Smishing-Alarm 2026: Gefälschte Paket-SMS kosten Opfer Hunderte Euro – was Ihr Anwalt jetzt tun kann

Jeden Tag erhalten Millionen Deutsche eine SMS mit einer vermeintlichen Paketzustellung – und jeden Tag fallen Tausende darauf herein. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt 2026 vor einem massiven Anstieg dieser sogenannten Smishing-Angriffe. Die Bundesnetzagentur kämpft mit einer Rekord-Beschwerdeflut. Was viele Opfer nicht wissen: Sie haben konkrete rechtliche Handhabe – wenn sie die richtigen Schritte in der richtigen Reihenfolge einleiten.

Was hinter der Smishing-Welle steckt

„Ihr Paket konnte nicht zugestellt werden. Bitte bestätigen Sie Ihre Lieferadresse unter folgendem Link." So oder ähnlich klingt eine Smishing-SMS – und täuschend echt aussieht sie auch. DHL-Logo, Hermes-Farbschema, GLS-Schrift: Die Betrüger kopieren die Corporate Identities der großen Paketdienstleister mit erschreckender Präzision.

Wer auf den Link klickt, landet auf einer gefälschten Webseite, die Kreditkartendaten, IBAN-Nummern oder sogar Ausweisdaten abfragt. Manchmal wird auch eine vermeintliche „App-Aktualisierung" angeboten, die in Wirklichkeit eine Schadsoftware installiert, die Bankdaten im Hintergrund abgreift.

Der Begriff „Smishing" kombiniert die Worte SMS und Phishing. Laut BSI ist die Methode 2026 zur verbreitetsten Cyberbetrugsmethode in Deutschland aufgestiegen – noch vor klassischem E-Mail-Phishing. Das Besonders Gefährliche: Die SMS treffen oft in Momenten ein, in denen tatsächlich ein Paket unterwegs ist. Im Oktober, im Vorweihnachtsmonat und rund um den Back-to-School-Beginn im September registrieren Verbraucherzentralen bundesweit einen starken Anstieg der Fallzahlen. Wer gerade bestellt hat, ist besonders anfällig.

Die Bundesnetzagentur verzeichnet für das laufende Jahr 2026 Rekordwerte bei eingehenden Beschwerden zu Smishing-Nummern. Nach Angaben der Behörde werden betroffene Nummern zwar gesperrt – doch die Betrüger wechseln ihre Sender-IDs schneller, als die Behörde sperren kann.

Warum Smishing rechtlich keine Grauzone ist

Smishing ist keine Ordnungswidrigkeit – es ist eine schwere Straftat. Wer gefälschte Nachrichten versendet, um Kreditkartendaten, Bankzugangsdaten oder persönliche Informationen zu erschleichen, erfüllt mindestens den Tatbestand des Computerbetrugs nach § 263a Strafgesetzbuch (StGB). Werden dabei Passwörter oder Authentifizierungsdaten abgegriffen, kommt § 202a StGB (Ausspähen von Daten) hinzu – beides Delikte mit möglichen Freiheitsstrafen bis zu fünf Jahren.

Das Problem aus Opferperspektive ist ein anderes: Die Täter sitzen fast immer im Ausland, nutzen ausländische Telefonnummern und Serverstrukturen, die in Ländern ohne funktionierende Rechtshilfeabkommen mit Deutschland betrieben werden. Die strafrechtliche Verfolgung läuft ins Leere – zumindest für das individuelle Opfer.

Doch was strafrecht­lich schwierig ist, sperrt die zivilrechtlichen Ansprüche nicht ab. Und hier liegt die eigentliche Chance für Betroffene.

Wenn Kreditkartendaten auf einer Phishing-Seite eingegeben wurden und anschließend Abbuchungen erschienen sind, greift in der EU die Zahlungsdienstrichtlinie PSD2. Sie verpflichtet Zahlungsdienstleister – also Ihre Bank – dazu, nicht autorisierte Zahlungen zu erstatten. Die entscheidende Frage dabei lautet: Hat der Kunde grob fahrlässig gehandelt?

Diese Frage beantwortet der Bundesgerichtshof (BGH) zunehmend zugunsten der Verbraucher: Wer auf eine täuschend echt gestaltete SMS hereinfällt, die zeitlich zufällig mit einer echten Bestellung zusammenfällt, handelt in der Regel nicht grob fahrlässig. Wer keine Bestellung erwartet hat, aber dennoch auf eine SMS mit plausiblem Paket-Kontext reagiert hat, wird von deutschen Gerichten ebenfalls meist nicht als grob fahrlässig eingestuft.

Konkret: Was passiert, wenn Sie auf eine Smishing-SMS hereinfallen?

Nehmen Sie diesen Fall aus dem Oktober 2026: Sie haben am 1. Oktober eine Jacke über einen Online-Händler bestellt. Am 3. Oktober erhalten Sie eine SMS, die angibt, Ihr Paket könne wegen einer fehlenden Adressangabe nicht zugestellt werden. Ein Klick auf einen Link, eine Eingabe Ihrer Kreditkartendaten zur „Bestätigung" – und drei Tage später tauchen auf Ihrer Abrechnung zwei unbekannte Buchungen auf: 349 Euro bei einem Online-Händler in Bulgarien, 189 Euro für ein Jahresabonnement eines Streamingdienstes, den Sie nie genutzt haben.

Was dann gilt:

Wenn Sie innerhalb von acht Wochen schriftlich bei Ihrer Bank reklamieren und nachweisen können, dass Sie diese Zahlungen nicht autorisiert haben, ist die Bank nach § 675u BGB in Verbindung mit der PSD2-Richtlinie zur Rückerstattung verpflichtet – also zur Rückbuchung von insgesamt 538 Euro.

Die Bank kann höchstens 50 Euro Selbstbeteiligung einbehalten, wenn ihr der Nachweis leichter Fahrlässigkeit gelingt. Bei professionell gestalteten Smishing-SMS mit zeitlicher Koinzidenz zu einer echten Bestellung ist dieser Nachweis für die Bank aber schwer zu führen.

Wichtig: Ohne polizeiliche Anzeige kann die Bank die Erstattung erschweren oder verzögern. Die Anzeigenbestätigung der Polizei dient als Nachweis, dass Sie aktiv gehandelt haben – sie ist kein Schuldeingeständnis, sondern eine Schutzmaßnahme.

Falls auf der Phishing-Seite eine Schadsoftware heruntergeladen wurde, können im Hintergrund weitere Transaktionen ausgelöst worden sein, die Sie noch nicht bemerkt haben. Ein Anwalt kann in diesem Fall nicht nur die bekannten Abbuchungen, sondern auch den potenziellen Folgeschaden geltend machen.

Was ein Rechtsanwalt tun kann – und wann er sich lohnt

Bei Schäden unter 100 Euro rechnet sich der Gang zum Rechtsanwalt selten. Ab 200 Euro Schaden ändert sich das Bild deutlich. Banken reagieren auf anwaltliche Schreiben erfahrungsgemäß schneller und kulanter als auf individuelle Kundenbeschwerden – nicht zuletzt, weil ein Anwalt die einschlägige Rechtsprechung zitieren und mit konkreten Fristen drohen kann.

Ein Rechtsanwalt für IT-Recht oder Bankrecht kann im konkreten Smishing-Fall prüfen:

Erstattungsanspruch gegen die Bank: Hat die Bank die Rückbuchung verweigert oder nur teilweise gewährt, kann ein Anwalt außergerichtlich oder gerichtlich den vollen Betrag einfordern. Die Erfolgschancen sind bei Smishing-Fällen nach aktueller Rechtslage gut, wenn keine eindeutige grobe Fahrlässigkeit vorliegt.

Deckung durch die Rechtsschutzversicherung: Viele private Rechtschutzversicherungen decken IT- und Internetbetrug ab. Der Anwalt kann klären, ob Ihre Police greift – das lohnt sich bereits ab dem ersten Beratungsgespräch zu prüfen.

Sammelverfahren: Wenn mehrere Betroffene von derselben Absendernummer geschädigt wurden – was bei koordinierten Smishing-Kampagnen häufig vorkommt – kann ein koordiniertes Vorgehen die Erstattungsquote erhöhen und Kosten teilen.

Schadensersatz über den Finanzverlust hinaus: In bestimmten Konstellationen – etwa wenn nachweisbar vertrauliche Daten wie die Personalausweisnummer in falsche Hände geraten sind – kann ein Anwalt zusätzlich immateriellen Schadensersatz nach der DSGVO geltend machen. Artikel 82 DSGVO erlaubt Betroffenen, Unternehmen und Plattformen in Haftung zu nehmen, wenn deren unzureichende Sicherheitsmaßnahmen mitursächlich für den Datenverlust waren. Diesen Anspruch gegen einen Paketdienstleister geltend zu machen, dessen Markenidentität für die Betrugsmasche missbraucht wurde, wird in der deutschen Rechtsprechung zwar kontrovers diskutiert – doch einige Instanzgerichte haben entsprechende Klagen bereits zugelassen.

Ähnliche Fragen nach der eigenen Haftung stellen sich auch bei anderen digitalen Betrugsmaschen per Nachricht: Wer Weiterleitungsketten aktiv unterbricht und Betrugsmaschen meldet, kann rechtlichen Konsequenzen vorbeugen – mehr dazu in unserem Artikel Was passiert, wenn Sie Kettenbriefe weiterleiten?.

Was Sie jetzt sofort tun sollten

Wer eine verdächtige Paket-SMS erhalten hat, sollte dieser Checkliste folgen:

Wenn Sie noch nicht geklickt haben:

• SMS löschen und die Absendernummer blockieren
• SMS an 7726 weiterleiten (kostenloser Dienst für Smishing-Meldungen in Deutschland)
• Meldung an die Bundesnetzagentur unter bundesnetzagentur.de

Wenn Sie bereits auf den Link geklickt haben:

• Smartphone sofort in den Flugmodus schalten
• Kreditkarte sofort sperren (kostenlose Sperrnummer: 116 116, aus dem Ausland: +49 116 116)
• Das Smartphone nicht weiter nutzen, bis es auf Werkseinstellungen zurückgesetzt wurde
• Kontoauszüge der letzten 30 Tage auf unbekannte Buchungen prüfen

Wenn Geld abgebucht wurde:

• Polizeiliche Anzeige erstatten (online über die Onlinewache der jeweiligen Landespolizei möglich)
• Schriftliche Reklamation bei der Bank mit Kopie der Anzeige – Frist: 8 Wochen ab Buchungsdatum
• Ab 200 Euro Schaden: Anwalt konsultieren, Erstattungsansprüche prüfen lassen

Die rechtlichen Chancen für Smishing-Opfer sind 2026 besser als je zuvor. Mit den richtigen Schritten und gegebenenfalls anwaltlicher Unterstützung lassen sich Bankerstattungen in vielen Fällen durchsetzen. Auf Expert Zoom finden Sie geprüfte Rechtsanwälte für IT-Recht und Bankrecht, die Ihre Situation kostenlos einschätzen können.

Hinweis: Dieser Artikel dient der allgemeinen Information und ersetzt keine individuelle Rechtsberatung. Bei konkreten Rechtsstreitigkeiten wenden Sie sich an einen zugelassenen Rechtsanwalt.