Eine scheinbar harmlose SMS kann genügen, um Passwörter, Bankdaten oder sogar den Zugriff auf Unternehmenssysteme in falsche Hände geraten zu lassen. Beim sogenannten Smishing kombinieren Cyberkriminelle klassische Phishing-Methoden mit der hohen Glaubwürdigkeit von SMS, RCS-Nachrichten und Messenger-Diensten. Besonders gefährlich: Die Angriffe wirken zunehmend professionell und werden mithilfe künstlicher Intelligenz immer individueller. Wie Smishing funktioniert, woran Sie betrügerische Nachrichten erkennen und wie Sie sich und Ihr Unternehmen wirksam schützen, erfahren Sie in diesem Artikel.
Smishing: Das Wichtigste in Kürze
-
Smishing ist eine Form von Phishing per Messenger-Nachricht, SMS oder RCS (Rich Communication Services, Nachfolger der SMS). Ziel ist es, Passwörter, Bankdaten oder Zugangsdaten zu stehlen.
-
Cyberkriminelle geben sich häufig als Paketdienste, Banken, Behörden oder interne IT-Abteilungen aus, um Vertrauen zu erzeugen.
-
Ein einziger Klick auf einen Link kann ausreichen, um Schadsoftware zu installieren oder Anmeldedaten preiszugeben.
-
Künstliche Intelligenz macht Smishing-Nachrichten immer glaubwürdiger und individueller – auch gezielt gegen Unternehmen und deren Mitarbeitende.
-
Mobile Geräte lassen sich mit einer zentral verwalteten Endpoint-Security-Lösung wirksam vor betrügerischen Nachrichten, schädlichen Links und Malware schützen.
Was ist Smishing? Definition und Abgrenzung zu Phishing
Smishing ist eine spezielle Form des Phishings, bei der Cyberkriminelle betrügerische Nachrichten über SMS versenden. Der Begriff setzt sich aus den Wörtern „SMS“ und „Phishing“ zusammen. Ziel ist es, Empfänger:innen dazu zu bringen, auf einen Link zu klicken, persönliche Daten preiszugeben oder schädliche Software auf ihrem Smartphone zu installieren.
Typische Smishing-Nachrichten wirken auf den ersten Blick harmlos. Sie stammen scheinbar von Paketdiensten, Banken, Online-Shops, Behörden oder sogar von der internen IT-Abteilung eines Unternehmens. Häufig erzeugen sie Zeitdruck, etwa mit Hinweisen auf eine ausstehende Zustellung, ein gesperrtes Konto oder eine dringende Sicherheitswarnung.
Phishing beschreibt grundsätzlich alle Versuche, Menschen mit gefälschten Nachrichten zur Preisgabe vertraulicher Informationen zu verleiten. Smishing ist somit eine Unterform des Phishings, die speziell mobile Kommunikationskanäle nutzt. Während klassische Phishing-Angriffe meist per E-Mail erfolgen, setzen Smishing-Angriffe auf SMS, RCS-Nachrichten oder Messenger-Dienste wie WhatsApp oder iMessage.
Gerade weil viele Nutzer:innen Textnachrichten auf dem Smartphone schnell und unterwegs lesen, werden verdächtige Details oft übersehen. Das macht Smishing zu einer besonders wirksamen Angriffsmethode – sowohl im privaten Umfeld als auch in Unternehmen. Laut Bundesamt für Sicherheit in der Informationstechnik zählen Phishing und Smishing weiterhin zu den häufigsten Methoden der Cyberkriminalität.
Smishing, Vishing, Phishing: Varianten und Unterschiede im Vergleich
„Phishing“ ist der Oberbegriff für Betrugsversuche, bei denen Cyberkriminelle versuchen, durch Manipulation an vertrauliche Informationen zu gelangen, etwa Passwörter, Kreditkartendaten oder Zugangsdaten zu Unternehmenssystemen. Je nach Kommunikationskanal haben sich unterschiedliche Varianten etabliert.
Phishing
Beim klassischen Phishing erfolgt der Angriff in der Regel per E-Mail. Die Nachrichten wirken täuschend echt und stammen scheinbar von Banken, Online-Shops, Cloud-Diensten oder Kolleg:innen. Sie enthalten meist Links zu gefälschten Webseiten oder schädliche Anhänge.
Smishing
Smishing nutzt SMS, RCS-Nachrichten oder Messenger-Dienste wie WhatsApp oder iMessage. Die Nachrichten sind häufig kurz, erzeugen Zeitdruck und enthalten einen Link oder eine Telefonnummer. Da viele Menschen Textnachrichten spontan auf dem Smartphone öffnen, ist die Wahrscheinlichkeit eines unbedachten Klicks besonders hoch.
Vishing
Beim Vishing (Voice Phishing) erfolgt der Angriff per Telefonanruf. Betrüger:innen geben sich etwa als Mitarbeitende von Banken, Software-Unternehmen, Behörden oder der internen IT aus. Ziel ist es, Zugangsdaten, TANs oder andere vertrauliche Informationen zu erlangen oder Betroffene zu riskanten Handlungen zu bewegen.
Allen Varianten gemeinsam ist, dass sie psychologische Tricks nutzen: das Entgegenbringen von Vertrauen, der Aufbau von Zeitdruck und die Angst vor negativen Folgen. Unternehmen sollten Mitarbeitende deshalb regelmäßig sensibilisieren und mobile Endgeräte mit modernen Sicherheitslösungen schützen.
Wie funktioniert Smishing in der Praxis? Typische Angriffsmuster
Smishing-Angriffe folgen meist einem einfachen, aber wirkungsvollen Muster: Cyberkriminelle versenden massenhaft Nachrichten, die seriös wirken und zu einer schnellen Reaktion verleiten sollen. Diese Nachrichten fordern Empfänger:innen dazu auf, auf einen Link zu klicken, eine Telefonnummer anzurufen oder sensible Daten einzugeben.
Hinter dem Link in einer Smishing-Nachricht verbirgt sich häufig eine täuschend echt gestaltete Webseite, die beispielsweise das Design eines Paketdienstes, einer Bank oder eines bekannten Online-Shops nachahmt. Dort sollen Betroffene ihre Zugangsdaten, Kreditkarteninformationen oder andere vertrauliche Daten eingeben. In anderen Fällen lädt sich nach einem Klick Schadsoftware auf das Smartphone, die weitere Daten ausspäht oder zusätzliche Zugriffe ermöglicht.
Smishing lebt von Emotionen wie Neugier, Unsicherheit und Angst. Wer unterwegs oder zwischen Terminen schnell auf eine Nachricht reagiert, übersieht leicht Warnsignale wie ungewöhnliche Absendernummern, verkürzte Links oder sprachliche Fehler.
Für Unternehmen ist das Risiko besonders hoch, wenn Mitarbeitende mobile Geräte für den Zugriff auf E-Mails, Cloud-Dienste oder interne Anwendungen nutzen. Gelangen Zugangsdaten in falsche Hände, können Angreifende Systeme kompromittieren oder sich dauerhaft Zugang zum Unternehmensnetzwerk verschaffen.
KI-gestütztes Smishing: Personalisierte Angriffe auf dem Vormarsch
Künstliche Intelligenz macht Smishing-Angriffe deutlich effektiver. Während betrügerische SMS früher oft an schlechten Übersetzungen oder unnatürlichen Formulierungen zu erkennen waren, erzeugen moderne KI-Systeme heute sprachlich überzeugende und individuell zugeschnittene Nachrichten.
Cyberkriminelle können mit generativer KI in kürzester Zeit große Mengen personalisierter Nachrichten erstellen. Dabei fließen öffentlich verfügbare Informationen aus sozialen Netzwerken, Unternehmenswebseiten oder Datenlecks ein. Diese Informationen über Unternehmen, Rollen, Projekte oder Ansprechpartner:innen wertet die KI gezielt aus, sodass Angreifende daraus täuschend echte Nachrichten erzeugen können.
So wirken Smishing-Angriffe oft deutlich glaubwürdiger und treffen genau den passenden Kontext. Dadurch steigt die Wahrscheinlichkeit, dass Empfänger:innen unbedacht auf Links klicken oder sensible Informationen preisgeben.
Auch Sprach- und Schreibstile lassen sich mithilfe von KI nachahmen. In Kombination mit Vishing oder Deepfake-Technologien können Angreifende ihre Opfer zusätzlich telefonisch unter Druck setzen und so die Erfolgschancen weiter erhöhen.
Für Unternehmen bedeutet das: Die einmalige Sensibilisierung der Belegschaft reicht nicht mehr aus. Mitarbeitende sollten regelmäßig für aktuelle Angriffsmuster geschult werden. Ergänzend helfen Sicherheitslösungen für mobile Endgeräte dabei, schädliche Links und verdächtige Aktivitäten frühzeitig zu erkennen und zu blockieren.