Betrugs-SMS: Wenn der Täter beim Tippen zuschaut

Eine SMS behauptet, eine Gebühr sei offen, ein Konto müsse bestätigt oder die Lieferdaten müssten neu angegeben werden. Wer auf den Link tippt, landet auf einer Seite, die erstaunlich gut mitmacht. Nach der Kartennummer kommt eine passende Nachfrage, nach dem SMS-Code eine Dankesseite. Viele halten genau das für ein Zeichen, dass die Seite echt ist.

Das Sicherheitsunternehmen Group-IB hat die Technik hinter solchen Betrugsseiten genau untersucht. Die Ergebnisse wurden am 14. September 2026 veröffentlicht. Was auf der untersuchten Seite eingetippt wird, kann der Betrüger schon beim Tippen sehen. Und er entscheidet, welche Seite das Opfer als Nächstes bekommt.

Ein Formular, das nicht wartet

Normalerweise bleibt das, was man in ein Formular schreibt, zuerst auf dem eigenen Handy oder Computer. Weggeschickt wird es erst, wenn man auf „Senden“ drückt. Die untersuchte Betrugsseite wartet darauf nicht. Laut Group-IB schickt sie jede Änderung in den Eingabefeldern sofort an die Täter. Auch ein halb eingetipptes Passwort oder eine unfertige Kartennummer kann dort also schon ankommen.

Der Gedanke „Ich hab ja noch nichts abgeschickt“ hilft hier nicht. Wer merkt, dass etwas nicht stimmt, schließt die Seite sofort.

Am anderen Ende sitzt jemand

Die Betrugsseite ist so gebaut, dass ein Mensch sie steuern kann. Laut Group-IB sieht der Betrüger die Eingaben fast in Echtzeit auf seinem Bildschirm. Mit 32 verschiedenen Befehlen kann er das Opfer auf andere Seiten schicken. So wird plötzlich ein SMS-Code verlangt, eine Bestätigung in einer App oder ein QR-Code angezeigt. Für das Opfer sieht das aus wie ein ganz normaler Ablauf.

Wenn zu viele Opfer gleichzeitig auf den Seiten sind, gibt es auch einen Automatikmodus. Dann entscheidet das Programm selbst, wie es weitergeht.

Wenn die Karte „abgelehnt“ wird

Besonders tückisch ist eine Fehlermeldung: Die Karte sei abgelehnt worden, man solle eine andere versuchen. Das klingt, als wäre nichts passiert. Bei der untersuchten Seite ist diese Meldung aber ein eigener Befehl des Betrügers. Die Daten der ersten Karte können dann schon bei ihm sein. Mit der Meldung will er an eine zweite Karte kommen.

Laut Group-IB können die Täter sogar einstellen, welche Arten von Karten sie abweisen und welche sie annehmen. Eine abgelehnte Karte ist also keine Entwarnung.

Nicht nur die Karte ist in Gefahr

Im Programm sind rund 70 Eingabefelder vorgesehen. Damit lässt sich weit mehr abfragen als Kartendaten: Name, Adresse, Geburtsdatum, PIN, PayPal-Zugang, E-Mail-Passwort und Zugänge zu bis zu drei Onlinekonten. Das Programm kann auch Fotos von Ausweisen verlangen und ein Foto, auf dem man den Ausweis in der Hand hält. Solche Fotos helfen laut Group-IB, Sicherheitsprüfungen zu überlisten. Ein Foto mit Ausweis gehört nie auf eine Seite, zu der ein SMS-Link geführt hat.

Wer dahintersteckt – und was offen bleibt

Laut Group-IB gehört die Seite zu einem großen Umfeld, das Fachleute „Smishing Triad“ nennen. Smishing ist Phishing per SMS, also Datenklau mit gefälschten Kurznachrichten. In diesem Umfeld teilen sich viele Beteiligte die Arbeit. Die einen bauen die Betrugsseiten, andere verschicken die SMS, wieder andere liefern Telefonnummern oder Internetadressen. Die untersuchte Kampagne schreibt Group-IB einer Gruppe zu, die das Unternehmen „Outsider“ nennt. Wer genau dahintersteckt, geht daraus nicht hervor.

Sicherheitsfirmen haben diesem Umfeld seit 2024 weit über 194.000 Internetadressen für Betrugsseiten in mehr als 120 Ländern zugeordnet. Die Zahl gilt für das ganze Umfeld, nicht nur für die untersuchte Seite. Die Adressen sind meist nur kurz online, laut Group-IB in den meisten Fällen höchstens zwei Tage. Eine Warnung vor einer bestimmten Adresse kann deshalb zu spät kommen.

Neu ist die Methode nicht. 2025 berichtete der Bayerische Rundfunk gemeinsam mit dem norwegischen Sender NRK und der Zeitung „Le Monde“ über eine Betrugssoftware namens „Magic Cat“. Laut der Recherche konnten Täter damit in Echtzeit mitlesen, was Opfer auf gefälschten Seiten eintippen, und zwar auch in Deutschland. Deutsche Opfer wurden vor allem auf nachgebaute DHL-Seiten gelockt. In der Schweiz hat das Bundesamt für Cybersicherheit solche Fälle ebenfalls beschrieben, etwa 2023: Dort blendeten Betrüger während des Betrugs eine neue Seite ein, um an einen Bestätigungscode für das E-Banking zu kommen. Einen vergleichbaren dokumentierten Fall aus Österreich haben wir nicht gefunden.

Manches verrät der Bericht nicht. Group-IB nennt weder die Länder, in denen die SMS ankamen, noch die Firmen, deren Namen missbraucht wurden. Ob die Kampagne auch Menschen in Österreich, Deutschland oder der Schweiz erreicht hat, wissen wir deshalb nicht. Außerdem verkauft Group-IB selbst Sicherheitsdienste. Die technischen Befunde sind im Bericht ausführlich belegt. Selbst überprüft haben wir sie nicht.

Schon etwas eingetippt?

Dann nicht abwarten, ob etwas passiert. Bei der untersuchten Seite kann der Betrüger zuschlagen, während das Opfer noch vor dem Bildschirm sitzt.

Hilfe beim nächsten Schritt gibt auch der Mimikama-Notfall-Check. Er fragt anonym ab, was passiert ist, und zeigt Anlaufstellen für Österreich, Deutschland und die Schweiz.

Wo die Warnzeichen wirklich liegen

Die Betrugsseite selbst kann sehr echt wirken, weil jemand dahinter mitdenkt. Die Warnzeichen kommen deshalb vorher: eine SMS, mit der man nicht gerechnet hat, Zeitdruck und ein Link. Wer wissen will, ob an der Nachricht etwas dran ist, öffnet die App oder Website des angeblichen Absenders selbst. Den Link in der SMS lässt man links liegen. Wie gut eine Seite danach reagiert, sagt nichts darüber, ob sie echt ist.