SIM-Swap-Angriff: Was es ist und wie Sie sich schützen

Ein SIM-Swap-Angriff (auch SIM-Hijacking genannt) liegt vor, wenn Ihre Telefonnummer ohne Ihr Wissen auf eine SIM-Karte eines Betrügers übertragen wird. Sobald die Nummer den Besitzer gewechselt hat, erreichen Anrufe und Textnachrichten an diese Nummer nicht mehr Ihr Telefon, sondern das Gerät des Angreifers. In diesem Artikel erklären wir, wie der Angriff funktioniert, woran Sie ihn erkennen und vor allem, wie Sie sich schützen können.

Was genau ist ein SIM-Swap?

Ihre SIM-Karte ist die Identität Ihres Telefons im Netz des Mobilfunkanbieters. Ihre Nummer ist nicht an die Plastikkarte selbst gebunden, sondern an einen Eintrag in den Systemen des Anbieters. Eine verlorene oder beschädigte Karte zu ersetzen ist ein völlig legitimer und üblicher Vorgang. Ein SIM-Swap ist der Missbrauch dieses Verfahrens: Der Betrüger versucht, den Anbieter dazu zu bringen, Ihre Nummer auf eine Karte zu übertragen, die er kontrolliert, und gibt sich dabei meist als Sie aus, mit persönlichen Daten, die anderswo gesammelt wurden.

Das Ziel ist nicht Ihr Telefon, sondern die Konten, die mit Ihrer Nummer verknüpft sind. Sie können also auch dann Opfer werden, wenn das Gerät in Ihrer Hand liegt, der Bildschirm intakt ist und niemand Ihre Passwörter kennt.

Warum wollen Angreifer Ihre Nummer?

Viele Dienste senden beim Anmelden und bei den Abläufen „Passwort vergessen“ einen SMS-Code. Wer die Nummer kontrolliert, kann diese Codes sehen. Dadurch sind E-Mail, soziale Netzwerke, Banking und andere wertvolle Konten gefährdet.

Hier gibt es eine wichtige Unterscheidung. Die Schwachstelle liegt weniger in der SMS-Technik selbst als in der Annahme, dass „wer die Nummer hat, der Eigentümer ist“. Wechselt die Nummer den Besitzer, wechselt jede darauf aufbauende Prüfung ebenfalls den Besitzer. Daraus ergibt sich der Kern des Schutzes: Binden Sie die Sicherheit Ihrer wertvollen Konten nicht allein an eine Telefonnummer.

Woran erkennen Sie einen SIM-Swap?

Kein einzelnes Zeichen ist ein Beweis, aber nehmen Sie es ernst, wenn mehrere gleichzeitig auftreten:

• Ihr Telefon zeigt plötzlich „Kein Netz“ oder „Nur Notrufe“, und ein Neustart behebt das nicht.
• Anrufe und Nachrichten bleiben komplett aus, während andere Telefone in Ihrer Nähe normal funktionieren.
• Sie erhalten eine unerwartete Mitteilung Ihres Anbieters über einen „SIM-Wechsel“, eine „Nummernübertragung“ oder eine „neue Karte“.
• E-Mails zum Zurücksetzen des Passworts oder Warnungen zur Anmeldung von einem neuen Gerät kommen an, obwohl Sie nichts ausgelöst haben.
• Banking- oder Wallet-Apps senden Benachrichtigungen, die Sie nicht erklären können.

Denken Sie daran, dass Signalverlust meist ein gewöhnliches Netzproblem ist. Bleiben Sie ruhig, warten Sie aber nicht ab: Rufen Sie mit einem anderen Gerät Ihren Anbieter an und klären Sie, was passiert.

Schutzmaßnahmen auf Seiten des Anbieters

Die Optionen unterscheiden sich von Anbieter zu Anbieter. Betrachten Sie die folgenden Punkte deshalb als Checkliste:

1. Schützen Sie Ihr Kundenkonto und die App des Anbieters mit einem starken, einzigartigen Passwort und aktivieren Sie die Zwei-Schritt-Bestätigung, wenn sie angeboten wird.
2. Fragen Sie nach, ob Sie für jeden SIM-Wechsel auf Ihrer Leitung ein zusätzliches Passwort oder eine PIN festlegen können.
3. Lassen Sie die Benachrichtigungen des Anbieters (SMS, E-Mail, App) eingeschaltet, damit Sie einen Übertragungsversuch früh bemerken.
4. Halten Sie Ihre Kontaktdaten wie E-Mail-Adresse und eine alternative Telefonnummer aktuell.
5. Richten Sie eine PIN für die SIM-Karte in Ihrem Telefon ein. Das ist eine zusätzliche Schutzebene, falls das Telefon verloren geht oder gestohlen wird.

Geben Sie Ihr Geburtsdatum, Ihre Ausweisnummer oder den Mädchennamen Ihrer Mutter niemals an jemanden weiter, der Sie anruft. Wenn sich ein Anrufer als Mitarbeiter Ihres Anbieters ausgibt, legen Sie auf und rufen Sie über die offizielle Kundenservice-Nummer zurück.

Schutzmaßnahmen auf Kontoebene

Echter Schutz entsteht in den Einstellungen Ihrer Konten:

• Eine stärkere Methode als SMS: Nutzen Sie bei wichtigen Konten eine Authenticator-App oder einen Sicherheitsschlüssel bzw. Passkey. Diese hängen nicht von Ihrer Telefonnummer ab.
• Machen Sie Ihre E-Mail zur Festung: Die meiste Kontowiederherstellung läuft über E-Mail. Geben Sie ihr ein einzigartiges Passwort und eine starke Überprüfung.
• Wiederherstellungsoptionen prüfen: Wenn ein Dienst zur Wiederherstellung nur Ihre Telefonnummer nutzt, hinterlegen Sie eine alternative Methode oder entfernen Sie die Nummer als Wiederherstellungsweg, wo das möglich ist.
• Backup-Codes speichern: Bewahren Sie die Backup-Codes, die Dienste Ihnen geben, offline an einem sicheren Ort auf.
• Bankbenachrichtigungen aktivieren: Nutzen Sie Umsatzbenachrichtigungen und, wo verfügbar, Ausgabenlimits.

Es lohnt sich außerdem, von Zeit zu Zeit zu prüfen, welches Konto mit welcher Nummer verbunden ist. Alte Konten, die Sie nicht mehr nutzen, sind Glieder derselben Kette.

Geben Sie Ihre echte Nummer nicht jedem

Ein indirekter Weg, das SIM-Swap-Risiko zu senken, ist, die Zahl der Stellen zu verringern, an denen Ihre Hauptnummer hinterlegt ist. Jedes Anmeldeformular fügt sie einer weiteren Datenbank hinzu und erweitert damit die Angriffsfläche für Spam und gezielte Angriffe. Ausführlich haben wir das im Beitrag Warum Sie Ihre Telefonnummer nicht überall angeben sollten behandelt.

Praktisch bewährt sich eine Aufteilung: Behalten Sie Ihre Hauptnummer für Bank, E-Mail und die wirklich wichtigen Konten. Für risikoarme Situationen wie schnelle Tests, Erprobungen oder ein Zweitkonto können Sie eine Einweg-virtuelle Nummer verwenden. Aktuelle Länder und Dienste finden Sie auf der Preisseite.

Ehrlich gesagt: Virtuelle Nummern sind Einwegnummern und geben Ihnen keinen dauerhaften Besitz. Deshalb eignen sie sich nicht für SMS-basierte Zwei-Schritt-Bestätigung bei einem Konto, das Ihnen wichtig ist. Richten Sie nach dem Anlegen eines Kontos eine Authenticator-App und eine Wiederherstellungs-E-Mail ein. Manche Plattformen schränken virtuelle Nummern ein; halten Sie sich daher an die Nutzungsbedingungen des jeweiligen Dienstes.

Was tun, wenn Sie einen SIM-Swap vermuten?

Jede Minute zählt. Gehen Sie in dieser Reihenfolge vor:

1. Rufen Sie Ihren Anbieter von einem anderen Telefon aus an, fragen Sie, ob ein SIM-Wechsel vorgenommen wurde, und lassen Sie die Leitung unter Schutz stellen.
2. Ändern Sie von einem sicheren Gerät aus zuerst das Passwort Ihrer E-Mail, danach die wichtigen Konten wie Banking und soziale Netzwerke.
3. Rufen Sie Ihre Bank an und bitten Sie darum, Ihre Karten und Konten vorübergehend zu schützen.
4. Melden Sie sich von allen Sitzungen ab und prüfen Sie Ihre Methoden der Zwei-Schritt-Bestätigung erneut.
5. Melden Sie den Vorfall den zuständigen Stellen und Ihrem Anbieter schriftlich und bewahren Sie Screenshots von Mitteilungen und Warnungen auf.

Häufig gestellte Fragen

Ist ein SIM-Swap dasselbe wie SIM-Klonen?

Nein. Bei einem SIM-Swap wird die Nummer über die Datensätze des Anbieters auf eine andere Karte übertragen. Klonen bedeutet, die Karte selbst zu kopieren, und ist heute deutlich seltener. Die Schutzlogik ist ähnlich: Verlassen Sie sich nicht allein auf nummernbasierte Verifizierung.

Schützt eine Authenticator-App vor einem SIM-Swap?

Authenticator-Codes sind an die App auf Ihrem Gerät gebunden, nicht an Ihre Telefonnummer. Sie gelangen deshalb nicht zum Angreifer, selbst wenn die Nummer übernommen wurde. Bewahren Sie trotzdem Backup-Codes sicher auf und schützen Sie den Wiederherstellungsweg des Kontos.

Wenn mein Telefon kein Signal hat, handelt es sich dann um einen SIM-Swap?

Meistens nicht. Netzausfälle, Kartenprobleme oder schlechter Empfang kommen viel häufiger vor. Tritt der Signalverlust aber zusammen mit Kontowarnungen auf, die Sie nicht kennen, wenden Sie sich sofort an Ihren Anbieter.

Verhindert eine virtuelle Nummer das SIM-Swap-Risiko?

Nicht von selbst. Sie hilft, Ihre Hauptnummer nicht unnötig weiterzugeben, aber der eigentliche Schutz besteht darin, bei wertvollen Konten Verfahren ohne SMS zu nutzen. Weitere Informationen finden Sie auf unserer Seite mit den häufig gestellten Fragen.