Was ist Smishing?

Smishing einfach erklärt

Der Begriff setzt sich aus „SMS“ und „Phishing“ zusammen. Beim Phishing locken Betrüger ihre Opfer mit gefälschten E-Mails auf nachgemachte Webseiten. Smishing funktioniert genauso, nur über Kurznachrichten – per SMS oder über Messenger-Dienste auf dem Smartphone.

Typisch sind angebliche Paketbenachrichtigungen („Ihre Sendung konnte nicht zugestellt werden“), Warnungen der Bank oder Nachrichten im Namen der Geschäftsführung. Alle verfolgen dasselbe Ziel: Sie sollen einen Link antippen, eine App installieren oder eine Nummer zurückrufen.

Stellen Sie sich einen gefälschten Benachrichtigungszettel im Briefkasten vor. Er sieht aus wie vom Paketdienst, trägt das richtige Logo und eine dringende Bitte. Wer die angegebene Nummer anruft, landet aber nicht beim Paketdienst, sondern beim Betrüger. Smishing ist dasselbe Prinzip auf dem Handy.

So funktioniert Smishing

Ein Smishing-Angriff läuft meist in vier Schritten ab:

1. Nummern beschaffen: Die Täter nutzen Telefonnummern aus früheren Datenlecks oder aus öffentlich zugänglichen Quellen wie Firmenwebsites und Online-Profilen. Manche schreiben auch einfach zufällige Nummern an.
2. Vorwand wählen: Die Nachricht erzeugt Druck oder Neugier – ein Paket, eine Kontosperre, ein ablaufendes Passwort oder die angeblich neue Nummer der Chefin.
3. Opfer umleiten: Ein verkürzter Link führt auf eine gefälschte Anmeldeseite, eine Zahlungsseite oder zum Download einer schädlichen App. Soll das Opfer zurückrufen, geht der Angriff am Telefon als Vishing weiter.
4. Beute verwerten: Mit erbeuteten Passwörtern und Codes melden sich die Täter an und lösen z. B. Zahlungen aus. Installiert das Opfer die angebliche App, landet Malware – also Schadsoftware – auf dem Smartphone. Sie kann etwa Nachrichten und Bestätigungscodes mitlesen.

Besonders tückisch: Den Absendernamen einer SMS können Täter fälschen. Die betrügerische Nachricht erscheint dann unter Umständen im selben Verlauf wie echte Nachrichten Ihrer Bank. Hinzu kommt der kleine Bildschirm. Links werden verkürzt angezeigt, und Sicherheitsfilter greifen auf dem Smartphone seltener als im E-Mail-Postfach.

Ein Beispiel aus der Praxis

Ein Mitarbeiter eines Großhändlers für Sanitärbedarf erhält abends eine SMS: „Ihr Firmenpasswort läuft heute ab. Jetzt verlängern, um eine Sperrung zu vermeiden.“ Dazu ein Link. Die Seite sieht aus wie die gewohnte Anmeldeseite des Unternehmens.

Er gibt Benutzername und Passwort ein – und danach den Bestätigungscode, der kurz darauf per SMS eintrifft. Diesen Code hat tatsächlich das Firmensystem verschickt: Die Täter haben seine Eingaben im Hintergrund sofort auf der echten Anmeldeseite verwendet. Damit haben sie alles, was sie brauchen. Sie melden sich an seinem E-Mail-Konto an und verschicken von dort betrügerische Rechnungen an Kunden.

Aufgefallen ist der Angriff erst, als ein Kunde nachfragte. Ein klarer Meldeweg für verdächtige Nachrichten und ein phishing-resistentes Anmeldeverfahren hätten den Schaden verhindern oder zumindest früh begrenzen können.

Warum ist das für Unternehmen wichtig?

Smartphones sind längst Arbeitsgeräte. Auf ihnen laufen E-Mail, Chat, Apps für Anmeldecodes (Authenticator-Apps) und der Zugriff auf Cloud-Dienste. Wer Beschäftigte über ihr Smartphone täuscht, kommt deshalb oft direkt an Unternehmenszugänge – an E-Mail-Filtern und Firewalls vorbei.

Dazu kommt: Viele Beschäftigte lesen dienstliche Nachrichten auf privaten Geräten, die außerhalb der zentralen Schutzmaßnahmen liegen. Und Smishing zielt nicht nur auf Passwörter. Auch gefälschte Zahlungsanweisungen im Namen der Geschäftsführung, etwa die dringende Bitte um den Kauf von Gutscheinkarten, verursachen echte finanzielle Schäden.

So schützen Sie sich

• Klare Regel aufstellen: Links in unerwarteten Kurznachrichten werden nicht angetippt. Paketstatus, Kontostand oder Passwort prüfen Sie direkt über die offizielle App oder Website.
• Nie Codes weitergeben: Bestätigungscodes und Passwörter bleiben geheim – auch gegenüber dem angeblichen IT-Support oder der Geschäftsführung.
• Über bekannte Nummern nachfragen: Bei ungewöhnlichen Bitten, etwa um Zahlungen, rufen Sie die Person über die Ihnen bekannte Nummer zurück, nie über die Nummer aus der Nachricht.
• Phishing-resistent anmelden: Setzen Sie bei der Multi-Faktor-Authentifizierung möglichst auf FIDO2-Sicherheitsschlüssel oder Passkeys statt auf SMS-Codes. Sie funktionieren nur auf der echten Website – auf einer gefälschten Seite sind sie wertlos.
• Diensthandys verwalten: Eine zentrale Geräteverwaltung (Mobile Device Management) verhindert z. B. die Installation von Apps aus unbekannten Quellen.
• Meldeweg schaffen: Beschäftigte sollten verdächtige Nachrichten einfach und ohne Angst vor Vorwürfen melden können.
• Regelmäßig sensibilisieren: Schulungen und realistische Übungen machen die Maschen bekannt, bevor der Ernstfall eintritt.

Wie Rootsektor unterstützt

Smishing ist eine Spielart des Social Engineering: Die Täter setzen auf Vertrauen und Zeitdruck statt auf technische Lücken. Mit Security Awareness & Phishing-Simulation schulen wir Ihr Team praxisnah – auf Wunsch mit Smishing-Übungen, die zeigen, wie gut die Sensibilisierung im Alltag greift. Einzelne Mitarbeitende stellen wir dabei nicht bloß. Ob auch Prozesse wie Rückrufe und Freigaben halten, prüfen realistische Szenarien unter Social Engineering & physische Tests.