„DHL: Ihr Paket konnte wegen unvollständiger Adressangaben nicht zugestellt werden. Bitte bestätigen Sie Ihre Adresse innerhalb von 12 Stunden.“ Darunter ein Link. Die Nachricht steht im selben Verlauf wie die echten DHL-Meldungen der letzten Wochen, und Sie warten tatsächlich auf eine Bestellung. Genau dieser Zufall ist das Geschäftsmodell.
Gefälschte Paket-SMS funktionieren, weil fast jeder ständig auf irgendein Paket wartet. Die Betrüger müssen nicht wissen, was Sie bestellt haben. Sie schicken dieselbe Nachricht an Tausende Nummern und warten auf die Menschen, bei denen sie zufällig passt. Seit dem 1. Juli 2026 kommt ein neuer Hebel dazu: Auf günstige Online-Bestellungen aus Ländern außerhalb der EU fällt jetzt Zoll an. Eine SMS über „ausstehende Zollgebühren von 2,99 Euro“ klingt deshalb plausibler als je zuvor.
Unsere Einschätzung: Eine echte Paketnachricht funktioniert auch ohne ihren Link. Wenn es das Paket wirklich gibt, finden Sie es über die Sendungsnummer aus Ihrer Bestellbestätigung in der offiziellen App oder auf der Webseite des Paketdienstes. Prüfen Sie also nicht die SMS, sondern das Paket. Das ist zuverlässiger als jede Liste mit Rechtschreibfehlern.
Wie DHL, Hermes, DPD und der Zoll wirklich benachrichtigen
Die Paketdienste haben ihre eigenen Regeln veröffentlicht. Sie unterscheiden sich, und gerade diese Unterschiede helfen beim Erkennen:
| Absender | Was laut eigener Aussage gilt | Klares Warnzeichen |
|---|---|---|
| DHL Paket | Fragt per SMS nie nach persönlichen Daten und fordert per SMS nie zu Zahlungen auf. | SMS im Namen von DHL Paket, die Geld oder eine Adressbestätigung will |
| DHL Express | Fordert per E-Mail oder SMS nur Zollgebühren und Steuern an; vor der Zahlung geht ein Einmalcode an den hinterlegten Kontakt des Empfängers. | Zahlungsaufforderung ohne echte Express-Sendung, die Sie selbst verfolgen können |
| Hermes | SMS enthalten grundsätzlich keine Links und immer Ihre Sendungs-ID. Nachforderungen per E-Mail verschickt Hermes nicht. | Jede „Hermes“-SMS mit Link |
| DPD | SMS kommen nur von der Nummer +49 177 1787807, echte Nachrichten tragen eine 14-stellige Trackingnummer. Zahlungsaufforderungen in dieser Form verschickt DPD nicht. | Andere Absendernummer, Gebühr per Link |
| Zoll | Steuerbescheide und Zahlungsaufforderungen kommen nie per SMS, E-Mail oder Messenger, sondern per Briefpost. Gezahlt wird nur auf Konten der Bundeskasse. | Jede SMS „vom Zoll“ |
Ehrlich gesagt ist der oft gehörte Satz „Paketdienste verlangen nie Geld per SMS“ nicht ganz richtig. DHL Express fordert Zoll und Steuern tatsächlich elektronisch an, und wer sich bei einem Dienst für Zollhinweise vorab registriert hat, bekommt solche Nachrichten ebenfalls. Die bessere Regel lautet deshalb: Bezahlen Sie nie über einen Link aus einer Nachricht. Zahlen Sie nur, wenn Sie die Sendungsnummer selbst in die offizielle Sendungsverfolgung eingegeben haben und die Gebühr dort angezeigt wird.
Warum die Fälschung im echten DHL-Verlauf auftaucht
Viele Menschen halten eine SMS für echt, weil sie direkt unter früheren, echten DHL-Nachrichten erscheint. Das ist kein Beweis. Massen-SMS lassen sich mit einem Namen statt einer Rufnummer als Absender verschicken. Das Handy sortiert eine Nachricht mit dem Absender „DHL“ automatisch in den vorhandenen Verlauf mit demselben Namen ein. DHL selbst hat davor gewarnt: Die SMS stamme nicht von DHL, auch wenn dort „DHL“ oder „DHL Paket“ als Absender stehe.
Auf seiner Sicherheitsseite nennt DHL weitere typische Merkmale gefälschter SMS: ein allgemeiner Absendername wie „Lieferung“ statt einer Nummer, eine unerwartete Ländervorwahl wie +235 und gekürzte Links, etwa mit bit.ly, die das wahre Ziel verbergen. Was kaum jemand sagt: Der Absendername ist bei SMS genauso eine Behauptung wie die Nummer im Display bei einem Anruf. Nur der Inhalt verrät die Fälschung.
Was hinter dem Link passiert - nach Schaden geordnet
Hinter den Links stecken unterschiedliche Ziele. In der Praxis sind sie unterschiedlich teuer:
- Kartendaten und der Bestätigungscode. Die Seite verlangt eine kleine Gebühr und fragt Kartennummer, Ablaufdatum und Prüfziffer ab. Danach kommt ein Code per SMS oder E-Mail. Die Verbraucherzentrale Hamburg hat eine Masche beschrieben, bei der so ein Code keine Zahlung bestätigt, sondern Ihre Karte bei Apple Pay auf dem Handy der Täter hinzufügt. Danach kaufen sie auf Ihre Kosten ein. Fragt Sie kurz nach der SMS jemand am Telefon nach einem Code, angeblich von Ihrer Bank oder vom Paketdienst, legen Sie auf. Mehr dazu, wann Banken wirklich anrufen, lesen Sie unter Darf meine Bank mich anrufen?
- Schadsoftware auf Android. Der Link bietet eine angebliche Tracking-App zum Download an. Wer die Installation bestätigt, holt sich Schadsoftware aufs Handy, die selbst massenhaft SMS verschickt und Daten ausspäht. Die Verbraucherzentrale Hamburg berichtet von Rechnungen bis zu 700 Euro für automatisch verschickte SMS. Auf dem iPhone funktioniert dieser Weg so nicht, dort zielt die Seite vor allem auf Ihre Daten.
- Abofallen. Manche Seiten verstecken im Kleingedruckten ein Abo. Aus 2,99 Euro werden dann monatliche Abbuchungen.
Die angebliche Zollgebühr ist dabei nur der Köder. Der kleine Betrag soll nicht weh tun, er soll Ihre Kartendaten auf die Seite bringen.
Die Zoll-Variante: Wie echte Einfuhrabgaben bezahlt werden
Seit dem 1. Juli 2026 erhebt die EU auf Online-Bestellungen aus Nicht-EU-Ländern mit einem Warenwert unter 150 Euro pauschal 3 Euro Zoll je Warenposition, zunächst für Sendungen, die über das IOSS-Verfahren angemeldet werden. Die bisherige Zollfreigrenze für solche Kleinsendungen ist damit weggefallen. Betrüger lieben solche Neuerungen, weil kaum jemand genau weiß, wie das Verfahren abläuft.
Der Normalfall sieht laut Zoll so aus: Der Paketdienst übernimmt die Zollformalitäten, legt die Einfuhrabgaben aus und stellt sie Ihnen bei der Auslieferung in Rechnung. Der Zoll selbst meldet sich nie per SMS. Eine Nachricht, die im Namen des Zolls eine Gebühr per Link, per Prepaid-Karte oder auf ein Konto mit ausländischer IBAN verlangt, ist gefälscht.
Sie haben geklickt: Was Sie jetzt tun
Ein Klick allein ist noch kein Schaden. Entscheidend ist, was danach passiert ist. Gehen Sie in dieser Reihenfolge vor:
- Flugmodus einschalten. So kann eine installierte Schadsoftware keine SMS mehr verschicken und keine Daten senden.
- Kartendaten eingegeben? Lassen Sie die Karte sofort bei Ihrer Bank oder über den Sperr-Notruf 116 116 sperren. Prüfen Sie Ihre Umsätze und fragen Sie nach einer Rückbuchung über das Kartenunternehmen (Chargeback).
- App installiert? Starten Sie das Handy im abgesicherten Modus und entfernen Sie alle Apps, die Sie nicht bewusst installiert haben. Hilft das nicht, setzen Sie das Gerät nach einer Datensicherung auf Werkseinstellungen zurück. Ändern Sie danach Ihre Passwörter.
- Mobilfunkanbieter informieren. Lassen Sie eine Drittanbietersperre einrichten und verlangen Sie bei einer hohen Rechnung einen Einzelverbindungsnachweis, statt sie einfach zu bezahlen.
- Anzeige erstatten und melden. Erstatten Sie Anzeige bei der Polizei, zum Beispiel über die Onlinewache Ihres Bundeslandes. Gefälschte DHL-SMS können Sie als Screenshot mit der Absendernummer an phishing@dhl.com schicken.
Weitere Hinweise zum Bereinigen eines Smartphones gibt das BSI. Wer nur auf den Link getippt, aber weder eine App installiert noch Daten eingegeben hat, kann die Seite schließen und die SMS löschen.
Und wenn die SMS von einer ganz normalen Handynummer kommt?
Viele Paket-SMS kommen nicht von „DHL“, sondern von einer gewöhnlichen deutschen Mobilfunknummer. Hier lohnt ein zweiter Blick: Die Verbraucherzentrale Niedersachsen weist darauf hin, dass Kriminelle ihre Nachrichten auch über bereits infizierte Handys anderer Menschen verbreiten. Der Inhaber der Nummer ist dann oft selbst Opfer. Ein wütender Rückruf trifft also womöglich die falsche Person.
Auf Wer ruft mich an? sehen Sie, ob andere Nutzer dieselbe Nummer schon gemeldet haben und was sie berichten. Ein Kommentar von Ihnen hilft den nächsten Empfängern. Den Absender zu blockieren bringt dagegen wenig, weil die Nummern ständig wechseln. Ähnliche Fake-Links mit Paketdienst-Logo begegnen Ihnen übrigens auch beim Verkaufen, siehe Kleinanzeigen-Betrug mit WhatsApp-Link.
Häufige Fragen zur Paket-SMS
Ich erwarte wirklich ein Paket. Woran erkenne ich, ob die SMS dazu gehört?
Nehmen Sie die Sendungsnummer aus der Versandbestätigung des Shops, nicht aus der SMS. Geben Sie sie selbst in der App oder auf der Webseite des Paketdienstes ein. Steht dort kein Problem und keine Gebühr, war die SMS gefälscht, auch wenn sie zufällig zu Ihrer Bestellung passt.
Woher haben die Betrüger meine Handynummer?
Nach Angaben der Verbraucherzentrale NRW stammen die Nummern zum Beispiel aus gehackten Datenbanken, aus zweifelhaftem Adresshandel oder aus unseriösen Gewinnspielen. Persönliche Anreden mit Ihrem Vornamen stammen meist aus fremden Adressbüchern, die Schad-Apps auf den Handys anderer Menschen ausgelesen haben.
Soll ich auf die SMS antworten, etwa mit „STOP“?
Nein. Jede Antwort zeigt, dass die Nummer aktiv ist. Löschen Sie die Nachricht. Wenn Ihr Handy es anbietet, melden Sie sie vorher als Spam.
Unterm Strich
Die gefälschte Paket-SMS gewinnt nicht durch gute Technik, sondern durch Timing: Sie trifft Menschen, die ohnehin auf ein Paket warten. Dagegen hilft kein geschultes Auge für Tippfehler, sondern eine Gewohnheit. Jedes echte Paket finden Sie auch ohne den Link aus der Nachricht. Wer das verinnerlicht, muss keine Fälschung mehr erkennen, um sicher zu sein.