Smishing ist Phishing per SMS oder Messenger: Kurznachrichten mit Links zu gefälschten Anmeldeseiten oder Zahlungsaufforderungen, oft getarnt als Paketdienst, Bank oder Behörde.
Smishing ist Phishing über SMS und zunehmend über Messenger wie WhatsApp, Signal oder iMessage. Der Name verbindet „SMS“ und „Phishing“. Die Nachricht ist kurz, kommt von einer unbekannten Nummer oder einem gefälschten Absendernamen und enthält einen Link oder eine Handlungsaufforderung: „Ihr Paket konnte nicht zugestellt werden“, „Ihre Zugangsdaten laufen ab“, „Bitte bestätigen Sie die Anmeldung“. Das Ziel ist dasselbe wie bei E-Mail-Phishing – Zugangsdaten, MFA-Codes oder die Installation einer schädlichen App.
Smishing trifft Unternehmen über das Mobiltelefon, also genau das Gerät, auf dem die meisten Sicherheitskontrollen des Unternehmens nicht greifen. Der Mail-Filter sieht die SMS nicht, der Link wird im mobilen Browser geöffnet, und die Anzeige verkürzter URLs macht eine Prüfung schwer. MITRE ATT&CK ordnet die Technik dem Phishing (T1566) zu und führt sie für Mobilgeräte zusätzlich in der eigenen Mobile-Matrix.
So funktioniert es
Im Unternehmenskontext sind vor allem drei Szenarien relevant:
- Gefälschte IT-Nachricht: „Ihr Unternehmenskonto wurde von einem neuen Gerät verwendet. Bestätigen Sie hier Ihre Identität.“ Der Link führt auf eine Kopie der Microsoft-365- oder VPN-Anmeldeseite. Eingegebene Zugangsdaten und Einmalcodes werden in Echtzeit an den echten Dienst weitergereicht.
- Vorgesetzten-Masche: Eine Nachricht angeblich vom Geschäftsführer („Bin im Meeting, brauche dringend deine Hilfe, schreib mir hier zurück“) eröffnet einen Dialog, der in Gutscheinkäufe oder Zahlungsanweisungen mündet – ein Einstieg in Business E-Mail Compromise.
- Kombination mit Anruf: Die SMS kündigt einen Anruf der „Sicherheitsabteilung“ an; das anschließende Vishing wirkt dadurch erwartet und legitim.
Die Nummern der Zielpersonen stammen aus Datenlecks, aus Signaturen, von Webseiten oder aus Karriereprofilen. Angreifer nutzen SMS-Gateways und wechselnde Nummern, weshalb das Blockieren einzelner Absender kaum hilft.
Bedeutung für Unternehmen
Viele Unternehmen haben ihre E-Mail-Sicherheit über Jahre ausgebaut, während das Smartphone als Kommunikationskanal kaum abgesichert ist. Privat genutzte Geräte mit Zugriff auf Firmenpostfach und Authenticator-App (Shadow IT im weiteren Sinn) sind dabei besonders exponiert. Der typische Fehler: Awareness-Programme üben ausschließlich mit E-Mails, und MFA stützt sich auf SMS-Codes – also auf den Kanal, über den auch der Angriff kommt.
In unseren Social-Engineering-Einsätzen setzen wir Smishing gezielt ein, wenn der E-Mail-Kanal gut geschützt ist. Die Ergebnisse zeigen regelmäßig, dass die Klick- und Eingaberaten auf dem Mobiltelefon höher liegen als bei E-Mail – weil Nachrichten dort schneller und mit weniger Aufmerksamkeit gelesen werden.
Schutz und Prüfung
- Keine SMS als zweiter Faktor: Umstellung auf FIDO2/Passkeys oder zumindest App-basierte MFA mit Number Matching.
- Mobile Device Management: Firmen-Apps nur in verwalteten Profilen, Web-Filterung auch im mobilen Browser, Trennung von privaten und dienstlichen Daten.
- Klare Kommunikationsregeln: Die IT fordert nie per SMS zur Anmeldung auf; Vorgesetzte bitten nicht per Messenger um Zahlungen. Solche Regeln müssen bekannt und schriftlich sein.
- Meldeweg für mobile Nachrichten: Ein einfacher Weg, verdächtige SMS an die IT weiterzuleiten, etwa eine zentrale Adresse oder ein Chat-Kanal.
- Mobile Kanäle in Simulationen aufnehmen: Eine Phishing-Simulation sollte SMS und Messenger einbeziehen – mit Betriebsrat und Datenschutz abgestimmt, da private Nummern betroffen sein können.