Handy weg im Urlaub: Die SMS danach ist die eigentliche Falle

Von Jörg Schock
Erster Hauptkommissar a. D. · über 35 Jahre Hamburger Polizei

Symbolbild. Foto: Dennis Cortés, CC0, via Wikimedia Commons – auf 16:9 zugeschnitten.

Der Rucksack steht neben dem Strandtuch, die Jacke hängt über der Stuhllehne im Straßencafé, das Handy liegt obenauf – und zehn Minuten später ist es weg. Bis hierhin ist die Geschichte alt, ärgerlich und für die meisten Betroffenen nach ein paar Tagen Behördengang erledigt. Was viele nicht kennen, ist der zweite Teil: Tage, manchmal Wochen später kommt eine Nachricht aufs Ersatzgerät. Ihr Smartphone sei geortet worden, hier sei der Standort. Modell, Farbe und Speichergröße stimmen. Der Absender sieht nach Apple aus. Und wer auf diesen Link tippt, verliert mehr als ein Telefon.

Warum ein gestohlenes Handy für den Dieb erst einmal wertlos ist

Um zu verstehen, warum diese zweite Nachricht überhaupt kommt, muss man einen Blick auf das werfen, was in den letzten zehn Jahren richtig gut funktioniert hat. Moderne Smartphones sind an ein Konto gebunden: iPhones an die Apple-ID, Android-Geräte an das Google-Konto. Diese Bindung überlebt das Zurücksetzen auf Werkseinstellungen. Ein Gerät, das jemand aus einer Tasche gezogen hat, lässt sich zwar löschen – aber beim nächsten Einrichten fragt es nach genau den Zugangsdaten, die nur der rechtmäßige Besitzer hat. Das ist die Aktivierungssperre.

Für den Handel mit Diebesgut ist das ein hartes Hindernis. Ein gesperrtes Spitzenmodell ist kein Smartphone mehr, sondern ein Ersatzteillager. Der Preisunterschied zwischen einem sauberen und einem kontogebundenen Gerät ist erheblich – und er ist der ganze Grund, warum die Täter noch einmal auftauchen.

Aus meiner Zeit bei der Polizei kenne ich diesen Effekt aus einer anderen Richtung: Wenn man Tätern die Verwertung schwer macht, verschwindet die Tat nicht, sie verlagert sich. Genau das ist hier passiert. Der technische Diebstahlschutz sitzt inzwischen so fest, dass der Angriff nicht mehr dem Gerät gilt, sondern dem Menschen davor. Kriminologisch ist das ein Erfolg der Hersteller – für den Betroffenen bedeutet es allerdings, dass die gefährlichste Minute nicht am Strand liegt, sondern zu Hause auf dem Sofa.

Wie die Masche abläuft

Die Deutsche Telekom hat am 14. Juli 2026 ausdrücklich vor dieser Verbindung aus Diebstahl und anschließendem Phishing gewarnt und dabei steigende Fallzahlen zur Reisezeit genannt. „Hunderte Kundinnen und Kunden" hätten entsprechende Täuschungsversuche über die Kurzwahl 7726 gemeldet, die Spam-Meldestelle der Mobilfunkanbieter. Bereits im November 2025 hatte das Schweizer Nationale Zentrum für Cybersicherheit dieselbe Vorgehensweise beschrieben.

Der Ablauf ist immer derselbe – und er nutzt ausgerechnet die Schutzfunktion als Einfallstor:

1. Der Verlustmodus liefert die Kontaktdaten. Wer sein Gerät als verloren markiert, hinterlegt eine Nachricht und eine Rufnummer auf dem Sperrbildschirm – gedacht für den ehrlichen Finder. Der Täter liest sie ab.
2. Die Nachricht wirkt echt, weil sie echt ist. Modell, Farbe, Speichergröße stammen vom gestohlenen Gerät selbst. Das ist der Grund, warum diese SMS so viel überzeugender wirken als übliche Massen-Phishing-Wellen.
3. Der Link führt auf eine nachgebaute Anmeldeseite. Optisch von der echten Apple- oder Google-Anmeldung kaum zu unterscheiden.
4. Mit den Zugangsdaten fällt die Sperre. Die Täter melden sich an, entfernen das Gerät aus dem Konto – und verkaufen es als sauberes Modell weiter.

Der eigentliche Schaden liegt aber gar nicht beim Gerät. Wer Apple-ID oder Google-Konto verliert, verliert den Schlüssel zu Fotos, E-Mails, Kontakten, Backups, gespeicherten Passwörtern und oft auch zu Bezahldiensten. Das Telefon war das Billigste an der ganzen Sache.

Woran erkenne ich die gefälschte Fundmeldung?

Kurzantwort: Am Kanal, nicht am Wortlaut. Apple und Google melden gefundene Geräte grundsätzlich nicht per SMS, iMessage oder WhatsApp – Apple stellt ausdrücklich klar, Nutzer niemals auf diesem Weg über ein aufgefundenes Gerät zu informieren. Eine echte Ortung sehen Sie nur, wenn Sie sich selbst in der „Wo ist?"-App, auf icloud.com oder unter google.com/android/find anmelden. Kommt die Meldung als Nachricht mit Anmeldelink, ist sie falsch.

Diese Regel ist deshalb so nützlich, weil sie ohne Detailprüfung auskommt. Auf Rechtschreibfehler zu achten, hilft bei dieser Masche nicht mehr: Die Nachrichten sind sauber formuliert, enthalten korrekte Gerätedaten und kommen zu einem Zeitpunkt, an dem man sie sich sehnlich wünscht. Genau das macht sie so wirksam. Ich halte diesen Punkt für den wichtigsten des ganzen Textes – wer sich nur einen Satz merkt, dann diesen: Eine Fundmeldung, die von selbst kommt, ist keine.

Wen es trifft – und wen ausdrücklich nicht

Zur Ehrlichkeit gehört die Einordnung, wie groß dieses Risiko tatsächlich ist. Betroffen sind ausschließlich Menschen, denen das Gerät abhandengekommen ist. Das ist keine kleine Gruppe: Nach einer repräsentativen Bitkom-Befragung ist rund vier von zehn Smartphone-Nutzern schon einmal ein Gerät verloren gegangen oder gestohlen worden – 15 Prozent berichteten dabei ausdrücklich von einem Diebstahl. Die Zahl stammt aus dem Jahr 2021 und beschreibt die Lebenszeit-Erfahrung, nicht ein einzelnes Jahr; für die Größenordnung reicht sie.

Wer dagegen keine SMS dieser Art bekommt, sollte auch nicht danach suchen: Ohne Verlust kein Anruf. Diese Masche ist zielgerichtet und funktioniert nur mit einem konkreten Gerät in der Hand des Täters. Wenn Ihnen nichts fehlt und trotzdem eine „Ihr iPhone wurde gefunden"-Nachricht eintrudelt, ist das schlicht ungezieltes Massen-Phishing – lästig, aber ohne Vorgeschichte.

Und noch eine Entwarnung, die selten ausgesprochen wird: Ein Dieb, der Ihr Gerät hat, kommt damit in aller Regel nicht in Ihre Daten. Ein aktueller Sperrcode mit sechs Stellen plus Face- oder Fingerabdruck-Entsperrung ist eine ernsthafte Hürde. Der Angriff läuft ja gerade deshalb über die gefälschte SMS, weil der direkte Weg ins Gerät verschlossen ist.

Soll ich das gestohlene Gerät aus meinem Konto entfernen?

Kurzantwort: Nein – das ist der teuerste Fehler in dieser Lage. Solange das Smartphone in Ihrer Geräteliste steht, bleibt die Aktivierungssperre aktiv und das Gerät für den Weiterverkauf entwertet. Wer es löscht, um „aufzuräumen", schenkt dem Täter genau das, wofür er sonst eine Phishing-Kampagne fahren müsste. Die Telekom führt diesen Punkt ausdrücklich in ihren Handlungsempfehlungen. Das Gerät bleibt im Konto, bis es zurück ist.

Das Löschen der Daten aus der Ferne ist davon unberührt und weiterhin richtig – es ist etwas anderes als das Entfernen des Geräts aus dem Konto. Die Funktion heißt bei Apple „iPhone löschen" und bei Google „Gerät zurücksetzen"; die Kontobindung bleibt dabei bestehen.

Was wirklich hilft – in drei Stufen

Stufe 1: kostet nichts, wirkt am meisten

• Sperrcode und Biometrie einschalten – sechsstellig oder länger, keine vierstellige PIN. Das ist die Hürde, an der die Direktübernahme scheitert.
• Ortung aktivieren: „Wo ist?" beim iPhone, „Mein Gerät finden" bei Android. Beides ist Voraussetzung für den Verlustmodus.
• Zwei-Faktor-Sicherung nicht allein auf dem Telefon. Wenn der zweite Faktor ausschließlich per SMS auf genau das Gerät geht, das gestohlen wurde, sperren Sie sich im Ernstfall selbst aus. Wiederherstellungscodes gehören ausgedruckt in den Koffer, nicht in die Notiz-App.
• Verdächtige SMS an 7726 weiterleiten. Die Kurzwahl ist bei den deutschen Netzbetreibern kostenlos und speist die Meldung direkt in die Spam-Abwehr ein.
• IMEI notieren, bevor etwas passiert. Sie steht auf der Originalverpackung und auf der Rechnung – und ist bei der Anzeige die einzige Nummer, die das Gerät eindeutig identifiziert.

Stufe 2: kostet wenig

• Passwortmanager statt Merkzettel. Wer seine Zugangsdaten aus einem Manager einfügt, tippt sie auf einer gefälschten Seite gar nicht erst ein – die Anwendung bietet sie dort schlicht nicht an. Dieser Nebeneffekt ist bei dieser Masche ein echter Schutz.
• Ersatzgerät oder Zweitkarte für längere Reisen. Ohne funktionierende Rufnummer ist im Ausland weder die Kartensperre noch die Kontowiederherstellung angenehm.
• Bluetooth-Tracker in Rucksack oder Koffer. Er ersetzt keine Ortung des Telefons, hilft aber, wenn gleich die ganze Tasche verschwindet.

Stufe 3: erst dann Hardware

Ehrlicherweise ist bei diesem Problem wenig zu kaufen. Ein Hardware-Sicherheitsschlüssel für das Apple- oder Google-Konto ist die einzige Anschaffung, die den beschriebenen Angriff wirklich ins Leere laufen lässt: Selbst wer Passwort und SMS-Code abgreift, kommt ohne den physischen Schlüssel nicht ins Konto. Für die meisten Urlauber ist das über dem Ziel – wer allerdings Geschäftsdaten oder ein Unternehmen am Telefon hängen hat, sollte darüber nachdenken. Ein Schloss oder eine Kamera ändert an dieser Sache dagegen gar nichts, und ich sehe keinen Grund, hier etwas zu empfehlen, nur weil es sich verkaufen ließe.

Die ersten 30 Minuten nach dem Diebstahl

Zu Punkt fünf ein Wort aus der Praxis: Die Anzeige lohnt sich auch dann, wenn niemand ernsthaft mit der Rückgabe rechnet. Sie ist Voraussetzung für die Regulierung durch eine Versicherung, sie ermöglicht die Sperrung des Geräts über die IMEI, und sie ist der einzige Weg, auf dem solche Taten überhaupt in der Statistik auftauchen. Der Anteil der Fälle, die niemals angezeigt werden, ist bei Gelegenheitsdiebstählen erfahrungsgemäß hoch – und was nicht gemeldet wird, wird auch nicht bearbeitet.

Warum ausgerechnet im Urlaub

Die Reisezeit verbindet drei Dinge, die einzeln harmlos sind: unbekannte Umgebung, entspannte Aufmerksamkeit und ein Telefon, das ständig in der Hand ist, weil es Karte, Kamera, Fahrkarte und Zimmerschlüssel zugleich geworden ist. Dazu kommt, dass viele im Ausland ohnehin mit ungewohnten Nachrichten rechnen – von der Airline, vom Vermieter, von der Bank. In dieser Erwartungshaltung fällt eine gefälschte Fundmeldung deutlich weniger auf als im heimischen Alltag.

Der Rest ist dieselbe Nüchternheit, die auch beim Fahrrad gilt: Gelegenheit macht die Tat, und der wirksamste Schutz ist der, der vor der Reise passiert. Wer beim Thema Diebstahl weiterlesen möchte – die Mechanik ist verblüffend ähnlich, nur mit anderem Objekt: Im Ratgeber zu GPS-Trackern und Diebstahlschutz am E-Bike geht es um dieselbe Frage, ob Ortung nach der Tat oder Abschreckung davor mehr bringt. Was Sie tun können, damit die Wohnung während der Reise nicht auffällt, steht im Ratgeber Smart Home im Urlaub. Und wie ich die Wirksamkeit einzelner Sicherungen aus dienstlicher Erfahrung einordne, habe ich im Einbruchschutz-Ratgeber aufgeschrieben.

Häufige Fragen

Fazit: Die Sperre funktioniert – deshalb greifen die Täter Sie an

Es ist eine seltene gute Nachricht in Sachen Diebstahl: Der eingebaute Schutz moderner Smartphones wirkt so gut, dass sich die Kriminalität um ihn herumorganisieren muss. Wenn Diebe eine ganze Phishing-Kampagne fahren, um an Zugangsdaten zu kommen, dann deshalb, weil der direkte Weg verbaut ist. Das bedeutet aber auch: Die letzte offene Tür sind Sie selbst, und sie steht in dem Moment offen, in dem die Hoffnung auf das verlorene Gerät größer wird als die Vorsicht.

Die Gegenmaßnahme ist unspektakulär und kostet nichts. Keine Zugangsdaten über Links aus Nachrichten. Anmeldungen ausschließlich in der App oder über eine selbst getippte Adresse. Das gestohlene Gerät im eigenen Konto lassen. Wer das durchhält, verliert bei einem Diebstahl ein Telefon – und nicht sein digitales Leben.

Quellen: Deutsche Telekom AG, Pressemitteilung „Auch Smartphone-Diebe lieben den Sommer" vom 14.07.2026 · Nationales Zentrum für Cybersicherheit (NCSC/BACS, Schweiz), Warnung vom November 2025 · Apple-Supporthinweise zur „Wo ist?"-Funktion · Bitkom e. V., repräsentative Befragung zu Verlust und Diebstahl von Smartphones (2021).