«Paket zurückgehalten»: die gefälschte Post-SMS und andere Paketbetrügereien

«Paket zurückgehalten»: die gefälschte Post-SMS und andere Paketbetrügereien

«Die Post: Ihr Paket konnte wegen ungenügender Frankierung nicht zugestellt werden. Bitte begleichen Sie CHF 1.95 hier.» Dazu ein Link. Solche SMS, je nach Welle im Namen der Post, von DHL, UPS oder FedEx, gehören zum Standardrepertoire des Smishing, und das Bundesamt für Cybersicherheit (BACS) warnt ausdrücklich vor Paketfallen. Sie funktionieren, weil fast alle online einkaufen und fast alle irgendwann ein Paket unterwegs haben: Die Nachricht fällt auf fruchtbaren Boden.

Der Betrag ist absichtlich lächerlich klein. Um diese zwei Franken ging es nie: Ziel ist, dass du die vollständigen Daten deiner Kreditkarte auf einer gefälschten Website eingibst, die das Paketunternehmen imitiert, manchmal samt dem Bestätigungscode, den du danach erhältst, damit grössere Beträge abgebucht werden können. Eine weitere Variante beschreibt das BACS als Paket-Abofalle: Aus der kleinen Zahlung wird ein ungewolltes Abo mit wiederkehrenden Belastungen.

Warum es verfängt, auch wenn du kein Paket erwartest

Die Betrüger wissen nicht, ob du eine Bestellung erwartest. Sie müssen es auch nicht wissen:

• Masse. Dieselbe SMS geht an Tausende Nummern. Beim heutigen Onlinehandel hat ein grosser Teil der Empfänger tatsächlich etwas unterwegs oder hatte es kürzlich, und die Nachricht passt.
• Verschmerzbarer Betrag. Ein, zwei Franken lösen keinen Alarm aus. Niemand prüft eine Zahlung von CHF 1.95 so genau wie eine von CHF 300.
• Eile und null Hürden. «Jetzt zahlen, morgen erhalten» verleitet dazu, es sofort auf dem Handy zu erledigen, ohne Absender oder Domain anzuschauen.
• Wechselnde Tarnung. Ist eine Marke verbrannt (die Leute warnen schon, dass «diese Post-SMS gefälscht ist»), wechselt die Kampagne zum nächsten Transportunternehmen oder zum Zoll: Angebliche Zollgebühren sind ein beliebter Köder. Das Gerüst ist immer dasselbe wie bei gefälschten Bussen-SMS: bekannte Institution + offener Vorgang + Zeitdruck + Zahlungslink.

So erkennst du die gefälschte SMS

Keines dieser Signale ist für sich allein ein Beweis, aber zusammen ergeben sie eine ziemlich zuverlässige Diagnose:

• Sie verlangt Gebühren über einen Link. Auch wenn bei Sendungen aus dem Ausland echte Zollabgaben anfallen können: Bezahle sie nie über einen Link aus einer unerwarteten SMS, sondern erst, nachdem du die Sendung selbst in der offiziellen App oder auf der offiziellen Website des Paketdienstes geprüft hast.
• Der Link führt nicht auf die offizielle Domain. Domains mit zusätzlichen Bindestrichen oder Wörtern (etwa «post-paket», «dhl-zustellung», «zoll-gebuehr») oder seltsamen Endungen. Auf dem Handy und in Eile fallen sie nicht auf; in Ruhe betrachtet sind sie offensichtlich.
• Sie nennt keine echte Sendungsnummer. Die gefälschte SMS spricht allgemein von «Ihrem Paket», weil sie nicht weiss, um welches es geht. Eine echte Benachrichtigung nennt die Sendungsnummer, und die stimmt mit jener überein, die dir der Shop gegeben hat.
• Wechselnder Absender. Mal eine beliebige Handynummer, mal ein Name, der das Unternehmen imitiert. Der Absender einer SMS lässt sich fälschen: Er beweist nichts.
• Stilfehler. Holprige Übersetzungen, seltsame Grossschreibung, übertriebene Dringlichkeit («letzte Mahnung vor der Rücksendung»). Echte Unternehmen schreiben besser.

So prüfst du eine echte Sendung

Die Methode ist immer dieselbe und gilt für jedes Unternehmen:

1. Tippe nicht auf den Link in der SMS. Schliesse sie.
2. Öffne selbst den offiziellen Kanal: die App des Shops, bei dem du bestellt hast, die Bestellbestätigung per E-Mail oder die offizielle Website des Paketdienstes, deren Adresse du selbst eintippst, bei der Post also post.ch.
3. Gib dort deine Sendungsnummer ein. Gibt es ein echtes Problem (Zoll, unvollständige Adresse, Zustellversuch), erscheint es in der offiziellen Sendungsverfolgung. Steht dort nichts, war die SMS gefälscht.

Diese Abfolge (Nachricht schliessen, selbst zum offiziellen Kanal gehen) empfehlen wir auch, wenn angeblich deine Bank anruft oder eine Behörde wie die Steuerverwaltung oder die AHV-Ausgleichskasse schreibt. Es ist die Gewohnheit, die die meisten Betrugsversuche im Keim erstickt.

Was tun, wenn du deine Karte schon eingegeben hast

• Ruf sofort deine Bank an, schildere den Vorfall und lass die Karte sperren und eine neue ausstellen. Das ist die Massnahme, die das Problem auf einen Schlag stoppt.
• Hast du zusätzlich einen Bestätigungscode eingegeben, der per SMS oder in der App kam, sag das der Bank ebenfalls: Möglicherweise läuft bereits eine autorisierte Zahlung.
• Behalte die Belastungen der folgenden Wochen im Blick und aktiviere die Benachrichtigungen in deiner Bank-App. Betrügerische Abbuchungen kommen nicht immer sofort; achte auch auf wiederkehrende Kleinbeträge, wie sie für eine Abofalle typisch sind.
• Erstatte Strafanzeige bei der Kantonspolizei, mit Screenshots der SMS und des Links; den nächsten Posten findest du über Suisse ePolice. Den Betrugsversuch kannst du zudem dem BACS über das Meldeformular melden, die gefälschte Website auf antiphishing.ch.
• Melde die Absendernummer im Verzeichnis der Spam-Nummern.

Kurze Fragen

Was, wenn ich tatsächlich ein Paket erwarte und die SMS dazu passt? Die Übereinstimmung beweist nichts: Bei so vielen Bestellungen im Umlauf ist ein Zufallstreffer leicht. Prüfe immer über den offiziellen Kanal mit deiner Sendungsnummer. Das dauert eine Minute und beseitigt jeden Zweifel.

Verschicken Paketdienste wirklich SMS? Ja, manche senden Hinweise zur Zustellung oder zu einem Zustellversuch. Der Unterschied: Eine echte Benachrichtigung lässt sich mit deiner Sendungsnummer in der offiziellen App oder auf der offiziellen Website nachprüfen, und sie droht nicht mit sofortiger Rücksendung. Bezahle deshalb nie direkt aus der SMS heraus, sondern erst nach dieser Prüfung.

Läuft das auch über WhatsApp oder E-Mail? Ja, derselbe Köder kursiert über WhatsApp, E-Mail und sogar über QR-Codes auf gefälschten Aufklebern (Quishing). Der Kanal wechselt, die Abwehr nicht: Zahle nie über den Link, den man dir schickt, sondern prüfe selbst über den offiziellen Kanal. Wie diese Maschen funktionieren, erklärt das BACS unter Phishing, Vishing, Smishing.

Wenn dich so eine Nachricht erreicht hat, melde sie im Verzeichnis der Spam-Nummern von NoCall: Diese Kampagnen verwenden dieselben Nummern oft tagelang, und deine Meldung ist die Warnung, die die nächste Person sieht, bevor sie ihre Karte eingibt.