Ein Paket konnte nicht zugestellt werden, die Adresse ist unvollständig, oder der Zoll verlangt eine kleine Gebühr. Solche Nachrichten kommen per SMS, Messenger oder E-Mail und enthalten fast immer einen Link. Wer ihn öffnet, landet auf einer nachgebauten Seite eines Paketdienstes, die Kartendaten abfragt oder eine App zum Installieren anbietet. In der Vorweihnachtszeit, wenn viele Menschen Pakete erwarten, wirkt die Nachricht besonders glaubwürdig.
Wie die Nachrichten aufgebaut sind
Die Verbraucherzentrale beschreibt das Grundmuster: eine kurze Nachricht über ein angebliches Zustellproblem und ein Link auf eine fremde Internetseite. Ein Beispiel aus ihrer Sammlung lautet: „Ihr paket wird heute zum Absender zuruckgesendet. Letzte Moglichkeit es abzuholen“. Fehlende Umlaute und ein künstlicher Zeitdruck sind typisch.
Die Absicht dahinter ist unterschiedlich. Laut Verbraucherzentrale wollen einige Absender schädliche Apps verbreiten, die Daten auslesen und weitere SMS verschicken. Andere zielen auf Zahlungsdaten. Watchlist Internet beschreibt, dass zuerst kleine Beträge für eine angebliche Gebühr verlangt werden und nach einiger Zeit höhere Abbuchungen folgen.
- Zustellproblem. Das Paket liege im Depot, werde zurückgeschickt oder brauche einen neuen Zustelltermin.
- Adresse bestätigen. Die Anschrift sei unvollständig und müsse über den Link ergänzt werden.
- Gebühr oder Zoll. Für die Zustellung fehle ein kleiner Betrag, oft als Zoll- oder Nachgebühr bezeichnet.
- App installieren. Zur Sendungsverfolgung solle eine App heruntergeladen werden. Das BSI zeigt eine gefälschte DHL-Seite, die die Installation einer betrügerischen Anwendung erklärt.
Was der Zoll verlangt
Steuerbescheide und Zahlungsaufforderungen verschickt der Zoll nicht per SMS, E-Mail, Messenger oder über soziale Medien. In einer Pressemitteilung schreibt der Zoll: „Der Zoll tritt niemals auf diese Art an Paketempfänger heran, schickt Links oder fordert sie zu Zahlungen auf.“ Zahlungen an den Zoll laufen laut Zoll ausschließlich per Überweisung auf ein inländisches Konto, nie über einen Prepaid-Zahlungsdienst.
Bei einer Bestellung aus einem Nicht-EU-Staat fallen Abgaben an. Diese zahlst du laut Zoll in der Regel bei der Zustellung an den Beförderer, also an den Paketdienst, der die Sendung bringt. Seit dem 1. Juli 2026 gilt dafür eine neue Regel. Das Bundesfinanzministerium schreibt, dass die bisherige Zollfreigrenze von 150 Euro entfallen ist. Stattdessen wird eine pauschale Zollabgabe von 3 Euro je Warenkategorie in einer Sendung erhoben, die Einfuhrumsatzsteuer bleibt.
Das hat eine Folge für dich: Wer im Ausland bestellt, bekommt häufiger einen echten Hinweis auf Abgaben. Die Fälschungen lehnen sich an solche Beträge an. Prüfe deshalb jede Gebührenforderung auf einem Weg, den du selbst wählst. Ob für deine Sendung Abgaben offen sind, erfährst du beim Paketdienst über dessen Website oder Kundendienst. Ruf beides selbst auf, über die Adresse aus deiner Bestellbestätigung oder über eine Suche nach dem Namen des Dienstes.
So prüfst du eine Paket-Nachricht
- Tipp den Link nicht an.
Auch ein kurzer Blick kann reichen, um auf einer Seite zu landen, die zur Installation einer App auffordert.
- Öffne die Seite des Paketdienstes selbst.
Die Verbraucherzentrale rät, die Internetseite des Paketdienstes im Browser aufzurufen und dort die Sendungsnummer einzugeben. Nimm dafür die Nummer aus deiner Bestellbestätigung.
- Frag beim Absender nach.
Der Shop, bei dem du bestellt hast, kann dir sagen, mit welchem Dienst und mit welcher Nummer das Paket unterwegs ist.
- Antworte nicht.
Laut Verbraucherzentrale zeigt jede Antwort, dass die Nummer aktiv genutzt wird. Lösch die Nachricht. Du kannst die Absendernummer sperren, die Nummern wechseln aber ständig.
Wenn du wissen willst, was hinter einer Domain steckt, kannst du sie in die Shop-Prüfung eingeben, ohne die Seite selbst zu öffnen. Die Prüfung ist für Online-Shops gebaut. Bei einer nachgebauten Paketseite zeigt sie dir, wie alt die Domain ist und ob sie auf einer Warnliste steht. Mehr zur Masche dahinter steht im Glossar unter Phishing.
Vorbeugen: zwei Einstellungen am Handy
Die Verbraucherzentrale empfiehlt eine Drittanbietersperre bei deinem Mobilfunkanbieter. Sie verhindert, dass Dritte Beträge über deine Handyrechnung abbuchen. Auf Android-Geräten solltest du außerdem die Installation von Apps aus unbekannten Quellen abschalten. In den Einstellungen findest du den Punkt über die Suche nach „unbekannt“, meist unter „Unbekannte Apps installieren“.
Auf iPhones sind laut Verbraucherzentrale nur Installationen aus dem App Store und aus anderen Stores möglich, die vorab geprüfte Apps anbieten. Gegen eine Seite, die Kartendaten abfragt, hilft das nicht. Dort schützt nur, die Daten nicht einzugeben.
Schon geklickt oder Daten eingegeben
Hast du einen Link geöffnet oder eine App installiert, empfiehlt das BSI diese Schritte:
- Flugmodus einschalten.
So unterbindest du weiteren SMS-Versand und die Kommunikation einer möglichen Schadsoftware.
- Mobilfunkanbieter informieren.
Lass dort auch eine Drittanbietersperre einrichten.
- Konto prüfen.
Sieh bei Bank und Zahlungsdiensten nach Abbuchungen, die du nicht beabsichtigt hast.
- Anzeige erstatten.
Das BSI rät, das Smartphone zur Beweissicherung zur Polizeidienststelle mitzunehmen. Die Online-Wache deines Bundeslands findest du unter Meldestellen.
- Gerät zurücksetzen.
Erst nach der Anzeige und nach einer Sicherung deiner Daten. Im Steckbrief zur Android-Schadsoftware FluBot schreibt das BSI, dass ein Zurücksetzen auf den Werkszustand notwendig sein kann.
Wenn du Kartendaten eingegeben hast
Lass die Karte sofort sperren, bei deiner Bank oder über den Sperr-Notruf 116 116. Bucht danach jemand ohne deine Zustimmung Geld ab, ist das eine nicht autorisierte Zahlung. Die Bank muss sie nach § 675u BGB unverzüglich erstatten, spätestens bis zum Ende des Geschäftstags nach deiner Meldung.
Für Schäden durch eine missbräuchlich genutzte Karte kann die Bank nach § 675v BGB von dir bis zu 50 Euro verlangen. Hast du grob fahrlässig gehandelt, haftest du für den ganzen Schaden. Ob das vorliegt, ist eine Frage des Einzelfalls. Melde jede fremde Abbuchung so früh wie möglich.Nach § 676b BGB sind deine Ansprüche ausgeschlossen, wenn du die Bank nicht spätestens 13 Monate nach der Belastung informierst. Was bei Kreditkarten zusätzlich gilt, steht unter Kreditkarte: Rückbuchung.
Nachricht melden
Unerwünschte SMS und Messenger-Nachrichten kannst du der Bundesnetzagentur über ihr Beschwerdeformular melden. Die Behörde kann bei Verstößen Rufnummern abschalten lassen. Ein Bußgeld gegen SMS-Spam ist nach ihren eigenen Angaben nicht möglich. Hast du einen Schaden, gehört der Fall außerdem zur Polizei. Wie du Belege dafür sicherst, steht unter Beweissicherung.
Ähnliche Bezahl-Links tauchen auch beim Verkauf über Kleinanzeigen auf. Der Artikel Betrug bei Kleinanzeigen zeigt, wie dort gefälschte „Sicher bezahlen“-Seiten arbeiten. Wer vor Weihnachten online bestellt, findet im Artikel Weihnachtsgeschenke online kaufen die Warnzeichen auf der Shop-Seite.
