Paket-SMS mit QR-Code: So läuft die Masche und so erkennst du sie
Eine SMS meldet ein Paket, das angeblich nicht zugestellt werden konnte, und schickt dich per Link oder QR-Code auf eine nachgebaute Sendungsverfolgung. Dort werden deine Kartendaten abgefragt. Ein Paket gibt es nicht.
Aktualisiert am
So sieht die Paket-SMS aus
Die Nachricht ist kurz, nennt keinen Namen und setzt eine Frist: Ein Paket warte, die Zustellung sei gescheitert, über den Link oder den QR-Code lasse sich ein neuer Termin buchen.
Meist kommt sie von einer gewöhnlichen Mobilfunknummer, manchmal mit ausländischer Vorwahl. Im Text steht der Name eines bekannten Paketdienstes, dazu eine Begründung wie eine unvollständige Adresse, eine offene Zollgebühr oder ein voller Paketshop. Wer nicht innerhalb von ein oder zwei Tagen reagiert, dem wird die Rücksendung angedroht.
Neben der SMS mit Link gibt es Varianten mit einem Bild, auf dem ein QR-Code zu sehen ist, etwa als Nachricht im Messenger oder als E-Mail. Der Code hat für die Absender zwei Vorteile. Die Zieladresse ist vor dem Scannen nicht lesbar, und Filter, die verdächtige Links in Texten erkennen, sehen in einem Bild nichts.
Was nach dem Scan passiert
Der Code führt auf eine nachgebaute Sendungsverfolgung, die eine kleine Gebühr verlangt und dafür deine Kartendaten abfragt. Um die Gebühr geht es dabei nie, das Ziel sind die Daten.
Die Seite trägt Farben und Logo eines Paketdienstes und zeigt eine Sendungsnummer mit dem Status „Zustellung angehalten“. Für die erneute Zustellung soll ein Betrag von wenigen Euro fällig sein. Das Formular fragt Name, Anschrift, Kartennummer, Ablaufdatum und Prüfziffer ab.
Danach folgt oft ein zweiter Schritt: Du sollst einen Code eingeben, den dir deine Bank per SMS oder App schickt. Mit diesem Code geben die Täter keine Zwei-Euro-Zahlung frei. Sie hinterlegen deine Karte in einer mobilen Geldbörse auf ihrem eigenen Gerät oder bestätigen eine deutlich größere Buchung. Andere Varianten drängen dich, eine App zur „Sendungsverfolgung“ zu installieren, die außerhalb der offiziellen App-Stores liegt und Nachrichten mitlesen kann.
Woran du die Fälschung erkennst
Am sichersten erkennst du sie an der Adresse: Sie gehört nicht zum Paketdienst, der im Text genannt wird. Alles andere an der Seite lässt sich kopieren, die Domain nicht.
Lies die Adresse von rechts nach links. Entscheidend ist der Teil direkt vor der Endung. Zusätze wie „zustellung“, „paket-info“ oder eine Zahlenfolge, ungewohnte Endungen und Kurzlinks sprechen gegen eine echte Nachricht. Bei einem QR-Code zeigt dir die Kamera-App die Adresse an, bevor du sie öffnest.
Dazu kommen drei Fragen. Erwartest du überhaupt ein Paket? Nennt die Nachricht deinen Namen oder eine Sendungsnummer, die du aus der Bestellbestätigung kennst? Und warum soll eine erneute Zustellung Geld kosten? Bleibt eine davon offen, öffne die App des Paketdienstes oder tippe seine Adresse selbst ein und prüfe die Sendung dort.
Was echte Paketdienste nie per SMS verlangen
Kein Paketdienst verlangt über einen Link aus einer SMS deine Kartendaten für eine zweite Zustellung, deinen Banking-Zugang oder einen Freigabecode deiner Bank.
Ein zweiter Zustellversuch, die Abholung im Paketshop oder die Umleitung an einen Nachbarn kosten nichts. Benachrichtigungen dazu enthalten eine Sendungsnummer, die sich in der offiziellen App oder auf der selbst eingetippten Seite des Dienstes wiederfindet.
Einfuhrabgaben gibt es tatsächlich, etwa bei Bestellungen aus dem Ausland. Ob eine solche Forderung echt ist, siehst du in der Sendungsverfolgung, die du selbst aufrufst. Dort steht der Betrag neben der Sendung, und dort lässt er sich auch bezahlen.
Apps bieten Paketdienste über die bekannten App-Stores an. Eine Installationsdatei, die dir per Link geschickt wird, stammt nicht von ihnen.
Weitere Muster stehen in der Übersicht aktuelle Betrugsmaschen.
Schon geklickt oder bezahlt?
Hast du nur geklickt und nichts eingegeben, schließe die Seite; in aller Regel ist nichts passiert. Hast du Daten eingegeben oder bezahlt, zählt jetzt Tempo.
Karte sperren lassen
Ruf deine Bank an oder wähle den Sperr-Notruf 116 116. Sag dazu, dass du die Kartendaten auf einer gefälschten Seite eingegeben hast, und frag, ob die Karte in einer mobilen Geldbörse hinterlegt wurde.
Umsätze prüfen und reklamieren
Sieh dir die Buchungen der letzten Tage an, auch die vorgemerkten. Jede Buchung, die du nicht kennst, meldest du sofort deiner Bank.
Belege sichern
Mach Screenshots von der Nachricht, der Absendernummer und der Adresse der Seite. Solche Seiten sind oft nach wenigen Tagen wieder verschwunden.
App installiert? Gerät vom Netz nehmen
Schalte den Flugmodus ein, entferne die App und ändere deine Passwörter von einem anderen Gerät aus. Bleibt ein Zweifel, setze das Telefon auf die Werkseinstellungen zurück.
Anzeige erstatten
Jedes Bundesland hat eine Onlinewache der Polizei. Die Anzeige hilft dir auch gegenüber deiner Bank, wenn es um die Erstattung geht.
Link aus der Nachricht prüfen
Ob die Adresse aus der SMS zu einem Paketdienst gehört, zeigt dir der Check, ohne dass du die Seite öffnen musst.
Tippe nur die Adresse ab. Der Check läuft auf der Startseite und zeigt Urteil und Belege.
Häufige Fragen zur Paket-SMS
Was passiert, wenn ich nur auf den Link geklickt habe?
In aller Regel nichts. Der Schaden entsteht erst, wenn du auf der Seite Daten eingibst, einen Code deiner Bank weitergibst oder eine App installierst. Schließe die Seite und lösche die Nachricht.
Woher haben die Absender meine Nummer?
Meist aus Datenlecks, aus gehandelten Adresslisten oder durch das Durchprobieren ganzer Nummernblöcke. Dass du gerade ein Paket erwartest, ist Zufall: Die Nachrichten gehen an sehr viele Empfänger gleichzeitig.
Kann schon das Scannen eines QR-Codes schaden?
Nein, beim Scannen zeigt dir das Telefon zunächst nur eine Adresse an. Gefährlich wird es erst, wenn du die Seite öffnest und dort etwas eingibst oder herunterlädst.
Bekomme ich mein Geld zurück, wenn ich Kartendaten eingegeben habe?
Das hängt vom Einzelfall ab, vor allem davon, ob du eine Buchung selbst mit einem Code freigegeben hast. Melde jede unbekannte Buchung sofort deiner Bank und lass die Karte sperren. Je früher die Meldung kommt, desto besser stehen die Chancen.
Wo kann ich eine Paket-SMS melden?
Blockiere die Nummer und nutze die Spam-Meldung deines Telefons. Missbrauch von Rufnummern nimmt außerdem die Bundesnetzagentur über ein Onlineformular entgegen. Die Adresse aus der Nachricht kannst du in den Check eingeben; eindeutige Funde erscheinen auf der Warnliste.