Smishing: die gefälschte Paket-SMS
Die SMS über ein Paket, das wegen Zollgebühren feststeckt, ist Smishing — Phishing per Kurznachricht. Der Zoll fordert kein Geld über einen SMS-Link an. Seit dem 1. Juli 2021 gibt es außerdem keine 22-Euro-Freigrenze mehr; Einfuhrumsatzsteuer fällt ab dem ersten Cent an, Zoll erst ab 150 Euro Warenwert.
Warum ausgerechnet Pakete funktionieren
Der Reiz der Masche liegt darin, dass die Behauptung fast immer zufällig stimmt. In fast jedem Haushalt ist irgendetwas unterwegs, und wer gerade privat verkauft hat, wartet zusätzlich auf Sendungen und rechnet mit Nachrichten von Versanddienstleistern. Eine SMS mit Logo im Text, einer plausiblen Sendungsnummer und einem kleinen Betrag trifft deshalb regelmäßig auf eine Situation, in die sie passt. Dazu kommt der Kanal: SMS wirken amtlicher als Mails, sie landen in derselben Liste wie Bankcodes und Terminerinnerungen, und auf dem Handy ist die Adresszeile kurz. Die Nachrichten kommen häufig von normalen Mobilfunknummern, weil dahinter gekaperte Geräte stehen. Eine Absendernummer sagt darum nichts darüber aus, wer geschrieben hat. Gegen diese Nachrichten hilft deshalb kein besseres Auge, sondern die Gewohnheit, Sendungen nur dort zu prüfen, wo du sie aufgegeben hast.
Was beim Zoll wirklich passiert
Kommt eine Sendung aus einem Nicht-EU-Land und sind Abgaben fällig, bekommst du keine SMS mit Zahlungslink. Entweder erhebt der Zustelldienst die Beträge bei der Zustellung, gegen Quittung und meist zuzüglich einer Auslagenpauschale, oder du bekommst eine Benachrichtigung in Papierform mit der Aufforderung, die Sendung beim zuständigen Zollamt anzumelden, teils mit Rechnung als Nachweis. Bezahlt wird vor Ort oder an den Dienstleister, nie per Überweisung an ein Privatkonto und nie über eine Seite, die aus einer SMS heraus geöffnet wird. Und die Beträge folgen Regeln: Einfuhrumsatzsteuer ab dem ersten Cent, Zollabgaben erst ab einem Warenwert von 150 Euro. Kommt eine Sendung aus einem EU-Land, fallen ohnehin keine Einfuhrabgaben an, gleich was in der Nachricht steht. Das ist die geltende Regelung, keine Rechtsberatung für deinen Einzelfall.
Wer beim Versand nur die Sendungsnummer im Portal-Chat weitergibt, muss keine Nachricht aus einer fremden Quelle deuten — das gehört zur Absprache in der Anzeige. Anzeige aufgeben
Die kleinen Beträge sind Absicht
Gefordert werden meist 1,99 Euro, 2,99 Euro oder 3,50 Euro. Der Betrag ist zu klein, um Widerstand auszulösen, und genau das ist der Zweck. Das Geld ist nicht das Ziel — das Ziel sind die Kartendaten, die du zur Zahlung eingibst, und die Freigabe, die du danach in der Banking-App bestätigst. Der eigentliche Schaden entsteht Tage später mit einer Abbuchung in ganz anderer Höhe, oft bei einem ausländischen Händler. Eine zweite Variante fordert dich zur Installation einer App auf, die angeblich die Sendungsverfolgung anzeigt; auf Android liest sie anschließend eingehende SMS mit und fängt damit Bankcodes ab. Deshalb gilt: keine Installation außerhalb des offiziellen App-Stores, egal wie überzeugend die Seite aussieht.
Was du mit der SMS machst
Nicht antworten, nicht anrufen, den Link nicht öffnen. Prüfe stattdessen deine Sendungen dort, wo du sie ohnehin verfolgst: in der App des Dienstleisters oder auf der selbst eingetippten Adresse mit deiner Sendungsnummer. Danach kannst du die Nachricht bei deinem Mobilfunkanbieter melden — die meisten bieten dafür eine kostenlose Kurzwahl an — und die Nummer auf dem Handy blockieren. Erhältst du solche Nachrichten in Serie, hilft es, in den Einstellungen die Filterung unbekannter Absender zu aktivieren. Hast du bereits Kartendaten eingegeben, sperre die Karte und widersprich jeder fremden Buchung. Hast du eine App installiert, trenne das Gerät vom Netz, deinstalliere sie und prüfe die vergebenen Berechtigungen. Erzähl es außerdem älteren Angehörigen weiter, weil dieselbe Nachricht dort besonders oft ankommt.
Häufige Fragen
Ich habe auf den Link in der Paket-SMS geklickt.
Ohne Eingabe passiert meistens nichts. Schließe die Seite, lösche die Seitendaten und installiere nichts, was dort angeboten wurde. Hast du Kartendaten eingegeben, sperre die Karte und beobachte das Konto mehrere Wochen. Hast du eine App installiert, deinstalliere sie und prüfe die Berechtigungen im Systemmenü.
Woher haben die meine Nummer?
Aus Datenlecks, aus weiterverkauften Adresslisten oder aus automatisch erzeugten Nummernbereichen. Viele dieser Nachrichten werden zudem von gekaperten Handys verschickt, die die Kontaktlisten ihrer Besitzer nutzen. Eine gezielte Auswahl steckt selten dahinter, auch wenn die Nachricht persönlich wirkt. Ändern lässt sich daran nichts, ignorieren dagegen schon.
Kann ich die Nummer melden?
Ja. Die meisten Mobilfunkanbieter nehmen Spam-SMS über eine kostenlose Kurzwahl entgegen, und die Bundesnetzagentur verfolgt den Missbrauch von Rufnummern. Leite die Nachricht im Wortlaut weiter, blockiere die Nummer anschließend auf dem Gerät und lösche sie erst danach. Die Meldung ist kostenlos und dauert eine Minute.
Fordert ein Paketdienst je Geld per SMS?
Für Zoll- und Einfuhrabgaben nicht auf diesem Weg. Bezahlt wird bei der Zustellung, in der offiziellen App oder beim Zollamt. Eine SMS mit Zahlungslink und Frist ist deshalb unabhängig vom genannten Absender kein Vorgang, den es bei einem Versanddienstleister gibt.