Wie erkenne ich eine gefälschte Bank-SMS von einer echten allein am Aussehen?

Oft gar nicht, und genau darin liegt der Trick – gefälschte Nummern können im selben Chatverlauf wie frühere echte Warnungen erscheinen, und der Wortlaut ist häufig aus echten Bank-Nachrichten kopiert. Statt die SMS selbst zu bewerten, sollte unabhängig geprüft werden: die Banking-App oder Webseite direkt öffnen und schauen, ob dieselbe Warnung dort auftaucht. Ist das nicht der Fall, war die SMS gefälscht, egal wie überzeugend sie wirkte.

Was tun, wenn ich schon auf den Link geklickt und Login-Daten eingegeben habe?

Das Online-Banking-Passwort sofort von einem vertrauenswürdigen Gerät aus ändern, über die App oder die offizielle Webseite der Bank, nie über einen Link aus der SMS. Die Bank über die Nummer auf der Kartenrückseite anrufen, den Vorfall melden, um Überwachung oder Sperrung des Kontos bitten und die letzten Transaktionen genau prüfen. Wurde zusätzlich ein Einmalcode weitergegeben, sollte das Konto bis zur Bestätigung der Bank als kompromittiert behandelt werden.

Verschicken Banken jemals echte SMS mit Links zum Anklicken?

Manche Banken versenden tatsächlich SMS mit Links, etwa zur Bestätigung eines neuen Geräts oder zum Zurücksetzen eines Passworts, aber das geschieht selten und meist ausgelöst durch eine gerade selbst durchgeführte Aktion. War die Nachricht unerwartet oder drängt sie zu sofortigem Handeln, um eine Gebühr, Sperrung oder Kontoeinschränkung zu vermeiden, sollte sie als verdächtig gelten – dann lieber über die App verifizieren statt auf irgendetwas in der SMS zu tippen.

Die SMS, die aussieht wie von deiner Bank – aber es nicht ist

Gefälschte Bank-SMS kopieren Logo und Tonfall echter Warnungen – so läuft der Betrug ab und so prüfst du, bevor du klickst.

Eine SMS meldet, die Karte sei gesperrt worden, und sie sieht aus wie jede andere Warnung, die die eigene Bank je verschickt hat. Genau diese Ähnlichkeit ist der Trick: Die gemeldeten Verluste durch SMS-Betrug erreichten laut Federal Trade Commission im Jahr 2022 in den USA 330 Millionen Dollar, und die Bank-Imitation war laut denselben FTC-Daten die am häufigsten gemeldete Kategorie, mit einem mittleren Verlust von 1.000 Dollar pro Opfer. Die Nachricht muss dabei nicht raffiniert sein. Sie muss nur im richtigen Moment ankommen. Die meisten Menschen lesen dutzende SMS am Tag, ohne ihnen mehr als einen flüchtigen Blick zu schenken, und eine gefälschte Bank-Warnung ist genau darauf ausgelegt, in dieser Gewohnheit unterzugehen statt aufzufallen. Sie kündigt sich selten als Betrug an, sie verlangt nur eine kleine, dringende Handlung – die Art, die man schon dutzende Male zuvor erledigt hat, ohne nachzudenken.

So funktioniert die gefälschte Bank-SMS wirklich

Der Betrug beginnt mit einer Absendernummer, die so gefälscht werden kann, dass sie neben früheren echten Nachrichten der Bank im selben Chatverlauf erscheint – die falsche SMS landet dadurch direkt unter einer echten und erbt deren Glaubwürdigkeit. Der Wortlaut kopiert echte Warnhinweise fast wörtlich: eine gesperrte Karte, ein verdächtiger Login, eine Zahlung, die bestätigt werden muss. Es folgt ein Link, verkürzt oder mit einer Domain getarnt, die dem echten Namen der Bank auf den ersten Blick zum Verwechseln ähnlich sieht. Ein Klick öffnet eine geklonte Login-Seite, die Benutzername und Passwort in Echtzeit abgreift, manchmal sogar einen Einmalcode, den man Sekunden später eintippt und der direkt in die laufende Sitzung der Angreifer übertragen wird. Der gesamte Vorgang kann abgeschlossen sein, bevor überhaupt Zeit bleibt, die erste Nachricht zu hinterfragen. Manche Varianten verzichten ganz auf den Link und nennen nur eine Telefonnummer, unter der ein falscher Mitarbeiter die Identität angeblich prüft, indem er Kartennummer und PIN abfragt. Die Infrastruktur dahinter ist oft billig und wegwerfbar: Betrüger mieten kurzlebige Nummern, klonen Seiten aus Vorlagen, die aktualisiert werden, sobald eine Bank ihr Design ändert, und verschicken tausende SMS in einer einzigen Welle, weil selbst eine winzige Erfolgsquote die Kosten vielfach deckt. Weil der Aufbau so günstig ist, wird dasselbe Skript gegen mehrere Banken eingesetzt, nur Logo und Farbschema werden ausgetauscht – deshalb wirkt das Format so vertraut, selbst wenn die genannte Bank gar nicht die eigene ist.

Eine SMS zum denkbar ungünstigsten Zeitpunkt

Dies ist ein illustratives Szenario, kein realer Fall und kein Erfahrungsbericht.

Es ist später Nachmittag, mitten in Erledigungen, als eine Nachricht aufblitzt: „Ungewöhnliche Aktivität auf Ihrem Konto endend auf 4821 festgestellt. Jetzt bestätigen, um eine Sperrung zu vermeiden.“ Die Nummer wirkt, als gehöre sie zum selben Verlauf wie die echte Betrugswarnung vom Vormonat. Der Link öffnet eine Seite mit dem Logo der Bank, dem passenden Blauton, dem Login-Feld genau dort, wo es hingehört. Benutzername, Passwort, dann ein sechsstelliger Code, der Momente später eintrifft – eingegeben ohne zweiten Gedanken, weil die Seite genauso danach fragt wie die echte App es immer tut. Erst später, beim Blick in die echte App, taucht eine Überweisung über mehrere hundert Euro auf, bereits ausgeführt, bereits weg. Der gesamte Ablauf, vom ersten Vibrieren des Telefons bis zum letzten Tippen, dauerte weniger als zwei Minuten – kürzer, als es normalerweise braucht, eine echte Push-Benachrichtigung der Bank zweimal zu lesen. Diese Geschwindigkeit ist Teil des Kalküls: Der Ablauf ist so gebaut, dass es keine natürliche Pause gibt, in der Zweifel aufkommen könnten, nur eine Abfolge von Schritten, die sich jeweils wie der logische nächste anfühlen.

So stoppt man eine gefälschte Bank-SMS, bevor sie etwas kostet

Banken folgen Mustern, die sich unabhängig überprüfen lassen, und der Betrug funktioniert nur, wenn die Reaktion innerhalb der Nachricht selbst stattfindet. Der Kerngedanke: Niemals die SMS als Ausgangspunkt zur Überprüfung nutzen, sondern als Anstoß, über einen selbst kontrollierten Kanal nachzuschauen. Keiner der folgenden Schritte erfordert besonderes technisches Wissen – es geht nur darum, die Gewohnheit zu durchbrechen, auf eine SMS mit ihren eigenen Mitteln zu antworten.

Niemals den Link in der SMS antippen

Die Nachricht schließen und stattdessen die Banking-App direkt öffnen oder die Webadresse aus dem Gedächtnis oder einem Lesezeichen eintippen. Echte Warnungen zu Betrug oder gesperrten Karten tauchen ebenfalls in der App oder im Online-Banking auf – findet sich dort nichts Passendes, war die SMS gefälscht, egal wie überzeugend sie aussah. Allein diese Gewohnheit stoppt die meisten dieser Betrugsversuche, denn die geklonte Seite funktioniert nur, wenn man über den Link der Betrüger dorthin gelangt, nicht über das eigene Lesezeichen oder App-Symbol.

Die Nummer auf der Karte anrufen, nicht die aus der Nachricht

Wenn eine SMS oder eine verlinkte Seite eine Telefonnummer nennt, sollte diese ignoriert werden. Die auf der Rückseite der Debit- oder Kreditkarte aufgedruckte Nummer führt zuverlässig zur echten Betrugsabteilung der Bank. Betrüger kontrollieren sowohl den falschen Link als auch die falsche Hotline, jede Nummer aus der verdächtigen Nachricht selbst ist deshalb per Definition nicht vertrauenswürdig. Diese Kartennummer am besten unter einem eindeutigen Namen wie „Bank Betrugshotline“ in den Kontakten speichern, damit keine Versuchung entsteht, danach zu suchen und auf einer gefälschten Trefferseite zu landen.

Jede Aufforderung nach einem Einmalcode als sofortiges Warnsignal werten

Banken versenden Einmalcodes, damit eine selbst ausgelöste Aktion bestätigt werden kann – sie rufen nie an oder schreiben, um sich einen Code vorlesen zu lassen. Wird ein gerade erhaltener Code per SMS, Anruf oder über ein Formular abgefragt, sollte sofort abgebrochen werden. Diese eine Zahl ist oft das letzte fehlende Puzzleteil für die Übernahme der Sitzung. Selbst wenn die Person am anderen Ende professionell klingt, echte Kontodaten nennt oder behauptet, der Code diene der Stornierung einer verdächtigen Transaktion, bleibt die Antwort dieselbe: auflegen und die Nummer von der Karte anrufen.

Melden, blockieren, dann Kontoauszüge prüfen

Verdächtige SMS an die Spam-Meldestelle des Mobilfunkanbieters weiterleiten und den Absender blockieren. Danach über einen vertrauenswürdigen Weg ins Konto einloggen und die letzten Transaktionen auf Unbekanntes prüfen, auch kleine Testbeträge, mit denen Betrüger manchmal zuerst checken, ob eine gestohlene Karte noch aktiv ist. Wird etwas Unbekanntes gefunden, sollte es der Bank sofort gemeldet werden – die meisten Kartenherausgeber bieten stärkeren Betrugsschutz, je schneller eine nicht autorisierte Buchung gemeldet wird, und Warten von nur wenigen Tagen kann die Chancen auf volle Rückerstattung verschlechtern.

Warum ein Anruf- und SMS-Filter sinnvoll wird, sobald das Muster bekannt ist

Sobald klar ist, wie eine Bank-Imitations-SMS aussieht, liegt die eigentliche Herausforderung darin, sie zu erkennen, bevor man sie überhaupt aufmerksam genug gelesen hat. Eine App zur Anruf- und SMS-Filterung gleicht eingehende Nachrichten mit Datenbanken bekannter Betrugsnummern und gefälschter Absendermuster ab und markiert oder blockiert sie, bevor sie im normalen Chatverlauf neben echten Bank-Warnungen auftauchen. Diese Trennung ist wichtig: Ein Teil des Tricks liegt gerade in der Platzierung innerhalb eines vertrauten Verlaufs, und ein Filter, der gefälschte Nummern schon vor der Zustellung abfängt, entfernt diesen visuellen Trick vollständig. Gute Schutz-Apps für Anrufe und SMS erlauben zudem, eine Nummer mit einem Tippen zu melden, was wiederum in dieselben Datenbanken einfließt, die die nächste Person vor genau dieser Nachricht schützen. Nichts davon ersetzt die Prüfung des Kontos über offizielle Kanäle, aber es verringert, wie oft diese Entscheidung überhaupt unter Zeitdruck getroffen werden muss – genau dann, wenn Fehler passieren. Wer schon einmal ins Visier geraten ist, für den kann diese zusätzliche Filterebene den Unterschied ausmachen zwischen einer Betrugs-SMS, die nie zu einem Moment des Zweifels wird, und einer, die getarnt als vierte Nachricht eines ganz gewöhnlichen Nachmittags ankommt.

Telefon