SIM-Swapping: Wenn die Handynummer in falsche Hände gerät

SIM-Swapping ist eine Betrugsmasche, bei der Kriminelle Ihre Handynummer auf eine von ihnen kontrollierte SIM-Karte übertragen. Was dabei genau passiert, wie sie SIM-Swapping erkennen und wie Sie sich schützen können.

Stellen Sie sich vor, Ihr Handy verliert plötzlich den Empfang. Sie erhalten keine Anrufe mehr und können nicht mehr telefonieren, SMS und mobiles Internet gehen auch nicht mehr. Kurze Zeit später erhalten Sie Meldungen über neue Anmeldungen oder Passwortänderungen bei Ihren Konten. Dann wurden Sie wahrscheinlich Opfer eines SIM-Swapping-Angriffs.

Denn beim SIM-Swapping übernehmen Angreifer meist nicht nur Ihre Telefonnummer, sondern auch den Zugang zu Online-Konten, E-Mail-Postfächern oder sogar Online-Banking. Wir erklären, was SIM-Swapping genau ist, wie Sie einen Angriff erkennen und wie sich davor schützen können.

Was ist SIM-Swapping?

Bei SIM-Swapping geben sich Betrüger bei Ihrem Mobilfunkanbieter als Sie aus. Ihr Ziel ist es, Ihre Handynummer auf eine neue SIM oder eSIM übertragen zu lassen. Gelingt ihnen das, gehen Anrufe und SMS nicht mehr bei Ihnen ein, sondern bei den Angreifern.

Das ist besonders problematisch, weil viele Menschen ihre Handynummer als Sicherheitsanker verwenden. Sie bekommen damit Einmalcodes per SMS, bestätigen Anmeldungen oder setzen so Passwörter zurück. Wer also Ihre Handynummer kontrolliert, hat oft gleich die Hoheit über mehrere digitale Zugänge.

Wenn Täter dabei zuerst ein E-Mail-Konto übernehmen, wird es besonders gefährlich. Denn E-Mail ist oft der zentrale Schlüssel, um andere Konten zurückzusetzen oder neue Passwörter zu vergeben.

Warum ist das so gefährlich?

Die Handynummer ist für viele Dienste mehr als nur eine Kontaktmöglichkeit. Sie dient oft als Wiederherstellungsweg, wenn man ein Passwort vergessen hat oder einen zusätzlichen Sicherheitscode eingeben muss. Genau deshalb ist SIM-Swapping so attraktiv für Kriminelle. Besonders betroffen sind E-Mail-Konten, Social-Media-Profile, Cloud-Dienste, Online-Shops, Zahlungsdienste und teils auch Online-Banking.

Denn tatsächlich gibt es noch vereinzelt Banken, die für das Online-Banking SMS-Einmalcodes als Authentisierungsmethode verwenden. Allerdings ist diese Methode in den letzten Jahren zunehmend in den Hintergrund getreten, da sie als weniger sicher gilt – gerade wegen Risiken wie SIM-Swapping. Viele Banken sind daher auf sicherere Verfahren wie App-basierte TANs (z. B. PushTAN, SecureTAN) oder spezielle Geräte (ChipTAN, photoTAN) umgestiegen.

Dennoch findet man SMS-TAN noch vereinzelt, insbesondere bei kleineren oder internationalen Banken. Es empfiehlt sich, die Authentisierungsmethode bei der eigenen Bank zu überprüfen und gegebenenfalls auf ein moderneres Verfahren umzusteigen.

Physische SIM und eSIM: Wo liegt der Unterschied?

Die physische SIM ist die bekannte kleine Plastikkarte, die man ins Handy einlegt. Eine eSIM ist ein in das Gerät selbst eingebauter Chip. Auf ihm wird das SIM-Profil digital gespeichert. Die Aktivierung erfolgt in der Regel per QR-Code oder Aktivierungscode. Im Gegensatz zur klassischen, physischen SIM-Karte ist die eSIM also fest im Smartphone, Tablet oder der Smartwatch verbaut und kann nicht herausgenommen werden.

Dieser Unterschied ist im Alltag praktisch, für den Missbrauch aber relevant. Denn bei einer physischen SIM braucht es in der Regel einen physischen Ersatz oder Versand vom Anbieter zur Kundin oder zum Kunden. Bei einer eSIM kann ein neues Profil jedoch viel schneller digital aktiviert werden als bei einer physischen SIM. Ist die Sicherheitsprüfung beim Anbieter nicht streng genug, kann das SIM-Swapping-Angriffe enorm beschleunigen.

Wichtig ist aber: eine eSIM ist nicht automatisch unsicherer. Das Risiko entsteht vor allem dann, wenn beim Anbieter die Prozesse oder der Kontoschutz zu schwach sind. Das bedeutet also nicht, dass man eSIM meiden muss. Man sollte aber einen vertrauenswürdigen Anbieter wählen und die eigenen Konten bewusst schützen. Wer eSIM nutzt, sollte die gleichen oder sogar strengere Schutzmassennahmen anwenden als bei einer klassischen SIM.

Wie funktioniert SIM-Swapping?

Oft beginnt SIM-Swapping mit dem Sammeln von Informationen. Die Täter suchen persönliche Daten im Internet, greifen E-Mails ab oder nutzen Phishing, um an Ihre Daten zu kommen. Mit genug Informationen geben sie sich dann bei Ihrem Mobilfunkanbieter als der rechtmässige Inhaber aus. Dabei handelt es sich um eine Form von Identitätsdiebstahl. Die Betrüger übernehmen Ihre Identität, um die Kontrolle über Ihre Handynummer zu erlangen und damit Zugriff auf Ihre anderen Online-Konten und -Diensten zu erhalten.

Manchmal behaupten sie, das Handy sei verloren gegangen oder die SIM-Karte defekt. Wenn der Support des Anbieters das angebliche Anliegen nicht sorgfältig prüft, wird eine Ersatz-SIM verschickt oder eine eSIM aktiviert. Ab diesem Moment wird die Nummer auf dem Gerät der Betrüger aktiviert.

In anderen Fällen verschaffen sich die Täter direkt Zugang zum Kundenportal des Anbieters. Dort können sie dann selbst Änderungen erfassen, falls Ihre Anmeldedaten oder Sicherheitsabfragen bereits in falsche Hände geraten sind.

Welche Folgen hat SIM-Swapping?

Die unmittelbare Folge von SIM-Swapping ist, dass Ihr Smartphone plötzlich keinen Empfang mehr hat. Doch damit endet der Schaden meist nicht. Denn die Betrüger können nun SMS-Codes abfangen, sich in Ihre Konten einloggen oder Ihre Passwörter zurücksetzen.

Die Folgen eines SIM-Swapping-Angriffs können also gravierend sein und betreffen häufig mehrere Bereiche gleichzeitig. Zunächst verlieren Betroffene den Zugriff auf ihre E-Mail-Konten und sozialen Netzwerke, was oft mit dem Missbrauch von Messenger- und Chat-Diensten wie WhatsApp einhergeht.

Die Täter verschaffen sich unbefugten Zugang zu Cloud- und Zahlungsdiensten, etwa Twint, und senden gefälschte Nachrichten im Namen der Opfer. Durch den Identitätsdiebstahl kommt es zu unerlaubten Anmeldungen bei verschiedenen Diensten, was wiederum finanzielle Schäden durch Kontomissbrauch zur Folge haben kann.

Darüber hinaus können persönliche Daten und Dokumente kompromittiert, wichtige Informationen manipuliert oder gelöscht und Konten bei Online-Diensten dauerhaft verloren gehen. Nicht selten werden Kreditkarten oder Bankkonten missbraucht, wodurch weitere finanzielle Verluste entstehen.

Ausserdem kann der Ruf der Betroffenen durch betrügerische Aktivitäten im eigenen Namen erheblich leiden. Das kann die Wiederherstellung der digitalen Identität erschweren und langfristige Einschränkungen beim Zugang zu Online-Diensten verursachen.

Nicht selten führt die Unsicherheit und der Kontrollverlust zu einer erheblichen psychischen Belastung. Besonders zermürbend kann sein, dass die Wiederherstellung der eigenen Konten oft viel Zeit in Anspruch nimmt, da meist mehrere Zugänge betroffen sind.

Woran erkenne ich SIM-Swapping frühzeitig?

Je früher man einen SIM-Swapping-Angriff bemerkt, desto besser. Typische Warnzeichen sind:

• Plötzlich kein Netz
• Keine SMS, obwohl alles vorher funktionierte
• Anrufe kommen nicht mehr an oder können nicht getätigt werden
• Unerwartete Meldungen über neue Anmeldungen, wenn man mit WLAN verbunden ist
• E-Mails über Passwortänderungen oder neue Geräte
• Hinweise des Anbieters, dass eine SIM oder eSIM geändert wurde

Besonders verdächtig ist die Kombination aus fehlendem Mobilfunkempfang und gleichzeitigen Sicherheitsmeldungen. Dann sollten Sie sofort handeln.

Was tun im Verdachtsfall?

Wenn Sie den Verdacht haben, dass Ihre Nummer auf eine andere SIM-Karte übertragen wurde, zählt jede Minute. Handeln Sie sofort und strukturiert nach folgendem Ablauf:

1. Kontaktieren Sie Ihren Anbieter über einen anderen Weg und lassen Sie ihre SIM oder eSIM sofort sperren.
2. Ändern Sie die Passwörter der wichtigsten Konten.
3. Prüfen Sie E-Mail-, Banking- und Social-Media-Zugänge und ändern Sie nötigenfalls Passwörter.
4. Kontrollieren Sie Wiederherstellungsdaten und Sicherheitsfragen.
5. Informieren Sie Ihre Kontakte, falls bereits Nachrichten missbräuchlich gesendet wurden.

Wie kann ich mich vor SIM-Swapping schützen?

Der wichtigste Grundsatz beim Schutz vor SIM-Swapping lautet: Nutzen Sie SMS nicht als einzigen Schutz der Zwei-Faktor-Authentifizierung (2FA) für wichtige Konten. SMS-Codes sind bequem, aber als alleiniger Sicherheitsfaktor angreifbar.

Besser sind:

• Passkeys für eine Anmeldung ohne Passwort
• Authenticator-Apps (wenn angeboten)
• Physische Sicherheitsschlüssel wie YubiKey, Google Titan Security Key oder Nitrokey
• Zusätzliche Sperren beim Anbieter
• Ein PIN oder ein Kennwort für SIM-Änderungen
• Starke, einzigartige Passwörter und besonders gut geschützte E-Mail-Konten
• Schützen Sie sich vor Phishing und geben Sie persönliche Daten nie leichtfertig bekannt. Die meisten Angriffe beginnen mit Informationen, die Betroffene selbst unbedacht öffentlich machen.

Markus Häfliger

PR-Fachmann

Markus Häfliger ist PR-Fachmann und schreibt seit 2018 für iWay. Als ehemaliger IT-Journalist liest er sich in jedes Thema ein. Ihn fasziniert, wie IT unser Leben durchdringt und stets spannend bleibt.