Paket-SMS mit Zahlungslink: Welche Merkmale sprechen für Betrug?
von belmedia Redaktion Alltag Cybersecurity digital.ch Digitalisierung nachrichtenticker.ch News Prävention Schweiz Sicherheit sicherheit.ch Smartphones Tipps
Eine SMS kündigt ein angeblich zurückgehaltenes Paket an und verlangt wenige Franken für Porto, Zoll oder eine erneute Zustellung. Der kleine Betrag wirkt harmlos, doch der enthaltene Zahlungslink kann auf eine täuschend echt gestaltete Phishing-Seite führen.
Gefälschte Paketnachrichten lassen sich selten an einem einzigen Detail erkennen. Erst das Zusammenspiel aus unerwarteter Nachricht, künstlicher Dringlichkeit, auffälliger Internetadresse und der Abfrage sensibler Daten ergibt ein belastbares Warnsignal. Wer eine Sendung erwartet, prüft deren Status unabhängig von der SMS über die offizielle Website oder App des Paketdienstes.
Warum Paket-SMS so glaubwürdig wirken
Onlinebestellungen gehören zum Alltag. Deshalb ist die Wahrscheinlichkeit hoch, dass eine gefälschte Nachricht zufällig jemanden erreicht, der tatsächlich auf eine Lieferung wartet. Die Betrüger müssen weder den Händler noch den Paketinhalt kennen. Eine allgemein formulierte Mitteilung über eine angeblich fehlgeschlagene Zustellung reicht häufig aus, um einen plausiblen Zusammenhang herzustellen.
Hinzu kommt der bewusst niedrig gewählte Betrag. Eine Forderung von zwei oder drei Franken erscheint weniger verdächtig als eine hohe Rechnung. Das eigentliche Ziel ist jedoch häufig nicht diese Kleinzahlung, sondern die Erfassung von Adresse, Telefonnummer, Kreditkartendaten, Ablaufdatum, Sicherheitscode oder Zugangsdaten.
Das Bundesamt für Cybersicherheit warnte 2026 zudem vor einer Weiterentwicklung der Masche. Beim sogenannten «Double Phishing» folgt auf die Dateneingabe ein Anruf, bei dem sich die Betrüger als Bank- oder Sicherheitsmitarbeiter ausgeben. Unter dem Vorwand, eine verdächtige Transaktion stoppen zu müssen, versuchen sie weitere Codes oder Freigaben zu erhalten.
Unerwartete Gebühren sind ein deutliches Warnsignal
Typische Paket-SMS behaupten, eine Sendung sei im Verteilzentrum blockiert, die Adresse sei unvollständig oder eine Zustellung sei fehlgeschlagen. Für die Freigabe werde eine geringe Zoll-, Porto-, Lager- oder Bearbeitungsgebühr verlangt. Andere Varianten fordern dazu auf, einen neuen Zustelltermin auszuwählen und dafür Zahlungsdaten zu hinterlegen.
Eine Gebühr allein beweist noch keinen Betrug. Verdächtig wird die Nachricht, wenn eine Zahlung ausschliesslich über den eingefügten Link möglich sein soll und gleichzeitig eine kurze Frist genannt wird. Formulierungen wie «letzte Möglichkeit», «innerhalb von zwölf Stunden» oder «ansonsten geht das Paket zurück» sollen eine schnelle Reaktion auslösen.
Auch eine konkrete Sendungsnummer bietet keine Sicherheit. Zahlenfolgen lassen sich beliebig erzeugen oder aus anderen Zusammenhängen kopieren. Eine Nummer ist erst aussagekräftig, wenn sie auf der manuell aufgerufenen offiziellen Website des angegebenen Dienstleisters einen zur Bestellung passenden Status zeigt.
Die Schweizerische Post nennt zurückgehaltene Pakete, angebliche Zustellprobleme, kleine Zahlungsbeträge und Aufforderungen zur Datenaktualisierung als verbreitete Elemente gefälschter Nachrichten. Sendungen sollten direkt über post.ch oder die offizielle Post-App kontrolliert werden.
Der sichtbare Absender kann gefälscht sein
Eine Schweizer Mobilfunknummer ist kein Echtheitsbeweis. Absenderinformationen lassen sich manipulieren, und kompromittierte Geräte können für den Versand betrügerischer Nachrichten missbraucht werden. Eine SMS kann dadurch von einer scheinbar gewöhnlichen Nummer stammen oder unter einem bekannten Absendernamen erscheinen.
Manche Smartphones ordnen eine neue Nachricht sogar einem bereits bestehenden Nachrichtenverlauf zu. Die gefälschte SMS steht dann zwischen echten Mitteilungen eines Paketdienstes. Diese Darstellung wirkt überzeugend, sagt aber nichts darüber aus, wer die einzelne Nachricht tatsächlich versendet hat.
Ebenso wenig genügt ein bekanntes Logo. Namen, Farben, Symbole und Textbausteine seriöser Unternehmen können ohne grossen Aufwand kopiert werden. Rechtschreibfehler bleiben zwar ein Warnzeichen, professionell formulierte und sprachlich fehlerfreie Texte sind jedoch keine Garantie für Echtheit.
Die Internetadresse verrät häufig den Betrugsversuch
Vor dem Öffnen eines Links sollte die tatsächliche Zieladresse geprüft werden. Auffällig sind Schreibfehler im Firmennamen, zusätzliche Wörter, ungewöhnliche Endungen oder eine lange Folge zufälliger Zeichen. Eine Adresse nach dem Muster «post.ch-bezahlen.example» gehört nicht zur Domain post.ch, auch wenn der bekannte Name am Anfang steht.
Bei verkürzten Links ist das Ziel nicht unmittelbar erkennbar. Genau das macht solche Adressen für Paket-SMS problematisch. Eine seriöse Sendungsprüfung lässt sich stattdessen über ein selbst gesetztes Lesezeichen, die offizielle App oder eine manuell eingegebene Firmenadresse aufrufen.
Auch das Schlosssymbol im Browser beweist nur, dass die Verbindung zur geöffneten Website verschlüsselt ist. Es bestätigt nicht, dass die Seite zum genannten Paketdienst gehört. Betrügerische Websites können ebenfalls HTTPS verwenden und ein gültiges Zertifikat besitzen.
QR-Codes verdienen dieselbe Vorsicht wie anklickbare Links. Sie können auf gedruckten Abholeinladungen, in E-Mails oder auf gefälschten Rechnungen erscheinen. Vor dem Öffnen muss die eingeblendete Zieladresse kontrolliert werden. Bei Unsicherheit bleibt die unabhängige Abfrage über den offiziellen Zugang die sicherere Variante.
Welche Daten eine Paket-SMS nicht verlangen sollte
Besonders kritisch ist jede Seite, die neben einer kleinen Gebühr vollständige Kreditkartendaten verlangt. Die Kombination aus Kartennummer, Ablaufdatum und Sicherheitscode kann für unbefugte Belastungen verwendet werden. Wird anschliessend ein per SMS zugestellter Bestätigungscode abgefragt, handelt es sich um ein zusätzliches Alarmsignal.
Ein solcher Code bestätigt unter Umständen nicht die angezeigten zwei Franken, sondern eine andere Zahlung oder die Hinterlegung der Karte in einem digitalen Bezahldienst. Vor jeder Freigabe müssen Betrag, Händlername und Zweck in der Mitteilung der Bank genau gelesen werden. Stimmen diese Angaben nicht mit dem beabsichtigten Vorgang überein, darf keine Bestätigung erfolgen.
Auch Passwörter für E-Mail, Kundenkonto oder E-Banking gehören nicht auf eine über eine Paket-SMS geöffnete Seite. Gleiches gilt für Ausweiskopien, Bankzugänge und Sicherheitsfragen. Ein Paketdienst benötigt für eine gewöhnliche Adresskorrektur keine vollständigen Finanz- oder Login-Daten.
Der Beitrag über Deepfakes, Phishing und Schadsoftware zeigt, wie vielfältig digitale Täuschungen inzwischen auftreten. Die wichtigste Gegenmassnahme bleibt eine Kontrolle über einen zweiten, unabhängig gewählten Kanal.
So lässt sich eine Paketankündigung sicher überprüfen
Der Link in der SMS bleibt ungeöffnet. Stattdessen wird die Website des angeblichen Paketdienstes manuell aufgerufen oder dessen offizielle App verwendet. Dort lässt sich eine vorhandene Sendungsnummer eingeben. Wer bei einem Händler bestellt hat, kann den Versandstatus zusätzlich im Kundenkonto kontrollieren.
Passen Paketdienst, Nummer und Lieferstatus nicht zur Bestellung, spricht dies deutlich gegen die Echtheit der Nachricht. Fehlen eine individuelle Zuordnung und nachvollziehbare Bestelldaten vollständig, sollte ebenfalls keine Zahlung erfolgen. Eine echte Sendung lässt sich normalerweise über den Händler oder den Paketdienst bestätigen, ohne den fraglichen SMS-Link zu verwenden.
Bei weiter bestehender Unsicherheit hilft eine Anfrage über die Kontaktdaten auf der offiziellen Website. Telefonnummern und E-Mail-Adressen aus der verdächtigen Nachricht werden dafür nicht verwendet. Dasselbe Prinzip gilt für einen späteren Anruf: Das Gespräch wird beendet und die Bank oder das Unternehmen über eine selbst ermittelte Nummer kontaktiert.
Auf eine verdächtige SMS sollte auch nicht mit «STOP» geantwortet werden. Eine Reaktion kann bestätigen, dass die Nummer aktiv genutzt wird. Die Nachricht lässt sich nach einer allfälligen Beweissicherung als Spam melden, der Absender blockieren und anschliessend löschen.
Was nach einem versehentlichen Klick zu tun ist
Das reine Öffnen eines Links bedeutet nicht automatisch, dass bereits Daten gestohlen wurden. Die Seite wird geschlossen, ohne Angaben einzutragen, Dateien herunterzuladen oder Berechtigungen zu erteilen. Betriebssystem, Browser und Sicherheitssoftware sollten auf dem aktuellen Stand sein.
Wurde eine App installiert oder eine Datei geöffnet, ist die Situation kritischer. Das Gerät wird möglichst vom Netz getrennt und mit vertrauenswürdiger Sicherheitssoftware geprüft. Bei einem geschäftlich genutzten Smartphone sollte die zuständige IT-Stelle frühzeitig informiert werden, damit Zugänge, Geräteverwaltung und mögliche Datenabflüsse untersucht werden können.
Sind Login-Daten auf der gefälschten Seite eingegeben worden, wird das betroffene Passwort über die echte Website geändert. Dasselbe Passwort muss auch bei allen anderen Konten ersetzt werden, auf denen es erneut verwendet wurde. Eine aktivierte Mehrfaktor-Authentisierung erschwert den weiteren Missbrauch, ersetzt den Passwortwechsel jedoch nicht.
Wenn Zahlungs- oder Kartendaten bereits übermittelt wurden
Nach der Eingabe von Kredit- oder Debitkartendaten muss das zuständige Finanzinstitut sofort über dessen offizielle Notfallnummer kontaktiert werden. Die Karte wird gesperrt und auf unbekannte Belastungen geprüft. Verdächtige Transaktionen sollten nicht abgewartet werden, da die Daten auch erst später eingesetzt werden können.
Wurde zusätzlich ein Sicherheitscode bestätigt oder eine Freigabe in der Banking-App erteilt, muss dies ausdrücklich erwähnt werden. Die Bank benötigt diese Information, um das Risiko richtig einzuschätzen. Screenshots der Nachricht, der Internetadresse und allfälliger Belastungen können für die spätere Abklärung hilfreich sein.
Bei einem finanziellen Schaden oder einem konkreten Missbrauch kommt eine Anzeige bei der Polizei infrage. Betrügerische Links und Websites können zudem dem Bundesamt für Cybersicherheit gemeldet werden. Ein Beispiel für Paket-Phishing und die empfohlenen Reaktionen zeigt auch die Warnung der Schaffhauser Polizei vor gefälschten Post-SMS.
Eine kurze Prüfroutine verhindert vorschnelle Zahlungen
Vor jeder Reaktion helfen fünf Fragen: Wird tatsächlich eine Sendung erwartet? Passt der angegebene Paketdienst zur Bestellung? Erzeugt die Nachricht künstlichen Zeitdruck? Gehört die vollständige Internetadresse nachweislich zum Unternehmen? Verlangt die Seite Daten, die für eine einfache Zustellung nicht erforderlich sind?
Schon ein einziges starkes Warnsignal rechtfertigt den Abbruch. Mehrere Auffälligkeiten zusammen sprechen klar für einen Betrugsversuch. Besonders riskant ist die Kombination aus kleiner Gebühr, kurzer Frist, fremder Domain und anschliessender Abfrage eines SMS-Codes.
Die wichtigste Schutzregel ist die Trennung von Nachricht und Prüfung. Die SMS liefert höchstens einen Anlass zur Kontrolle, aber niemals den Zugang zur Zahlung oder zum Kundenkonto. Die offizielle App, ein gespeichertes Lesezeichen oder eine manuell eingegebene Adresse bilden den unabhängigen Weg.
Familien und Betriebe können diese Routine gemeinsam festlegen. Wer unsicher ist, zeigt die Nachricht einer zweiten Person, ohne den Link weiterzuleiten oder zu öffnen. Besonders bei geschäftlichen Geräten sollte klar sein, an welche interne Stelle verdächtige Nachrichten gemeldet werden.
Ruhiges Prüfen ist der wirksamste Schutz
Gefälschte Paket-SMS leben von einem kurzen Moment der Unachtsamkeit. Eine erwartete Bestellung, eine scheinbar geringe Gebühr und eine knappe Frist sollen die sorgfältige Kontrolle überspringen. Wer die Nachricht nicht als Handlungsanweisung, sondern lediglich als unbestätigte Behauptung behandelt, nimmt der Masche einen wesentlichen Teil ihrer Wirkung.
Ein seriös wirkender Absendername, ein bekanntes Logo oder eine korrekte Anrede reichen nicht als Nachweis. Entscheidend sind der unabhängig bestätigte Versandstatus, die echte Domain und die Frage, ob die verlangten Daten für den genannten Zweck überhaupt erforderlich sind.
Bleibt die SMS ungeöffnet, wird der Paketstatus über einen offiziellen Zugang geprüft und werden sensible Daten konsequent zurückgehalten, entsteht aus der Nachricht kein finanzieller Schaden. Falls bereits Angaben übermittelt wurden, begrenzen eine sofortige Kartensperre, neue Passwörter und eine sorgfältige Dokumentation das Risiko.
Bildquellen: Titelbild: Depositphotos/Milkos; Bild 1: Depositphotos/Miljan; Bild 2: Depositphotos/uveelena; Bild 3: Depositphotos/418 House; Bild 4: Depositphotos/antstang@yahoo.com