„Ich habe geklickt. Ich habe meine Kartendaten eingegeben. Und danach habe ich abgewartet, was passiert."
Dieser Satz taucht in Opferberichten am häufigsten auf – und er beschreibt genau das, was man nicht tun sollte. Bei einem SMS-Betrug ist der Klick fast nie der entscheidende Moment. Entscheidend sind die Stunden danach: die Stunden, in denen das Geld noch unterwegs ist, in denen die Spuren noch existieren, in denen die Bank noch keine Sperranweisung erhalten hat und in denen die Screenshots, die vor einem Polizeischalter den Unterschied machen, noch auf dem Handy sind.
Nach drei Tagen wird alles schwieriger. Die Transaktion ist abgebucht, die betrügerische URL ist abgeschaltet, die Absendernummer ist recycelt – und das Opfer muss beweisen, was achtundvierzig Stunden zuvor einfach auf dem Bildschirm zu sehen war.
Hier ist der reale Ablauf der 72 Stunden nach einer betrügerischen SMS, mit allem, was in jeder Phase auf dem Spiel steht.
Stunde 0 bis 1: den Hahn zudrehen, bevor man versteht
Der erste Reflex ist nicht, zu verstehen, sondern den Geldfluss zu stoppen. Verstehen dauert Stunden; eine betrügerische Überweisung braucht manchmal keine zehn Minuten.
Wenn Bankdaten eingegeben wurden, muss sofort eine Sperre veranlasst werden – über die Banking-App (die meisten bieten die Kartensperre inzwischen mit zwei Klicks an) und anschließend telefonisch beim rund um die Uhr erreichbaren Sperr-Service der Bank. Als letzter Ausweg funktioniert der interbankarische Karten-Sperrserver unter 0 892 705 705 für alle französischen Banken.
Wenn ein per SMS erhaltener Code weitergegeben wurde, ist das gravierender als das bloße Abfließen einer Kartennummer: Der Einmalcode ist genau das, was eine Transaktion gegenüber der Bank bestätigt. Das muss der Beraterin oder dem Berater ausdrücklich mitgeteilt werden, denn es verändert die Einstufung des Vorfalls.
Wenn Online-Banking-Zugangsdaten eingegeben wurden, muss das Passwort von einem anderen Gerät aus geändert und die vorübergehende Sperrung des Online-Zugangs beantragt werden.
Wenn nichts eingegeben, aber der Link geöffnet wurde, besteht zwar ein Risiko, es bleibt jedoch geringer: Auf einem aktuellen Smartphone reicht der bloße Aufruf einer Seite nicht aus, um das Gerät zu kompromittieren. Die Gefahr geht von App-Installationen außerhalb des offiziellen Stores aus – wurde eine Installation zugelassen, muss sie unverzüglich entfernt und das Gerät überprüft werden.
Einfache Regel: Erst sperren, dann nachdenken. Keine Bank wird eine aus übertriebener Vorsicht veranlasste Sperre zum Vorwurf machen.
Stunde 1 bis 3: die Beweismappe anlegen, solange es sie noch gibt
Das ist der Schritt, den fast alle überspringen – und derjenige, der über die Erstattung entscheidet. Wer mit einem Satz auf der Polizeiwache erscheint („Ich habe eine SMS von meiner Bank bekommen"), hat keinen Fall. Wer mit sieben Screenshots samt Zeitstempel kommt, hat einen.
Was gesichert werden sollte, in dieser Reihenfolge:
| Element | Warum es nützlich ist |
|---|---|
| Die vollständige SMS mit angezeigtem Absender | Belegt das Spoofing oder die verwendete Nummer |
| Der gesamte Nachrichtenverlauf, nach oben gescrollt | Zeigt, ob sich die falsche Nachricht zwischen echte Nachrichten eingereiht hat |
| Die exakte URL des Links (langes Tippen → kopieren) | Identifiziert die betrügerische Domain vor ihrer Abschaltung |
| Die betrügerische Webseite, falls noch erreichbar | Beweis der Markenimitation |
| Die erhaltenen Bank-Benachrichtigungen | Datiert die beanstandeten Transaktionen |
| Der Kontoauszug mit der Abbuchung | Grundlage des Erstattungsantrags |
| Die Anrufliste, falls ein falscher Berater angerufen hat | Belegt den gesamten Ablauf |
Zwei technische Hinweise, die zählen.
Löschen Sie die SMS nicht. Das ist der häufigste emotionale Reflex – die Spur der eigenen Scham auslöschen. Doch die ursprüngliche Nachricht, noch in der Messaging-App vorhanden, bleibt das stärkste Beweisstück. Man fotografiert sie und lässt sie liegen.
Sichern Sie die Daten außerhalb des Telefons. Ein Gerät, das ausfällt, verloren geht oder zurückgesetzt werden muss, nimmt die gesamte Beweismappe mit. Ein Export der Screenshots auf einen separaten Speicher oder auf einen sicheren USB-Stick, den man zu Hause aufbewahrt, bringt die Unterlagen in Sicherheit. Die Berater von Cybermalveillance.gouv.fr empfehlen grundsätzlich, eine Kopie außerhalb des betroffenen Geräts aufzubewahren.
Stunde 3 bis 12: die drei Meldungen, die nicht demselben Zweck dienen
Oft werden „melden" und „Anzeige erstatten" verwechselt. Es handelt sich um drei getrennte Schritte mit unterschiedlichen Wirkungen. Alle drei zusammen dauern weniger als dreißig Minuten.
Die 33700: die Kampagne zu Fall bringen
Die 33700 ist die offizielle Meldeplattform für Spam und Betrug per SMS, betrieben von der Association Française du Multimédia Mobile im Auftrag der französischen Mobilfunkanbieter. Das Prinzip: die betrügerische SMS an die 33700 weiterleiten und anschließend auf die automatische Antwort mit der Absendernummer reagieren.
Diese Meldung löst keine Ermittlung in Ihrem persönlichen Fall aus. Sie speist jedoch die kollektive Erkennung: Ab einem bestimmten Meldevolumen kann der Anbieter die Absendernummer sperren und die im Link verwendete Domain sperren lassen. Es ist eine Geste für andere – und sie dauert dreißig Sekunden.
Perceval: die betrügerische Kartennutzung anfechten
Perceval ist der Online-Dienst der Gendarmerie nationale für Kreditkartenbetrug, zugänglich über FranceConnect. Er richtet sich an Opfer, die ihre Karte noch besitzen – also an die überwältigende Mehrheit der Smishing-Fälle, bei denen nur die Daten gestohlen wurden.
Die Perceval-Meldung erzeugt eine Eingangsbestätigung. Dieses Dokument hat konkreten Wert: Es stützt den Erstattungsantrag bei der Bank und fließt in die nationale Betrugsstatistik ein. Es ersetzt keine Anzeige, setzt eine solche aber auch nicht voraus.
Cybermalveillance.gouv.fr: Orientierung und Dokumentation
Das nationale Hilfsangebot für Opfer von Cyberkriminalität bietet einen Online-Parcours, der die richtigen Fragen stellt und Merkblätter mit Handlungsempfehlungen liefert. Besonders nützlich, wenn die Lage unübersichtlich ist: mehrere betroffene Konten, Unklarheit darüber, was kompromittiert wurde, oder ein betroffenes Dienstgerät.
Stunde 12 bis 48: Anzeige erstatten – und zwar richtig
Die Anzeige ist nicht optional, wenn Beträge abgebucht wurden: Die Bank wird sie fast immer verlangen.
Wo. In jeder Polizeidienststelle oder Gendarmerie-Brigade, unabhängig vom Wohnsitz. Die Verweigerung der Anzeigenaufnahme ist rechtswidrig. Bei Problemen kann die Anzeige per Einschreiben mit Rückschein direkt an die Staatsanwaltschaft des zuständigen Tribunal judiciaire gerichtet werden.
Die Online-Voranzeige. Der Dienst der pré-plainte en ligne erlaubt es, das Formular vorab auszufüllen und den Termin vor Ort auf eine Unterschrift zu verkürzen. Praktisch – aber Achtung: Sie gilt erst als Anzeige, wenn sie unterschrieben ist.
Was mitzunehmen ist. Ausweisdokument, Kontoauszug mit den beanstandeten Transaktionen, Ausdrucke der Screenshots, Perceval-Bestätigung, falls bereits vorhanden, sowie eine schriftliche Chronologie der Ereignisse – eine Seite genügt, mit Datum und Uhrzeit. Die Beamten bearbeiten täglich Fälle dieser Art; eine geordnete Akte wird schneller und vollständiger aufgenommen. Eine einfache Faltmappe mit Fächern verhindert, dass man mit losen Blättern und zerknitterten Auszügen erscheint.
Zur rechtlichen Einordnung. Smishing fällt unter Betrug (Artikel 313-1 des französischen Strafgesetzbuchs), oft in Verbindung mit der betrügerischen Erhebung personenbezogener Daten und Identitätsmissbrauch (Artikel 226-4-1). Es ist nicht Sache des Opfers, die Tat rechtlich einzuordnen – doch der Hinweis, dass die Nachricht die Identität einer bestimmten Institution vortäuschte (Bank, Krankenkasse, Rentenkasse, Lieferdienst), hilft, den Fall bereits bekannten Kampagnen zuzuordnen.
Stunde 48 bis 72: der Erstattungsantrag und das Gesetz, das ihn stützt
Das ist der Punkt, den Opfer am wenigsten kennen – und derjenige, der finanziell am schwersten wiegt.
Das französische Währungs- und Finanzgesetzbuch ist eindeutig: Bei einer nicht autorisierten Zahlung, die der Nutzer meldet, muss die Bank unverzüglich erstatten, spätestens bis zum Ende des ersten Werktags nach der Meldung (Artikel L133-18). Sie darf die Erstattung nur verweigern, wenn sie eine grobe Fahrlässigkeit des Kunden nachweist – und die Beweislast liegt bei ihr, nicht beim Kunden.
Dieser Punkt wurde durch die Rechtsprechung der Cour de cassation gestärkt, die mehrfach entschieden hat, dass allein die Weitergabe eines per SMS erhaltenen Codes keine grobe Fahrlässigkeit begründet – insbesondere dann nicht, wenn das Opfer durch eine überzeugend gefälschte Nachricht oder einen Anruf im Namen seiner Bank in Sicherheit gewiegt wurde.
Konkret:
- Schriftliche Beanstandung, per Einschreiben mit Rückschein an die Bank, mit Chronologie, Referenznummern der Transaktionen und Anlagen. Die gesetzliche Frist für die Beanstandung beträgt dreizehn Monate.
- Bei Ablehnung Anrufung des Bankenombudsmanns – ein kostenloser Dienst, dessen Kontaktdaten auf den Kontoauszügen und auf der Website der Bank stehen.
- Bei Scheitern der Schlichtung Klage vor Gericht, gegebenenfalls mit Unterstützung eines Verbraucherverbands. Die von Que Choisir veröffentlichten Fälle zeigen, dass eine erhebliche Zahl anfänglicher Ablehnungen auf dieser Stufe gekippt wird.
Ein oft vernachlässigter praktischer Tipp: Bewahren Sie von jedem versandten Schreiben eine Papierkopie samt Rückschein auf. Eine Archivbox mit Klappdeckel genügt, um über die Monate, die das Verfahren dauern kann, eine vollständige Akte zusammenzuhalten.
Die Fehler, die einen starken Fall zerstören
Einige Verhaltensweisen – alle nachvollziehbar – ruinieren regelmäßig Fälle, die eigentlich hätten Erfolg haben müssen.
Die Nummer zurückrufen, von der die SMS kam. Im besten Fall bringt das nichts. Im schlimmsten Fall startet das Szenario neu: Der Betrüger gibt sich dann als „Betrugsabteilung" aus und bekommt, was er noch nicht hatte.
Abwarten, ob das Geld von selbst zurückkommt. Es kommt nicht zurück. Und jeder verstrichene Tag schwächt das Argument der schnellen Reaktion.
Das Telefon in Panik zurücksetzen. Manchmal sinnvoll nach einer zweifelhaften Installation – aber verheerend, wenn es vor der Sicherung der Beweise geschieht.
Zahlen, um das verlorene Geld „zurückzuholen". Opferlisten zirkulieren, und eine zweite Welle von Kontaktversuchen folgt oft einige Wochen später, getarnt als Inkasso- oder Rechtsbeistandsangebot. Keine seriöse Stelle verlangt eine Vorauszahlung, um gestohlene Gelder zurückzugeben.
Dem Umfeld nichts sagen. Scham ist der beste Verbündete des Betrügers. Die Meldungen der Banque de France weisen auf einen kontinuierlichen Anstieg der sogenannten „Manipulationsbetrügereien" hin – gerade weil sie auf die Isolation des Opfers setzen.
Danach: die offenen Türen schließen
Ist der dringende Teil erledigt, bleibt das Aufräumen. Es kostet einen Abend.
- Passwörter ändern für alle Konten, die mit der verwendeten E-Mail-Adresse verknüpft sind, beginnend mit dem E-Mail-Konto selbst. Ein Passwort-Manager verhindert, dass der Fehler des einzigen Passworts wiederholt wird; wer Papier bevorzugt, fährt mit einem außer Sichtweite verwahrten Passwort-Notizbuch unendlich viel sicherer als mit ein und demselben Passwort überall.
- Zwei-Faktor-Authentifizierung aktivieren, wo immer möglich, vorzugsweise über eine eigene App statt per SMS. Für sensible Konten eliminiert ein physischer FIDO2-Sicherheitsschlüssel die gesamte Kategorie der Angriffe mit abgefangenen Codes.
- Wiederkehrende Abbuchungen prüfen auf den letzten drei Kontoauszügen: Manche Betrugsformen nisten sich als unauffällige Abos über wenige Euro ein.
- Die eigene Bankakte überwachen: Bei umfassenderem Identitätsmissbrauch kann das Auskunftsrecht zum zentralen Scheckregister und zum FICP direkt bei der Banque de France geltend gemacht werden.
- Im Umfeld erzählen, was passiert ist. Das ist die wirksamste bekannte Präventionsmaßnahme – und die günstigste. Allgemeinverständliche Bücher zur Cybersicherheit im Alltag helfen, die Botschaft bei Angehörigen zu platzieren, die kein behördliches Merkblatt lesen werden.
Was man sich merken sollte
Ein SMS-Betrug ist kein finanzielles Schicksal. Das französische Recht schützt Opfer nicht autorisierter Transaktionen, die Meldestellen existieren und sind kostenlos, und Banken geben bei einer gut dokumentierten Akte häufig nach. Doch alles hängt an einem verderblichen Gut: der Spur.
Innerhalb einer Stunde sperren, innerhalb von drei Stunden dokumentieren, am selben Tag melden, innerhalb von zwei Tagen Anzeige erstatten, innerhalb von drei Tagen schriftlich beanstanden. Diese Abfolge, in der richtigen Reihenfolge eingehalten, macht aus einem Opfer eine Akte. Und eine Akte bekommt – anders als eine Erzählung – Antworten.
Nützliche Nummern und Dienste: 33700 (Meldung betrügerischer SMS), 0 892 705 705 (interbankarische Kartensperre), 17 (Polizeinotruf), Perceval über FranceConnect, Cybermalveillance.gouv.fr, Online-Voranzeigedienst des französischen Innenministeriums.
