Leider müssen wir jedes Jahr aufs Neue über verschiedene Betrugsmaschen berichten, bei denen die SMS zweckentfremdet wird. Anlass unseres Beitrags sind Meldungen über Kriminelle, die Anleger bei Trade Republic um mehrere Tausend Euro unrechtmäßig erleichterten. Dabei bedienten sich die Betrüger des Spoofings. Wie das Ganze funktioniert und wie Sie sich schützen können, darauf wollen wir im Folgenden eingehen.
Identität fälschen mit Spoofing
Grundsätzlich handelt es sich beim Spoofing um ein Vortäuschen einer falschen Identität. Die Angreifer geben sich als vertrauenswürdige Person aus, als ein bestimmtes Unternehmen und bisweilen gar als Behörde. Das Ziel ähnelt dabei anderen bekannten Betrugsmaschen: das Vertrauen der Opfer gewinnen, um Daten, Passwörter oder Geld abzugreifen.
Spoofing kann über verschiedene Kanäle erfolgen, per Telefon, SMS, E-Mail, Websites und IP-Adresse in einem Computer-Netzwerk. Die Herangehensweise unterscheidet sich zwar je nach Medium. Aber letztendlich fälschen die Kriminellen immer eine ID und geben sich als jemand Anderes aus.
SMS von falschen IDs
So auch beim SMS Spoofing: Hier manipulieren die Angreifer den Absendernamen oder die Telefonnummer einer Nachricht. Dabei nutzen sie bestimmte Onlinedienste oder Apps, um das Absenderfeld mit ihrem Text oder einer falschen Telefonnummer zu überschreiben. Statt Nummer und Name des eigentlichen Absenders erscheint dann auf dem Display des Empfängers beispielsweise DHL, PayPal oder irgendeine bekannte Bank. Hier nutzen die Betrüger Schwachstellen im internationalen SMS-Netz aus. Offensichtlich prüfen viele Mobilfunknetze nicht ausreichend die Angaben der Absender.
Hinzu kommt, dass Smartphones die Nachrichten mit einer Person oder eines Absenders in einem Chatverlauf zusammenfassen. Dadurch landen gefälschte SMS automatisch in einer bereits bestehenden Kommunikation. In der Summe können die Adressaten die wahre Herkunft der eingegangenen Kurzmitteilung nicht mehr erkennen. Viel schlimmer: Die Opfer eines Spoofing-Angriffs haben aufgrund eines bestehenden Gesprächsverlaufs vielleicht schon Vertrauen zu einem Unternehmen oder einer Behörde aufgebaut und hinterfragen eingehende Nachrichten möglicherweise nun nicht mehr. Dadurch haben die Angreifer leichtes Spiel, um sensible Daten abzufragen.
Betrugsfall bei Trade Republic durch SMS Spoofing
Prominentes Beispiel: Trade Republic. Ein Kunde hatte bei dem Neobroker seine Ersparnisse über fünf Jahre lang in ETFs investiert. Offenbar fand im Laufe der Zeit auch eine Kommunikation mit dem Anbieter per SMS statt. Denn Anfang 2026 erhielt der Kunde eine weitere, erst mal unscheinbar wirkende SMS von dem ihm bekannten und schon bereits bestehenden Kontakt. Das heißt, die Nachricht erschien wie gewohnt im bereits vorhandenen Chatverlauf.
Auch formal gab die Nachricht wenig Grund zur Beanstandung. Fehlerfrei formuliert, informierte die SMS über eine angeblich bevorstehende Auszahlung des Vermögens. Um diese mangels Autorisation zu verhindern, sollte der Kunde eine in der Nachricht angegebene Telefonnummer anrufen.
Über die gewählte Rufnummer gelangte der Kunde schließlich zu einem professionell organisierten Callcenter – ohne tatsächliche Verbindung zu Trade Republic. In akzentfreiem Deutsch warnten die vermeintlichen Mitarbeiter vor der Gefährdung des vorhandenen Vermögens und forderten den Kunden unverzüglich zur Überweisung des Geldes auf ein Treuhandkonto auf. Nur so könne er sein Vermögen schützen. Das Ergebnis: Der Kunde gab dem Druck nach und verlor innerhalb weniger Minuten seine Ersparnisse.
So schützen Sie sich vor SMS Spoofing
Grundsätzlich lohnt sich ein gesundes Misstrauen: Haben Sie das Gefühl, dass mit einer SMS, einer E-Mail oder einer Website etwas nicht stimmt, dann überprüfen Sie zunächst den Absender. Gleiches gilt auch für die Inhalte. Rechtschreibfehler, mangelhafte Orthografie, falsche Logos, fehlende Angaben usw. deuten in den allermeisten Fällen auf einen Betrugsversuch hin.
Geben Sie keine sensiblen Daten preis. Vor allem nicht, wenn man Sie danach fragt. Gerade Banken und Behörden fordern Sie in Kurzmitteilungen oder E-Mails niemals dazu auf, persönliche Informationen anzugeben.
Öffnen Sie keine unerwarteten Dateianhänge und klicken Sie nicht auf verdächtig wirkende Links. Erst recht nicht, um bestehende Passwörter zurückzusetzen oder bestimmte Anwendungen herunterzuladen.
Sollte Sie jemand anrufen und unter Druck setzen, Ihre Daten auszuhändigen, legen Sie auf oder gehen Sie bei einer verdächtig wirkenden Nummer erst gar nicht ran. Suchen Sie stattdessen den Kontakt über die offiziellen Telefonnummern des eigentlichen Anbieters und fragen Sie dort nach.
Auf keinen Fall sollten Sie die Kommunikation per SMS fortführen. Andernfalls erhöhen Sie die Risiken für weitere unerwünschte Nachrichten und damit auch für potenzielle Angriffe. Je mehr Sie von sich preisgeben, desto leichter wird das Spiel für die Betrüger.
Und zu guter Letzt: Halten Sie Apps und Passwörter auf den aktuellen Stand. Verwenden Sie eine Zwei-Faktor-Authentifizierung oder Passkeys, um Ihre Logindaten zu schützen.