Smishing im Unternehmen verhindern: Maßnahmen und Best Practices

Smishing trifft Unternehmen über SMS und Messenger. Erkennen Sie Muster, senken Sie Risiken und etablieren Sie im Team Prozesse zum Blockieren und Melden.

Inhalt

1. Was ist Smishing
2. Anatomie von Smishing
3. Smishing vs. Vishing
4. Typische Smishing-Angriffe
5. Anti-Smishing-Wie-können-sich-Unternehmen-schützen

Überblick: Smishing verhindern

• Smishing nutzt SMS und Messenger als effektiven Angriffsvektor, um Mitarbeitende zu täuschen und Unternehmensnetzwerke zu kompromittieren
• Angreifer setzen gezielt auf psychologischen Druck und Autorität, um technische Sicherheitsbarrieren durch menschliches Handeln zu umgehen
• Mobile Device Management (MDM) und automatisierte SMS-Filter bilden die notwendige technische Basis für den Schutz von Firmengeräten
• Eine etablierte „Zero-Blame“-Kultur und einfache Meldeprozesse sind entscheidend für eine schnelle Incident Response im Ernstfall
• Da technische Filter nicht perfekt sind, bleibt regelmäßiges Security-Awareness-Training die wichtigste Maßnahme zur Risikominimierung

Was ist Smishing?

Beim Smishing nutzen Cyberkriminelle Textnachrichten, um Zugang zu vertraulichen Informationen zu erhalten oder Geräte mit Schadsoftware zu infizieren. Der Name setzt sich aus den Wörtern „SMS“ und „Phishing“ zusammen. Auch wenn der Begriff an sich noch weniger bekannt ist, sind SMS-Angriffe ein größerer Teil unseres täglichen Lebens als viele vielleicht erwarten: EarthWeb zufolge wurden allein im April 2022 mehr als 2,6 Milliarden Smishing-Nachrichten weltweit verschickt.

Als eine der größten Cyber-Security-Bedrohungen nutzt Smishing aus, dass Smartphones oft weniger Schutz bieten als die restliche Firmen-IT. Ein besonders beliebtes Ziel der Cyberkriminellen sind dabei unaufmerksame Mitarbeitende. Und erfolgreiche Angriffe haben oft weitreichende Folgen. Das zeigte beispielsweise der Angriff auf Uber im Jahr 2022. Hier führte ein Smishing-Angriff dazu, dass eine Vielzahl interner Systeme kompromittiert werden konnte. Da die Bedrohungslage stetig schärfer wird, ist Wissen der beste Schutz: Wer die Mechaniken von Smishing durchschaut, kann sich und das Unternehmen wirksam absichern.

Emotionaler Druck: Die Anatomie von Smishing

Was macht diese Angriffe so erfolgreich? Es ist vor allem die Maskierung. Smisher schlüpfen in die Rolle vertrauter Institutionen, ob Bank, Versandhändler oder Finanzamt, um Zweifel gar nicht erst aufkommen zu lassen. Anschließend werden die Opfer durch manipulatives Social Engineering dazu verleitet, auf schädliche Links zu klicken oder sensible Informationen preiszugeben. Weitere typische Wege unser Verhalten zu beeinflussen sind:

• Ängste wecken: Oft senden Kriminelle Nachrichten, die angeblich ein Konto betreffen, das „sofort überprüft werden muss“. Das ruft Verlustangst hervor, wodurch es wahrscheinlicher ist, dass das Opfer unter Druck handelt. 
• Zeitdruck ausüben: Mit zeitlich begrenzten Angeboten oder Rabatten üben Cyberkriminelle zusätzlichen Druck auf ihre Opfer aus. Denn, wenn alles schnell gehen muss, denken viele nicht richtig darüber nach, ob das Angebot vertrauenswürdig ist oder nicht. 
• Hilfsbereitschaft vorgaukeln: Betrüger geben sich auch gerne als enge Verwandte oder Familienmitglieder aus, um ihre Opfer zur gewünschten Handlung zu verleiten. Durch den Vertrauensvorsprung erhoffen sie sich eine höhere Hilfsbereitschaft. 
• Kontext individualisieren: Indem sie die Social-Media-Profile ihrer Opfer analysieren, spinnen Cyberkriminelle ein glaubhaftes Lügennetz zusammen. Auf diese Weise malen sie sich größere Erfolgschancen aus. 

Betrug per SMS: Die Entwicklung des Smishing

Da Smishing eine Art des Phishings ist, lohnt ein Blick auf die ersten Phishing-Attacken und ihren Ursprung, um auch die Geschichte des Smishings zu ergründen.

Der Begriff des „Phishing“ wurde um 1996 von Hackern geprägt, die AOL-Konten und -Passwörter gestohlen hatten. Der Begriff bezieht sich dabei auf die Verwendung von Ködern, wie etwa falschen E-Mails oder Websites, um im Meer der Internetnutzer nach vertraulichen Informationen zu „fischen”. Das Ersetzen des „f“ durch ein „ph“ ist eine Hommage an das „Phone Phreaking“, mit dem in den frühen 1970er Jahren Telefonsysteme gehackt wurden und das in der Szene als erster Hacking-Angriff gilt. 

Seitdem das Smartphone zum ständigen Begleiter der modernen Gesellschaft geworden ist, nutzen Kriminelle vermehrt Textnachrichten für ihre Machenschaften. Denn sie haben deren Effektivität erkannt: Auf eine Nachricht vom Lieferdienst oder der Bank handeln Smartphone-Nutzende unterwegs unachtsamer und spontaner als PC-User zu Hause. Das erhöht die Erfolgswahrscheinlichkeit der Cyberkriminellen. 

Da auch Mobilfunkanbieter Schwierigkeiten haben, wirksame Lösungen zu finden, um verdächtige Kurznachrichten von vornherein herauszufiltern, ist es wahrscheinlich, dass Smishing-Angriffe auch in den kommenden Jahren weiter zunehmen werden.

Was ist der Unterschied zwischen Smishing und Vishing?

Smishing und Vishing haben dasselbe Ziel: Angreifende wollen Daten abgreifen oder Schadsoftware einschleusen. Dabei attackieren sie keine Firewalls, sondern nutzen gezielt menschliche Verhaltensmuster aus. Unterscheiden lassen sich die Methoden vor allem durch ihren Kanal: Smishing erfolgt schriftlich per SMS oder Messenger, während Vishing auf die direkte Manipulation im Telefongespräch setzt.

Bei Smishing-Nachrichten tarnen sich die Absender oft als vertrauenswürdige Institutionen wie Banken oder Behörden. Sie bauen Druck auf, damit Empfängerinnen und Empfänger auf einen Link klicken. Dieser führt dann meist auf eine gefälschte Webseite oder löst den Download einer schädlichen App aus. 
Vishing ist durch den persönlichen Kontakt oft noch manipulativer. Hier nutzen Angreifende teils auch hybride Taktiken, indem etwa eine vorab gesendete SMS dazu auffordert, eine angegebene Nummer aktiv anzurufen. Die Gefahr bei Vishing-Angriffen: sie sind oft schon allein deswegen effektiver, weil die Menschen in der Regel unvorsichtig werden, wenn sie glauben, mit einer echten Person zu sprechen.

So nehmen Cyberkriminelle ihre Opfer ins Visier

Auch wenn durch internetbasierte Messenger wie WhatsApp klassische Textnachrichten unbeliebter werden, ist die SMS für die Kommunikation zwischen Unternehmen und Kunden in ihrer Beliebtheit ungebrochen. Denn während viele Organisationen ihre E-Mail-Systeme mit fortschrittlichen Cyber-Security-Lösungen ausstatten, bleibt Smishing oft ein blinder Fleck in der Cyber Security. Dazu kommt, dass per SMS noch immer Authentifikationsprozesse, offizielle Hinweise von der Post oder den Behörden gesendet werden. Da sie in SMS die Identität fast jeder seriösen Organisation vortäuschen können, ist die Zielgruppe der Betrüger sehr breit gefächert.

Gerade Mitarbeitende sind ein beliebtes Einstiegstor für Cyberkriminelle, um an sensible Daten zu gelangen und dem arbeitgebenden Unternehmen zu schaden. Im Juli 2022 schickten Kriminelle Hunderte von Textnachrichten an Twilio-Mitarbeitende. Die Nachrichten enthielten Links zu falschen Anmeldeseiten, mit denen die Hacker die Multi-Faktor-Authentifizierung umgehen wollten. Einige Twilio-Mitarbeitende gaben ihre Anmeldedaten auf diesen Seiten ein, wodurch die Angreifenden Zugang zu internen Twilio-Verwaltungstools und -Anwendungen erhielten. 

Rufnummern zu finden, an die Fake-Nachrichten gesendet werden sollen, wird zudem immer einfacher. Denn neben dem Zugriff auf die Datenbanken gehackter Unternehmen nutzen Cyberkriminelle auch Listen, die etwa im Darknet verkauft werden. Erstellt werden diese Listen mithilfe sogenannter Crawler, die soziale Netzwerke und öffentliche Webseiten auslesen.  

Auch wenn Cyberkriminelle beim Smishing verschiedene Strategien für ihre Zwecke anwenden, ist die Vorgehensweise in der Regel ähnlich. Hier sind zwei typische Methoden, die Hacker nutzen, um über SMS zu betrügen:

Das Opfer gibt Daten weiter

1. Der Betrüger sendet eine SMS an das Opfer und gibt vor, von einer seriösen Organisation zu kommen.
2. Die Nachricht verleitet das Opfer, auf einen Link zu klicken oder eine Nummer anzurufen, um Informationen oder Kontodaten zu überprüfen.
3. Das Opfer wird aufgefordert, persönliche (Finanz-)Daten wie Kontonummern, Passwörter, Sozialversicherungsnummern und Kreditkartennummern anzugeben.
4. Der Betrüger speichert diese Daten und nutzt sie für weitere betrügerische Aktivitäten. 

Installation von Malware

1. Der Betrüger sendet eine SMS an das Opfer und gibt vor, von einer seriösen Organisation zu kommen.
2. Die Nachricht verleitet das Opfer dazu, auf einen Link zu klicken und eine App oder ein Software-Update herunterzuladen.
3. Die App oder das Update enthält bösartige Software, die Malware auf dem Gerät des Opfers installiert.
4. Die Schadsoftware kann Tastenanschläge verfolgen sowie persönliche (Finanz-)Daten ohne das Wissen oder die Zustimmung des Opfers sammeln.
5. Der Betrüger speichert diese Daten und nutzt sie für weitere betrügerische Aktivitäten.

Bleiben Sie wachsam: Häufige Beispiele für Smishing

Cyberkriminelle nutzen verschiedene Arten des SMS-Betrugs und sind Meister der Manipulation. Um ihre Nachrichten zu verschleiern und an Hunderte von Usern gleichzeitig zu senden, nutzen Sie oft VoIP-Tools (Voice over Internet Protocol). Auf dem Display des Opfers sieht die Rufnummer dann so aus wie gewöhnlich.  

Viele Hacker haben neben diesen Tools effektive Taktiken für sich gefunden und perfektioniert. Lernen Sie also hier die gängigsten Beispiele für Smishing kennen, damit Sie ihnen nicht zu Opfer fallen:

Smishing bei Versanddienstleistungen

Beim Versand-Betrug geben sich die Angreifenden als örtliche Post, Amazon, FedEx oder andere Versandunternehmen aus. SMS dieser Kategorie beinhalten Links, über die die Empfängerinnen und Empfänger angeblich Pakete nachverfolgen oder Benutzereinstellungen anpassen sollen. Jedoch führen sie zu gefälschten Websites, auf denen die Opfer sensible Daten preisgeben oder schadhafte Software herunterladen.

Kundendienst-Smishing

Beim Kundendienst-Smishing greifen Kriminelle vertrauliche Kundendaten ab, indem sie sich in SMS als Kundendienst-Mitarbeitende ausgeben. Aufgrund ihrer großen Bekanntheit nutzen sie dafür gerne Technologie- und E-Commerce-Unternehmen wie Apple, Google oder Amazon. Oft warnen sie in ihren Nachrichten vor Problemen mit der Rechnungsstellung, dem Kontozugang oder ungewöhnlichen Aktivitäten.

Bank-Smishing

Viele Menschen nutzen mittlerweile Online-Banking oder andere Online-Finanzdienste. Deshalb tarnen Angreifende ihre Nachrichten gerne als Benachrichtigungen dieser Institutionen. Indem sie an die Verlustangst ihres Gegenübers appellieren oder die Neugier auf den Zugewinn einer großen Summe wecken, erhoffen sie sich einvernehmliches Handeln.

COVID-Smishing

Cyberkriminelle sind skrupellos bei ihrer emotionalen Manipulation und nutzen als Aufhänger für ihre Angriffe gerne Ereignisse, die die Gesellschaft betreffen. Die Coronavirus-Pandemie ist eines dieser Ereignisse. Beim COVID-Smishing geben sich Angreifende als offizielle Quellen, wie etwa das Gesundheitsamt oder andere Behörden, aus.  

Im Jahr 2021, nur wenige Wochen nach Bekanntwerden der COVID-19 Omikron-Variante, wurden Einwohner Großbritanniens per SMS kontaktiert. Diese sollten über ein falsches Bestellformular ihre Daten für ein kostenloses Testkit preisgeben, darunter Namen, Adressen, Bankkonten und hochsensible Sicherheitsfragen. Auch wenn die Menschen heute weniger besorgt über die Pandemie sind, tauchen immer noch neue COVID-Betrügereien auf. Ein Beispiel dafür sind Nachrichten, in denen behauptet wird, das Opfer hätte sich möglicherweise angesteckt.

MFA-Codes

Da SMS eine der am häufigsten verwendeten Methoden für die Multi-Faktor-Authentifizierung (MFA) ist, sind einige Smishing-Angriffe darauf ausgelegt, genau diese Codes zu stehlen. Dazu fordern die Angreifenden ihre Opfer auf, den per SMS empfangenen MFA-Code zu übermitteln, damit deren Identität verifiziert werden kann. Diesen Code nutzen die Kriminellen dann, um sich als User anzumelden und Zugang zu fremden Accounts zu erhalten.

Smishing über WhatsApp

WhatsApp dient zunehmend als Angriffsvektor für Smishing und CEO-Fraud, bei dem Kriminelle gefälschte Profile nutzen oder echte Accounts kapern. Besonders riskant sind vorgebliche Nachrichten von Vorgesetzten, die unter Zeitdruck Zahlungen fordern. Da die Verschlüsselung IT-Kontrollen erschwert, sind klare Kommunikationsrichtlinien und eine Verifizierung über Zweitkanäle für Unternehmen unerlässlich.

So erkennen Sie Smishing-Angriffe

Um Betrugs-SMS zu erkennen, sollten Sie Ausschau nach Nachrichten halten, die persönliche Informationen fordern oder verdächtige Links enthalten. Überprüfen Sie bei ungewöhnlichen Nachrichten die Identität des Absenders, bevor Sie auf einen Link klicken oder persönliche Daten preisgeben. Typische Smishing-SMS verraten sich oft durch wiederkehrende Muster:

• Links und Downloads ohne Kontext: Sie erhalten Klick-Aufforderungen oder Dateien, die Sie nicht angefordert haben.
• Dringende Notfälle: Der Text baut Druck auf oder bittet verzweifelt um Hilfe – meist verbunden mit Geldforderungen.
• Gewinne aus dem Nichts: Sie sollen einen Wettbewerb gewonnen haben, an dem Sie nie teilgenommen haben.
• Bekannte Namen als Köder: Die Nachricht nutzt gezielt den Namen Ihrer Hausbank oder bekannter Marken.
• Direkte Datenabfrage: Sie werden aufgefordert, persönliche Infos oder Passwörter über einen Link zu „bestätigen“.

Wer diese Mechanismen durchschaut, kann Angriffe stoppen, bevor Schaden entsteht.

So verhindern Sie, Opfer eines Smishing-Angriffs zu werden

Wachsamkeit und eine gesunde Portion Skepsis bei ungewöhnlichen Nachrichten sind immer noch der beste Schutz, um Betrügern den Weg zu versperren. Hier sind weitere Möglichkeiten, um das Risiko eines Smishing-Angriffs zu reduzieren:

• Reagieren Sie nicht. Neben dem Risiko, dass Malware auf Ihrem Gerät installiert wird, beweist dem Hacker allein die Reaktion auf eine Nachricht, dass ihre Rufnummer erreichbar ist. Auf diese Weise landen aktive Telefonnummern auf illegalen Listen, um sie im Darknet gewinnbringend zu verkaufen. 
• Schauen Sie sich den Absender genau an. Rufen Sie im Zweifelsfall das jeweilige Unternehmen an und lassen Sie sich bestätigen, dass der Absender vertrauenswürdig ist. Rufen Sie niemals die Nummer an, die in der SMS angegeben ist, sondern suchen Sie die offizielle Nummer auf der Website des Unternehmens. 
• Seien Sie skeptisch. Haben Sie bei einem unbekannten Preisausschreiben gewonnen? Bekommen Sie eine Benachrichtigung über eine Lieferung einer Bestellung, die Sie nicht aufgegeben haben? Lernen Sie, Wörter wie „sofort“ und „dringend“ als Alarmzeichen zu erkennen und klicken Sie nicht auf Links, wenn Sie vermuten, dass die Nachricht ein Betrug sein könnte. 
• Schweigen ist Gold. Finanzinstitute und seriöse Händler werden Ihnen niemals eine SMS schicken, in der Sie nach Kontodaten oder einer PIN gefragt werden. Manchmal geben sich Betrüger sogar als Personen aus Ihrem näheren Umfeld aus – etwa als Familienmitglied, Freundin oder Kollege. Reagieren Sie daher erst, wenn Sie sicher sind, dass der Absender echt ist. 
• Installieren Sie keine App über einen Link. Seriöse Unternehmen und Organisationen werden Sie niemals um Fernzugriff auf Ihr Gerät bitten, zum Beispiel, indem sie Sie auffordern, eine App zu installieren. Trauen Sie keiner Textnachricht, die Sie dazu auffordert, ein externes Programm auf Ihr Gerät zu laden. 
• Schützen Sie Ihr Smartphone. Software für die Sicherheit Ihrer Geräte ist nicht nur für Ihren Laptop oder Ihr Tablet gedacht. Halten Sie das Betriebssystem Ihres Telefons auf dem neuesten Stand und überprüfen Sie die Sicherheitsfunktionen. Seien Sie vorsichtig und speichern Sie keine Bankdaten lokal auf Ihrem Smartphone. Denn was nicht gespeichert wurde, kann auch nicht gehackt werden. 
• Klären Sie auf. Denken Sie daran, dass auch moderne Technologien nicht perfekt sind und dass fast jeder erfolgreiche Betrug auf menschlichem Verhalten beruht. Selbst die beste Technik hinterlässt Lücken, wenn Smishing nicht als ernstzunehmendes Cyber-Security-Risiko verstanden wird.

E-Learnings und Awareness-Trainings sind daher unverzichtbar, um Mitarbeitende gezielt für mobile Angriffe zu sensibilisieren. Dabei sollten Unternehmen nicht nur Phishing und Vishing abdecken, sondern Smishing-Simulationen aktiv nutzen – nicht zur bloßen Kontrolle, sondern um zu verstehen, wo im Team noch Unsicherheiten bestehen.

Anti-Smishing: Wie können sich Unternehmen schützen?

Da die Anzahl der Smishing-Angriffe immer weiter zunimmt, müssen Unternehmen ihre Mitarbeitenden, Kunden und Daten proaktiv schützen. Ein wirksamer Anti-Smishing-Ansatz steht auf drei Säulen: Technik, klare Abläufe und regelmäßige Awareness. So reduzieren Sie Risiko und Reaktionszeit, ohne den Arbeitsalltag unnötig zu bremsen.

Smishing-SMS blockieren: Mobile Security Management

Für Unternehmen sind technische Schutzmaßnahmen über Mobile Device Management (MDM) oder Unified Endpoint Management (UEM) zentral. Damit setzen IT-Teams Sicherheitsrichtlinien einheitlich auf allen Geräten durch, auf Firmengeräten genauso wie im BYOD-Umfeld.

Viele MDM-Lösungen unterstützen SMS-Filter oder Regeln, die verdächtige Nachrichten blockieren oder in Quarantäne verschieben. Zusätzlich lässt sich steuern, welche Messaging-Apps auf Unternehmensgeräten genutzt werden dürfen und welche Kanäle für sensible Themen vorgesehen sind. Kombinieren Sie das mit passenden Data-Leak-Prevention-Richtlinien, damit vertrauliche Daten nicht aus Versehen in unsicheren Chats oder über private Nummern landen.

Smishing melden: Incident Response in Unternehmen

Damit Ihr Unternehmen schnell reagieren kann, braucht es einen einfachen, klaren Meldeweg. Mitarbeitende sollten Smishing mit wenigen Klicks melden können, zum Beispiel über einen Button in Ihrer internen App, ein Ticket-Formular oder eine zentrale E-Mail-Adresse an das Security-Team (idealerweise mit Screenshot und kurzer Einordnung: „Was wurde verlangt?“).

Orientieren Sie sich dabei an etablierten Incident-Response-Frameworks, wie beispielsweise dem NIST Cybersecurity Framework 2.0, und denken Sie mobile Kanäle von Anfang an mit. Entscheidend ist die Kultur: Wer Verdächtiges meldet, hilft der Organisation. Verzichten Sie auf Schuldzuweisungen und schaffen Sie Sicherheit dafür, lieber einmal zu viel als einmal zu spät zu melden.

Ganzheitliche Schutzstrategie umsetzen

Multi-Faktor-Authentifizierung und solide Passwortregeln erschweren es Angreifenden, aus einem Klick direkt einen Konto- oder Datenvorfall zu machen. Prüfen Sie regelmäßig, ob Systeme, Richtlinien und Geräteeinstellungen noch zu Ihren aktuellen Risiken passen, besonders nach Tool-Wechseln oder größeren Rollouts.

Technik allein reicht nicht, denn Smishing zielt auf Entscheidungen im Alltag. Machen Sie Trainings praxisnah (kurze Beispiele, klare Do’s und Don’ts, Wiederholungen) und verankern Sie das Zwei-Kanal-Prinzip für Zahlungen und Datenaustausch. Wenn Sie dazu zusätzlich externe Belege im Text setzen möchten, lassen sich Warnhinweise und Fallbeschreibungen von Behörden als Quellen ergänzen.​

SoSafe bietet eine motivierende Lernerfahrung, maßgeschneidert auf die Rolle oder den Wissensstand von Mitarbeitenden, sowie personalisierte Angriffssimulationen, die Mitarbeitende dabei unterstützen, sich aktiv vor Online-Bedrohungen zu schützen – alles auf der Grundlage verhaltenswissenschaftlicher Erkenntnisse, damit das Lernen Spaß macht und effektiv ist. 
Vereinbaren Sie jetzt eine Produktdemo, um zu erfahren, wie Sie mithilfe verhaltensbasierter Erkenntnisse die Cyber Security Awareness in Ihrer Organisation erhöhen.