Phishing beim Online-Shopping: falsche Paket-SMS, Shop-Mails und Zahlungsaufforderungen erkennen

Ratgeber · Redaktion · veröffentlicht am 04.11.2026 · aktualisiert am 03.11.2026

Wer viel online bestellt, bekommt viele Nachrichten: Versandbestätigungen, Zustellhinweise, Rechnungen. Genau das nutzen Betrüger. Sie verschicken SMS über angeblich nicht zustellbare Pakete, Mails im Design großer Shops oder Zahlungsaufforderungen für angeblich offene Beträge. Ein Klick führt auf eine täuschend echte Seite, die Zugangsdaten, Kartendaten oder eine kleine Gebühr abgreift. Das Bundesamt für Sicherheit in der Informationstechnik zählt Phishing zu den häufigsten Ursachen für Schäden beim Online-Shopping. Dieser Ratgeber zeigt die gängigen Maschen und wie du sie erkennst.

Die falsche Paket-SMS

Die bekannteste Masche ist eine SMS oder Messenger-Nachricht, die eine Paketzustellung ankündigt: Das Paket könne nicht zugestellt werden, die Adresse sei unvollständig oder es fehle eine kleine Gebühr. Ein Link soll zur Lösung führen. Dahinter steckt eine Seite im Design eines Paketdienstes, die Adress- und Kartendaten abfragt.

Mit der kleinen Gebühr von oft nur ein oder zwei Euro geht es nicht um das Geld selbst, sondern um deine Kartendaten. Sie werden anschließend für größere Abbuchungen genutzt oder weiterverkauft. Manche Varianten verleiten auch zur Installation einer App, die Schadsoftware enthält.

Paketdienste verschicken zwar echte Benachrichtigungen, verlangen aber keine Gebühren über Links in SMS. Prüfe den Status einer Sendung immer direkt in der App oder auf der Website des Paketdienstes, indem du die Adresse selbst eingibst. Zollgebühren für Sendungen aus Drittländern werden bei der Zustellung erhoben, nicht per SMS-Link.

Mails im Design bekannter Shops

Eine zweite Masche sind Mails, die aussehen wie Nachrichten großer Shops oder Marktplätze. Typische Anlässe: Dein Konto sei gesperrt, eine Bestellung sei fehlgeschlagen, deine Zahlungsdaten müssten aktualisiert werden oder du habest einen Gutschein gewonnen. Der Link führt auf eine nachgebaute Login-Seite.

Gibst du dort deine Zugangsdaten ein, haben die Täter Zugriff auf dein Kundenkonto. Sie können mit hinterlegten Zahlungsarten bestellen, Lieferadressen ändern oder deine Daten für weitere Betrugsversuche nutzen. Besonders gefährlich ist das, wenn du dasselbe Passwort auch für andere Dienste verwendest.

Das BSI rät, Absenderadresse und Links genau zu prüfen. Fahr mit der Maus über einen Link, ohne zu klicken, und schau, wohin er wirklich führt. Logge dich im Zweifel nie über einen Link in einer Mail ein, sondern rufe die Website des Shops selbst auf.

Falsche Rechnungen und Zahlungsaufforderungen

Eine weitere Variante sind Mails mit angeblich offenen Rechnungen, Mahnungen oder Inkassoforderungen für Bestellungen, die du nicht kennst. Häufig hängt eine Datei an, die als Rechnung getarnt ist, aber Schadsoftware enthält. Oder die Mail drängt zu einer schnellen Überweisung, um angebliche Mahnkosten zu vermeiden.

Öffne keine Anhänge von unbekannten Absendern, besonders keine Archive oder Dateien mit Makros. Prüfe in deinem Kundenkonto beim angeblichen Shop, ob es die Bestellung gibt. Echte Inkassoforderungen nennen den ursprünglichen Gläubiger, die Forderung im Einzelnen und sind nachvollziehbar.

Bekommst du eine echte Rechnung für eine Bestellung, die du nicht aufgegeben hast, kann ein Identitätsdiebstahl dahinterstecken. Dann widersprich schriftlich, informiere den Händler und erstatte Anzeige.

Woran du Phishing erkennst

Es gibt einige wiederkehrende Merkmale. Die Nachricht erzeugt Zeitdruck, etwa mit der Drohung, das Paket gehe sonst zurück oder das Konto werde gesperrt. Die Anrede ist unpersönlich oder passt nicht zu dem Namen, unter dem du beim Shop registriert bist. Der Absender oder die Linkadresse weicht vom echten Namen ab, oft nur durch einen Buchstaben oder eine zusätzliche Endung.

Weitere Hinweise sind Nachrichten über Sendungen, die du gar nicht erwartest, Aufforderungen zur Eingabe vollständiger Kartendaten oder einer TAN und sprachliche Auffälligkeiten. Professionelle Phishing-Mails sind allerdings oft fehlerfrei und grafisch perfekt.

Die wichtigste Regel ist deshalb nicht das Erkennen jeder Fälschung, sondern das Verhalten: Klick nicht auf Links in unerwarteten Nachrichten, sondern rufe Shop oder Paketdienst selbst auf. Was dort nicht angezeigt wird, existiert in der Regel nicht.

Konten richtig absichern

Das BSI nennt sieben Schlüsselfaktoren für die Sicherheit von Online-Konten, darunter sichere Passwörter, ein sicherer Umgang damit, Zwei-Faktor-Authentisierung und ein gut geschütztes E-Mail-Konto. Gerade das Mailkonto ist zentral, weil darüber Passwörter zurückgesetzt werden können.

Verwende für jeden Shop ein eigenes, langes Passwort, am besten mit einem Passwortmanager. Aktiviere die Zwei-Faktor-Authentisierung überall, wo sie angeboten wird, besonders bei Marktplätzen, Zahlungsdiensten und E-Mail. Hinterlege Zahlungsdaten nur bei Shops, bei denen du regelmäßig kaufst.

Prüfe gelegentlich die Bestellhistorie und die hinterlegten Lieferadressen in deinen Konten. Unbekannte Bestellungen oder Adressen sind ein Hinweis auf einen fremden Zugriff.

Wenn du schon geklickt hast

Hast du auf einer Phishing-Seite Zugangsdaten eingegeben, ändere sofort das Passwort beim echten Dienst und bei allen Diensten, bei denen du dasselbe Passwort nutzt. Aktiviere die Zwei-Faktor-Authentisierung und melde dich in den Kontoeinstellungen von allen Geräten ab, falls das möglich ist.

Hast du Kartendaten eingegeben, lass die Karte sofort sperren, in Deutschland etwa über den zentralen Sperr-Notruf 116 116 oder direkt bei deiner Bank. Kontrolliere die Umsätze der letzten Tage und widersprich unbekannten Belastungen. Bei nicht autorisierten Zahlungen muss die Bank nach § 675u BGB grundsätzlich erstatten.

Hast du eine App installiert, trenne das Gerät vom Netz, deinstalliere die App und lass das Gerät gegebenenfalls zurücksetzen. Erstatte Anzeige bei der Polizei und informiere den betroffenen Shop oder Paketdienst, der die Fälschung melden kann.

Phishing melden

Gefälschte Mails und SMS kannst du an die Verbraucherzentrale weiterleiten, die mit dem Phishing-Radar Warnungen veröffentlicht. Viele Unternehmen haben eigene Adressen für die Meldung gefälschter Nachrichten in ihrem Namen. SMS mit verdächtigen Links kannst du außerdem bei deinem Mobilfunkanbieter melden.

Meldungen helfen, Phishing-Seiten schneller sperren zu lassen und andere zu warnen. Lösche die Nachricht nach der Meldung und blockiere den Absender.

Wer regelmäßig solche Nachrichten bekommt, sollte prüfen, ob seine Telefonnummer oder Mailadresse in einem Datenleck aufgetaucht ist. Dienste dafür bieten unter anderem Forschungseinrichtungen an. Eine neue Mailadresse nur für Online-Shopping kann helfen, die Flut einzudämmen.

Telefonbetrug rund um Bestellungen

Neben Nachrichten nutzen Betrüger auch Anrufe. Angebliche Mitarbeiter eines Shops, eines Paketdienstes oder der Bank melden sich wegen einer verdächtigen Bestellung oder einer gescheiterten Zahlung und bitten um Bestätigung per TAN, um die Installation einer Fernwartungssoftware oder um die Freigabe einer Zahlung in der Banking-App.

Echte Mitarbeiter fragen nie nach TANs, PINs oder Passwörtern und verlangen keine Fernwartung auf deinem Gerät. Beende solche Gespräche und rufe die Bank oder den Shop über die offizielle Nummer zurück, die du selbst heraussuchst, nicht über eine Nummer aus dem Anruf oder einer SMS.

Besonders tückisch sind Anrufe mit gefälschter Rufnummernanzeige, bei denen auf dem Display die echte Nummer der Bank erscheint. Die angezeigte Nummer ist kein Beleg dafür, wer anruft.

Phishing und Fakeshops gehören zusammen

Fakeshops und Phishing nutzen dieselben Techniken: nachgebaute Seiten, Zeitdruck und das Vertrauen in bekannte Marken. Manche Fakeshops verschicken nach der Bestellung gefälschte Versandbenachrichtigungen mit nicht existierenden Sendungsnummern, um Zeit zu gewinnen.

Deshalb gilt für beide: Adresse prüfen, nicht über Links einloggen, keine Vorkasse bei unbekannten Anbietern und sichere Zahlungsarten wählen. Unser Shop-Check fasst die Warnzeichen für Shops zusammen, der Fakeshop-Finder der Verbraucherzentrale prüft Adressen automatisch.

Und schließlich: Echte Shops und Paketdienste fordern dich nie auf, Passwörter, vollständige Kartendaten oder TANs per Mail, SMS oder Telefon mitzuteilen.