„Paket zurückgehalten“: das gefälschte Post-SMS und andere Paketbetrügereien

„Paket zurückgehalten“: das gefälschte Post-SMS und andere Paketbetrügereien

„Post: Ihr Paket konnte wegen ausstehender Gebühren nicht zugestellt werden. Bitte begleichen Sie € 1,68 hier.“ Dazu ein Link. Dieses SMS – je nach Welle im Namen der Österreichischen Post, von DHL, DPD, GLS oder Hermes – gehört zu den hartnäckigsten Smishing-Maschen. Es funktioniert, weil fast alle online einkaufen und fast jeder irgendwann ein Paket unterwegs hat: Die Nachricht fällt auf fruchtbaren Boden.

Der Betrag ist absichtlich lächerlich klein. Um die zwei Euro ging es nie: Ziel ist, dass du die vollständigen Daten deiner Karte auf einer gefälschten Seite eingibst, die das Paketunternehmen nachahmt – und manchmal auch den Bestätigungscode, den du danach bekommst, damit größere Beträge abgebucht werden können.

Warum es wirkt, auch wenn du kein Paket erwartest

Die Betrüger wissen nicht, ob du auf eine Bestellung wartest. Sie müssen es auch nicht wissen:

• Masse. Dasselbe SMS geht an Tausende Nummern. Bei so viel Onlinehandel hat ein großer Teil der Empfänger tatsächlich gerade etwas unterwegs oder hatte es vor Kurzem, und die Nachricht passt.
• Ein Betrag, der nicht wehtut. Ein, zwei Euro lösen keinen Alarm aus. Niemand prüft eine Zahlung von € 1,68 so genau wie eine von € 300.
• Eile und null Hürden. „Jetzt zahlen, morgen zugestellt“ verleitet dazu, es sofort am Handy zu erledigen, ohne auf Absender oder Domain zu achten.
• Wechselnde Verkleidung. Ist eine Marke „verbrannt“ (alle warnen schon vor dem falschen Post-SMS), wechselt die Kampagne zum nächsten Zustelldienst. Das Gerüst ist immer dasselbe wie bei gefälschten Nachrichten rund um Maut und Vignette, vor denen die ASFINAG warnt: bekannte Firma oder Stelle + offener Vorgang + Zeitdruck + Zahlungslink.

So erkennst du das gefälschte SMS

Keines dieser Signale ist allein ein Beweis, aber zusammen ergeben sie eine ziemlich verlässliche Diagnose:

• Es verlangt eine Zahlung über einen Link. Selbst wenn bei einer echten Sendung Zoll- oder Zusatzkosten anfallen, prüfst du das über die Sendungsverfolgung auf der offiziellen Seite oder in der App, die du selbst öffnest – nie über einen Link in einem unerwarteten SMS.
• Der Link führt nicht auf die offizielle Domain. Adressen mit zusätzlichen Bindestrichen („post-zustellung“, „dhl-paket“, „dpd-sendung“) oder seltsamen Endungen. Am Handy und in Eile fallen sie nicht auf; in Ruhe betrachtet springen sie ins Auge.
• Es nennt keine echte Sendungsnummer. Das falsche SMS spricht allgemein von „Ihrem Paket“, weil es nicht weiß, um welches es geht. Eine echte Benachrichtigung enthält die Sendungsnummer, und die stimmt mit jener überein, die dir der Shop gegeben hat.
• Der Absender beweist wenig. Mal ist es irgendeine Handynummer, mal ein Name, der wie das Unternehmen klingt. Laut einer Presseinformation der RTR vom 16. Oktober 2026 dürfen in Österreich nur noch von der RTR freigeschaltete textbasierte Absenderkennungen verwendet werden; ein vertrauter Name ist trotzdem kein Beweis – entscheidend ist, was die Nachricht von dir will.
• Stilfehler. Holprige Übersetzungen, seltsame Großschreibung, übertriebene Dringlichkeit („letzte Mahnung vor der Rücksendung“). Echte Unternehmen schreiben besser.

So prüfst du eine echte Sendung

Die Methode ist immer dieselbe und gilt für jedes Unternehmen:

1. Tipp nicht auf den Link im SMS. Schließ es.
2. Öffne selbst den offiziellen Kanal: die App des Shops, bei dem du bestellt hast, die Bestellbestätigung per E-Mail oder die offizielle Website des Zustelldienstes, deren Adresse du selbst eintippst (bei der Post: post.at).
3. Gib dort deine Sendungsnummer ein. Gibt es ein echtes Problem (Zoll, unvollständige Adresse, Zustellversuch), steht es in der offiziellen Sendungsverfolgung. Steht dort nichts, war das SMS gefälscht.

Die Österreichische Post warnt auf ihrer Sicherheitsseite selbst vor Phishing in ihrem Namen. Dieselbe Abfolge (Nachricht schließen, selbst zum offiziellen Kanal gehen) empfehlen wir auch, um einen Anruf oder ein SMS deiner Bank oder eine Nachricht vom Finanzamt oder von der Sozialversicherung zu prüfen – die passenden Anleitungen findest du in unseren Situationsleitfäden. Es ist die Gewohnheit, die die meisten Betrugsversuche im Keim erstickt.

Was tun, wenn du deine Karte schon eingegeben hast

• Ruf sofort deine Bank an, schildere, was passiert ist, und lass die Karte sperren und eine neue ausstellen. Das stoppt das Problem mit einem Schlag.
• Wenn du außerdem einen Bestätigungscode eingegeben hast, der per SMS kam, sag das der Bank ebenfalls: Es könnte schon eine freigegebene Zahlung laufen.
• Behalte die Abbuchungen der nächsten Wochen im Auge und aktiviere Benachrichtigungen in deiner Banking-App. Betrügerische Abbuchungen kommen nicht immer sofort.
• Erstatte Anzeige bei einer Polizeiinspektion, mit Screenshots des SMS und des Links. Zusätzlich nimmt die Meldestelle des Bundeskriminalamts Hinweise auf Internetbetrug unter [email protected] entgegen.
• Melde das SMS bei der Meldestelle Rufnummernmissbrauch der RTR und die Absendernummer im Verzeichnis der Spam-Nummern.

Kurze Fragen

Und wenn ich wirklich ein Paket erwarte und das SMS dazu passt? Die Übereinstimmung beweist nichts: Bei so vielen Bestellungen ist ein Zufallstreffer leicht. Prüf es immer über den offiziellen Kanal mit deiner Sendungsnummer. Das dauert eine Minute und räumt jeden Zweifel aus.

Schicken Paketdienste überhaupt SMS? Ja, manche schicken Benachrichtigungen zur Zustellung oder zu einem Zustellversuch. Der Unterschied: Eine echte Nachricht nennt deine Sendungsnummer, verweist auf die offizielle App oder Website und setzt dich nicht mit sofortiger Rücksendung unter Druck. Zahlen solltest du trotzdem erst, nachdem du die Sendung selbst über den offiziellen Kanal geprüft hast.

Läuft das auch über WhatsApp oder E-Mail? Ja, derselbe Köder kursiert über WhatsApp, per E-Mail und sogar über QR-Codes auf gefälschten Aufklebern (mehr dazu in unseren Situationsleitfäden). Der Kanal ändert sich, die Verteidigung nicht: Zahl nie über den Link, den man dir schickt, sondern prüf selbst über den offiziellen Kanal.

Wenn du so eine Nachricht bekommen hast, melde sie im Verzeichnis der Spam-Nummern von NoCall: Diese Kampagnen nutzen dieselben Nummern oft tagelang, und deine Meldung ist die Warnung, die die nächste Person sieht, bevor sie ihre Kartendaten eingibt.