DHL-Betrugsmasche: gefälschte Paket-SMS erkennen

Eine SMS mit dem Absender „DHL", eine angebliche Zollgebühr von 1,99 Euro und ein verkürzter Link - auf keinen Fall bezahlen. Die richtige Reaktion ist: Screenshot machen, SMS löschen, Absender melden.

Der Betrag ist nicht das eigentliche Ziel. Zahlungsdaten sind das Ziel - wer auf die gefälschte Zahlungsseite klickt, gibt Kreditkarten- oder Bankdaten ein, und darum geht es den Tätern. Die 1 bis 3 Euro sind Ablenkung.

Woran Sie eine gefälschte SMS in Sekunden erkennen, an welche fünf Stellen Sie melden können und was nach einem Klick konkret zu tun ist - das steht hier, ohne Umschweife.

Auf einen Blick

• Echte DHL-SMS fordern nie zur Zahlung auf und enthalten nie verkürzte Links wie bit.ly
• Der Betrag ist Ablenkung - das Ziel sind Ihre Zahlungsdaten, nicht die 1-3 Euro
• SMS nicht anklicken, sondern Screenshot machen und weiterleiten - an [email protected] sowie [email protected]
• Haben Sie gezahlt, gilt: sofort Bank anrufen - Sperr-Notruf 116 116, kostenlos, rund um die Uhr
• Bei Betrug gilt für unautorisierte SEPA-Abbuchungen § 675u BGB - Rügefrist bis zu 13 Monate (§ 676b BGB); innerhalb von 8 Wochen auch Rückbuchung nach § 675x Abs. 4 BGB möglich

Die folgenden Abschnitte erklären, wie Sie die Masche sicher erkennen, wo Sie sie melden und was nach einem Klick zu tun ist.

Smishing ist in Deutschland auf dem Vormarsch: allein bei der Bundesnetzagentur gingen 2025 über 85.000 Beschwerden zu Rufnummernmissbrauch ein.

Was hinter der DHL-Betrugsmasche steckt

Smishing - SMS-Phishing - ist keine dilettantische Nebenverdienst-Masche, sondern professionell organisierter Massenbetrug. Die Nachrichten klingen nüchtern und bürokratisch: „Ihr Paket wartet auf die Lieferung - bestätigen Sie Ihre Adresse" oder „Zollgebühren ausstehend - bitte zahlen Sie jetzt". Laut Verbraucherzentrale NRW (Stand Oktober 2025) sind angebliche Zollgebühren von 0,99 bis 3,99 Euro und Adressbestätigungen die häufigsten Köder.

Die Logik dahinter ist simpel und deshalb so wirkungsvoll: Ein kleiner Betrag klingt plausibel, löst keinen Alarm aus und lässt sich schnell bezahlen. Kreditkartendaten sind das Ziel - was die Täter wollen, gibt das Opfer auf der täuschend echten Nachahmerseite selbst ein. Ich halte diese Masche für eine der wirkungsvollsten, weil sie genau auf den Moment zielt, in dem man ohnehin ein Paket erwartet.

Was nach dem Klick passiert, hängt vom Betriebssystem ab. Auf Android-Geräten wird in der Regel eine gefälschte App angeboten, die sich als DHL-Tracking-Tool tarnt. Die App liest Kontakte aus und verschickt weitere Phishing-SMS an alle gespeicherten Nummern - die Masche verbreitet sich selbst. Bekannte Schadsoftware-Familien aus dieser Zeit (Stand 2021, laut BSI) sind MoqHao, FluBot und TeaBot; das Feld hat sich seitdem weiterentwickelt.

iOS-Nutzer landen laut BSI typischerweise auf Werbe- oder Phishing-Seiten, ohne App-Installation. Eine weitere Variante nutzte angebliche Voicemail-Benachrichtigungen, die zu gefälschten Sicherheits-Updates als App-Downloads führten. Es gibt außerdem eine physische Variante: Gefälschte Einwurfzettel im Briefkasten, die auf betrügerische Seiten führen - DHL warnt auf der eigenen Sicherheitsseite ausdrücklich davor.

So erkennen Sie eine echte DHL-SMS

DHL verschickt tatsächlich SMS - zum Beispiel Zustellbenachrichtigungen. Der Unterschied liegt nicht im Kanal, sondern im Inhalt. Blick auf den Link reicht meistens: Enthält er bit.ly, t.co, tinyurl oder eine andere fremde Domain, ist die SMS ein Fake - ohne weitere Prüfung.

Der schnellste Check ist der Link. Laut den DHL-Sicherheitshinweisen nutzt DHL ausschließlich offizielle DHL-Domains wie dhl.com, dpdhl.com oder dhl.de - und niemals verkürzte URLs. Sehen Sie einen bit.ly-Link, können Sie löschen, ohne weiterzulesen.

Drei Irrtümer, die ich immer wieder höre, sind alle drei gefährlich falsch:

• „DHL schickt nie SMS" - das stimmt nicht. DHL verschickt echte Zustellbenachrichtigungen. Der entscheidende Punkt ist, was drinsteht, nicht der Kanal.
• „Ich falle nicht drauf rein, weil ich kein Paket erwarte" - die Maschen kommen auch dann, wenn gar nichts unterwegs ist.
• „Die 1-3 Euro kann ich einfach zahlen, um Ruhe zu haben" - das ist die Falle. Wer zahlt, übergibt seine Zahlungsdaten.

Die Tabelle oben zeigt die wichtigsten Merkmale im direkten Vergleich - ein Blick genügt für die Entscheidung, ob eine SMS echt oder gefälscht ist.

Eine Masche lässt sich schwerer erkennen: Nachrichten, die keine Zahlung fordern, sondern nur zur „Adressbestätigung" aufrufen. Auch das ist Datenbetrug - das Ziel sind Ihre persönlichen Daten, nicht Geld.

Wohin melden - fünf Adressen

Es gibt fünf Stellen, an die eine gefälschte DHL-SMS gemeldet werden sollte - und jede hat eine andere Funktion. Wer nur an eine meldet, verschenkt behördliche Wirkung.

• DHL selbst - [email protected]: Screenshot einsenden, fertig. DHL dokumentiert intern und gibt bei gehäuften Maschen Warnungen heraus.
• Verbraucherzentrale NRW - [email protected]: Wichtig: die Adresse endet auf .nrw, nicht auf .de. Die Verbraucherzentrale betreibt den Phishing-Radar und wertet eingesendete Nachrichten aus, um öffentliche Warnungen zu veröffentlichen. Eine individuelle Antwort erfolgt wegen des Volumens nicht.
• BSI - 0800 274 1000 (kostenlos) oder [email protected]: Das Bundesamt für Sicherheit in der Informationstechnik nimmt Hinweise entgegen und gibt Empfehlungen - es ist aber keine Strafverfolgungsbehörde.
• Bundesnetzagentur - [email protected]: Die Behörde ist zuständig für Rufnummernmissbrauch und kann Nummern abschalten sowie Inkassierungsverbote erlassen - Bußgelder für SMS-Spam kann sie dagegen nicht verhängen, weil die gesetzliche Grundlage dafür fehlt. Meldung per E-Mail oder über die Beschwerde-Seite der BNetzA. Im Jahr 2025 bearbeitete die Behörde laut eigener Pressemitteilung (Februar 2026) 85.158 Beschwerden - rund 6.200 Nummern wurden abgeschaltet, über 2.000 Inkassierungsverbote erteilt.
• Polizei - portal.onlinewache.polizei.de: Das Portal leitet an die zuständige Landes-Onlinewache weiter - es ist keine bundesweite Anzeigestelle. Die Seite weist ausdrücklich darauf hin, dass die Onlinewache nicht für Notfälle geeignet ist; in Notfällen gilt die 110. Eine Anzeige lohnt sich trotzdem: Behörden sind auf Meldungen angewiesen, um Muster zu erkennen. Die Strafverfolgungswahrscheinlichkeit im Einzelfall ist gering, aber jede Anzeige trägt zur Datenlage bei.

Je mehr Stellen eine Meldung erhalten, desto schneller können Nummern gesperrt werden. Fünf Minuten Aufwand schützen dabei auch alle anderen, die diese Nummer noch erhalten würden.

Was tun, wenn Sie schon geklickt oder gezahlt haben

Die Reihenfolge der Schritte ist entscheidend. Zeit ist hier knapp - besonders wenn auf einem Android-Gerät eine App installiert wurde, die die Kontaktliste ausliest und Phishing-SMS an Ihre gespeicherten Kontakte verschickt.

1. Flugmodus aktivieren - sofort, wenn eine App installiert wurde. Das unterbricht die Verbindung und verhindert, dass Schadsoftware weitere SMS an Ihre gespeicherten Kontakte schickt. Beweise sichern (Screenshot), bevor das Gerät bereinigt wird.
2. Bank anrufen und Karte oder Konto sperren - Sperr-Notruf 116 116, kostenlos, rund um die Uhr. Nicht per E-Mail, nicht über das Online-Banking-Formular - Telefon. Zeit zählt hier.
3. Passwörter ändern - alle Konten, für die dieselbe E-Mail-Adresse oder dasselbe Passwort verwendet wird. Wer ein Passwort auf mehreren Diensten nutzt, ist besonders gefährdet.
4. Kontoauszüge prüfen - auch auf kleine Beträge achten. Täter testen Karten manchmal mit Kleinstbeträgen, bevor größere Abbuchungen folgen.
5. Gerät prüfen und ggf. zurücksetzen - bei Android: Antivirenscan, danach gegebenenfalls Werksreset nach vorheriger Datensicherung. Beweise zuerst sichern.
6. Strafanzeige erstatten - online über das Polizei-Onlinewachen-Portal oder vor Ort beim nächsten Revier.

Wer per SEPA-Lastschrift gezahlt hat, kann innerhalb von acht Wochen die Rückbuchung verlangen - kostenlos und ohne Angabe von Gründen (§ 675x Abs. 4 BGB). Da es sich bei Phishing um eine nicht autorisierte Zahlung handelt, gilt zusätzlich § 675u BGB - die Rügefrist beträgt bis zu 13 Monate ab Belastung (§ 676b BGB). Die Bank muss innerhalb von zehn Geschäftstagen nach Eingang des Verlangens reagieren. Rufen Sie die Bank an und beziehen Sie sich ausdrücklich auf dieses Recht.

Im Phishing-Kontext kann die Rechtslage komplex sein, weil das Opfer unter Täuschung Daten eingegeben hat. Bank kontaktieren, Rechtsberatung suchen - das ist die verlässlichere Reihenfolge als eigenständige Rechtsdeutung. Bei Kreditkartenzahlung gilt die 8-Wochen-Frist nicht - dort verläuft die Rückbuchung über das Chargeback-Verfahren des Kartenausstellers.

Übrigens: Der wichtigste dieser sechs Schritte ist der erste. Wer fünf Minuten zögert, bevor er den Flugmodus aktiviert, gibt der Schadsoftware Zeit, sich durch die Kontaktliste zu fressen.

Fazit: Drei Sekunden reichen zur Erkennung - wenn man weiß, worauf man schaut

Die DHL-Betrugsmasche ist professionell aufgemacht - aber das Erkennungsmerkmal ist primitiv. bit.ly in DHL-SMS bedeutet Fake - so zuverlässig wie eine Zollgebühren-Forderung per Kurznachricht. DHL nutzt verkürzte URLs nicht, fordert nie per SMS zur Zahlung auf und fragt nie nach Kreditkartendaten. Wer das einmal verinnerlicht hat, braucht keine drei Sekunden.

Was mich an dieser Masche beschäftigt: Die Täter setzen auf Masse und darauf, dass viele Opfer bei zwei Euro keine Strafanzeige erstatten. Melden lohnt sich trotzdem - nicht aus Erfolgserwartung im Einzelfall, sondern weil Bundesnetzagentur und Polizei auf Meldungen angewiesen sind, um Muster zu erkennen und Nummern abzuschalten.

Die echte Sendungsverfolgung für DHL-Pakete rufen Sie direkt auf dhl.de auf - ohne Umweg, ohne Zahlung, ohne SMS-Link.

Fragen und Antworten

Hier finden Sie Antworten auf die häufigsten Fragen zur DHL-Betrugsmasche per SMS.

Wie erkenne ich eine gefälschte DHL-SMS auf den ersten Blick?

Schauen Sie auf den Link: Echte DHL-SMS enthalten ausschließlich Links auf dhl.com, dpdhl.com oder dhl.de - niemals bit.ly oder andere verkürzte URLs. Zahlungsaufforderung bedeutet Betrug - DHL fordert per SMS nie zur Zahlung auf. Mehr dazu lesen Sie im Abschnitt "So erkennen Sie eine echte DHL-SMS".

Ich habe auf den Link geklickt, aber nichts eingegeben - was jetzt?

Wenn Sie keine Daten eingegeben und keine App installiert haben, ist das Risiko gering - löschen Sie die SMS, leiten Sie einen Screenshot an [email protected] und [email protected] weiter und prüfen Sie auf Android kurz, ob unter „Apps" kürzlich eine unbekannte App aufgetaucht ist. Alle weiteren Schritte stehen im Abschnitt "Was tun, wenn Sie schon geklickt oder gezahlt haben".

Kann ich das Geld zurückbekommen, wenn ich gezahlt habe?

Bei nicht autorisierter Abbuchung durch Betrug gilt § 675u BGB - Rügefrist bis zu 13 Monate (§ 676b BGB). Innerhalb von acht Wochen ab Kontobelastung ist auch die einfachere Rückbuchung nach § 675x Abs. 4 BGB ohne Begründung möglich. Rufen Sie sofort Ihre Bank an.

Bei Kreditkartenzahlung wenden Sie sich an den Kartenaussteller für ein Chargeback-Verfahren; die Acht-Wochen-Frist gilt dort nicht. Die Rechtslage im Phishing-Kontext kann komplex sein - im Zweifel Rechtsberatung suchen. Alle Sofortmaßnahmen stehen im Abschnitt "Was tun, wenn Sie schon geklickt oder gezahlt haben".