Fake-SMS geöffnet: Ist das schon gefährlich?

Bei typischen Smishing-Nachrichten soll erst eine weitere Handlung den Schaden ermöglichen: ein Link führt auf eine nachgebaute Anmeldeseite, eine Datei oder App soll installiert werden, Zugangsdaten werden abgefragt oder eine Zahlung soll bestätigt werden. Wenn du die Nachricht lediglich in der normalen SMS-App angesehen hast, hast du diese Schritte noch nicht ausgeführt. Das ist beruhigend, aber keine allgemeine Garantie für jedes Gerät und jede gezielte Angriffstechnik.

Entscheidend ist eine ehrliche Bestandsaufnahme. Hast du eine Linkvorschau angetippt? Wurde ein Browser geöffnet? Hast du Benachrichtigungen, Kalenderzugriff, ein Konfigurationsprofil oder eine App bestätigt? Hast du Passwort, Karte, IBAN, TAN oder Einmalcode eingegeben? Notiere nur, was du sicher weißt. Panik führt oft zu unpassenden Maßnahmen; präzise Einordnung führt zum richtigen Handlungspfad.

• Stufe 1 – nur gelesen: Nicht antworten, nichts öffnen, Nachricht und Absender dokumentieren und den behaupteten Vorgang unabhängig prüfen.
• Stufe 2 – Link geöffnet, sonst nichts: Seite schließen, keine Berechtigung bestätigen, Browser und System aktualisieren und auf ungewöhnliche Aufforderungen achten.
• Stufe 3 – Login- oder persönliche Daten eingegeben: Betroffenes Passwort beim echten Dienst ändern, Wiederverwendung prüfen, aktive Sitzungen kontrollieren und Zwei-Faktor-Schutz aktivieren.
• Stufe 4 – Bank-, Karten- oder TAN-Daten eingegeben oder Zahlung bestätigt: Bank beziehungsweise Zahlungsdienst sofort über einen selbst recherchierten offiziellen Kanal kontaktieren.
• Stufe 5 – App, Profil oder Datei installiert: Verbindung vorsichtig trennen, Beweise sichern und fachkundige Gerätebereinigung erwägen; bei Geld- oder Identitätsschaden zusätzlich zuständige Stellen einbeziehen.

• Nicht aus Neugier auf den Link klicken und nicht auf die SMS antworten
• Keine Nummer, Adresse oder QR-Code aus der Nachricht für die Prüfung verwenden
• Keine Passwörter, TANs, Karten- oder Ausweisdaten nachreichen
• Keine App, Datei, Browsererweiterung oder Geräteverwaltung installieren
• Nicht behaupten, ein Virenscan oder das Löschen der SMS beweise vollständige Sicherheit
• Das Gerät nicht vorschnell zurücksetzen, bevor Belege, Kontosicherung und fachkundige Schritte geklärt sind

Öffne bei einer Paketmeldung die bereits installierte Paket-App oder tippe die bekannte Adresse des Dienstes selbst ein. Prüfe bei Bank, PayPal, Mobilfunkanbieter oder Behörde ebenso nur den eigenständig geöffneten Zugang. Verwende keine Trackingnummer oder Telefonnummer blind, wenn auch diese nur aus der verdächtigen Nachricht stammt.

Falls ein echter Vorgang existiert, kann die SMS trotzdem gefälscht sein. Umgekehrt beweist eine unpassende Nachricht noch nicht, dass dein Konto übernommen wurde. Die unabhängige Ansicht zeigt, ob überhaupt Handlungsbedarf besteht, ohne dich über den Angriffsweg zu führen.

• Paketdienst-SMS: Vorsicht, Abzocke

  Verbraucherzentrale

  Smishing-Muster und Handlungsschritte nach Link, Daten oder App-Installation

• Phishing erkennen und richtig reagieren

  Polizeiliche Kriminalprävention

• Cyber-Sicherheitsempfehlungen für Verbraucherinnen und Verbraucher

  Bundesamt für Sicherheit in der Informationstechnik

Ich habe eine Fake-SMS nur geöffnet – muss ich mein Handy zurücksetzen?

Normalerweise nicht allein wegen des Lesens einer gewöhnlichen SMS. Antworte nicht, öffne keinen Link und prüfe, ob wirklich keine weitere Handlung erfolgte. Ein Reset ist eine weitreichende Maßnahme und eher bei installierter Schadsoftware nach fachkundiger Abwägung relevant.

Kann schon das Lesen einer SMS mein Konto leeren?

Typische Smishing-Maschen benötigen weitere Schritte wie Linkklick, Dateneingabe, Installation oder Zahlungsfreigabe. Daraus folgt keine Garantie gegen jede seltene technische Schwachstelle. Prüfe konkrete Auffälligkeiten und halte Gerät sowie Apps aktuell.

Was ist anders, wenn ich den Link angeklickt habe?

Dann gilt die höhere Risikostufe. Schließe die Seite, gib nichts ein und prüfe, ob du Downloads oder Berechtigungen bestätigt hast. Die ausführliche Klick-Hilfe findest du auf der eigenständigen Seite „SMS-Link angeklickt“.

Was tun, wenn ich ein Passwort eingegeben habe?

Öffne den echten Dienst selbst, ändere das Passwort, beende unbekannte Sitzungen und ersetze es auch bei anderen Konten, falls du es wiederverwendet hast. Aktiviere nach Möglichkeit Zwei-Faktor-Schutz.

Was tun nach Eingabe einer TAN oder Kartendaten?

Kontaktiere Bank oder Zahlungsdienst unverzüglich über die offizielle App, die Kartenrückseite oder eine selbst recherchierte Nummer. Prüfe Umsätze und frage nach passenden Sperr- oder Sicherungsschritten; eine Erstattung ist nicht garantiert.

Soll ich die Fake-SMS sofort löschen?

Sichere bei Bedarf zuerst Absenderdarstellung, Text, Link und Zeitpunkt als Beleg. Danach kannst du die Nachricht melden, blockieren und löschen. Teile Screenshots nur ohne unnötige persönliche Daten.

Kann KaufWächter prüfen, ob mein Smartphone infiziert ist?

Nein. Der Nachrichten-Check ordnet Text, Aufforderung und Warnsignale ein. Er führt keine Linkanalyse, Schadsoftwareprüfung oder Geräteforensik durch. Bei installierter App oder technischen Auffälligkeiten brauchst du fachkundige Hilfe.