Smishing-Abwehr: Wie SMS-Phishing funktioniert und wie Unternehmen und Betreiber es stoppen können.

Smishing (SMS-Phishing) ist eine Betrugsmasche per SMS, bei der sich Absender als vertrauenswürdige Organisationen – beispielsweise Banken, Kurierdienste oder Behörden – ausgeben, um Empfänger dazu zu verleiten, auf einen schädlichen Link zu klicken oder Zugangsdaten preiszugeben. Dem kann auf zwei Wegen entgegengewirkt werden: Mobilfunkanbieter filtern die SMS im Netzwerk mithilfe von SMS-Firewalls, Link-Reputation und Absender-ID-Schutz, während Unternehmen sich mit registrierten, konsistenten Absender-IDs und markeneigenen Links schützen.

Warum SMS der bevorzugte Kanal für Phisher ist

E-Mail-Phishing ist seit Jahrzehnten durch mehrstufige Abwehrmechanismen geschützt – Spamfilter, Link-Rewriting, Sandbox-Vorschauen und Warnbanner. SMS hingegen bietet fast keine dieser Möglichkeiten. Eine SMS landet im selben Posteingang wie ein echter Einmalpasscode der Bank, wird von der überwiegenden Mehrheit der Empfänger innerhalb weniger Minuten geöffnet und genießt Vertrauen, gerade weil SMS traditionell für wichtige Transaktionsnachrichten genutzt wird. Auf einem Smartphone kann man mit dem Mauszeiger nicht über eine gekürzte URL fahren, um sie zu überprüfen; das eigentliche Ziel bleibt bis zum Antippen verborgen, und der kleine Bildschirm verbirgt die verräterischen Anzeichen, die einem Desktop-Nutzer sofort auffallen würden. Hinzu kommt noch das Spoofing der Absender-ID – bei dem ein Angreifer eine alphanumerische Absender-ID so einstellt, dass sie exakt wie die einer legitimen Marke aussieht –, und die Nachricht wirkt authentisch. Diese Kombination aus hohem Vertrauen, hoher Öffnungsrate und geringer Überprüfbarkeit ist der Grund, warum Smishing dort erfolgreich ist, wo E-Mail-Phishing zunehmend scheitert.

Wie ein Smishing-Angriff funktioniert

Eine Smishing-Kampagne kombiniert einige altbekannte Techniken. Das Verständnis dieser Abfolge bestimmt, wo die einzelnen Verteidigungsmaßnahmen ihren Platz haben.

• Gefälschte oder ähnlich aussehende Absenderkennungen – eine alphanumerische Absenderkennung, die dem exakten Namen einer Bank entspricht, oder eine fast identische Variante mit einem vertauschten Zeichen, einem hinzugefügten Leerzeichen oder einem Homoglyphen, der wie die Marke aussieht.
• Bösartige Kurzlinks – ein generischer URL-Kürzer oder eine neu registrierte, ähnlich aussehende Domain, die das wahre Ziel verbirgt und statische Sperrlisten umgeht.
• Dringlichkeit und Social Engineering – ein gesperrtes Konto, ein zurückgehaltenes Paket, eine unbezahlte Mautgebühr oder Geldstrafe: Druckmittel, die den Empfänger zum Handeln veranlassen, bevor er nachdenkt.
• Credential Harvesting – der Link öffnet eine pixelgenaue Kopie der Anmelde- oder Karteneingabeseite der Marke, um Benutzernamen, Passwörter, OTPs oder Kartendaten zu erfassen.
• Schadsoftware-Payloads – auf einigen Plattformen installiert der Link oder Anhang einen Banking-Trojaner oder SMS-Stealer, der die zukünftigen Einmalpasswörter des Opfers abfängt.
• Markenimitationen im großen Stil – Banken, Kurier- und Lieferdienste, Steuer- und Regierungsdienste sowie Telekommunikationsanbieter sind die am häufigsten imitierten Kategorien, da die Empfänger bereits Nachrichten von ihnen erwarten.

In den GCC-Staaten sind die auffälligsten Betrugswellen die, bei denen sich die Betrüger als Banken und staatliche E-Services ausgeben – beispielsweise durch gefälschte Benachrichtigungen über Kontosperrungen oder Identitätsprüfungen – und durch Lockangebote mit angeblichen Zollgebühren von Kurierdiensten während der umsatzstarken Vorweihnachtszeit. Da die Registrierung der Absenderkennung in weiten Teilen der MENA-Region verpflichtend ist, stellt eine gefälschte oder nicht registrierte Absender-ID ein starkes Signal dar, auf das die Firewall des Betreibers reagieren kann. Genau hier setzt die netzwerkseitige Verteidigung an.

Smishing vs Phishing

Smishing ist Phishing, das von E-Mails auf SMS verlagert wird, und genau dieser Kanalwechsel ist der springende Punkt – die Eigenschaften, die SMS zu einem hervorragenden Geschäftskanal machen, machen sie auch zu einem hervorragenden Angriffskanal.

Schutzmaßnahmen auf Betreiberseite: Smishing im Netzwerk unterbinden

Das Netzwerk bietet die größte Hebelwirkung zur Bekämpfung von Smishing: Eine zentrale Kontrollinstanz beim Netzbetreiber schützt alle Teilnehmer gleichzeitig, bevor eine schädliche SMS überhaupt ein Mobiltelefon erreicht. Ein modernes Anti-Smishing-Konzept kombiniert mehrere Techniken, die größtenteils innerhalb der SMS-Firewall (/operators/sms-firewall) ausgeführt werden.

• Inhaltsfilterung – die Firewall prüft den Nachrichtentext, die Struktur und die Metadaten und gleicht sie mit Smishing-Signaturen, Schlüsselwort- und Musterregeln sowie bekannten Kampagnen-Fingerabdrücken ab. Anschließend werden die Treffer unter Quarantäne gestellt oder verworfen.
• URL- und Linkreputation – Links werden extrahiert und in Echtzeit anhand von Reputationsfeeds und Sperrlisten überprüft, sodass bekannte schädliche Ziele, neu registrierte ähnliche Domains und missbräuchlich verwendete generische URL-Kürzer blockiert werden. Informationen zu Telefonnummern und Links, wie z. B. die Reputation von Telefonnummern, fließen in dieselbe Entscheidung ein.
• Sender-ID-Schutz und Register – ein Register legitimer, registrierter alphanumerischer Sender-IDs ermöglicht es dem Netzwerk, gefälschte oder nicht registrierte IDs zu blockieren, die eine Marke imitieren, was in Märkten mit Registrierungspflicht ein entscheidendes Signal ist.
• Signalisierung und Anti-Spoofing – die Überprüfung der SS7- und Diameter-Schicht mit Home-Routing- und Ursprungsprüfungen verhindert, dass Nachrichten über die Verbindung eingeschleust oder gefälscht werden, bevor sie in das Netzwerk gelangen.
• Verhaltensanomalieerkennung – plötzliche Volumenspitzen, eine Quelle, die sich auf viele Abonnenten ausbreitet, oder Häufungen identischer Links lösen Anomaliemodelle aus, die Kampagnen aufdecken, die statische Regeln übersehen würden.

Diese Kontrollmechanismen gehören zusammen: Inhalts- und Linkfilterung erkennen die Schadsoftware, die Durchsetzung der Absender-ID verhindert Identitätsdiebstahl und die Signalverteidigung erkennt das Einschleusen von Schadsoftware. Dieses mehrschichtige Modell – Verteidigung am Netzwerkrand statt auf jedem Endgerät – wird in unserer Sicherheit-Übersicht ausführlicher beschrieben.

Unternehmens- und markenseitige Verteidigung

Netzbetreiber können Smishing nicht allein bekämpfen. Betroffene Marken verfügen über eigene Handlungsmöglichkeiten, deren Nutzung die Arbeit des Netzwerks erleichtert und gleichzeitig das wertvollste Gut der Marke schützt – das Vertrauen der Kunden in ihre Botschaften. Die Abwehrmaßnahmen in der Reihenfolge ihrer Wirkung:

1. 1Registrieren Sie Ihre Absenderkennungen in jedem Markt, in den Sie Nachrichten senden, und verwenden Sie einheitliche, registrierte alphanumerische Kennungen, damit Kunden – und Betreiber-Firewalls – eine echte Nachricht von einer Fälschung unterscheiden können.
2. 2Setzen Sie auf eine kleine Anzahl von markenspezifischen Absenderkennungen anstatt auf wechselnde numerische Langcodes; eine vorhersehbare Identität ist für Kunden leichter zu vertrauen und für Firewalls leichter auf die Whitelist zu setzen.
3. 3Verwenden Sie markeneigene, eigene Link-Domains anstelle von generischen URL-Kürzern, damit ein legitimer Link eindeutig als Ihr eigener erkennbar ist und ein gekürzter Link zu einem Warnsignal wird, dem Kunden misstrauen lernen können.
4. 4Achten Sie auf strenge Linkhygiene – HTTPS, eine einzige bekannte Domain, keine verwirrenden benutzerspezifischen Abfragezeichenfolgen und niemals eine Anfrage nach Passwörtern, vollständigen Kartennummern oder OTPs per SMS.
5. 5Weisen Sie Ihre Kunden ausdrücklich und wiederholt darauf hin, dass Sie niemals per SMS nach Zugangsdaten oder Einmalpasswörtern fragen, und veröffentlichen Sie die genauen Absenderkennungen und Domains, die Sie tatsächlich verwenden.
6. 6Bieten Sie Ihren Kunden und Mitarbeitern eine schnelle und bekannte Möglichkeit, mutmaßliche Smishing-Angriffe zu melden, und leiten Sie diese Meldungen an Ihren Betreiber und Messaging-Anbieter weiter, damit die Sperrlisten schnell aktualisiert werden können.
7. 7Überwachen Sie nach ähnlichen Domains und gefälschten Absender-IDs, die auf Ihre Marke abzielen, und ergreifen Sie Maßnahmen zur Entfernung dieser Inhalte – die Erkennung von Smishing ist ebenso wichtig für den Markenschutz wie für die Filterung von E-Mails.

Beide Seiten verstärken sich gegenseitig. Eine Marke, die ihre Absenderkennungen registriert und standardisiert, liefert der Betreiber-Firewall eine saubere Whitelist; ein Betreiber, der Link-Reputation und Absenderkennungsschutz implementiert, sorgt dafür, dass die registrierte Markenidentität auf dem Endgerät tatsächlich relevant ist. Keine der beiden Seiten allein ist ausreichend – die Abwehr von Smishing erfordert gemeinsame Anstrengungen, ebenso wie die umfassendere Betrugsabwehr im A2P-Bereich.

Häufig gestellte Fragen

Was ist Smishing?

Smishing ist Phishing per SMS – der Name setzt sich aus „SMS“ und „Phishing“ zusammen. Angreifer versenden SMS, in denen sie sich als vertrauenswürdige Organisation ausgeben, typischerweise eine Bank, ein Kurierdienst oder eine Behörde. Die SMS enthalten eine dringende Aufforderung und einen schädlichen Link. Klickt man auf den Link, gelangt man auf eine gefälschte Anmelde- oder Zahlungsseite, die Zugangsdaten, Einmalpasswörter oder Kartendaten abgreift oder Schadsoftware auf dem Gerät installiert.

Worin unterscheidet sich Smishing von Phishing?

Phishing bezeichnet üblicherweise E-Mail-Angriffe; Smishing ist die SMS-Variante. Der Unterschied liegt in den Eigenschaften der Kanäle: SMS weisen eine deutlich höhere Öffnungs- und Vertrauensrate auf, Links können nicht per Mauszeiger über das Smartphone bewegt oder in der Vorschau angezeigt werden, und Anbieter verfügen nicht über die ausgereiften Spamfilter von E-Mails. Auch die Absenderidentität ist schwächer – alphanumerische Absenderkennungen lassen sich leichter fälschen als E-Mail-Domains, die durch SPF, DKIM und DMARC geschützt sind. Daher tragen die Kontrollmechanismen der Mobilfunkanbieter eine größere Verantwortung.

Wie erkennen und blockieren Mobilfunkbetreiber Smishing?

Die Betreiber setzen eine SMS-Firewall ein, die Nachrichteninhalte und Links prüft, bekannte Smishing-Signaturen erkennt und URLs anhand von Echtzeit-Reputationsfeeds und Sperrlisten abgleicht. Sie verwendet ein Register legitimer Absenderkennungen, um gefälschte oder nicht registrierte Absender zu blockieren, überwacht die SS7- und Diameter-Signalisierungsschicht auf eingeschleuste Nachrichten und erkennt Verhaltensanomalien, um Volumenspitzen und Verbreitungsmuster zu erkennen, die auf eine laufende Kampagne hinweisen.

Referenzen

• GSMA – Leitfaden zu Betrug und Sicherheit (FS-Serie) und Messaging-Betrug: gsma.com
• CISA (US-amerikanische Cybersicherheits- und Infrastruktursicherheitsbehörde) – Leitfaden zu Smishing und SMS-Betrug: cisa.gov
• BroadNet – Schutz vor Smishing auf Betreiberseite: SMS Firewall und Telefonreputation.
• BroadNet — Abwehr gegen A2P-SMS-Betrug: Das umfassendere Betrugsbild rund um Smishing.