Smishing und Vishing 2026: Betrug per SMS und Anruf erkennen

Smishing ist Betrug per SMS, Vishing Betrug per Anruf — beides zielt darauf, dass ihr einen Code weitergebt, einen Link öffnet oder eine Zahlung freigebt. Die Nachrichten wirken echt, weil sie mit realen Namen arbeiten: Paketdienst, Bank, Behörde, sogar die eigene Familie. Die wirksamste Regel ist unabhängig von der Masche: Beendet den Kontakt und ruft über eine Nummer zurück, die ihr selbst herausgesucht habt. Stand: August 2026.

Das Wichtigste in Kürze

• Keine Bank und keine Behörde fragt telefonisch nach TAN, PIN oder Passwort.
• Angezeigte Rufnummern lassen sich fälschen — sie beweisen gar nichts.
• Zeitdruck und Drohung sind die zuverlässigsten Erkennungsmerkmale.
• Ruft immer über eine selbst herausgesuchte Nummer zurück, nie über die genannte.

Anzeige / Transparenz: Dieser Artikel enthält Partner-Links. Kauft ihr über einen solchen Link, erhalten wir eine kleine Provision. Für euch bleibt der Preis identisch.

Smishing und Vishing: der Unterschied

Symbolbild — KI-generiert / MonsterDealz

Beide Begriffe beschreiben Phishing über andere Kanäle. Smishing setzt sich aus SMS und Phishing zusammen: Die Falle kommt als Kurznachricht, meist mit Link. Vishing steht für Voice-Phishing — hier ruft jemand an und redet mit euch.

Der Unterschied ist mehr als sprachlich. Eine SMS könnt ihr in Ruhe prüfen; ein Anruf setzt euch unter Druck, weil ihr sofort reagieren sollt. Deshalb sind Vishing-Angriffe erfolgreicher, obwohl sie mehr Aufwand kosten.

Häufig arbeiten die Maschen zusammen: Erst kommt eine SMS mit einem Hinweis, dann ein Anruf, der sie bestätigt. Diese Kombination wirkt besonders glaubwürdig, weil sie über zwei Kanäle dieselbe Geschichte erzählt.

Was beide gemeinsam haben: Sie brauchen eine Handlung von euch. Ohne euren Klick, euren Code oder eure Freigabe passiert nichts. Genau dort liegt eure Kontrolle.

Die verbreiteten Maschen

Die Vorwände wechseln, die Struktur bleibt gleich. Wer die Muster kennt, erkennt auch neue Varianten.

• Paketbenachrichtigung. „Ihre Sendung konnte nicht zugestellt werden, bitte Gebühr nachzahlen.“ Der Link führt auf eine nachgebaute Seite, die Kartendaten abfragt.
• Angeblicher Bankanruf. Jemand meldet sich als Sicherheitsabteilung, spricht von verdächtigen Abbuchungen und bittet um eine Freigabe in der App — die in Wahrheit eine Überweisung bestätigt.
• Familiennachricht. „Hallo Mama, das ist meine neue Nummer, mein Handy ist kaputt.“ Kurz darauf folgt die Bitte um eine dringende Überweisung.
• Behörden- oder Polizeianruf. Angebliche Ermittlungen, Vermögen in Gefahr, Übergabe an einen Beamten. Behörden arbeiten so nicht.
• Technischer Support. Angeblicher Virus auf dem Rechner, Fernwartungssoftware soll installiert werden.
• Gewinnbenachrichtigung. Ein Gewinn, für den eine Gebühr fällig wird — der Klassiker, der nie ausstirbt.

Alle sechs Varianten haben dasselbe Ziel: Geld, Zugangsdaten oder Fernzugriff. Und alle sechs brechen zusammen, sobald ihr auflegt und selbst zurückruft.

Woran ihr Betrug erkennt

Symbolbild — KI-generiert / MonsterDealz

Es gibt fünf Merkmale, die in praktisch jedem Fall auftauchen. Trifft eines davon zu, ist Vorsicht angebracht; treffen zwei zu, ist es fast sicher Betrug.

Die dritte Zeile ist die härteste Regel des Themas: Eine Bank, ein Zahlungsdienst oder ein Shop fragt niemals telefonisch nach TAN, PIN, Passwort oder einem SMS-Code. Wer danach fragt, ist kein Mitarbeiter.

Ein Merkmal, auf das ihr euch nicht verlassen könnt, ist die angezeigte Rufnummer. Sie lässt sich fälschen, sodass auf dem Display die echte Nummer einer Bank oder Behörde erscheint. Auch der Absendername einer SMS kann frei gewählt werden — genau deshalb landen betrügerische Nachrichten manchmal im selben Verlauf wie echte.

Ebenfalls kein Beweis: fehlerfreies Deutsch. Die Zeiten holpriger Übersetzungen sind vorbei; heutige Nachrichten sind sprachlich sauber und optisch gut nachgebaut.

Die eine Regel, die immer funktioniert

Beendet den Kontakt und stellt ihn selbst wieder her — über eine Nummer, die ihr aus einer eigenen Quelle habt: von der Rückseite eurer Bankkarte, aus dem eigenen Adressbuch, von der offiziellen Webseite, die ihr selbst aufgerufen habt.

So sieht das praktisch aus:

1. Auflegen. Ohne Erklärung. Höflichkeit ist hier fehl am Platz und wird gezielt ausgenutzt.
2. Fünf Minuten warten. Manche Anrufer halten die Leitung offen. Ruft erst danach zurück oder nutzt ein anderes Telefon.
3. Nummer selbst heraussuchen. Nie eine Nummer verwenden, die in der Nachricht oder im Gespräch genannt wurde.
4. Bei Familiennachrichten anders prüfen. Ruft die alte gespeicherte Nummer an oder fragt etwas, das nur die echte Person wissen kann.
5. Nichts installieren. Keine Fernwartung, keine App auf Zuruf, keine Datei aus einer Nachricht.

Diese Regel funktioniert unabhängig davon, wie gut die Geschichte klingt — und sie kostet euch nichts, falls der Anruf doch echt war. Ein seriöser Anrufer hat für einen Rückruf immer Verständnis.

Wenn ihr schon reagiert habt

Symbolbild — KI-generiert / MonsterDealz

Schnelligkeit zählt mehr als Vollständigkeit. Arbeitet diese Reihenfolge ab, statt zuerst zu überlegen, wie es passieren konnte.

1. Bank sperren lassen. Karten und Online-Banking sofort sperren; der zentrale Sperr-Notruf ist rund um die Uhr erreichbar.
2. Passwörter ändern. Zuerst das E-Mail-Postfach — darüber laufen alle anderen Zurücksetzungen.
3. Fernwartung entfernen. Installierte Software deinstallieren, Gerät vom Netz trennen, im Zweifel zurücksetzen.
4. Anzeige erstatten. Bei der Polizei, online oder vor Ort. Das ist Voraussetzung für viele Erstattungsfälle.
5. Belege sichern. Screenshots, Rufnummern, Uhrzeiten, Kontobewegungen.
6. Anbieter informieren. Unerlaubte Anrufe verfolgt die Bundesnetzagentur aktiv — wie das geht, steht in unserem Ratgeber Beschwerde bei der Bundesnetzagentur.

Wurde über eure Handyrechnung abgebucht, kommt ein weiterer Schritt hinzu: die Beanstandung beim Mobilfunkanbieter und das dauerhafte Schließen dieses Wegs. Wie das geht, steht unter Drittanbietersperre.

Vorbeugen: was dauerhaft hilft

Ihr könnt die Angriffe nicht verhindern, aber ihr könnt den Schaden begrenzen. Diese fünf Maßnahmen wirken unabhängig von der jeweiligen Masche.

• Zweiten Faktor absichern. Eine App zur Freigabe ist sicherer als SMS-Codes, weil sie an das Gerät gebunden ist.
• SIM-PIN aktiv lassen. Sie verhindert, dass eure Karte in einem fremden Gerät SMS-Codes empfängt — siehe SIM-PIN.
• Überweisungslimit senken. Ein niedriges Tageslimit begrenzt den maximalen Schaden.
• Nichts über Links aufrufen. Bank- und Shop-Seiten immer über ein eigenes Lesezeichen oder die App öffnen.
• In der Familie darüber sprechen. Besonders ältere Angehörige sind Ziel von Vishing — ein vereinbartes Codewort für Notfälle wirkt erstaunlich gut.

Ergänzend lohnt ein Blick auf die Einstellungen des Telefons. Viele Geräte können Anrufe von unbekannten Nummern stummschalten und in die Mailbox leiten — echte Anliegen hinterlassen dort eine Nachricht, automatisierte Betrugsanrufe fast nie. Auch das Blockieren einzelner Nummern hilft, wirkt aber nur begrenzt, weil die Absender ständig wechseln.

Wichtig ist die Erwartung: Kein Filter erkennt eine Masche, die es gestern noch nicht gab. Technik reduziert die Menge, die Entscheidung im Einzelfall bleibt bei euch — und dafür braucht es genau eine Regel, nicht zehn.

Das Codewort ist die unterschätzteste Maßnahme: Eine Familie, die eine vereinbarte Frage hat, ist gegen die „neue Nummer“-Masche praktisch immun.

Vor- und Nachteile von SMS als Zweitfaktor

Wer bei SMS bleibt, sollte wenigstens die Nachrichtenvorschau auf dem Sperrbildschirm ausschalten — sonst ist der Code auch ohne Entsperren lesbar.

Häufige Fragen zu Smishing und Vishing

Kann ich der angezeigten Nummer trauen?

Nein. Rufnummern lassen sich fälschen, auch die von Banken und Behörden. Die Anzeige ist kein Echtheitsnachweis.

Ist es gefährlich, eine solche SMS zu öffnen?

Das Öffnen allein ist in der Regel unkritisch. Gefährlich wird es beim Antippen des Links und beim Eingeben von Daten.

Was passiert, wenn ich nur zurückgerufen habe?

Meist nichts. Kritisch wird es, wenn ihr Daten nennt, etwas installiert oder eine Freigabe erteilt.

Soll ich auf solche Nachrichten antworten?

Nein. Eine Antwort bestätigt nur, dass eure Nummer aktiv ist. Löschen und blockieren.

Woher haben die meine Nummer?

Aus Datenlecks, aus öffentlich zugänglichen Quellen oder durch schlichtes Durchprobieren von Nummernblöcken.

Ersetzt eine Sicherheits-App den gesunden Menschenverstand?

Nein. Filter helfen bei bekannten Absendern, aber neue Nummern rutschen durch. Die Rückruf-Regel bleibt der beste Schutz.

Bekomme ich mein Geld zurück?

Das hängt vom Einzelfall ab, besonders davon, ob ihr eine Zahlung selbst freigegeben habt. Meldet den Fall sofort der Bank und erstattet Anzeige — beides ist Voraussetzung.

Fazit: auflegen, selbst zurückrufen

Smishing und Vishing funktionieren nicht über Technik, sondern über Druck. Die Angreifer brauchen eure Reaktion in genau dem Moment, in dem ihr überrumpelt seid. Wer sich angewöhnt, in dieser Situation grundsätzlich aufzulegen und selbst zurückzurufen, nimmt der gesamten Masche die Grundlage.

Drei Regeln, die reichen:

• Kein Code, keine PIN, kein Passwort am Telefon — ohne Ausnahme.
• Immer über eine selbst herausgesuchte Nummer zurückrufen.
• In der Familie ein Codewort für echte Notfälle vereinbaren.

Wer zusätzlich den Zahlungsweg über die Handyrechnung schließt, nimmt einer ganzen Betrugsvariante die Grundlage — siehe Drittanbietersperre. Weitere Alltagstipps sammeln wir laufend auf MonsterDealz.de.