Die Handynummer ist der Generalschlüssel zu den meisten Konten, weil Passwort-Resets und Zwei-Faktor-Codes fast immer dorthin geschickt werden – dabei sagen laut Pew Research Center 81 % der befragten US-Amerikaner, dass die Risiken der Datensammlung durch Unternehmen den Nutzen überwiegen. Dieses Misstrauen ist begründet: Dieselbe Pew-Research-Umfrage zeigt, dass 67 % kaum verstehen, was Unternehmen mit Daten wie der Telefonnummer tatsächlich anstellen, sobald sie erst einmal erfasst wurden. Mobilfunkanbieter besitzen genug davon, um eine Nummer innerhalb von Minuten auf eine fremde SIM zu übertragen – manchmal reichen dafür Name und Geburtsdatum.
Wie eine Nummer unbemerkt gestohlen wird
Für die Portierung einer Nummer braucht ein Angreifer nicht dein Telefon. Wer ein paar identifizierende Details gesammelt hat – oft aus einem Datenleck, einer geleakten Tabelle oder einer Phishing-SMS – ruft deinen Anbieter oder einen Konkurrenten an und gibt sich als du aus, um die Nummer auf eine neue SIM zu aktivieren. Ist die Verifizierung schwach, reichen Name, Postleitzahl und eine plausible Geschichte. Sobald die Portierung abgeschlossen ist, verliert dein Telefon sofort den Empfang, und jeder SMS-Bestätigungscode landet beim Angreifer. Von dort aus wird zuerst das E-Mail-Passwort zurückgesetzt, dann der Bankzugang, dann alles Weitere, das an eine SMS-Verifizierung gekoppelt ist. Das Zeitfenster zwischen der Portierung und dem Moment, in dem du etwas bemerkst, ist oft die einzige Chance zu handeln – und es kann sich in weniger als einer Stunde schließen. Genau deshalb ist es so folgenreich, dass laut Pew Research Center 67 % der Menschen nicht verstehen, was mit ihren Daten passiert: Die wenigsten denken an ihre Handynummer als Sicherheits-Credential, bis sie genau in diesem Moment gegen sie verwendet wird. Die Nummer selbst ist selten das eigentliche Ziel – sie ist ein bequemes Sprungbrett zu allem, was ihr vertraut. Anbieter haben ihre Verifizierung nach einigen aufsehenerregenden SIM-Swap-Fällen verbessert, doch der Prozess beruht weiterhin auf Callcenter-Mitarbeitenden, die unter Zeitdruck Ermessensentscheidungen treffen – und solche Entscheidungen lassen sich manipulieren. Genau diese strukturelle Schwäche soll eine Portierungssperre schließen: Sie entzieht der Serviceperson die Entscheidung und bindet sie an etwas, das nur der echte Kontoinhaber kennen sollte.
Ein ruhiger Dienstagnachmittag
Dieses illustrative Szenario beschreibt eine Situation, die jedem passieren könnte, und keinen konkreten, verifizierten Fall.
Eine freiberufliche Grafikerin sieht gegen 14 Uhr plötzlich kein Netz mehr auf ihrem Telefon. Sie vermutet eine Netzstörung und arbeitet weiter. Zwei Stunden später versucht sie, sich vom Laptop aus in ihr E-Mail-Konto einzuloggen, und wird ausgesperrt – der Wiederherstellungscode ging an ein Telefon, das nicht mehr ihres ist. Als sie persönlich mit Ausweis in einem Shop ihres Anbieters ankommt, wurde ihre Nummer bereits genutzt, um drei weitere Konten zurückzusetzen, darunter eines, das mit einer Zahlungs-App verknüpft ist. Der Anbieter stellt die Nummer schließlich wieder her, doch das Aufräumen dauert fast eine Woche und mehrere Telefonate mit Banken und Plattformen, die sie nie mit ihrer eigenen Handynummer in Verbindung gebracht hätte. Bemerkenswert ist nicht der Ausgang – am Ende bekommt sie alles zurück –, sondern der Ablauf. Nichts an ihrem Verhalten war unvorsichtig; sie hat weder auf einen verdächtigen Link geklickt noch einen seltsamen Anruf beantwortet. Der Angriff gelang allein durch Informationen, die vermutlich in einem alten Datenleck lagen, kombiniert mit einem Serviceprozess, der nichts abfragte, was nicht bereits anderswo gestohlen worden war. Eine Portierungs-PIN hätte den Transfer bereits im ersten Schritt gestoppt, bevor der Rest des Nachmittags überhaupt passieren konnte.
Die Tür verriegeln, bevor jemand die Klinke drückt
Eine Portierungssperre und eine Konto-PIN machen aus einer Handynummer eine verschlossene Tür, zu der nur du den Schlüssel hast. Die meisten großen Anbieter bieten beide Funktionen kostenlos an, doch keine ist standardmäßig aktiv, und keine hilft rückwirkend, wenn die Portierung bereits stattgefunden hat. Ziel ist es, dass die Übertragungsanfrage selbst etwas erfordert, das ein Angreifer wahrscheinlich nicht besitzt.
Portierungs-PIN beim Anbieter einrichten
Ruf deinen Anbieter an oder nutze die App, um eine numerische PIN speziell für Portierungen und Kontoänderungen festzulegen – getrennt von deinem regulären Login-Passwort. Diese PIN muss vor jeder genehmigten Übertragung angegeben werden, was das gängige Social-Engineering-Skript blockiert, bei dem ein Angreifer einfach Name und Adresse gegenüber dem Support nennt. Notiere dir die PIN offline, nicht in einer Notiz-App, die mit demselben Telefon synchronisiert. Manche Anbieter erlauben das Setzen der PIN nur telefonisch, nicht über die App – prüfe also beide Kanäle, falls die Online-Option fehlt.
Kontoweite Portierungssperre aktivieren
Über die PIN hinaus haben die meisten Anbieter eine eigene Einstellung, oft ‘Rufnummernsperre’ oder ‘Portierungsschutz’ genannt, die jede Portierungsanfrage blockiert, bis du sie persönlich oder über einen verifizierten Kanal wieder aufhebst. Das ist eine stärkere Kontrolle als die PIN allein, weil sie eine Identitätsprüfung verlangen kann, die telefonisch schwerer zu fälschen ist. Schau in den Kontoeinstellungen nach oder frag direkt danach, da diese Option oft nicht offen beworben wird. Nennt dein Anbieter das nicht so, frag gezielt nach ‘SIM-Swap-Schutz’ – die Bezeichnungen unterscheiden sich zwischen Anbietern so stark, dass eine allgemeine Frage sie leicht übersehen lässt.
Zwei-Faktor-Authentifizierung von SMS weg verlagern
Selbst eine gesperrte Nummer ist sicherer als eine ungesperrte, doch SMS-Codes bleiben ein Schwachpunkt, weil sie weiterhin von der Netzinfrastruktur abhängen. Stelle wichtige Konten – E-Mail, Bank, Cloud-Speicher – auf eine Authenticator-App oder einen Hardware-Sicherheitsschlüssel um. So übergibt eine erfolgreiche Portierung nicht automatisch deine wichtigsten Konten. Priorisiere zuerst dein Haupt-E-Mail-Konto, da es meist der Wiederherstellungsweg für alles Übrige ist, und arbeite dich dann zu Finanzkonten und Diensten mit hinterlegten Zahlungsdaten vor.
Auf Warnzeichen eines laufenden Angriffs achten
Eine unerwartete ‘SIM aktiviert’- oder ‘Kein Netz’-Meldung, besonders zusammen mit einer SMS über nicht angeforderte Kontoänderungen, bedeutet, dass du sofort von einem anderen Telefon aus deinen Anbieter anrufen solltest. Handeln innerhalb von Minuten statt Stunden verkleinert die Zahl der Konten, die ein Angreifer erreichen kann, drastisch. Speichere die Betrugshotline deines Anbieters irgendwo außerhalb deiner Handykontakte, denn genau dieses Gerät hast du im Ernstfall möglicherweise nicht mehr zur Hand.
Warum eine Überwachungsebene nach der Sperre wichtig bleibt
Eine Portierungssperre und PIN senken die Wahrscheinlichkeit einer erfolgreichen Übernahme, sagen dir aber nicht den Moment, in dem trotzdem etwas durchrutscht, und Support-Hotlines reagieren nicht immer schnell, selbst wenn du selbst anrufst. Ein Dienst zur Überwachung von Identität und persönlichen Daten schließt diese Lücke, indem er beobachtet, ob deine Handynummer, E-Mail-Adresse oder andere Daten in Leak-Datenbanken auftauchen oder zum Eröffnen neuer Konten genutzt werden, und dich alarmiert, bevor sich der Schaden summiert. Diese Frühwarnung macht aus einem erkannten Versuch ein glimpflich beendetes Ereignis statt einer Woche voller Wiederherstellungsarbeit. Sie hilft auch bei dem Teil, den eine Nummernsperre nicht abdecken kann: zu wissen, welche anderen Konten noch an SMS-basierte Wiederherstellung gekoppelt sind, und sanft darauf hinzuweisen, das zu ändern, bevor es zur nächsten Schwachstelle wird. Die Kombination aus anbieterseitiger Sperre und externer Überwachung deckt beide Enden des Problems ab – die Tür und den Alarm. Da laut Pew Research Center bereits 81 % der Menschen finden, die Risiken der Datensammlung überwögen den Nutzen, ist es sinnvoll, Überwachung als Ergänzung zu diesem Instinkt zu verstehen, nicht als Widerspruch dazu – es geht nicht darum, jedes Unternehmen von der Datensammlung abzuhalten, sondern schnell zu erfahren, wann diese Daten missbraucht werden.
Numero eSIMAnzeige
Eine zweite Nummer ohne SIM-Karte, in über 80 Ländern