Der sechsstellige Code, den dir deine Bank oder PayPal per SMS schickt, fühlt sich privat an – doch der Übertragungsweg dahinter wurde nie für Sicherheit gebaut. Das FBI meldete für 2023 über 1075 Beschwerden wegen SIM-Swapping mit Schäden von mehr als 48 Millionen Dollar – und das sind nur die gemeldeten Fälle in den USA, die tatsächliche weltweite Summe dürfte höher liegen. Breiter betrachtet zeigt eine Studie des Pew Research Center, dass 81 % der befragten Amerikaner die Risiken der Datensammlung durch Unternehmen höher gewichten als den Nutzen – ein generelles Unbehagen, das auch erklärt, warum Telefonnummern so leichtfertig als Identitätsnachweis behandelt werden. Keine der beiden Zahlen misst SMS-Abfangen direkt, aber beide zeigen das Umfeld, in dem eine gekaperte Nummer operiert.
Wie ein Einmalcode tatsächlich gestohlen wird
SMS-Verifizierung wurde nie als Sicherheitsprotokoll entworfen – sie ist ein Nebenprodukt eines Messaging-Systems, das für Bequemlichkeit gebaut wurde, nicht für Banküberweisungen oder Passwort-Resets. Der häufigste Angriff ist der SIM-Swap: Jemand sammelt genug persönliche Daten, oft aus geleakten Datenbanken, sozialen Netzwerken oder Datenhändlerlisten, um den Kundendienst eines Mobilfunkanbieters wie Telekom, Vodafone oder O2 davon zu überzeugen, er sei du. Sobald die Geschichte plausibel genug klingt, portiert der Support deine Nummer auf eine SIM-Karte, die der Angreifer kontrolliert. Ab diesem Moment landen alle für dich bestimmten SMS, auch Login-Codes, bei ihm – und oft merkst du es erst, wenn dein eigenes Telefon plötzlich keinen Empfang mehr hat. Ein zweiter Weg nutzt SS7, das jahrzehntealte Signalisierungsprotokoll, über das Anrufe und Nachrichten zwischen Netzbetreibern weltweit geroutet werden. Forscher haben mehrfach gezeigt, dass SS7-Schwachstellen das Abfangen von Nachrichten aus der Ferne erlauben, ohne dein Gerät zu berühren oder dich zu täuschen. Ein dritter, simplerer Weg ist die Übernahme über den Kundendienst selbst, etwa durch Phishing eines Mitarbeiters oder in seltenen Fällen durch Bestechung. In allen Varianten ist der SMS-Code nur so sicher wie das schwächste Glied zwischen deinem Anbieter, seinen Mitarbeitern, dem Shop, der SIM-Karten ausstellt, und dem globalen Telefonnetz, dem du nie wirklich vertraut hast, weil du nie gefragt wurdest. Wichtig ist dabei zu verstehen, dass keiner dieser drei Wege eine Schwäche deines eigenen Geräts ausnutzt – dein Smartphone kann noch so aktuell, verschlüsselt und mit Bildschirmsperre geschützt sein, der Angriffspunkt liegt vollständig außerhalb deiner Kontrolle, in Prozessen, die der Anbieter verwaltet. Das erklärt auch, warum klassische Ratschläge wie starke Passwörter oder Antivirensoftware hier wirkungslos bleiben: Sie adressieren eine andere Angriffsfläche als die, über die ein SIM-Swap tatsächlich läuft. Authenticator-Apps umgehen das Problem strukturell, weil sie Codes direkt auf dem Gerät erzeugen, kryptografisch an ein Geheimnis gebunden, das nie über das Mobilfunknetz reist – ein grundlegend anderer Mechanismus als eine SMS, die zwangsläufig durch die Infrastruktur des Anbieters fließt.
Eine umgeleitete Nummer, ein ausgesperrter Besitzer
Dies ist ein illustratives Szenario, kein dokumentierter Fall.
Jemand erhält eine ungewöhnliche SMS des eigenen Mobilfunkanbieters, die eine SIM-Aktivierung bestätigt, die nie beantragt wurde. Minuten später zeigt das Telefon keinen Empfang mehr. Bis ein Freund sein Gerät leiht, um den Support anzurufen, hat der Betrüger bereits Passwort-Resets bei der Banking-App und zwei sozialen Netzwerken ausgelöst, jeweils abgesichert durch einen SMS-Code, der nun auf einer getauschten SIM-Karte quer durch die Stadt ankommt. Die Warteschleife des Anbieters dauert 40 Minuten. Die Betrugshotline der Bank fragt nach einem Verifizierungscode – demselben Typ Code, den der Angreifer bereits genutzt hat, um hineinzukommen, wodurch der eigentliche Schutzmechanismus nun gegen den rechtmäßigen Besitzer arbeitet. Die Wiederherstellung dauert drei Tage voller Anrufe, eine neue SIM-Karte und eine zögerliche Bank, die eine von zwei betrügerischen Überweisungen zurückbucht. Die zweite ist endgültig verloren, und die betroffene Person ändert in den folgenden Wochen Passwörter bei allem, was auch nur entfernt mit dieser Telefonnummer verknüpft war. Im Rückblick wird klar, wie viele Dienste – vom Streaming-Abo bis zum Cloud-Speicher – irgendwann einmal die Telefonnummer als Wiederherstellungsoption hinterlegt bekamen, oft Jahre zuvor und längst vergessen, und jeder einzelne davon musste nun einzeln geprüft werden. Die emotionale Belastung wiegt dabei oft schwerer als der finanzielle Schaden: Das Gefühl, drei Tage lang von den eigenen digitalen Werkzeugen ausgesperrt zu sein, während unklar bleibt, wie weit der Angreifer bereits vorgedrungen ist, hinterlässt ein Misstrauen gegenüber der eigenen Telefonnummer, das lange bleibt.
Was eine gekaperte Nummer öffnen kann, begrenzen
SMS-Abfangen lässt sich nicht unmöglich machen, denn die Schwachstelle liegt in einer Telekom-Infrastruktur, die du weder kontrollierst noch je kontrollieren wirst. Was du kannst: den Schaden begrenzen, den eine gestohlene Nummer anrichtet, und einen SIM-Swap spürbar erschweren.
Verlagere wichtige Konten weg von SMS-Codes
Wechsle überall, wo es möglich ist, die Zwei-Faktor-Authentifizierung von SMS auf eine Authenticator-App oder einen physischen Sicherheitsschlüssel. Banking, E-Mail und Cloud-Speicher sollten Priorität haben, denn genau diese Konten verketten Angreifer, sobald sie deine Nummer kontrollieren – E-Mail ist dabei oft der Generalschlüssel, der über Passwort-Reset-Links alles andere öffnet. Eine Authenticator-App erzeugt Codes lokal auf deinem Gerät, sodass nichts über ein Mobilfunknetz reist, das jemand abfangen könnte, und ein Hardware-Schlüssel geht noch weiter, weil er den physischen Besitz des Geräts voraussetzt. Plane dafür einen festen Nachmittag ein, an dem du nacheinander jedes wichtige Konto durchgehst, denn erfahrungsgemäß bleiben sonst immer ein oder zwei Dienste bei SMS hängen, einfach weil die Umstellung an dieser Stelle vergessen wurde.
Sichere dein Konto direkt beim Mobilfunkanbieter
Rufe deinen Anbieter an und bitte um eine Port-out-PIN oder eine Sperre, die einen SIM-Tausch nur mit persönlicher Ausweisvorlage erlaubt. Die meisten großen Anbieter wie Telekom, Vodafone oder O2 bieten eine Version davon an, aktivieren sie aber selten standardmäßig und erwähnen sie kaum von sich aus. Dieser eine Schritt schließt genau die Lücke, die aus einem Social-Engineering-Anruf eine vollständige Kontoübernahme macht, weil der Support dann mehr verlangen muss als Name, Adresse und ein paar erratene Sicherheitsfragen. Notiere dir außerdem den Namen des Mitarbeiters und eine Vorgangsnummer, falls du später nachweisen musst, dass die Sperre tatsächlich eingerichtet wurde – manche Anbieter dokumentieren solche Sonderwünsche schlechter als reguläre Vertragsänderungen.
Trenne deine Wiederherstellungs-E-Mail von deiner Telefonnummer
Viele Wiederherstellungsprozesse greifen auf SMS zurück, wenn andere Methoden fehlschlagen, wodurch genau die Schwachstelle zurückkehrt, die du eigentlich entfernt hattest. Nutze eine eigene Wiederherstellungs-E-Mail, die nicht an deine Nummer gebunden ist, und prüfe die Einstellungen jedes wichtigen Kontos einzeln, statt davon auszugehen, dass sie deine sicherere 2FA-Wahl übernommen haben – Standardeinstellungen fallen oft unbemerkt zurück auf die hinterlegte Telefonnummer. Es lohnt sich, diese Prüfung nach einigen Monaten zu wiederholen, denn App-Updates setzen Sicherheitseinstellungen gelegentlich stillschweigend zurück, ohne dich darüber zu informieren.
Achte auf frühe Warnzeichen
Eine unerwartete SMS zur SIM-Aktivierung, ein plötzlicher Empfangsverlust ohne Erklärung oder Login-Benachrichtigungen, die du nicht selbst ausgelöst hast, sind die ersten Anzeichen eines laufenden Swaps. Behandle jedes dieser Signale als dringend: Kontaktiere deinen Anbieter sofort über ein anderes Telefon oder den Web-Chat und beginne, Finanzkonten zu sperren oder zu beobachten, bevor der Angreifer die übrigen Logins durcharbeitet. Hier zählen Minuten mehr, als man zunächst annimmt. Speichere dir vorab die Notfallnummer deines Anbieters und die Betrugshotline deiner Bank in einem Notizzettel, den du auch ohne funktionierendes Telefon erreichen kannst, etwa bei einer vertrauten Person oder ausgedruckt in der Wohnung – im Ernstfall willst du keine Zeit mit Suchen verlieren.
Warum ein datenschutzorientiertes VPN mit Überwachung trotzdem hilft
Ein VPN stoppt keinen SIM-Swap und flickt keine SS7-Lücke, denn diese Angriffe spielen sich in der Telekom-Infrastruktur ab, nicht auf deinem WLAN. Es greift an einer früheren, leiseren Stelle des Problems an: der Datenspur, die einem Angreifer erlaubt, ein überzeugendes Profil für den Kundendienst eines Anbieters aufzubauen. Telefonnummern, Adressen und Kontodetails sickern über unverschlüsselte Browsing-Sitzungen, Datenhändler-Scraping und ungeschützte öffentliche WLANs – alles Rohmaterial für das Social Engineering, das einem SIM-Swap vorausgeht. Ein seriöses VPN verschlüsselt deinen Datenverkehr, sodass Surfgewohnheiten, Logins und Standortdaten nicht offen auf Netzwerken liegen, die du nicht kontrollierst, was den Pool an persönlichen Details verkleinert, aus dem ein Angreifer eine glaubwürdige Geschichte für den Support bastelt. Kombiniert mit einer Dark-Web-Überwachung, die meldet, wenn deine Telefonnummer oder E-Mail in einem Datenleck auftaucht, bekommst du ein Frühwarnsystem, statt erst am ausfallenden Empfang zu merken, dass etwas passiert ist. Nichts davon ersetzt die Port-out-PIN beim Anbieter oder app-basierte 2FA, aber es entzieht Angreifern einen Teil der Rohdaten, die sie brauchen, um dich überzeugend zu imitieren – oft genau der Faktor, der entscheidet, ob ein SIM-Swap-Versuch durchgeht oder von einem misstrauischen Support-Mitarbeiter abgelehnt wird. Je weniger ein Angreifer über dich aus gescrapten Daten und abgefangenem Traffic lernen kann, desto dünner klingt sein Skript, wenn er schließlich bei deinem Anbieter anruft und vorgibt, du zu sein. Gerade in öffentlichen WLANs, etwa in Cafés, an Flughäfen oder in Zügen, lässt sich unverschlüsselter Datenverkehr mit einfachen, frei verfügbaren Werkzeugen mitlesen, und genau dort sammeln Angreifer oft die kleinen Puzzlestücke – ein Benutzername hier, eine angezeigte E-Mail-Adresse dort –, aus denen am Ende ein vollständiges Profil für den Anruf beim Support entsteht.
Numero eSIMAnzeige
Eine zweite Nummer ohne SIM-Karte, in über 80 Ländern