Wie der Angriff abläuft
Beim SIM-Swapping, auch SIM-Hijacking, bringt ein Angreifer deinen Mobilfunkanbieter dazu, deine Rufnummer auf eine SIM-Karte zu übertragen, die er kontrolliert. Er ruft an oder nutzt einen Online-Kanal, gibt sich als du aus und behauptet, das Handy verloren zu haben. Mit genug persönlichen Daten, Name, Adresse, Geburtsdatum, Vertragsnummer, gelingt das erschreckend oft.
Ist die Portierung durch, laufen alle SMS und Anrufe bei ihm auf, und dein eigenes Gerät verliert gleichzeitig den Empfang. Der ganze Vorgang dauert Minuten. Die dafür nötigen Angaben stammen meist aus Datenlecks und aus dem, was du selbst öffentlich stehen hast.
SMS-2FA
Der zweite Faktor wechselt den Besitzer
Wer deine Nummer hat, bekommt den Anmeldecode. Zusammen mit einem Passwort aus irgendeinem Datenleck reicht das für den vollen Zugriff auf dein Börsenkonto.
Passwort-Reset
Das Passwort wird gar nicht gebraucht
Viele Dienste setzen Passwörter per SMS zurück. Der Angreifer muss deins also nicht kennen, er lässt sich einfach ein neues schicken.
Tempo
Zwischen Swap und leerem Konto liegen Minuten
Du merkst den Angriff daran, dass dein Handy still wird. Bis du verstanden hast, warum, ist der Vorsprung meist schon groß genug.
Besonders gefährdet sind Nutzer, die ihre Nummer öffentlich zeigen, größere Bestände auf Börsen mit SMS-Anmeldung halten oder schon einmal von einem Datenleck betroffen waren. Allein in den USA wurden im Jahr 2024 über 350 Millionen US-Dollar auf diesem Weg erbeutet.
Sechs Maßnahmen, zwei davon entscheidend
Portierungssperre einrichten
Die wirksamste Einzelmaßnahme. Ein Anruf bei deinem Anbieter genügt: Die Nummer lässt sich danach nur noch mit persönlicher Identitätsprüfung übertragen, nicht mehr telefonisch.
Kunden-PIN setzen
Ein separates Kennwort, das bei jedem Kontakt abgefragt wird. Ohne das kann auch ein überredeter Mitarbeiter nichts am Vertrag ändern.
Nummer aus der Öffentlichkeit nehmen
Social-Media-Profile, Telegram-Bio, Impressen, Verzeichnisse. Der Angreifer baut seine Legende aus dem, was er über dich findet, und deine Nummer ist der Einstieg.
Datenlecks prüfen
Auf haveibeenpwned.com nachsehen, ob deine Adresse in einem Leck auftaucht. Wenn ja, gehören die Passwörter der betroffenen Konten sofort gewechselt.
Auf eSIM wechseln
Eine eSIM lässt sich nicht als Karte herausgeben und erschwert den Angriff deutlich. Prüfe, ob Anbieter und Gerät das unterstützen.
Eigene Nummer für Krypto
Eine Prepaid-Karte, die ausschließlich für Börsen und Wallet-Dienste genutzt wird und sonst nirgends auftaucht. Aufwändig, aber praktisch nicht angreifbar.
Was du statt SMS nimmst
Der wirksamste Schutz ist, die Rufnummer aus der Anmeldung herauszunehmen. Dann geht ein SIM-Swap ins Leere, selbst wenn er gelingt.
Authenticator
Kostenlos und sofort verfügbar
Google Authenticator, Authy oder Microsoft Authenticator erzeugen die Codes lokal. Kein Mobilfunknetz beteiligt, also durch einen SIM-Swap nicht angreifbar.
Hardware-Key
Ab etwa 25 Euro
YubiKey oder Titan nach FIDO2. Der Schlüssel muss physisch anliegen, Fernzugriff ist ausgeschlossen. Für Konten mit größeren Beträgen die erste Wahl.
Passkeys
Ersetzt Passwort und Code
Kryptografische Schlüsselpaare, die an dein Gerät gebunden sind. Immer mehr Börsen unterstützen das, und es ist zugleich sicherer und bequemer als beides zusammen.
Konkret heißt das: Öffne heute die Sicherheitseinstellungen deiner Börsen und stelle von SMS auf eine Authenticator-App oder einen Hardware-Key um. Das dauert fünf Minuten je Konto. Wie das genau geht, steht im 2FA-Guide.
Warnsignale
Diese vier Anzeichen sprechen dafür, dass ein Angriff läuft oder unmittelbar bevorsteht. Warte in keinem der Fälle ab, ob es sich von selbst wieder einrenkt.
Kein Netz
Empfang weg, ohne Grund
Das Handy zeigt "Kein Netz" oder "Nur Notrufe", obwohl der Empfang an dieser Stelle sonst steht und der Flugmodus aus ist. Das deutlichste Signal von allen.
SMS
Bestätigungen, die du nicht ausgelöst hast
Nachrichten über SIM-Kartenwechsel, Vertragsänderungen oder eine Portierung, die du nicht beantragt hast. Diese Mitteilung kommt oft, bevor der Swap durch ist.
Login
Warnmails ohne dein Zutun
Fehlgeschlagene Anmeldeversuche, geänderte Passwörter oder eine deaktivierte 2FA bei deinen Börsen, ohne dass du etwas getan hast.
Anruf
Der Anbieter fragt nach
Meldet sich dein Mobilfunkanbieter wegen einer Portierungs- oder SIM-Anfrage, die nicht von dir stammt, läuft der Versuch bereits.
Notfallplan
Verliert dein Handy plötzlich den Empfang und du kannst weder SMS noch Anrufe empfangen, arbeite diese fünf Schritte in genau dieser Reihenfolge ab. Der Anbieter kommt zuerst, weil nur er den Angriff stoppen kann.
Anbieter anrufen, von einem anderen Telefon
Fordere die sofortige Sperrung der SIM und die Rücknahme jeder Portierung. Notiere Datum, Uhrzeit und den Namen des Mitarbeiters, das brauchst du später für die Anzeige.
AchtungZuerst hierhin, nicht zur Börse. Nur der Anbieter kann den Angriff selbst beenden, alles andere begrenzt nur den Schaden.
E-Mail-Konto sichern
Passwort ändern und 2FA auf eine Authenticator-App umstellen, bevor der Angreifer darüber Passwörter zurücksetzt. Die Mailbox ist der Generalschlüssel.
Börsenkonten sperren
Vom Computer aus anmelden, Passwort und 2FA-Methode ändern, wo möglich eine Auszahlungssperre setzen. War SMS aktiv, geh davon aus, dass er bereits drin war.
Guthaben verschieben
Solange du noch Zugriff hast, alles auf ein Hardware-Wallet oder ein unbeteiligtes Konto übertragen.
Welches Gerät dafür taugt →Anzeige erstatten
Zuständig ist die Zentrale Ansprechstelle Cybercrime der jeweiligen Landespolizei. Sichere vorher Screenshots, Benachrichtigungen und Transaktions-Hashes.
