Wenn Sie in den letzten Tagen eine SMS mit einem Code wie „maut-b72fb3fc-f222-4fef-b8ae-091371526408“ erhalten haben, haben Sie wahrscheinlich das getan, was die meisten Menschen tun: Sie haben danach gegoogelt. Und genau so hat diese Geschichte eigentlich angefangen – Millionen von Menschen in Deutschland haben genau diese Zeichenfolge in ihre Suchleiste eingegeben, um herauszufinden, ob die Nachricht in ihrem Posteingang echt ist oder nicht. Die Grafik von Google Trends spricht für sich: wochenlanges Interesse nahe Null, dann ein fast senkrechter Anstieg ab etwa dem 24. Juli. Etwa zur gleichen Zeit ist bei vielen Menschen etwas auf dem Handy eingegangen.
Der Code selbst sieht überzeugend aus. Genau darum geht es. Eine UUID – eine universell eindeutige Kennung – ist eine alphanumerische Zeichenfolge, die Softwaresysteme automatisch generieren, um Transaktionen, Nutzer, Sitzungen oder Tickets zu verfolgen. Wenn man etwas wie „b72fb3fc-f222-4fef-b8ae-091371526408“ sieht, wirkt das nicht wie etwas, das ein Betrüger am Küchentisch getippt hat. Es sieht aus wie ein Datensatz aus einer behördlichen Datenbank. In Verbindung mit dem Präfix „maut“ – dem deutschen Wort für Straßenmaut – wirkt das Ganze plötzlich offiziell. Wie ein echtes Bußgeld von einer echten Behörde.
Genau auf dieses Gefühl der Legitimität setzen die Betrüger. In der Nachricht wird meist behauptet, man habe eine unbezahlte Mautgebühr zu begleichen. Oft ist ein Link enthalten. Manchmal eine Frist. Auch kleine Beträge – glaubwürdige Beträge. Keine Beträge, die Alarmglocken läuten lassen. Das ist ein Smishing-Angriff wie aus dem Lehrbuch – also Phishing per SMS –, und er nimmt in ganz Deutschland in einem Tempo zu, das kaum zu übersehen ist. Allein im ersten Halbjahr 2026 stiegen die Fälle von SMS-Betrug in Deutschland um über 146 Prozent. Das ist kein Rundungsfehler. Das ist eine Veränderung in der Vorgehensweise des organisierten Betrugs.
Was diese spezielle Welle interessant – und beunruhigend – macht, ist der Aufwand, der in die Gestaltung gesteckt wurde. Frühere Phishing-Versuche waren plump: gebrochenes Deutsch, allgemeine Anreden, verdächtige Domains. Diese neue Generation ist anders. Die Codes wirken systemgeneriert, weil sie es in gewisser Weise auch sind – automatisierte Tools können Tausende einzigartiger UUID-Zeichenfolgen erzeugen, gepaart mit überzeugenden Nachrichtenvorlagen, die in großem Maßstab über Mobilfunknetze versendet werden. Forscher haben seit Ende 2025 über 79.000 Varianten von Betrugs-SMS in ähnlichen, weltweit laufenden Kampagnen nachverfolgt. Deutschland ist kein Einzelfall. Es ist ein Ziel.
Es ist noch unklar, welche Gruppe genau hinter dieser spezifischen Maut-Kampagne steckt. Cybersicherheitsfirmen haben noch keine öffentliche Zuordnung vorgenommen. Doch die Infrastruktur – automatisierte Codegenerierung, Massenversand, Vortäuschung der Identität von Mautbehörden – entspricht Mustern, die bei koordinierten Smishing-Operationen zu beobachten waren, von denen in den letzten Monaten die USA, Frankreich, Australien und Indien betroffen waren.
Das Ganze zeugt von einer gewissen grimmigen Effizienz. Echte Mautbehörden versenden keine Zahlungsaufforderungen per SMS. Sie verwenden keine zufällig aussehenden alphanumerischen Codes in Textnachrichten. Und sie fügen ganz sicher keine dringenden Links ein, über die nach Kartendaten gefragt wird. Wenn Sie eine Nachricht erhalten haben, in der „maut-b72fb3fc-f222-4fef-b8ae-091371526408“ oder etwas Ähnliches erwähnt wird, ist die richtige Vorgehensweise ganz einfach: Klicken Sie nicht auf den Link, geben Sie keine Informationen ein und löschen Sie die Nachricht. Wenn Sie sich ernsthaft Sorgen um ausstehende Mautgebühren für Ihr Fahrzeug machen, gehen Sie direkt auf die Website der zuständigen Behörde – geben Sie die Adresse manuell in Ihren Browser ein, nicht über einen Link.
Deutschlands Verbraucherschutzbehörden warnen schon seit Monaten vor dieser Art von Betrug, doch das Bewusstsein hält noch nicht mit dem Ausmaß Schritt. Die Menschen klicken immer noch darauf. Sie geben immer noch Kartennummern auf Seiten ein, die fast echt aussehen, es aber nicht sind. Das Detail, das den Betrug normalerweise verrät – ein Rechtschreibfehler, eine seltsame Domain-Endung, eine allgemeine Anrede – wird oft übersehen, wenn jemand in Eile oder gestresst ist. Betrüger wissen das. Sie verlassen sich darauf.
Das Seltsame an einem solchen Code, der bei Google im Trend liegt, ist, dass er etwas Positives über die Menschen aussagt: den Instinkt, erst zu prüfen, bevor man handelt. An diesem Instinkt sollte man festhalten. In einer Welt, in der Betrug immer schwerer vom Original zu unterscheiden ist, ist eine kurze Suchpause wirklich der richtige erste Schritt. Die Antwort ist in diesem Fall eindeutig: Es handelt sich um einen Betrugsversuch. Löschen Sie ihn.
