SIM-Swapping ist eine Form der Kontoübernahme, bei der Kriminelle die Rufnummer des Opfers auf eine SIM-Karte oder eSIM übertragen lassen, die sie kontrollieren, und so Anrufe, SMS und Einmalcodes erhalten.
Wie SIM-Swapping funktioniert
Zunächst sammelt der Angreifer persönliche Daten über das Opfer – Name, Geburtsdatum, Adresse, mitunter die letzten Ziffern eines Ausweises – aus Datenlecks, sozialen Netzwerken oder per Phishing. Dann bringt er den Mobilfunkanbieter dazu, die Nummer umzuziehen:
- indem er anruft oder einen Shop besucht und sich als Kunde ausgibt, der sein Handy verloren oder beschädigt hat;
- indem er Mitarbeitende des Anbieters oder seiner Vertriebspartner besticht oder anwirbt;
- indem er die Rufnummernmitnahme zu einem anderen Anbieter missbraucht (Port-out-Betrug).
Nach dem Tausch verliert das Handy des Opfers den Empfang, und der Angreifer setzt per SMS-Code die Passwörter für E-Mail, Online-Banking und Kryptobörsen zurück. Anders als der SS7-Angriff, der die Signalisierung im Mobilfunknetz missbraucht, zielt SIM-Swapping auf Menschen und Prozesse.
Warum SIM-Swapping gefährlich ist
SIM-Swapping hebelt die SMS-basierte Zwei-Faktor-Authentifizierung aus – eine Telefonnummer kann so zum einzigen Schlüssel für das digitale Leben werden. Investor Michael Terpin verklagte AT&T, nachdem er bei einem SIM-Swap 2018 rund 24 Millionen Dollar in Kryptowährung verloren hatte. 2019 wurde das Twitter-Konto von Twitter-Chef Jack Dorsey auf dieselbe Weise gekapert, und im Januar 2024 wurde der X-Account der US-Börsenaufsicht SEC nach einem SIM-Swap übernommen. 2023 verabschiedete die US-Regulierungsbehörde FCC Regeln, nach denen Anbieter Kunden vor SIM-Wechseln und Portierungen authentifizieren müssen. SIM-Swapping ist zudem ein Einfallstor für weitergehenden Identitätsdiebstahl.
Wie man sich vor SIM-Swapping schützt
- Beim Mobilfunkanbieter, falls angeboten, ein Kundenkennwort oder eine Portierungssperre einrichten.
- SMS-basierte Einmalpasswörter durch Authenticator-Apps oder Hardware-Sicherheitsschlüssel ersetzen.
- Die Telefonnummer möglichst nicht zur Kontowiederherstellung nutzen und öffentlich geteilte persönliche Daten begrenzen.
- Sofort reagieren, wenn das Handy plötzlich keinen Empfang mehr hat: den Anbieter von einem anderen Telefon aus kontaktieren.
