WhatsApp Phishing: Wenn vertraute SMS zur Falle werden

WhatsApp zählt zu den beliebtesten Messengern weltweit – und genau das macht den Dienst für Betrüger attraktiv. Cyberkriminelle nutzen Phishing-SMS, um sich Zugang zu fremden WhatsApp-Konten zu verschaffen. Besonders perfide: Die gefälschten Nachrichten erscheinen nicht als neue, verdächtige SMS, sondern innerhalb eines bestehenden Chatverlaufs – direkt neben echten Nachrichten von WhatsApp. Hier erfährst du, wie diese Betrugsmasche funktioniert und mit welchen Massnahmen du dich schützt.

Wenn die Phishing-SMS aussieht wie eine echte WhatsApp-Nachricht

Phishing-Angriffe gehören zum digitalen Alltag – doch diese Variante ist besonders hinterhältig: Eine vermeintlich vertrauenswürdige SMS erscheint plötzlich im bestehenden Nachrichtenverlauf eines bekannten Absenders, in diesem Fall von WhatsApp.

Kein Anlass zur Skepsis – die neue Nachricht reiht sich direkt unter echte Zwei-Faktor-Codes ein, die WhatsApp zuvor im selben Chat geschickt hat. Optisch kaum ein Unterschied erkennbar, inhaltlich aber ein klarer Versuch, sensible Daten zu erschleichen.

Genau solch einen Fall hat ein Nutzer auf Reddit öffentlich gemacht. Er veröffentlichte einen Screenshot, der zeigt, wie überzeugend die gefälschte SMS wirkt. Die Nachricht enthält einen klassischen Phishing-Text mit Rechtschreibfehlern – vermittelt aber durch ihre Platzierung im bekannten SMS-Verlauf den Eindruck, sie stamme direkt von WhatsApp.

Wer der Nachricht vertraut und den geforderten Code preisgibt, riskiert den vollständigen Verlust seines WhatsApp-Kontos.

Wie kann es sein, dass Phishing-Nachrichten im selben SMS-Verlauf wie echte Nachrichten erscheinen?

Das Problem liegt nicht bei WhatsApp selbst, sondern beim SMS-System – nicht zu verwechseln mit Nachrichten innerhalb der WhatsApp-App. Es geht um SMS-Phishing, auch „Smishing“ genannt (aus „SMS“ und „Phishing“).

🔐 Die technische Erklärung:

• Unternehmen wie WhatsApp, Google, Apple oder deine Bank verwenden beim Versand von SMS oft einen Absendernamen statt einer normalen Telefonnummer – z. B. „WhatsApp“ oder „PostFinance“.
• Moderne Smartphones (insbesondere Android) gruppieren SMS nicht nur nach Telefonnummern, sondern auch nach dem Absendernamen, sofern er eindeutig ist.
• Ein Angreifer kann beim Phishing-SMS-Versand den Absendernamen fälschen – das nennt sich Sender ID Spoofing.
• Ein SMS mit dem Absender „WhatsApp“ landet so im bestehenden Chatverlauf, obwohl es nicht von WhatsApp stammt.

Technisch ist das kein grosser Aufwand: Das veraltete SMS-Protokoll bietet keine starke Absenderverifikation. Einzige Voraussetzung ist Zugang zu einem Gateway, das freie Absendernamen erlaubt – auf dem Schwarzmarkt leicht zu bekommen.

Wie Sender-ID-Spoofing funktioniert

Die Sender-ID ist der Absendername, der bei einer SMS im Nachrichtenverlauf erscheint. Das kann eine normale Telefonnummer sein – oder ein alphanumerischer Name wie „WhatsApp“, „Post“ oder „Bank“.

Fälschungssicher ist das nicht: Im klassischen SMS-Protokoll nach GSM-Standard wird die Sender-ID als einfacher Textstring übermittelt. Genau das macht den Missbrauch möglich.

Kriminelle nutzen SMS-Gateways oder technische Schnittstellen von Dienstleistern – oft im Ausland – über die sich SMS programmatisch versenden lassen. Viele dieser Gateways erlauben, den Absendernamen frei festzulegen, ohne Autorisierungsprüfung. Wer dort „WhatsApp“ einträgt, landet beim Empfänger im bestehenden Chatverlauf mit WhatsApp – obwohl die Nachricht aus einer völlig anderen Quelle stammt.

Diese Technik heisst Sender-ID-Spoofing. Sie ist nicht neu, wird aber zunehmend in Phishing-Kampagnen eingesetzt, weil sie täuschend echt wirkt. Die gefälschte Nachricht erscheint direkt neben echten Zwei-Faktor-Codes und Sicherheitsmeldungen – das macht sie besonders gefährlich.

Das Ziel von WhatsApp Phishing: Was passieren kann

Hinter WhatsApp Phishing steckt ein klares Ziel: die vollständige Übernahme eines WhatsApp-Kontos. Der Angriffsweg ist fast immer derselbe: Die Phishing-SMS bringt dich dazu, einen WhatsApp-Verifizierungscode weiterzugeben – jenen sechsstelligen Code, den WhatsApp zuvor per SMS geschickt hat. Wer diesen Code weiterleitet oder an der falschen Stelle eingibt, hat verloren.

Die Betrüger melden sich mit deiner Telefonnummer auf einem neuen Gerät bei WhatsApp an. Du bist sofort ausgeloggt, dein Zugang gesperrt. Die Angreifer übernehmen nicht nur deine Kontakte und Chatverläufe – sie können in deinem Namen Nachrichten verschicken, an Freunde, Familie oder Geschäftspartner.

Besonders heikel, wenn der Account mit sensiblen Informationen verknüpft ist: Bankdaten, Bestätigungsnachrichten, Kundenkontakte. Einige Angreifer gehen weiter und schreiben deine Kontakte an, um Geld zu erbitten – ein klassischer Trick aus dem Social Engineering.

Wer auf WhatsApp Phishing hereinfällt, verliert nicht nur den Zugriff auf den eigenen Account. Im schlimmsten Fall übergibst du Betrügern die Kontrolle über persönliche und geschäftliche Kommunikation. Der Schaden ist emotional, sozial – und kann auch finanziell werden.

So schützt du dich vor WhatsApp Phishing Versuchen

Du bist Phishing-Versuchen nicht hilflos ausgeliefert. Mit ein paar gezielten Massnahmen senkst du das Risiko erheblich.

🔑 1. Aktiviere die Zwei-Faktor-Authentifizierung in WhatsApp

Die effektivste Schutzmassnahme gegen unbefugte Kontoübernahmen. Beim Einrichten von WhatsApp auf einem neuen Gerät wird zusätzlich zum SMS-Code ein selbst gewählter sechsstelliger PIN abgefragt.

🛑 2. Gib niemals Verifizierungscodes weiter

WhatsApp, Meta oder andere seriöse Dienste fragen dich niemals per SMS oder Chatnachricht nach deinem Verifizierungscode. Kommt eine solche Aufforderung – egal wie echt sie aussieht –, ist es mit grosser Wahrscheinlichkeit ein Betrugsversuch.

📵 3. Prüf SMS von vermeintlich bekannten Absendern genau

Erhältst du eine SMS mit Absendernamen wie „WhatsApp“ oder „Post“, schau den Inhalt genau an. Rechtschreibfehler, ungewöhnliche Formulierungen, Links auf fremde Seiten – das sind Warnsignale. Auch wenn die Nachricht in einem bestehenden SMS-Verlauf erscheint, heisst das nicht, dass sie echt ist. Stichwort: Sender-ID-Spoofing.

🕵️ 4. Verdächtige Nachrichten melden

Hast du eine solche Nachricht erhalten? Informiere dein Mobilfunkunternehmen – viele Anbieter haben Meldestellen für Phishing-SMS. WhatsApp selbst erreichst du über support@whatsapp.com.

❗️ 5. Im Notfall: WhatsApp-Zugang zurückholen

Wurde dein Konto bereits übernommen, gib deine Nummer erneut in WhatsApp ein und lass dir einen neuen Code senden. Hat der Angreifer keine Zwei-Faktor-PIN gesetzt, stehen die Chancen gut, wieder Zugriff zu erlangen. Parallel: WhatsApp-Support kontaktieren.

💡 WhatsApp Phishing per SMS ist eine raffinierte Masche – aber kein Grund zur Panik. Mit Aufmerksamkeit und den richtigen Einstellungen lässt sich der eigene Account zuverlässig absichern. Wer die Methoden der Angreifer kennt, fällt seltener auf sie herein.