Eine SMS behauptet, eine Gebühr sei offen, ein Konto müsse bestätigt oder die Lieferdaten müssten neu angegeben werden. Wer auf den Link tippt, landet auf einer Seite, die erstaunlich gut mitmacht. Nach der Kartennummer kommt eine passende Nachfrage, nach dem SMS-Code eine Dankesseite. Viele halten genau das für ein Zeichen, dass die Seite echt ist.
?
+43 6•• ••• ••12
Nicht in Ihren Kontakten
Heute, 09:14
Ihr Paket konnte nicht zugestellt werden, da Angaben zur Lieferadresse fehlen. Bitte bestätigen Sie Ihre Daten innerhalb von 12 Stunden:
Das Sicherheitsunternehmen Group-IB hat die Technik hinter solchen Betrugsseiten genau untersucht. Die Ergebnisse wurden am 14. September 2026 veröffentlicht. Was auf der untersuchten Seite eingetippt wird, kann der Betrüger schon beim Tippen sehen. Und er entscheidet, welche Seite das Opfer als Nächstes bekommt.
Kurz gesagt
Das Wichtigste in drei Punkten
- Bei der untersuchten Betrugsseite gehen Eingaben laut Group-IB schon beim Tippen an die Täter. Ob man auf „Absenden“ drückt, spielt keine Rolle.
- Ein Betrüger kann zusehen und das Opfer mit 32 Befehlen auf andere Seiten schicken, etwa zur Abfrage eines SMS-Codes oder zur Meldung „Karte abgelehnt“.
- Wer auf so einer Seite etwas eingetippt hat, sollte sofort die eigene Bank anrufen.
Ein Formular, das nicht wartet
Normalerweise bleibt das, was man in ein Formular schreibt, zuerst auf dem eigenen Handy oder Computer. Weggeschickt wird es erst, wenn man auf „Senden“ drückt. Die untersuchte Betrugsseite wartet darauf nicht. Laut Group-IB schickt sie jede Änderung in den Eingabefeldern sofort an die Täter. Auch ein halb eingetipptes Passwort oder eine unfertige Kartennummer kann dort also schon ankommen.
Der Gedanke „Ich hab ja noch nichts abgeschickt“ hilft hier nicht. Wer merkt, dass etwas nicht stimmt, schließt die Seite sofort.
Am anderen Ende sitzt jemand
Die Betrugsseite ist so gebaut, dass ein Mensch sie steuern kann. Laut Group-IB sieht der Betrüger die Eingaben fast in Echtzeit auf seinem Bildschirm. Mit 32 verschiedenen Befehlen kann er das Opfer auf andere Seiten schicken. So wird plötzlich ein SMS-Code verlangt, eine Bestätigung in einer App oder ein QR-Code angezeigt. Für das Opfer sieht das aus wie ein ganz normaler Ablauf.
Wenn zu viele Opfer gleichzeitig auf den Seiten sind, gibt es auch einen Automatikmodus. Dann entscheidet das Programm selbst, wie es weitergeht.
Vorne die Fake-Seite, dahinter der Betrüger
So kann ein Betrug mit der untersuchten Seite ablaufen.
1
Das sieht das Opfer
Es tippt die Kartennummer ein.
Das passiert dahinter
Die Zahlen gehen schon beim Tippen an den Betrüger.
2
Das sieht das Opfer
Eine Seite zeigt: „Bitte warten“.
Das passiert dahinter
Der Betrüger prüft die Karte und wählt die nächste Seite aus.
3
Das sieht das Opfer
Die Seite verlangt einen SMS-Code der Bank.
Das passiert dahinter
Mit dem Code macht der Betrüger eine Zahlung.
4
Das sieht das Opfer
Es wechselt kurz zu den SMS, um den Code zu lesen.
Das passiert dahinter
Der Betrüger bekommt angezeigt, dass die Seite gerade nicht offen ist.
5
Das sieht das Opfer
„Vielen Dank“ oder eine andere Seite.
Das passiert dahinter
Der Betrug ist erledigt. Das Opfer glaubt, alles sei in Ordnung.
Wenn die Karte „abgelehnt“ wird
Besonders tückisch ist eine Fehlermeldung: Die Karte sei abgelehnt worden, man solle eine andere versuchen. Das klingt, als wäre nichts passiert. Bei der untersuchten Seite ist diese Meldung aber ein eigener Befehl des Betrügers. Die Daten der ersten Karte können dann schon bei ihm sein. Mit der Meldung will er an eine zweite Karte kommen.
Laut Group-IB können die Täter sogar einstellen, welche Arten von Karten sie abweisen und welche sie annehmen. Eine abgelehnte Karte ist also keine Entwarnung.
Nicht nur die Karte ist in Gefahr
Im Programm sind rund 70 Eingabefelder vorgesehen. Damit lässt sich weit mehr abfragen als Kartendaten: Name, Adresse, Geburtsdatum, PIN, PayPal-Zugang, E-Mail-Passwort und Zugänge zu bis zu drei Onlinekonten. Das Programm kann auch Fotos von Ausweisen verlangen und ein Foto, auf dem man den Ausweis in der Hand hält. Solche Fotos helfen laut Group-IB, Sicherheitsprüfungen zu überlisten. Ein Foto mit Ausweis gehört nie auf eine Seite, zu der ein SMS-Link geführt hat.
Wer dahintersteckt – und was offen bleibt
Laut Group-IB gehört die Seite zu einem großen Umfeld, das Fachleute „Smishing Triad“ nennen. Smishing ist Phishing per SMS, also Datenklau mit gefälschten Kurznachrichten. In diesem Umfeld teilen sich viele Beteiligte die Arbeit. Die einen bauen die Betrugsseiten, andere verschicken die SMS, wieder andere liefern Telefonnummern oder Internetadressen. Die untersuchte Kampagne schreibt Group-IB einer Gruppe zu, die das Unternehmen „Outsider“ nennt. Wer genau dahintersteckt, geht daraus nicht hervor.
Sicherheitsfirmen haben diesem Umfeld seit 2024 weit über 194.000 Internetadressen für Betrugsseiten in mehr als 120 Ländern zugeordnet. Die Zahl gilt für das ganze Umfeld, nicht nur für die untersuchte Seite. Die Adressen sind meist nur kurz online, laut Group-IB in den meisten Fällen höchstens zwei Tage. Eine Warnung vor einer bestimmten Adresse kann deshalb zu spät kommen.
Neu ist die Methode nicht. 2025 berichtete der Bayerische Rundfunk gemeinsam mit dem norwegischen Sender NRK und der Zeitung „Le Monde“ über eine Betrugssoftware namens „Magic Cat“. Laut der Recherche konnten Täter damit in Echtzeit mitlesen, was Opfer auf gefälschten Seiten eintippen, und zwar auch in Deutschland. Deutsche Opfer wurden vor allem auf nachgebaute DHL-Seiten gelockt. In der Schweiz hat das Bundesamt für Cybersicherheit solche Fälle ebenfalls beschrieben, etwa 2023: Dort blendeten Betrüger während des Betrugs eine neue Seite ein, um an einen Bestätigungscode für das E-Banking zu kommen. Einen vergleichbaren dokumentierten Fall aus Österreich haben wir nicht gefunden.
Manches verrät der Bericht nicht. Group-IB nennt weder die Länder, in denen die SMS ankamen, noch die Firmen, deren Namen missbraucht wurden. Ob die Kampagne auch Menschen in Österreich, Deutschland oder der Schweiz erreicht hat, wissen wir deshalb nicht. Außerdem verkauft Group-IB selbst Sicherheitsdienste. Die technischen Befunde sind im Bericht ausführlich belegt. Selbst überprüft haben wir sie nicht.
Schon etwas eingetippt?
Dann nicht abwarten, ob etwas passiert. Bei der untersuchten Seite kann der Betrüger zuschlagen, während das Opfer noch vor dem Bildschirm sitzt.
Daten eingegeben? Das ist jetzt zu tun
-
1
Seite schließen
Nichts mehr eingeben, auch nicht zum Ausprobieren.
-
2
Bank anrufen
Die Nummer von der Karte, von der echten Website oder aus der Banking-App nehmen. Nie die Nummer aus der SMS. Wurden Kartendaten eingetippt, die Karte sperren lassen – auch ohne Absenden.
-
3
Nichts freigeben
Keine Zahlung in der Banking-App bestätigen, die man nicht selbst gestartet hat. Keinen SMS-Code weitergeben.
-
4
Passwörter ändern
Direkt auf der echten Seite, nicht über einen Link. Auch bei anderen Konten, die dasselbe Passwort haben.
-
5
Anzeige erstatten
SMS und Link aufheben und zur Polizei gehen. Wurden Ausweisfotos hochgeladen, das dort sagen.
Hilfe beim nächsten Schritt gibt auch der Mimikama-Notfall-Check. Er fragt anonym ab, was passiert ist, und zeigt Anlaufstellen für Österreich, Deutschland und die Schweiz.
Wo die Warnzeichen wirklich liegen
Die Betrugsseite selbst kann sehr echt wirken, weil jemand dahinter mitdenkt. Die Warnzeichen kommen deshalb vorher: eine SMS, mit der man nicht gerechnet hat, Zeitdruck und ein Link. Wer wissen will, ob an der Nachricht etwas dran ist, öffnet die App oder Website des angeblichen Absenders selbst. Den Link in der SMS lässt man links liegen. Wie gut eine Seite danach reagiert, sagt nichts darüber, ob sie echt ist.
