Eine Nachricht kündigt ein Paket an, fordert wegen einer angeblich unvollständigen Anschrift eine Bestätigung oder verlangt einen kleinen Betrag für die Zustellung. Solche SMS wirken besonders glaubwürdig, wenn tatsächlich eine Bestellung unterwegs ist. Genau auf diese Alltagssituation setzen Kriminelle. Hinter dem Link kann eine täuschend echt gestaltete Seite stehen, die Zugangsdaten und Zahlungsinformationen abfragt. In anderen Fällen soll eine schädliche App installiert oder ein kostenpflichtiger Dienst bestätigt werden. Die Betrugsform wird als Smishing bezeichnet, weil Phishing über SMS-Nachrichten erfolgt.
Betrügerische Paket-SMS lassen sich nicht immer an Rechtschreibfehlern erkennen. Absendernamen, Logos, Farben und Formulierungen können seriös aussehen, während verkürzte Links und künstlicher Zeitdruck den eigentlichen Angriff verbergen. Die wichtigste Schutzregel lautet deshalb, den Link in einer unerwarteten Nachricht nicht zu öffnen. Der Sendungsstatus lässt sich unabhängig davon über die bereits installierte App, die selbst eingegebene Internetadresse des Paketdienstes oder die Bestellübersicht des Händlers prüfen.
Der folgende Ratgeber erklärt mit Stand 5. Oktober 2026, welche Warnzeichen typisch sind, was nach einem versehentlichen Klick zu tun ist und wann Bank, Mobilfunkanbieter oder Polizei eingeschaltet werden sollten. Die Hinweise beruhen unter anderem auf aktuellen Informationen des Bundesamts für Sicherheit in der Informationstechnik, der Bundesnetzagentur und der Verbraucherzentralen. Diese Informationen dienen der allgemeinen Orientierung und ersetzen keine individuelle Rechts- oder IT-Sicherheitsberatung.
Was ist Smishing und warum geht es oft um Pakete?
Smishing verbindet die Begriffe SMS und Phishing. Ziel ist es, Menschen über eine Textnachricht zu einer Handlung zu bewegen, die den Angreifern Daten, Geld oder Zugriff auf ein Gerät verschafft. Das Bundesamt für Sicherheit in der Informationstechnik erklärt Smishing als Phishing-Variante über SMS. Der Inhalt kann sich auf Bankkonten, Behörden, Rechnungen oder Paketdienste beziehen. Paketankündigungen sind attraktiv, weil viele Empfänger tatsächlich eine Lieferung erwarten und eine kurze Statusmeldung zunächst nicht ungewöhnlich erscheint.
Die Verbraucherzentrale warnte mit aktualisiertem Stand vom 22. Juli 2026 weiterhin vor gefälschten Paketdienst-SMS. Als mögliche Folgen nennt sie schädliche Apps, massenhaft versandte SMS und Abofallen. Daneben sind Phishing-Seiten verbreitet, auf denen Namen, Anschriften, Passwörter oder Kreditkartendaten eingegeben werden sollen. Der angeblich kleine Nachzahlungsbetrag ist dann nur der Köder für einen wesentlich größeren Datendiebstahl.
Wie erkennt man betrügerische Paket-SMS?
Ein einzelnes Merkmal beweist den Betrug selten. Verdächtig wird eine Nachricht vor allem durch die Kombination aus unerwartetem Anlass, Handlungsdruck, Link und Datenforderung. Ein Paketdienst benötigt für eine bereits bezahlte Inlandssendung normalerweise keine erneute Kreditkarteneingabe über einen Link aus einer SMS. Auch die Behauptung, eine Sendung werde innerhalb weniger Stunden vernichtet oder zurückgesandt, soll häufig lediglich eine überlegte Prüfung verhindern.
Der Absendername ist kein Echtheitsbeweis
Auf dem Display kann ein bekannter Firmenname erscheinen, obwohl die Nachricht nicht vom genannten Unternehmen stammt. Ebenso kann eine neue Betrugsnachricht in einem Nachrichtenverlauf landen, in dem bereits echte Mitteilungen stehen. Deshalb reicht weder der sichtbare Absender noch die Position im SMS-Verlauf als Nachweis. Maßgeblich ist, ob die Information unabhängig über einen bekannten Zugang bestätigt werden kann.
Auch eine deutsche Mobilfunknummer schafft keine Sicherheit. Kriminelle versenden Nachrichten über missbrauchte oder automatisiert wechselnde Nummern. Die Bundesnetzagentur veröffentlicht fortlaufend Maßnahmen gegen Rufnummernmissbrauch; die im September 2026 geführten Maßnahmenlisten enthalten zahlreiche Abschaltungen im Zusammenhang mit Spam-SMS. Eine Blockierung kann weitere Nachrichten derselben Nummer verhindern, sie beendet aber nicht die gesamte Betrugswelle.
Link, Zeitdruck und geringe Gebühr bilden ein typisches Muster
Verdächtige Links weichen oft nur in kleinen Details von der echten Domain ab, verwenden zusätzliche Wörter oder führen über einen Kurzlink. Eine sichere Verbindung mit Schloss-Symbol schützt nur die Übertragung zur aufgerufenen Seite und bestätigt nicht, dass die Seite dem Paketdienst gehört. Hinweise zur Prüfung manipulierter Codes und Zieladressen enthält auch der Beitrag Wie erkennt man betrügerische QR-Codes?. Das Grundprinzip ist bei SMS-Links dasselbe: Entscheidend ist das tatsächliche Ziel, nicht das vertraute Erscheinungsbild.
Häufig wird eine kleine Zustell-, Zoll- oder Adresskorrekturgebühr verlangt. Die Bundesnetzagentur beschreibt solche vermeintlich geringen Paketgebühren ausdrücklich als Köder, bei dem es den Tätern um wertvolle Zahlungs- und Kontodaten geht. Weitere Warnzeichen sind unpersönliche Anreden, ungewöhnliche Zeichensetzung, ein Wechsel der Sprache und die Aufforderung, eine App außerhalb des offiziellen App-Stores zu installieren. Perfektes Deutsch schließt einen Betrugsversuch allerdings nicht aus.
Wie lässt sich eine Paketankündigung sicher prüfen?
Die Nachricht selbst sollte nicht als Ausgangspunkt der Prüfung dienen. Ist eine Sendungsnummer angegeben, kann die offizielle Website des Paketdienstes manuell im Browser aufgerufen oder die bereits vorhandene App geöffnet werden. Die Nummer lässt sich dort eingeben, ohne den SMS-Link zu verwenden. Alternativ zeigt das Kundenkonto des Händlers, ob eine Bestellung versandt wurde und welcher Dienstleister sie transportiert.
Fehlt eine Bestellung oder kennt der angebliche Paketdienst die Sendungsnummer nicht, spricht das deutlich gegen die Nachricht. Selbst bei einer realen Sendung bleibt Vorsicht nötig, denn Angreifer können massenhaft Nachrichten versenden und dadurch zufällig Menschen erreichen, die gerade ein Paket erwarten. Eine Rückfrage sollte ausschließlich über Kontaktdaten erfolgen, die auf der offiziellen Website oder in der echten Bestellbestätigung stehen. Die in der SMS genannte Nummer oder Antwortfunktion ist dafür ungeeignet.
Was ist zu tun, wenn die SMS nur empfangen wurde?
Solange kein Link geöffnet, keine Datei installiert und keine Information eingegeben wurde, ist in der Regel noch kein unmittelbarer Schaden entstanden. Die Nachricht kann als Spam markiert, der Absender blockiert und anschließend gelöscht werden. Vor dem Löschen kann ein Screenshot sinnvoll sein, wenn die Nachricht bei der Bundesnetzagentur gemeldet werden soll. Darauf sollten Absender, Text, Link und Empfangszeit erkennbar sein, ohne die verlinkte Seite aufzurufen.
Die bloße Antwort mit Wörtern wie „Stopp“ ist bei einer erkennbaren Betrugsnachricht nicht sinnvoll. Eine Reaktion kann bestätigen, dass die Nummer aktiv genutzt wird. Seriöse Werbenachrichten und kriminelle Paket-SMS sind zu unterscheiden; bei einem Betrugsverdacht wird nicht mit dem Absender kommuniziert. Die Meldung an den Mobilfunkanbieter kann zusätzlich helfen, Filter und Missbrauchserkennung zu verbessern.
Was ist nach einem Klick auf den Link erforderlich?
Ein Klick allein bedeutet nicht automatisch, dass das Smartphone infiziert oder das Konto übernommen wurde. Das Risiko hängt davon ab, was die Zielseite geladen hat, welche Berechtigungen erteilt wurden und ob Daten eingegeben oder eine App installiert wurde. Die Seite sollte geschlossen werden. Danach sind Browser und Betriebssystem zu aktualisieren, weil Sicherheitsupdates bekannte Schwachstellen schließen. Eine heruntergeladene Datei darf nicht geöffnet werden.
Wurden keine Daten eingegeben und keine Installation bestätigt, genügt häufig die sorgfältige Kontrolle des Geräts und der betroffenen Konten. Unbekannte Apps, neu eingerichtete Geräteadministratoren, veränderte Bedienungshilfen, ungewöhnlich hoher Akku- oder Datenverbrauch und unerklärliche SMS können auf einen tieferen Eingriff hindeuten. Ein Sicherheitscheck muss mit einer vertrauenswürdigen, bereits bekannten Lösung erfolgen; ein weiteres angebliches „Reinigungsprogramm“ aus der SMS wäre ein zusätzlicher Angriff.
Was gilt nach der Eingabe von Passwörtern oder Zahlungsdaten?
Wurde ein Passwort auf der falschen Seite eingegeben, sollte es unverzüglich über die echte Website des Dienstes geändert werden. Dasselbe Passwort ist überall dort zu ersetzen, wo es erneut verwendet wurde. Danach werden unbekannte Sitzungen beendet und die Zwei-Faktor-Authentisierung aktiviert. Noch robuster gegen klassische Phishing-Seiten können Passkeys sein, weil sie an den richtigen Dienst gebunden sind. Die Funktionsweise erklärt der interne Ratgeber Was ist ein Passkey?.
Bank- und Kreditkartendaten erfordern sofortige Reaktion
Nach der Eingabe von Karten-, Konto- oder Onlinebanking-Daten ist die Bank über eine selbst recherchierte offizielle Nummer zu kontaktieren. Karten und Zugänge können gesperrt, verdächtige Transaktionen geprüft und weitere Schutzmaßnahmen vereinbart werden. Bei Zahlungskarten steht in Deutschland zusätzlich der Sperr-Notruf 116 116 zur Verfügung; für die Erreichbarkeit aus dem Ausland gelten abweichende Vorwahlen. Eine schnelle Meldung verbessert die Chance, Schäden zu begrenzen, garantiert aber keine Rückbuchung.
Kontobewegungen und Kartenumsätze sollten in den folgenden Tagen eng kontrolliert werden. Auffällige Abbuchungen sind der Bank umgehend zu melden. Wurden Identitätsdaten wie Name, Anschrift, Geburtsdatum oder Ausweisdaten übermittelt, kann darüber hinaus ein Risiko für Identitätsmissbrauch bestehen. Beweismittel wie SMS, Internetadresse, Screenshots, Zeitpunkte und Zahlungsbelege bleiben unverändert erhalten.
Eine installierte App kann eine Werkseinstellung nötig machen
Besonders ernst ist die Installation einer Android-App aus einer unbekannten Quelle. Das BSI rät bei den über Smishing verbreiteten Schadprogrammen dazu, das Gerät in den Flugmodus zu versetzen, den Mobilfunkanbieter zu informieren, wichtige Daten lokal zu sichern und das Smartphone anschließend auf Werkseinstellungen zurückzusetzen. Die BSI-Handlungshinweise zu Smishing-Schadsoftware erläutern diesen Weg. Eine Sicherung darf nicht dazu führen, die schädliche App später wiederherzustellen.
Geschäftlich oder privat besonders wichtige Geräte sollten im Zweifel durch einen qualifizierten IT-Fachbetrieb untersucht werden. Nach einer Neuinstallation werden nur saubere Daten und notwendige Apps aus offiziellen Quellen zurückgespielt. Wer ein altes Gerät vollständig abgibt, findet ergänzende Hinweise unter Android-Daten sicher löschen. Löschen vor dem Verkauf und Bereinigung nach Schadsoftware sind jedoch unterschiedliche Vorgänge und dürfen nicht verwechselt werden.
Wo kann eine betrügerische Paket-SMS gemeldet werden?
Die Bundesnetzagentur nimmt Beschwerden zu SMS-Spam und Rufnummernmissbrauch entgegen. Der Informationsbereich zu SMS-Spam erläutert Zuständigkeiten und mögliche Maßnahmen wie die Abschaltung missbräuchlich verwendeter Rufnummern. Für die Meldung sind die vollständige Nachricht, Absendernummer beziehungsweise Absenderkennung, Empfangsdatum und Uhrzeit hilfreich.
Ist ein finanzieller Schaden entstanden, wurden Konten übernommen oder persönliche Daten missbraucht, kommt zusätzlich eine Strafanzeige bei der Polizei in Betracht. Die Belege werden nicht nur als Screenshot, sondern möglichst auch im Originalzustand aufbewahrt. Bei einer akuten Kontogefahr haben Bank- und Zugangssperren Vorrang vor der späteren Dokumentation. Der interne Überblick Aktuelle Betrugsmasche Telefon zeigt, dass Täter verschiedene Kommunikationswege kombinieren können; auf eine SMS kann etwa ein angeblicher Sicherheitsanruf folgen.
Welche typischen Fehler verschärfen das Risiko?
Ein häufiger Fehler ist die Annahme, ein geringer Betrag könne keinen großen Schaden verursachen. Gerade die Eingabe vollständiger Kartendaten macht aus einer kleinen Scheingebühr ein erhebliches Risiko. Ebenso problematisch ist die Wiederverwendung eines in die Phishing-Seite eingegebenen Passworts. Dann kann nicht nur das vermeintliche Paketkonto, sondern auch ein E-Mail-, Händler- oder Zahlungsdienstkonto betroffen sein.
Das Weiterleiten des aktiven Links an Familie oder Freunde kann die Gefahr vergrößern. Für eine Warnung genügt ein Screenshot, in dem die Adresse unkenntlich gemacht oder ausdrücklich als nicht anzuklicken markiert ist. Auch das Suchen nach der Nummer allein liefert keine verlässliche Entwarnung, weil Absender wechseln oder gefälscht sein können. Schließlich darf ein bekanntes Logo nicht mit einer geprüften Herkunft verwechselt werden.
Wie lässt sich Smishing vorbeugen?
Aktuelle Betriebssysteme und Apps bilden die technische Grundlage. Installationen aus unbekannten Quellen bleiben deaktiviert, und App-Berechtigungen werden sparsam vergeben. Spam- und Betrugsschutzfunktionen der Nachrichten-App können verdächtige Absender erkennen, ersetzen aber keine inhaltliche Prüfung. Sendungsverfolgung erfolgt ausschließlich über gespeicherte Apps, Lesezeichen oder manuell eingegebene Adressen.
Für wichtige Konten sind einzigartige Passwörter und eine zusätzliche Anmeldungssicherung sinnvoll. Ein Passwortmanager erleichtert die Trennung der Zugänge und warnt häufig, wenn eine gespeicherte Anmeldung nicht zur geöffneten Domain passt. Benachrichtigungen von Bank und Kreditkartenanbieter können ungewöhnliche Umsätze früh sichtbar machen. Der laufend aktualisierte Phishing-Radar der Verbraucherzentralen zeigt außerdem aktuelle Varianten und stärkt den Blick für wechselnde Vorwände.
Fazit: Paketstatus immer unabhängig von der SMS prüfen
Betrügerische Paket-SMS nutzen eine plausible Alltagssituation, Zeitdruck und kleine Zahlungsforderungen. Weder der sichtbare Absendername noch ein professionelles Design beweisen die Echtheit. Der sicherste Weg führt nie über den Nachrichtenlink, sondern über die offizielle App, eine selbst eingegebene Internetadresse oder das Kundenkonto des Händlers.
Nach einem reinen Empfang genügt meist das Dokumentieren, Melden, Blockieren und Löschen. Nach einem Klick richtet sich die Reaktion nach den weiteren Schritten. Eingegebene Passwörter werden sofort geändert, Zahlungsdaten der Bank gemeldet und installierte unbekannte Apps als möglicher Sicherheitsvorfall behandelt. Eine klare Reihenfolge verhindert, dass aus einer kurzen Nachricht ein dauerhafter Konto- oder Identitätsschaden wird.
Häufige Fragen zu betrügerischen Paket-SMS
Die wichtigsten Einzelfragen betreffen das tatsächliche Risiko einer empfangenen Nachricht, die sichere Prüfung einer Sendung und die richtige Reaktion nach der Preisgabe sensibler Daten.
Kann eine SMS allein das Smartphone infizieren?
Der bloße Empfang einer normalen SMS führt üblicherweise nicht zu einer Infektion. Das Risiko steigt, wenn ein Link geöffnet, eine Datei ausgeführt, eine App installiert oder eine weitreichende Berechtigung erteilt wird. Betriebssystem und Nachrichten-App sollten dennoch aktuell sein, damit bekannte Sicherheitslücken geschlossen bleiben.
Ist eine Paket-SMS mit echtem Firmennamen automatisch seriös?
Nein. Absendernamen und Rufnummern können manipuliert oder missbraucht werden. Selbst eine Nachricht im bestehenden Verlauf eines Paketdienstes ist kein sicherer Echtheitsnachweis. Entscheidend ist die unabhängige Bestätigung in der offiziellen App oder auf der selbst aufgerufenen Website.
Darf eine verdächtige Sendungsnummer auf der echten Paketdienst-Seite geprüft werden?
Ja, sofern die offizielle Seite manuell aufgerufen oder die bereits installierte App verwendet wird. Der Link aus der SMS bleibt dabei geschlossen. Eine gültige Nummer beweist jedoch nicht zwingend, dass die Nachricht echt ist, weil öffentlich gewordene oder zufällig passende Daten missbraucht werden können.
Was ist nach der Eingabe von Kreditkartendaten am wichtigsten?
Die kartenausgebende Bank wird sofort über eine offizielle Kontaktmöglichkeit informiert und die Karte gegebenenfalls gesperrt. Anschließend werden Umsätze kontrolliert, Belege gesichert und nicht autorisierte Transaktionen unverzüglich gemeldet. Das Schließen der Phishing-Seite allein schützt die bereits übermittelten Daten nicht.
Sollte auf eine betrügerische SMS mit „Stopp“ geantwortet werden?
Bei einer erkennbaren Betrugsnachricht ist eine Antwort nicht sinnvoll. Eine Reaktion kann bestätigen, dass die Nummer aktiv ist. Besser sind die Spam-Meldung in der Nachrichten-App, das Blockieren des Absenders und gegebenenfalls eine Beschwerde bei der Bundesnetzagentur.
Wann ist nach Smishing eine Strafanzeige sinnvoll?
Eine Anzeige kommt besonders bei finanziellem Schaden, Kontoübernahme, Identitätsmissbrauch oder installierter Schadsoftware in Betracht. Screenshots, Rufnummern, Links, Empfangszeiten, Zahlungsbelege und die Kommunikation mit Bank oder Mobilfunkanbieter erleichtern die Nachverfolgung. Dringende Sperrmaßnahmen werden trotzdem zuerst durchgeführt.
Bildnachweis: Foto 1: Alex Green / Pexels (Foto-ID 5699830); Foto 2: Mikhail Nilov / Pexels (Foto-ID 7534804). Nutzung gemäß Pexels-Lizenz.
