Ist die SMS zur „Paketzustellung" ein Betrug?

So sieht sie aus

Ein echtes Beispiel, anonymisiert.

      [DHL] Ihr Paket kann aufgrund unvollständiger Adressangaben nicht zugestellt werden. Bitte bestätigen Sie Ihre Adresse innerhalb von 24 Stunden, um den Rückversand zu vermeiden: dhl-zustellung[.]top/bestaetigen
    

Varianten verwenden DHL, DPD, Hermes, UPS, FedEx, GLS, Deutsche Post, Post.at, Swiss Post. Die Struktur ist immer dieselbe: Dringlichkeit, eine kleine Gebühr oder „Bestätigung" und ein Link, den Sie noch nie gesehen haben.

Warnzeichen

So erkennen Sie es in fünf Sekunden.

Sie haben kein Paket erwartet, oder die Nachricht kommt am selben Tag wie eine „gestrige Lieferung". Betrüger versenden diese SMS an Millionen von Nummern und hoffen, dass einige Empfänger zufällig eine offene Bestellung haben.
Der Link ist nicht die echte Domain des Paketdienstes. Das echte DHL ist dhl.de. Das echte Hermes ist myhermes.de. Echte Deutsche Post ist deutschepost.de. Betrugslinks sehen aus wie dhl-zustellung.top, hermes-pay.com, post-de.help oder verwenden einen Kürzungsdienst.
Die Gebühr ist verdächtig klein. 1,99 €, 2,49 €, 3,50 €. Der Betrag ist zu niedrig, um wie Betrug zu wirken. Das eigentliche Ziel sind Ihre Kartendaten.
Die Grammatik stimmt nicht ganz. „Ihr Paket kann nicht zugestellt werden geworden". „Bitte zur Bestätigen". „Es tut uns leid für die Umstände". Echte Paketdienste verschicken Millionen SMS täglich und haben professionelle Texter.
Dringende Frist. „Innerhalb von 24 Stunden", „oder das Paket geht zurück". Echte Paketdienste versuchen die Zustellung erneut, hinterlassen eine Karte und schreiben Ihnen per E-Mail. Sie fordern niemals per SMS, innerhalb weniger Stunden zu handeln.
Absender ist eine lange Nummer, ein zufälliger Kurzcode oder ein E-Mail-Gateway. Echte Paketdienst-SMS kommen von registrierten Kurzcodes. Wenn der Absender eine normale Telefonnummer aus einem fremden Land ist, ist es Betrug.

Was tun

Tun Sie dies stattdessen.

Wenn Sie tatsächlich ein Paket erwarten, öffnen Sie die offizielle App oder Website des Paketdienstes selbst, indem Sie die URL tippen. Verwenden Sie die Sendungsnummer aus Ihrer ursprünglichen Bestellbestätigung. Niemals den Link in der SMS.
Leiten Sie die SMS weiter. In Deutschland an Ihren Mobilfunkanbieter (z. B. bei Vodafone: 7726). Die meisten Anbieter leiten dies an ein Betrugsteam weiter.
Löschen Sie die Nachricht nach dem Weiterleiten. Blockieren Sie den Absender, wenn Ihr Telefon das erlaubt.
Wenn Sie den Link bereits angeklickt, aber keine Daten eingegeben haben, sind Sie wahrscheinlich sicher. Schließen Sie den Tab. Lassen Sie den Malware-Scanner Ihres Telefons laufen, falls vorhanden (bei iPhones selten nötig).
Wenn Sie Kartendaten eingegeben haben, rufen Sie sofort die Betrugshotline Ihrer Bank an (Nummer auf der Rückseite Ihrer Karte) und lassen Sie die Karte sperren und eine neue ausstellen. Ändern Sie dann das Passwort aller Konten, bei denen Sie dieselben Zugangsdaten verwendet haben.

Was nicht tun

Niemals dies tun.

Klicken Sie nicht auf den Link, „um zu sehen was es ist". Manche Betrugsseiten sammeln Daten beim Laden (Ihre IP, Ihren Browser, manchmal mehr). Die meisten verlangen auf dem nächsten Bildschirm Kartendaten.
Rufen Sie keine Telefonnummer aus der SMS an. Betrüger betreiben gefälschte Callcenter als Backup, falls der Link blockiert wird.
Antworten Sie nicht mit „falsche Nummer", „STOPP" oder Ähnlichem. Eine Antwort bestätigt, dass Ihre Nummer aktiv ist, und Sie landen auf einer „Antwortet"-Liste, die an andere Betrüger verkauft wird.
Zahlen Sie keine Gebühr, egal wie klein. Echte Zollgebühren in Deutschland, Österreich und der Schweiz werden vom Paketdienst bei der Zustellung, beim Postamt bei der Abholung oder bereits beim Bestellvorgang abgerechnet, niemals per Überraschungs-SMS.

Kurze Fragen

FAQ.

Ich erwarte tatsächlich ein Paket. Wie kann ich sicher sein?

Öffnen Sie Ihre Bestellbestätigungs-E-Mail oder die App des Händlers (Amazon, eBay, die Marken-Website). Holen Sie sich von dort die Sendungsnummer. Tippen Sie dann die offizielle Paketdienst-URL selbst in Ihren Browser (dhl.de, hermes.de usw.) und fügen Sie die Sendungsnummer ein. Zeigt die echte Sendungsverfolgung, dass Ihr Paket normal unterwegs ist, war die SMS Betrug. Zeigt sie ein Zustellproblem, teilt Ihnen der Paketdienst dies in seiner eigenen App mit, ohne Überraschungsgebühren.

Ich habe den Link angeklickt, aber nichts eingegeben. Bin ich in Gefahr?

Fast immer nein. Moderne Telefone isolieren den Browser, sodass der Besuch einer Betrugsseite allein nichts installiert. Der Betrug braucht Ihre Karte oder Ihr Passwort, um Sie auszunehmen. Schließen Sie den Tab. Bei Android können Sie Play Protect ausführen (Einstellungen → Sicherheit → Google Play Protect → Scan). Beim iPhone reicht es, Safari zu schließen und den Verlauf zu löschen.

Woher haben sie meine Nummer?

Nicht gezielt. Betrüger kaufen Telefonnummernlisten aus früheren Datenlecks (LinkedIn, Facebook, T-Mobile, Hunderte mehr) oder generieren Nummern massenhaft. Die SMS wird an Millionen gleichzeitig gesendet. Sie sind kein gezieltes Opfer, deshalb ist die Nachricht auch so allgemein.

Andere Nachricht erhalten?

Prüfen Sie Ihren genauen Text. Dauert 5 Sekunden.

Kostenlos, ohne Anmeldung, nichts gespeichert. Funktioniert für SMS, E-Mail, WhatsApp, Links und Screenshots in 10 Sprachen.

Meine Nachricht prüfen →

Weitere Betrugsmaschen

Ist die SMS zur Paketzustellung ein Betrug?