Ein SIM-Swap-Angriff zielt nicht direkt auf ein Krypto-Wallet oder ein Börsenkonto ab. Er zielt auf die dahinterstehende Telefonnummer. Indem ein Mobilfunkanbieter davon überzeugt wird, diese Nummer auf eine vom Angreifer kontrollierte SIM-Karte zu übertragen, wird alles erreichbar, was sich für Identität oder Verifizierung auf diese Nummer verlässt, einschließlich Bankkonten, E-Mail und jedes Börsenkonto, das noch SMS-basierte Codes als zweiten Authentifizierungsfaktor verwendet.
Das Internet Crime Complaint Center des FBI verzeichnete 2024 982 SIM-Swap-Beschwerden mit gemeldeten Verlusten von knapp unter sechsundzwanzig Millionen Dollar, wobei diese Zahl das tatsächliche Ausmaß unterschätzt, da SIM-Swapping in der Regel der Zugangsschritt eines größeren Verbrechens ist und der daraus resultierende finanzielle Diebstahl, sobald die Gelder bewegt wurden, häufig unter separaten Kategorien verbucht wird. Im März 2025 wurde T-Mobile in einem Schiedsverfahren zur Zahlung von dreiunddreißig Millionen Dollar verurteilt, nachdem ein einziger SIM-Swap es Angreifern ermöglicht hatte, das Kryptowährungs-Wallet eines Kunden zu leeren – ein Beispiel dafür, wie katastrophal ein einziger erfolgreicher Swap speziell für einen Krypto-Inhaber sein kann.
Wie der Angriff durchgeführt wird
Informationen über das Ziel sammeln
Bevor ein Anbieter kontaktiert wird, sammelt ein Angreifer in der Regel genügend persönliche Informationen, um das Opfer überzeugend zu imitieren, häufig stammend aus früheren Datenlecks, Social-Media-Aktivitäten oder gezieltem Phishing. Öffentliche Hinweise darauf, dass jemand erhebliche Krypto-Bestände hält, Diskussionen in Online-Communities, sichtbare Wallet-Adressen oder ein öffentliches, mit Trading verknüpftes Profil können diese Person zu einem gezielten Ziel für solche Recherchen machen.
Social Engineering gegenüber dem Anbieter oder einem Insider
Mit genügend persönlichen Details in der Hand kontaktiert der Angreifer den Mobilfunkanbieter des Opfers, behauptet, die ursprüngliche SIM sei verloren gegangen oder beschädigt, und verlangt, die Nummer auf eine neue, in seinem Besitz befindliche SIM-Karte zu übertragen. In manchen dokumentierten Fällen hat ein bestochener oder komplizenhafter Mitarbeiter des Anbieters die Übertragung direkt durchgeführt und damit die Notwendigkeit umgangen, überhaupt einen Support-Mitarbeiter per Social Engineering zu überzeugen – mit ein Grund, warum Regulierungsbehörden Anbieter dazu gedrängt haben, ihre internen Verifizierungsverfahren für diese spezifische Anfrage zu verschärfen.
Konten über die gestohlene Nummer übernehmen
Sobald die Nummer auf dem Gerät des Angreifers aktiv ist, kann er SMS-Verifizierungscodes abfangen und nutzen, um Passwörter zurückzusetzen oder Login-Versuche bei E-Mail-, Börsen- und Wallet-bezogenen Konten zu genehmigen. E-Mail ist häufig das erste Ziel, da ein kompromittiertes E-Mail-Konto oft weitere Passwort-Rücksetzungen über jeden anderen damit verknüpften Dienst ermöglicht und so eine kaskadierende Übernahme erzeugt, die innerhalb von Minuten nach dem ursprünglichen Swap ein Krypto-Börsenkonto erreichen kann.
SMS-basierte Zwei-Faktor-Authentifizierung ist deutlich schwächer als App- oder Hardware-basierte Authentifizierung, und zwar spezifisch deshalb, weil die Telefonnummer selbst – nicht nur das Gerät – ohne Wissen des Opfers umgeleitet werden kann, bis der Dienst unerwartet aufhört zu funktionieren.
eSIM-Swapping: eine neuere Variante desselben Angriffs
Der Aufstieg der eSIM-Technologie, die ein Anbieterprofil digital statt auf einer physischen, herausnehmbaren Karte speichert, hat eine schnellere Version desselben zugrunde liegenden Angriffs eingeführt. Statt einen physischen SIM-Austausch zu beantragen, überzeugt ein Angreifer einen Anbieter oder manipuliert in manchen dokumentierten Fällen direkt die Selbstbedienungs-App oder das Webportal eines Anbieters, um das eSIM-Profil auf ein neues Gerät zu übertragen. Da keine physische Karte versandt oder persönlich ausgetauscht werden muss, kann eine eSIM-basierte Übernahme vollständig aus der Ferne und oft schneller als ein traditioneller SIM-Swap abgeschlossen werden, mitunter innerhalb von Minuten, nachdem der Angreifer ausreichenden Kontozugriff erlangt hat. Dieser Wandel hat einige Anbieter dazu veranlasst, speziell für eSIM-Übertragungen zusätzliche Verifizierung einzuführen, wobei die Einführung dieses zusätzlichen Schutzes nicht bei jedem Anbieter und jedem Tarif einheitlich ist.
Ein realistisches Szenario: vom Datenleck eines Datenhändlers zu einem geleerten Börsenkonto
- Ein früheres, unabhängiges Datenleck bei einem Online-Händler legt Name, Wohnadresse, Geburtsdatum und die letzten vier Ziffern der Zahlungskarte eines Opfers offen, die später auf einem kriminellen Marktplatz zusammengeführt und verkauft werden.
- Ein Angreifer kauft diese Daten und kombiniert sie mit öffentlich verfügbaren Social-Media-Informationen, um ein hinreichend überzeugendes Profil zu erstellen, mit dem sich die standardmäßigen Identitätsverifizierungsfragen eines Mobilfunkanbieters beantworten lassen.
- Der Angreifer kontaktiert den Anbieter per Online-Chat oder Telefonanruf, behauptet, das ursprüngliche Telefon sei verloren gegangen, und beantragt erfolgreich, die Nummer auf eine neue SIM oder eSIM zu übertragen.
- Innerhalb von Minuten nutzt der Angreifer die gekaperte Nummer, um einen Passwort-Reset-Code für das E-Mail-Konto des Opfers zu empfangen, und nutzt anschließend das kompromittierte E-Mail-Konto, um weitere Passwort-Rücksetzungen bei einem Kryptowährungs-Börsenkonto auszulösen.
- Die SMS-basierte Zwei-Faktor-Authentifizierung des Börsenkontos, gebunden an dieselbe gekaperte Nummer, genehmigt den Login, und der Angreifer hebt Gelder in ein neues Wallet ab, bevor das Opfer bemerkt, dass sein Telefon keinen Empfang mehr hat.
Jeder Schritt in dieser Kette hängt von einem Teil der Identität des Opfers ab, der bereits Monate oder Jahre zuvor an anderer Stelle durch ein völlig unabhängiges Datenleck offengelegt wurde, das nichts mit seinen Krypto-Beständen zu tun hatte. Dies ist mit ein Grund, warum die Überwachung auf offengelegte persönliche Daten auch für jemanden wichtig ist, der noch nie direkt mit einem kryptospezifischen Betrug in Berührung gekommen ist.
SIM-Swap-Angriffe im Vergleich zu phishingbasierter Konto-Übernahme
Phishingbasierte Konto-Übernahme erfordert in der Regel, dass das Opfer aktiv an seiner eigenen Kompromittierung mitwirkt, indem es ein Passwort oder einen Einmalcode direkt in eine gefälschte Seite eingibt. Ein SIM-Swap erfordert überhaupt keine Handlung des Opfers, sobald der Anbieter davon überzeugt wurde, die Nummer zu übertragen. Das macht SIM-Swapping für eine Einzelperson erheblich schwerer, allein durch Wachsamkeit zu verhindern, da es keine betrügerische E-Mail oder verdächtigen Link gibt, den eine vorsichtige Person bemerken und meiden könnte. Die Verteidigung muss stattdessen auf Ebene des Anbieterkontos und der damit verknüpften Authentifizierungsmethoden stattfinden, statt auf Ebene einer einzelnen Nachricht oder eines Klicks.
Einen laufenden Angriff erkennen
- Ein Telefon verliert plötzlich vollständig den Mobilfunkempfang, zeigt keine Balken oder nur den Status „Nur Notrufe" an, ohne klare Erklärung wie einen bekannten Netzausfall.
- Unerwartete E-Mails zum Zurücksetzen von Passwörtern oder Login-Benachrichtigungen treffen für Konten ein, auf die Sie nicht zuzugreifen versucht haben.
- Ein Anbieter bestätigt eine SIM-Änderung oder Nummernübertragungsanfrage, die Sie nicht veranlasst haben.
- Sie werden ohne Vorwarnung aus einem E-Mail-, Börsen- oder Wallet-bezogenen Konto abgemeldet.
Verliert ein Telefon unerwartet den Empfang, besteht die richtige Reaktion darin, dies als wahrscheinlich laufenden SIM-Swap zu behandeln statt als technische Störung, und schnell zu handeln, um E-Mail- und Börsenkonten von einem anderen Gerät aus zu sichern, während gleichzeitig direkt der Anbieter kontaktiert wird. Abzuwarten, ob der Empfang von selbst zurückkehrt, gibt dem Angreifer mehr Zeit, eine Konto-Übernahme abzuschließen.
Die Gefährdung verringern, bevor ein Angriff geschieht
- Richten Sie direkt bei Ihrem Mobilfunkanbieter eine PIN oder eine zusätzliche Verifizierungsanforderung für jede SIM-Änderung oder Portierungsanfrage ein – ein Schritt, den CISA ausdrücklich als grundlegende Abwehrmaßnahme gegen SIM-Swapping empfiehlt.
- Verzichten Sie wo immer möglich auf SMS-basierte Verifizierung und ersetzen Sie sie durch eine Authenticator-App oder einen Hardware-Sicherheitsschlüssel für E-Mail-, Börsen- und Wallet-bezogene Konten.
- Vermeiden Sie es, Ihre Identität öffentlich mit sichtbaren Krypto-Beständen zu verknüpfen, da diese Sichtbarkeit mit dazu beiträgt, dass sich der Aufwand eines gezielten SIM-Swaps gegen eine bestimmte Person überhaupt lohnt.
- Nutzen Sie für Börsenkonten eine dedizierte, nicht erratbare E-Mail-Adresse, die nicht bei anderen Diensten wiederverwendet wird, um den kaskadierenden Schaden zu begrenzen, falls ein Konto kompromittiert wird.
Es lohnt sich außerdem, proaktiv, bevor ein Vorfall eintritt, einen Mobilfunkanbieter zu kontaktieren, um gezielt nach den für das Konto verfügbaren Schutzmaßnahmen zu fragen.
- Ob für das Konto eine vom Standard-Kontopasswort getrennte PIN für Portierung oder SIM-Änderung eingerichtet werden kann und ob diese sowohl für physische SIM- als auch für eSIM-Übertragungsanfragen gilt.
- Ob der Anbieter eine persönliche Identitätsverifizierung in einer Filiale für jede SIM- oder Nummernübertragungsanfrage verlangt, und ob diese Anforderung als dauerhafte Kontoeinstellung aktiviert werden kann.
- Ob der Anbieter eine unabhängige Benachrichtigung sendet, etwa eine E-Mail an eine nicht mit der Telefonnummer selbst verknüpfte Adresse, sobald eine SIM- oder Nummernänderung beantragt wird.
- Ob eine vorübergehende Sperre auf das Konto gelegt werden kann, die jede SIM- oder Nummernänderung blockiert, bis sie vom Kontoinhaber persönlich oder über einen verifizierten separaten Kanal manuell aufgehoben wird.
Sobald ein Börsenkonto infolge eines SIM-Swaps tatsächlich kompromittiert wurde, verlagert sich die Reaktion von Prävention hin zu Eindämmung und Beweissicherung, was ausführlich in unserem Leitfaden dazu, was geschieht, wenn ein Börsenkonto kompromittiert wird behandelt wird. Die Überschneidung zwischen diesen beiden Themen ist erheblich, da ein SIM-Swap häufig der konkrete Mechanismus hinter einer Börsenkonto-Übernahme ist und kein separates, unabhängiges Ereignis.
Was zu tun ist, nachdem Sie die Kontrolle über Ihre Nummer zurückerlangt haben
- Kontaktieren Sie Ihren Mobilfunkanbieter, um zu bestätigen, dass die betrügerische Übertragung vollständig rückgängig gemacht wurde, und bitten Sie um eine schriftliche Vorfallsreferenznummer für Ihre Unterlagen.
- Ändern Sie das Passwort bei jedem Konto, das die Telefonnummer zur Verifizierung oder Wiederherstellung nutzt, beginnend mit E-Mail, da ein kompromittiertes E-Mail-Konto häufig der Dreh- und Angelpunkt für alles Weitere ist.
- Überprüfen Sie den Anmeldeverlauf und die verbundenen Geräte Ihrer E-Mail- und Börsenkonten auf Sitzungen, die nicht Ihrer eigenen Aktivität entsprechen, und widerrufen Sie alle, die Sie nicht erkennen.
- Erstatten Sie eine Meldung bei Ihrer nationalen Cyberkriminalitäts-Meldestelle und folgen Sie, falls ein Krypto-Börsenkonto betroffen war, den börsenspezifischen Meldeschritten aus unserem Leitfaden zur Kompromittierung von Börsenkonten.
Die Wiederbeschaffung der Telefonnummer selbst ist nur der erste Schritt. Jedes Konto, das während des Zeitraums, in dem der Angreifer die Kontrolle hatte, auf sie zur Verifizierung angewiesen war, sollte als potenziell offengelegt behandelt werden, nicht nur das eine Konto, das tatsächlich geleert wurde.
Häufig gestellte Fragen
Das zugrunde liegende Ziel ist dasselbe – das Kapern einer Telefonnummer –, doch eine eSIM-Übertragung kann oft vollständig aus der Ferne über die digitalen Systeme eines Anbieters abgeschlossen werden, ohne dass eine Karte versandt oder physisch ausgetauscht werden muss, was sie schneller machen kann und es in manchen Fällen den Betrugssystemen eines Anbieters erschwert, sie rechtzeitig zu erkennen.
Sobald eine Nummer erfolgreich übertragen wurde, kann ein Angreifer mit Vorwissen über die Konten des Ziels häufig innerhalb von Minuten Passwort-Rücksetzungen abschließen und ein Börsenkonto leeren, weshalb das schnelle Erkennen des Empfangsverlusts wichtiger ist als fast jedes andere Warnzeichen.
Eine Anbieter-PIN erhöht die Schwierigkeit eines erfolgreichen Swaps erheblich und wird von CISA als grundlegender Schutz empfohlen, ist jedoch nicht absolut, da sowohl von Insidern unterstützte Swaps als auch hinreichend überzeugendes Social Engineering in manchen Fällen dokumentiert wurden, PIN-Anforderungen zu umgehen.
Ja, deutlich. Eine Authenticator-App oder ein Hardware-Schlüssel ist an ein bestimmtes Gerät gebunden statt an eine Telefonnummer, sodass sie nicht durch eine SIM-Übertragung auf Anbieterebene umgeleitet werden kann, wodurch der spezifische Angriffsweg, auf den ein SIM-Swap angewiesen ist, entfällt.
Nutzen Sie sofort ein anderes Gerät oder einen Festnetzanschluss, um Ihren Mobilfunkanbieter zu kontaktieren und die nicht autorisierte Übertragung zu melden, und versuchen Sie gleichzeitig, von diesem anderen Gerät aus Ihre E-Mail- und Börsenkonten zu sichern, bevor der Angreifer weitere Passwort-Rücksetzungen abschließen kann.
Quellen und weiterführende Informationen
- Criminals Increasing SIM Swap Schemes to Steal Millions of Dollars from US Public · FBI Internet Crime Complaint Center (IC3)
- Mobile Communications Best Practice Guidance · Cybersecurity and Infrastructure Security Agency (CISA)
- SIM Swap Scam Statistics 2025: $26M Lost & Rising Threats · DeepStrike