Smishing: Wie Unternehmen SMS-Phishing erkennen und verhindern

Smishing bezeichnet einen Cyberangriff über Text- oder SMS-Nachrichten. Erfahren Sie hier, woran Smishing erkennbar ist, wie Unternehmen den Schutz vor SMS-Phishing erhöhen können und warum die Sensibilisierung der Mitarbeitenden so wichtig ist.

Was ist Smishing? – Definition

Smishing ist eine Form des Phishings über SMS, Messenger oder andere mobile Kurznachrichten. Cyberkriminelle versenden täuschend echte Nachrichten, die Mitarbeitende dazu bringen sollen, auf einen Link zu klicken, Zugangsdaten einzugeben, Zahlungsinformationen preiszugeben oder eine schädliche App zu installieren. Der Begriff setzt sich aus „SMS“ und „Phishing“ zusammen.

Warum Smishing für die IT Sicherheit mehr ist als eine betrügerische SMS

Für Unternehmen ist Smishing besonders relevant, weil Smartphones heute eng mit geschäftlichen Anwendungen verbunden sind: E-Mail, Cloud-Anwendungen (Microsoft 365), MFA-Freigaben, CRM-Systeme, Collaboration-Tools und Messenger werden häufig mobil genutzt. Aus Sicht der IT-Sicherheit ist Smishing deutlich mehr als ein Kommunikationsbetrug. Es ist ein Angriff auf digitale Identitäten, mobile Arbeitsplätze und geschäftskritische Prozesse.

Aus den Schilderungen von Unternehmen, mit denen wir sprechen, lässt sich ein klares Muster erkennen: Smishing ist selten das eigentliche Ziel des Angriffs. Die SMS ist meist nur der erste Schritt. Danach folgt oft das Stehlen von Zugangsdaten, die Übernahme eines Microsoft-365-Kontos, die Manipulation von MFA-Freigaben, ein weiterer Social-Engineering-Anruf oder der Versuch, interne Prozesse wie Zahlungsfreigaben auszunutzen.

Genau deshalb gehört Smishing in die Bereiche Identity Security, Mobile Security, Incident Response, Security Awareness und Cyber Resilience.

Wie funktioniert ein Smishing-Angriff?

Bei einem Smishing-Angriff senden Angreifer eine Nachricht, erzeugen Zeitdruck und leiten das Opfer auf eine gefälschte Webseite oder zu einem App-Download. Dort sollen Zugangsdaten, Zahlungsinformationen, Kreditkartendaten, MFA-Codes oder persönliche Informationen eingegeben werden. Das BSI nennt als typische Smishing-Beispiele SMS von angeblichen Paketdiensten, die eine Sendungsverfolgung, Probleme mit der Paketzustellung oder Zahlungsaufforderungen enthalten.

Im Unternehmenskontext kommen weitere Varianten hinzu: angebliche IT-Support-Nachrichten, Microsoft-365-Sicherheitswarnungen, HR-Mitteilungen, Reisekostenfreigaben, Lieferantenbenachrichtigungen oder vermeintliche Nachrichten der Geschäftsführung. Typische Nachrichten können z.B. so aussehen:

• „Ihr Konto wurde aus Sicherheitsgründen eingeschränkt.“
• „Neue Sicherheitsrichtlinie: Bestätigen Sie Ihre Anmeldung.“
• „Ihre MFA-App muss neu aktiviert werden.“
• „Offene Zollgebühren: Bitte zahlen Sie den Betrag innerhalb von 12 Stunden.“
• „Ihr Paket konnte nicht zugestellt werden. Bitte bestätigen Sie Ihre Adresse.“

Besonders gefährlich wird Smishing, wenn Nachrichten personalisiert sind. Angreifer können Namen, Telefonnummern oder weitere Informationen aus Datenlecks, gestohlenen Kontaktlisten, Social Media, LinkedIn, Xing oder früheren Kompromittierungen nutzen.

Warum Smishing ein Risiko für Unternehmen darstellt

Ein erfolgreicher Smishing-Angriff kann unmittelbare Folgen nach sich ziehen, woraus sich wiederum Schäden für das Unternehmen entwickeln können.

1. Smishing betrifft häufig Identitäten. Wenn ein Mitarbeitender seine Zugangsdaten auf einer gefälschten Login-Seite eingibt, können Angreifer versuchen, auf E-Mail-Konten, Cloud-Anwendungen, VPN-Zugänge oder interne Systeme zuzugreifen, bis hin zu Angriffen auf Kritische Infrastrukturen.
   
2. Smishing betrifft mobile Endgeräte. Werden Mitarbeitende dazu gebracht, eine schädliche App zu installieren, kann diese Daten auslesen, Kontakte missbrauchen oder weitere Nachrichten versenden. Für Unternehmen kann dies zu Datenschutzvorfällen, Reputationsschäden, Supportaufwand, Forensikkosten und weiteren Folgeeffekten führen.
   
3. Smishing betrifft geschäftliche Prozesse. Eine gefälschte SMS kann der Einstieg in Zahlungsbetrug, Lieferantenmanipulation, CEO Fraud, Kontoübernahme oder Datendiebstahl sein und zu finanziellen Schäden führen. Die Bitkom beziffert den Gesamtschaden durch Diebstahl, Sabotage und Industriespionage in Deutschland 2025 auf 289,2 Milliarden Euro, davon 70 Prozent durch Cyberattacken.
   
4. Smishing ist schwerer zu kontrollieren als klassisches E-Mail-Phishing. Unternehmen haben häufig E-Mail-Security-Gateways, Spamfilter, Phishing-Simulationen und Meldebuttons etabliert. Der mobile Kanal ist dagegen oft weniger konsequent abgesichert. Genau hier entsteht eine Sicherheitslücke.

Typische Schwachstellen in Unternehmen

Gerade bei mittelständischen Unternehmen beobachten wir, dass Smishing-Risiken häufig nicht durch fehlendes Problembewusstsein entstehen, sondern durch operative Lücken im Alltag. Typische Schwachstellen sind:

• private und geschäftliche Nutzung desselben Smartphones (kommt häufiger vor, als vielleicht angenommen)
• fehlendes oder uneinheitliches Mobile Device Management
• unklare Regeln für SMS, Messenger und mobile Freigaben
• keine verbindlichen Meldewege für verdächtige Nachrichten
• MFA-Verfahren, die zwar vorhanden, aber nicht phishing-resistent sind
• fehlende Protokollierung mobiler Sicherheitsvorfälle
• unzureichende Schulung von Außendienst, Vertrieb, Finance und Geschäftsführung
• fehlende Playbooks für den Fall, dass ein Mitarbeitender auf einen Smishing-Link klickt

E-Mail-Sicherheit ist unserer Erfahrung nach meist besser organisiert als mobile Sicherheit. Phishing-Simulationen, E-Mail-Gateways und Awareness-Trainings sind in vielen Unternehmen bereits etabliert. Der mobile Kanal wird dagegen weniger konsequent überwacht. Mitarbeitende erkennen verdächtige E-Mails zunehmend besser, reagieren aber auf SMS oder Messenger-Nachrichten spontaner und weniger kritisch.
Die Bitkom zeigt in ihrem Lagebericht 2025 , dass 55 Prozent der Unternehmen Mitarbeitende nur in ausgewählten Bereichen oder Positionen zu IT-Sicherheitsthemen schulen, 24 Prozent alle Beschäftigten schulen und 20 Prozent vollständig auf regelmäßige Schulungen verzichten. Das ist problematisch, weil grundsätzlich jeder mobile Nutzer zum Ziel werden kann.

Konkrete Smishing-Szenarien aus der Unternehmenspraxis

Smishing bei Microsoft-365-Nutzer

Ein Mitarbeitender erhält eine SMS mit dem Hinweis: „Ihr Microsoft-Konto wurde aus Sicherheitsgründen eingeschränkt. Bitte bestätigen Sie Ihre Identität.“ Der Link führt auf eine täuschend echt aussehende Login-Seite. Gibt die Person dort ihre Zugangsdaten ein, können Angreifer versuchen, auf E-Mails, Teams, OneDrive oder SharePoint zuzugreifen.

Besonders kritisch wird es, wenn der Angriff mit einer MFA-Manipulation kombiniert wird. Der Mitarbeitende erhält kurz nach der Eingabe eine Push-Anfrage und bestätigt diese, weil er glaubt, sie gehöre zum angeblichen Sicherheitsprozess. So kann aus einer einzelnen SMS eine Kontoübernahme entstehen.

Smishing bei der Finanzabteilung

Ein Mitarbeitender aus der Buchhaltung erhält eine SMS, angeblich von einem bekannten Lieferanten: „Unsere Bankdaten haben sich geändert. Bitte bestätigen Sie die neue Zahlungsreferenz.“ Die Nachricht enthält einen Link zu einem gefälschten Portal. Ziel ist nicht nur der Diebstahl von Zugangsdaten, sondern die Vorbereitung eines Zahlungsbetrugs. Wenn mobile Nachrichten Teil informeller Abstimmungen sind, können Angreifer gezielt Druck aufbauen und bestehende Freigabeprozesse umgehen.

Smishing kombiniert mit Vishing

Ein Geschäftsführer erhält zunächst eine SMS mit einer angeblichen Sicherheitswarnung der Bank. Kurz darauf ruft eine vermeintliche Bankmitarbeiterin an und verweist auf genau diese Nachricht. Durch die Kombination aus SMS und Telefonanruf wirkt der Angriff glaubwürdiger.

Woran erkennen Mitarbeitende Smishing?

Smishing ist besonders tückisch, weil auf mobilen Geräten weniger Kontext angezeigt wird. Auf dem Smartphone sind vollständige URLs schwerer zu prüfen, Absenderinformationen sind reduziert und viele Menschen reagieren unterwegs schneller und weniger aufmerksam. SMS und Messenger-Nachrichten erzeugen zudem eine hohe unmittelbare Aufmerksamkeit. Doch es gibt typische Warnzeichen:

• Es wird Zeitdruck in der Nachricht erzeugt.
• Es wird mit Kontosperrung, Fristablauf oder Problemen gedroht.
• Der Link führt auf eine unbekannte oder ungewöhnliche Domain.
• Die Nachricht fordert zur Eingabe von Zugangsdaten auf.
• Es sollen Zahlungsinformationen oder Kreditkartendaten angegeben werden.
• Es soll eine App installiert werden.
• Die Nachricht kommt unerwartet.
• Die SMS enthält verkürzte Links oder ungewöhnliche Zeichenfolgen.
• Der Absender wirkt bekannt, aber der Inhalt oder Stil der Nachricht passt nicht zu der Person.

Wir empfehlen kurz durchzuatmen und sich zu fragen, wie plausibel die Situation wirklich ist und sich nicht unter Druck setzen zu lassen. Außerdem sollten niemals Links aus SMS oder Messengern unbekannter Herkunft geöffnet und keine unbekannten Apps installiert werden. IT-Sicherheitsverantwortliche können Mitarbeitende zusätzlich durch technische und organisatorische Maßnahmen vor Smishing schützen.

Technische Schutzmaßnahmen gegen Smishing

Technische Maßnahmen gegen Smishing sollten auf mehreren Ebenen greifen.

1. Mobile Device Management und Unified Endpoint Management
   Unternehmen sollten mobile Geräte über MDM oder UEM verwalten. Dadurch lassen sich Sicherheitsstandards erzwingen: aktuelle Betriebssysteme, Gerätesperre, Verschlüsselung, App-Kontrolle, Trennung geschäftlicher und privater Daten sowie Einschränkungen bei App-Installationen.
   
2. Mobile Threat Defense
   Mobile Threat Defense kann helfen, schädliche Links, manipulierte Apps, unsichere Netzwerke oder kompromittierte Geräte zu erkennen. Wichtig ist dabei die Integration in bestehende Sicherheitsprozesse. Mobile Vorfälle sollten nicht isoliert betrachtet werden, sondern mit Identitäts-, Endpoint- und Cloud-Signalen korreliert werden.
   
3. Conditional Access und Zero Trust
   Smishing zielt häufig auf Zugangsdaten ab. Deshalb sollten Unternehmen Zugriffe nicht allein anhand von Benutzername, Passwort und einfacher MFA erlauben. Conditional Access kann zusätzliche Kriterien prüfen: Gerätezustand, Standort, Risiko des Logins, verwendete App und Nutzerverhalten.
   
4. Phishing-resistente MFA
   Klassische MFA reduziert Risiken, ist aber kein vollständiger Schutz. Wenn Mitarbeitende durch Social Engineering dazu gebracht werden, MFA-Anfragen freizugeben oder Codes einzugeben, kann auch MFA umgangen werden. Besser sind phishing-resistente Verfahren wie FIDO2-Sicherheitsschlüssel, Passkeys, zertifikatsbasierte Authentifizierung, Nummernabgleich bei Push-MFA und risikobasierte Zugriffskontrollen.
   
5. DNS- und Webfilter für mobile Geräte
   Schädliche Links sollten nach Möglichkeit blockiert werden, bevor sie aufgerufen werden können. Dazu eignen sich DNS-Filter, sichere Browser, Webfilter oder Security-Lösungen, die auch auf mobilen Geräten greifen. Wichtig ist, dass diese Schutzmaßnahmen nicht nur im Unternehmensnetzwerk, sondern auch bei mobiler Nutzung funktionieren.

Organisatorische Maßnahmen gegen Smishing

Es ist weniger entscheidend, ob eine Smishing-Nachricht im Unternehmen ankommt, sondern ob der Angriff erkannt wird und ob die Mitarbeitenden richtig darauf reagieren. Wie bereits erwähnt empfehlen wir Unternehmen klare Regeln, Verantwortlichkeiten und Meldewege. Wichtige organisatorische Maßnahmen sind:

• Richtlinie zur Nutzung von SMS, Messenger und privaten Geräten
• klare Vorgaben für geschäftliche Freigaben über mobile Kanäle
• definierter Meldeweg für verdächtige SMS
• Smishing-Playbook für IT, Helpdesk und SOC
• Schulung besonders gefährdeter Rollen
• regelmäßige Tests und Simulationen
• Management-Reporting zu Security Awareness, Vorfällen und Reaktionszeiten
• positive Fehlerkultur ohne Schuldzuweisung

Handlungsempfehlungen für IT Security Verantwortliche

Unternehmen sollten Smishing nicht isoliert betrachten, sondern in eine ganzheitliche Security-Strategie einbetten. Die wichtigsten Maßnahmen sind:

1. Risikoanalyse durchführen: Welche Mitarbeitenden nutzen Smartphones für geschäftliche Systeme, MFA, E-Mail oder Messenger?
2. Mobile Geräte absichern: MDM/UEM, Geräteverschlüsselung, Update-Pflicht, App-Kontrolle und Trennung geschäftlicher Daten.
3. MFA härten: Phishing-resistente Verfahren, Nummernabgleich, Conditional Access und Monitoring verdächtiger Freigaben.
4. Security Awareness ausbauen: Realistische Smishing-Beispiele, kurze Lernformate, regelmäßige Wiederholung und klare Meldewege.
5. Incident-Response-Playbook erstellen: Vorgehen für Klick, Dateneingabe, App-Installation, Zahlungsbetrug und Kontoübernahme.
6. Meldekultur fördern: Offene Fehlerkultur ohne Schuldzuweisungen, schnelle Unterstützung und einfache Meldekanäle.
7. SOC und SIEM integrieren: Mobile Vorfälle mit Identitäts-, Cloud- und Endpoint-Signalen korrelieren.
8. Management-Reporting etablieren: Risiken, KPIs, Vorfälle und Verbesserungen regelmäßig berichten.

Unternehmen, die Smishing wirksam begegnen wollen, brauchen eine Kombination aus sensibilisierten Mitarbeitenden, sicheren Mobilgeräten, klaren Prozessen und schneller Reaktion. Denn die wichtigste Frage lautet nicht, ob eine Smishing-Nachricht im Unternehmen ankommt – sondern wie gut das Unternehmen darauf reagiert.