Smishing: SMS-Betrug erkennen und rechtlich vorgehen

Betrügerische SMS-Nachrichten werden immer raffinierter und verursachen täglich Millionenschäden – so schützen Sie sich vor Smishing und fordern im Ernstfall Ihr Geld zurück.

Täglich erreichen Millionen Deutsche SMS-Nachrichten von angeblichen Banken, Paketdiensten oder Online-Shops. Die Nachrichten fordern dazu auf, auf einen Link zu klicken oder persönliche Daten preiszugeben. Diese Form des Betrugs, bekannt als Smishing, hat sich zu einer der häufigsten Cybercrime-Varianten entwickelt. Die Schäden gehen in die Millionen Euro – allein 2023 registrierten die Behörden über 100.000 Fälle.

Die Betrüger nutzen dabei geschickt die Vertrautheit der SMS-Kommunikation aus. Anders als bei E-Mails prüfen viele Empfänger SMS-Nachrichten weniger kritisch. Die Folgen können verheerend sein: Geplünderte Bankkonten, gestohlene Identitäten und hohe finanzielle Verluste. Doch Betroffene sind nicht schutzlos – das Recht bietet verschiedene Möglichkeiten zur Schadenswiedergutmachung.

Was ist Smishing? Definition und rechtliche Einordnung

Smishing setzt sich aus den Begriffen "SMS" und "Phishing" zusammen. Es handelt sich um eine Betrugsmasche, bei der Kriminelle über SMS-Nachrichten versuchen, an sensible Daten zu gelangen oder Schadsoftware zu verbreiten. Rechtlich betrachtet erfüllt Smishing verschiedene Straftatbestände. § 263 StGB definiert Betrug als Täuschung über Tatsachen zum Zweck der Bereicherung.

Zusätzlich kann § 263a StGB zur Anwendung kommen, der den Computerbetrug regelt. Dieser Tatbestand ist erfüllt, wenn die Täter unbefugt in Datenverarbeitungssysteme eingreifen oder diese manipulieren. Bei der rechtlichen Aufarbeitung von Smishing-Fällen spielen auch zivilrechtliche Ansprüche eine wichtige Rolle.

Die Strafverfolgungsbehörden stufen Smishing als besonders perfide Form der Cyberkriminalität ein. Die niedrige Hemmschwelle bei SMS-Nachrichten und die hohe Erfolgsquote machen diese Betrugsform für Kriminelle besonders attraktiv. Gleichzeitig erschwert die oft grenzüberschreitende Struktur der Tätergruppen die Verfolgung erheblich.

So funktioniert Smishing: Der typische Ablauf

Der Ablauf von Smishing-Angriffen folgt meist einem bewährten Schema. Zunächst versenden die Betrüger massenhaft SMS-Nachrichten an zufällige Telefonnummern. Diese Nachrichten imitieren bekannte Unternehmen oder Institutionen und enthalten einen dringenden Handlungsaufruf. Typische Absender sind Banken, Paketdienste, Online-Shops oder Behörden.

Die Nachrichten enthalten meist einen Link zu einer gefälschten Website, die dem Original täuschend ähnlich sieht. Dort werden die Opfer zur Eingabe ihrer Login-Daten, Kreditkarteninformationen oder TAN-Nummern aufgefordert. Alternativ installiert der Link Schadsoftware auf dem Smartphone, die später sensible Daten abgreift oder weitere betrügerische Aktionen ermöglicht.

Sobald die Täter über die gestohlenen Daten verfügen, nutzen sie diese für unbefugte Transaktionen oder verkaufen sie im Darknet weiter. Die Geschwindigkeit der Schadensentstehung ist dabei oft entscheidend für die Höhe des finanziellen Verlustes. Viele Opfer bemerken den Betrug erst nach Tagen oder Wochen.

Warnsignale: So erkennen Sie Smishing-Nachrichten

• Unbekannte Absendernummer: Seriöse Unternehmen nutzen meist Kurznummern oder bekannte Absenderkennungen, nicht zufällige Handynummern.
• Dringlichkeit und Zeitdruck: Formulierungen wie "sofort handeln" oder "Konto wird gesperrt" sollen zu unüberlegten Handlungen verleiten.
• Verdächtige Links: URLs, die nicht zur angeblichen Organisation passen oder kryptische Zeichenfolgen enthalten, sind Warnsignale.
• Rechtschreibfehler: Professionelle Unternehmen achten auf korrekte Rechtschreibung und Grammatik in ihrer Kommunikation.
• Unpassende Anrede: Ihre Bank kennt Ihren Namen – unpersönliche Anreden wie "Lieber Kunde" sind verdächtig.
• Anfrage sensibler Daten: Seriöse Unternehmen fragen niemals per SMS nach Passwörtern, PIN-Codes oder TAN-Nummern.
• Unerwartete Nachrichten: SMS über Paketsendungen ohne vorherige Bestellung oder Kontobewegungen ohne eigene Transaktionen sind verdächtig.

Besonders perfide ist die Verwendung echter Unternehmensnamen und -logos in den gefälschten Websites. Die Täuschung wird dadurch so realistisch, dass selbst vorsichtige Nutzer in die Falle tappen können. Moderne Smishing-Angriffe nutzen zudem aktuelle Ereignisse oder saisonale Themen, um die Glaubwürdigkeit zu erhöhen.

Rechtslage und Haftungsfragen bei Smishing-Schäden

Die rechtliche Bewertung von Smishing-Schäden ist komplex und hängt von verschiedenen Faktoren ab. Grundsätzlich haften Banken nach § 675u BGB für nicht autorisierte Zahlungsvorgänge. Diese Haftung kann jedoch entfallen, wenn der Kunde seine Sorgfaltspflichten verletzt hat. Die Beweislast liegt dabei zunächst bei der Bank, die nachweisen muss, dass der Kunde fahrlässig gehandelt hat.

Nach § 675v BGB ist die Haftung des Kunden bei grober Fahrlässigkeit auf 50 Euro begrenzt, es sei denn, er hat vorsätzlich oder grob fahrlässig gehandelt. Die Rechtsprechung entwickelt dabei zunehmend kundenfreundliche Standards. Insbesondere bei raffinierten Betrugsmaschen wird den Opfern seltener ein Verschulden angelastet.

Zivilrechtliche Ansprüche gegen die Täter ergeben sich aus § 823 BGB und § 826 BGB. Letzterer erfasst vorsätzliche sittenwidrige Schädigungen und ist bei Smishing-Fällen regelmäßig einschlägig. Die praktische Durchsetzung dieser Ansprüche scheitert jedoch oft an der Identifizierung und Zahlungsfähigkeit der Täter. Daher konzentriert sich die rechtliche Strategie meist auf die Bankhaftung.

Sofortmaßnahmen nach einem Smishing-Angriff

• Kontosperrung veranlassen: Kontaktieren Sie umgehend Ihre Bank und lassen Sie alle betroffenen Konten und Karten sperren.
• Passwörter ändern: Ändern Sie alle Passwörter für Online-Banking, E-Mail-Konten und andere wichtige Dienste.
• Schadensdokumentation: Sammeln Sie alle Belege für entstandene Schäden und erstellen Sie Screenshots der betrügerischen Nachrichten.
• Strafanzeige erstatten: Melden Sie den Vorfall bei der örtlichen Polizei oder online bei der Internetwache.
• Bank informieren: Teilen Sie Ihrer Bank schriftlich mit, dass Sie Opfer eines Betrugs geworden sind und fordern Sie die Erstattung der Schäden.
• Smartphone prüfen: Lassen Sie Ihr Gerät auf Schadsoftware untersuchen und installieren Sie Sicherheitsupdates.
• Schufa-Auskunft einholen: Überprüfen Sie, ob die Betrüger Kredite oder Verträge in Ihrem Namen abgeschlossen haben.

Die Geschwindigkeit der Reaktion ist entscheidend für die Schadensbegrenzung. Je früher die Bank über den Betrug informiert wird, desto besser sind die Chancen auf eine vollständige Schadenswiedergutmachung. Viele Banken haben mittlerweile 24-Stunden-Hotlines für solche Notfälle eingerichtet. Die Dokumentation aller Schritte ist für spätere rechtliche Auseinandersetzungen von großer Bedeutung.

Geld zurückfordern: Ihre Rechte als Smishing-Opfer

Opfer von Smishing-Angriffen haben verschiedene Möglichkeiten, ihr Geld zurückzufordern. Der erste Schritt führt über die eigene Bank, die nach der Zahlungsdiensterichtlinie PSD2 zur Erstattung nicht autorisierter Transaktionen verpflichtet ist. Die Bank muss binnen acht Wochen über den Erstattungsantrag entscheiden und diesem in der Regel positiv stattgeben.

Falls die Bank die Erstattung verweigert, können Betroffene sich an die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) wenden oder den Ombudsmann der Banken einschalten. Diese kostenlosen Schlichtungsverfahren führen oft zu einer einvernehmlichen Lösung. Bei größeren Schäden oder komplexen Fällen ist jedoch meist anwaltliche Unterstützung erforderlich.

Zusätzlich können Rückbuchungsverfahren bei Kreditkartenzahlungen helfen. Die Kreditkartenunternehmen haben eigene Kulanzregelungen für Betrugsschäden entwickelt. Bei § 812 BGB handelt es sich um einen Bereicherungsanspruch, der in manchen Fällen gegen die Empfängerbank geltend gemacht werden kann. Die Erfolgsaussichten hängen stark von den Umständen des Einzelfalls ab.

Wann lohnt sich anwaltliche Beratung?

Anwaltliche Beratung ist besonders bei größeren Schäden oder wenn die Bank die Erstattung verweigert empfehlenswert. Auch bei komplexen Sachverhalten, etwa wenn mehrere Banken oder internationale Überweisungen betroffen sind, ist professionelle Hilfe ratsam. Die Verjährungsfrist nach § 195 BGB beträgt drei Jahre, beginnt aber erst mit Kenntnis der anspruchsbegründenden Umstände nach § 199 BGB.

Ein spezialisierter Anwalt kann die Erfolgsaussichten realistisch einschätzen und die optimale rechtliche Strategie entwickeln. Dies ist besonders wichtig, da sich die Rechtsprechung zu Cybercrime-Fällen ständig weiterentwickelt. Viele Kanzleien bieten mittlerweile Erstberatungen zu günstigen Konditionen an, sodass sich Betroffene schnell über ihre Rechtslage informieren können.

Bei der Anwaltswahl sollten Betroffene auf Spezialisierung im Bank- und Kapitalmarktrecht achten. Diese Rechtsgebiete erfordern spezielle Kenntnisse der einschlägigen Gesetze und der aktuellen Rechtsprechung. Zudem verfügen spezialisierte Kanzleien oft über bewährte Verfahrensabläufe und Kontakte zu den relevanten Institutionen. Die Kosten für anwaltliche Beratung amortisieren sich bei erfolgreicher Schadensregulierung meist schnell.

Fazit: Smishing erkennen, vermeiden und erfolgreich bekämpfen

Smishing stellt eine ernsthafte Bedrohung für alle Smartphone-Nutzer dar, doch mit dem richtigen Wissen und schnellem Handeln lassen sich die Schäden begrenzen. Die wichtigste Präventionsmaßnahme ist gesunde Skepsis gegenüber unerwarteten SMS-Nachrichten mit Links oder Datenanfragen. Seriöse Unternehmen fordern niemals sensible Daten per SMS an.

Sollten Sie dennoch Opfer eines Smishing-Angriffs werden, ist schnelles Handeln entscheidend. Die sofortige Kontosperrung und Benachrichtigung der Bank können größere Schäden verhindern. Die rechtlichen Möglichkeiten zur Schadenswiedergutmachung sind vielfältig, erfordern aber oft professionelle Unterstützung. Besonders bei Verweigerung der Erstattung durch die Bank oder bei größeren Schäden ist anwaltlicher Rat unverzichtbar.

Kanzlei Dr. Araujo Kurth – Ihr Partner im Bank- und Kapitalmarktrecht

Die Kanzlei Dr. Araujo Kurth berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.

Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken, Zahlungsdienstleistern und Finanzinstituten bis zur Durchsetzung von Schadensersatz- und Rückforderungsansprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.

Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.