"Paket zurückgehalten": Die gefälschte Correos-SMS und andere Paketbetrügereien

"Correos: Ihr Paket konnte wegen fehlenden Portos nicht zugestellt werden. Begleichen Sie die Zahlung (1,68 €) hier." Plus ein Link. Diese SMS, je nach Welle im Namen von Correos, DHL, UPS, FedEx oder Seur, gehört zu den hartnäckigsten Smishing-Kampagnen in Spanien. Sie funktioniert, weil fast jeder online einkauft und fast jeder irgendwann ein Paket unterwegs hat: Die Nachricht fällt auf fruchtbaren Boden.

Der Betrag ist absichtlich lächerlich klein. Um diese zwei Euro ging es nie: Ziel ist, dass du die vollständigen Daten deiner Kreditkarte auf einer gefälschten Website eingibst, die das Paketunternehmen nachahmt – und manchmal auch den Bestätigungscode, den du danach erhältst, damit größere Beträge abgebucht werden können.

Warum es zieht, auch wenn du kein Paket erwartest

Die Betrüger wissen nicht, ob du eine Bestellung erwartest. Sie müssen es auch nicht wissen:

• Masse. Sie verschicken dieselbe SMS an Tausende Nummern. Bei dem heutigen Onlinehandel hat ein hoher Anteil der Empfänger tatsächlich etwas unterwegs oder hatte es kürzlich, und die Nachricht passt.
• Verschmerzbarer Betrag. Ein oder zwei Euro lösen keinen Alarm aus. Niemand "prüft" eine Zahlung von 1,68 € so wie eine von 300.
• Eile und null Reibung. "Zahl jetzt und du bekommst es morgen" drängt dazu, es sofort vom Handy aus zu erledigen, ohne Absender oder Domain anzusehen.
• Rotierende Tarnung. Wenn eine Marke verbrannt ist (die Leute warnen schon, dass "diese Correos-SMS gefälscht ist"), wechselt die Kampagne zum nächsten Transportunternehmen. Das Gerüst ist immer dasselbe wie bei der gefälschten DGT-Strafzettel-SMS: bekannte Institution + offener Vorgang + Dringlichkeit + Zahlungslink.

So erkennst du die gefälschte SMS

Kein einzelnes dieser Signale ist für sich allein beweiskräftig, aber zusammen ergeben sie eine ziemlich zuverlässige Diagnose:

• Sie verlangt Gebühren per Link. Paketunternehmen wickeln Zoll- oder Portozahlungen nicht über einen Link in einer unerwarteten SMS ab. Echte Zollkosten werden über nachvollziehbare Kanäle und mit Versanddokumenten kommuniziert.
• Der Link ist nicht die offizielle Domain. Domains mit zusätzlichen Bindestrichen ("correos-envios", "dhl-paquete", "seur-seguimiento") oder seltsamen Endungen. Auf dem Handydisplay, in Eile, gehen sie durch; in Ruhe betrachtet schreien sie.
• Sie nennt keine echte Sendungsnummer. Die falsche SMS spricht allgemein von "Ihrem Paket", weil sie nicht weiß, welches es ist. Eine legitime Mitteilung enthält die Sendungsnummer, und die stimmt mit der überein, die dir der Shop gegeben hat.
• Wechselnder Absender. Mal irgendein Handy, mal ein Name, der das Unternehmen imitiert. Der Absender einer SMS lässt sich fälschen: Er beweist nichts.
• Stilfehler. Holprige Übersetzungen, seltsame Großschreibung, übertriebene Dringlichkeit ("letzte Mahnung vor Rücksendung des Pakets"). Echte Unternehmen schreiben besser als das.

So prüfst du eine echte Sendung

Die Methode ist immer dieselbe und gilt für jedes Unternehmen:

1. Tippe nicht auf den Link in der SMS. Schließe sie.
2. Öffne selbst den offiziellen Kanal: die App des Shops, bei dem du gekauft hast, die Bestellbestätigung per E-Mail oder die offizielle Website des Transportunternehmens, deren Adresse du selbst eintippst.
3. Gib dort deine Sendungsnummer ein. Wenn es ein echtes Problem gibt (Zoll, unvollständige Adresse, Zustellversuch), erscheint es in der offiziellen Sendungsverfolgung. Wenn dort nichts steht, war die SMS gefälscht.

Diese Abfolge (Nachricht schließen, selbst zum offiziellen Kanal gehen) ist dieselbe, die wir empfehlen, um einen Anruf oder eine SMS deiner Bank zu prüfen und um eine Mitteilung des Finanzamts oder der Sozialversicherung zu prüfen. Es ist die Gewohnheit, die die meisten Betrugsversuche im Keim erstickt.

Was tun, wenn du deine Karte schon eingegeben hast

• Ruf sofort deine Bank an, schildere den Vorfall und bitte darum, die Karte zu sperren und eine neue auszustellen. Das ist die Maßnahme, die das Problem mit einem Schlag stoppt.
• Wenn du zusätzlich einen Bestätigungscode eingegeben hast, der dir per SMS kam, sag das der Bank ebenfalls: Es könnte bereits ein autorisierter Vorgang laufen.
• Beobachte die Abbuchungen der folgenden Wochen und aktiviere Bewegungsbenachrichtigungen in der Bank-App. Betrügerische Abbuchungen kommen nicht immer sofort.
• Erstatte Anzeige mit Screenshots der SMS und des Links. Die 017 von INCIBE ist kostenlos, wenn du Orientierung brauchst.
• Melde die Absendernummer im Spamnummern-Verzeichnis.

Kurze Fragen

Was, wenn ich tatsächlich ein Paket erwarte und die SMS dazu passt? Die Übereinstimmung beweist nichts: Bei so vielen Bestellungen im Umlauf ist ein Zufallstreffer leicht. Prüfe es immer über den offiziellen Kanal mit deiner Sendungsnummer. Es dauert eine Minute und beseitigt jeden Zweifel.

Verschicken Paketunternehmen wirklich SMS? Ja, manche senden Zustell- oder Zustellversuch-Benachrichtigungen. Der Unterschied: Die echte Mitteilung verlangt keine Zahlung per Link: Sie verweist auf ihre App oder offizielle Website, nennt deine Sendungsnummer und setzt dich nicht mit sofortiger Rücksendung unter Druck.

Läuft das auch über WhatsApp oder E-Mail? Ja, derselbe Köder kursiert über WhatsApp, E-Mail und sogar über QR-Codes auf gefälschten Aufklebern. Der Kanal wechselt; die Verteidigung nicht: Zahle nie über den Link, der dir geschickt wird, sondern prüfe selbst über den offiziellen Kanal.

Wenn du so eine Nachricht erhalten hast, melde sie im Nummernverzeichnis von NoCall: Diese Kampagnen verwenden dieselben Nummern tagelang weiter, und deine Meldung ist die Warnung, die die nächste Person sieht, bevor sie ihre Karte eingibt.