Wenn Kunden eine Betrugs-SMS im Namen des Unternehmens erhalten, landet die erste Frage bei dir: „Ist die von euch?“ Jemand kopiert eine Nachricht über Versandkosten oder eine Rückerstattung in den Chat und fragt, ob er auf den Link tippen soll. Dein Team kann den Versand solcher Nachrichten nicht stoppen. Es kann aber dafür sorgen, dass die Kundin in einer Minute eine klare Antwort bekommt statt nach einer Stunde Rätselraten.
Dieser Leitfaden behandelt die Reaktion des Kundenservice: eine fertige Antwort, eine öffentliche Seite dazu, wie ihr Kunden kontaktiert, eine Regel, was ihr nie verlangt, und eine Erfassung der Meldungen, die das Ausmaß einer Kampagne zeigt. Am Ende findest du offizielle Meldestellen in Polen, Großbritannien, den USA und Deutschland. Alle Firmen in den Beispielen sind erfunden.
Kunden fragen, ob die SMS von euch ist: die erste Antwort
Die Kundin braucht keinen Vortrag über IT-Sicherheit. Sie braucht drei Dinge: ob die Nachricht von euch stammt, was sie jetzt tun soll und wo sie ihre Bestellung ohne den Link prüfen kann. Bist du nicht sicher, ob es eure Nachricht war, rate nicht. Schreib, dass du nachsiehst, und bitte darum, den Link bis dahin nicht zu öffnen.
„Danke, dass du nachfragst, bevor du etwas anklickst. Diese Nachricht stammt nicht von uns: Wir verschicken keine SMS mit Zahlungslinks und fragen nie nach SMS-Codes, PIN oder Kartendaten. Öffne den Link bitte nicht. Deine Bestellung prüfst du, indem du unsere Shop-Adresse selbst im Browser eingibst und dich in deinem Kundenkonto anmeldest. Unerwünschte SMS kannst du bei der Bundesnetzagentur melden. Hast du schon Kartendaten eingegeben, wende dich sofort an deine Bank.“
Pass die Vorlage an das an, was ihr wirklich verschickt. Sendet dein Shop SMS zum Versandstatus, beschreibe sie: unter welchem Absendernamen sie kommen und dass sie nie eine Zahlung verlangen. Speichere sie als gemeinsame Vorlage; mehr dazu im Leitfaden zu Antwortvorlagen im Kundenservice.
Was du vor der Antwort an der Meldung prüfst
Bitte um einen Screenshot oder den abgetippten Text, aber nie darum, einen anklickbaren Link weiterzuleiten oder die Daten zu schicken, die auf der falschen Seite eingegeben wurden. Öffne den Link nicht am Arbeitsrechner, auch nicht „nur zum Ansehen“. Für die Einschätzung reichen Absender, Text und die sichtbare Adresse. Ein Beispiel aus einem erfundenen Fahrradshop:
Scrolle die Tabelle seitlich, um alle Spalten zu sehen.
| Signal in der Nachricht | Bedeutung für den Kundenservice | Was du antwortest |
|---|---|---|
| Link auf eine fremde Domain | Fast sicher ein Identitätsmissbrauch | Nicht von uns, nicht tippen, Bestellung im Kundenkonto prüfen |
| Bitte um Gebühr, Code oder Kartendaten | Widerspricht eurer veröffentlichten Regel | Das verlangen wir nie; bei eingegebenen Daten die Bank anrufen |
| Richtige Bestellnummer oder Vorname | Mögliches Datenleck oder Zufallstreffer, an die Verantwortliche geben | Wir prüfen das und antworten in diesem Gespräch |
| Absendername wie eurer | Beweist nicht, dass die Nachricht echt ist | Entscheidend sind Inhalt und Adresse, nicht der Absendername |
Die dritte Zeile braucht einen eigenen Weg. Enthält die falsche Nachricht echte Bestelldaten, übergib den Fall an die Person, die für den Datenschutz zuständig ist, und spekuliere vor der Kundin nicht über die Ursache. Ein Absendername belegt keine Identität; siehe den Leitfaden zum Prüfen der Identität bei Bestellungen.
Ein öffentlicher Artikel: So kontaktieren wir dich
Die schnellste Antwort ist die, nach der niemand fragen muss. Veröffentliche einen kurzen Artikel „So kontaktieren wir dich“ und verlinke ihn im Footer, in der Bestellbestätigung und in Antworten des Kundenservice. Formuliere konkret: „Wir verschicken keine Zahlungslinks per SMS“ gibt Kunden ein Prüfkriterium, „Sicherheit ist uns wichtig“ gibt ihnen keins.
- Adresse eures Shops und die Domains, von denen eure E-Mails kommen.
- Absendername eurer SMS, falls ihr welche verschickt, und ihr einziger Zweck.
- Daten, die ihr nie verlangt: SMS-Codes, PIN, Passwort, vollständige Kartennummer.
- Hinweis, dass Nachzahlungen zu einer Bestellung nur nach Anmeldung im Kundenkonto sichtbar sind.
- Ein sicherer Weg zur Prüfung: der Chat auf einer Seite, deren Adresse man selbst eingetippt hat.
- Datum der letzten Aktualisierung des Artikels.
Im Kundenservice von Meetlead veröffentlichst du diesen Text als Hilfecenter-Artikel auf Polnisch, Englisch und Deutsch; Kunden finden ihn über die Suche im Widget auf deiner Website. Ist Meet AI aktiv, wird ein veröffentlichter Artikel außerdem zur Wissensquelle des Assistenten, sodass seine Antworten zu euren Kanälen mit der Seite übereinstimmen. Mehr dazu im Leitfaden zu Wissensdatenbank und FAQ auf der Website.
Die Regel „Das verlangen wir nie“ gilt auch im Chat
Ein öffentliches Versprechen wirkt nur, wenn dein Team es einhält. Steht im Artikel, dass ihr nie nach SMS-Codes oder Kartendaten fragt, darf ein Mitarbeiter sie nicht „ausnahmsweise“ verlangen, um einen Fall schneller abzuschließen. Jede Ausnahme bringt Kunden bei, dass eine Code-Anfrage vom „Shop“ echt sein kann, und genau darauf setzen Betrüger.
Manche besorgten Kunden schreiben trotzdem eine Kartennummer oder einen Code in den Chat, um zu „beweisen“, wer sie sind. Für diesen Moment brauchst du ein eigenes Verfahren, beschrieben im Leitfaden zu sensiblen Daten im Chat. Hier genügt ein Satz in der Vorlage: „Wir brauchen diese Daten nicht, bitte schick sie weder uns noch jemandem, der sich als wir ausgibt.“
Ein Tag, der eine Kampagne sichtbar macht
Fünf ähnliche Fragen an einem Nachmittag deuten darauf hin, dass jemand in eurem Namen eine größere Gruppe anschreibt. Damit du das bemerkst, müssen alle diese Gespräche gleich markiert sein, egal wer gerade Dienst hat.
- Lege einen Tag an.Zum Beispiel „sms-missbrauch“, nicht einen Tag pro Textvariante.
- Halte Details in einer Notiz fest.Empfangszeit, Absendername, Thema der Nachricht und Domain des Links, ohne personenbezogene Daten der Kundin.
- Beobachte die Zahl markierter Gespräche.Filtere den Posteingang täglich nach dem Tag; ein starker Anstieg heißt, den Artikel zu aktualisieren.
- Gib die gesammelten Domains weiter.Die Adressliste aus den Notizen geht an die Person, die falsche Seiten bei den zuständigen Stellen meldet.
Meetlead erkennt kein Phishing und verschickt keine SMS, aber im Posteingang ordnest du einem Gespräch einen Tag zu, siehst, wie oft er verwendet wurde, und filterst nach mehreren Tags gleichzeitig. Wie du einen Tag benennst, der länger als eine Kampagne hält, zeigt der Leitfaden zum Taggen von Gesprächen und Tickets. Kommen die Fragen in einer Welle, helfen ein gemeinsames Faktenblatt und ein fester Update-Rhythmus wie bei der Kommunikation einer Serviceunterbrechung.
Wo du Betrugs-SMS und falsche Seiten meldest
Nenne der Kundin eine Stelle, die zu ihrem Land passt, und melde die falschen Seiten aus euren Gesprächen selbst. Hat jemand Geld verloren, ist der erste Schritt die Bank und der nächste die Polizei. Die Tabelle nennt Kanäle, die auf offiziellen Seiten bestätigt sind; prüfe sie vor der Veröffentlichung erneut.
Scrolle die Tabelle seitlich, um alle Spalten zu sehen.
| Land | Betrugs-SMS | Falsche Seite oder Geldverlust |
|---|---|---|
| Polen | SMS an 8080 weiterleiten (CERT Polska), im Inland kostenlos | Formular incydent.cert.pl; bei Geldverlust Bank und Polizei |
| Großbritannien | SMS an 7726 weiterleiten, kostenlos | Seite beim NCSC melden; bei Geldverlust Report Fraud oder Police Scotland |
| USA | SMS an 7726 (SPAM) weiterleiten | Beschwerde über ReportFraud.ftc.gov |
| Deutschland | Beschwerde bei der Bundesnetzagentur über eine unerwünschte SMS | Bei Geldverlust oder eingegebenen Kartendaten Bank und Polizei |
Die Nummer 8080 und das Formular incydent.cert.pl beschreibt die Wissensdatenbank der polnischen Regierung, die 7726 und das Melden von Seiten in Großbritannien das NCSC. Die Quellen sagen, wo man meldet; sie versprechen nicht, dass eine gemeldete Kampagne in einer bestimmten Zeit gestoppt wird.
Der FTC-Verbraucherhinweis vom 24. Juli 2025 zu falschen Amazon-SMS mit angeblicher Rückerstattung verweist auf 7726 und ReportFraud.ftc.gov. Die Bundesnetzagentur nimmt Beschwerden über unerwünschte SMS entgegen. Keine dieser Quellen beschreibt Pflichten eines Shops, dessen Name missbraucht wurde.
Dieser Text ist keine Rechtsberatung. Enthielt die falsche Nachricht echte Kundendaten, kläre mit der für den Datenschutz zuständigen Person, ob eine Datenpanne vorliegt und welche Pflichten daraus folgen.
Fragen zu Betrugsnachrichten im Namen deines Shops
Sollten wir alle Kunden warnen? Prüfe zuerst das Ausmaß über den Tag. Ein oder zwei Meldungen lassen sich meist mit der Antwortvorlage und dem Artikel zu euren Kontaktwegen abdecken. Häufen sich die Fragen, hilft ein kurzer Hinweis auf der Website und im Newsletter, sofern er die Regeln des Artikels wiederholt. Füge der Warnung nie einen Link bei, der nach persönlichen Daten fragt.
Eine Kundin hat auf der falschen Seite bereits bezahlt. Muss der Shop das Geld erstatten? Das Geld ging an die Betrüger, nicht an deinen Shop, es geht also nicht um eine Erstattung für eure Bestellung. Antworte einfühlsam, verweise auf Bank und Polizei und bestätige, ob ihre echte Bestellung in Ordnung ist. Über eine mögliche Kulanz entscheidet die Shop-Inhaberin, nicht der Mitarbeiter im Chat.
