Fake-SMS zum Paket erkennen: DHL, DPD, Hermes und was tun

Eine Fake-SMS zum Paket erkennst du an einem Link, über den du Geld zahlen, Daten eingeben oder eine Lieferung „bestätigen“ sollst. Tipp ihn nicht an. Öffne stattdessen selbst die Website oder App des Paketdienstes und gib dort die Sendungsnummer aus deiner Bestellbestätigung ein. Hast du auf der verlinkten Seite schon Kartendaten oder Passwörter eingegeben, lass sofort die Karte sperren und ändere die Passwörter.

Die Nachrichten geben sich als DHL, DPD, Hermes oder einfach als „Paketzusteller“ aus. Weil viele Menschen fast immer irgendein Paket erwarten, wirken sie auf den ersten Blick plausibel. Dahinter stecken nachgebaute Bezahlseiten, untergeschobene Abos und auf Android-Handys auch Schadsoftware. Wir entwickeln bei TrustCamera eine Kamera-App für nachprüfbare Fotos und beschäftigen uns deshalb viel damit, wie Betrüger vertraute Absender vortäuschen. Hier liest du, was die Paketdienste selbst über ihre SMS sagen, wie du eine Sendung sicher prüfst und was nach einem Klick zu tun ist.

Fake-SMS zum Paket erkennen: die Warnsignale auf einen Blick

Verdächtig ist jede Paket-SMS, die einen Link enthält und etwas von dir will: eine kleine Gebühr, Zollkosten, eine korrigierte Adresse oder deine Kartendaten. Weitere Hinweise sind ein unbekannter oder ausländischer Absender, verkürzte Links, holpriges Deutsch und Zeitdruck. Hast du nichts bestellt, kannst du die Nachricht löschen. Erwartest du etwas, prüf die Sendung auf dem offiziellen Weg.

Die Paketdienste beschreiben selbst, wie ihre echten Nachrichten aussehen. Unsere Übersicht stellt typische Merkmale einer Fälschung dem gegenüber, was DHL, DPD und Hermes auf ihren Sicherheitsseiten angeben. Links zu diesen Seiten findest du im nächsten Abschnitt.

Oft reicht schon ein einziges dieser Merkmale. Verlangt eine SMS mit Link Geld von dir, bezahlst du nie über diesen Link, auch wenn sie echt aussieht. Bei Zollgebühren gibt es eine Besonderheit, die wir weiter unten erklären. Die Seite hinter dem Link ahmt meist den Auftritt des Paketdienstes nach. Woran du nachgebaute Shop- und Bezahlseiten grundsätzlich erkennst, zeigt unser Ratgeber Fake-Shop erkennen.

Was DHL, DPD und Hermes über ihre echten SMS sagen

Alle drei großen Paketdienste warnen auf eigenen Seiten vor gefälschten Nachrichten in ihrem Namen. Die Angaben unterscheiden sich im Detail. Gemeinsam ist ihnen, dass du Adresse, Zahlung oder Zustellung nicht über einen unbekannten Link klären solltest, sondern über die offizielle Website oder App.

DHL: keine Zahlungen und keine persönlichen Daten per SMS

In seinen Sicherheitshinweisen schreibt DHL, dass das Unternehmen per SMS nie nach persönlichen Daten fragt oder zu Zahlungen auffordert. Gefälschte SMS erkennst du laut DHL oft an einem verkürzten Link, etwa mit bit.ly, der das Ziel verschleiert. Manchmal ist statt einer Nummer nur eine Bezeichnung wie „Lieferung“ zu sehen, oder die Nummer beginnt mit einer unerwarteten Ländervorwahl wie +235. Als Beispiel zeigt DHL eine SMS von einer ausländischen Nummer mit gefälschter Sendungsnummer und einem Link auf eine Seite, die nicht von DHL oder der Deutschen Post stammt.

DPD: eine feste Absendernummer

Laut seiner Seite zur Sicherheit verschickt DPD SMS ausschließlich von der Nummer +49 177 1787807. Echte Meldungen erkennst du außerdem an einer 14-stelligen Trackingnummer, deren Gültigkeit du auf der DPD-Startseite prüfen kannst. Mit Prepaid-Diensten wie Neosurf, iGift oder Paysafe arbeitet DPD nach eigener Aussage an keiner Stelle zusammen.

Auf derselben Seite listet DPD Maschen auf, die nach eigenen Angaben zuletzt häufiger vorkamen. Dazu gehören angebliche Einfuhrgebühren, Versicherungsgebühren und kleine Beträge für ein verpasstes Paket. Im letzten Fall landen Adresse und Kreditkartendaten in einem Formular im DPD-Design, und unbemerkt entsteht so ein Vertrag über weitere Zahlungen.

Hermes: keine Links in echten SMS

Hermes schreibt, dass seine SMS grundsätzlich keine Links enthalten und immer deine Sendungs-ID nennen. Weicht eine Nachricht davon ab, stammt sie laut Hermes nicht vom Paketdienst. Zusätzliche Kosten fordert Hermes von Empfängern nach eigener Aussage nicht an, weil die Versandkosten vollständig beim Versand bezahlt werden. Gleichzeitig warnt Hermes, dass sich bei SMS wie bei E-Mails Absender und Inhalt fälschen lassen.

Wichtig: Eine bekannte Absendernummer oder ein vertrauter Name beweist nichts, weil sich beides fälschen lässt. Entscheidend ist aus unserer Sicht, ob die SMS einen Link enthält und ob du darüber zahlen oder Daten eingeben sollst. Ist das der Fall, gehst du den sicheren Weg über die offizielle Sendungsverfolgung.

Zollgebühren per SMS: Wann echte Zahlungen anfallen

Die Masche mit den Zollgebühren wirkt glaubwürdig, weil sie einen wahren Kern hat: Für Sendungen aus Ländern außerhalb der EU können Einfuhrabgaben anfallen. Der Zoll stellt aber klar, dass er Steuerbescheide und Zahlungsaufforderungen nie per SMS, E-Mail, Telefon oder Messenger verschickt, sondern per Brief. Im häufigsten Fall erledigt der Paketdienst die Formalitäten, streckt die Abgaben vor und kassiert sie bei der Zustellung. Muss ein Paket zum Zollamt, benachrichtigt dich der Paketdienst laut Zoll per Briefpost, nicht per SMS.

Bei den Paketdiensten ist das Bild weniger eindeutig. Die allgemeine DHL-Seite schließt Zahlungsaufforderungen per SMS aus. In den FAQ von DHL Express zu zollpflichtigen Sendungen geht es dagegen ausdrücklich um E-Mails und SMS, mit denen DHL Express Einfuhrabgaben anfordert. Bezahlen kannst du dort laut FAQ auch ohne den Link: über das Portal „DHL Express On Demand Delivery“, in das du deine Sendungsnummer selbst eingibst.

Auch DPD schreibt auf seiner oben verlinkten Sicherheitsseite, dass bei Paketen aus Ländern außerhalb der EU vor der Zustellung eine Zahlung nötig sein kann. Eine echte Zollforderung ist also möglich. Den Link aus der SMS brauchst du trotzdem nicht. Ob wirklich etwas offen ist, klärst du über die offizielle Sendungsverfolgung oder den Kundenservice des Paketdienstes. Kommt eine Zollforderung für ein Paket, das laut Shop aus Deutschland oder einem anderen EU-Land verschickt wurde, ist das aus unserer Sicht ein deutliches Warnsignal.

Wer bei Shops außerhalb der EU bestellt, sollte Einfuhrabgaben ohnehin einplanen. Bei auffällig günstiger Markenware aus solchen Shops lohnt außerdem ein zweiter Blick, ob die Ware überhaupt echt ist. Worauf du dabei achtest, zeigt unser Ratgeber gefälschte Markenware erkennen.

Sendungsnummer sicher prüfen: So gehst du vor

Egal, wie echt eine SMS aussieht: Den sicheren Weg zur Sendung gehst du selbst. Das dauert kaum länger als der Klick auf den Link und funktioniert bei jeder Variante der Masche. So gehst du vor:

1. Bestellung abgleichen: Erwartest du gerade ein Paket, und welcher Paketdienst liefert es laut Shop? Passt beides nicht zur SMS, kannst du sie löschen.
2. Link ignorieren: Tipp ihn nicht an, auch nicht, um nur nachzusehen. Antworte auch nicht auf die Nachricht.
3. Adresse selbst eintippen: Öffne dhl.de, dpd.com oder myhermes.de im Browser oder die offizielle App des Paketdienstes.
4. Nummer aus der Bestellung nehmen: Die Sendungsnummer steht in der Versandbestätigung des Shops oder in deinem Kundenkonto. Die Nummer aus der SMS kann erfunden sein.
5. Ergebnis deuten: Zeigt die Sendungsverfolgung weder eine offene Zahlung noch ein Adressproblem, spricht alles dafür, dass die SMS gefälscht war.

Findet die Sendungsverfolgung deine Nummer noch nicht, hat der Shop das Paket vielleicht einfach noch nicht übergeben. Frag dann beim Shop nach und nicht über Kontaktdaten aus der SMS. Kommt dein echtes Paket später beschädigt an, erklärt unser Ratgeber Paket beschädigt: was tun, wie du den Schaden festhältst und meldest.

Fake-SMS geöffnet: was tun? Die Schritte nach dem Klick

Was jetzt nötig ist, hängt davon ab, wie weit du gekommen bist. Eine SMS nur zu öffnen und zu lesen, ist aus unserer Sicht in der Regel kein Problem. Die Warnungen der Behörden drehen sich um den Link und um Daten, die du auf der verlinkten Seite eingibst. Welche Schritte in welchem Fall nötig sind, zeigt diese Übersicht:

Hast du Kartendaten eingegeben, zählt jede Minute: Je früher die Karte gesperrt ist, desto weniger können Betrüger damit anfangen. Prüf danach deine Umsätze der letzten Tage und reklamiere Abbuchungen, die du nicht kennst, sofort bei deiner Bank. Kommen später Zahlungsaufforderungen für ein Abo, das du nie abschließen wolltest, bezahl nicht ungeprüft. Hol dir dann Rat bei der Verbraucherzentrale und lass Schreiben mit Fristen nicht einfach liegen.

Android: wenn der Link eine App installiert hat

Laut Verbraucherzentrale Hamburg können Links in SMS wie „Ihr Paket hat Verspätung. Jetzt Lieferung bestätigen“ Schadsoftware aufs Smartphone bringen, die SMS im Sekundentakt verschickt. Manche Betroffene bekamen dadurch Rechnungen von bis zu 700 Euro. Die Verbraucherzentrale rät dann unter anderem: Flugmodus einschalten, Screenshots der SMS sichern, Anzeige erstatten und das Handy auf Werkseinstellungen zurücksetzen. Eine hohe Rechnung solltest du nicht einfach bezahlen. Mit einem Einzelverbindungsnachweis lässt sich zeigen, dass die SMS automatisch verschickt wurden.

Das BSI hat 2021 in einer Warnung vor Smishing, die auch gefälschte Paket-SMS nennt, ähnliche Schritte empfohlen: Flugmodus, Mobilfunkanbieter informieren, Konto auf unberechtigte Abbuchungen prüfen und eine Drittanbietersperre einrichten. Dein Handy nimmst du laut BSI zur Beweissicherung mit, wenn du Anzeige erstattest. Auf Werkseinstellungen zurücksetzen solltest du es erst nach der Anzeige und nachdem du wichtige Daten wie Fotos gesichert hast. Vorbeugend rät das BSI, Apps nur aus offiziellen Stores zu laden und die Installation aus unbekannten Quellen abzuschalten.

DHL-Fake-SMS und andere Paket-SMS melden

Melden lohnt sich, auch wenn du nicht geklickt hast. Die Bundesnetzagentur nimmt Beschwerden über SMS-Spam über ein Online-Formular entgegen. Dort gibst du die Absendernummer exakt an, und laut Formular erhöht ein Bildschirmfoto die Beweiskraft deiner Meldung erheblich. Auf ihrer Seite nennt sie typische Paket-SMS wie „Ihr Paket wird im Sortierzentrum aufbewahrt“ oder eine Aufforderung, Zollgebühren zu zahlen, „um die Lieferung fortzusetzen“. Anhand von Beschwerden kann sie unter anderem die Abschaltung von Rufnummern anordnen. Ein Bußgeld für SMS-Spam sieht das Gesetz laut Bundesnetzagentur dagegen nicht vor.

Auch die Paketdienste wollen von Fälschungen in ihrem Namen erfahren. Laut den oben verlinkten Sicherheitsseiten schickst du DHL einen Screenshot der SMS samt Absendernummer an [email protected]. Hermes nimmt Meldungen unter [email protected] entgegen. Bei DPD kannst du unter [email protected] nachfragen, wenn du unsicher bist, ob eine Nachricht wirklich vom Paketdienst stammt. In deiner Nachrichten-App kannst du die Nummer außerdem blockieren und als Spam melden.

Hast du Geld verloren oder Daten eingegeben, erstatte Anzeige bei der Polizei, vor Ort oder über die Onlinewache deines Bundeslandes. Heb dafür Screenshots der SMS, der gefälschten Seite und deiner Kontoauszüge auf. Die Schritte nach einer Zahlung auf einer gefälschten Seite ähneln sich stark. Wie eine Anzeige abläuft und wie du versuchst, dein Geld zurückzuholen, erklärt unser Ratgeber Fake-Shop: was tun.

Ähnliche Links beim privaten Verkauf auf Kleinanzeigen

Nicht nur angebliche Paketdienste arbeiten mit Links, die eine Zahlung oder einen Versand „bestätigen“ sollen. Beim Verkauf auf Kleinanzeigen etwa tauchen nachgebaute Links zu „Sicher bezahlen“ auf, über die du angeblich dein Geld empfängst, in Wahrheit aber Kartendaten preisgibst. Wie diese Masche aus Verkäufersicht aussieht und was Kleinanzeigen selbst dazu schreibt, zeigt unser Ratgeber zu Kleinanzeigen-Betrug als Verkäufer.

Die Regel ist überall dieselbe: Zahlungen und Zahlungseingänge prüfst du in der App deiner Bank, bei PayPal oder direkt auf der Plattform, nie über einen Link, den dir jemand schickt. Welche Zahlungswege beim Versand wirklich schützen, vergleicht unser Ratgeber Kleinanzeigen: sicher bezahlen.

Häufige Fragen zu Fake-SMS vom Paketdienst

Ist eine DHL-SMS mit Zahlungsaufforderung echt?

In aller Regel nicht. DHL schreibt auf seiner Sicherheitsseite, dass das Unternehmen per SMS nie nach persönlichen Daten fragt oder zu Zahlungen auffordert. Gefälschte DHL-SMS enthalten laut DHL oft Kurzlinks wie bit.ly oder kommen von ausländischen Nummern. Eine Ausnahme sind Einfuhrabgaben bei DHL Express. Auch dann zahlst du am sichersten ohne den Link, über das Portal von DHL Express, in das du deine Sendungsnummer selbst eingibst.

Was passiert, wenn ich eine Fake-SMS nur geöffnet habe?

Nach unserer Einschätzung in der Regel nichts. Die Warnungen von Verbraucherzentrale, BSI und Bundesnetzagentur drehen sich um den Link in der Nachricht und um Daten, die du auf der verlinkten Seite eingibst. Antworte nicht, tipp den Link nicht an, melde die SMS und lösche sie dann.

Fake-SMS auf dem iPhone geöffnet: Was muss ich tun?

Die Warnung des BSI von 2021 vor Schadsoftware aus Paket-SMS betraf vor allem Android-Geräte, auf denen sich Apps auch außerhalb der offiziellen Stores installieren lassen. iPhone-Nutzer landeten laut BSI in der Regel auf Werbe- oder Phishing-Seiten. Hast du dort nichts eingegeben, schließ die Seite und halte iOS aktuell. Falls du Karten- oder Zugangsdaten eingetippt hast, lass die Karte sperren und ändere die Passwörter.

Sind Zollgebühren per SMS immer Betrug?

Nicht immer. Der Zoll selbst fordert nie per SMS zur Zahlung auf. DHL Express und DPD können bei Paketen aus Ländern außerhalb der EU aber vor der Zustellung Einfuhrabgaben verlangen. Erwartest du keine solche Sendung, ist die SMS ein Fake. Wartest du auf eine, gib die Sendungsnummer aus deiner Bestellung selbst beim Paketdienst ein und zahl nur dort.

Kostet mich der Klick auf eine Fake-SMS Geld?

Der Klick allein kostet meist nichts, teuer wird es durch Eingaben oder installierte Apps. Die Verbraucherzentrale Hamburg berichtet von Rechnungen über mehrere hundert Euro, weil Schadsoftware auf Smartphones massenhaft SMS verschickt. Solche Forderungen musst du laut Verbraucherzentrale nicht einfach hinnehmen. Je nach Masche kommen Abbuchungen von der Karte oder untergeschobene Abos hinzu.

Wo melde ich eine Fake-SMS zum Paket?

Bei der Bundesnetzagentur über das Beschwerdeformular für SMS-Spam, am besten mit Screenshot. Außerdem kannst du die SMS dem Paketdienst melden, dessen Namen sie missbraucht, etwa DHL unter [email protected]. Blockier die Nummer in deiner Nachrichten-App. Hast du Geld verloren oder Daten eingegeben, erstatte auch Anzeige bei der Polizei.

Woran erkenne ich eine echte SMS von DPD oder Hermes?

DPD verschickt SMS laut eigener Sicherheitsseite nur von der Nummer +49 177 1787807 und nennt eine 14-stellige Trackingnummer. Echte Hermes-SMS enthalten laut Hermes grundsätzlich keine Links und immer deine Sendungs-ID. Weil sich Absender fälschen lassen, prüfst du die Sendung trotzdem am besten selbst über die offizielle Website oder App.

Fazit: Bei Paket-SMS nie über den Link gehen

Eine Fake-SMS zum Paket lebt davon, dass du schnell reagierst: kleine Gebühr, falsche Adresse, angeblich letzte Chance. Die Paketdienste liefern das Gegenmittel gleich mit. Hermes verschickt keine Links, DPD nur von einer festen Nummer, und selbst eine echte Zollforderung klärst du ohne den Link über die Sendungsnummer aus deiner Bestellung. Egal, wie echt eine Nachricht wirkt: Du prüfst die Sendung selbst über die offizielle Website oder App.

Ist doch etwas passiert, zählt Tempo. Karte sperren, Passwörter ändern, bei einer installierten App in den Flugmodus, dann melden und Anzeige erstatten. Wer weiß, wie echte Nachrichten aussehen, lässt sich von der nächsten Welle nicht mehr so leicht aus der Ruhe bringen.