„Ihr Paket konnte nicht zugestellt werden. Bitte bestätigen Sie Ihre Adresse.” Im November und Dezember bekommt fast jeder so eine SMS, oft gleich mehrmals pro Woche. Das Gemeine daran: Genau in dieser Zeit erwarten wir tatsächlich Pakete. Die Betrüger nutzen das aus, und sie haben ihr Repertoire erweitert. Neben der klassischen Paket-SMS tauchen immer häufiger manipulierte QR-Codes auf, am Parkautomaten, an der Ladesäule oder in einem Brief, der aussieht wie von der Bank. Beide Maschen lassen sich mit ein paar Handgriffen zuverlässig durchschauen.
- Paketdienste verlangen per SMS keine Gebühren und keine Kartendaten
- Sendungen prüfst du immer in der App oder auf der Seite des Händlers, nie über den Link
- QR-Codes zeigen vor dem Öffnen ihr Ziel an, lies die Adresse wie einen Link
- Aufkleber auf Parkautomaten und Ladesäulen sind ein Warnsignal
- Schon geklickt? Karte sperren, Bank anrufen, Passwort ändern
Masche 1: die Paket-SMS (Smishing)
Smishing ist Phishing per SMS. Die Nachricht gibt sich als DHL, DPD, Hermes oder die Post aus und behauptet, mit deiner Sendung stimme etwas nicht. Der Link führt auf eine täuschend echte Seite, auf der du eine kleine Gebühr zahlen oder deine Adresse bestätigen sollst. Die zwei Euro sind nur der Köder. Eigentlich geht es um deine Kartendaten, und die werden danach für größere Beträge genutzt.
Typische Merkmale:
- Ein Link zu einer fremden Adresse, oft mit Zusätzen wie „-zustellung”, „-tracking” oder einer exotischen Endung.
- Eine kleine Gebühr, angeblich für Zoll, Porto oder eine neue Zustellung.
- Zeitdruck: „Ihr Paket wird in 24 Stunden zurückgeschickt.”
- Keine Sendungsnummer, die zu einer echten Bestellung passt.
Masche 2: der manipulierte QR-Code (Quishing)
Quishing ist dieselbe Idee mit einem QR-Code. Ein Code kann genauso auf eine gefälschte Seite führen wie ein Link, nur siehst du die Adresse nicht auf den ersten Blick. Beliebte Orte:
- Parkautomaten und Ladesäulen: Ein Aufkleber überdeckt den echten Code und führt zu einer gefälschten Bezahlseite.
- Briefe von der „Bank”: Ein offiziell wirkendes Schreiben fordert dich auf, per QR-Code dein Konto zu bestätigen.
- E-Mails: Ein Code im Anhang oder im Bild umgeht manche Spamfilter, weil darin kein klickbarer Link steht.
Wie raffiniert solche Mails inzwischen aussehen, kannst du im Phishing-Trainer selbst ausprobieren. Dort ist auch ein QR-Code-Fall dabei.
So prüfst du Nachrichten und Codes
- Nie über den Link in der SMSÖffne die App des Paketdienstes oder dein Kundenkonto beim Händler und schau dort nach. Gibt es ein Problem mit der Sendung, steht es dort.
- Adresse von rechts lesenEntscheidend ist die eigentliche Domain, also der Teil direkt vor dem ersten einzelnen Schrägstrich. In „dhl.de.paket-info.com" gehört die Seite zu „paket-info.com", nicht zu DHL.
- QR-Vorschau nutzeniPhone und Android zeigen beim Scannen die Zieladresse an, bevor sie geöffnet wird. Passt sie nicht zum Absender, nicht antippen.
- Aufkleber anfassenAm Parkautomaten oder an der Ladesäule kurz mit dem Finger über den Code fahren. Ein überklebter Aufkleber fühlt sich anders an. Im Zweifel lieber die offizielle App des Betreibers nutzen.
- Keine Kartendaten für KleinstbeträgeWer für eine angebliche Gebühr von ein, zwei Euro Kartennummer und Prüfziffer verlangt, will etwas anderes. Hier immer abbrechen.
Schalte auf dem iPhone unter Einstellungen, Apps, Nachrichten den Filter für unbekannte Absender ein (je nach iOS-Version heißt er „filtern" oder „überprüfen"). Nachrichten von Nummern, die nicht in deinen Kontakten stehen, landen dann in einer eigenen Liste und stören dich nicht mehr direkt. Viele Android-Handys haben einen vergleichbaren Spamschutz in der Nachrichten-App.
Schon geklickt? Das ist jetzt zu tun
Passiert ist passiert, wichtig ist jetzt Tempo. Geh die Punkte der Reihe nach durch:
- Karte sperren lassenWenn du Kartendaten eingegeben hast: sofort deine Bank anrufen oder den Sperr-Notruf 116 116 wählen.
- Passwort ändernHast du ein Passwort eingegeben, änderst du es sofort, auch überall dort, wo du dasselbe Passwort nutzt.
- App-Installation prüfenManche Links wollen eine App installieren lassen. Ist das passiert, schalte das Handy in den Flugmodus und lass es prüfen, bevor du wieder Banking-Apps öffnest.
- Anzeige erstattenBei finanziellem Schaden über die Online-Wache deines Bundeslandes. Die Anzeige brauchst du oft für die Bank.
Antworte nie auf solche SMS, auch nicht mit „STOP". Damit bestätigst du nur, dass die Nummer aktiv ist, und bekommst danach noch mehr Nachrichten.
Häufige Fragen
Woher haben die Betrüger meine Handynummer?
Meist gar nicht gezielt. Die Nachrichten gehen massenhaft an zufällig erzeugte oder aus Datenlecks stammende Nummern. Dass du gerade ein Paket erwartest, ist Zufall, aber in der Vorweihnachtszeit eben ein sehr wahrscheinlicher.
Ist schon das Öffnen der SMS gefährlich?
Nein. Das Lesen der Nachricht richtet keinen Schaden an. Gefährlich wird es erst, wenn du den Link öffnest und dort Daten eingibst oder etwas installierst.
Wie erkenne ich eine echte Benachrichtigung von DHL?
Echte Hinweise passen zu einer Bestellung, die du kennst, und lassen sich in der offiziellen App oder im Kundenkonto des Händlers nachvollziehen. Wenn du dort nichts findest, ist die SMS mit großer Wahrscheinlichkeit gefälscht.
Wo kann ich solche Nachrichten melden?
Die Verbraucherzentrale sammelt aktuelle Maschen in ihrem Phishing-Radar und warnt dort vor neuen Wellen. Bei Kartenmissbrauch ist immer zuerst deine Bank die richtige Adresse.
Mein Fazit
Paket-SMS und falsche QR-Codes sind keine Hightech-Angriffe, sondern einfache Tricks, die auf Eile setzen. Wer sich angewöhnt, Sendungen nur in der App zu prüfen und bei Codes kurz die Adresse zu lesen, ist schon raus aus dem Spiel. Weitere Warnsignale bei E-Mails findest du in meinem Beitrag zu Phishing-Mails, und vor dem Weihnachtseinkauf lohnt ein Blick auf den Fake-Shop-Check.
Nicht über den Link, immer über die App
- Paketdienste verlangen per SMS weder Gebühren noch Kartendaten
- Sendungen nur in der offiziellen App oder im Händlerkonto prüfen
- Bei QR-Codes die angezeigte Adresse von rechts lesen
- Überklebte Codes an Automaten und Ladesäulen meiden
- Nach einem Klick: Karte sperren, Passwort ändern, Bank informieren
Laufende Warnungen vor neuen Betrugsmaschen veröffentlicht die Verbraucherzentrale.
Soll ich mir das bei dir anschauen?
Wenn du unsicher bist, ob ein Gerät betroffen ist, oder dich besser absichern willst:
- PC-Support: Ich prüfe Rechner und Handys, wenn du schon geklickt hast, und räume auf.
- E-Mail-Sicherheit: Für Selbständige mit eigener Domain, damit Fälschungen in deinem Namen schwerer werden.
- Passwort-Safe: Wer überall eigene Passwörter nutzt, verliert bei einem Fehlklick nur einen Zugang statt aller.
Wie gut du gegen Phishing und Fakes gewappnet bist, zeigt dir der IT-Check in ein paar Minuten.
Schreib mir kurz, ich höre zu.
Wenn dich das Thema betrifft oder du eine konkrete Frage hast, melde dich. Ich höre zu, frage nach, und überlege gemeinsam mit dir was wirklich Sinn macht.
Kontakt aufnehmen →