Ja — Betrüger können einen Absendernamen registrieren, sodass ihre SMS im selben Chatverlauf landet wie die echten Nachrichten deiner Bank, weil Mobilfunkanbieter meist nur den angemeldeten Namen anzeigen, nicht eine verifizierte Identität. Das ist kein Randphänomen: Allgemeiner betrachtet sagen laut Pew Research Center 81 % der Befragten in den USA, dass die Risiken der Datensammlung durch Unternehmen den Nutzen überwiegen, und 67 % geben an, kaum zu verstehen, was mit ihren Daten — darunter oft auch Telefonnummern — tatsächlich geschieht.
Wie ein gefälschter Absendername in einen echten Chatverlauf rutscht
Unternehmen versenden SMS meist nicht von einer Telefonnummer, sondern über einen alphanumerischen Absendernamen oder eine Kurzwahl — deshalb erscheinen Nachrichten deiner Bank als „Sparkasse“ oder „Deutsche Bank“ statt als Zahlenfolge. Mobilfunkanbieter und SMS-Gateways vertrauen in der Regel darauf, dass der bei der Anmeldung angegebene Name stimmt; wie streng das geprüft wird, hängt stark vom Land, vom Netzbetreiber und vom gewählten Gateway ab. Findet ein Betrüger ein Gateway mit laxer Kontrolle, kann er genau denselben Absendernamen registrieren, den deine Bank bereits verwendet. Dein Smartphone gruppiert Nachrichten dann nach diesem Namen, nicht nach einem kryptografischen Identitätsnachweis — die betrügerische SMS reiht sich also nahtlos in denselben Chatverlauf ein wie deine echten Kontowarnungen. Die optische Wirkung ist stark: Ein durchgehender Verlauf, ein vertrauter Name, eine Nachricht über „verdächtige Aktivität“ oder eine „blockierte Überweisung“ — direkt unter einer echten Warnung vom Vormonat. Nichts in der Oberfläche weist auf die Fälschung hin, weil das zugrunde liegende Protokoll keine Authentifizierung des Absendernamens verlangt, so wie es ein Schloss-Symbol bei Webseiten tut. Dieser Spalt existiert, weil SMS und die darauf aufbauende Geschäftskommunikation lange vor großflächigen Identitätsbetrügereien entwickelt wurden; das System sollte schnell ein Label zustellen, nicht beweisen, wer es angebracht hat. Manche Länder haben Register eingeführt, die einen Absendernamen an ein verifiziertes Unternehmen koppeln sollen, doch die Durchsetzung ist uneinheitlich, und ein Betrüger braucht nur das eine Gateway in der Kette zu finden, das nicht genau hinschaut. Ist diese Schwachstelle einmal gefunden, verhält sich der gefälschte Name auf jedem Gerät identisch zum echten — und genau deshalb taucht diese Methode immer wieder auf, selbst nachdem Netzbetreiber neue Filterregeln ankündigen.
Eine SMS, die aussieht, als käme sie von der Bank
Dies ist ein illustratives Szenario, das die Vorgehensweise verdeutlicht, keine Schilderung einer realen Person.
Stell dir vor, jemand öffnet sein Handy und sieht eine neue Nachricht in dem Chatverlauf, den er schon lange für Kontowarnungen nutzt. Die Nachricht warnt vor einer versuchten Abbuchung über 1.100 Euro und enthält einen Link, um die Identität innerhalb von 15 Minuten zu „bestätigen“. Weil sie direkt unter drei vorherigen, echten Warnungen desselben Absenders sitzt, passen Formatierung und Tonfall perfekt. Der Link öffnet eine Seite, die dem Bank-Login pixelgenau nachempfunden ist, fragt nach Benutzername, Passwort und einem einmaligen Code — und leitet alle drei Angaben still an die Sitzung des Betrügers weiter, bevor sie unauffällig zur echten Bank-Webseite weiterleitet. Der gesamte Vorgang dauert keine zwei Minuten, und die Person verlässt nie die Messaging-App, der sie bereits vertraut. Erst als eine zweite Nachricht für eine „bestätigte“ Passwortänderung dankt, die nie angefordert wurde, fällt etwas auf — da hat der Betrüger den gestohlenen Einmalcode bereits genutzt, um eine Überweisung freizugeben. Die Betrugsabteilung der Bank bemerkt die verdächtige Aktivität oft erst Stunden später.
Wie du dich gegen einen gefälschten Absendernamen schützt
Der Platz im Chatverlauf und der Absendername sind genau die zwei Dinge, die ein Betrüger überzeugend fälschen kann; alles andere liegt weiterhin in deiner Hand. Es geht nicht darum, jeder Bank-SMS zu misstrauen, sondern die Position im Chatverlauf nicht länger als Echtheitsbeweis zu werten und Gewohnheiten aufzubauen, die auch bei perfekt gefälschtem Anzeigenamen greifen. Jeder Schritt unten schließt einen Teil der Kette, auf die sich Betrüger verlassen.
Tippe nie auf einen Link in einer SMS, die Login- oder Zahlungsdaten verlangt
Öffne deine Banking-App direkt oder tippe die bekannte Webadresse der Bank selbst ein, statt auf etwas in der Nachricht zu klicken. Echte Betrugswarnungen verlangen so gut wie nie einen Login über einen SMS-Link; sie verweisen auf die Nummer auf der Rückseite deiner Karte oder auf die bereits installierte App. Drängt eine Nachricht auf Dringlichkeit und enthält gleichzeitig einen klickbaren Link, ist das ein Warnsignal — unabhängig davon, in welchem Chatverlauf sie erscheint.
Ruf die Nummer auf deiner Karte an, nicht die aus der SMS
Behauptet eine Nachricht, es gäbe verdächtige Aktivitäten, beende das Gespräch innerhalb der SMS gedanklich sofort und wähle die Kundennummer von der Rückseite deiner Karte oder aus der offiziellen Banking-App. Betrüger hinterlegen in gefälschten SMS manchmal eine eigene Nummer mit eigenem Callcenter — wer die Nummer selbst recherchiert, umgeht diese gesamte Täuschungsebene.
Achte auf doppelte oder ungewöhnlich platzierte Chatverläufe
Gefälschte Nachrichten erzeugen manchmal einen zweiten, fast identischen Chatverlauf statt sich nahtlos einzufügen — vor allem wenn sich der registrierte Absendername minimal unterscheidet, etwa durch ein Leerzeichen oder einen Großbuchstaben. Scroll gelegentlich nach oben und achte auf zwei Einträge mit demselben Firmennamen oder einen plötzlichen Bruch in Ton und Formatierung mitten im Verlauf.
Melde die Nachricht und blockiere Absender oder Nummer
Leite verdächtige SMS an die Spam-Meldestelle deines Anbieters weiter und blockiere den Absender in der Messaging-App. In Deutschland nimmt die Bundesnetzagentur entsprechende Meldungen entgegen. Das Melden hilft, das missbrauchte Gateway zu identifizieren, wodurch der gefälschte Absendername für andere Nutzer schneller unbrauchbar wird.
Warum eine eigene zweite Nummer diesen Angriffsweg kappt
Sender-ID-Spoofing funktioniert, weil Betrüger nur wissen müssen, dass eine Nummer zum Kundenkreis deiner Bank gehört — nicht die Nummer selbst. Diese Information verbreitet sich über Datenhändler, alte Registrierungen und Datenlecks, denen du nie zugestimmt hast. Je weniger deine Hauptnummer mit jedem einzelnen Konto verknüpft ist, das du eröffnest, desto kleiner der Kreis an Angreifern, die dich überhaupt mit einer überzeugenden, chatverlauf-passenden Nachricht erreichen können. Trennst du die Nummer, die du Banken, Händlern und einmaligen Anmeldungen gibst, von der Nummer, die enge Kontakte tatsächlich nutzen, landet eine gefälschte oder betrügerische Nachricht mit höherer Wahrscheinlichkeit dort, wo du bereits aufmerksam und skeptisch bist — statt in einem Chatverlauf, dem du über Jahre vertraut hast. Ein auf Privatsphäre ausgerichteter Telefonnummern-Dienst erlaubt es, Nummern gezielt für bestimmte Zwecke zu erzeugen und wieder stillzulegen. Zieht eine Nummer plötzlich Spam oder gefälschte Warnungen an, lässt sie sich kappen, ohne die eigentliche Telefonnummer zu verlieren oder den gesamten Kontaktkreis zur Neuspeicherung zu zwingen. Das hält entschlossene Betrüger nicht davon ab, eine Absender-ID zu registrieren, aber es verkleinert die Zahl deiner Nummern, die überhaupt ein lohnendes Ziel sind, und bietet einen sauberen Weg, eine entdeckte Lücke zu isolieren und zu schließen. Mit der Zeit erleichtert diese Trennung auch das Erkennen von Auffälligkeiten: Erhält eine Nummer, die du nur einer Bank gegeben hast, plötzlich Nachrichten über ein anderes Konto, ist das selbst schon ein klares Warnsignal — etwas, das eine einzige gemeinsam genutzte Nummer niemals offenbart.
Numero eSIMAnzeige
Eine zweite Nummer ohne SIM-Karte, in über 80 Ländern