Paket-SMS: die Masche hinter der Zustellgebühr

„Ihre Sendung konnte nicht zugestellt werden. Bitte bestätigen Sie Ihre Adresse und zahlen Sie 1,99 Euro.“ Solche Nachrichten kennen inzwischen viele. Trotzdem funktionieren sie weiter, und das hat einen nachvollziehbaren Grund: In vielen Haushalten ist fast immer irgendein Paket unterwegs.

Dieser Artikel erklärt, wie die Masche aufgebaut ist, woran Sie sie in wenigen Sekunden erkennen und was Sie tun, wenn Sie schon auf den Link getippt haben. Es geht nicht darum, jede SMS zu fürchten. Es geht um einen Prüfweg, der immer gleich ist.

Wie die Masche aufgebaut ist

Die Nachrichten kommen per SMS, über Messenger oder als Mail. Sie tragen den Namen eines Paketdienstes und eine Sendungsnummer, die echt aussieht. Der Anlass ist immer eine kleine Störung: Zustellung gescheitert, Adresse unvollständig, Zollgebühr offen, Paket wird zurückgeschickt.

Ende Juli 2026 hat Watchlist Internet zum Beispiel vor Mails im Namen der Österreichischen Post gewarnt. Betreff: „Paket wartet auf Anweisungen“. Das Paket werde im Verteilzentrum zurückgehalten, weil eine Zollgebühr von 1,99 Euro offen sei, zu zahlen bis zu einem bestimmten Datum. Der Link führte auf eine nachgebaute Seite, die Kartendaten oder Bankdaten abfragte.

Das Muster ist bei allen Paketdiensten dasselbe, nur Logo und Farbe wechseln.

Worum es wirklich geht

Der kleine Betrag ist nicht das Ziel. Er senkt nur die Hemmschwelle: Bei 1,99 Euro rechnet kaum jemand nach. Was danach folgt, ist für die Täter wertvoll:

• Kartendaten. Mit ihnen lässt sich anderswo einkaufen.
• Eine Freigabe in der Bank-App. Nach der Eingabe der Kartendaten kommt oft die Aufforderung, „die Zahlung zu bestätigen“. Freigegeben wird dann aber ein höherer Betrag oder die Karte wird in einem fremden Handy hinterlegt.
• Ein Abo. Watchlist Internet beschreibt Fälle, in denen mit einer angeblichen Versandgebühr von einem Euro unbemerkt ein teures Abo abgeschlossen wird.
• Eine App. Auf Android-Handys kann der Link auch eine App herunterladen, die mitliest. Dazu muss man allerdings die Installation aus unbekannter Quelle erlauben, was das Handy ausdrücklich abfragt.

Ein wichtiger Punkt für später: Eine Kartenzahlung, die Sie selbst freigegeben haben, muss der Kartenanbieter nach Darstellung von Watchlist Internet nicht zurückerstatten. Deshalb lohnt sich die Prüfung vor dem Tippen.

Was der echte Paketdienst sagt

Die Österreichische Post schreibt auf ihrer Seite zu Gefahren im Internet, dass sie nie die Bankdaten von Empfängerinnen und Empfängern verlangt, um reguläre Pakete zuzustellen. Sie rät, Links in verdächtigen Mails und SMS nicht anzuklicken und auf verlinkten Seiten keine Daten einzugeben. Laut Konsument.at werden Nachnahme oder Zollabgaben bei der Zustellung oder bei der Abholung eingehoben, nicht vorab über einen Link.

Andere Paketdienste formulieren es ähnlich. Wenn Sie unsicher sind, lesen Sie die Hinweise direkt auf der Seite des Dienstes, die Sie selbst aufrufen.

Drei Spuren, die Sie in 30 Sekunden prüfen

1. Die Adresse im Link. Lesen Sie den Teil der Adresse vor dem ersten einzelnen Schrägstrich. Gehört er dem Paketdienst, oder steht da etwas wie „-zustellung“, „-paket-info“ oder eine fremde Endung? Bei Mails schauen Sie auf die Absenderadresse; Watchlist Internet weist darauf hin, dass echte Post-Mails auf @post.at enden. Der angezeigte Name allein beweist nichts, er lässt sich fälschen. Das gilt auch für den Absendernamen einer SMS.

2. Ein kleiner Betrag mit Frist. „Bis heute 23:59 Uhr“, „sonst geht die Sendung zurück“. Echte Gebühren werden bei der Zustellung fällig, nicht unter Zeitdruck per Link.

3. Ein Paket, das zu keiner Bestellung passt. Haben Sie gerade etwas bestellt? Steht diese Sendungsnummer in Ihrer Bestellbestätigung? Wenn nicht, gehört die Nachricht zu keinem Vorgang, den Sie selbst begonnen haben.

Wenn auch nur eine dieser Spuren zutrifft, öffnen Sie den Link nicht.

Der Prüfweg, der immer funktioniert

Es gibt eine einfache Regel, die bei jedem Paketdienst und jeder Geschichte passt: Prüfen Sie ein Paket dort, wo Sie es bestellt haben, nie über den Link in der Nachricht.

Konkret heißt das:

• Öffnen Sie die Bestellbestätigung des Händlers. Dort steht die Sendungsnummer und meist ein Link zur Sendungsverfolgung.
• Oder öffnen Sie die App des Paketdienstes, die Sie selbst aus dem Store installiert haben, und geben Sie die Nummer dort ein.
• Oder rufen Sie die Seite des Paketdienstes über ein eigenes Lesezeichen auf.

Steht dort nichts von einer offenen Gebühr, war die Nachricht nicht echt.

Wenn Sie schon getippt haben

Machen Sie sich keine Vorwürfe. Diese Nachrichten sind gemacht, um im Alltag durchzurutschen, und das gelingt auch bei aufmerksamen Menschen. Wichtig ist, was jetzt passiert.

Nur den Link geöffnet, nichts eingegeben: Laut Watchlist Internet ist dann in der Regel nichts weiter zu tun. Schließen Sie die Seite und löschen Sie die Nachricht.

Passwörter oder Anmeldedaten eingegeben: Ändern Sie diese Passwörter über die echte Seite oder App, und überall dort, wo Sie dasselbe Passwort verwenden.

Kartendaten oder Bankdaten eingegeben, oder etwas in der Bank-App bestätigt: Rufen Sie sofort Ihre Bank oder Ihren Kartenanbieter an und lassen Sie die Karte sperren. Die Nummer finden Sie in Ihrer Bank-App oder auf der Website der Bank, nicht in der verdächtigen Nachricht. Erstatten Sie danach Anzeige bei der Polizei.

Unter Android eine App installiert: Schalten Sie das Handy in den Flugmodus, rufen Sie von einem anderen Telefon Ihre Bank an und holen Sie Hilfe, um die App zu entfernen. Neuere Android-Versionen schützen hier etwas mit: Seit Android 16 blockiert das System zum Beispiel während eines Anrufs mit einer unbekannten Nummer das erstmalige Installieren einer App aus Browser oder Messenger. Verlassen sollten Sie sich darauf nicht.

Vorbeugen ohne großen Aufwand

Zwei Einstellungen nehmen einen Teil der Nachrichten aus dem Blickfeld. Unter Android gibt es in Google Messages einen Spamschutz, am iPhone lassen sich unbekannte Absender in einen eigenen Ordner filtern. Das ersetzt keine Prüfung, verringert aber die Zahl der Momente, in denen Sie prüfen müssen.

Und die wichtigste Vorbeugung ist eine Gewohnheit: Sendungen immer über denselben, eigenen Weg verfolgen. Wer das tut, braucht den Link in einer SMS nie.

Checkliste für die nächste Paket-SMS

• Gehört die Adresse im Link wirklich dem Paketdienst?
• Wird ein kleiner Betrag mit Frist verlangt?
• Passt die Sendungsnummer zu einer eigenen Bestellung?
• Habe ich die Sendung in der Bestellbestätigung oder in der eigenen App geprüft?
• Schon Daten eingegeben? Bank über die bekannte Nummer anrufen.

Selbst ausprobieren: In unserem Sicherheitsspiel schickt Ihnen ein Fuchs, der Trickser, Paket-SMS, falsche Rechnungen und Anrufe, und Sie suchen die drei Spuren, die er hinterlassen hat. Ein Fall dauert drei bis vier Minuten, das Spiel ist kostenlos und ohne Werbung. Jetzt spielen