So schützen Sie Ihre Rufnummer vor SIM-Swapping

SIM-Swapping ist kein Angriff auf Ihr Handy. Niemand dringt in Ihr Gerät, Ihr Betriebssystem oder Ihre Apps ein. Jemand kontaktiert Ihren Mobilfunkanbieter, gibt sich als Sie aus und verlangt, dass Ihre Rufnummer auf eine SIM-Karte übertragen wird, die er kontrolliert – eine neue Plastikkarte im Shop oder, zunehmend, ein eSIM-Profil, das in Sekunden per App aktiviert wird. Der Anbieter führt die Übertragung aus, Ihr Handy fällt aus dem Netz, und von diesem Moment an landen alle Anrufe und SMS, die für Sie bestimmt sind, stattdessen auf dem Gerät des Angreifers.

Die Rufnummer ist die Beute, weil so viel an ihr hängt: Banking-Einmalcodes, Auszahlungen bei Krypto-Börsen, Links zum Zurücksetzen von Passwörtern, Team-Chats, Lieferbestätigungen – all das läuft zu wem auch immer, der die Leitung gerade hält. Das Passwort hat der Angreifer meist schon, aus einem Datenleck oder einer Phishing-Seite; der SIM-Swap ist nur der letzte Schritt, der ein altes Passwort in eine vollständige Kontoübernahme verwandelt.

Es gibt nur drei Wege, wie eine Rufnummer wandert, und alle drei laufen über einen Menschen:

• Der Ladenschalter: ein persönlicher Besuch mit einer überzeugenden Geschichte und einem geliehenen oder gefälschten Ausweis.
• Die Hotline: ein Mitarbeiter, dessen Skript Geburtsdatum, Adresse und die letzten vier Ziffern einer Karte akzeptiert – Angaben, die in alten Datenlecks kursieren.
• Der Insider: ein Shop- oder Callcenter-Mitarbeiter, der für ein paar hundert Dollar die Übertragung durchführt – deshalb ist selbst eine perfekte Konto-PIN kein absoluter Schutz.

Derselbe Angriff wird auch SIM-Tausch-Betrug, SIM-Jacking, Portierungsbetrug oder SIM-Karten-Betrug genannt. Der Ablauf ist identisch; nur der Papierkram unterscheidet sich, je nachdem, ob Ihre Rufnummer beim selben Anbieter auf eine neue SIM wandert oder komplett zu einem anderen Anbieter portiert wird.

SIM-Swapping kündigt sich an, aber leise, und das Zeitfenster zwischen der Übertragung und dem ersten leergeräumten Konto liegt oft unter einer Stunde. Das zuverlässigste Symptom ist Stille: Ihr Handy zeigt Kein Dienst oder Nur Notrufe, während WLAN weiterhin einwandfrei funktioniert. Daten über WLAN laufen weiter, sodass ein Gerät im Heimnetz völlig normal wirken kann, bis Sie versuchen, einen Anruf zu tätigen.

Achten Sie auf Folgendes, und behandeln Sie zwei dieser Anzeichen zusammen als Notfall, nicht als Zufall:

• Plötzlicher Ausfall des Mobilfunknetzes ohne Störung in Ihrer Region und ohne Ortswechsel.
• Eine Nachricht Ihres Anbieters, die einen SIM-Wechsel, eine eSIM-Aktivierung oder eine Portierungsanfrage bestätigt, die Sie nicht ausgelöst haben.
• E-Mails zum Zurücksetzen von Passwörtern für Konten, die Sie nie angefasst haben, vor allem für Ihr Haupt-E-Mail-Postfach.
• Automatische Abmeldung aus Messengern – eine neu registrierte Nummer wirft das alte Gerät aus WhatsApp, Telegram oder Signal.
• Anmeldebenachrichtigungen von unbekannten Orten oder eine Zwei-Faktor-Abfrage für eine App, die Sie gar nicht öffnen.
• Kleine, unerklärliche Transaktionen, die testen, ob eine Karte noch funktioniert, bevor ein größerer Betrag folgt.

Angreifer starten die Übertragung oft spätabends oder am Wochenende, wenn die Betrugsabteilungen der Anbieter dünn besetzt sind und ein totes Handy leicht mit einem leeren Akku verwechselt wird. Verstummt Ihr Handy zu ungewöhnlicher Zeit, prüfen Sie es, statt einen Netzfehler anzunehmen: Schalten Sie den Flugmodus aus und wieder ein, und kehrt der Dienst nicht zurück, rufen Sie sofort von einer anderen Leitung Ihren Anbieter an.

Alles andere auf dieser Seite begrenzt nur den Schaden. Nur eine Maßnahme verhindert den SIM-Swap überhaupt: Ihrem Anbieter im Voraus mitzuteilen, dass diese Rufnummer ohne einen Nachweis, den ein Angreifer nicht erbringen kann, nicht übertragen werden darf.

Diese Funktion gibt es fast überall, nur der Name variiert je nach Anbieter — Kundenkennwort, Portierungssperre, Portierungs-PIN, SIM-Sperre, Sperrung des Kundenkontos. Beschreiben Sie einfach, was Sie wollen: kein Ersatz-SIM und keine Portierung zu einem anderen Anbieter ohne dieses Kennwort, persönlich, mit Ausweis. Danach schärfen Sie das Konto weiter nach:

• Legen Sie ein eigenes Kennwort fest, das Sie sonst nirgendwo verwenden – niemals ein Geburtsdatum, eine Postleitzahl oder die letzten vier Ziffern von irgendetwas, das auf einer Karte steht.
• Löschen Sie die Sicherheitsfragen oder beantworten Sie sie mit Zufallszeichen aus Ihrem Passwort-Manager. Der Mädchenname Ihrer Mutter steht in öffentlichen Registern, Ihr erstes Haustier in Ihrem eigenen Social-Media-Feed.
• Fragen Sie nach, was ein Mitarbeiter außer Kraft setzen kann, und ob Shop-Personal die Sperre umgehen kann. Die ehrliche Antwort zeigt, was die Sperre bei Ihrem Anbieter wirklich wert ist.
• Prüfen Sie die Benachrichtigungsadresse im Konto. Gehen Bestätigungen an ein altes Postfach, das Sie nicht mehr lesen, verlieren Sie Ihre einzige Frühwarnung.
• Entfernen Sie Ihre Nummer aus Personensuchmaschinen, damit Sie erst gar nicht auf der Liste der leichten Ziele stehen – unser Leitfaden wie Sie Ihre echte Nummer privat halten zeigt die Abmeldewege.

Regulierung hat geholfen. In den USA müssen Anbieter seit 2024 den Kontoinhaber zuverlässig authentifizieren, bevor eine Rufnummer auf eine neue SIM oder zu einem anderen Anbieter wechselt, und ihn über eine solche Anfrage informieren. Mehrere europäische und asiatische Anbieter wenden vergleichbare Regeln an. Den Weg über einen Insider schließt das alles nicht, weshalb die nächsten beiden Abschnitte wichtig sind.

Nehmen wir für einen Moment an, der SIM-Swap gelingt. Was kann der Angreifer mit Ihrer Rufnummer tatsächlich anfangen? Genau so viel, wie Sie ihr erlaubt haben, freizuschalten. Ziel dieses Schritts: eine gestohlene Leitung langweilig zu machen.

Ordnen Sie Ihre zweiten Faktoren nach Stärke und rücken Sie jedes Konto, das es zulässt, nach oben:

• Passkeys und Hardware-Sicherheitsschlüssel – sie haben nichts mit dem Mobilfunknetz zu tun, eine getauschte Rufnummer nützt gegen sie also nichts.
• Authenticator-Apps (TOTP) – die Codes werden auf dem Gerät erzeugt statt an die Rufnummer zugestellt. Bewahren Sie die Wiederherstellungscodes offline, auf Papier, auf.
• Push-Bestätigungen in der App des Anbieters – gebunden an die App-Installation, nicht an die SIM.
• SMS-Codes – die letzte Wahl, nur dort, wo der Dienst nichts Besseres anbietet.

Schließen Sie danach die Falle, in die fast jeder tappt. Der Umstieg auf eine Authenticator-App bringt nichts, wenn dasselbe Konto weiterhin Zugang verloren? Wir schicken Ihnen einen Code per SMS als Wiederherstellungsweg anbietet: Der Angreifer geht einfach durch die Hintertür und ignoriert die Vordertür, die Sie verstärkt haben. Entfernen Sie die Rufnummer in den Sicherheitseinstellungen jedes Kontos aus der Kontowiederherstellung, nicht nur aus dem Login.

Arbeiten Sie Ihre Konten in der Reihenfolge ab, die auch ein Angreifer wählen würde. Zuerst das Haupt-E-Mail-Konto, weil es alles andere zurücksetzt, dann Ihr Passwort-Manager, dann Banking und jede Krypto-Börse, dann Cloud-Speicher, Domain-Registrar und Social-Media-Konten. Unser Leitfaden Einmalcodes online empfangen zeigt die praktische Seite, Codes von Ihrer privaten SIM wegzuverlagern.

Manche Dienste verzichten schlicht nicht auf SMS – viele Banken, die meisten Lieferdienste, erstaunlich viele Behördenportale. Genau für diesen Rest ist die nächste Maßnahme gedacht.

Einen Angreifer, der Ihre Rufnummer nicht kennt, kann sie auch nicht tauschen. Bevor irgendetwas passiert, braucht er Ihre Rufnummer, den Anbieter dahinter und genug Hintergrundwissen, um an der Hotline glaubwürdig zu klingen. All diese Fakten stammen aus derselben Quelle: der Nummer, die Sie seit einem Jahrzehnt herausgeben und die in Datenlecks, Marktplatz-Angeboten, Lieferapps und Data-Broker-Profilen neben Ihrem Namen, Ihrer Adresse und Ihrem Anbieter liegt.

Trennen Sie also die Rollen. Behalten Sie Ihre persönliche SIM für Familie, Arbeitgeber und die zwei, drei Institutionen, die sie wirklich brauchen, und geben Sie allem, was Ihnen Codes schickt, eine separate, eigene Nummer. Diese zweite Nummer liegt gar nicht erst bei einem klassischen Mobilfunkanbieter – das entfernt den Angriffsweg, statt ihn nur zu verteidigen:

• Kein Ladenschalter und keine Kunden-Hotline, die sich mit Geburtsdatum und Adresse zu einer Übertragung überreden lässt.
• Keine hinterlegte Identität, die sich recherchieren oder imitieren lässt – PrivacyNumber verlangt keinen Ausweis und rechnet in Krypto ab, es gibt also nichts, wogegen Social Engineering ansetzen könnte.
• Nicht im Datenleck neben Ihrem Namen. Die Nummer, die Kriminelle mit Ihnen verknüpfen, ist die alte – und die empfängt nichts mehr, was sich zu stehlen lohnt.
• Echte, anwählbare Nummern in 47 Ländern — Mobilfunk-Rufnummernblöcke, die Banken und Messenger akzeptieren, nicht die Wegwerf-VoIP-Bereiche, die immer mehr Dienste inzwischen ablehnen.
• Langfristig, nicht wegwerfbar — dieselbe Nummer funktioniert auch nächstes Jahr noch, und genau darum geht es, wenn sie bei Ihrer Bank hinterlegt ist.

Seien Sie sich klar darüber, was das nicht leistet. Jeder Anbieter mit Menschen im Prozess bietet eine gewisse Angriffsfläche für Social Engineering, Abhören auf Netzwerkebene ist ein separates, reales Problem, und eine eigene Nummer hilft erst, wenn Sie die hinterlegte Nummer bei den relevanten Konten tatsächlich geändert haben. Was sie beseitigt, ist der spezifische, billige, industrialisierte Angriff, der auf dieser Seite beschrieben wird – der, der im Mobilfunkshop beginnt. Nummern gibt es ab $3.58/month und aktiviert in unter 60 Sekunden.

Geschwindigkeit zählt mehr als Vollständigkeit. Arbeiten Sie diese Liste von einem anderen Telefon oder Computer aus ab, und halten Sie nicht an, um zu ermitteln – das kommt danach.

1. Rufen Sie Ihren Anbieter an, von einer anderen Leitung aus, und sagen Sie genau das: Meine Rufnummer wurde ohne meine Zustimmung übertragen. Verlangen Sie, dass die Übertragung rückgängig gemacht und das Konto gegen weitere Änderungen gesperrt wird.
2. Sichern Sie als Nächstes Ihr Haupt-E-Mail-Konto: neues Passwort, alle Sitzungen abmelden, dann nach Weiterleitungsregeln, Filtern und Wiederherstellungsadressen suchen, die der Angreifer hinzugefügt hat. Eine unbemerkte Weiterleitungsregel hält ihn im Konto, lange nachdem Sie die Rufnummer zurückbekommen haben.
3. Sperren Sie das Geld. Rufen Sie die Betrugshotline Ihrer Bank und den Support Ihrer Krypto-Börse an, sperren Sie Auszahlungen und stornieren Sie alles, was noch offen ist.
4. Ändern und widerrufen — Passwort-Manager, Cloud-Speicher, Domain-Registrar, Social-Media-Konten, in dieser Reihenfolge, und melden Sie sich dabei überall komplett ab.
5. Registrieren Sie Ihre Messenger neu, sobald die Nummer zurück ist, und prüfen Sie jeden auf verknüpfte Geräte, die Sie nicht kennen.
6. Erstatten Sie die Meldungen: Betrugsabteilung des Anbieters, die Bundesnetzagentur als Telekom-Regulierer, und eine Strafanzeige bei der Polizei, die Banken in der Regel verlangen, bevor sie überhaupt über eine Erstattung sprechen.
7. Notieren Sie Zeitstempel laufend — wann der Dienst ausfiel, wann jede Benachrichtigung eintraf, mit wem Sie gesprochen haben. Diese Aufzeichnung entscheidet später über Streitfälle.

Behandeln Sie die Nummer danach für alles Sensible als verbrannt. Sie hat bewiesen, dass sie sich verschieben lässt, und steht jetzt auf einer Liste erfolgreich angegriffener Nummern. Verlagern Sie Ihre Codes auf eine Leitung, die der Angreifer nie gesehen hat – und wenn Sie vorher wissen wollen, worauf Sie sich einlassen, lesen Sie wie rückverfolgbar eine virtuelle Nummer wirklich ist.