Smishing nutzt eine strukturelle Schw\u00e4che mobiler Endger\u00e4te aus: Die verk\u00fcrzte Adressanzeige mobiler Browser<\/strong> und die kompakte Darstellung von SMS-Nachrichten erschweren es, eine gef\u00e4lschte Absendernummer oder eine manipulierte Linkadresse vor dem Antippen zu erkennen. Auch Mobilfunkanbieter setzen serverseitige beziehungsweise netzseitige Filter gegen betr\u00fcgerische SMS ein; solche Schutzmechanismen verhindern jedoch nicht, dass einzelne Smishing-Nachrichten den Posteingang erreichen. Spoofing-Techniken erlauben es Angreifern zus\u00e4tzlich, im Nachrichtenfeld den Namen einer bekannten Bank oder eines Paketdienstes anzeigen zu lassen, obwohl die tats\u00e4chliche Absendernummer keinen Bezug zum vorget\u00e4uschten Absender hat. Kurz-URLs verschleiern zus\u00e4tzlich das eigentliche Linkziel, weil das vollst\u00e4ndige Ziel der Adresse im SMS-Format nicht angezeigt wird.<\/p>\n Mitarbeiter von Versicherungen erhalten Smishing-Nachrichten auf privaten und dienstlichen Mobiltelefonen, die au\u00dferhalb der zentralen E-Mail-Filterung der Unternehmens-IT liegen. Eine SMS, die eine dringende Best\u00e4tigung der Zwei-Faktor-Anmeldung f\u00fcr das Kundenportal vort\u00e4uscht, kann so ungepr\u00fcft bei einem Mitarbeiter der Kundenbetreuung ankommen und Zugangsdaten zu Systemen mit Policen- und Auszahlungsdaten entlocken<\/strong>. Weil ein Mobiltelefon privat und beruflich zugleich genutzt wird, verwischt sich die Grenze zwischen privatem Risiko und Unternehmensrisiko. Eine R\u00fcckfrage \u00fcber den offiziellen App-Kanal des Versicherers statt \u00fcber den in der SMS enthaltenen Link senkt das Risiko einer gef\u00e4lschten Weiterleitung.<\/p>\n Eine Smishing-Nachricht besteht aus zwei Zeilen und einem Link<\/strong>, und genau diese K\u00fcrze ist der Angriff: F\u00fcr Kontext, Absenderpr\u00fcfung und R\u00fcckfrage bleibt im Format kein Platz. Der Absender erscheint als Name statt als Nummer, sofern die versendende Plattform eine frei w\u00e4hlbare Kennung zul\u00e4sst, und reiht sich damit in bestehende Nachrichtenverl\u00e4ufe ein.<\/p>\n Der Link f\u00fchrt zu einer nachgebauten Seite, die auf dem Telefon ohne die Pr\u00fcfm\u00f6glichkeiten des Arbeitsplatzrechners ge\u00f6ffnet wird. Bei einem privaten Ger\u00e4t greifen Unternehmensfilter nicht, und die verk\u00fcrzte Adressanzeige verbirgt Tippfehlerdomains. Manche Kampagnen verzichten sogar auf den Link und nennen eine R\u00fcckrufnummer, wodurch aus der Kurznachricht ein Telefonangriff wird<\/strong> und der Empf\u00e4nger den Kontakt selbst herstellt. F\u00fcr Versicherer ist die Masche dort relevant, wo Kunden Kurznachrichten erwarten: Terminerinnerungen, Statusmeldungen zum Schadenfall oder Hinweise auf eine Beitragsanpassung schaffen den Rahmen, in den sich eine gef\u00e4lschte Nachricht unauff\u00e4llig einf\u00fcgt. Kunden vergleichen solche Nachrichten selten mit dem Portal, weshalb die F\u00e4lschung dort l\u00e4nger unbemerkt bleibt.<\/p>\nWie funktioniert Smishing?<\/h2>\n
Smishing vs. Phishing-Mail<\/h2>\n