Smishing – also Phishing über SMS – ist 2026 eine der am schnellsten wachsenden Betrugsformen. Während klassische Phishing-E-Mails inzwischen oft von Spamfiltern abgefangen werden, landen SMS-Nachrichten direkt auf dem Sperrbildschirm. Die Öffnungsrate ist enorm – und die Täuschungsqualität nimmt durch den Einsatz von KI dramatisch zu.
Was ist Smishing?
Smishing setzt sich aus "SMS" und "Phishing" zusammen. Betrüger versenden gefälschte SMS-Nachrichten, die vorgeben, von vertrauenswürdigen Absendern zu stammen: Paketdienstleister, Banken, Behörden oder sogar Arbeitgeber. Das Ziel ist immer dasselbe – vertrauliche Daten stehlen oder Schadsoftware installieren.
Typische Smishing-Maschen 2026
Die aktuellen Varianten sind ausgefeilter als je zuvor:
- Paket-Smishing: "Ihre Lieferung konnte nicht zugestellt werden. Bitte bestätigen Sie Ihre Adresse." Mit Link zu einer gefälschten DHL-, UPS- oder DPD-Seite
- Bank-Smishing: "Verdächtige Aktivität auf Ihrem Konto festgestellt. Bitte verifizieren Sie sich sofort." Link führt zu täuschend echten Bankseiten
- Behörden-Smishing: Gefälschte Nachrichten von Finanzamt, Zoll oder Rentenversicherung
- IT-Support-Smishing (besonders gefährlich für Unternehmen): "Ihr Microsoft 365-Konto wird gesperrt. Bitte jetzt einloggen." Zielt auf Unternehmensanmeldedaten ab
Woran erkennt man eine Smishing-Nachricht?
Auch wenn die Nachrichten immer professioneller werden, gibt es Warnsignale:
- Unbekannte oder seltsam aussehende Absendernummern (oft ausländische Vorwahlen)
- Dringlichkeit und Drohungen ("sofort", "innerhalb von 24 Stunden", "Konto wird gesperrt")
- Links mit ungewöhnlichen Domains oder URL-Shortenern (bit.ly, tinyurl o. ä.)
- Aufforderung zur Eingabe von Passwörtern, TANs oder Kreditkartendaten über einen Link
- Grammatikfehler oder unnatürlich formulierte Texte – obwohl KI-generierte Texte inzwischen fehlerfreier sind
Was tun bei einer verdächtigen SMS?
- Nicht klicken: Öffnen Sie keinen Link in der SMS
- Nicht antworten: Antworten können Ihre Nummer als "aktiv" markieren
- Direkt prüfen: Wenn Sie unsicher sind, ob eine Nachricht echt ist, rufen Sie den angeblichen Absender über die offizielle Nummer an oder loggen Sie sich direkt über die bekannte Website ein
- Melden: Smishing-Nachrichten können über die Bundesnetzagentur oder direkt an den Mobilfunkanbieter gemeldet werden
- Screenshot machen: Für eventuelle Anzeige oder Meldung
Smishing im Unternehmensumfeld: Besondere Gefahr
Für Unternehmen ist Smishing besonders riskant, weil Mitarbeiter oft schnell reagieren, wenn sie eine vermeintliche Nachricht von IT, HR oder Geschäftsführung erhalten. Ein einziger geklickter Link kann Zugangsdaten preisgeben und einen größeren Sicherheitsvorfall auslösen.
Wirksamer Schutz besteht aus drei Ebenen:
- Technisch: Mobile Device Management (MDM), Endpoint-Schutz auf Smartphones
- Organisatorisch: Klare Kommunikationsrichtlinien (Unternehmen versenden keine Passwortanfragen per SMS)
- Menschlich: Regelmäßige Schulungen und Awareness-Trainings für alle Mitarbeiter
Fazit
Smishing wird 2026 nicht weniger werden – im Gegenteil. KI-generierte, personalisierte SMS-Angriffe werden weiter zunehmen. Wer sein Unternehmen schützen will, braucht technische Absicherung und informierte Mitarbeiter. esposito-IT berät KMU in der Region Niederrhein zu wirksamen Schutzmaßnahmen gegen moderne Cyberangriffe. Sprechen Sie uns an.
