Eine verdächtige Paket-SMS in Ruhe prüfen

Was du gerade vor dir hast

Eine SMS ist eine kurze Textnachricht an deine Telefonnummer. Ein Link ist eine antippbare Stelle, die eine Internetseite öffnet. Leider kann eine Nachricht einen bekannten Firmennamen anzeigen und trotzdem von jemand anderem stammen.

Phishing heißt ein Betrugsversuch, bei dem Menschen beispielsweise Passwörter oder Zahlungsdaten abgeben sollen. Bei solchen Nachrichten per SMS spricht man auch von Smishing. Diese Wörter musst du nicht auswendig lernen. Hilfreicher ist die Frage: Kann ich die Behauptung außerhalb dieser Nachricht prüfen?

Ein kleiner Geldbetrag ist kein Beweis für einen kleinen möglichen Schaden. Auch wenn du wirklich ein Paket erwartest, ist dadurch diese Nachricht noch nicht bestätigt.

Anhalten, ohne die Nachricht zu beantworten

1. Lies die Nachricht, ohne den Link anzutippen. Gib dort keine Daten ein und antworte nicht mit deiner Adresse.
2. Prüfe: Erwarte ich überhaupt ein Paket? Von welchem Händler und welchem Paketdienst?
3. Lege die in der Nachricht genannte Frist für den Moment beiseite. Eine Behauptung wie „nur heute“ ersetzt keine Prüfung.
4. Verlasse die SMS-Ansicht. Tippe dazu unten auf die Home-Taste, also die runde beziehungsweise hausförmige Taste. Wenn du ohne solche Tasten bedienst, wische vom unteren Rand bis etwa zur Mitte und lasse los.

DHL erklärt in seinen Sicherheitshinweisen, dass das Unternehmen per SMS weder persönliche Daten abfragt noch zu Zahlungen auffordert. Diese konkrete Aussage gilt hier für DHL. Übertrage sie nicht als pauschale Regel auf jede Nachricht jedes Unternehmens.

Die Nummer deiner wirklichen Sendung suchen

Eine Sendungsnummer ist eine Folge von Zahlen und manchmal Buchstaben, mit der ein Paketdienst eine bestimmte Sendung findet. Sie ist nicht dasselbe wie die Bestellnummer des Händlers. Die Bestellnummer gehört zu deinem Einkauf, die Sendungsnummer zum Versand.

1. Öffne die schon bekannte App des Händlers oder dein bereits gespeichertes Lesezeichen zu seinem Kundenkonto. Ein Lesezeichen ist ein im Browser gespeicherter Weg zu einer Seite.
2. Falls du so etwas nicht hast, öffne den Browser und tippe die dir bekannte Händleradresse selbst in die lange Adresszeile. Nutze nicht die Adresse aus der verdächtigen SMS.
3. Öffne im Kundenkonto deine Bestellungen und die betreffende Bestellung. Die Bezeichnung unterscheidet sich je nach Händler.
4. Suche nach Angaben wie Versandt, Sendung oder Sendungsnummer. Notiere die Nummer auf Papier und den genannten Paketdienst.

Der Händlerteil hat absichtlich keine angeblich universelle Klickfolge: Jedes Kundenkonto ist anders. Findest du die Angaben nicht, nutze die Kontaktadresse in deiner schon vorhandenen Bestellbestätigung oder auf der selbst geöffneten offiziellen Händlerseite. Die Rückrufnummer aus der SMS ist dafür keine unabhängige Quelle.

Bei DHL unabhängig nachsehen

Ein Browser zeigt Internetseiten. Auf unserem Android-Beispiel benutzen wir die App Chrome. Diese Schritte brauchst du nur, wenn dein Händler DHL als Paketdienst nennt.

1. Tippe auf das beschriftete Chrome-Symbol.
2. Tippe oben oder unten in die lange Adresszeile. Dort steht die Adresse der gerade geöffneten Internetseite.
3. Tippe vollständig https://www.dhl.de/de/privatkunden/dhl-sendungsverfolgung.html ein. Bestätige mit dem Pfeil beziehungsweise der Eingabetaste rechts unten auf der Bildschirmtastatur. Alternativ tippe hier auf Offizielle DHL-Sendungsverfolgung öffnen. Damit öffnet sich die Seite zusätzlich zu dieser Anleitung.
4. Prüfe die Adresse in der Adresszeile. Der Firmenname irgendwo im Seitentext reicht nicht. Bei einer Sicherheitswarnung des Browsers mache nicht weiter.
5. Tippe auf der DHL-Seite in das Feld Sendungsnummer. Trage die notierte Nummer aus deiner echten Bestellung ein.
6. Starte die Suche über das Lupensymbol beziehungsweise die Schaltfläche neben dem Eingabefeld. Lies den angezeigten Stand deiner Sendung.

Gegebenenfalls erscheint vorher eine Auswahl zu Cookies. Das sind kleine gespeicherte Angaben einer Website; lies die angebotenen Auswahlmöglichkeiten in Ruhe. Für unsere Prüfung musst du keine Werbung erlauben.

Das Ergebnis richtig einordnen

Die echte Sendung ist unterwegs.

Dann hast du einen brauchbaren Versandstand. Folge trotzdem nicht nachträglich dem SMS-Link. Bei widersprüchlichen Zahlungsforderungen fragst du den Händler oder Paketdienst über dessen selbst aufgerufene Kontaktseite.

Die Nummer ist unbekannt.

Prüfe sie Zeichen für Zeichen. Eine neu angekündigte Sendung kann noch nicht erfasst sein. „Unbekannt“ beweist weder Betrug noch Verlust. Frage beim echten Händler nach, wenn die Angaben nicht passen.

Ich erwarte gar keine Bestellung.

Du musst die Behauptung nicht durch einen Klick untersuchen. Falls du unsicher bist, kann eine vertraute Person mit dir auf die Nachricht schauen, ohne ihren Link zu öffnen.

Die Nachricht hat keine Schreibfehler.

Das ist kein Echtheitsbeweis. Auch ein Firmenlogo, ein vertrauter Absendername oder eine kleine angebliche Gebühr reichen dafür nicht aus.

Alltagsbeispiel: Du erwartest Schuhe. Im Händlerkonto steht eine echte DHL-Sendungsnummer. Die unabhängige Suche zeigt „angekündigt“. Damit hast du den Versand geprüft, ohne eine überraschende Adress- oder Zahlungsseite zu benutzen.

Wenn du schon geklickt oder Daten eingegeben hast

Das kann passieren. Entscheidend ist jetzt, was genau geschehen ist. Ein geöffneter Link allein sagt noch nicht, ob ein Schaden entstanden ist. Schließe die fremde Seite und mache keine weiteren Eingaben.

• Passwort eingegeben: Öffne den betroffenen Anbieter über den dir bekannten unabhängigen Weg. Ändere dort das Passwort. Bei einem wiederverwendeten Passwort müssen auch die anderen betroffenen Konten berücksichtigt werden.
• Karten- oder Bankdaten eingegeben beziehungsweise bezahlt: Kontaktiere umgehend deine Bank über eine bereits bekannte Rufnummer oder die offizielle Banking-App. Schildere genau, was du eingegeben und freigegeben hast.
• Eine unbekannte App installiert: Nutze das Gerät vorerst nicht für weitere vertrauliche Anmeldungen. Hole konkrete Hilfe bei einer vertrauten IT-Anlaufstelle; bloßes Schließen der SMS macht eine Installation nicht rückgängig.

Bewahre für die Klärung die Nachricht und die angezeigte Absendernummer auf. Teile Belege nur mit der zuständigen Stelle, nicht öffentlich mit deinen persönlichen Daten. DHL nennt auf seiner unten verlinkten Sicherheitsseite einen Meldeweg für verdächtige DHL-SMS. Die Polizeiberatung erklärt weitere Schritte. Eine Ferndiagnose oder Schadensfreiheit können diese wenigen Prüfschritte nicht zusagen.