Achtung, SMS-Blaster!

Ein SMS-Blaster ist ein illegales elektronisches Gerät, das eine echte Mobilfunkantenne simuliert und innerhalb von kurzer Zeit eine grosse Anzahl Phishing-SMS an die Smartphones im Umkreis von mehreren hundert Metern verschickt. Sind Sie in der Umgebung, verbindet sich der Blaster automatisch mit Ihrem Handy, ohne dass die Betrüger:innen Ihre Telefonnummer kennen müssen.

Im Zusammenhang mit SMS-Blastern ist oft auch von «IMSI-Catchern» oder «False Base Stations» die Rede (Fake-Mobilfunkantennen). Die Begriffe «IMSI-Catcher» und «False Base Station» können synonym für eine Fake-Mobilfunkantenne verwendet werden. Zum Verständnis: Nicht jede Fake-Antenne ist automatisch ein SMS-Blaster, aber jeder SMS-Blaster beinhaltet einen IMSI-Catcher bzw. eine Fake-Antenne.

Ein SMS-Blaster zwingt Smartphones kurzzeitig ins veraltete 2G-Netz. Dort wird eine bekannte Schwachstelle, die sogenannte «Null-Cipher», ausgenutzt, um Nachrichten ungeprüft zuzustellen. Diese Masche funktioniert, obwohl das 2G-Netz in der Schweiz abgeschaltet ist: Die Täter:innen betreiben sozusagen ihre eigene Antenne und umgehen damit die Schutzfilter der Mobilfunkanbieterinnen.

SMS-Blaster werden fast immer folgendermassen eingesetzt: Die Betrüger:innen transportieren den SMS-Blaster im Kofferraum eines Autos, mit dem öffentlichen Verkehr (Bus, U-Bahn, Zug), auf einem Velo oder zu Fuss durch ein Gebiet mit vielen Menschen, wie zum Beispiel eine Innenstadt oder ein belebtes Quartier. Alternativ positionieren sie den SMS-Blaster an stark frequentierten Orten wie Einkaufsmeilen, Einkaufszentren, Bahnhöfen, Flughäfen oder bei Grossveranstaltungen, wie etwa dem Eurovision Song Contest 2026 in Wien.

Der SMS-Blaster verschickt massenhaft gefälschte SMS, die aussehen, als kämen sie von der Post, einer Bank oder einer Behörde. Über einen Link werden die Opfer auf eine täuschend echt aussehende Phishing-Website gelockt. Wer dort seine Kreditkarten- oder E-Banking-Logindaten eingibt, übermittelt sie direkt an die Betrüger:innen. Diese tätigen anschliessend oft bereits innerhalb von Minuten Zahlungen oder Überweisungen.

Phishing-SMS können den gleichen Absender wie legitime SMS dieser Organisation haben (siehe auch SMS-Spoofing). Deshalb können sie auf Ihrem Handy sogar im offiziellen SMS-Verlauf mit dieser Organisation erscheinen. Seien Sie deshalb generell vorsichtig, wenn Sie unerwartet SMS mit einem Link erhalten.

Fragen Sie die Menschen in Ihrer Umgebung, ob auch sie ein verdächtiges SMS erhalten haben. Wenn ja, handelt es sich mit hoher Wahrscheinlichkeit um einen SMS-Blaster-Angriff. Prüfen Sie, ob die Empfangszeitpunkte der SMS ungefähr übereinstimmen.

Wenn nicht, erkennen Sie Phishing-SMS inhaltlich an den folgenden Merkmalen:

• Das SMS ist angeblich von einer vertrauenswürdigen Organisation.
• Die Nachricht macht Druck und weist auf einen dringenden Handlungsbedarf hin.
• Sie sollen über einen Link eine Zahlung tätigen oder Daten eingeben.
• Typische Vorwände: Parkbusse, Paketzustellung, Bankmeldung, Kontosperrung 

Mehr zu SMS-Phishing

Aktivieren Sie auf Ihrem Smartphone den Spamschutz für SMS und deaktivieren Sie den 2G-Standard:

Android-Geräte: Den Spamschutz sollten Sie in den Einstellungen Ihrer Nachrichten-App aktivieren können. Ab Android 12 können Sie bei Android-Geräten ausserdem in den Einstellungen unter Netzwerk & Internet > SIMs den 2G-Standard pro SIM-Karte deaktivieren, damit sich Ihr Smartphone gar nicht erst mit einem SMS-Blaster verbinden kann. Die genaue Bezeichnung kann je nach Herstellerin abweichen. Bei Samsung Modellen sollten Sie unter Verbindungen > Mobile Netzwerke > Netzwerkmodus einen Modus ohne 2G auswählen können.

iPhones: Bei iPhones finden Sie den Spamschutz unter Einstellungen > Nachrichten > Unbekannt & Spam > Unbekannte Absender filtern. Den 2G-Standard können Sie bei iPhones jedoch nicht deaktivieren, ohne dass es zu Funktionseinschränkungen kommt. Die Aktivierung des sogenannten «Lockdown Mode» oder «Blockierungsmodus» würde Sie im Alltag zu sehr einschränken und ist daher zum Schutz vor SMS-Blastern nicht empfehlenswert.

Klicken Sie generell nicht auf Links in SMS, die Sie zu einer Zahlung oder einer Dateneingabe auffordern, selbst wenn die Nachricht in Ihrem SMS-Verlauf mit Ihrer Bank, der Post oder einer Behörde erscheint. Fragen Sie im Zweifelsfall über einen offiziellen Kanal, wie zum Beispiel der Nummer des Kundenservice zuerst bei der betreffenden Organisation nach, bevor Sie einer solchen SMS-Aufforderung nachkommen.

Seien Sie misstrauisch, wenn Sie einen Anruf erhalten, in dem Sie angeblich Ihre Bank oder die Polizei beispielsweise auf Unregelmässigkeiten auf Ihrem Konto oder einen Cyberangriff hinweisen möchte. Die angezeigte Nummer könnte gefälscht sein. Hängen Sie einfach auf und rufen Sie die Organisation auf der offiziellen Nummer zurück. Geben Sie am Telefon keine sensiblen Daten preis. Mehr zu Phishing am Telefon