Paket-SMS, Fake-Shops und Zahlungsarten: Sicher einkaufen zu Black Friday und Weihnachten

Ab Ende November steigt die Zahl der Bestellungen, Lieferungen und Werbemails stark an – und mit ihr die Zahl der Betrugsversuche, die genau diese Situation ausnutzen. Wer gerade mehrere Pakete erwartet, rechnet mit Nachrichten von Paketdiensten. Wer nach Angeboten sucht, klickt eher auf einen Rabattlink. Betrüger wissen das und passen ihre Nachrichten dem Kalender an.

Dieser Ratgeber betrachtet die Weihnachtszeit aus Sicht der IT-Sicherheit. Er nennt keine konkreten Angebote, Preise oder Shops. Er erklärt stattdessen, wie gefälschte Paketnachrichten aufgebaut sind, wie Sie Black-Friday-Werbung nüchtern einordnen, welche Eigenschaften verschiedener Zahlungsarten für Ihre Sicherheit eine Rolle spielen und was Sie tun, wenn doch einmal etwas schiefgeht. Die Hinweise folgen den allgemein bekannten Empfehlungen des Bundesamts für Sicherheit in der Informationstechnik (BSI) und der Verbraucherzentralen; aktuelle Warnungen und Detailregeln finden Sie dort, denn die Maschen ändern sich laufend.

Das Wichtigste vorab

• Links in unerwarteten SMS und Mails nicht antippen – Sendungen und Angebote lieber über die selbst geöffnete App oder Webseite prüfen.
• Ein bekannter Absendername beweist nichts, denn Absender lassen sich fälschen.
• Zeitdruck („Sendung wird zurückgeschickt“, „Angebot endet gleich“) ist ein Gestaltungsmittel, keine Information.
• Zahlungsdaten gehören nur auf die Seite des Zahlungsdienstes oder des Shops, den Sie selbst aufgerufen haben.
• Eine Zahlungsart mit Rückholmöglichkeit ist bei unbekannten Händlern die vorsichtigere Wahl.

Paket-Phishing: So sind die Nachrichten aufgebaut

Phishing per SMS wird auch Smishing genannt. In der Vorweihnachtszeit begegnet es Ihnen häufig als Nachricht eines vermeintlichen Paketdienstes. Ziel ist fast immer eines von drei Dingen: Sie sollen Zugangsdaten eingeben, Zahlungsdaten preisgeben oder eine Schad-App installieren. Der grobe Ablauf ist gut zu erkennen, wenn man ihn einmal kennt.

1. Der Anlass: Eine Sendung könne nicht zugestellt werden, die Adresse sei unvollständig, es fehle eine Zollinformation oder eine Gebühr sei offen. Das Paket gibt es oft gar nicht – die Nachricht kommt an Tausende Nummern gleichzeitig.
2. Der Link: Die Adresse sieht dem Namen eines Paketdienstes ähnlich oder ist ein verkürzter Link. Dahinter liegt eine nachgebaute Seite, die Eingaben mitliest.
3. Die Eingabe: Abgefragt werden Name, Anschrift, Telefonnummer und häufig Kartendaten für eine „kleine Gebühr“. In einem zweiten Schritt folgt manchmal eine Bestätigung per Code oder App-Freigabe – dann wird mit Ihren Daten tatsächlich etwas bezahlt oder freigeschaltet.
4. Die Folge: Zahlungsdaten werden missbraucht, Konten übernommen oder weitere gezielte Nachrichten verschickt, weil Ihre Nummer als „aktiv“ markiert ist.

Nachrichten, die nach Name und Anschrift fragen, sind besonders verdächtig, wenn sie Ihren Namen gar nicht nennen oder die Bestellung nicht benennen. Seriöse Händler sprechen von einer konkreten Bestellung, die Sie kennen. Und doch gilt: Auch eine Nachricht, die zufällig zu einem erwarteten Paket passt, kann gefälscht sein. Der verlässlichste Weg ist daher, nie dem Link zu folgen, sondern den Sendungsstatus selbst abzurufen.

Prüfliste für verdächtige Nachrichten

• Erwarten Sie überhaupt eine Sendung? Wenn nicht, ist die Nachricht fast sicher unbegründet. Wenn doch, prüfen Sie den Status in der App des Händlers.
• Kommt die Nachricht mit Dringlichkeit? Fristen von wenigen Stunden, Drohungen mit Rücksendung oder Mahngebühren sind ein Warnsignal.
• Ist der Link seltsam? Verkürzte Links, Zahlendreher, ungewöhnliche Endungen oder zusätzliche Wörter in der Adresse sprechen gegen eine echte Quelle. Markennamen vor einem Bindestrich sagen nichts über den Betreiber.
• Werden Zahlungsdaten für eine Kleinigkeit verlangt? Ein kleiner Betrag soll vor allem Kartendaten einsammeln.
• Fordert die Nachricht eine App-Installation? Apps für Pakete laden Sie nur aus dem offiziellen Store und nur, wenn Sie sie selbst gesucht haben.

Auch ein Anruf kann Teil der Masche sein: Nach der SMS meldet sich jemand telefonisch als „Mitarbeiter“, um beim „Problem“ zu helfen. Geben Sie am Telefon keine Codes weiter, die Sie per SMS oder App erhalten haben. Mehr zu den psychologischen Mustern dahinter erklärt der Beitrag Social-Engineering-Schutz.

Was tun, wenn Sie schon geklickt haben?

Ein Tipp auf den Link ist nicht automatisch ein Schaden. Entscheidend ist, was danach geschah.

Die ausführliche Schrittfolge samt Beweissicherung und Anzeige steht im Ratgeber Fake-Shop prüfen: Technik-Check und Notfallplan. Eine Erinnerung am Rande: Wer ein Gerät nach einem Fehlklick zurücksetzt, sollte vorher wissen, ob ein aktuelles Backup besteht. Wie Sie das einrichten, beschreibt die Backup-Strategie.

Black Friday: Angebote einordnen statt anklicken

Aktionstage wie Black Friday und Cyber Monday ziehen seriöse Angebote an – und Nachahmer. Aus Sicherheitssicht gibt es zwei Fragen: Kommt das Angebot aus einer Quelle, die ich selbst gewählt habe? Und lässt sich der Händler überprüfen?

• Selbst einsteigen: Rufen Sie Shops über die Ihnen bekannte Adresse oder ein Lesezeichen auf. Werbung in Nachrichten, sozialen Netzwerken oder Suchanzeigen ist nicht grundsätzlich schlecht, aber sie ist der häufigste Einstieg in nachgebaute Shops.
• Streichpreise lesen lernen: Ein durchgestrichener Preis sagt nichts darüber, ob er jemals verlangt wurde. Preisverläufe und Vergleichsportale helfen dabei, Angebote selbst einzuordnen. Entscheidend ist der Endpreis inklusive Versand.
• Unrealistische Preise: Neue Markenware zu einem Bruchteil des üblichen Preises, nur mit Vorkasse, ist ein bekanntes Warnsignal.
• Impressum und Kontakt: Ein gewerblicher Shop nennt Name, Anschrift und Kontaktmöglichkeit. Fehlt das oder wirkt es kopiert, verzichten Sie auf den Kauf.
• Countdown und Knappheitsanzeigen: Zähler und „nur noch wenige verfügbar“ sind Gestaltungselemente. Lassen Sie sich nicht zu einer Eingabe drängen.
• Unbekannte Shops prüfen: Die Verbraucherzentralen bieten einen Fakeshop-Finder, dessen Ampel allerdings nur ein erster Hinweis ist. Eine grüne Ampel ist keine Garantie.

Mehr Hintergründe liefert der Beitrag Phishing erkennen 2026, der auch erklärt, warum sprachlich saubere Texte heute kein Qualitätsmerkmal mehr sind, sowie KI-Angriffe auf Privatnutzer.

Zahlungsarten: Was für Ihre Sicherheit zählt

Welche Zahlungsart passt, hängt vom Händler und von Ihnen ab. Aus Sicherheitssicht lohnt es, vier Eigenschaften zu vergleichen: Rückholbarkeit, Käuferschutz, Datenweitergabe und Ihre Kontrolle über den Zahlungszeitpunkt. Konkrete Fristen, Beträge und Bedingungen unterscheiden sich je Anbieter und stehen in den jeweiligen Vertragsbedingungen; wir nennen sie hier bewusst nicht.

Allgemein gilt: Prüfen Sie Zahlungsfreigaben immer inhaltlich. Wenn Ihre Banking-App oder ein Zahlungsdienst eine Freigabe verlangt, die Sie gerade nicht ausgelöst haben, lehnen Sie sie ab und informieren die Bank. Besonders aufmerksam sollten Sie sein, wenn jemand Sie telefonisch oder per Nachricht zu einer Freigabe drängt. Details zum Banking-Alltag finden Sie unter Online-Banking sicher nutzen.

Konten und Geräte vor der Einkaufssaison absichern

Wer vor dem Black-Friday-Wochenende ein paar Einstellungen prüft, spart sich später Ärger. Die folgenden Schritte kosten wenig Zeit:

• Zwei-Faktor-Authentifizierung bei E-Mail, Shopkonten und Zahlungsdiensten einschalten. Eine Anleitung steht unter Zwei-Faktor-Authentifizierung einrichten.
• Eigenes Passwort pro Shop: Ein Passwort-Manager erstellt und füllt sie aus – und füllt auf Fälschungen nicht aus, weil die Adresse nicht passt. Einordnung: Passwort-Manager im Überblick und für Einsteiger.
• Systemupdates für Smartphone, Computer und Browser installieren; automatische Updates sind sinnvoll.
• Benachrichtigungen der Bank bei Kartenzahlungen aktivieren, damit unbekannte Abbuchungen schnell auffallen.
• Unterwegs im Café oder Hotel beim Bezahlen kein offenes WLAN nutzen oder zusätzlich ein VPN verwenden. Hintergründe: VPN im öffentlichen WLAN.
• E-Mail-Postfach sichern, denn darüber laufen Passwort-Rücksetzungen: E-Mail-Sicherheit.
• Identität im Blick behalten: Wer Daten an unbekannte Shops weitergegeben hat, findet Orientierung bei Schutz vor Identitätsdiebstahl.

Ein Wort zu Schutzprogrammen: Sicherheitssoftware kann zusätzliche Warnungen vor gefährlichen Seiten und Dateien liefern, ersetzt aber nicht Ihre eigene Aufmerksamkeit. Wer ein Programm dazunehmen möchte, findet den Überblick unter Antivirus-Software im Überblick. Passwörter verwalten Sie zum Beispiel mit Bitwarden oder 1Password (Partnerlinks, Anzeige); als Ergänzung zum Virenschutz bietet Malwarebytes einen Scanner (Partnerlink, Anzeige). Kein Programm schützt zuverlässig, wenn Sie Zugangsdaten selbst auf einer gefälschten Seite eingeben.

Pakete und Lieferungen im Alltag richtig prüfen

Neben SMS gibt es weitere Wege, auf denen gefälschte Lieferinformationen Sie erreichen: E-Mails mit Rechnungsanhang, Benachrichtigungskarten im Briefkasten mit einem QR-Code, Anrufe von angeblichen Zustellern. Das Prinzip bleibt gleich. Prüfen Sie über einen Weg, den Sie selbst gewählt haben:

• Bestellung im Kundenkonto des Händlers öffnen und dort den Sendungsstatus ansehen.
• Den Paketdienst über seine bekannte App oder Webseite aufrufen und die Sendungsnummer dort eingeben, die in Ihrer Bestellbestätigung steht.
• Bei Benachrichtigungskarten mit QR-Codes: Code nicht blind scannen. Rufen Sie stattdessen die Adresse des Dienstes selbst auf.
• Anhänge von Rechnungen und Mahnungen, die Sie nicht erwarten, nicht öffnen.

Wer Geschenke bestellt und an andere liefern lässt, bekommt unter Umständen Nachrichten zu Sendungen, die er nicht kennt. Klären Sie in der Familie, wer was bestellt hat, und sprechen Sie ältere Verwandte aktiv an: Gerade Menschen, die selten online einkaufen, erhalten besonders überzeugend wirkende Nachrichten. Vereinbaren Sie eine einfache Regel: Bei Unsicherheit erst fragen, dann klicken.

Melden und Hilfe finden

Verdächtige Nachrichten und Shops zu melden hilft auch anderen. Verbraucherzentralen und das BSI veröffentlichen aktuelle Warnungen und erklären, wie und wo Sie Betrugsversuche melden können. Bei finanziellem Schaden gehört eine Anzeige bei der Polizei dazu; viele Landespolizeien bieten eine Online-Wache an. Sichern Sie vorher Beweise: Screenshots der Nachricht, den Link (nicht öffnen, sondern nur festhalten), Bestellbestätigung und Zahlungsbelege. Rechtliche Fragen im Einzelfall – etwa zu Rückforderungen – klären Sie mit der Verbraucherzentrale oder einer Rechtsberatung; dieser Ratgeber ersetzt sie nicht.

Affiliate-Hinweis: Einige Links in diesem Artikel sind Partnerlinks (als Anzeige gekennzeichnet). Wir erhalten eine Provision bei Abschluss über unsere Links — ohne Mehrkosten für Sie.