SIM-Swapping verhindern – Konten vor Rufnummernklau schützen

Pl0tzlich kein Netz mehr, we4hrend Kolleg:innen oder Freunde melden, dass unter der eigenen Nummer seltsame Nachrichten ankommen: Das ist ein typisches Frfchsignal ffcr SIM-Swapping. Dabei wird die Rufnummer auf eine neue SIM oder eSIM umgezogen fcber die Angreifer:innen kontrollieren. Das Ziel ist selten bbnurab Telefonie, sondern der Zugriff auf Konten fcber SMS-basierte Codes, Passwort-Resets und Support-Prozesse.

Der wirksamste Schutz entsteht aus mehreren Schichten: Mobilfunkvertrag he4rten, Konten ohne SMS-Login absichern und organisatorische Prozesse ffcr den Ernstfall vorbereiten. Wer bereits auf starke Verfahren wie FIDO2 (phishing-resistente Anmeldung mit Security-Key oder Plattformschlfcssel) setzt, reduziert das Risiko deutlich.

Was bei SIM-Swapping technisch und organisatorisch passiert

Der Kern des Angriffs: Nummernfcbernahme statt Malware

Beim SIM-Swapping wird die Rufnummer durch den Mobilfunkanbieter auf eine neue SIM/eSIM fcbertragen. Das kann fcber Social Engineering (z.B. manipulierte Support-Anrufe), kompromittierte Kundenportale, missbrauchte Ident-Prfcfungen oder geleakte Kundendaten passieren. Sobald der Transfer abgeschlossen ist, landen SMS und oft auch Anrufe bei den Angreifer:innen.

Wichtig: Am eigenen Smartphone muss keine Schadsoftware laufen. Genau deshalb wird der Angriff he4ufig zu spe4t erkannt fcber Monate kann alles bbnormalab wirken, bis die Nummer pl0tzlich ausfe4llt oder Konten unerkle4rlich gesperrt werden.

Warum SMS-Codes so attraktiv sind

Viele Dienste nutzen SMS noch immer als zweiten Faktor oder als Fallback ffcr Kontowiederherstellung. Das Problem: SMS ist an eine Rufnummer gebunden, nicht an ein konkretes Gere4t. Bei erfolgreicher Nummernfcbernahme kf6nnen Angreifer:innen damit Passwort-Resets auslf6sen, Einmalcodes empfangen und Sitzungen fcbernehmen. Besonders kritisch wird es, wenn Bank-, Mail- oder Cloud-Konten SMS ffcr Recovery akzeptieren.

Typische Ziele und reale Schadensbilder

In der Praxis stehen meist diese Konten im Fokus: E-Mail (wegen Passwort-Reset-Kaskaden), Messenger, Social Media (Account-Diebstahl ffcr Betrug), Entwickler- und Cloud-Plattformen sowie Finanzdienste. Folgesche4den sind dann nicht nur Kontoverlust, sondern auch Identite4tsmissbrauch, CEO-Fraud-Vorstufen oder Datenabfluss durch bbPasswort vergessenab-Prozesse.

Warnsignale: Woran eine Nummernfcbernahme erkennbar ist

Symptome am Handy und im Netz

Ein einzelnes Zeichen ist selten beweisend, die Kombination jedoch auffe4llig:

• Pl0tzlich bbKein Netzab, obwohl am Standort sonst Empfang besteht (auch nach Neustart).
• Unerwartete Hinweise im Kundenportal oder per E-Mail: SIM-Wechsel, eSIM-Aktivierung, Vertragse4nderung.
• SMS kommen nicht an oder werden nicht mehr zugestellt; Anrufe gehen direkt auf Mailbox oder kommen bei Dritten an.
• Mehrere bbPasswort vergessenab-Mails/SMS von Diensten ohne eigene Auslf6sung.

Alarmzeichen in Konten und Sicherheitsmeldungen

Parallel sollten Login-Alarme ernst genommen werden: neue Gere4te, neue Regionen, deaktivierte 2FA, gee4nderte Recovery-Informationen. Besonders kritisch ist jede c4nderung an E-Mail-Weiterleitungen oder am prime4ren Postfach, weil damit Folgekonten fcbernommen werden kf6nnen.

Schutz am Mobilfunkanbieter: Hier entscheidet sich oft der Erfolg

Account-He4rtung im Kundenportal

Viele Nummernfcbernahmen beginnen nicht im Callcenter, sondern im Self-Service. Daher sollte das Kundenkonto konsequent abgesichert werden: starkes, einzigartiges Passwort und eine zweite Anmeldeabsicherung, sofern angeboten. Idealerweise wird ein Passwortmanager genutzt und der Zugang regelme4dfig auf unbekannte Gere4te geprfcft. Passend dazu hilft der Beitrag zu Passwortmanagern im Alltag.

SIM-Wechsel sperren und Identite4tsprfcfung versche4rfen

Viele Anbieter bieten Zusatzoptionen wie bbSIM-Change-Sperreab, bbPortierungs-Schutzab oder eine strengere Authentifizierung ffcr Vertragse4nderungen. Wo verffcgbar, sollten diese aktiv sein. Sinnvoll ist auch, Support-Kontaktwege zu beschre4nken: z.B. ausschliedflich c4nderungen im Shop gegen Ausweis oder nur fcber hinterlegte Kontaktkane4le.

Bei Unternehmen gehf6rt dazu ein klarer Prozess, wer SIM-c4nderungen beauftragen darf. Ein Ticket allein ist keine Identite4t; es braucht eine zweite, unabhe4ngige Prfcfung (z.B. Rfcckruf auf eine intern bekannte Nummer oder Freigabe in einem IAM-Prozess).

Rufnummernportierung als Sonderfall

Nummern lassen sich oft zu anderen Anbietern portieren. Das ist ffcr Angreifer:innen attraktiv, weil danach Support-Kontakte fcber einen neuen Provider laufen. Wenn ein Portierungs-Schutz angeboten wird, sollte er genutzt werden. Audferdem lohnt es sich, im Blick zu behalten, ob plf6tzlich bbPortierung angestodfenab oder bbKfcndigungab im Kundenkonto auftaucht.

Konten so absichern, dass SMS nicht mehr der Rettungsanker ist

SMS als Recovery vermeiden, wo es geht

Der wirkungsvollste Schritt ist das Reduzieren von SMS-Abhe4ngigkeiten. Viele grodfe Dienste erlauben alternative Faktoren und Recovery-Optionen. Ziel: SMS nicht als Standard und nicht als Fallback verwenden. Stattdessen sollten App-basierte Verfahren, Recovery-Codes und Hardware-/Plattform-Keys bevorzugt werden.

Wer SMS nicht sofort abschalten kann, sollte zumindest sicherstellen, dass bbPasswort zurfccksetzen per SMSab deaktiviert ist oder nur nach zuse4tzlicher Prfcfung funktioniert. Falls im Konto eine Option bbLogin per SMS-Linkab existiert, ist das ein besonders kritischer Pfad.

Phishing-resistente Verfahren priorisieren

Gegen Nummernfcbernahme und Phishing helfen Verfahren, die an das Gere4t gebunden sind und keine fcbertragbaren Codes nutzen. Passkeys (passwortlose Anmeldung fcber Gere4teschlfcssel) und Authenticator-Apps (TOTP/Push je nach Dienst) sind he4ufig praktikabel. Noch robuster sind Security-Keys nach FIDO2. In der Praxis bewe4hrt sich ein Setup aus zwei unabhe4ngigen Faktoren (z.B. Plattform-Passkey plus zweiter Hardware-Key als Backup).

Als Orientierung ffcr den Alltag: SMS ist besser als gar kein zweiter Faktor, aber schlechter als App/Passkey. Mehr zur sicheren Nutzung von Mehrfaktorverfahren steht in MFA im Alltag und zum passwortlosen Login in Passkeys richtig nutzen.

Recovery sauber planen: Der untersche4tzte Angriffsweg

Viele Konten werden nicht fcber das Passwort gehackt, sondern fcber Wiederherstellung. Deshalb sollte die Recovery-Strategie bewusst gestaltet werden:

• Recovery-E-Mail auf ein separates, stark gesichertes Postfach legen.
• Recovery-Codes offline sichern (z.B. Ausdruck im Tresor, verschlfcsselter Datentre4ger).
• Telefonnummer nur dort hinterlegen, wo sie zwingend notwendig ist.
• Bei besonders kritischen Konten (E-Mail, Admin, Finanzen) Recovery per SMS vermeiden.

Konkrete Schritte, die sofort Wirkung haben

Kurzer Ablauf ffcr Privatnutzer und Teams

• Beim Mobilfunkanbieter prfcfen: SIM-Change-Sperre/Portierungs-Schutz aktivieren, sofern verffcgbar.
• Kundenportal-Passwort des Providers e4ndern und Einmal-Login/2FA aktivieren, falls angeboten.
• Bei E-Mail, Cloud und Banking SMS als Faktor/Fallback entfernen und auf App/Passkey/Key umstellen.
• Recovery-Codes erzeugen und sicher ablegen; zweite Methode als Backup hinterlegen.
• Login-Alarme aktivieren (neue Gere4te/Standorte) und Postfachregeln/Weiterleitungen prfcfen.
• Wichtige Kontakte informieren, dass bei Nummernausfall kein Support-Chat fcber SMS beste4tigt wird.

Wenn es passiert: Sofortmadfnahmen ohne Aktionismus

Erste 30 Minuten: Nummer, Konten, Beweise

Bei Verdacht auf SIM-Swapping ze4hlt Zeit, aber planvolles Vorgehen ist wichtiger als hektisches Klicken:

• Mobilfunkanbieter fcber einen unabhe4ngigen Kanal kontaktieren (nicht fcber die betroffene Nummer). SIM/eSIM sperren und Nummer zurfcckholen lassen.
• Priorite4t auf E-Mail legen: Passwort e4ndern, aktive Sitzungen abmelden, Recovery-Daten prfcfen.
• Bei kritischen Konten (Banking, Cloud, Admin) sofort Zugang sperren/Support informieren und Transaktionen prfcfen.
• Sicherheitsmeldungen, Zeiten, Ticketnummern und sichtbare c4nderungen dokumentieren (ffcr Provider/Support/Incident Response).

Was im Unternehmen zuse4tzlich dazugehf6rt

In Organisationen kommt eine zweite Ebene dazu: Identite4ten und Berechtigungen. Wenn eine Mitarbeiter-Nummer als Faktor ffcr Zuge4nge dient, muss die Auswirkung wie ein Identity-Incident behandelt werden. Sinnvoll sind:

• Betroffene Identite4t im IAM tempore4r einschre4nken (Rollen, Tokens, Sessions).
• Kommunikation fcber alternative Kane4le sicherstellen (z.B. Teams-Admin-Kontakt, internes Telefon, definierter Notfall-Chat).
• Prfcfen, ob SMS in Unternehmensdiensten als Fallback aktiv ist, und sukzessive entfernen.

Ffcr strukturierte Reaktion und Verantwortlichkeiten hilft ein kurzes Runbook, wie in Sicherheitsvorfall-Runbook beschrieben.

He4ufige Stolpersteine bei der Absicherung

bbSMS ist doch 2FA, das reichtab

SMS ffcgt eine Hfcrde hinzu, aber sie ist an eine Rufnummer gebunden, nicht an ein vertrauenswfcrdiges Gere4t. SIM-Swapping hebelt genau diese Annahme aus. Wo verffcgbar, sind gere4tegebundene oder kryptografische Verfahren die robustere Wahl.

bbDer Provider prfcft Identite4t doch sicherab

Provider-Prozesse sind unterschiedlich und unterstfctzen verschiedenste legitime Szenarien (Gere4teverlust, Auslandsreise, neue SIM). Genau diese Flexibilite4t wird missbraucht. Deshalb sind Sperroptionen, feste Freigabeprozesse und ein abgesichertes Kundenportal so wichtig.

bbNur Promis sind betroffenab

In der Praxis sind alle interessant, bei denen sich fcber die Nummer ein Konto zurfccksetzen le4sst oder fcber das Konto Geld/Daten erreichbar sind. Oft reichen f6ffentliche Informationen plus ein paar Daten aus Leaks, um Support-Prozesse anzugreifen. Der Schutz lohnt sich deshalb auch ohne f6ffentliche Bekanntheit.

Vergleich: Welche zweite Methode taugt gegen Nummernfcbernahme?

Pre4vention als Routine: Wartung statt Einmal-Aktion

Alle 3 Monate kurz prfcfen

SIM-Swapping-Schutz ist kein Einmal-Schalter, weil Konten wachsen, Faktoren hinzukommen und Provider-Portale sich e4ndern. Ein kleiner Rhythmus bringt Stabilite4t: Provider-Login prfcfen, hinterlegte Rufnummern in kritischen Konten minimieren, Recovery-Codes erneuern, Benachrichtigungen testen. Wer parallel das System- und Browser-d6kosystem sauber he4lt, reduziert Folgeangriffe; als Einstieg eignet sich die dcbersicht IT-Sicherheit.

Besonders schfctzenswerte Konten priorisieren

Wenn nicht alles sofort umstellbar ist, sollte nach Wirkung priorisiert werden: 1) prime4re E-Mail, 2) Passwortmanager/Identity-Provider, 3) Cloud/Dev-Plattformen, 4) Banking, 5) Social-Media/Messenger. Genau diese Reihenfolge reduziert die Chance, dass ein einzelner Nummern-Diebstahl eine komplette Kontokette kippt.