Die falsche Post-SMS erkennen

Vom StoryCheck Team · 7 Min. Lesezeit · Veröffentlicht am 29. September 2026

Eine SMS, in der angeblich die Österreichische Post für ein wartendes Paket eine kleine Gebühr verlangt oder dich Daten über einen Link bestätigen lässt, ist Betrug. Die Post schreibt selbst, dass sie von Empfängern nie Bankdaten verlangt, um ein reguläres Paket zuzustellen, und dass SMS mit der Aufforderung, Import- oder Transportkosten zu zahlen, nicht von ihr stammen. Tipp den Link nicht an, lösch die Nachricht und melde sie der RTR unter rufnummernmissbrauch.at.

Zwei Hände halten ein Smartphone und tippen eine Nachricht, im Hintergrund eine helle Küche — Die gefälschte Paket-SMS wirkt oft echt, weil du gerade wirklich etwas bestellt hast. Das ist Zufall: Sie wird massenhaft verschickt.

Wie sieht die falsche Post-SMS aus?

Der Text ist kurz und klingt nach Logistik: Das Paket liegt im Verteilzentrum, eine Zustellung ist gescheitert oder eine Zollgebühr ist offen, und ohne Zahlung geht die Sendung angeblich zurück. Dieselben Maschen kommen per SMS und per E-Mail. Die Watchlist Internet dokumentierte etwa die SMS „Ihr Paket ist in unserem ATPOST-Sortierzentrum angekommen. Bezahlen Sie die Importkosten über …“, dahinter eine gefälschte Post-Seite, auf der 4,50 Euro per Kreditkarte fällig waren. Heuer im Juli warnte sie vor Mails mit einer „Zollgebühr“ von 1,99 Euro und erfundenen Sendungsnummern.

Die kleinen Beträge sind Absicht. Laut Watchlist Internet sollen Opfer meist zwischen einem und drei Euro per Kreditkarte zahlen, weil bei so wenig Geld kaum jemand misstrauisch wird. Mit den Kartendaten buchen die Täter danach laufend ab oder versuchen, deutlich höhere Beträge abzubuchen.

Was in der Nachricht steht	Was dahintersteckt	Was du tust
Zustellung gescheitert, Daten bestätigen, sonst geht das Paket zurück	Name, Adresse und Geburtsdatum für spätere Betrügereien. Die Post nennt etwa die Fake-Seite postaustria.org	Nichts antippen, den Status selbst in der Post App oder auf post.at prüfen
Zollgebühr oder Importkosten offen, oft ein Kleinbetrag wie 1,99 oder 2,99 Euro	Kartendaten abgreifen, danach höhere Abbuchungen oder eine Abo-Falle	Nichts zahlen, auch keinen Kleinbetrag
„Import-Eingang offen“, Paket im Logistikzentrum, Frist 48 Stunden (Mail im Namen von DPD)	Führt zu nachgebauten Login-Seiten österreichischer Banken	Nie über einen Link ins Online-Banking einsteigen
Versandkosten offen, „Planen Sie Ihre Lieferung“, dazu der angebliche Inhalt wie ein iPhone	Abo-Falle oder hohe Abbuchung von der Kreditkarte	Versandkosten zahlt der Absender beim Versand, außer bei einer Nachnahme
Gelber Zettel mit QR-Code im Postkasten	Eine gefälschte Verständigung, die laut Post auf post-kontakt.at führt	Nicht scannen, die Sendungsnummer selbst prüfen
Karte im Postkasten: dringend eine Telefonnummer anrufen	Laut Post keine Drucksorte der Post, die Nummer gehört nicht zu ihr	Nicht anrufen, beim Kundenservice der Post selbst nachfragen

Die häufigsten Paket-Maschen in Österreich

Woran erkennst du, dass die Nachricht nicht von der Post kommt?

Die Post kassiert nicht per Link. Laut ihrer Warnseite „Gefahren im Internet“ verlangt sie nie die Bankdaten (IBAN und BIC) von Empfängern, um reguläre Pakete zuzustellen, und SMS, die zum Ergänzen von Informationen, Bestätigen einer Sendung oder Zahlen von Import- oder Transportkosten auffordern, sind keine Information der Österreichischen Post.
Der Link führt nicht auf post.at. Bekannte Fälschungen laut Post und Watchlist Internet: postaustria.org, post-kontakt.at und at-packaging.store.
Der Betrag passt nicht. Für Zolldienstleistungen nennt die Post einen Importtarif zwischen 7,20 und 43,20 Euro, je nach Warenwert und Produkt, dazu kommen Einfuhrumsatzsteuer und allenfalls Zoll. Glatte Kleinbeträge wie 1,99 Euro kommen in dieser Liste nicht vor.
Der Inhalt passt nicht zu dir: Du erwartest gar nichts, oder die Nachricht nennt den Paketinhalt. Echte Benachrichtigungen nennen den Inhalt laut Watchlist Internet üblicherweise nicht.
Bei Mails: Echte Nachrichten der Post enden auf @post.at, der Absendername lautet „Österreichische Post AG“ oder „Meine Post“. Die Post warnt aber, dass Betrüger selbst eine Absenderadresse wie meine.post@post.at vortäuschen können, der Absender allein beweist also nichts.

Echte Post-SMS gibt es auch: Mit dem Service Empfänger-Info kündigt die Post im Auftrag von Versandhändlern eine Zustellung per SMS oder E-Mail an. Eine Ankündigung ist aber keine Rechnung. Ob wirklich etwas für dich unterwegs ist, siehst du in der Post App oder wenn du post.at selbst aufrufst und die Sendungsnummer aus deiner Bestellbestätigung eingibst.

Was ändert sich ab 1. Oktober 2026?

Bisher ließ sich der Absendername einer SMS mit frei erhältlichen Programmen fälschen, laut RTR oft sogar kostenlos. Die RTR berichtete 2025, dass Betrugs-SMS dadurch im selben Verlauf wie die echten SMS der Hausbank, von PayPal oder finanzonline.at landen können. Mit einer Novelle der Kommunikationsparameter-, Entgelt- und Mehrwertdiensteverordnung ändert sich das: Seit 1. Juli 2026 führt die RTR ein öffentliches Verzeichnis für Absendernamen, und ab 1. Oktober 2026 dürfen Betreiber in Österreich nur noch SMS mit eingetragenen Absendernamen zustellen.

SMS mit einem nicht eingetragenen Absendernamen werden verworfen.
Kann der Betreiber nicht sicherstellen, dass die SMS im Auftrag des eingetragenen Absenders kommt, ersetzt er den Namen durch „Unbekannt“.
Alphanumerische SMS aus dem Ausland an österreichische Kundinnen und Kunden sind laut RTR künftig untersagt.
Nicht erfasst sind SMS von gewöhnlichen Telefonnummern und Nachrichten über WhatsApp, iMessage oder RCS. Gefälschte Absendernamen werden also schwieriger, ein Link mit Zahlungsaufforderung bleibt trotzdem ein Warnsignal.

Link angetippt, Daten eingegeben: Was jetzt?

1
Nur geöffnet?
Hast du den Link nur angetippt und nichts eingegeben, besteht laut Watchlist Internet in der Regel kein Handlungsbedarf. Schließ die Seite und lösch die SMS.
2
Kartendaten eingegeben?
Sperr die Karte sofort, in der App deiner Bank oder über die Kartensperrhotline der Payment Services Austria: 0800 204 8800, aus dem Ausland +43 1 204 8800.
3
Zahlung freigegeben?
Ruf sofort deine Bank an. Eine Abbuchung, die du nicht autorisiert hast, muss die Bank nach § 67 Zahlungsdienstegesetz 2018 grundsätzlich bis zum Ende des nächsten Geschäftstags erstatten, nachdem du sie gemeldet hast. Hast du die Zahlung selbst in der App bestätigt, trägt laut Oesterreichischer Nationalbank grundsätzlich der Kunde den Schaden, deshalb zählt jede Minute.
4
App installiert?
Schalt das Handy in den Flugmodus und lösch die App. 2021 verbreitete sich die Schadsoftware FluBot in Österreich genau so, über angebliche Paket-SMS mit App-Link, und laut RTR half danach meist nur das Zurücksetzen auf Werkseinstellungen.
5
Anzeige erstatten
Das geht in jeder Polizeiinspektion. Nimm Screenshots der SMS und der Fake-Seite mit. Die Betrüger kennen jetzt deine Nummer und versuchen es oft mit einer anderen Masche erneut.

Wo meldest du eine falsche Paket-SMS?

Melden lohnt sich auch dann, wenn nichts passiert ist, denn die RTR erkennt so neue Wellen früh und warnt die Bevölkerung. Im dritten Quartal 2025 registrierte ihre Meldestelle 6.156 Meldungen, rund 2.800 davon zu SMS.

RTR-Meldestelle Rufnummernmissbrauch: unter rufnummernmissbrauch.at, mit der Absendernummer oder dem Absendernamen. Seit Oktober 2025 nimmt sie auch dubiose WhatsApp-Nachrichten entgegen.
Watchlist Internet: über das Formular „Phishing-Nachricht melden“, gern mit Screenshot.
Österreichische Post: Auf der Seite „Gefahren im Internet“ kannst du die Adresse einer verdächtigen Phishing-Seite melden.
Polizei: bei einem Schaden in jeder Polizeiinspektion.

Die Nummer, von der die SMS kam, kannst du mit einer Rückwärtssuche einordnen: Sie zeigt, ob es ein österreichisches Handy, ein VoIP-Anschluss oder eine Auslandsnummer ist und ob sie durch Betrugsmuster auffällt, ohne dass der Absender etwas davon merkt. Welche anderen SMS gerade kursieren, steht bei SMS von unbekannter Nummer.

Häufige Fragen

Schickt die Österreichische Post überhaupt SMS?

Ja, als Ankündigung: Mit der Empfänger-Info informiert die Post im Auftrag von Versandhändlern per SMS oder E-Mail über eine bevorstehende Zustellung. SMS, die zum Zahlen von Import- oder Transportkosten oder zum Bestätigen einer Sendung über einen Link auffordern, stammen laut Post nicht von ihr.

Ist eine Zollgebühr von 1,99 Euro echt?

Nicht bei der Post. Sie nennt für Zolldienstleistungen einen Importtarif zwischen 7,20 und 43,20 Euro, je nach Warenwert, dazu kommen Einfuhrumsatzsteuer und allenfalls Zoll. Glatte Kleinbeträge wie 1,99 oder 2,99 Euro sind ein typischer Köder, damit du deine Kartendaten eingibst.

Ich habe den Link angeklickt, aber nichts eingegeben. Ist etwas passiert?

In der Regel nicht. Laut Watchlist Internet besteht kein Handlungsbedarf, wenn du nur auf den Link geklickt hast. Hast du Passwörter, Karten- oder Bankdaten eingegeben, sperr die Karte, ändere die Passwörter und ruf deine Bank an.

Wie sperre ich meine Bankomatkarte in Österreich?

In vielen Banking-Apps kannst du die Karte selbst sperren, etwa in George oder Mein ELBA. Telefonisch geht es über die Kartensperrhotline der Payment Services Austria unter 0800 204 8800, aus dem Ausland unter +43 1 204 8800.

Hört die falsche Post-SMS mit der neuen RTR-Regel auf?

Sie wird seltener mit gefälschtem Absendernamen ankommen, weil ab 1. Oktober 2026 nur noch im RTR-Verzeichnis eingetragene Absendernamen zugestellt werden. SMS von normalen Handynummern und Nachrichten über Messenger erfasst die Regel aber nicht, deshalb bleibt ein Link mit Zahlungsaufforderung verdächtig.

Finde heraus, wer wirklich hinter der Nummer steckt

Die Prüfung ist privat und dauert etwa 60 Sekunden. Die Person erhält keine Benachrichtigung und erfährt nichts davon.

Nummer jetzt prüfen