SIM-Swapping: Wie Angreifer Ihre Telefonnummer kapern, um Ihre Kryptowerte zu stehlen

Stellen Sie sich vor, Ihr Telefon verliert plötzlich das Netz – keine Anrufe, keine SMS mehr. Wenige Minuten später erhalten Sie Benachrichtigungen über geänderte Passwörter und abgehobene Guthaben. Genau das passiert bei einem SIM-Swap-Angriff, einer der gefährlichsten Methoden, Krypto-Konten zu übernehmen – denn er zielt nicht direkt auf Ihre Wallet, sondern auf die Telefonnummer, auf der Ihre gesamte Sicherheit aufgebaut ist.

In diesem Leitfaden erklären wir einfach, wie der Angriff funktioniert, warum SMS-Codes eine echte Schwachstelle sind, und welche konkreten Schritte Sie vom leichten Ziel zu einem schwer angreifbaren Konto machen.

Was ist ein SIM-Swap-Angriff?

Die Grundidee: Der Angreifer überzeugt Ihren Mobilfunkanbieter davon, dass er Sie sei, und lässt Ihre Telefonnummer auf eine neue SIM-Karte übertragen, die er selbst besitzt. Sobald das gelingt, gehen alle Nachrichten und Anrufe, die eigentlich für Sie bestimmt sind, an sein Gerät statt an Ihres.

Warum ist das so gefährlich? Weil viele Plattformen Bestätigungscodes per SMS versenden und eine Passwort-Wiederherstellung über die Telefonnummer erlauben. Kontrolliert der Angreifer Ihre Nummer, kann er diese Codes empfangen, Passwörter zurücksetzen und die SMS-basierte Zwei-Faktor-Authentifizierung umgehen.

Das Ergebnis: Ihre Telefonnummer verwandelt sich von einem Schutzinstrument in einen Generalschlüssel für Ihre Konten – in den Händen des Angreifers.

So läuft der Angriff Schritt für Schritt ab

Der Angriff ist keine komplizierte Technik, sondern eine Kette aus Täuschung und geleakten Informationen:

1. Informationen sammeln: Der Angreifer sammelt Ihre persönlichen Daten aus alten Datenlecks, öffentlichen Beiträgen oder Phishing-Nachrichten, die sich als Plattform oder Bank ausgeben.
2. Ihre Identität vortäuschen: Er ruft bei Ihrem Mobilfunkanbieter an oder besucht eine Filiale und behauptet, sein Telefon verloren zu haben und die Nummer auf eine neue SIM-Karte übertragen zu wollen.
3. Verifizierung umgehen: Mit den geleakten Daten (Geburtsdatum, letzte bezahlte Rechnungen, Adresse) überzeugt er den Mitarbeiter, dass er der rechtmäßige Inhaber der Nummer ist.
4. Die neue SIM-Karte aktivieren: Sobald die Aktivierung erfolgt, verliert Ihre eigene SIM-Karte die Verbindung, und Ihre Nummer beginnt, auf dem Gerät des Angreifers zu funktionieren.
5. Konten übernehmen: Er fordert Passwort-Zurücksetzungen an, empfängt die SMS-Codes und verschafft sich Zugang zu Ihrer E-Mail, Ihren Plattformen und Ihren Wallets.

Warum SMS-Codes kein ausreichender Schutz sind

SMS-Codes sind einfach und bequem, aber das schwächste Glied in der Kette. Der Code, den Sie per SMS erhalten, ist an Ihre Telefonnummer gebunden – nicht an Ihr Gerät. Wer die Nummer kontrolliert, kontrolliert den Code. Deshalb wird immer empfohlen, auf Authenticator-Apps umzusteigen, die Codes lokal auf Ihrem Smartphone erzeugen, ganz ohne Mobilfunknetz.

Die praktische Regel: Nutzen Sie SMS-Codes nur, wenn keine Alternative existiert – nicht zum Schutz Ihrer E-Mail oder Ihrer Finanzkonten.

So schützen Sie sich: praktische Schritte

Schutz besteht aus mehreren Ebenen. Jede Ebene macht den Angriff schwieriger und teurer für den Angreifer.

1. Aktivieren Sie eine Authenticator-App statt SMS

Stellen Sie die Zwei-Faktor-Authentifizierung Ihrer E-Mail und Ihrer Plattformen auf eine Authenticator-App (TOTP-basiert) um, oder nutzen Sie für besonders wichtige Konten einen physischen Sicherheitsschlüssel. Das ist der wichtigste einzelne Schritt, den Sie heute unternehmen können.

2. Fordern Sie eine PIN bei Ihrem Mobilfunkanbieter an

Die meisten Mobilfunkanbieter bieten eine Konto-PIN oder ein Sicherheitskennwort an, das vor jeder Nummernübertragung oder SIM-Änderung abgefragt wird. Aktivieren Sie diese Funktion und wählen Sie einen Code, der nichts mit Ihrem Geburtsdatum oder leicht zu erratenden Zahlen zu tun hat.

3. Sichern Sie zuerst Ihre E-Mail

Ihre E-Mail ist der Generalschlüssel zu allem – über sie werden Passwörter zurückgesetzt. Vergeben Sie ein starkes, einzigartiges Passwort und aktivieren Sie eine Zwei-Faktor-Authentifizierung über eine App oder einen physischen Schlüssel, nicht per SMS.

4. Geben Sie so wenig öffentlich preis wie möglich

Veröffentlichen Sie Ihre Telefonnummer, persönliche Identitätsdetails oder Ihren Krypto-Besitz nicht öffentlich. Jede geleakte Information ist ein zusätzliches Werkzeug für jemanden, der sich gegenüber Ihrem Mobilfunkanbieter als Sie ausgeben will.

5. Nutzen Sie einen Passwort-Manager und einzigartige Passwörter

Ein unterschiedliches Passwort für jedes Konto bedeutet, dass ein Datenleck bei einer Website nicht automatisch alle anderen Konten öffnet. Ein Passwort-Manager macht das einfach und alltagstauglich.

6. Trennen Sie Ihre Nummer von sensiblen Finanzkonten

Verknüpfen Sie, wo möglich, die Wiederherstellungsnummer wichtiger Konten nicht mit Ihrer öffentlich bekannten Hauptnummer. Manche Nutzer richten eine separate, ruhige Nummer ausschließlich für Finanzkonten ein.

Was tun, wenn Sie vermuten, betroffen zu sein?

Geschwindigkeit ist entscheidend. Wenn Sie plötzlich das Netz verlieren oder ungewöhnliche Aktivitäten bemerken:

• Rufen Sie sofort Ihren Mobilfunkanbieter an – von einer anderen Leitung aus –, um die Nummer zu sperren und Ihre SIM-Karte wiederherzustellen.
• Ändern Sie die Passwörter Ihrer E-Mail und danach Ihrer Finanzplattformen von einem sicheren Gerät aus, und aktivieren Sie eine Verifizierung, die nicht auf SMS basiert.
• Prüfen Sie Ihre Kontoaktivität und den Anmeldeverlauf, und melden Sie jede nicht autorisierte Transaktion so schnell wie möglich.
• Dokumentieren Sie alles (Zeitpunkte, Nachrichten, Nummern) – das kann für eine offizielle Meldung wichtig sein.

Fazit

Ein SIM-Swap-Angriff bricht keine Verschlüsselung, sondern nutzt das schwächste Glied aus: unsere Abhängigkeit von Telefonnummer und SMS. Wenn Sie Ihren Schutz auf Authenticator-Apps umstellen, eine PIN bei Ihrem Mobilfunkanbieter einrichten, Ihre E-Mail absichern und weniger öffentlich preisgeben, verschließen Sie genau die Türen, auf die sich der Angreifer verlässt. Wenige Minuten, die Sie heute in diese Einstellungen investieren, können Ihnen einen Verlust ersparen, der sich kaum wiedergutmachen lässt.