Bank-SMS-Betrug: Gefälschte Zahlungsaufforderungen landen im echten Chat

Sicherheitsbehörden und Finanzinstitute warnen vor einer raffinierten Betrugsmethode, bei der Kriminelle gefälschte Textnachrichten gezielt in bestehende, legitime SMS-Verläufe von Banken einschleusen.

Da moderne Smartphones eingehende Nachrichten anhand des übermittelten Absendernamens automatisch einem bereits vorhandenen Chatverlauf zuordnen, landen betrügerische Zahlungsaufforderungen oder Phishing-Links direkt zwischen echten Mitteilungen des Geldinstituts. Betroffene können eine Täuschung dadurch kaum noch auf den ersten Blick erkennen.

Technische Manipulation über gefälschte Basisstationen

Wie der Experte V? Ng?c S?n von der Sicherheitsfirma NCS erläuterte, beruht das Problem auf der Funktionsweise gängiger SMS-Systeme, die gefälschte und echte Nachrichten mit identischer Absenderkennung in denselben Gesprächsverlauf einsortieren. Am 19. Oktober 2026 erhielt beispielsweise ein Bankkunde namens N.B. eine gefälschte SMS des vietnamesischen Finanzinstituts VIB.

Darin wurde behauptet, 12.500 Kreditkartenpunkte stünden vor dem Verfall, verknüpft mit einem externen Link; der Kunde kündigte daraufhin seine Karte. VIB stellte klar, dass der Text keineswegs aus den bankeigenen Systemen stammte. Stattdessen setzten die Kriminellen manipulierte Mobilfunk-Basisstationen ein, um gefälschte Signale direkt in die Geräte der Empfänger einzuspeisen.

Banken reagieren mit verschärften Vorgaben: Nach der Richtlinie Thông t? 50/2024/TT-NHNN dürfen Finanzinstitute SMS oder E-Mails mit Verlinkungen nur noch auf ausdrücklichen Wunsch der Kundschaft versenden. Die Vorschrift Ch? th? 02/CT-NHNN 2026 verpflichtet die Häuser zudem dazu, mindestens 15 % ihrer IT-Ausgaben für Cybersicherheit aufzuwenden.

Anzeige

Angesichts der zunehmenden Angriffe auf mobile Endgeräte ist ein proaktiver Schutz des eigenen Smartphones wichtiger denn je. Dieser kostenlose Ratgeber zeigt Ihnen in fünf einfachen Schritten, wie Sie Ihr Gerät wirksam gegen Hacker und Datenmissbrauch absichern. 5 sofort umsetzbare Schutzmaßnahmen entdecken

Behörden und Regulierer verschärfen Kontrollen

Das Problem betrifft Mobilfunknetze weltweit. In Spanien warnte die Guardia Civil vor SMS und Anrufen, die Absender wie die Steuerbehörde Hacienda, Amazon, Postdienste oder Banken vortäuschen, um an Zugangsdaten, Transaktionscodes oder die Fernsteuerung von Smartphones zu gelangen.

Im Rahmen der Ermittlungen zur Operación Ibermellow wurden 29 Festnahmen gemeldet; die Bande verursachte Schäden von über 1 Mio. Euro und versendete mehr als 100.000 manipulierte SMS pro Stunde.

Kriminelle greifen dabei auf gestohlene Datensätze wie Collection #1 zurück, die 773 Mio. E-Mail-Konten samt Passwörtern umfasst. Eine neue Registrierung von Absender-Aliasen durch die Telekommunikationsbehörde CNMC soll das Einschleusen in offizielle Threads künftig erschweren.

In Österreich prüfen die Mobilfunkanbieter seit dem 1. Oktober 2026 jede SMS mit alphanumerischem Absendernamen verpflichtend gegen ein zentrales Verzeichnis der Rundfunk und Telekom Regulierungs-GmbH (RTR). Grundlage ist die 10. Novelle der KEM-V, nachdem die gemeldeten Betrugs-SMS im Jahr 2025 um 60 % gestiegen waren. Damals registrierte die RTR 10.205 Meldungen zu betrügerischen SMS bei insgesamt 31.888 Fällen von Rufnummernmissbrauch.

Im österreichischen Modell ist der Versand alphanumerischer SMS aus dem Ausland an inländische Anschlüsse untersagt. Firmenkennungen umfassen maximal 11 Zeichen, wobei pro Inhaber innerhalb von sechs Monaten höchstens 40 Kennungen kostenlos registriert werden dürfen; die Gültigkeit tritt nach 14 Tagen ein.

Nicht registrierte Kennungen werden gelöscht, bei Zweifeln wird die Kennung durch den Hinweis „Unbekannt“ ersetzt. Die Anbieter sind verpflichtet, ihre Datenbanken mindestens alle 24 Stunden automatisiert abzugleichen, andernfalls greift eine Haftung.

Bis Mitte Oktober 2026 zählte die RTR mehr als 9.000 Meldungen; mit Stand vom 16. Oktober 2026 waren über 8.500 Absenderkennungen registriert. Eine Schwachstelle bleibt jedoch bestehen: SMS mit herkömmlichen Rufnummern als Absender unterliegen der Prüfpflicht nicht.

Anzeige

Wer sich vor den immer raffinierteren Methoden der Cyberkriminellen schützen möchte, sollte die Sicherheitseinstellungen seines Mobiltelefons regelmäßig überprüfen. Ein gratis PDF-Ratgeber bietet hierzu eine verständliche Anleitung, um WhatsApp, Online-Banking und andere sensible Anwendungen dauerhaft abzusichern. Kostenlosen Sicherheits-Ratgeber herunterladen

Schutzmechanismen und Verhaltensregeln

Neben regulatorischen Schritten rüsten auch Technologiekonzerne auf. Google führt einen optionalen erweiterten Schutzmodus für Google Messages ein, bei dem Cloud-Modelle den Kontext und die Absicht unbekannter Konversationen verschlüsselt analysieren.

Zudem bewertet das Modell Gemini-Nano auf kompatiblen Geräten verdächtige Webadressen in Echtzeit vor dem Öffnen. Nach Unternehmensangaben werden monatlich bereits mehr als fünf Millionen verdächtige Anrufe und Kurznachrichten geblockt. Zudem werden sensible Anmelde- und Zahlungsmasken bei Bildschirmfreigaben künftig verdeckt.

Zuletzt nahmen betrügerische Anrufe und SMS unter Vorwänden wie einer angeblichen Kreditkartenzahlung, einer Fristüberschreitung oder eines unerlaubten Kreditantrags wieder spürbar zu. Experten raten dringend dazu, niemals Links in Kurznachrichten anzuklicken und Passwörter, Einmalcodes sowie Kartendaten unter keinen Umständen weiterzugeben. Legitime Banken fordern solche vertraulichen Zugangsdaten grundsätzlich nicht auf diesem Weg an.