„Papa, ich habe Mist gebaut."
Théo ist 14. Er bekam eine SMS, in der stand, er sei ausgelost worden und erhalte 5.000 Einheiten Spielwährung für sein Lieblingsspiel. Ein Link, ein Formular, sein Benutzername, sein Passwort, dann ein sechsstelliger Code, der ihm per SMS zugeschickt wurde und den er „bestätigen" sollte. Vierzig Minuten später wurde sein Konto – drei Jahre Spielfortschritt und 400 € an Käufen – in einem Forum weiterverkauft. Und weil er dasselbe Passwort für seine E-Mail-Adresse benutzte, machte der Betrüger direkt weiter.
Seine Eltern erfuhren davon, weil er es ihnen schließlich erzählte. Viele Jugendliche tun das nicht. Genau auf diesem Schweigen beruhen die meisten Betrugsmaschen, die auf sie zielen.
Warum Jugendliche eine ganz eigene Zielgruppe sind
Man nimmt oft an, junge Menschen, „mit dem Handy in der Hand geboren", seien von Natur aus immun. Die Meldungen bei der Plattform 33700 und die Fälle, die Cybermalveillance.gouv.fr bearbeitet, erzählen das Gegenteil: Ihre technische Souveränität schützt sie nicht, sie macht sie auf andere Weise angreifbar.
Vier Faktoren spielen eine Rolle.
Die Antwortgeschwindigkeit. Ein Erwachsener lässt eine verdächtige SMS eine Stunde liegen. Ein Jugendlicher antwortet in weniger als zwei Minuten, oft ohne die gerade genutzte App zu verlassen. Die Bedenkzeit, die beste Verteidigung gegen Smishing, fällt weg.
Der reale Wert von Gaming-Konten. Ein gut ausgestattetes Fortnite-, Roblox- oder Steam-Konto erzielt auf Parallelmärkten zwischen 50 und mehreren Hundert Euro. Der Betrüger braucht keine Kreditkarte: Das Konto ist die Ware.
Die Scham. Das ist der entscheidende Hebel. Ein Jugendlicher, der in eine Erpressung mit intimen Fotos gerät oder das von den Eltern bezahlte Konto verloren hat, rechnet zuerst aus, wie hoch das Risiko ist, dass ihm das Handy weggenommen wird. Er zahlt, er verhandelt, er schweigt.
Geringe Berührung mit Präventionskampagnen. Behördliche Warnungen vor Bankbetrug oder gefälschten Steuer-SMS betreffen sie nicht. Niemand hat ihnen erklärt, wie ein auf sie zugeschnittenes Smishing aussieht.
Die sechs häufigsten Szenarien
1. Das gefälschte Geschenk an Spielwährung
Der große Klassiker. „Glückwunsch, dein Konto wurde ausgewählt", „kostenloser Generator", „gratis Creator-Code". Der Link führt zu einer ziemlich gelungenen Kopie der offiziellen Login-Seite. Das Opfer gibt seine Zugangsdaten ein; anschließend verlangt die Seite den per SMS erhaltenen Einmal-Bestätigungscode, angeblich zur „Freigabe der Lieferung". In Wahrheit ist es der Zwei-Faktor-Code, den die echte Plattform gerade verschickt hat, weil der Betrüger sich einloggt.
Das Signal, das man sich merken sollte: Kein Spieleanbieter verschenkt Spielwährung per SMS, und keiner verlangt jemals einen per SMS erhaltenen Code auf einer anderen Website als der eigenen.
2. Der erfundene Nebenjob
„Hallo, wir suchen Leute zum Testen von Apps, 40 € pro Aufgabe, 15 Minuten am Tag." Diese Kampagnen richten sich vorrangig an 16- bis 22-Jährige, oft in den Schulferien. Zwei Varianten:
- Der Task Scam: Die ersten „Aufträge" bringen tatsächlich 5 oder 10 €, schnell ausgezahlt. Dann wird eine Einzahlung verlangt, um die „Premium-Aufgaben freizuschalten". Das Geld kommt nie zurück.
- Der Finanzagent (Money Mule): Dem Jugendlichen wird angeboten, eine Überweisung auf seinem Konto zu empfangen, 10 % zu behalten und den Rest in bar oder in Kryptowährung weiterzuleiten. Das ist Geldwäsche. Der Minderjährige oder junge Erwachsene ist rechtlich verantwortlich und riskiert ein Kontoführungsverbot, ein Strafverfahren und die Kündigung seines Kontos. Die Fédération bancaire française warnt regelmäßig an Gymnasien vor dieser Entwicklung.
3. Die Sextortion
Das Szenario ist brutal. Ein freundlicher Erstkontakt in einem sozialen Netzwerk, ein schneller Wechsel zu SMS oder einem Messenger, ein Bildaustausch, dann die Erpressung: „Schick 200 € in Gutscheinkarten, sonst schicke ich alles an deine Kontaktliste." Manchmal zeigen die Täter Screenshots der Freundesliste, um ihre Schadensmacht zu beweisen.
Die eiserne Regel, die der Verein e-Enfance und seine Nummer 3018 unermüdlich wiederholen: niemals zahlen, nichts löschen, alles sichern und mit einem Erwachsenen sprechen. Zahlen eröffnet nur eine zweite Forderungsrunde. Die 3018 verfügt über ein beschleunigtes Meldeverfahren bei den Plattformen, um Inhalte rasch entfernen zu lassen.
4. Das gekaperte Messenger-Konto
„Hey, ich bin's, ich mache bei einem Wettbewerb mit, kannst du für mich abstimmen?" Die Nachricht kommt tatsächlich vom Konto eines Freundes – weil dieser Freund vorher hereingefallen ist. Der Link greift die Zugangsdaten ab, und der Kreislauf beginnt von vorn mit dessen eigener Kontaktliste. Das ist der wirksamste Verbreitungsmechanismus: Das Vertrauen ist bereits vorinstalliert.
5. Das falsche Streaming-Abo oder die erfundene Plattform-Gebühr
Seltener, aber zunehmend: „Dein Abo wurde gesperrt, gleiche 1,99 € aus." Der lächerlich kleine Betrag entwaffnet das Misstrauen. Das Ziel sind nicht die 1,99 €, sondern die Kreditkartennummer – oft die eines Elternteils, im Handy hinterlegt.
6. Die SMS „falsche Nummer"
Eine harmlose Nachricht, eine Unterhaltung, die sich über mehrere Tage aufbaut, dann ein Angebot zur Krypto-Investition. Dieses Szenario, bekannt als Pig Butchering, zielte anfangs nur auf Erwachsene. Inzwischen wandert es zu den 17- bis 20-Jährigen, mit Renditeversprechen, die auf kleine Beträge zugeschnitten sind.
Woher haben die Betrüger die Nummer eines Schülers?
Diese Frage stellen Eltern immer wieder. Die Quellen sind banal.
| Herkunft | Mechanismus |
|---|---|
| Datenlecks bei Gaming-Plattformen oder Apps | Nummern werden paketweise in Foren verkauft |
| Teilnahme an Gewinnspielen, Quiz, „Persönlichkeitstests" | Einwilligung versteckt in den AGB |
| Weiterverkaufte Verteilerlisten | Sammelkauf bei Datenhändlern |
| Zufallsnummern | Automatische Erzeugung französischer Mobilfunk-Nummernblöcke |
| Kontakte aus einem gehackten Konto | Das Adressbuch eines Mitschülers |
Mit anderen Worten: Eine Betrugs-SMS zu bekommen bedeutet nicht, dass der Jugendliche „Mist gebaut" hat. Das ist ein wichtiger Satz für zu Hause, denn vorweggenommene Schuldgefühle sind genau das, was Jugendliche davon abhält, darüber zu sprechen.
Was wirklich schützt – nach Wirksamkeit sortiert
Zwei-Faktor-Authentifizierung per App, nicht per SMS
Das ist die lohnendste Maßnahme. Bei Gaming-Konten, sozialen Netzwerken und der E-Mail-Adresse die Zwei-Faktor-Authentifizierung über eine eigene App aktivieren (Google Authenticator, Authy oder die App der Plattform) statt über SMS. Ein per SMS verschickter Code lässt sich durch Social Engineering oder SIM-Swapping abgreifen; ein lokal erzeugter Code deutlich schwerer.
Für die sensibelsten Konten eines jungen Erwachsenen – Haupt-Mailadresse, Bank – macht ein physischer Sicherheitsschlüssel nach FIDO2-Standard Phishing praktisch wirkungslos: Der Schlüssel verweigert die Authentifizierung auf einer gefälschten Domain, selbst wenn der Nutzer ihr glaubt.
Passwörter, die nicht recycelt werden
Der eigentliche Schaden in Théos Geschichte ist nicht der Verlust des Spielkontos, sondern das wiederverwendete Passwort der E-Mail-Adresse. Einen Passwort-Manager auf dem Handy des Jugendlichen zu installieren und gemeinsam einzurichten, dauert zwanzig Minuten und eliminiert eine ganze Risikokategorie. CNIL und ANSSI empfehlen diesen Ansatz beide in ihren Ratgebern für Verbraucher.
Die eingebauten Filter des Telefons
Android und iOS können mittlerweile unbekannte Absender aussortieren und verdächtige Nachrichten kennzeichnen – Google hat 2026 seine SMS-Betrugserkennung zudem auf den französischen Markt ausgeweitet. Auf dem iPhone: Einstellungen → Nachrichten → Unbekannte Absender filtern. In Android Messages: der Spamschutz in den Einstellungen. Unfehlbar ist das nicht, aber es hält einen großen Teil des Rauschens aus dem Blickfeld.
Der 33700-Reflex
Die verdächtige SMS kostenlos an die 33700 weiterleiten (offizieller Meldedienst für SMS-Spam, betrieben von der Association française du multimédia mobile gemeinsam mit den Mobilfunkanbietern). Der Dienst fragt nach der Absendernummer, die man anschließend einfach nachschickt. Diesen Ablauf einmal gemeinsam mit dem eigenen Teenager durchzugehen, wirkt mehr als jede Ansprache: Es verwandelt eine beunruhigende Nachricht in eine konkrete Handlung.
Für Inhalte, die Minderjährige betreffen: 3018 (e-Enfance, kostenlos, 7 Tage die Woche) und die Plattform PHAROS des französischen Innenministeriums für illegale Inhalte.
Technik, wo sie sinnvoll ist
Einige Geräte verändern die Lage, ohne das Zuhause in eine Kontrollstelle zu verwandeln. Ein Router mit integrierter Kindersicherung erlaubt Zeitfenster und DNS-Filterung für den gesamten Haushalt, ganz ohne Überwachungs-App auf dem Handy des Kindes. Für die Jüngeren bleibt ein vereinfachtes Mobiltelefon ohne Internetbrowser ein vernünftiger Zwischenschritt vor dem vollwertigen Smartphone. Und für Familien, die das Thema anders als über eine Verbotsliste angehen wollen, öffnet ein Präventionsbuch über die digitale Mediennutzung von Jugendlichen oft Gespräche, die mündliche Ratschläge nicht auslösen.
Wie man darüber spricht, ohne Schweigen zu erzeugen
Das ist der schwierigste und zugleich entscheidendste Teil.
Die Regel vor dem Vorfall aussprechen. Der Satz, den man einmal ruhig setzen sollte: „Was auch passiert – wenn du reinfällst, verlierst du dein Handy nicht, weil du zu mir gekommen bist." Diese ausdrückliche Zusage macht den Unterschied zwischen einem Opfer, das nach einer Stunde spricht, und einem, das drei Wochen lang zahlt.
Fälle erzählen, keine Regeln. „Klick nicht auf Links" bewirkt nichts. „Ein Junge aus deiner Klasse hat sein Konto verloren, weil er den sechsstelligen Code aus der SMS weitergegeben hat" erzeugt einen Reflex.
Ein einziges, merkbares Kriterium mitgeben. Das wirksamste: Einen per SMS erhaltenen Code gibt man niemals weiter, an niemanden, nie – auch nicht an jemanden, der behauptet, der offizielle Support zu sein. Ein einziges, fest verankertes Kriterium ist mehr wert als zehn vergessene Ratschläge.
Die Überprüfung nicht monopolisieren. Dem Jugendlichen beibringen, selbst die offizielle App zu öffnen, statt auf den Link zu klicken. Das ist eine Kompetenz, keine Überwachung.
Was in der ersten Stunde nach der Falle zu tun ist
Drei Schritte in dieser Reihenfolge, ohne Diskussion: Zugang kappen, dokumentieren, melden.
- Das Passwort ändern – für das betroffene Konto und für alle Konten, die dasselbe Passwort nutzten. Wenn möglich von einem anderen Gerät aus.
- Alle aktiven Sitzungen beenden in den Sicherheitseinstellungen des Kontos.
- Screenshots machen: von den Nachrichten, der Absendernummer, der URL des Links – vor jeder Löschung. Das sind die Beweisstücke für eine spätere Anzeige.
- Sofort die Bank informieren, falls Bankdaten im Umlauf sind: Karte sperren lassen und Blockierung beantragen. Der Anspruch auf Erstattung nicht autorisierter Zahlungen ist im französischen Geld- und Finanzgesetzbuch geregelt (Artikel L133-18 ff.) – vorausgesetzt, man meldet schnell.
- Melden: 33700 für die SMS, 3018 wenn ein Minderjähriger betroffen ist, PHAROS für illegale Inhalte, und Anzeige bei der Polizei oder über die Online-Voranzeige.
- Die Kontakte warnen, falls das Konto zur Weiterverbreitung der Nachricht diente: Ein schlichtes „Mein Konto wurde gehackt, klickt nicht drauf" unterbricht die Kette.
Der blinde Fleck: Konten, die vor dem 15. Geburtstag eröffnet wurden
Seit dem französischen Gesetz vom 7. Juli 2023 zur digitalen Volljährigkeit setzt die Anmeldung Minderjähriger unter 15 Jahren in einem sozialen Netzwerk grundsätzlich die Zustimmung der Sorgeberechtigten voraus. In der Praxis bleibt die Prüfung weitgehend eine Selbstauskunft. Das Ergebnis: Viele Jugendliche haben Konten, von deren Existenz ihre Eltern nichts wissen – verknüpft mit einer Handynummer und einer E-Mail-Adresse, die manchmal eigens dafür angelegt wurde.
Das löst man nicht durch eine Durchsuchung, sondern durch eine gemeinsame Bestandsaufnahme, einmal im Jahr, mit einer einfachen Liste: Welche Konten gibt es, welche E-Mail ist hinterlegt, bei welchem ist die Zwei-Faktor-Authentifizierung aktiv. Die Übung dauert eine halbe Stunde und fördert fast immer zwei oder drei vergessene, noch aktive Konten mit einem alten Passwort zutage.
Was man sich merken sollte
Die Betrugs-SMS an Jugendliche sind keine abgeschwächten Varianten derer an Erwachsene. Sie spielen auf anderen Klaviaturen: dem Wert eines Gaming-Kontos, der Lust auf schnelles Geld, der Angst vor dem Urteil der anderen, der Reaktionsgeschwindigkeit.
Technischer Schutz zählt – Zwei-Faktor-Authentifizierung ohne SMS, einmalige Passwörter, Filterung unbekannter Absender. Doch er wirkt nur, solange der Gesprächskanal offen bleibt. Ein Jugendlicher, der weiß, dass er mit „Ich habe Mist gebaut" ankommen kann, ohne sein Handy zu verlieren, meldet innerhalb einer Stunde, was die Scham sonst einen Monat lang verlängert hätte.
Das ist mit großem Abstand die wirksamste Sicherheitsmaßnahme im Haushalt.
