der Bank, die der Kita und die der Arbeit empfängt, sieht alles gleich aus und nichts wird überprüft.
Mehrere einfache Lösungen gibt es, ganz ohne aufwendige Unternehmensrichtlinie:
- Die zweite Nummer. Ein Dual-SIM-Telefon oder eine zweite, dem Beruf gewidmete eSIM ermöglicht klare Trennung. Eine dienstliche Nachricht, die auf der privaten Leitung eintrifft, wird sofort verdächtig – ein kostenloses und sehr zuverlässiges Warnsignal.
- Das Arbeitsprofil. Android bietet einen separaten Arbeitsbereich, iOS erlaubt getrennte Fokusmodi. Dienstliche Benachrichtigungen erscheinen abends nicht mehr, was das Angriffsfenster für Nachrichten außerhalb der Geschäftszeiten automatisch verkleinert.
- Das gepflegte Adressbuch. Ein vollständiges, sorgfältig gepflegtes Verzeichnis, möglichst mit Foto, macht aus einer unbekannten Nummer ein Alarmsignal. Das ist die günstigste und zugleich am meisten vernachlässigte Maßnahme.
Für Beschäftigte, die mit sensiblen Zugängen arbeiten – Buchhaltung, Lohnabrechnung, Systemadministration –, verändert der Ersatz des per SMS empfangenen Codes durch einen physischen FIDO2-Sicherheitsschlüssel die Natur des Risikos: Ein Code kann einem Betrüger am Telefon vorgelesen werden, ein physischer Schlüssel nicht. Das ist derzeit der einzige Schutz, der dem Szenario „der falsche IT-Support ruft an" standhält.
Im selben Sinne verhindert ein Passwortmanager, dass dieselben Zugangsdaten bei einem kompromittierten privaten Dienst und einem beruflichen Zugang mehrfach verwendet werden. Und auf Laptops, die im Großraumbüro, im Zug oder im Coworking genutzt werden, verhindert eine Blickschutzfolie für den Bildschirm das Mitlesen von der Seite – die am besten organisierten Betrüger sammeln Informationen auch offline.
Was der französische Rechtsrahmen sagt
Drei Punkte sollte jede Beschäftigte und jeder Beschäftigte kennen.
Das private Handy darf nicht überwacht werden. Wenn Sie Ihr eigenes Telefon für die Arbeit nutzen, darf der Arbeitgeber darauf kein Kontrollwerkzeug installieren – jedenfalls nicht ohne strengen Rahmen und vorherige Information. Die CNIL weist regelmäßig darauf hin, dass Sicherheitsvorkehrungen auf privaten Geräten Transparenz, Verhältnismäßigkeit und die Anhörung der Arbeitnehmervertretungen voraussetzen. Ein Smishing-Opfer muss also keine Durchsuchung seines privaten Telefons befürchten.
Eine Meldung ist kein Fehlverhalten. Viele Beschäftigte schweigen, nachdem sie geklickt haben – aus Scham oder aus Angst vor Sanktionen. Das ist das denkbar schlechteste Szenario: Die Zeitspanne zwischen Klick und Meldung ist die Variable, die das Ausmaß des Schadens bestimmt. Ein Unternehmen, das Meldungen sanktioniert, sorgt schlicht dafür, künftig nicht mehr informiert zu werden.
Die Erstattung durch die Bank hängt vom Kanal ab. Das französische Währungs- und Finanzgesetzbuch sieht die Erstattung nicht autorisierter Zahlungsvorgänge vor; ein Vorgang, den das Opfer jedoch selbst in seiner App bestätigt hat, fällt unter ein anderes Regime – das der groben Fahrlässigkeit, die im Einzelfall beurteilt wird. Die Rechtsprechung der Cour de cassation hat mehrfach anerkannt, dass die Raffinesse des Vorgehens – insbesondere das Fälschen der Rufnummer der Bank – eine grobe Fahrlässigkeit ausschließen kann. Mit anderen Worten: Die Qualität der Nachahmung spricht für das Opfer – vorausgesetzt, sie lässt sich belegen.
Ein einfacher Plan zum Aushängen im Betrieb
| Situation | Sofortiger Reflex | Unbedingt vermeiden |
|---|---|---|
| SMS eines Vorgesetzten von unbekannter Nummer | Über die Nummer aus dem internen Verzeichnis zurückrufen | Mit „ja" oder „sind Sie das?" antworten |
| Aufforderung, einen per SMS erhaltenen Code zu nennen | Auflegen, ohne Ausnahme | Den Code diktieren, auch einem „Techniker" |
| Per Nachricht angekündigte neue Bankverbindung | Den Lieferanten unter der Nummer einer alten Rechnung anrufen | Allein aufgrund der Nachricht freigeben |
| Link zu einem HR- oder IT-Portal | Das Portal über ein vorhandenes Lesezeichen öffnen | Aus der SMS heraus klicken |
| Nachricht bereits angeklickt | Innerhalb einer Stunde die IT informieren, Passwort ändern | Abwarten, ob es Folgen hat |
Für Betriebe ohne eigene IT-Abteilung bewirkt ein praktischer Leitfaden zur Cybersicherheit für Klein- und Mittelbetriebe in gedruckter Form, der im Pausenraum ausliegt, oft mehr als ein Rundschreiben: Er schafft ein gemeinsames Vokabular und macht es legitim, Fragen zu stellen.
Der Kern des Problems
Smishing im Unternehmensumfeld beruht auf keiner technischen Meisterleistung. Es beruht auf einer Arbeitsorganisation, in der Dringlichkeit hoch im Kurs steht, in der das private Handy dienstliche Kommunikationsflüsse aufsaugt und in der „ich prüfe das kurz" noch immer als mangelnde Reaktionsschnelligkeit gilt.
Die Kampagnen von 2026 nutzen diese Grauzone mit erschreckender Effizienz, weil sie keine Systeme angreifen, sondern Gewohnheiten. Die gute Nachricht: Gewohnheiten ändern sich schneller als eine Infrastruktur. Gemeinsam zu beschließen, dass keine Finanzanfrage per SMS bearbeitet wird, genügt, um eine ganze Familie von Betrugsmaschen wirkungslos zu machen.
Und wenn eine Nachricht Sie bereits ins Zweifeln gebracht hat, merken Sie sich diese Regel: Ein echter Geschäftsführer, ein echter Lieferant, ein echter IT-Support werden immer Verständnis dafür haben, dass Sie sich fünf Minuten Zeit zum Nachprüfen genommen haben. Ein Betrüger nie.
Nützliche Anlaufstellen: Meldung betrügerischer SMS an die 33700; Plattform Cybermalveillance.gouv.fr für Diagnose und Unterstützung; Verfahren Perceval (service-public.fr) bei betrügerischer Nutzung von Bankkarten; Info Escroqueries unter 0 805 805 817 (kostenloser Anruf).
