Phishing und Smishing: warum Rechtschreibfehler nicht mehr verraten

Phishing kommt per E-Mail, Smishing per SMS oder Messenger, Vishing per Anruf; beim Quishing steckt der Köder in einem QR-Code. Die Masche ist immer dieselbe: Jemand gibt sich als vertrauenswürdige Stelle aus und bringt Sie dazu, Zugangsdaten preiszugeben, eine App zu installieren oder eine Zahlung freizugeben. Neu ist nicht die Masche, neu ist ihre Qualität.

Warum die alten Erkennungsmerkmale versagen

Über Jahre galt eine einfache Faustregel: schlechtes Deutsch, seltsame Anrede, schiefe Logos – Betrug. Im Lagebericht 2025 hält das BSI fest, dass gewohnte Erkennungsmerkmale wie schlechtes Deutsch oftmals nicht mehr genügen, weil Kriminelle Nachrichten mithilfe künstlicher Intelligenz erzeugen können. Die Verbraucherzentrale nennt fehlerhaftes Deutsch zwar weiter als leichtestes Erkennungszeichen. Sie warnt aber zugleich vor Mails in perfektem Deutsch, die zunächst keinen Verdacht erwecken.

Das hat eine unangenehme Nebenwirkung: Eine gut formulierte Nachricht wirkt vertrauenswürdiger. Dazu kommt ein Themenwechsel. Bis einschließlich 2023 kamen gemeldete Phishing-Mails laut BSI vor allem im Namen von Banken und Zahlungsdiensten. Seit 2024 betreffen sie immer häufiger Onlinehandel und Logistik – also genau die Paketmeldungen, auf die viele ohnehin warten.

Die Maschen, die im Herbst 2026 kursieren

Die Anlässe wechseln, die Mechanik bleibt. Diese Muster tauchen in den aktuellen Warnungen von Verbraucherzentrale, BSI und Polizei immer wieder auf:

Das Phishing-Radar der Verbraucherzentrale warnte Anfang Oktober 2026 unter anderem vor einer angeblichen Erneuerung der photoTAN-App. Eine andere Mail drohte, ein Konto binnen 24 Stunden zu löschen. Beides arbeitet mit demselben Hebel: einer Frist, die zum schnellen Klick drängt.

Paket-SMS und QR-Codes

Paket-SMS sind kein neues Phänomen. Die Verbraucherzentrale erinnert an die Schadsoftware FluBot, die ab Ostern 2021 über solche Nachrichten auf Android-Geräte kam. Der Rat des BSI von damals gilt weiter: keinen Link aus SMS unbekannter Herkunft öffnen und keiner Installation zustimmen.

Neuer ist der Köder im QR-Code. Die Verbraucherzentrale dokumentiert gefälschte Briefe im Namen einer Bank mit einem Code zur angeblichen Aktualisierung des Online-Bankings, überklebte Codes an Ladesäulen und Parkautomaten sowie Plakate, die ein Deutschlandticket versprachen. Auch das BSI beschreibt im Lagebericht überklebte Bezahl-Codes an Parkscheinautomaten. Laut Polizei fordern Kreditinstitute vertrauliche Daten grundsätzlich weder per E-Mail noch per Telefon oder Post an – ein Brief mit QR-Code ist deshalb genauso verdächtig wie eine Mail.

„Hallo Mama“: Betrug über Messenger

Beim Messenger-Betrug rät die Polizei, Angehörige immer erst unter einer bereits bekannten Nummer zu kontaktieren. Sie warnt außerdem, dass Stimmen aus Telefonaten mit Betrügern aufgezeichnet und mit künstlicher Intelligenz verändert werden können. Mehr zu Schockanrufen und „Hallo Mama“ steht im Ratgeber Telefonbetrug.

Wie verbreitet solche Maschen sind, zeigt der Cybersicherheitsmonitor 2025, den das BSI auswertet. Unter den Betroffenen von Cyberkriminalität der letzten zwölf Monate nannten 12 Prozent Phishing und 9 Prozent Betrug über Messenger.

Die eine Regel, die auch gegen perfekte Fälschungen hilft

Weil Erkennen unsicher geworden ist, verlagert sich der Schutz auf das Verhalten. Die wirksamste Regel lautet: Folgen Sie keinem Link, der zu einer Anmeldung, einer Zahlung oder einer Installation führt. Öffnen Sie stattdessen die App des Anbieters oder tippen Sie die Adresse selbst ein. Polizei und Verbraucherzentrale raten genau dazu: Bankseiten über die eigenen Favoriten aufrufen, im Zweifel die Banking-App öffnen oder die bekannte Nummer anrufen.

Diese Regel hat einen Vorteil gegenüber jeder Erkennungsstrategie: Sie funktioniert auch dann, wenn die Fälschung perfekt ist. War die Nachricht echt, finden Sie das Anliegen in der App ebenfalls. War sie falsch, ist nichts passiert.

Wenn Sie eine Adresse doch prüfen wollen

Entscheidend ist der Teil der Adresse vor dem ersten einzelnen Schrägstrich, und dort das Ende. Die erfundene Adresse beispielbank.de.konto-check.example/login gehört nicht der Beispielbank, sondern dem Inhaber von konto-check.example. Die Verbraucherzentrale rät deshalb, Adressen genau zu lesen und auf Bindestriche statt Punkte oder Schrägstriche zu achten. Auf dem Handy ist das mühsam, weil die Adresszeile verkürzt erscheint – ein weiterer Grund, die App lieber selbst zu öffnen.

Warum ausgerechnet die SMS so gut funktioniert

Das SMS-Postfach ist für viele ein Ort für Nützliches: Termincodes, Paketmeldungen, Bestätigungen. Diesem Vertrauen verdankt Smishing seine Wirkung. Absendernamen lassen sich bei SMS fälschen, sodass eine Betrugsnachricht im selben Verlauf wie echte Mitteilungen erscheinen kann. Ein gemeinsamer Verlauf ist deshalb kein Echtheitsbeweis.

Nicht verlangte SMS können Sie der Bundesnetzagentur melden. Sie nimmt über ihre Seite Ärger mit Rufnummern und Anrufen Beschwerden entgegen und kann in vielen Fällen gegen Rufnummern vorgehen. Verdächtige E-Mails nimmt die Verbraucherzentrale unter phishing@verbraucherzentrale.nrw entgegen. Auf dem iPhone lassen sich verdächtige Nachrichten zudem direkt als Spam melden; unerwünschte Anrufe blockieren Sie wie auf der Hilfe-Seite Spam-Anrufe blockieren beschrieben.

Antworten sollten Sie auf eine verdächtige SMS nie, auch nicht mit „Stopp“. Die Verbraucherzentrale weist darauf hin, dass jede Reaktion den Absendern zeigt, dass die Nummer aktiv genutzt wird.

Wenn Sie schon geklickt haben

Solange nichts abgeschickt wurde, ist meist nichts passiert. Haben Sie über eine SMS eine App installiert, rät die Verbraucherzentrale, das Handy sofort in den Flugmodus zu schalten und Anzeige bei der Polizei zu erstatten. Sind Zahlungsdaten betroffen, rufen Sie sofort Ihre Bank an und lassen Karte oder Zugang sperren, für Karten und Online-Banking auch über den Sperr-Notruf 116 116. Eine Zahlung, die Sie nicht autorisiert haben, muss die Bank nach § 675u BGB erstatten; wer eine Freigabe selbst erteilt hat, hat es deutlich schwerer.

Vorbeugen mit wenig Aufwand

• Zwei-Faktor-Anmeldung einschalten, am besten per App oder Passkey statt per SMS. Einzelheiten stehen im Ratgeber Zwei-Faktor-Authentifizierung.
• Für jeden Dienst ein eigenes Passwort, verwaltet in einem Passwortmanager. Das begrenzt den Schaden auf einen einzigen Zugang.
• Drittanbietersperre setzen, damit über die Handyrechnung nichts abgebucht werden kann; die Verbraucherzentrale empfiehlt sie gegen Smishing. Wie das geht, steht unter Drittanbietersperre.
• Apps nur aus dem Store installieren und die Installation aus unbekannten Quellen ausgeschaltet lassen – mehr dazu im Ratgeber Virenschutz für Android.
• Die Rufnummer schützen: Wer Ihre Nummer übernimmt, empfängt auch Ihre SMS-Codes. Wie Betrüger dabei vorgehen, erklärt der Ratgeber SIM-Swapping.