SIM-Swapping: Informationen, um geschützt zu bleiben

Deine Telefonnummer ist bedeutender, als Du denkst: Sie ist der Schlüssel, um wieder Zugriff auf Dein Bankkonto, Deine E-Mails, Deine Krypto-Wallet und Deine Social-Media-Feeds zu erhalten. Doch diese Bequemlichkeit hat auch eine Kehrseite: Kriminelle können Deine Nummer stehlen, ohne Dein Handy anzufassen, und dann Konten plündern, die SMS-Codes für die Anmeldung oder Wiederherstellung nutzen. Sie können Deine Passwörter zurücksetzen, auf Deine Konten zugreifen und Dich aus Deiner eigenen Identität aussperren.

Diese Taktik wird als SIM-Swapping bezeichnet und hat die Amerikaner allein im Jahr 2023 fast 49 Millionen Dollar gekostet. Kürzlich wurde bekannt, dass einer der größten Krypto-Raubüberfälle der Geschichte mithilfe von SIM-Swapping durchgeführt wurde. Vermögenswerte im Wert von 400 Millionen Dollar wurden von der Krypto-Börse FTX gestohlen.

Dieser Leitfaden erklärt, was SIM-Swapping ist, wie es funktioniert, wie man die Warnzeichen erkennt und vor allem, wie man es verhindern kann. Egal, ob Du bereits mit verdächtigen Aktivitäten zu tun hattest oder einfach nur auf Nummer sicher gehen willst, hier findest Du klare, praktische Tipps.

Was ist eine SIM-Karte und wie funktioniert sie?

Eine SIM-Karte (Subscriber Identity Module) ist ein kleiner Chip, der Deinem Netzwerk mitteilt, wer Du bist, und zwar durch:

1. Identität und Standort: Die SIM-Karte speichert Deine internationale Mobilfunk-Teilnehmerkennung (IMSI) und eine integrierte Schaltkreiskarten-Kennung (ICCID). Die IMSI identifiziert Dein Abonnement beim Netzwerk, während die ICCID die eindeutige ID der SIM-Karte ist. Zusammen ermöglichen diese Identifikatoren Deinem Mobilfunknetz die Authentifizierung und Verwaltung Deiner Verbindung.
2. Sicherheitsschlüssel: Die SIM-Karte enthält kryptografische Schlüssel, mit denen Dein Gerät vor Beginn eines Anrufs, einer SMS oder einer Datensitzung beim Mobilfunknetz authentifiziert wird. Diese Schlüssel funktionieren wie ein gemeinsames Geheimnis zwischen Deiner SIM-Karte und dem Netzwerk, mit dem Deine Identität sicher nachgewiesen wird. Dieser „Passwortaustausch” findet jedes Mal, wenn Dein Handy mit dem Netz interagiert, im Hintergrund statt. So wird sichergestellt, dass nur autorisierte Geräte auf Mobilfunkdienste zugreifen können.

Ohne ein gültiges SIM-Profil leitet das Netzwerk keine Anrufe, SMS oder Daten weiter. Wenn Du Deine SIM-Karte in ein neues Handy einlegst, bleibt Deine Identität erhalten. Mit eSIMs kann Deine Nummer digital über Deinen Netzbetreiber auf ein neues Gerät übertragen werden, ohne dass eine physische SIM-Karte erforderlich ist. Diese einfache Übertragung macht SIM-Swapping so gefährlich.

Was ist SIM-Swapping?

SIM-Swapping, manchmal auch SIM-Swap, SIM-Jacking oder SIM-Porting genannt, findet statt, wenn ein Angreifer einen Netzbetreiber dazu verleitet oder besticht, Deine Telefonnummer auf eine SIM-Karte zu übertragen, die der Angreifer kontrolliert.

Sobald die Übertragung abgeschlossen ist, werden alle für Dich bestimmten Sprachanrufe und SMS-Codes an das Gerät des Angreifers weitergeleitet. Mithilfe dieser einmaligen Passcodes kann der Angreifer Passwörter zurücksetzen, Geldbörsen leeren oder in Deinem Namen Kryptowährungen kaufen.

Um zur Zielscheibe zu werden, braucht es nicht viel. Telefonnummern sind mit mehr Konten verknüpft, als den meisten Menschen bewusst ist. Wenn ein Betrüger Zugriff erhält, kapert er nicht nur Deine Nummer, sondern stiehlt auch Deine digitale Identität. Schauen wir uns das genauer an.

Wie funktioniert SIM-Swapping?

Angreifer gehen in der Regel in vier Schritten vor:

1. Datenauswertung: Sie durchsuchen öffentliche Social-Media-Beiträge, versenden Phishing-E-Mails oder nutzen Informationen aus Daten-Leaks, um Dein Geburtsdatum, Deine Adresse und Antworten auf gängige Sicherheitsfragen zu sammeln.
2. Kontakt zum Netzbetreibe: Mit diesen Daten geben sie sich in einem Online-Chat oder Callcenter als Du aus und behaupten zum Beispiel, dass ihr Handy gestohlen wurde und sie eine neue SIM-Karte brauchen. Um den Mobilfunkanbieter in dieser Phase erfolgreich zu täuschen, müssen oft Identitätsprüfungsverfahren umgangen werden, die je nach Land unterschiedlich sein können, vor allem, je strenger die lokalen Gesetze zur Registrierung von SIM-Karten sind.
3. Nummernübertragung: Wenn der Kundendienstmitarbeiter die Geschichte glaubt, überträgt er Deine Telefonnummer auf ein neues SIM- oder eSIM-Profil und sperrt den Dienst für Dein Gerät. Ab diesem Zeitpunkt gehen alle Deine Anrufe und SMS an den Angreifer.
4. Kontoübernahme: Wenn Deine Konten auf einer Zwei-Faktor-Authentifizierung (2FA) per SMS basieren, können Angreifer diese Codes verwenden, um Passwörter zurückzusetzen, Geldbörsen zu leeren oder in Deinem Namen Kryptowährungen zu kaufen.

In selteneren Fällen wird der SIM‑Wechsel von einem Insider durchgeführt: einem Mitarbeiter des Mobilfunkanbieters, der bestochen wurde, den Wechsel vorzunehmen. Unabhängig von der Methode ist das Ergebnis dasselbe: Dein digitales Leben läuft dann über das Handy einer anderen Person.

💡Tipp: Sei proaktiv. Wenn Du in den USA lebst, kann Dir der Datenlöschdienst von ExpressVPN, der Teil der Identity Defender-Suite ist, dabei helfen, die Menge Deiner persönlichen Daten zu begrenzen, die Datenbrokern zur Verfügung stehen, sodass es für Angreifer schwieriger wird, überhaupt erst einmal Details über Dich zu sammeln.

Anzeichen dafür, dass Du Opfer eines SIM-Swaps geworden bist

Hier findest Du eine Übersicht, mit der Du feststellen kannst, ob Du Opfer eines SIM-Swaps geworden bist.

Du verlierst plötzlich den Mobilfunkempfang

Das unmittelbarste und offensichtlichste Anzeichen ist ein plötzlicher Verlust des Mobilfunkempfangs. Dein Telefon zeigt „Kein Empfang” oder „Nur Notrufe” an, obwohl Du Dich in einem Gebiet mit gutem Empfang befindest und Deine Rechnung bezahlt ist. Wenn ein Neustart Deines Telefons nicht hilft, könnte dies ein Anzeichen dafür sein, dass Deine Nummer auf eine andere SIM-Karte übertragen wurde.

Du kannst keine SMS senden oder empfangen und keine Anrufe tätigen oder entgegennehmen

Wenn Dein Handy keinen Mobilfunkempfang hat, kannst Du keine Anrufe tätigen und keine normalen SMS-Nachrichten senden oder empfangen. Dies gilt unabhängig davon, ob Du mit einem WLAN verbunden bist oder nicht, da Anrufe und SMS auf das Mobilfunknetz angewiesen sind, das während eines SIM-Swaps deaktiviert ist.

Verdächtige Aktivitäten auf Bank- oder Social-Media-Konten

SIM-Swapper handeln schnell. Sobald sie Deine Nummer haben, versuchen sie, auf Konten zuzugreifen, die auf SMS-basierten Sicherheitscodes basieren. Du könntest eine Flut von E‑Mails zum Zurücksetzen des Passworts erhalten, neue Anmeldungen von unbekannten Geräten oder Orten bemerken oder eine Finanzwarnung bekommen, die eine Überweisung meldet, die Du nicht veranlasst hast.

Du wirst benachrichtigt, dass Deine Nummer auf einem neuen Gerät verwendet wird

In einigen Ländern schicken Mobilfunkanbieter jetzt Benachrichtigungen wie „SIM-Swap steht bevor” oder eine SMS, die bestätigt, dass Deine Telefonnummer auf einem neuen Gerät aktiviert wurde. Wenn Du eine solche Benachrichtigung erhältst und die Änderung nicht selbst angefordert hast, wird Deine Nummer möglicherweise angegriffen. Denke immer daran, niemals eine Anfrage zu genehmigen, die Du nicht selbst initiiert hast.

Was kannst Du tun, wenn Deine SIM-Karte ausgetauscht wird?

Schnelligkeit ist Deine beste Verteidigung. Sobald Du einen Dienstausfall oder unbekannte Aktivitäten feststellst, führe die folgenden Schritte aus und mache Dir dabei Notizen:

1. Ruf Deinen Mobilfunkanbieter an

Benutze ein anderes Telefon, um den Support zu kontaktieren, und melde, dass Du einen SIM-Swap vermutest. Bitte den Mitarbeiter, die neue SIM-Karte zu sperren und Deine Nummer auf eine SIM-Karte oder ein eSIM-Profil unter Deiner Kontrolle zurückzusetzen. Notiere Dir das Datum, die Uhrzeit und den Namen des Mitarbeiters.

2. Sperre Deine Geldkarten

Rufe als Nächstes Deine Bank oder Deinen Kartenaussteller an. Erkläre den SIM-Swap, sperre Transaktionen und überprüfe die letzten Aktivitäten, während Du mit dem Mitarbeiter sprichst. Wenn Du nicht autorisierte Überweisungen feststellst, leite sofort das Streitverfahren ein. Halte die Echtzeit-Ausgabenbenachrichtigungen aktiv, damit Dir keine neuen Belastungen entgehen.

💡Tipp: Nutzer in den USA können auch den Identitätsschutzdienst Identity Defender mit Credit Scanner von ExpressVPN nutzen. Dieser überwacht Deine Kreditauskünfte genau auf verdächtige neue Konten oder Aktivitäten.

3. Setze Passwörter zurück und wechsle von SMS-basierter 2FA zu einer App

Beginne mit Deinem primären E-Mail-Konto und fahre dann mit Bankgeschäften, sozialen Medien und Cloud-Diensten fort. Ändere alle Passwörter und ersetze SMS-Codes durch eine Authentifizierungs-App wie Google Authenticator, die der Angreifer nicht abfangen kann. Wenn der Anbieter Deine Telefonleitung wiederherstellt, aktiviere 2FA mit der neuen Methode erneut, um die Lücke endgültig zu schließen.

4. Melde den Betrug

Erstatte Anzeige bei Deiner nationalen Cybercrime-Einheit. Gib die Referenznummern an Deine Bank und Deinen Mobilfunkanbieter weiter. Offizielle Unterlagen beschleunigen die Rückerstattung und interne Untersuchungen oft.

5. Verfolge jeden Schritt

Notiere Dir jeden Anruf, jede Ticketnummer und jede versprochene Maßnahme und fordere innerhalb von 24 Stunden eine Bestätigung des Fortschritts an. Ein klarer Zeitplan hilft spätere Unstimmigkeiten zu klären und zeigt, dass Du Dich aktiv um das Problem kümmerst.

So verhinderst Du SIM-Swapping

Verbinde Deine Telefonnummer nicht mit Deinen Online-Konten

Vermeide es, Deine Telefonnummer als Login- oder Wiederherstellungsmethode zu verwenden, wann immer es möglich ist. Nutze stattdessen eine E-Mail-Adresse oder eine Authenticator-App, um auf Dein Konto zuzugreifen oder es wiederherzustellen. Das verringert das Risiko, Opfer eines Telefonnummern-Hijackings zu werden. Bedenke jedoch, dass auch E-Mail-Konten gehackt werden können und oft das Ziel von Angreifern sind. Eine Authenticator-App ist daher die sicherere Wahl.

Nutze die Multi-Faktor-Authentifizierung

Über die reine Passwortsicherung hinaus bietet die Multi-Faktor-Authentifizierung (MFA) zusätzliche Sicherheitsebenen für Deine Konten:

• Authentifizierungs-Apps: Diese erzeugen Codes direkt auf Deinem Gerät statt per SMS und sind daher immun gegen SIM-Swap-Angriffe. Selbst wenn jemand Deine Nummer übernimmt, kann er nicht auf Deine 2FA-Codes zugreifen. Gute Optionen sind beispielsweise Google Authenticator, Authy oder Microsoft Authenticator
• Biometrie: Viele Geräte und Apps bieten inzwischen biometrische Authentifizierung wie Fingerabdruck- oder Gesichtserkennung. Das sorgt für eine starke Gerätesicherheit und verhindert den Zugriff auf bestimmte Apps oder Aktionen, selbst wenn jemand Deine Telefonnummer kompromittiert hat.
• Physische Sicherheitsschlüssel: Hardware-Token wie YubiKeys sind eine besonders sichere Authentifizierungsmethode. Oft ist eine physische Interaktion erforderlich und sie verwenden kryptografische Schlüssel, was Manipulation nahezu unmöglich macht. Sie sind besonders nützlich zum Schutz von E-Mail- und Finanzkonten.

Frag Deinen Anbieter nach einer Konto-PIN oder einer Sperre

Bei den meisten Anbietern kannst Du eine PIN oder eine Sicherheitsfrage für Dein Konto einrichten. Das macht es Angreifern schwerer, sich als Du auszugeben.

Einige Anbieter bieten auch Nummernsperren oder Kontosperren an, die einen zusätzlichen Verifizierungsschritt erfordern, bevor die Nummer auf eine andere SIM-Karte übertragen werden kann.

Andere Anbieter bieten eine Rückrufverifizierung an. Dabei wird Deine registrierte Nummer angerufen, um Kontoänderungen zu bestätigen. Wenn diese Option aktiviert ist, könnte dieser zusätzliche Schritt einen laufenden SIM-Swap verhindern.

Richte Benachrichtigungen für Deine Konten ein

Bei vielen Banken und Online-Diensten kannst Du Benachrichtigungen für Anmeldeversuche, Passwortänderungen oder Abhebungen aktivieren. So wirst Du frühzeitig gewarnt, wenn etwas nicht stimmt.

Überprüfe regelmäßig Deine sensibelsten Konten

Überprüfe die Sicherheitseinstellungen Deiner Finanz-, E-Mail- und Social-Media-Konten. Achte auf Anzeichen für unbefugten Zugriff, aktualisiere Deine Wiederherstellungsmethoden und überprüfe, welche Konten für die Anmeldung oder Wiederherstellung Deine Telefonnummer verwenden.

Befolge die grundlegenden Regeln für die Online-Sicherheit

Kluge Online-Gewohnheiten können dabei helfen, die meisten SIM-Swap-Versuche zu verhindern, bevor sie überhaupt beginnen.

• Überlege, bevor Du klickst: Überspringe Links und Anhänge in unerwarteten Nachrichten, auch wenn sie Dir bekannt vorkommen. So verhinderst Du, dass Phisher persönliche Informationen stehlen, mit denen sie sich in einer Swap-Anfrage als Du ausgeben können.
• Halte Details geheim: Veröffentliche oder teile Deine Telefonnummer, Adresse oder ID-Nummern nicht auf öffentlichen Websites. Je weniger Informationen Du preisgibst, desto weniger Möglichkeiten haben Betrüger, die Sicherheitsüberprüfung Deines Anbieters zu umgehen.
• Überprüfe jeden Anrufer: Wenn jemand behauptet, von Deinem Mobilfunkanbieter zu sein, leg einfach auf und ruf die offizielle Hotline Deines Anbieters an. Wenn Du eine verifizierte Nummer zurückrufst, kannst Du Social Engineers daran hindern, Deinen Dienst in Echtzeit zu kapern.
• Gib niemals Deine Zugangsdaten weiter: Dein Anbieter wird Dich nie per Telefon, E-Mail oder SMS nach Passwörtern, PINs oder Bankdaten fragen. Wenn Du diese Codes sicher aufbewahrst, können Angreifer nicht an die Daten kommen, die sie benötigen, um Deine Nummer zu stehlen.
• Verwende überall einzigartige Passwörter: Wenn Du für jeden Online-Dienst, einschließlich Deines Mobilfunkkontos, unterschiedliche Anmeldedaten verwendest, kannst Du den Schaden bei einem Daten-Leak deutlich begrenzen. Wenn eine Website gehackt wird, haben die Kriminellen nicht automatisch Zugriff auf Deine anderen sensiblen Konten. Ein Passwort-Manager wie ExpressVPN Keys hilft Dir dabei, starke Passwörter zu erstellen und zu speichern, ohne sie wiederzuverwenden.
• Verzichte auf automatisches Ausfüllen: Verwende lieber einen speziellen Passwort-Manager statt der integrierten Autofill-Funktionen in Apps oder Browsern. Wenn Dein Handy verloren geht oder mit Malware infiziert ist, können gespeicherte Daten leicht in die Hände von Angreifern fallen.

Beispiele aus der Praxis für SIM-Swap-Betrug (und was wirklich auf dem Spiel steht)

SIM-Swapping ist nicht nur ein technisches, sondern auch ein persönliches Problem. Für viele Opfer beginnt es mit einer kleinen Störung und entwickelt sich dann zu Gelddiebstahl, Rufschädigung und einer langwierigen Wiederherstellung.

Ein Beispiel ist Jack Dorsey, der ehemalige CEO von Twitter. Im Jahr 2019 nutzten Angreifer SIM-Swapping, um die Kontrolle über seine Telefonnummer zu übernehmen. Innerhalb weniger Minuten nutzten sie einen Text-to-Post-Dienst, um beleidigende Tweets von seinem Konto zu veröffentlichen. Der Angriff dauerte zwar nicht lange, sorgte aber weltweit für Schlagzeilen und zeigte, wie verwundbar selbst Technologieführer sein können.

Ein weiteres Beispiel ist Michael Terpin, ein Krypto-Investor, der mehr als 20 Millionen Dollar verlor, nachdem seine Telefonnummer gehackt worden war. Der Angreifer umging die Kontosicherungen, verschaffte sich Zugriff auf seine digitale Geldbörse und leerte sie. Terpin verklagte später seinen Mobilfunkanbieter, da schwache interne Kontrollen den Diebstahl ermöglicht hätten.

Das sind keine Einzelfälle. SIM-Swapping wird mit weit verbreiteten Angriffen auf verschiedene Personengruppen in Verbindung gebracht, von prominenten Persönlichkeiten bis hin zu normalen Nutzern. Hier sind einige Beispiele dafür, was Angreifer tun können:

• Identitätsdiebstahl: Sobald jemand die Kontrolle über Deine Telefonnummer hat, kann er sich online als Du ausgeben, Deine E-Mail-Adresse übernehmen, sich bei Deiner Bank anmelden und Passwörter zurücksetzen. Er kann auch persönliche Daten aus Deinen Konten verwenden, um in Deinem Namen Kredite oder Kreditlinien zu beantragen.
• Finanzielle Verluste: Eine gestohlene Nummer kann dazu führen, dass Bankkonten leergeräumt, unbefugte Kreditkartenkäufe getätigt und sogar Kryptowährungen gestohlen werden. Wenn Deine Finanzkonten auf einer SMS-basierten Zwei-Faktor-Authentifizierung beruhen, gibt ein SIM-Swap Betrügern genau das, was sie brauchen, um sich Zugang zu verschaffen.
• Verletzung der Privatsphäre: Ein erfolgreicher SIM-Swap kann Deine in cloudverbundenen Messaging-Apps gespeicherten SMS, Fotos und die Kontaktliste offenlegen. Der Angreifer könnte Deine Nummer nutzen, um Freunde anzuschreiben, Zugangscodes anzufordern oder ohne Dein Wissen persönliche Unterhaltungen einzusehen.
• Rufschädigung: Wenn jemand Deine Nummer nutzt, könnte er oder sie in Deinem Namen in den sozialen Medien posten, Dich in Nachrichten nachahmen oder Deine Kontakte betrügen. Je nach Schwere des Falls kann das Beziehungen schädigen oder Deine Karriere beeinträchtigen.

Abschließende Gedanken: Sei Mobilfunkbetrug einen Schritt voraus!

Eine gestohlene Telefonnummer ist nicht nur lästig, sondern auch eine Bedrohung für Dein digitales Leben. Von Bankgeschäften über E-Mails bis hin zu sozialen Medien kannst Du mit Deiner Nummer fast alles freischalten, weshalb es wichtig ist, Dich zu schützen.

Verwende Authentifizierungs-Apps, richte Konto-PINs ein, vermeide die Verwendung Deiner Nummer für Anmeldungen und achte auf verdächtige Aktivitäten. Die Vorbeugung dauert nur wenige Minuten. Die Wiederherstellung nach einem Identitätsdiebstahl kann hingegen Jahre dauern.

Ein VPN kann zwar kein SIM-Swapping verhindern, ist aber trotzdem eine clevere Möglichkeit, Deine Online-Aktivitäten zu schützen, vor allem in öffentlichen WLAN-Netzen. ExpressVPN verschlüsselt Deinen Datenverkehr und sorgt so für einen starken Schutz Deiner Privatsphäre, damit Deine Daten sicher bleiben, während Du online bist.