Woran erkenne ich, ob der Signalverlust an einem SIM-Swap liegt und nicht an einer Netzstörung?

Prüfen Sie, ob nur Sie betroffen sind: Fragen Sie jemanden in der Nähe mit demselben Anbieter, ob dessen Empfang normal ist, und schauen Sie auf die öffentliche Störungs- oder Statusseite des Anbieters. Eine flächendeckende Störung erscheint dort meist und betrifft viele Nutzer gleichzeitig. Zeigt nur Ihr Handy „Kein Dienst“ oder „Nur Notrufe“ ohne erklärbaren Grund wie Reise oder Einstellungsänderung, und beobachten Sie zusätzlich unerwartete Passwort-Reset-Mails oder Anmeldealarme, gehen Sie von einem wahrscheinlichen SIM-Swap aus und kontaktieren Sie sofort von einem anderen Gerät aus die Sicherheitsabteilung Ihres Anbieters.

Kann ein SIM-Swap trotz starkem Gerätepasscode passieren?

Ja. Ein SIM-Swap erfordert weder physischen Zugriff auf Ihr Gerät noch das Umgehen des Sperrbildschirms. Er passiert auf Seiten des Mobilfunkanbieters: Jemand gibt sich beim Kundendienst oder über ein Self-Service-Portal als Sie aus und beantragt die Übertragung Ihrer Nummer auf eine SIM-Karte in seinem Besitz. Passcode, Fingerabdruck oder Gesichtserkennung Ihres Geräts spielen dabei keine Rolle, weshalb die Verifizierung durch den Anbieter und der Wechsel weg von SMS-basierter Zwei-Faktor-Authentifizierung hier wichtiger sind als die Gerätesicherheit.

Sollte ich meine Rufnummer nach einem SIM-Swap-Versuch komplett aus allen Konten entfernen?

Eine vollständige Entfernung ist nicht nötig, aber Sie sollten sich für sicherheitskritische Schritte nicht mehr darauf verlassen. Ersetzen Sie SMS-basierte Zwei-Faktor-Authentifizierung durch eine Authenticator-App oder einen Hardware-Sicherheitsschlüssel bei E-Mail-Konto, Online-Banking und jedem Konto mit finanziellem oder persönlichem Wert, da diese nach einem Swap zuerst angegriffen werden. Die Nummer für allgemeine Wiederherstellungskontakte zu behalten ist unproblematisch, solange sie nicht das Einzige ist, was einen Angreifer noch vom Zugriff auf das Konto trennt.

Plötzlich kein Netz: Was ein SIM-Swap-Angriff in den ersten dreißig Minuten anrichtet

Zeigt Ihr Handy plötzlich „Kein Dienst“ an, könnte gerade ein SIM-Swap laufen. So erkennen Sie es und sichern Konten sofort ab.

Wenn Ihr Handy ohne erkennbaren Grund plötzlich „Kein Dienst“ oder „Nur Notrufe“ anzeigt und auch ein Neustart nichts ändert, beobachten Sie womöglich gerade live einen SIM-Swap. Das ist kein seltener Ausrutscher der Technik: Beim FBI Internet Crime Complaint Center gingen 2021 Beschwerden zu SIM-Swapping mit einem bereinigten Schaden von 68 Millionen US-Dollar ein. Das Problem war ernst genug, dass die US-Regulierungsbehörde FCC Regeln beschlossen hat, die Mobilfunkanbieter zu einer Identitätsprüfung vor jedem SIM-Wechsel verpflichten, nachdem sich Beschwerden über unautorisierte Übertragungen gehäuft hatten. Die dreißig Minuten nach dem Signalverlust sind das Zeitfenster, in dem Sie noch verhindern können, dass jemand Konten leerräumt, die nur per SMS-Code geschützt sind.

Wie ein SIM-Swap tatsächlich abläuft

Für einen SIM-Swap muss niemand Ihr Handy berühren. Zunächst sammelt ein Angreifer genug persönliche Daten über Sie – Name, Geburtsdatum, Adresse, vielleicht die letzten Ziffern einer Kontonummer –, oft aus einem früheren Datenleck oder einer Phishing-Nachricht. Damit ausgestattet ruft er beim Kundendienst Ihres Mobilfunkanbieters an oder nutzt ein Self-Service-Portal und gibt sich als Sie aus, um Ihre Rufnummer auf eine neue SIM-Karte übertragen zu lassen, die er kontrolliert. Ist die Verifizierung des Anbieters schwach, ist der Wechsel in Minuten erledigt. Sobald das geschieht, verliert Ihr echtes Handy jeden Empfang, weil die Nummer nicht mehr zu Ihrer SIM gehört. Ab diesem Moment empfängt das Gerät des Angreifers Ihre Anrufe und SMS – einschließlich der Einmalcodes, die Banken, E-Mail-Anbieter oder Krypto-Börsen zur Bestätigung verschicken. Die von der FCC vorgeschlagenen Authentifizierungsregeln existieren genau deshalb, weil die Identitätsprüfung auf Seiten der Anbieter historisch das schwächste Glied in dieser Kette war – nicht Ihr Passwort oder Ihr Verhalten. Der Grund, warum dieses schwache Glied fortbesteht: Support-Mitarbeiter sind darauf trainiert, Anliegen schnell zu lösen, und wer Name, Adresse und ein paar Ziffernendungen nennt, klingt am Telefon exakt wie der echte Kontoinhaber. Genau dieses Missverhältnis zwischen dem, was ein Support-Skript abfragt, und dem, was tatsächlich Identität beweist, ist der ganze Mechanismus hinter einem SIM-Swap – und der Grund, warum regulatorischer Druck auf die Anbieter, nicht nur persönliche Wachsamkeit, Teil der Lösung geworden ist.

Ein plausibler Ablauf, kein realer Fall

Der folgende Ablauf ist ein illustratives Beispiel, das zeigt, wie sich ein SIM-Swap nach dem Start entwickelt, kein Bericht über eine reale Person.

Stellen Sie sich vor, jemand hat den ganzen Vormittag vollen Empfang, bis das Display während eines Meetings plötzlich „Nur Notrufe“ anzeigt. Man vermutet eine Netzstörung und arbeitet weiter. Eine Stunde später versucht die Person, sich vom Laptop aus in ihr E-Mail-Konto einzuloggen, und stellt fest, dass das Passwort geändert wurde. Kurz darauf meldet die Banking-App eine Anmeldung von einem unbekannten Gerät. Als die Person schließlich vom Telefon eines Kollegen aus beim Mobilfunkanbieter anruft, läuft der SIM-Swap bereits seit rund neunzig Minuten, und eine Kette von Passwort-Zurücksetzungen hat sich in dieser Zeit durch E-Mail-Konto, Bankkonto und eine Krypto-Wallet gezogen. Der Anbieter bestätigt, dass am Vormittag über das Online-Kundenportal ein SIM-Wechsel beantragt und mit einer Konto-PIN bestätigt wurde, die offenbar Monate zuvor erraten oder geleakt worden war. Im Rückblick gab es Warnzeichen, bevor das Handy überhaupt den Empfang verlor: eine Phishing-Mail zu einem angeblichen „Rechnungsproblem“ eine Woche zuvor, ein wiederverwendetes Passwort bei zwei alten Konten und eine PIN, die seit der Erstaktivierung der Rufnummer nie geändert worden war. Für sich genommen wirkte keines dieser Details alarmierend – genau deshalb funktionieren SIM-Swaps so zuverlässig, weil sich die Puzzleteile erst nach dem Schaden zusammenfügen.

Was in den ersten dreißig Minuten zu tun ist

Behandeln Sie einen plötzlichen, unerklärten Signalverlust zuerst als Sicherheitsvorfall und erst danach als Netzproblem. Eine echte Störung betrifft meist ein ganzes Gebiet und ist auf der Statusseite des Anbieters sichtbar; ein SIM-Swap betrifft nur Sie. Die folgende Reihenfolge setzt voraus, dass Sie Zugriff auf ein zweites Gerät haben – einen Laptop, ein Tablet oder das Handy einer Vertrauensperson –, denn Ihr eigenes Gerät ist vorübergehend für Anrufe und SMS nutzlos.

Störung von Swap unterscheiden

Prüfen Sie von einem anderen Gerät aus die Störungskarte oder Statusseite Ihres Anbieters und fragen Sie jemanden in der Nähe mit demselben Anbieter, ob dessen Empfang normal ist. Funktioniert dort alles und bei Ihnen nicht, ohne dass Reise oder Einstellungsänderung das erklärt, gehen Sie von einem wahrscheinlichen SIM-Swap aus, statt abzuwarten.

Anbieter über einen Ausweichkanal kontaktieren

Nutzen Sie ein Festnetztelefon, das Handy einer anderen Person oder die App des Anbieters auf einem Zweitgerät, um die Sicherheitsabteilung zu erreichen, nicht den allgemeinen Support. Erklären Sie den Verdacht auf einen unautorisierten SIM-Wechsel und bitten Sie um sofortige Sperrung sowie Rückgängigmachung. Anbieter, die stärkere Verifizierung entsprechend der Stoßrichtung der FCC-Regeln eingeführt haben, sollten die Leitung sperren und bei weiteren Änderungen eine verschärfte oder persönliche Prüfung verlangen.

Konten mit SMS-Codes sofort absichern

Loggen Sie sich von einem anderen Gerät aus in E-Mail-Konto, Online-Banking und jedes Konto ein, das Sie mit SMS-Codes absichern, und ändern Sie sofort die Passwörter. Wo möglich, wechseln Sie die Zwei-Faktor-Authentifizierung von SMS auf eine Authenticator-App oder einen Hardware-Schlüssel, denn der ganze Sinn eines SIM-Swaps liegt darin, genau diese Textcodes abzufangen. Priorisieren Sie das E-Mail-Konto zuerst, da es meist der Wiederherstellungsweg für alles Übrige ist.

Finanzkonten prüfen und Anzeige erstatten

Kontrollieren Sie Bank- und Kartenauszüge in den folgenden Tagen auf unbekannte Anmeldungen oder Überweisungen und melden Sie Auffälliges sofort dem jeweiligen Institut. Erstatten Sie Anzeige bei der örtlichen Polizei; in den USA lassen sich Fälle zusätzlich beim FBI IC3 melden, da dokumentierte Beschwerden – wie der bereinigte Schaden von 68 Millionen US-Dollar aus dem Jahr 2021 – mit dazu beitragen, dass Anbieter und Regulierungsbehörden ihre Prüfverfahren verschärfen.

Warum ein Passwort-Manager genau diese Lücke schließt

Ein SIM-Swap funktioniert, weil ein einziger Angriffspunkt – Ihre Rufnummer – als Rückfalloption für Passwort-Resets und Zwei-Faktor-Codes unter viel zu vielen Konten liegt. Die Lösung ist nicht ein widerstandsfähigeres Handy, sondern SMS als schwaches Glied so weit wie möglich zu entfernen. Ein Passwort-Manager, der für jedes Konto ein einzigartiges, langes Passwort erzeugt und speichert, macht Anbieter-PINs und Sicherheitsfragen von vornherein schwerer zu erraten, denn Angreifer starten einen SIM-Swap-Versuch häufig erst, nachdem sie ein wiederverwendetes Passwort aus einem alten Datenleck gefunden haben. Viele Passwort-Manager enthalten außerdem eine eingebaute Authenticator-Funktion, mit der sich Zwei-Faktor-Codes vollständig von SMS auf app-basierte Codes verlagern lassen, die eine getauschte SIM nicht abfangen kann. Über die unmittelbare Verteidigung hinaus zeigt ein Passwort-Manager auch wiederverwendete oder schwache Passwörter in Ihren Konten an, sodass Sie genau die Art von Datenleck aufspüren und beheben können, die einem Angreifer erst genug persönliche Details lieferte, um sich beim Kundendienst als Sie auszugeben. Er hält niemanden davon ab, beim Anbieter anzurufen, entzieht ihm aber das meiste, was er dadurch gewinnen würde. Man kann es sich so vorstellen: Ein starkes, einzigartiges Passwort macht das Datenleck, das dem Angreifer die persönlichen Details liefert, von vornherein unwahrscheinlicher, und eine app-basierte Authentifizierung macht den Swap selbst wirkungslos, selbst wenn er gelingt.