SMS-Codes: Wenn Nachrichten nicht mehr sicher sind

Kurz erklärt

Viele denken, ein Code per SMS sei sicher, weil er ja nur aufs eigene Handy kommt. Das stimmt aber nicht immer. Kriminelle können Handynummern übernehmen, sodass SMS plötzlich bei ihnen statt bei dir ankommen. Ausserdem lässt sich der Absender-Name einer SMS fälschen – eine Betrugs-SMS kann also genau gleich aussehen wie eine echte, sogar im selben Nachrichtenverlauf wie deine Bank.

Das Problem

SMS-Codes werden oft benutzt, um sich bei Online-Banking, E-Mail oder anderen Diensten zusätzlich abzusichern. Das ist grundsätzlich eine gute Idee. Das Problem: Die Technik dahinter ist nicht so sicher, wie viele glauben. Zwei Tricks nutzen Kriminelle dabei besonders oft aus – die Übernahme der Handynummer und die Fälschung des Absenders.

Wie funktioniert der Betrug?

Trick 1: Die Handynummer wird gekapert (SIM-Swap)

Stell dir vor, dein Handy hat plötzlich keinen Empfang mehr, obwohl du nichts verändert hast. Was du nicht weisst: Kriminelle haben sich vorher Informationen über dich beschafft (z. B. aus sozialen Medien oder von früheren Datenlecks) und damit bei deinem Mobilfunk-Anbieter eine neue SIM-Karte mit deiner Nummer bestellt – angeblich weil das Handy verloren gegangen sei. Ab diesem Moment gehen alle Anrufe und SMS, die eigentlich für dich bestimmt sind, an das Handy der Betrüger. Auch der Sicherheits-Code für dein Online-Banking landet nun bei ihnen.

Trick 2: Der Absender-Name wird gefälscht (Spoofing)

Bei SMS und Anrufen kann der angezeigte Name oder die Nummer frei gewählt werden – das ist technisch möglich und wird auch für seriöse Zwecke genutzt. Kriminelle missbrauchen das aber, um eine SMS mit dem Namen deiner Bank zu verschicken. Diese SMS erscheint dann automatisch im selben Nachrichtenverlauf wie frühere, echte SMS deiner Bank – für dein Handy sieht es aus, als kämen alle Nachrichten von derselben Quelle. So kannst du eine gefälschte SMS mit einem gefährlichen Link oder einer falschen Code-Abfrage kaum von einer echten unterscheiden.

So kann ein solcher Betrug ablaufen:

1. Die Betrüger sammeln Informationen über dich. Zum Beispiel Name, Geburtsdatum oder Adresse, oft aus sozialen Medien oder früheren Datendiebstählen.
2. Sie übernehmen deine Nummer oder fälschen den Absender. Entweder per SIM-Swap beim Mobilfunk-Anbieter, oder indem sie eine SMS mit gefälschtem Absender-Namen verschicken.
3. Du erhältst eine SMS oder gar keine mehr. Bei einem SIM-Swap fällt dein Empfang plötzlich aus. Bei einer gefälschten SMS wirkt die Nachricht vertrauenswürdig echt.
4. Du gibst einen Code weiter oder klickst auf einen Link. Zum Beispiel weil in der SMS steht, man solle den Code am Telefon bestätigen oder auf einer Seite eingeben.
5. Die Betrüger nutzen den Code sofort. Damit loggen sie sich in dein Konto ein oder bestätigen eine Zahlung in deinem Namen.

Warnzeichen

1. Dein Handy hat plötzlich keinen Empfang mehr, ohne erkennbaren Grund
2. Du erhältst einen SMS-Code, obwohl du selbst gerade nichts angefordert hast
3. Am Telefon oder per SMS wirst du gebeten, einen Code weiterzugeben oder vorzulesen
4. Eine SMS fordert dich auf, auf einen Link zu klicken, um etwas zu "bestätigen" oder zu "stornieren"
5. Du wirst kontaktiert und unter Druck gesetzt, schnell zu handeln

So schützt du dich

1. Codes niemals weitergeben. Kein seriöses Unternehmen, keine Bank und keine Behörde verlangt jemals, dass du einen erhaltenen SMS-Code am Telefon vorliest oder per Nachricht weiterschickst.
2. Bei plötzlichem Empfangsverlust sofort reagieren. Ruf umgehend deinen Mobilfunk-Anbieter an (wenn möglich über ein anderes Telefon), falls dein Handy ohne Grund keinen Empfang mehr hat.
3. SIM-Karte zusätzlich schützen. Frage bei deinem Mobilfunk-Anbieter nach einem zusätzlichen Passwort oder PIN-Schutz für Änderungen an deiner SIM-Karte.
4. Absender nicht blind vertrauen. Auch wenn eine SMS im gleichen Verlauf wie frühere, echte Nachrichten erscheint, kann sie gefälscht sein – der Name allein ist kein Beweis für Echtheit.
5. Wenn möglich, eine App statt SMS nutzen. Authentifizierungs-Apps oder Banking-Apps mit eigener Bestätigung sind sicherer als SMS-Codes.
6. Bei Unsicherheit direkt bei der Bank oder Firma anrufen – mit einer Nummer, die du selbst kennst oder nachschlägst, nicht mit einer Nummer aus der verdächtigen Nachricht.

Was tun, wenn es schon passiert ist?

Das kann jedem passieren – das ist keine Schande. Wichtig ist, schnell zu handeln:

1. Mobilfunk-Anbieter sofort kontaktieren, wenn deine SIM-Karte ohne dein Wissen ausgetauscht wurde.
2. Bank informieren und Konten sperren lassen, wenn ein Code missbraucht wurde.
3. Passwörter ändern, besonders bei Konten, die mit deiner Handynummer verknüpft sind.
4. Anzeige bei der Polizei erstatten.

Merksatz

Ein Code ist wie ein Schlüssel – gib ihn niemals weiter, egal wer fragt.