WhatsApp zählt zu den beliebtesten Messengern weltweit – und genau das macht den Dienst auch für Betrüger attraktiv. Immer häufiger nutzen Cyberkriminelle sogenannte Phishing-SMS, um sich Zugang zu fremden WhatsApp-Konten zu verschaffen. Besonders perfide: Die gefälschten Nachrichten erscheinen nicht etwa als neue, verdächtige SMS, sondern innerhalb eines bestehenden Chatverlaufs, direkt neben echten Nachrichten von WhatsApp. Wir erklären dir, wie diese WhatsApp Phishing Betrugsmasche per SMS funktioniert und mit welchen Schutzmassnahmen du dich effektiv wappnen kannst.
Wenn die Phishing-SMS aussieht wie eine echte WhatsApp-Nachricht
Phishing-Angriffe gehören längst zum digitalen Alltag – doch in diesem Fall ist die Masche besonders hinterhältig: Eine vermeintlich vertrauenswürdige SMS erscheint plötzlich im bestehenden Nachrichtenverlauf eines bekannten Absenders, in diesem Fall von WhatsApp.
Der Empfänger hat keinen Anlass zur Skepsis, denn die neue Nachricht reiht sich direkt unter echte Zwei-Faktor-Codes ein, die WhatsApp zuvor im selben Chat geschickt hat. Optisch ist kaum ein Unterschied erkennbar – inhaltlich aber ist es ein klarer Versuch, sensible Daten zu erschleichen.
Genau solch einen Fall hat ein Nutzer auf Reddit öffentlich gemacht. Er veröffentlichte einen Screenshot, der eindrücklich zeigt, wie überzeugend die gefälschte SMS wirkt. Die Nachricht enthält einen klassischen Phishing-Text mit orthografischen Ungenauigkeiten, vermittelt jedoch durch ihre Platzierung im bekannten SMS-Verlauf den Eindruck, sie stamme direkt von WhatsApp selbst.
Für Laien oder unachtsame Nutzer ein gefährliches Szenario – denn wer der Nachricht vertraut und den darin geforderten Code preisgibt, riskiert den vollständigen Verlust seines WhatsApp-Kontos.
Wie kann es sein, dass Phishing-Nachrichten im selben SMS-Verlauf wie echte Nachrichten erscheinen?
Der springende Punkt liegt nicht bei WhatsApp selbst, sondern beim SMS-System (nicht zu verwechseln mit Nachrichten innerhalb der WhatsApp-App). In dem Beispiel geht es um SMS-Phishing, auch „Smishing“ genannt (eine Wortkombination aus „SMS“ und „Phishing“).
🔐 Die technische Erklärung:
- Unternehmen wie WhatsApp, Google, Apple oder deine Bank verwenden beim Versand von SMS oft einen Absendernamen statt einer normalen Telefonnummer. Z. B. „WhatsApp“ oder „PostFinance“.
- Moderne Smartphones (insbesondere Android) gruppieren SMS nicht nur nach Telefonnummern, sondern auch nach dem Absendernamen, sofern er eindeutig ist.
- Ein Angreifer kann bei einem Phishing-SMS-Versuch den Absendernamen fälschen (das nennt man Sender ID Spoofing).
- Wenn jemand also ein SMS mit dem Absender „WhatsApp“ versendet, landet es im bestehenden Chatverlauf, obwohl es nicht von WhatsApp stammt.
Das ist technisch gesehen nicht schwer, weil das veraltete SMS-Protokoll keine starke Absenderverifikation bietet. Einzige Voraussetzung: Der Angreifer hat Zugang zu einem Gateway, das ihm erlaubt, freie Absendernamen zu setzen – was auf dem Schwarzmarkt leicht zu bekommen ist.
Wie Sender-ID-Spoofing funktioniert
Die Sender-ID ist der Absendername, der bei einer SMS im Nachrichtenverlauf angezeigt wird. Das kann eine normale Telefonnummer sein (z. B. +41 79 123 45 67) – oder ein alphanumerischer Name wie „WhatsApp“, „Post“ oder „Bank“.
Diese Anzeige ist allerdings nicht fälschungssicher: Im klassischen SMS-Protokoll (nach dem GSM-Standard) wird die Sender-ID lediglich als einfacher Textstring übermittelt. Und genau das macht den Missbrauch möglich.
Kriminelle nutzen sogenannte SMS-Gateways oder technische Schnittstellen von SMS-Dienstleistern (oft im Ausland), über die sich SMS-Nachrichten programmatisch versenden lassen. In vielen Fällen erlauben diese Gateways, den Absendernamen frei festzulegen, ohne dass geprüft wird, ob man dazu autorisiert ist. Gibt man dort „WhatsApp“ als Sender-ID ein, erscheint die Nachricht beim Empfänger tatsächlich unter dem bestehenden Chatverlauf mit WhatsApp – obwohl sie in Wirklichkeit aus einer völlig anderen Quelle stammt.
Diese Technik wird als Sender-ID-Spoofing bezeichnet („spoofing“ = vortäuschen, fälschen). Sie ist nicht neu, wird aber zunehmend in Phishing-Kampagnen eingesetzt, weil sie so täuschend echt wirkt. Der Empfänger sieht die gefälschte Nachricht im gleichen SMS-Verlauf wie echte Zwei-Faktor-Codes oder Sicherheitsmeldungen – und ist dadurch besonders leicht zu täuschen.
Das Ziel von WhatsApp Phishing: Was passieren kann
Hinter WhatsApp Phishing steckt ein klares Ziel: die vollständige Übernahme eines WhatsApp-Kontos. Der Angriffsweg ist dabei meist derselbe: Die Phishing-SMS versucht, dich dazu zu bringen, einen WhatsApp-Verifizierungscode weiterzugeben – also genau jenen sechsstelligen Code, den du zuvor von WhatsApp per SMS erhalten hast. Wenn du diesen Code weiterleitest oder irgendwo eingibst, wo du es nicht solltest, haben Angreifer freie Bahn.
Die Betrüger melden sich mit deiner Telefonnummer auf einem neuen Gerät bei WhatsApp an – mit dem Code, den du ungewollt preisgegeben hast. Damit bist du sofort ausgeloggt, und dein Zugang ist gesperrt. Die Angreifer übernehmen nicht nur deine Kontakte und Chatverläufe, sondern können auch in deinem Namen Nachrichten verschicken – etwa an Freunde, Familie oder Geschäftspartner.
Besonders problematisch ist das, wenn der Account mit sensiblen Informationen verknüpft ist – etwa Bankdaten, Bestätigungsnachrichten oder auch Kundenkontakte im beruflichen Kontext. Einige Angreifer versuchen, aus dem kompromittierten Konto noch mehr herauszuholen, z. B. indem sie deine Kontakte anschreiben und Geld erbitten – ein typischer Trick aus dem Social Engineering.
Kurz gesagt: Wer auf WhatsApp Phishing hereinfällt, verliert nicht nur den Zugriff auf den eigenen Account, sondern gibt Betrügern unter Umständen auch die Kontrolle über persönliche oder geschäftliche Kommunikation. Der Schaden kann emotional, sozial und im schlimmsten Fall auch finanziell sein.
So schützt du dich vor WhatsApp Phishing Versuchen
Zum Glück bist du Phishing-Versuchen nicht hilflos ausgeliefert – mit ein paar einfachen Massnahmen kannst du das Risiko deutlich senken, dass dein WhatsApp-Konto in falsche Hände gerät. Entscheidend ist, verdächtige Nachrichten zu erkennen und deine Account-Sicherheit gezielt zu stärken.
🔑 1. Aktiviere die Zwei-Faktor-Authentifizierung in WhatsApp
Diese Funktion ist die effektivste Schutzmassnahme gegen unbefugte Kontoübernahmen. Zusätzlich zum SMS-Code wird beim Einrichten von WhatsApp auf einem neuen Gerät ein selbst gewählter sechsstelliger PIN abgefragt.
🛑 2. Gib niemals Verifizierungscodes weiter
WhatsApp, Meta oder andere seriöse Dienste fragen dich niemals per SMS oder Chatnachricht nach deinem Verifizierungscode. Wenn du eine Nachricht bekommst, in der du dazu aufgefordert wirst – egal wie echt sie aussieht –, handelt es sich mit grosser Wahrscheinlichkeit um einen Betrugsversuch.
📵 3. Sei vorsichtig mit SMS von vermeintlich bekannten Absendern
Wenn du eine SMS mit Absendernamen wie „WhatsApp“ oder „Post“ erhältst, prüfe den Inhalt genau. Achte auf Rechtschreibfehler, ungewöhnliche Formulierungen oder Links, die dich auf fremde Seiten führen sollen. Selbst wenn die Nachricht in einem bestehenden SMS-Verlauf erscheint, heisst das nicht automatisch, dass sie echt ist – Stichwort Sender-ID-Spoofing.
🕵️ 4. Verdächtige Nachrichten melden
Hast du eine solche Nachricht erhalten? Dann informiere dein Mobilfunkunternehmen – viele Anbieter haben spezielle Meldestellen für Phishing-SMS. Auch WhatsApp selbst kannst du über verdächtige Vorfälle informieren, etwa über support@whatsapp.com.
❗️ 5. Im Notfall: WhatsApp-Zugang zurückholen
Wurde dein Konto bereits übernommen, kannst du versuchen, es zurückzubekommen, indem du deine Nummer erneut in WhatsApp eingibst und dir einen neuen Code senden lässt. Falls der Angreifer keine Zwei-Faktor-PIN gesetzt hat, hast du gute Chancen, wieder Zugriff zu erlangen. Zusätzlich solltest du den WhatsApp-Support kontaktieren.
💡 WhatsApp Phishing per SMS ist eine raffinierte Betrugsmasche – aber kein Grund zur Panik. Mit ein wenig Aufmerksamkeit und den richtigen Einstellungen lässt sich der eigene Account zuverlässig absichern. Je besser du über die Methoden der Angreifer Bescheid weisst, desto unwahrscheinlicher ist es, dass du auf einen Trick hereinfällst.