Ratgeber

Gefälschte Paketbenachrichtigungen und SMS-Betrug erkennen

URLVIS Sicherheitsteam · Zuletzt aktualisiert: 26. August 2026

Gefälschte Paketbenachrichtigungen per SMS (Smishing) oder E-Mail gehören in Deutschland zu den am weitesten verbreiteten Betrugsformen. Kriminelle geben sich als renommierte Logistikdienstleister wie DHL, Hermes, DPD, GLS oder UPS aus und behaupten, ein Paket könne wegen einer unvollständigen Adresse, ausstehender Zollgebühren oder fehlender Portokosten nicht zugestellt werden. Der beigefügte Link führt auf eine professionell nachgebaute Phishing-Website, deren einziges Ziel der Diebstahl von Kreditkartendaten, Online-Banking-Zugängen oder die Installation von Schadsoftware auf mobilen Endgeräten ist. Die psychologische Wirksamkeit dieser Betrugsmasche beruht auf der extrem hohen Frequenz des Online-Handels: Fast jeder Haushalt in Deutschland erwartet regelmäßig Sendungen, insbesondere in saisonalen Hochphasen wie der Vorweihnachtszeit oder rund um Rabattaktionen wie Black Friday. Die Täter nutzen gezielt die Neugier und die Angst vor Lieferverzögerungen aus, um Empfänger zu unüberlegten Klicks auf dem Smartphone zu verleiten. Typischerweise fordern die gefälschten Seiten minimale Beträge zwischen 1,20 € und 3,50 € für angebliche Nachsendungen, Adresskorrekturen oder Zollabwicklungen. Diese geringe Summe soll die Hemmschwelle senken: Opfer halten den Verlust weniger Euro für verschmerzbar und geben bedenkenlos ihre vollständigen Kartendaten samt Prüfziffer (CVV) ein. Was viele nicht ahnen: Mit den erbeuteten Daten werden unmittelbar danach teure Einkäufe getätigt oder Dauerabonnements im Hintergrund abgeschlossen. Auf Android-Smartphones versuchen manipulierte Links zudem häufig, bösartige APK-Dateien (z. B. Banking-Trojaner wie FluBot oder TeaBot) unter dem Deckmantel einer angeblichen Sendungsverfolgungs-App zu installieren. Einmal eingerichtet, fängt die Schadsoftware SMS-Sicherheitscodes ab und versendet im Hintergrund tausende teure Phishing-Nachrichten an das gesamte Adressbuch des Betroffenen. Der wirksamste Schutz vor Paket-Phishing ist einfach, erfordert aber konsequente Disziplin: Öffnen Sie niemals Links aus unaufgeforderten SMS oder E-Mails. Rufen Sie die Sendungsverfolgung stets manuell über die offizielle App des jeweiligen Versanddienstleisters oder über die vertraute Website des Händlers auf, bei dem Sie tatsächlich bestellt haben.

So erkennen Sie es

Gleichen Sie die Benachrichtigung mit Ihren tatsächlichen Bestellungen ab: Wenn Sie bei keinem Online-Händler eine Sendung mit dem genannten Paketdienst erwarten, handelt es sich mit an Sicherheit grenzender Wahrscheinlichkeit um einen Massen-Betrugsversuch.
Prüfen Sie die exakte Domain in der Adresszeile des Browsers: Betrüger nutzen Domains mit Zusätzen oder Subdomains wie „dhl-paket-verfolgung24.de.com“ oder Kurz-URLs (bit.ly, is.gd). Echte Portale der Zustelldienste nutzen ausschließlich die offiziellen Hauptdomains (z. B. dhl.de, myhermes.de, dpd.de).
Seien Sie extrem wachsam bei geringen Gebührenforderungen: Weder DHL noch Hermes oder DPD fordern für Standard-Paketzustellungen per SMS-Link Nachzahlungen von 1,50 € bis 3,00 € zur Adresskorrektur.
Laden Sie niemals Apps außerhalb offizieller App-Stores herunter: Eine Aufforderung, eine .apk-Datei manuell auf einem Android-Smartphone zu installieren, um eine Sendung zu verfolgen, ist ein definitiver Schadsoftware-Angriff.
Achten Sie auf die Absender-Rufnummer: Viele Phishing-SMS stammen von gewöhnlichen Mobilfunknummern (teilweise mit ausländischen Ländervorwahlen) statt von verifizierten Firmen-Gateways mit offiziellem Absendernamen.
Erkennen Sie künstlichen Zeitdruck: Drohungen wie „Ihr Paket wird innerhalb von 24 Stunden vernichtet oder an den Absender zurückgesendet“ sollen Sie panisch machen und eine unabhängige Überprüfung verhindern.
Hinterfragen Sie die Abfrage sensibler Daten: Für die reine Umleitung oder Adressänderung eines Pakets benötigt kein Paketdienst Ihre PIN, Ihr Online-Banking-Passwort oder eine TAN-Bestätigung.
Achten Sie auf fehlende Personalisierung: Betrugs-SMS sprechen Sie selten mit Ihrem korrekten Vor- und Nachnamen an, sondern nutzen unpersönliche Formulierungen wie „Sehr geehrter Kunde“ oder sprechen direkt die Handynummer an.
Nutzen Sie ausschließlich die offizielle Sendungsverfolgung: Kopieren Sie nur die angebliche Sendungsnummer und fügen Sie diese manuell in die offizielle App von DHL, Hermes, DPD oder GLS ein.
Achten Sie auf Warnhinweise Ihres Browsers oder Mobilfunkanbieters: Viele moderne Browser und SMS-Filter blockieren bekannte Phishing-Ziele bereits automatisch mit Sicherheitswarnungen.

Beispiele aus der Praxis

Die folgenden Beispiele dienen nur der Veranschaulichung. Sie beziehen sich auf keine reale Person, Marke oder Organisation und dienen ausschließlich der Darstellung des Betrugsmusters.

Gefälschte DHL-Zustellungs-SMS mit Adressnachforderung

Fiktives Beispiel — DHL Express Info: Ihr Paket DE-938210 konnte wegen fehlender Hausnummer nicht zugestellt werden. Bitte aktualisieren Sie Ihre Adresse und zahlen Sie 1,79 € Bearbeitungsgebühr unter dhl-zustellung-portal.example.

Gefälschte Hermes-Zollbenachrichtigung per E-Mail

Fiktives Beispiel — Hermes Logistik Benachrichtigung: Für Ihre internationale Sendung H-449102 steht eine Zollabfertigungsgebühr von 2,45 € aus. Bestätigen Sie die Zahlung innerhalb von 12 Stunden auf hermes-zollservice.example, um die Rücksendung an das Ursprungsland zu verhindern.

Gefälschte DPD-Schadsoftware-Aufforderung

Fiktives Beispiel — DPD Live-Tracking: Der Zustellversuch für Ihre Lieferung ist fehlgeschlagen. Installieren Sie unsere Tracking-Anwendung (dpd-express-update.apk) unter dpd-paket-live.example, um den aktuellen Standort des Fahrers einzusehen.

Meldestellen

Häufige Fragen

Was soll ich tun, wenn ich auf einen Link in einer gefälschten Paket-SMS geklickt habe?

Wenn Sie lediglich die Website geöffnet, aber keine Daten eingegeben und keine Dateien heruntergeladen haben, schließen Sie den Browser-Tab sofort. Löschen Sie Ihren Browser-Verlauf und Cache. Haben Sie jedoch eine Datei heruntergeladen (insbesondere auf Android-Geräten), schalten Sie das Smartphone sofort in den Flugmodus, um Datenabflüsse zu stoppen, und führen Sie einen vollständigen Virenscan durch oder setzen Sie das Gerät auf die Werkseinstellungen zurück.

Was passiert, wenn ich meine Kreditkartendaten auf der Phishing-Seite eingegeben habe?

Sperren Sie Ihre Karte unverzüglich über den bundesweiten Sperr-Notruf 116 116 oder direkt in der Banking-App Ihres Kreditinstituts. Informieren Sie Ihre Bank darüber, dass die Daten auf einer Phishing-Seite kompromittiert wurden. Prüfen Sie in den folgenden Wochen alle Kontobewegungen akribisch auf unberechtigte Kleinabbuchungen und fordern Sie gegebenenfalls ein Chargeback an.

Verlangen echte Logistikunternehmen wie DHL oder Hermes Gebühren per SMS-Link?

Nein. Deutsche Paketdienstleister fordern bei normalen Zustellungen niemals per unaufgefordertem SMS-Link Geld für Adressänderungen oder Nachsendungen. Zollgebühren bei Auslandssendungen werden entweder direkt an der Haustür beim Zusteller in bar/mit EC-Karte bezahlt oder müssen in einer Filiale bzw. über das verifizierte Kundenportal nach individuellem Login beglichen werden.

Warum erhalte ich Paket-SMS, obwohl ich gar nichts bestellt habe?

Kriminelle versenden diese Nachrichten vollautomatisiert per Massenversand (Smishing-Wellen) an tausende zufällig generierte oder aus Datenlecks stammende Telefonnummern. Die Täter wissen nicht, wer tatsächlich ein Paket erwartet, sondern spekulieren darauf, dass bei Millionen Empfängern ein relevanter Prozentsatz zufällig gerade auf eine Sendung wartet.

Wie erkenne ich, ob eine Sendungsnummer (Tracking-ID) authentisch ist?

Öffnen Sie die offizielle Website des Paketdienstes manuell im Browser (z. B. www.dhl.de) oder starten Sie die offizielle App. Geben Sie die Nummer dort in das Suchfeld ein. Ein echter Sendungscode zeigt den vollständigen Verlauf, Absender- und Empfängerregion an. Gibt das System eine Fehlermeldung aus, dass die Sendungsnummer unbekannt ist, handelt es sich um eine Fälschung.

Können Betrüger auch SMS-Threads echter Unternehmen kapern (SMS-Spoofing)?

Ja. Kriminelle können den Absendernamen manipulieren, sodass die Phishing-SMS auf Ihrem Smartphone im selben Chatverlauf angezeigt wird wie echte, frühere DHL- oder Bankbenachrichtigungen. Das Vorhandensein im vertrauten SMS-Thread ist daher kein Beweis für die Echtheit. Maßgeblich ist immer die Ziel-URL des enthaltenen Links.

How This Guide Was Prepared

This guide was compiled from publicly available fraud-reporting sources and URLVIS's own multilingual risk taxonomy; an AI-assisted draft was reviewed before publication. It is for general information only and is not legal or financial advice. Spotted an error or outdated detail? Report it to [email protected].