Die Nachricht trifft an einem Dienstag um 11:12 Uhr ein:
„Guten Tag Marie, Ihr Paket Nr. FR-4471209 konnte in der Fliederstraße 14 (Geb. B) nicht zugestellt werden. Wählen Sie einen neuen Termin: suivi-relais-colis.net/fr"
Ihr Vorname. Ihre Straße. Ihr Gebäude. Eine Sendungsnummer, die den echten zum Verwechseln ähnlich sieht. An diesem Punkt fragen sich die meisten Menschen nicht mehr „Ist das Betrug?", sondern „Woher wissen die das?".
Genau diese Verschiebung wollen die Betrüger erreichen. Jahrelang war die Betrugs-SMS zur Paketzustellung ein wahllos ausgeworfenes Netz: „Ihr Paket wartet auf Zustellung", verschickt an Millionen von Nummern, in der statistischen Hoffnung, dass einige tatsächlich etwas erwarteten. 2026 ist das kein Netz mehr. Es ist ein gezielter Schuss, gespeist aus ganz realen persönlichen Daten. Und zu verstehen, woher diese stammen, verändert die Verteidigung von Grund auf.
Der Umbruch: von der Massenmail zur dokumentierten Nachricht
Man muss sich den Unterschied klarmachen. Eine generische SMS konvertiert kaum — Schätzungen aus der Betrugsbekämpfung bewegen sich im Bereich weniger Zehntelprozent an Klicks. Eine SMS, die Ihren Namen und Ihre exakte Adresse nennt, lässt diese Quote in die Höhe schnellen, weil sie den einzigen Abwehrreflex aushebelt, den die meisten von uns gelernt haben: „Wenn die Nachricht mich nicht kennt, ist sie gefälscht."
Diese Faustregel war nie ein verlässliches Kriterium. Heute ist sie es noch weniger. Die französische Datenschutzbehörde CNIL (Commission nationale de l'informatique et des libertés) verzeichnet jedes Jahr mehrere Tausend Meldungen von Verletzungen des Schutzes personenbezogener Daten in Frankreich, wobei ein erheblicher Teil Kundendateien mit Name, Postanschrift, E-Mail-Adresse und Mobilnummer betrifft. Diese vier Felder genügen, um eine glaubwürdige Liefer-SMS zu bauen.
Mit anderen Worten: Die Personalisierung beweist gar nichts. Sie beweist nur, dass irgendjemand irgendwo eine Datenbankzeile über Sie besitzt. Was statistisch gesehen inzwischen für nahezu alle erwachsenen Französinnen und Franzosen zutrifft.
Woher kommen diese Daten wirklich? Fünf Kanäle
1. Datenpannen bei Händlern und Transportunternehmen
Das ist die ergiebigste Quelle. Ein E-Commerce-Shop, eine Ticketplattform, eine Baumarktkette, ein Essenslieferdienst: Jeder von ihnen speichert Kundendateien mit genau den benötigten Angaben. Kommt es zu einem Einbruch, wandern diese Dateien am Stück ab.
Die Besonderheit von Transporteuren und Händlern ist perfide: Ihre Daten enthalten den Lieferkontext. Nicht nur Ihre Adresse, sondern auch die Existenz einer Bestellung, ihr Datum, manchmal den Namen der Marke. Das ist es, was die SMS von „Ihrem Paket von Décathlon" sprechen lässt statt von einem vagen „Ihrem Paket".
2. Aggregatoren und Adresshändler
Zwischen Datenpanne und SMS liegt eine ganze Zwischenindustrie. Akteure kaufen, gleichen ab und reichern Datenbanken an: Sie kreuzen eine Datei mit Name + E-Mail mit einer anderen mit E-Mail + Telefonnummer und erhalten einen vollständigen Datensatz. Diese Abgleicharbeit erklärt, warum 2023 gestohlene Daten 2026 eine perfekt aktuelle SMS hervorbringen können: Ihre Adresse hat sich vermutlich nicht geändert.
3. Was Sie selbst veröffentlichen
Eine Verkaufsanzeige mit Angabe des Viertels, eine Google-Bewertung mit Vor- und Nachnamen, ein berufliches Profil mit Wohnort, ein gedankenlos gepostetes Foto des Briefkastens. Für sich genommen ist jedes Element harmlos. Zusammengesetzt ergeben sie ein Profil.
4. Unversehrt entsorgte Paketetiketten
Das ist der am meisten unterschätzte Kanal — und ironischerweise der am leichtesten zu kappende. Ein Versandetikett enthält Ihren vollständigen Namen, Ihre exakte Adresse, oft Ihre Telefonnummer und einen Barcode mit der Sendungsnummer. Unversehrt im Müllraum oder in der Papiertonne entsorgt, ist es für jeden lesbar.
Ein kleiner Aktenvernichter mit Kreuzschnitt neben dem Mülleimer erledigt die Sache in drei Sekunden pro Paket. Notfalls reicht ein einfacher deckender Schwärzungsmarker über dem Etikett vor dem Wegwerfen für den Alltagsgebrauch vollkommen aus.
5. Schlecht geregelte „legale" Direktwerbung
Nicht alle Dateien sind gestohlen. Manche zirkulieren über Einwilligungen, die unter fragwürdigen Bedingungen eingeholt wurden: vorangekreuzte Kästchen, Gewinnspiele, Formulare für ein „kostenloses Angebot". Die Daten werden anschließend an Partner weitergegeben, dann an Partner von Partnern. Beim fünften Weiterverkauf kontrolliert niemand mehr, wer sie nutzt.
Worum es der SMS wirklich geht (und warum es selten um 1,50 € geht)
Das verbreitetste Szenario verlangt einen lächerlichen Betrag: 1,49 €, 2,30 €, „Gebühr für die erneute Zustellung". Dieser Betrag ist nicht das Ziel. Er dient drei Zwecken:
- Eine vollständige Kartennummer zu erlangen, samt Ablaufdatum und Prüfziffer.
- Zu verifizieren, dass die Karte aktiv ist, mithilfe einer Kleinstbuchung, die durchgeht, ohne Verdacht zu erregen.
- Den nächsten Schritt einzuleiten, nämlich den Anruf eines falschen Bankberaters, der Sie einige Tage später bittet, „eine verdächtige Transaktion zu blockieren".
Die Banque de France weist in ihren Arbeiten zum Zahlungsverkehrsbetrug seit mehreren Berichtsjahren auf die Zunahme des sogenannten „Manipulationsbetrugs" hin — jener Fälle, in denen das Opfer die Überweisung selbst ausführt, überzeugt, sich damit zu schützen. Die Liefer-SMS ist oft nur der erste Baustein dieses Gebäudes.
Eine neuere Variante verlangt überhaupt keine Zahlung: Sie bietet an, die „Zustellung neu zu terminieren" über eine zu installierende App. Die App ist Schadsoftware, die eingehende SMS mitliest — also auch die Bestätigungscodes der Bank. Keine Karte eingegeben, keine sichtbare Zahlung — und trotzdem leert sich das Konto.
Die sechs Signale, die die Fälschung verraten, selbst bei guter Datenlage
| Signal | Worauf zu achten ist |
|---|---|
| Die Domain des Links | Der echte Transporteur nutzt seine eigene Domain. laposte.fr, nicht laposte-suivi-fr.co oder lapostefr.info |
| Die Zahlungsaufforderung | Kein französischer Transporteur verlangt per SMS Gebühren für einen zweiten Zustellversuch |
| Die bezifferte Dringlichkeit | „Innerhalb von 24 Std.", „letzte Benachrichtigung vor Rücksendung": Zeitdruck ist ein Warnzeichen |
| Der Antwortweg | Eine echte Sendungsverfolgung prüft man in der App oder auf der Website, niemals über den erhaltenen Link |
| Die Schreibweise der Adresse | Weiterverkaufte Daten sind oft leicht beschädigt: fehlende Akzente, seltsame Abkürzungen |
| Der Absender | Französische Mobilnummer mit 06/07 für eine automatisierte Benachrichtigung: Anomalie |
Der letzte Punkt verdient eine wichtige Einschränkung: Das Fehlen einer Anomalie beweist ebenfalls nichts. Techniken zur Absenderfälschung erlauben es, einen glaubwürdigen Markennamen anzuzeigen. Der einzige wirklich verlässliche Test bleibt dieser: niemals von der Nachricht ausgehen, immer bei der Quelle beginnen. Sie öffnen selbst die App des Transporteurs oder tippen selbst die Adresse der Website in den Browser.
Prüfen, ob Ihre Daten bereits im Umlauf sind
Sie können nicht zurückholen, was durchgesickert ist, aber Sie können herausfinden, wie stark Sie exponiert sind — und Ihre Wachsamkeit entsprechend kalibrieren.
Dienste zur Überprüfung von Datenlecks. Unabhängige Tools erlauben es, eine E-Mail-Adresse einzugeben und die Liste der bekannten Lecks zu erhalten, in denen sie auftaucht. Manche akzeptieren auch die Telefonnummer. Erscheint Ihre Adresse in fünf Vorfällen, gehen Sie davon aus, dass auch Ihr Name und Ihre Postanschrift zirkulieren.
Die Benachrichtigungen Ihrer Bank. Aktivieren Sie Mitteilungen für jede Transaktion, auch für Beträge unter 5 €. Die meisten Institute bieten das kostenlos in den Einstellungen ihrer App an. Das ist der beste Detektor für Test-Kleinstbuchungen.
Das Auskunftsrecht nach DSGVO. Sie können jedes Unternehmen anschreiben und fragen, welche Daten es über Sie hat, woher es sie bezieht und an wen es sie weitergegeben hat. Die Antwort ist binnen eines Monats fällig. Die CNIL stellt auf ihrer Website Musterschreiben bereit. Diese mühsame Übung hat einen nützlichen Nebeneffekt: Sie ermöglicht es, Ihren Datensatz bei Akteuren löschen zu lassen, deren Existenz Sie längst vergessen hatten.
Bloctel und der Werbewiderspruch. Die Eintragung in die Robinsonliste gegen Telefonwerbung stoppt die Betrüger nicht — sie ignorieren das Gesetz per Definition —, aber sie senkt das legale Grundrauschen und macht verdächtige Nachrichten sichtbarer.
Die Angriffsfläche konkret verkleinern
Es gibt keinen Knopf „Meine Daten aus dem Internet löschen". Es gibt aber eine Reihe von Handgriffen, die in Summe die verfügbare Informationsmenge über Sie tatsächlich verringern.
Identitäten trennen. Verwenden Sie eine eigene E-Mail-Adresse für Online-Einkäufe, getrennt von Ihrer Hauptadresse. Mehrere Anbieter bieten Wegwerf-Aliasse an: Beginnt ein Alias, Spam zu empfangen, wissen Sie genau, welcher Händler Ihren Datensatz hat durchsickern lassen.
Eine zweite Nummer erwägen. Eine Prepaid-SIM-Karte für Registrierungen, Lieferungen und Kleinanzeigen schirmt Ihre Hauptnummer ab. An dem Tag, an dem diese Zweitnummer in Betrugs-SMS ertrinkt, ersetzen Sie sie, ohne Kontakte oder Konten zu verlieren.
Weniger Daten herausgeben. Beim Bestellen muss das Feld „Adresszusatz" nicht „3. Stock, Tür links, Code 4512B" enthalten. Die Telefonnummer ist manchmal optional: Wenn ja, lassen Sie sie leer.
Paketshops bevorzugen, wo möglich. Ihre Privatadresse zirkuliert dann gar nicht erst in der Logistikkette.
Physische Belege vernichten. Etiketten, Lieferscheine, Kontoauszüge, Versicherungspost. Ein Aktenvernichter mit Kreuzschnitt ist keine Spielerei: Er ist das einzige Gerät, das den Offline-Teil des Problems abdeckt.
Auf Telefonebene filtern. Aktuelle Mobilbetriebssysteme können unbekannte Absender in einen separaten Reiter sortieren und verdächtige Nachrichten markieren. Unter Android wie unter iOS findet sich diese Option in den Einstellungen der Nachrichten-App. Sie blockiert nicht alles, aber sie nimmt dem Überraschungseffekt die Wucht.
Wenn Sie geklickt haben: der Ablauf der ersten dreißig Minuten
Klicken ist nicht fatal. Daten einzugeben ist es deutlich eher. Hier die Reihenfolge der Prioritäten.
- Nutzen Sie die geöffnete Seite nicht weiter. Schließen Sie den Tab. „Korrigieren" Sie keine Eingabe, versuchen Sie nicht, sich „abzumelden".
- Wurden Bankdaten eingegeben, rufen Sie sofort die Sperrnummer auf der Rückseite Ihrer Karte oder in Ihrer Banking-App an — niemals eine per Nachricht erhaltene Nummer. Lassen Sie die Karte sperren.
- Wurde eine App installiert, schalten Sie mobile Daten und WLAN ab und deinstallieren Sie sie. Bei Zweifeln an einer hartnäckigen Infektion bleibt das Zurücksetzen auf Werkseinstellungen die sicherste Lösung.
- Ändern Sie die Passwörter der Konten, deren Zugangsdaten durchgelaufen sein könnten, beginnend mit dem E-Mail-Postfach. Ein Passwort-Manager verhindert, dass überall dieselbe Kombination verwendet wird, und beschleunigt diesen Schritt erheblich.
- Melden Sie die Nachricht an 33700, die nationale Meldestelle für unerwünschte SMS, indem Sie zuerst den Text und dann die Absendernummer weiterleiten. Das ist kostenlos und unterstützt die Sperrarbeit der Mobilfunkanbieter.
- Melden Sie den Vorfall auf Cybermalveillance.gouv.fr und erstatten Sie bei finanziellem Schaden Anzeige. Für Betrugsfälle ohne bekannten Täter gibt es die Online-Voranzeige.
- Behalten Sie Ihre Kontoauszüge über mehrere Monate im Auge. Gestohlene Daten werden mitunter erst Wochen später genutzt.
Zum Merken: Beim SMS-Betrug steht das französische Recht auf der Seite des Opfers. Artikel L.133-18 des Code monétaire et financier verpflichtet die Bank, eine nicht autorisierte Zahlung zu erstatten, außer bei grober Fahrlässigkeit des Kunden. Gestritten wird genau über diesen Begriff der Fahrlässigkeit — daher ist es wichtig, Beweise aufzubewahren: Screenshots der SMS, Zeitstempel, Schriftwechsel mit der Bank.
Was sich mit KI ändert — und was nicht
Fachredaktionen haben 2026 Kampagnen dokumentiert, die mit künstlicher Intelligenz erzeugte Bilder verwenden: das gefälschte Foto des Pakets, „vor Ihrer Tür abgestellt", passend zum jeweiligen Wohnungstyp. Der Rechtschreibfehler als Betrugsindiz gehört der Vergangenheit an, und auch das Bild ist kein Beweis mehr.
Was sich hingegen nicht ändert, ist die Struktur des Betrugs. Er braucht immer drei Dinge: dass Sie auf einen Link klicken, den er Ihnen liefert, dass Sie etwas Wertvolles eingeben und dass Sie es schnell tun. Streichen Sie eines der drei, und der Angriff scheitert, so ausgefeilt er auch sein mag.
Deshalb beziehen sich belastbare Regeln nicht auf das Aussehen der Nachricht — das wird perfekt werden — sondern auf den eingeschlagenen Weg. Bei der Quelle beginnen. In der App nachsehen. Eine Nummer zurückrufen, die man sich selbst herausgesucht hat. Diese Reflexe funktionieren gegenüber einer fehlerstrotzenden SMS ebenso gut wie gegenüber einer makellosen Nachricht, die Ihre Adresse hausnummerngenau nennt.
Ein Ratgeber zur Cybersicherheit im Alltag, der im Regal steht und gemeinsam in der Familie durchgeblättert wird, ist oft mehr wert als eine quer gelesene Warnmeldung: Es sind die geteilten Gewohnheiten, nicht das individuelle Wissen, die einen Haushalt schützen.
Zum Weiterlesen
- Cybermalveillance.gouv.fr: Merkblätter zu Phishing und Meldung von Vorfällen.
- CNIL: Musterschreiben zur Ausübung Ihrer Rechte auf Auskunft, Berichtigung und Löschung.
- 33700: kostenlose Meldung unerwünschter SMS und Anrufe, betrieben zusammen mit den französischen Mobilfunkanbietern.
- Banque de France / Observatoire de la sécurité des moyens de paiement: Jahresberichte zum Betrug, hilfreich zum Verständnis der Trends.
- Signal Conso (DGCCRF): zur Meldung eines Händlers oder einer zweifelhaften Geschäftspraxis.
Die SMS, die Ihren Namen kennt, ist kein Zeichen dafür, dass Sie persönlich ins Visier genommen wurden. Sie ist ein Zeichen dafür, dass Ihre Kontaktdaten in einer Datei unter Millionen anderer stehen. Die gute Nachricht, wenn man so will: Diese Banalität betrifft Sie genauso wie Ihre Nachbarn — und die Schutzmaßnahmen bleiben für jeden machbar.
