„ Guten Tag, hier spricht Herr Lemoine, ich habe Ihre Nummer in Ihrem Google-Profil gefunden. Ich habe eine dringende Baustelle, komplettes Badezimmer, bin aber bis zum 20. im Ausland. Ich kann Ihnen sofort eine Anzahlung überweisen, wenn Sie mir ein Angebot schicken. "
Der Installateur, der uns diesen Austausch weitergeleitet hat, antwortete innerhalb von vierzehn Minuten. Es war ein Freitag zum Monatsende, die Auftragsbücher waren dünn, die Nachricht war höflich, detailliert und in gutem Deutsch verfasst. Drei Tage später hatte er seine Bankverbindung übermittelt, eine Kopie seines Ausweises „zur Konformität der Überweisung" und einen sechsstelligen Code bestätigt, den er per SMS erhalten hatte – „zur Authentifizierung der Auslandszahlung". Die Überweisung kam nie an. Sein Online-Postfach hingegen hatte den Besitzer gewechselt.
Artikel über betrügerische SMS handeln fast immer von Privatpersonen: das falsche Paket, die falsche Steuerforderung, der falsche Arzt. Dabei wird eine weit stärker exponierte und deutlich schlechter geschützte Gruppe vergessen: Selbstständige, Handwerkerinnen, Händler und freie Berufe, deren Handynummer aus beruflicher Notwendigkeit öffentlich ist. Sie können den wichtigsten Präventionsratschlag – „Geben Sie Ihre Nummer nicht weiter" – nicht befolgen, denn die Verbreitung ihrer Nummer ist Teil ihres Geschäfts.
Warum eine Geschäftsnummer deutlich mehr Betrugs-SMS erhält
Eine Nummer, die mit zwei Klicks abgegriffen werden kann
Das Handy einer selbstständigen Person findet sich mühelos und völlig legal an mindestens acht verschiedenen Stellen:
- im Google-Unternehmensprofil und in Bewertungsverzeichnissen (Branchenbücher, Vermittlungsplattformen);
- im öffentlichen Unternehmensregister mit den Identifikationsdaten des Betriebs und auf allen Seiten, die es kopieren;
- in Angeboten und Rechnungen, die jährlich an Dutzende Kunden gehen und oft per Mail an Dritte weitergeleitet werden;
- in Stellenanzeigen oder Inseraten für gebrauchtes Material, die im eigenen Namen veröffentlicht werden;
- in der Fahrzeugbeschriftung, die auf der Straße fotografiert wird;
- auf Bauschildern und Visitenkarten, die in Geschäften ausliegen;
- auf Online-Angebotsplattformen, die Kontaktdaten weiterverkaufen oder mit Partnern teilen;
- in Datenlecks von Buchhaltungs-, Kassen- oder Terminbuchungssoftware.
Keine dieser Quellen ist ein Hackerangriff. Zusammengenommen machen sie aus der Geschäftsnummer ein öffentliches Datum, das über zehn oder fünfzehn Jahre stabil bleibt – und mit einem klar identifizierten Beruf verknüpft ist. Genau diese letzte Information macht den Unterschied: Der Betrüger schreibt Sie nicht zufällig an, er weiß, dass Sie Dachdecker, freiberufliche Pflegekraft oder Kfz-Mechaniker sind.
Die Ausrichtung auf den Beruf macht die falsche Nachricht glaubwürdig
Eine SMS „Ihr Paket wartet auf Zustellung" weckt Misstrauen, weil sie an nichts Konkretes anknüpft. Eine SMS wie „Ihre Unbedenklichkeitsbescheinigung der Sozialversicherung läuft ab, Ihr Kunde kann Sie nicht mehr bezahlen" trifft dagegen auf eine administrative Realität, die der Handwerker kennt, fürchtet und nicht vollständig durchschaut. Social Engineering funktioniert, wenn die Nachricht wie eine überfällige Aufgabe aussieht.
Die ausgenutzten Hebel sind fast immer dieselben:
| Hebel | Typische Formulierung | Warum es funktioniert |
|---|---|---|
| Liquidität | „Überweisung über 2.480 € abgelehnt, bitte Bankverbindung aktualisieren" | Ein Zahlungsausfall ist die strukturelle Urangst von Selbstständigen |
| Compliance | „Unbedenklichkeitsbescheinigung abgelaufen", „Handelsregisterauszug aktualisieren" | Angst, einen Auftrag oder Auftraggeber zu verlieren |
| Gelegenheit | „Dringende Baustelle, sofortige Anzahlung" | Leere Auftragsbücher senken die Wachsamkeit |
| Arbeitsmittel | „Ihr Rechnungskonto wird gesperrt" | Vollständige Abhängigkeit von einer Software oder Plattform |
| Mobilität | „Nicht beglichenes Bußgeld für Firmenfahrzeug" | Fuhrpark, Parken, Umweltzonen |
Die fünf Maschen, die 2026 kursieren
1. Der eilige und großzügige Fantasiekunde
Die älteste und wirksamste Masche. Der Interessent meldet sich per SMS, nicht telefonisch – er ist „im Ausland", „auf Reisen", „gehörlos", „in einer Besprechung". Er bittet um ein Angebot, akzeptiert ohne zu verhandeln und bietet eine hohe Anzahlung an. Dann kommt die Komplikation: eine Zahlung „per Zahlungsanweisung", ein Überschuss, der an einen „Spediteur" weitergeleitet werden soll, eine unbekannte Zahlungsplattform, die bestätigt werden muss.
Das zuverlässigste Signal ist nicht mehr die Wortwahl – die ist dank automatischer Textwerkzeuge längst einwandfrei. Es ist die hartnäckige Verweigerung eines Telefonats in Kombination mit einer Unregelmäßigkeit im Zahlungsweg. Ein Kunde, der nicht mit Ihnen sprechen will, Ihnen aber schnell Geld schicken möchte, ist ein Alarmsignal, keine Chance.
2. Die falsche Sozial- oder Finanzbehörde
Wellen gefälschter SMS im Namen von Sozialversicherungsträgern, Finanzverwaltungen oder Zusatzrentenkassen sind seit Jahren dokumentiert; die Behörden weisen auf ihren Websites regelmäßig darauf hin, dass sie niemals per SMS oder Link nach Bankdaten fragen. Für Selbstständige ist die gefährlichste Variante die Beitragsrückerstattung: eine plausible Überzahlung, ein glaubwürdiger Betrag, ein Formular, das IBAN und Ausweisdokument verlangt.
Der Reflex, den man sich ein für alle Mal aneignen sollte: Keine Behörde lässt sich über ihre eigene Nachricht verifizieren. Man verlässt die SMS, öffnet die App oder das Online-Konto über ein gespeichertes Lesezeichen und prüft dort, ob die Aufforderung tatsächlich existiert.
3. Der Lieferantenbetrug in der SMS-Variante
Klassischerweise per E-Mail verschickt, wandert er zunehmend zur SMS ab – weil das Handy zwischen zwei Baustellen geprüft wird, ohne Computer, oft mit schmutzigen Händen und drei Minuten Aufmerksamkeit. Die Nachricht kündigt eine geänderte Bankverbindung eines Baustofflieferanten, eines Subunternehmers oder eines Maschinenvermieters an. Sie kann eine echte Bestellnummer nennen, die aus einem Datenleck oder einem kompromittierten Postfach stammt.
Die Abwehr ist organisatorisch, nicht technisch: Jede IBAN-Änderung wird durch einen Rückruf an die Nummer bestätigt, die Sie bereits hatten – niemals an die in der Nachricht angegebene. Viele Selbstständige notieren ihre Referenzkontakte bei Lieferanten in einem beruflichen Fahrtenbuch, das im Transporter bleibt, gerade um nicht von einem Telefon abhängig zu sein, das lügen kann.
4. Die Übernahme des Mail- oder Rechnungskontos
Hier ist die SMS nicht das Ziel, sondern das Werkzeug. Der Betrüger versucht, den Zugang zu Ihrem geschäftlichen Postfach, Ihrer Rechnungssoftware oder Ihrem Unternehmensprofil zurückzusetzen. Das legitime System sendet Ihnen einen echten Einmalcode – und ein falscher „technischer Support" verlangt ihn binnen einer Minute per SMS oder Anruf von Ihnen.
Was der Angreifer erbeutet, ist weit mehr wert als das Geld einer Baustelle: die Kundenhistorie, die Angebote, die Bankverbindungen, die Möglichkeit, Ihren Kunden in Ihrem Namen zu schreiben. Auf einer Geschäftsleitung ersetzt die Zwei-Faktor-Authentifizierung per Authenticator-App oder sogar per physischem FIDO2-Sicherheitsschlüssel den SMS-Code mit großem Vorteil – dieser bleibt abfangbar und vor allem erpressbar.
5. Die umgekehrte Bewerbungsmasche
Eine neuere Variante: Der Handwerker, der einen Auszubildenden oder eine Aushilfe sucht, erhält Bewerbungen per SMS – mit einem Link zu einem „Online-Lebenslauf" oder einer „Akte zur Einstellungsförderung". Der Link installiert ein Datensammelformular, manchmal unter Android auch eine App außerhalb des offiziellen Stores. Eine Bewerbung, die mit einer zu öffnenden Datei statt mit einem Gespräch beginnt, kann bis Montagmorgen warten.
Die Kanäle trennen: die Maßnahme mit der größten Wirkung
Eine öffentliche Nummer muss nicht Ihre private Nummer sein
Die gute Praxis passt in einen Satz: Die öffentlich angezeigte Nummer darf nicht dieselbe sein, die Ihre Bankcodes empfängt. Konkret funktionieren drei Varianten:
- Zwei Leitungen auf einem Dual-SIM-fähigen Telefon: eine „Schaufenster"-Nummer, die überall verbreitet wird, und eine „Tresor"-Nummer, die nur die Bank, der Steuerberater und sonst niemand kennt. Die meisten aktuellen Smartphones unterstützen eine eSIM zusätzlich zur physischen SIM.
- Zwei Telefone: die Lösung für stark exponierte Berufe (Notdienst, Lieferung, Gesundheit), mit einem einfachen Zweitgerät, das im Büro oder zu Hause bleibt.
- Eine virtuelle Zentralnummer, die auf das Handy weiterleitet: Das Schaufenster wird zu einer geografischen Festnetznummer – glaubwürdiger für Kunden und weniger anfällig für das Abgreifen von Mobilnummern.
Diese Trennung verhindert keine Betrugs-SMS. Sie bündelt sie auf der Leitung, auf der sie fast nichts ausrichten können: Ein Betrüger, der an Ihre Schaufensternummer schreibt, kann keinen Bank-Bestätigungscode abfangen, denn dieser Code kommt woanders an.
Die Telefoneinstellungen, die wirklich etwas bringen
In der Reihenfolge der tatsächlichen Wirksamkeit:
- Filter für unbekannte Absender aktivieren (iOS: Einstellungen → Apps → Nachrichten → Unbekannte Absender filtern; Android/Messages: Spamschutz). Unerwünschte Nachrichten landen in einem separaten Tab, einsehbar, aber außerhalb des Hauptverlaufs.
- Installation von Apps außerhalb des offiziellen Stores blockieren und prüfen, ob Play Protect oder ein Äquivalent aktiv ist. Nahezu alle mobilen Banking-Trojaner kommen über diesen Weg.
- Nachrichtenvorschau auf dem Sperrbildschirm ausblenden: Ein Telefon, das auf einer Theke oder dem Armaturenbrett liegt, darf Ihre Codes nicht anzeigen.
- Zwei-Faktor-Authentifizierung per Authenticator-App, nicht per SMS – für das Postfach, die Rechnungssoftware und die Bank.
- System-Updates innerhalb einer Woche akzeptieren statt sie sechs Monate zu verschieben, „weil das Telefon das Arbeitsgerät ist".
Hinweis: Google hat im Laufe des Jahres 2026 die automatische Betrugserkennung in der Messages-App in Frankreich verstärkt, mit kontextbezogenen Warnungen bei bestimmten Gesprächsmustern. Das ist ein nützliches zusätzliches Sicherheitsnetz, aber keinesfalls ein Grund, die Wachsamkeit zu senken – die automatische Erkennung bleibt blind gegenüber der Masche des falschen Kunden, die weder Link noch verdächtiges Wort enthält.
Sichern, denn eine Geschäftsnummer verliert auch Beweise
Wer als Selbstständiger sein Telefon verliert, verliert vertragsrelevante Kommunikation: Angebotsfreigaben per SMS, Änderungen an der Baustelle, Absprachen zu Fristen. Eine automatische verschlüsselte Sicherung des Telefons, ergänzt durch eine externe Festplatte für die Jahresarchive, gehört ebenso zum Management wie zur Sicherheit. Sowohl im Streitfall als auch bei Betrug ist es das, was den Export eines vollständigen, zeitgestempelten Verlaufs ermöglicht.
Was tun, wenn die Nachricht schon da ist – oder schon geöffnet wurde
Der Prüfreflex in drei Fragen
Verlangt diese Nachricht von mir eine dringende Handlung? Leitet sie mich zu einem Link oder einem neuen Zahlungsweg? Kann ich dieselbe Information über einen Weg überprüfen, den ich selbst gewählt habe?
Wenn die ersten beiden Antworten Ja lauten und die dritte Nein, ist die Nachricht im Zweifel als betrügerisch zu behandeln.
Die Meldewege, die es tatsächlich gibt
- Die SMS an die 33700 weiterleiten, den offiziellen französischen Meldedienst für Spam und Betrug per SMS (kostenlos, anschließend gibt man die Nummer des Absenders an).
- Eine Meldung auf der Plattform Cybermalveillance.gouv.fr abgeben, die je nach Vorfallstyp weiterleitet und einen eigenen Pfad für Kleinstunternehmen anbietet.
- Eine betrügerische Website melden über Phishing Initiative oder das Meldeportal Pharos für rechtswidrige Inhalte.
- Sofort die Bank informieren, falls ein Code oder eine Kennung weitergegeben wurde: Die Banque de France verweist in mehreren Berichten auf die starke Zunahme von Betrugsfällen durch Manipulation, bei denen das Opfer die Transaktion selbst bestätigt. Je schneller die Meldung erfolgt, desto größer die Chance auf einen Rückruf der Gelder.
- Anzeige erstatten, auch wenn kein Schaden entstanden ist: Die Anzeige unterstützt die Ermittlungen und ist oft Voraussetzung für Schritte gegenüber der Berufshaftpflicht.
Kunden informieren – eine unterschätzte Geste
Wenn Ihr Mailkonto oder Ihr Unternehmensprofil kompromittiert wurde, erhalten Ihre Kunden Nachrichten in Ihrem Namen. Eine noch am selben Tag verschickte Warn-SMS oder -E-Mail – „Unsere Bankverbindung hat sich nicht geändert, jede gegenteilige Nachricht ist betrügerisch" – begrenzt die Kettenschäden und schützt Ihren Ruf, der Ihr wichtigstes Kapital ist.
Prävention als fester Bestandteil des Geschäfts
Zwei Gewohnheiten kosten wenig und verhindern fast alles:
- Ein Hinweis „Unsere Bankverbindung ändert sich nie per Nachricht" auf Ihren Angeboten und Rechnungen, in einer Zeile, am Fuß des Dokuments. Betrüger, die einen Lieferanten imitieren, verlieren gegenüber einem vorgewarnten Kunden viel von ihrer Wirkung.
- Zehn Minuten pro Jahr mit dem Steuerberater oder Versicherer zum Thema Cyberbetrug. Viele gewerbliche Mehrgefahrenversicherungen enthalten inzwischen eine entsprechende Deckung, oft gekoppelt an elementare Maßnahmen – Zwei-Faktor-Authentifizierung, Backups, Freigabeverfahren für Überweisungen. Ein Praxisleitfaden zur Cybersicherheit für Kleinbetriebe genügt, um das Gespräch zu strukturieren, und manche Berufsverbände geben solche Leitfäden kostenlos heraus.
Die Kernbotschaft ist einfach: Für Selbstständige ist SMS-Sicherheit kein Thema digitalen Komforts, sondern eine Frage der Liquidität. Eine öffentliche Nummer ist ein geschäftlicher Vorteil; sie wird zum Risiko an dem Tag, an dem sie zugleich als Schlüssel zu Ihren Konten dient. Die beiden Verwendungszwecke zu trennen, bleibt auch 2026 die rentabelste Maßnahme, die man an einem Nachmittag umsetzen kann.
