Paket- und Zustellbetrug erkennen und vermeiden

Paket- und Zustellbetrug zählt zu den häufigsten Formen von Social Engineering im Alltag. Die Masche funktioniert so gut, weil sehr viele Menschen regelmäßig Pakete erwarten. Genau diese Gewohnheit nutzen Betrüger aus: Gefälschte Zustellbenachrichtigungen per SMS, E-Mail oder Messenger leiten auf Phishing-Seiten, stehlen Zahlungsdaten oder installieren Schadsoftware. Paket-SMS sind eine besonders verbreitete Variante des Smishing.

Das Ziel ist fast immer dasselbe: persönliche Daten abgreifen, Kreditkarteninformationen stehlen, kostenpflichtige Abonnements auslösen oder Schadsoftware auf dem Gerät installieren. Die Beträge wirken oft klein und harmlos - doch die eigentliche Gefahr liegt in den eingegebenen Daten.

Wie Paket- und Zustellbetrug funktioniert

Das Muster ist fast immer gleich - und genau deshalb so wirkungsvoll:

1. Eine Nachricht erreicht Sie unerwartet - oder passend zu einer tatsächlich erwarteten Lieferung. Sie kommt per SMS, E-Mail oder Messenger und sieht aus wie eine echte Zustellbenachrichtigung.
2. Ein kleines Problem wird erzeugt: Das Paket konnte nicht zugestellt werden, es fallen Zollgebühren an, oder Ihre Adresse muss bestätigt werden. Der Ton ist dringend, aber nicht alarmierend.
3. Ein Link führt auf eine gefälschte Seite, die der echten Seite von DHL, Hermes, DPD oder einem anderen Dienst täuschend ähnlich sieht.
4. Die gefälschte Seite fordert eine Aktion: Eingabe persönlicher Daten, Kreditkarteninformationen, Login-Daten - oder die Installation einer angeblichen Tracking-App.

Die eingegebenen Daten landen direkt bei den Betrügern. Installierte Apps enthalten oft Schadsoftware, die Passwörter ausliest, SMS abfängt oder das Gerät fernsteuert. Selbst wenn nur ein kleiner Betrag bezahlt wird, sind die Kreditkartendaten danach kompromittiert.

Typische Formen von Paket- und Zustellbetrug

Paket-SMS mit Zustelllink

Die häufigste Variante: Eine SMS informiert, dass ein Paket nicht zugestellt werden konnte, und enthält einen Link zur angeblichen Sendungsverfolgung. Der Link führt auf eine gefälschte Seite, die persönliche Daten oder Kreditkarteninformationen abfragt.

E-Mail mit angeblicher Sendungsverfolgung

E-Mails im Design von DHL, UPS, Amazon, Hermes oder DPD informieren über ein angebliches Paket. Der „Tracking-Link" oder die „Sendungsverfolgung" führt auf eine Phishing-Seite oder lädt eine infizierte Datei herunter. Die Absenderadresse sieht oft überzeugend aus, gehört aber nicht zum echten Dienst.

Zoll-, Nachzahlungs- oder Gebührenforderung

Besonders verbreitet: Eine Nachricht informiert, dass für ein internationales Paket Zollgebühren oder Nachporto fällig seien. Für die „Freigabe" sollen wenige Euro per Kreditkarte bezahlt werden. Der Betrag ist bewusst klein gehalten, damit die Hemmschwelle niedrig ist. Die eingegebenen Kartendaten werden gestohlen und für größere Beträge missbraucht.

Nachricht mit Aufforderung zur Adressbestätigung

Eine SMS oder E-Mail bittet darum, die Lieferadresse zu bestätigen oder zu aktualisieren, damit das Paket zugestellt werden kann. Die verlinkte Seite fragt neben der Adresse oft auch Telefonnummer, E-Mail und Zahlungsdaten ab.

Paket-App oder Tracking-App aus dubioser Quelle

Manche Nachrichten fordern zur Installation einer „Tracking-App" oder „Zustellungs-App" auf. Diese App ist Schadsoftware, die Passwörter ausliest, SMS abfängt, Bankdaten stiehlt oder das Gerät fernsteuert. Besonders auf Android-Geräten ist dieses Risiko relevant, weil dort Apps auch außerhalb des offiziellen Stores installiert werden können.

Messenger-Nachricht mit Paketbezug

Zunehmend kommen gefälschte Paketbenachrichtigungen auch über WhatsApp, Telegram oder andere Messenger. Die Nachrichten enthalten Links zu gefälschten Tracking-Seiten oder fordern direkt zur Eingabe von Daten auf.

Woran Sie Paketbetrug erkennen

• Sie erwarten gar kein Paket: Die einfachste Prüfung - wenn Sie nichts bestellt haben, ist die Nachricht mit hoher Wahrscheinlichkeit gefälscht.
• Unbekannte Absendernummer oder Adresse: Absenderkennungen können vertraut wirken, sind aber allein kein Echtheitsnachweis. Achten Sie auf unbekannte Mobilfunknummern oder ungewöhnliche E-Mail-Adressen.
• Verdächtige Links: URLs, die nicht zur offiziellen Domain des Versanddienstleisters gehören (z. B. „dhl-paket-tracking.info" statt „dhl.de").
• Zahlungsaufforderung: Zahlungsaufforderungen für Zoll oder Nachgebühren sollten Sie nie ungeprüft über einen Link in einer SMS oder Nachricht begleichen. Echte Gebühren werden direkt vom Zoll oder vom Paketdienstleister bei der Zustellung erhoben.
• App-Installation gefordert: Kein seriöser Paketdienst fordert per SMS oder E-Mail zur Installation einer App auf.
• Zeitdruck: „Letzte Möglichkeit", „Paket wird zurückgesendet", „innerhalb von 24 Stunden" - diese Formulierungen sollen zu schnellem, unüberlegtem Handeln drängen.
• Sprachliche Auffälligkeiten: Rechtschreibfehler, ungewöhnliche Formatierung oder unpassender Kontext sind häufige Hinweise.

Einen umfassenden Überblick über typische Warnzeichen finden Sie unter 25 Warnsignale für Social Engineering.

Typische Alltagsszenarien

Was Sie tun sollten

• Links nicht öffnen: Klicken Sie nicht auf Links in SMS, E-Mails oder Messenger-Nachrichten, die sich als Paketdienst ausgeben.
• Sendung direkt prüfen: Geben Sie die URL des Paketdienstes manuell im Browser ein oder nutzen Sie die offizielle App.
• Keine Daten eingeben: Geben Sie keine persönlichen Daten, Zahlungsinformationen oder Passwörter auf verlinkten Seiten ein.
• Verdächtige Nachricht sichern: Machen Sie einen Screenshot der Nachricht, bevor Sie sie löschen - das kann bei einer Anzeige helfen.
• Bei Bedarf melden: Leiten Sie verdächtige Nachrichten an Ihren Mobilfunkanbieter weiter oder melden Sie sie bei der Bundesnetzagentur. Mehr dazu unter Verdächtige Nachrichten melden.
• Bei Klick oder Eingabe sofort reagieren: Wenn Sie bereits Daten eingegeben oder eine App installiert haben, handeln Sie sofort - siehe den Abschnitt weiter unten.

Was Sie nicht tun sollten

• Keine kleinen Gebühren bezahlen, nur weil der Betrag harmlos wirkt. Es geht nicht um die 3,99 EUR, sondern um Ihre Kreditkartendaten.
• Keine Apps aus Paketnachrichten installieren. Seriöse Paketdienste verteilen ihre Apps nicht per SMS-Link.
• Logos und bekannten Markennamen nicht blind vertrauen. Logos lassen sich leicht kopieren - ein DHL-Logo in einer SMS bedeutet nicht, dass die Nachricht von DHL stammt.
• Nicht auf verdächtige SMS antworten. Antworten bestätigen dem Absender, dass Ihre Nummer aktiv ist.
• Nicht unter Zeitdruck handeln. Kein echtes Paket geht verloren, weil Sie eine SMS nicht innerhalb von Minuten beantworten.

Wenn Sie bereits geklickt oder bezahlt haben

Wenn Sie auf einen Link geklickt, Daten eingegeben oder eine App installiert haben, ändert das die Situation. Handeln Sie ruhig, aber zügig:

Eine vollständige Anleitung finden Sie unter Sofortmaßnahmen nach einem Vorfall und Nach Klick auf einen Phishing-Link.

So schützen Sie sich dauerhaft

• Paketstatus nur direkt prüfen: Geben Sie die URL des Paketdienstes immer manuell im Browser ein oder nutzen Sie die offizielle App.
• Offizielle Apps nutzen: Laden Sie Tracking-Apps nur über den offiziellen App Store oder Google Play Store herunter.
• Keine App-Installation über SMS: Installieren Sie niemals Apps, die Ihnen per SMS, E-Mail oder Messenger empfohlen werden.
• Passwortmanager und Zwei-Faktor-Authentifizierung nutzen: So schützen Sie Ihre Konten auch dann, wenn Zugangsdaten einmal abgegriffen werden. Mehr dazu unter Passwortmanager und MFA.
• Drittanbietersperre einrichten: Lassen Sie bei Ihrem Mobilfunkanbieter eine Drittanbietersperre einrichten, um ungewollte Abonnements zu verhindern.
• Skeptisch bleiben - auch wenn Sie wirklich ein Paket erwarten: Gerade dann sind Sie anfällig, weil die Nachricht zu Ihrer Erwartung passt. Prüfen Sie trotzdem immer den Absender und den Link.
• Betriebssystem und Apps aktuell halten: Sicherheitsupdates schließen bekannte Schwachstellen und reduzieren das Risiko.

Weitere praktische Tipps finden Sie unter Schutz für Privatpersonen und in der Checkliste für Privatpersonen.

Häufig gestellte Fragen