Fake-Paket-SMS erkennen: echt oder Betrug?

Wie erkenne ich eine Fake-SMS vom Paketdienst?

Eine Fake-SMS hat meist mehrere dieser Merkmale:

• Du erwartest gar kein Paket. Das BSI rät, als Erstes zu überlegen, ob überhaupt eine Sendung unterwegs ist. Bei manchen Absendern ist die Sache sofort klar: „Hermes Germany nutzt keinen SMS-Service“, jede SMS in seinem Namen ist also Betrug (einzige Ausnahme: der Hermes Einrichtungsservice für Möbel).
• Sie will Geld für die Zustellung. DHL fragt per SMS nie nach persönlichen Daten und fordert nie zu Zahlungen auf. Bei Hermes zahlt der Absender den Versand, du als Empfänger nie etwas dazu. Die Österreichische Post verlangt nie deine IBAN und BIC, um ein Paket zuzustellen.
• Sie macht Druck. „Dein Paket wird zurückgesendet, wenn Du nicht sofort reagierst“ ist ein Beispiel, das Hermes selbst zitiert. Die Schweizerische Post droht nicht und setzt keine extrem kurzen Fristen, und das österreichische Bundeskriminalamt nennt Zeitdruck mit angedrohten Folgen ein typisches Warnzeichen.
• Der Link gehört nicht dem Paketdienst. Typisch sind Kurzlinks wie bit.ly (laut DHL), nachgebaute Adressen wie post.ch.paysget.info (Schweizerische Post) oder dpd.pay3d.shop (DPD) und gefälschte Seiten wie postaustria.org (Österreichische Post).
• Der Absender passt nicht. DPD verschickt SMS „ausschließlich von der Nummer +49 177 1787807“. DHL-Mails kommen von @dhl.de, @dhl.com, @dpdhl.com oder einer anderen DHL-Länderdomain, nie von Gmail oder Yahoo, und Mails der Österreichischen Post enden auf @post.at. Laut DHL zeigen Fake-SMS oft eine ausländische Nummer oder einen Namen wie „Lieferung“.
• Sprache und Anrede wirken falsch. Das BSI rät, auf Rechtschreibfehler zu achten, vor allem bei ä, ö und ü. Das Bundeskriminalamt nennt die unpersönliche Anrede „Sehr geehrte Kundin / Sehr geehrter Kunde“. Die Schweizerische Post schreibt auf Deutsch, Französisch oder Italienisch, manchmal auf Englisch.

Ein bekannter Absender beweist allerdings nichts. Die Österreichische Post warnt vor einer Mail „Dein Paket wartet!“, die scheinbar von [email protected] kommt und eine „Liefergebühr“ verlangt. Auch eine Sendungsnummer beweist nichts: Echte DPD-Paketnummern haben 14 Ziffern, die Schweizerische Post zeigt als Beispiel die gefälschte Nummer 34632900-371. Prüf eine Nummer deshalb nur auf der Seite oder in der App des Paketdienstes.

So liest du einen Link, bevor du ihn antippst

Betrugslinks beginnen oft mit dem Namen eines Paketdienstes. Entscheidend ist aber, was direkt vor dem ersten einfachen / steht: Wem dieser Teil gehört, dem gehört die Adresse. Das erfundene Beispiel nutzt die britische Royal Mail, mit dhl.de oder post.ch funktioniert der Trick genauso:

Auch wenn ein Link richtig aussieht: Nutz ihn nicht, sondern tipp die Adresse des Paketdienstes selbst ein.

Schicken DHL, Hermes, DPD und die Post wirklich SMS?

Die meisten schon, und genau deshalb funktionieren die Fakes. Was die Paketdienste selbst über ihre Nachrichten schreiben:

Echte Paketdienste schicken durchaus Links, und es gibt auch echte Zahlungsaufforderungen, fast alle für Einfuhrabgaben: DPD kann bei Paketen von außerhalb der EU vor der Zustellung Zollgebühren verlangen. Ein Link oder eine Gebühr allein sagt also wenig. Ob eine Forderung echt ist, zeigt dir die Seite des Paketdienstes. Bist du dir bei einer DPD-Nachricht unsicher, frag unter [email protected] nach.

Typische Betrugsmaschen bei der Paketzustellung

Die Maschen wiederholen sich. Diese Beispiele stammen von den Warnseiten der Paketdienste und Behörden:

• Zustellung verpasst, Gebühr zahlen. Ein Formular im DPD-Design will eine kleine Gebühr und deine Kartendaten. Bei der Österreichischen Post heißt die angebliche Gebühr „Liefergebühr“.
• Problem mit der Adresse. Eine „Gebühr für falsche Lieferadresse“ oder die Bitte, „Informationen ergänzen, Sendung bestätigen“ (Österreichische Post). Wie du eine Adresse wirklich änderst, steht unter Paket umleiten.
• Paket hängt fest. „Ihr Paket wird im Sortierzentrum aufbewahrt“ (Bundesnetzagentur), „Paket in Warteschleife“ (Österreichische Post), „Paket im Terminal festgehalten“ (Schweizerische Post).
• Zollgebühr. Die Bundesnetzagentur hat vor SMS gewarnt, die eine angebliche „Zollgebühr“ verlangen. Manche Forderungen sind aber echt: Woran du sie erkennst, steht im Ratgeber Paket beim Zoll.
• SMS-Code oder Rückrufnummer. Die Schweizerische Post nennt Fakes, die dich einen „SMS-Code an 41414 senden“ lassen oder auf 0901-Nummern verweisen.
• WhatsApp statt SMS. DHL warnt vor falschen Konten, die das Gespräch zu WhatsApp oder Telegram verlagern. GLS schreibt dich nie zuerst per Messenger an.
• Gelber Zettel mit QR-Code. Die Österreichische Post warnt vor einer gefälschten Benachrichtigung im Briefkasten mit QR-Code oder Telefonnummer, die nicht von ihr stammt.
• Ein Anruf. GLS fordert am Telefon nie zur Zahlung auf und fragt nie nach Kartendaten oder Passwörtern. Im Netz stehen gefälschte GLS-Hotlines: Nimm nur Nummern von der GLS-Seite.
• „Kurier“ für deinen Kleinanzeigen-Verkauf. Die Österreichische Post warnt vor einem falschen „Post-Kurier“ und „Post-Käuferschutz“, die Schweizerische Post vor gefälschten Abholaufträgen in Kleinanzeigen.
• Paket ohne Bestellung an der Tür. GLS warnt vor Leuten in Zustellerkleidung, die eine unerwartete Nachnahme bringen, oft „für den Nachbarn“, mit wertlosem Inhalt. Zahl keine Nachnahme, die du nicht erwartest.

Paket-SMS echt oder Fake? So prüfst du sie sicher

Fünf Schritte, und für keinen brauchst du die Nachricht:

1. 1Überleg, ob du etwas erwartestKeine Bestellung, niemand, der dir etwas schickt? Dann behandle die Nachricht als Betrug.
2. 2Hol dir die echte SendungsnummerAus der Versandmail oder dem Kundenkonto des Shops, nie die Nummer aus der SMS.
3. 3Öffne den Paketdienst selbstTipp seine Adresse ein oder öffne seine App. Nichts aus der Nachricht antippen, scannen oder anrufen.
4. 4Schau, ob wirklich etwas fällig istEine echte Gebühr siehst du auch auf der Seite oder in der App des Paketdienstes.
5. 5Melden, dann löschenIn Deutschland bei der Bundesnetzagentur, in Österreich bei der Watchlist Internet, in der Schweiz beim BACS (mehr unten).

Keine Nummer zur Hand? Lies, wo du die Sendungsnummer findest. Du kannst sie auch in Peek einfügen: Peek fragt den Paketdienst und, wenn nötig, andere Quellen, und du siehst die neuesten Scans, ohne den Link anzufassen. Bezahlen kannst du dort nichts: Was wirklich fällig ist, zahlst du beim Paketdienst.

Eine echte verpasste Zustellung hinterlässt meist eine Benachrichtigung. Wie es danach weitergeht, steht unter Paket verpasst.

Fake-SMS geöffnet oder Link angeklickt: was tun?

Das hängt davon ab, was du auf der Seite gemacht hast:

1. 1Seite schließenGib nichts mehr ein. Antworte nicht, auch nicht mit „STOP“.
2. 2Bank anrufen oder Karte sperrenÜber die Nummer auf der Karte oder in der Banking-App, in Deutschland auch über den Sperr-Notruf 116 116.
3. 3Passwörter ändernÜberall, wo du das eingegebene Passwort benutzt hast.
4. 4Anrufern nicht trauenRuft jemand an, auch angeblich von der Bank oder vom Paketdienst? Leg auf und ruf unter einer Nummer zurück, die du selbst nachgeschlagen hast.
5. 5Anzeige erstattenBei der Polizei, wenn du Geld oder Daten verloren hast.

Link nur geöffnet, nichts eingegeben? Dann gib nichts mehr ein und schließ die Seite, rät die Schweizerische Post. Apps der Post installierst du nur aus dem App Store oder von Google Play, nie über einen Link aus einer Nachricht. Melde die SMS trotzdem.

Kartendaten eingegeben oder bezahlt? Lass Onlinebanking, Konto und Karten „unverzüglich“ sperren, rät das österreichische Bundeskriminalamt, und beobachte deine Kontobewegungen. Der deutsche Sperr-Notruf 116 116 ist rund um die Uhr erreichbar, aus dem deutschen Festnetz kostenlos und aus dem Ausland unter +49 116 116. Nicht jede Bank macht mit: Steht deine nicht auf der Liste, nimm die Nummer auf deiner Karte. Hast du ein Passwort eingegeben, ändere es sofort, rät die Schweizerische Post.

Auch eine winzige Gebühr ist nicht harmlos: Laut DPD schließt du über solche Kartenformulare unbemerkt einen Vertrag mit Betrügern über weitere Zahlungen ab. Prüf also auch in den nächsten Wochen deine Kontoauszüge und Kartenabrechnungen.

Fake-Paket-SMS melden: wo und wie

Melde eine Fake-SMS, auch wenn du nicht geklickt hast, und lösche sie dann.

Die Bundesnetzagentur kann Absendernummern abschalten lassen, aber keine Bußgelder für SMS-Spam verhängen. Auf dem iPhone steht unter Nachrichten von unbekannten Absendern Spam melden: Tipp darauf und dann auf Spam löschen und melden. Hast du schon geantwortet, geht das nicht mehr. In Google Messages auf Android öffnest du die Unterhaltung und wählst im Dreipunkt-Menü unter Details die Option Blockieren und als Spam melden.