Was ist Smishing? Wie SMS-Phishing funktioniert und wie man es verhindern kann

Smishing ist Phishing per SMS. Anstelle einer E-Mail versendet der Angreifer eine SMS oder eine Nachricht über eine Chat-App, in der Hoffnung, dass Sie auf einen Link tippen, Ihre Anmeldedaten preisgeben oder eine Zahlung autorisieren. Der Name ist eine Zusammenziehung aus „SMS“ und „Phishing“, und abgesehen vom Kommunikationskanal ist die Masche genau dieselbe: Jemand gibt sich als eine Person aus, der Sie vertrauen, und setzt darauf, dass Sie handeln, bevor Sie nachdenken.

Der Kanal ist das, was es so gefährlich macht. Eine SMS kommt auf dem Gerät an, das Sie dutzende Male am Tag überprüfen – meist, während Sie gerade mit etwas anderem beschäftigt sind. Im Folgenden schauen wir uns an, warum das Smartphone ein so fruchtbarer Nährboden ist, wie man einen Smishing-Versuch erkennt, was zu tun ist, wenn man bereits auf den Link getippt hat, und wie Unternehmen ihre Mitarbeiter darauf vorbereiten können.

Warum eine SMS ein so wirksamer Köder ist

Seit dreißig Jahren gibt es Schutzmaßnahmen rund um E-Mails. Spamfilter, Link-Scanner, Banner, die darauf hinweisen, dass eine Nachricht von außerhalb des Unternehmens stammt: Bis eine Phishing-E-Mail den Posteingang erreicht, hat sie bereits mehrere Kontrollpunkte durchlaufen. Eine SMS passiert fast keinen davon und landet im selben Thread wie Nachrichten von Ihrem Zahnarzt und Ihrem Lieferfahrer.

Es gibt auch eine psychologische Seite. Die Bildschirme sind klein, daher wird der Absender als Nummer angezeigt und der Link ist bis zur Unkenntlichkeit gekürzt. Die Menschen lesen Nachrichten im Stehen, in einer Warteschlange oder zwischen zwei Besprechungen, und sie antworten schnell, denn dafür sind SMS ja da. Angreifer machen sich genau diese Schnelligkeit zunutze – mit einer Variante des Telefonanrufs, die als „Vishing“ bekannt ist – und kombinieren zunehmend beides: eine SMS, die einen Anruf ankündigt, oder einen Anruf, in dem Sie aufgefordert werden, Ihre Nachrichten zu überprüfen.

Schließlich befinden sich die wertvollen Codes auf dem Smartphone. Ein Einmalcode für die Anmeldung, eine Bankbestätigung, eine Bestätigungs-Push-Nachricht: Wenn es einem Angreifer gelingt, Sie dazu zu bringen, einen dieser Codes laut vorzulesen oder auf einer gefälschten Seite einzugeben, wird der zweite Faktor, der Sie eigentlich schützen sollte, zum Einfallstor.

So erkennen Sie eine Smishing-Nachricht

Die meisten Smishing-Angriffe folgen einer kleinen Anzahl von Mustern. Hat man diese einmal erkannt, sind sie kaum noch zu übersehen – und genau deshalb ist es effektiver, den Menschen diese Muster zu vermitteln, als sie über einzelne Betrugsmaschen aufzuklären.

• Unerwartete Dringlichkeit. Ein Paket kann nicht zugestellt werden, ein Konto wird geschlossen, eine Geldstrafe läuft heute ab. Die Nachricht soll Sie zum Handeln bewegen, bevor Sie überhaupt etwas überprüfen können.
• Ein Link, der nicht zum Absender passt. Seriöse Organisationen verwenden ihre eigene Domain. Verkürzte Links, ähnlich klingende Domains mit einem zusätzlichen Wort oder eine Adresse, die auf eine unbekannte Länderkennung endet, sind allesamt Gründe, die Wachsamkeit zu erhöhen.
• Eine Anfrage nach etwas, das kein Unternehmen per SMS erfragen würde. Anmeldedaten, eine vollständige Kartennummer oder der Einmalcode, den Sie gerade erhalten haben. Eine Bank wird Sie niemals auffordern, diese Daten weiterzugeben, und Ihre IT-Abteilung ebenfalls nicht.
• Eine kleine Zahlung, um etwas Größeres in Gang zu setzen. Ein paar Euro Zollgebühren für ein Paket, eine winzige Gebühr für die Umplanung einer Lieferung. Der Betrag ist bewusst gering gehalten, weil er harmlos genug erscheint, um die Sache einfach hinter sich zu bringen.
• Eine Nummer statt eines Namens oder ein Name, der nicht ganz stimmt. Nachrichten von einer zufälligen Handynummer, die vorgibt, von einem Unternehmen zu stammen, oder ein bekannter Markenname mit seltsamer Schreibweise oder ungewöhnlichen Leerzeichen.
• Ein QR-Code in der Nachricht oder auf der verlinkten Seite. Dies überschneidet sich mit dem sogenannten „Quishing“, bei dem sich das bösartige Ziel innerhalb des Codes verbirgt, sodass kein Filter es erkennen kann.
• Ein neuer Kollege oder Vorgesetzter, der es eilig hat. Der Klassiker ist eine Nachricht, die angeblich von einem Geschäftsführer unter einer neuen Nummer stammt und in der um Geschenkgutscheine, eine schnelle Überweisung oder einen Gefallen gebeten wird, der geheim bleiben muss.

Eine nützliche Regel für Teams: Nicht der Absender, sondern die Anfrage selbst ist das Signal. Jede Nachricht, in der nach Zugangsdaten, Codes oder Zahlungen gefragt wird, sollte über einen Kanal Ihrer Wahl überprüft werden – auch wenn der Absender vertrauenswürdig erscheint. Weitere Varianten dieses Musters finden Sie in unserer Übersicht über die verschiedenen Arten von Phishing-Angriffen.

Was tun, wenn Sie bereits geklickt haben?

Auf einen Link zu tippen ist nicht das Ende der Welt, und genau diese Einstellung ist es, die die Menschen zum Schweigen bringt. Was zählt, ist, was in den nächsten paar Minuten passiert.

1. Geben Sie nichts weiter ein. Wenn auf einer Seite nach einem Benutzernamen, einem Code oder Kartendaten gefragt wird, schließen Sie die Seite. Ein einzelner Link ist weitaus weniger gefährlich als ein Formular, das Sie ausgefüllt haben.
2. Ändern Sie das Passwort, falls Sie eines eingegeben haben. Tun Sie dies von einem Gerät aus, dem Sie vertrauen, und ändern Sie es überall dort, wo Sie es anderweitig wiederverwendet haben. Diese Wiederverwendung ist in der Regel das eigentliche Problem.
3. Überprüfen Sie Ihre Zwei-Faktor-Authentifizierung. Wenn Sie eine Anmeldeanfrage genehmigt oder einen Einmalcode weitergegeben haben, hat sich möglicherweise gerade jemand Zugang zu Ihrem Konto verschafft. Melden Sie sich von allen Sitzungen ab und überprüfen Sie, ob neue Geräte oder Weiterleitungsregeln vorhanden sind.
4. Melden Sie den Vorfall unverzüglich intern. Ihre IT- oder Sicherheitsabteilung kann die Domain sperren, Kollegen warnen, die dieselbe Nachricht erhalten haben, und prüfen, ob Daten abgezogen wurden. Eine schnelle Meldung ist das Wichtigste, was ein Mitarbeiter tun kann.
5. Bewahre die Nachricht auf. Ein Screenshot mit dem Absender und dem Link hilft enorm dabei, herauszufinden, wie groß der Umfang der Kampagne ist. Lösche sie erst, nachdem sie weitergeleitet wurde.

Beachten Sie, was in dieser Liste fehlt: Schuldzuweisungen. In Organisationen, in denen ein versehentlicher Klick zu einem unangenehmen Gespräch führt, schweigt die nächste Person – und genau dieses Schweigen macht aus einem einzigen Klick einen Vorfall.

Wie Unternehmen das Risiko verringern

Technische Maßnahmen helfen zwar, decken aber einen geringeren Bereich ab als bei E-Mails. Mobilfunkanbieter filtern einige der schlimmsten Kampagnen heraus, und die Multi-Faktor-Authentifizierung (MFA) mithilfe eines Hardware-Schlüssels oder einer an die Website gebundenen App-Aufforderung mindert den Wert eines gestohlenen Codes erheblich. Darüber hinaus liegt der Schwerpunkt der Abwehrmaßnahmen auf dem Menschen.

Der praktische Ansatz besteht darin, das Erkennen und Melden von Betrugsversuchen zu einer Gewohnheit statt zu einer Richtlinie zu machen. Kurze, wiederkehrende Übungen sind hier effektiver als eine einzige jährliche Schulung, da sich die Betrugsmaschen alle paar Monate ändern. Die Durchführung einer Phishing-Simulation zeigt Ihnen, wo Sie tatsächlich stehen – und nicht, wo Sie glauben zu stehen –, und bietet den Mitarbeitern einen sicheren Raum, in dem sie Fehler machen dürfen. Legen Sie einen klaren Meldeweg fest, machen Sie die Meldung mit einem einzigen Fingertipp möglich und bedanken Sie sich bei den Mitarbeitern, die diesen Weg nutzen – auch bei denen, die sich im Nachhinein herausstellt, dass sie etwas Harmloses weitergeleitet haben.

So hilft Guardey Ihrem Team, Smishing zu erkennen

Die Schulungen zur Sensibilisierung für Sicherheitsfragen von Guardey stellen Ihre Kollegen wöchentlich vor Herausforderungen von etwa drei Minuten Dauer, deren Inhalte sich an den tatsächlich auftretenden Bedrohungen orientieren. Smishing, gefälschte Lieferbenachrichtigungen und die Abfrage von Codes über Chat-Dienste sind genau die Art von Szenarien, die in diesen Herausforderungen vorkommen, und die Gamifizierung mit Bestenlisten und Serien sorgt dafür, dass die Teilnehmer auch nach der ersten Woche weiterhin daran teilnehmen.

Da die Mitarbeiter über die mobile App für iOS und Android geschult werden, üben sie auf genau dem Gerät, auf dem diese Nachrichten eintreffen, was den Lerninhalt anschaulich macht. Integrierte Phishing-Simulationen zeigen, ob das Erkennen auch zu entsprechendem Verhalten führt, und auditfähige Berichte wandeln all dies in Nachweise für Rahmenwerke wie NIS2 und ISO 27001 um. Die Einrichtung dauert nur wenige Minuten, und mehr als 500 Organisationen arbeiten auf diese Weise, darunter auch das Europäische Parlament.

Häufig gestellte Fragen zum Thema Smishing

Was ist der Unterschied zwischen Phishing, Smishing und Vishing?

Das Ziel ist dasselbe, lediglich der Kanal unterscheidet sich. Phishing erfolgt per E-Mail, Smishing per SMS oder Chat-Nachricht und Vishing per Telefonanruf. Angreifer kombinieren diese Methoden häufig in einer Kampagne, da eine Nachricht, die durch einen Telefonanruf bestätigt wird, glaubwürdiger wirkt als jede der beiden Methoden für sich allein.

Kann man schon allein durch das Öffnen einer SMS gehackt werden?

Das Öffnen einer Nachricht allein reicht fast nie aus. Das Risiko entsteht erst, wenn man auf den Link tippt und dann auf der folgenden Seite etwas eingibt oder wenn man eine App installiert, die einem dort angeboten wird. Deshalb lautet der Ratschlag: Bleiben Sie beim Link stehen, anstatt in Panik zu geraten, nur weil Sie die Nachricht gelesen haben.

Sollten Mitarbeiter eine Smishing-Nachricht auf ihrem privaten Handy melden?

Ja, sofern es in irgendeiner Weise mit der Arbeit zu tun hat: Eine Nachricht, die vorgibt, von einem Kollegen, einem Lieferanten oder der IT-Abteilung zu stammen, gehört in die Meldewarteschlange – unabhängig davon, auf welchem Gerät sie eingegangen ist. Machen Sie deutlich, dass es bei der Meldung um die Nachricht geht und nicht darum, das private Handy von jemandem zu durchsuchen, sonst werden die Mitarbeiter zögern.

Schützt MFA vor Smishing?

Das hilft zwar, aber nicht alle Verfahren sind gleich sicher. Ein per SMS gesendeter Code kann genauso leicht durch Phishing erlangt werden wie ein Passwort, da der Angreifer lediglich danach fragen muss. Verfahren, die an die legitime Website gebunden sind, wie beispielsweise ein Hardware-Schlüssel oder eine App-basierte Abfrage, lassen sich auf diese Weise deutlich schwerer missbrauchen.

Smishing funktioniert, weil es Menschen in Bewegung erwischt – das heißt, die Abwehr besteht nicht in einem intelligenteren Filter, sondern in einem Moment des Zögerns zum richtigen Zeitpunkt. Teams, die diese Pause einüben und die Meldung einfach und ohne Schuldzuweisungen gestalten, verwandeln das Telefon vom schwächsten Kanal in einen Kanal, auf dem eine seltsame Nachricht innerhalb weniger Minuten als verdächtig markiert wird.