„Ihr Paket wartet auf die Zustellung, folgen Sie bitte den folgenden Schritten: [Link]" – eine SMS wie diese landet derzeit millionenfach auf deutschen Handys. Was harmlos nach Paketverfolgung aussieht, ist in Wahrheit eine der aggressivsten Betrugsmaschen überhaupt: Smishing mit Schadsoftware. Wer auf den Link tippt und die angebotene „Tracking-App" installiert, holt sich einen Trojaner aufs Handy, der Daten stiehlt – und im Sekundentakt weitere Betrugs-SMS an die eigenen Kontakte verschickt.
Die Verbraucherzentralen warnen seit Jahren vor dieser Masche, und das Bundesamt für Sicherheit in der Informationstechnik (BSI) dokumentiert sie laufend. Dieser Ratgeber erklärt, wie du Fake-Tracking-Apps erkennst, was du auf keinen Fall tun darfst – und welche Sofortmaßnahmen helfen, wenn es doch passiert ist.
Was ist Smishing – und was unterscheidet die Schadsoftware-Variante?
Smishing ist die Kombination aus SMS und Phishing: Betrüger verschicken massenhaft Kurznachrichten, die angeblich von Paketdiensten, Banken oder Behörden stammen. Das Ziel ist immer ein Klick auf einen Link. Was danach passiert, unterscheidet zwei Varianten:
- Die Zahlungslink-Variante: Der Link führt auf eine gefälschte Paketdienst-Seite, die angeblich fällige Zollgebühren oder Nachzahlungen kassieren will – und dabei Kreditkartendaten abgreift. (Dazu haben wir einen eigenen Ratgeber zum Zollgebühren-SMS-Betrug.)
- Die Schadsoftware-Variante: Der Link fordert dich auf, eine App zu installieren, um angeblich dein Paket zu verfolgen. Diese App ist der eigentliche Angriff: ein Trojaner, der sich als DHL-, Hermes- oder DPD-Anwendung tarnt.
Die Schadsoftware-Variante ist die gefährlichere der beiden – denn sie braucht keine eingegebenen Daten. Es genügt die Installation.
So funktioniert der Angriff mit der Fake-Tracking-App
Der Ablauf folgt fast immer demselben Drehbuch:
- Die SMS kommt an. Sie behauptet, ein Paket sei unterwegs, die Zustellung sei fehlgeschlagen oder eine Sendung warte auf Bestätigung. Oft enthält sie eine erfundene Sendungsnummer und einen verkürzten Link. Manche Nachrichten kommen sogar mit persönlicher Anrede („Hallo Stefan") – die Namen stammen meist aus gehackten Datenbanken oder aus den Kontaktlisten bereits infizierter Handys.
- Der Link führt auf eine gefälschte Paketdienst-Seite. Sie sieht täuschend echt aus – Logo, Farben, Tracking-Maske. Statt einer echten Sendungsverfolgung fordert sie dich auf, eine „Tracking-App" herunterzuladen.
- Die Installation ist der Knackpunkt. Auf Android-Handys kann die Seite dich dazu bringen, eine App außerhalb des Google Play Store zu installieren (eine sogenannte APK-Datei). Dafür musst du der Installation aus „unbekannten Quellen" zustimmen – genau das wollen die Täter.
- Der Trojaner übernimmt. Ist die App erst installiert, fragt sie nach weitreichenden Berechtigungen – etwa Zugriff auf SMS oder Bedienungshilfen. Damit liest sie deine Daten aus, fängt Nachrichten ab und verschickt im Sekundentakt neue Betrugs-SMS an deine gespeicherten Kontakte. So multipliziert sich die Welle von allein.
Bekannte Vertreter dieser Malware-Familie sind FluBot und TeaBot, die laut BSI erstmals zu Ostern 2021 in einer großen Welle über deutsche Handys rollten. Seitdem ist das Thema ein Dauerbrenner: Mal sollen angeblich Zollgebühren bezahlt werden, mal fehlen angeblich Zustellinformationen, mal wird eine neue Sprachnachricht vorgegaukelt.
Woran du eine Fake-Tracking-SMS erkennst
Echte Paketdienste verschicken durchaus SMS – aber niemals mit einer Aufforderung, eine App per Link zu installieren. Diese Warnsignale verraten die Fälschung:
- App-Installation per SMS-Link: Der mit Abstand wichtigste Hinweis. Kein seriöser Paketdienst bittet dich per SMS, eine Tracking-App außerhalb des App Store zu installieren.
- Seltsame Absendernummer: Statt eines Absendernamens wie „DHL" steht eine normale Handynummer oder eine unbekannte Kurzwahl im Absenderfeld. Vorsicht: Auch WhatsApp-Nachrichten von angeblichem Support nutzen gefälschte Absender – die Masche ist dieselbe, nur der Kanal ein anderer.
- Verkürzte oder kryptische Links: Die URL ist gekürzt oder enthält wirre Zeichenfolgen statt einer echten Paketdienst-Domain.
- Dringlichkeit und Drohung: „Letzte Möglichkeit", „Paket wird zurückgesendet", „innerhalb von 12 Stunden bestätigen" – Zeitdruck ist das Lieblingswerkzeug der Täter.
- Rechtschreibfehler und fehlende Umlaute: „Bestatigen Sie Ihre Angaben", „Fortshcritt verfolgen" – viele Nachrichten werden maschinell erzeugt und schlampig übersetzt.
- Zahlungsaufforderung per Link: Paketdienste fordern grundsätzlich nicht per SMS zur Zahlung auf. Echte Zollgebühren werden in der Regel bei der Zustellung kassiert – nicht vorab über einen Internetlink.
Die goldenen Regeln: Was du niemals tun darfst
- Öffne keinen Link aus einer SMS unbekannter Herkunft. Hast du es doch getan, stimme keiner Installation einer neuen App zu – das BSI zeigt ausdrücklich das Beispiel einer gefälschten DHL-Seite, die genau diese Installation erklärt. Folge dieser Erklärung niemals.
- Antworte nicht auf die SMS – lösche sie. Jede andere Reaktion zeigt den Tätern, dass deine Handynummer aktiv genutzt wird. Das macht deine Nummer wertvoller und zieht weitere Nachrichten nach sich.
- Installiere Apps nur aus den offiziellen Stores. Auf dem iPhone bist du ohnehin geschützt, weil sich dort keine Apps außerhalb des App Store installieren lassen. Auf Android: Finger weg von APK-Dateien aus SMS-Links und von der Option „Unbekannte Quellen".
- Gib keine Daten auf verlinkten Seiten ein – keine Kreditkartennummer, keine Adresse, kein Passwort.
Erwartest du tatsächlich ein Paket? Dann öffne die Internetseite des Paketdienstes in einem Browser und gib dort die Sendungsnummer ein – oder erkundige dich per Anruf oder E-Mail beim Absender des Pakets, ob es wirklich Zustellprobleme gibt. So prüfst du den Status, ohne je einen SMS-Link anzutippen.
Was tun, wenn du doch geklickt oder installiert hast?
Keine Panik – aber handle schnell und in dieser Reihenfolge:
- Flugmodus aktivieren. Damit stoppst du sofort weitere SMS-Versendungen durch die Schadsoftware und kappst ihre Verbindung.
- Beweise sichern. Mach Screenshots der SMS und der installierten App und speichere sie außerhalb des Handys. Wie das sauber geht, erklärt unser Ratgeber zum Beweise sichern.
- Schadsoftware entfernen. Deinstalliere die App – oder, wenn sie sich nicht entfernen lässt, setze das Smartphone auf die Werkseinstellungen zurück. Das ist der sicherste Weg, den Trojaner loszuwerden.
- Anbieter informieren. Melde den Vorfall deinem Mobilfunkanbieter – vor allem, wenn deine Rechnung plötzlich ungewöhnlich hoch ist: Die im Sekundentakt verschickten SMS können mehrere hundert Euro kosten. Wurden dabei auch Zugangsdaten abgegriffen, sichere parallel deine wichtigsten Konten – was bei einem gehackten Kleinanzeigen-Konto zu tun ist, erklärt unser Ratgeber.
- Anzeige erstatten. Das geht auch online bei deiner Polizei. Lege die Screenshots bei.
- Bundesnetzagentur melden. Unerwünschte Werbe- und Betrugs-SMS kannst du zusätzlich der Bundesnetzagentur melden.
Wichtig zu wissen: Wurde dir wegen der automatisch verschickten SMS eine hohe Rechnung gestellt, musst du sie nicht einfach hinnehmen. Fordere bei deinem Anbieter einen Einzelverbindungsnachweis an – damit lässt sich belegen, dass die SMS automatisch im Sekundentakt verschickt wurden, also nicht von dir. Die Verbraucherzentralen stellen dafür kostenlose Musterbriefe bereit, mit denen du die Forderung bestreitest.
So verhinderst du solche SMS in Zukunft
- Datensparsamkeit: Gib deine Handynummer nur an, wenn es zwingend nötig ist. Jede unnötige Angabe landet irgendwann in einer Datenbank, die gehackt oder verkauft werden kann.
- Spam-Filter nutzen: Viele Smartphones und Sicherheits-Apps bieten Filter, die solche Nachrichten aussortieren.
- Nur Kontakte zulassen: In den Einstellungen vieler Nachrichten-Apps kannst du festlegen, dass nur SMS von gespeicherten Kontakten durchkommen. Der Preis: Service-SMS wie Terminerinnerungen musst du dann bewusst freigeben.
- Verdächtige SMS an 7726 weiterleiten: Über diese offizielle Kurzwahl melden Mobilfunkkunden in Deutschland betrügerische SMS kostenlos – die Anbieter werten die Meldungen aus, um Betrügernummern zu blockieren.
Häufige Fragen zur Paket-SMS mit Schadsoftware
Ich habe nur auf den Link getippt, aber nichts installiert – bin ich sicher? Wahrscheinlich ja. Die Schadsoftware kommt erst mit der Installation aufs Handy. Zur Sicherheit: Schließe die Seite, lösche die SMS und gib auf der geöffneten Seite keine Daten ein. Beobachte dein Handy in den nächsten Tagen auf Auffälligkeiten.
Warum bekomme ich solche SMS, obwohl ich gar kein Paket erwarte? Die Nachrichten werden massenhaft verschickt – die Täter hoffen einfach, dass irgendjemand gerade auf ein Paket wartet. Persönliche Anreden stammen meist aus gehackten Datenbanken oder aus den Kontaktlisten bereits infizierter Geräte.
Kann das auch auf dem iPhone passieren? Die Schadsoftware-Variante zielt auf Android, weil sich dort Apps außerhalb des Play Store installieren lassen. iPhone-Nutzer sind vor dieser Installationsmasche weitgehend geschützt – die Zahlungslink-Variante (Fake-Seite mit Kreditkartenabfrage) funktioniert aber auf jedem Handy.
Die SMS kam von einer Nummer, die ich kenne – ist sie dann echt? Nicht unbedingt. Ist das Handy eines Kontakts infiziert, verschickt die Schadsoftware die Betrugs-SMS automatisch an dessen gesamte Kontaktliste – also auch an dich. Im Zweifel: Kontaktiere die Person auf einem anderen Weg und frage nach.
Was kostet mich so ein Angriff? Zwei Risiken: Die Schadsoftware kann im Sekundentakt SMS verschicken – Rechnungen von mehreren hundert Euro sind dokumentiert. Und sie kann Zugangsdaten und Bankdaten auslesen. Beides lässt sich mit den oben genannten Sofortmaßnahmen begrenzen.
Soll ich die Absendernummer blockieren? Kannst du machen – es schützt aber nur begrenzt, weil die Täter die Nummern ständig wechseln. Wichtiger ist, die SMS an 7726 zu melden und der Bundesnetzagentur Bescheid zu geben.
Fazit
Eine Paket-SMS mit der Aufforderung, eine Tracking-App zu installieren, ist immer Betrug – ohne Ausnahme. Der Link ist der Köder, die App ist die Waffe. Wer die vier goldenen Regeln beherzigt – kein Link aus unbekannter SMS, keine App-Installation per Nachricht, keine Antwort, keine Dateneingabe – bleibt sicher. Und wer doch geklickt hat, handelt nach dem Notfallplan: Flugmodus, Beweise sichern, App entfernen oder Handy zurücksetzen, Anbieter und Polizei informieren. Dein Paket verfolgst du am besten dort, wo es hingehört: auf der offiziellen Seite des Paketdienstes.
