Smishing: Wie SMS-Phishing funktioniert und wie Unternehmen sich davor schützen

Eine SMS kommt an, sie sieht aus wie eine Paketbenachrichtigung, und sie steht im selben Nachrichtenverlauf wie die echten Versandmeldungen der letzten Wochen. Genau darauf setzen Angreifer beim Smishing. Der Angriff kostet sie fast nichts, er landet direkt auf dem Gerät, das die meisten Menschen ungefiltert bedienen, und er läuft an den Sicherheitsmechanismen vorbei, die Unternehmen für E-Mail seit Jahren aufgebaut haben.

Dieser Leitfaden erklärt, wie Smishing abläuft, woran sich eine gefälschte Textnachricht erkennen lässt, was nach einem Klick zu tun ist — und welche Fragen ein Unternehmen klären sollte, bevor es den Kanal für sicher hält.

Was ist Smishing? Bedeutung, Herkunft und Abgrenzung

Der Begriff setzt sich aus SMS und Phishing zusammen. Auf Deutsch wird Smishing meist als SMS-Phishing oder Phishing per SMS bezeichnet; inhaltlich meint beides dasselbe. Technisch ist Smishing eine Spielart des Social Engineering: Die Schwachstelle ist nicht das Endgerät, sondern die Erwartungshaltung des Empfängers.

Die Abgrenzung zu verwandten Angriffsmethoden hilft bei der Einordnung, weil sie unterschiedliche Erkennungs- und Reaktionswege haben:

Der praktische Unterschied liegt in der Prüfbarkeit. Bei einer E-Mail lässt sich der Absender analysieren, das Linkziel im Hover anzeigen und der Header auswerten. Eine SMS zeigt eine Absenderkennung, einen kurzen Text und einen verkürzten Link. Mehr Kontext bekommt der Empfänger nicht. Wer die anderen Varianten sauber einordnen will, findet in unserem Leitfaden zu Phishing-Angriffen und im Artikel zu Vishing als Voice-Phishing-Variante die jeweilige Detailbetrachtung.

So läuft ein Smishing-Angriff ab

Smishing-Kampagnen folgen einem ziemlich stabilen Muster. Cyberkriminelle beschaffen sich Telefonnummern aus Datenleaks, aus Adresshandel oder schlicht durch systematisches Durchprobieren von Nummernblöcken. Eine gezielte Recherche ist dafür nicht nötig; bei Massenkampagnen genügt die Trefferquote.

Im zweiten Schritt wird die Absenderkennung manipuliert. SMS-Gateways erlauben es, statt einer Rufnummer einen alphanumerischen Absender wie „DHL“ oder „Sparkasse“ zu setzen. Diese Kennung wird technisch nicht verifiziert. Für viele Smartphones ist der Absendername das Sortierkriterium für den Nachrichtenverlauf — deshalb erscheint eine gefälschte SMS im selben Thread wie die echten Nachrichten des Instituts. Dieses Verfahren wird als SMS-Spoofing bezeichnet. Die Vortäuschung einer bekannten Herkunft ist das, was den Angriff so glaubwürdig macht, und sie ist mit Bordmitteln des Empfängers kaum zu widerlegen.

Der Versand selbst arbeitet mit Dringlichkeit. Eine Sendung wird angeblich zurückgehalten, ein Konto gesperrt, ein Abo verlängert, eine Zollgebühr fällig. Der Text ist kurz genug, dass er in der Benachrichtigung auf dem Sperrbildschirm vollständig lesbar ist.

Danach greift eine von zwei Verwertungslinien. Entweder führt der Link auf eine nachgebaute Login-Seite, auf der Zugangsdaten, Kartendaten oder eine TAN abgefragt werden. Oder es wird zur Installation einer App außerhalb der offiziellen Stores aufgefordert, die anschließend als Malware Kontaktdaten ausliest, SMS mitliest oder weitere Nachrichten versendet. Die zweite Variante ist die unangenehmere, weil sie das Gerät dauerhaft kompromittiert; wie solche Schadprogramme arbeiten, beschreibt unser Überblick zu Trojanern und ihrer Entfernung.

Am Ende steht die Monetarisierung: Kontozugriff, Kartenmissbrauch, Weiterverkauf der Zugangsdaten oder der Einstieg in einen größeren Angriff auf das Unternehmen, für das der Empfänger arbeitet.

Diese Betrugsmaschen laufen aktuell über SMS

Die folgenden Beispiele sind nachgestellt und enthalten bewusst keine funktionierenden Links. Sie zeigen die Muster, die in Meldungen von Verbraucherschutz und Behörden regelmäßig auftauchen; die Bundesnetzagentur führt die bekannten Varianten von SMS- und Messenger-Spam laufend fort.

Einen laufenden Überblick über aktuelle Wellen führt das Phishing-Radar der Verbraucherzentrale.

Acht Warnsignale, an denen sich eine Smishing-SMS erkennen lässt

Kein einzelnes Merkmal ist ein Beweis. Treffen mehrere zusammen, ist die Nachricht mit hoher Wahrscheinlichkeit betrügerisch.

Im Unternehmenskontext kommt ein neuntes Signal hinzu, das keine technische Prüfung ersetzt: Eine dienstliche Anweisung, die über einen privaten Kanal kommt und den regulären Freigabeweg umgeht, ist unabhängig vom Inhalt ein Anlass für eine Rückfrage über einen bekannten Weg.

Sie haben auf den Link getippt — was jetzt zu tun ist

Zuerst die Entwarnung, die in der Praxis am häufigsten gebraucht wird: Das reine Öffnen und Lesen einer SMS ist in aller Regel ungefährlich. Risiko entsteht durch drei Handlungen — den Klick auf den Link, die Eingabe von Daten und die Installation einer App. Was zu tun ist, hängt davon ab, wie weit der Vorgang gegangen ist.

Der letzte Punkt entscheidet über die Schadenshöhe. Bei den meisten Opfern eines Smishing-Angriffs entsteht der eigentliche Verlust in der Zeitspanne zwischen Klick und Meldung. Wer den Klick meldet, ermöglicht der IT, Sitzungen zu beenden, Konten zu überwachen und andere Mitarbeitende zu warnen. Wer aus Sorge vor Konsequenzen schweigt, verschafft den Angreifern Zeit. Eine Meldekultur ohne Schuldzuweisung ist an dieser Stelle die wirksamere Maßnahme als jede zusätzliche Software.

Wohin Sie eine Smishing-SMS melden können

Es gibt in Deutschland keinen einzelnen Meldeweg, sondern mehrere Stellen mit unterschiedlicher Zuständigkeit. Sinnvoll ist meist eine Kombination.

Wer den fachlichen Hintergrund zu Phishing-Methoden sucht, findet ihn auf den Seiten des BSI zum Passwortdiebstahl durch Phishing.

Warum SMS in vielen Sicherheitskonzepten fehlt

Für E-Mail haben Unternehmen über Jahre eine Kette aufgebaut: Gateway, Sandbox, Anhangsprüfung, URL-Rewriting, Quarantäne, Meldebutton im Client, Auswertung im SIEM. Für SMS existiert diese Kette in den meisten Organisationen nicht. Die Nachricht erreicht das Gerät ohne Zwischenstelle, sie hinterlässt kein Log, und sie erzeugt kein Ereignis, das jemand auswerten könnte.

Damit verschiebt sich die Erkennung vollständig auf den Empfänger. Das ist die eigentliche Schwachstelle — weniger die Raffinesse der Angreifer als die Tatsache, dass zwischen Angriff und Reaktion keine technische Instanz steht. Drei Fragen machen den Zustand sichtbar:

Dazu kommt ein Punkt, der oft übersehen wird: SMS-basierte Zwei-Faktor-Authentifizierung ist genau über diesen Kanal angreifbar. Wer eine SMS-TAN abfangen oder abfragen kann, hat den zweiten Faktor entwertet. Für Zugänge mit hohem Schutzbedarf ist der SMS-Faktor damit der schwächste im Portfolio — ein Argument, das sich in Architekturdiskussionen rund um Zero Trust sauber begründen lässt.

Ein erfolgreicher SMS-Betrug bleibt selten auf dem Mobiltelefon, sondern wird zum Einstieg in einen größeren Cyberangriff. Erbeutete Zugangsdaten werden für den Zugriff auf Cloud-Dienste weiterverwendet, aus dem Zugriff wird Datenabfluss, und im ungünstigen Fall steht am Ende ein Ransomware-Vorfall mit Melde- und Dokumentationspflichten. Für Unternehmen im Anwendungsbereich der NIS-2-Richtlinie ist damit auch die Frage berührt, wie schnell ein Vorfall erkannt, bewertet und gemeldet werden kann. Neben dem finanziellen Verlust stehen Reputationsschäden gegenüber Kunden und Partnern, die sich schwerer korrigieren lassen als ein gesperrtes Konto.

Schutz vor Smishing: technische, organisatorische und menschliche Maßnahmen

Ein einzelnes Werkzeug löst das Problem nicht. Die folgende Übersicht ordnet die üblichen Maßnahmen danach, welche Risiken sie tatsächlich senken und was ihr Betrieb voraussetzt.

Bei der letzten Zeile lohnt eine Präzisierung. Simulationen wirken, wenn sie das Verhalten messen und daraus Trainingsbedarf ableiten. Sie wirken nicht, wenn sie als Quotenwerkzeug betrieben werden und Mitarbeitende lernen, dass eine schlechte Klickrate unangenehm wird — dann sinkt die Meldebereitschaft, und mit ihr die Erkennung. Was ein tragfähiges Programm ausmacht, beschreiben wir im Artikel zu Security Awareness Training.

Zur Priorisierung: Wer bei null anfängt, bekommt die größte Risikoreduktion aus zwei Schritten, die wenig kosten — einem funktionierenden Meldeweg und einer verbindlichen Rückrufregel für Zahlungsfreigaben. Technische Maßnahmen setzen darauf auf. Ein MDM, dessen Alarme niemand liest, verschiebt das Problem nur an eine andere Stelle.

Weitere Einordnungen zu Bedrohungslage, Erkennung und Reaktion sammeln wir fortlaufend im Themenbereich Cybersecurity.

Nächster Schritt

Smishing ist selten ein isoliertes Problem. Wer den Kanal absichern will, landet schnell bei Themen wie Endpoint-Management, Identitätsschutz, Awareness-Programm und Meldeprozessen — und damit bei der Frage, welche dieser Aufgaben intern bleiben und welche zu einem Partner gehören.

Im IT-Anbieterverzeichnis von it-dock lassen sich Systemhäuser und Managed-Security-Anbieter nach Kompetenz und Region filtern. Wer den Bedarf noch nicht klar umrissen hat, kommt über den IT-Lotsen zu einer Vorauswahl passender Anbieter.