SIM-Swapping: Wie Betrüger Ihre Handynummer kapern und wie Sie sich schützen

Kriminelle entwickeln ständig neue Methoden, um an Ihr Geld zu kommen. Eine besonders gefährliche Masche ist das sogenannte SIM-Swapping. Damit verschaffen sich Täter Zugang zu Ihren Banking- und Krypto-Apps.

SIM-Swapping ist auch als SIM-Splitting, Simjacking oder Port-out-Betrug bekannt. Dabei überreden Kriminelle Ihren Mobilfunkanbieter, Ihre Rufnummer auf eine neue SIM-Karte zu übertragen, die sie selbst kontrollieren.

Hier erfahren Sie, wie die Masche abläuft und mit welchen Maßnahmen Sie das Risiko deutlich verringern.

Ein Fall aus der Praxis

Eine CoinJar-Kundin erlebte, wie Kriminelle versuchten, in ihr Konto einzudringen. In Panik wandte sie sich an CoinJar, um den Zugriff zu stoppen.

Unsere Kundin Melanie berichtete, die Täter hätten die Kontrolle über ihre Rufnummer übernommen und sie damit aus ihren eigenen Konten ausgesperrt. Anschließend änderten sie die hinterlegte Telefonnummer und weitere Daten auf ihre eigenen Angaben.

Melanie erklärte, die Täter hätten bereits Zugriff auf ihre Bankkonten gehabt und Geld abgehoben. Parallel versuchten sie, in ihr CoinJar-Konto zu gelangen.

Melanie kontaktierte CoinJar umgehend. Das Sicherheitsteam sperrte ihr Konto und begann sofort mit der Verifizierung ihrer Identität.

Sie sagte: „Lukas war sofort zur Stelle und hat mit Video-Ident mein Konto gerettet."

Was ist SIM-Swapping?

Beim SIM-Swapping versuchen Kriminelle, Ihre Rufnummer zu übernehmen. Sie kontaktieren Ihren Mobilfunkanbieter, geben sich als Sie aus und behaupten etwa, sie hätten ein neues Smartphone und bräuchten eine Ersatz-SIM oder eine neue eSIM.

Häufig genügen dafür Ihr Name, Ihre Anschrift und Ihr Geburtsdatum. Gelingt der Versuch, wird Ihre Rufnummer auf eine SIM-Karte der Täter aktiviert.

Woran erkennen Sie das? Ihr Anschluss ist plötzlich tot. Sie haben keinen Empfang mehr, können nicht mehr telefonieren und erhalten keine SMS. Ab diesem Moment landen alle Anrufe und Nachrichten bei den Tätern, einschließlich sämtlicher Codes für die Zwei-Faktor-Authentifizierung.

Danach können sie sich am Telefon als Sie ausgeben, Passwörter für Ihr Online-Banking zurücksetzen, auf Ihre Kryptokonten zugreifen oder in Ihrem Namen online auftreten.

Wie CoinJar mit SIM-Swapping umgeht

Lukas Jackson ist Compliance Manager bei CoinJar. Er bearbeitet seit 2017 Fälle rund um SIM-Swapping.

„Beim SIM-Swapping wird Ihre Rufnummer auf eine andere SIM-Karte übertragen. Sobald das geschehen ist, funktioniert die Karte in Ihrem Gerät nicht mehr. Sie können keine Anrufe und keine SMS mehr empfangen."

Als Melanie CoinJar kontaktierte, sei sie fast ausschließlich darauf konzentriert gewesen, ihre Kryptowährungen zu retten.

„Es gab Fälle, in denen sich jemand über genau diese Methode Zugang zu einem Bankkonto verschafft und das gesamte Guthaben abgehoben hat. Manchmal erstattet die Bank den Schaden, manchmal nicht."

Der erste Schritt sei stets die Identitätsprüfung gewesen.

„Wir müssen immer sicherstellen, dass wir mit der richtigen Person sprechen. Gerade wenn jemand eine fremde Identität übernimmt, kommt es vor, dass sich die Täter selbst bei uns melden. Sie fragen dann: ‚Warum kann ich meine Kryptowährungen nicht verkaufen? Warum kann ich nichts an eine andere Wallet senden? Was ist los?' Sie versuchen, uns dazu zu bringen, die Sperren aufzuheben."

Halten Sie Ihren Ausweis bereit

Wenn Sie Unterstützung von CoinJar benötigen, sollten Sie nachweisen können, wer Sie sind. Halten Sie dafür ein gültiges Ausweisdokument bereit.

Währenddessen handelten die Täter schnell. Jackson berichtet: „Während Melanie uns kontaktierte, gelang es den Tätern, in ihr CoinJar-Konto zu gelangen und die hinterlegte E-Mail-Adresse zu ändern."

CoinJar erhielt daraufhin E-Mails der Täter, die sich als Melanie ausgaben. Melanie selbst hatte inzwischen ein neues E-Mail-Konto eingerichtet, um mit dem CoinJar-Team zu kommunizieren: „Bitte sperren Sie mein Konto! Lassen Sie nicht zu, dass etwas passiert!"

Zugleich erhielt sie Drohmails der Täter, die versuchten, sie zu erpressen. Sie würden ihre Kryptowährungen in Ruhe lassen, wenn sie sofort 1.200 € zahle.

Weitere E-Mails der Täter an CoinJar lauteten: „Entsperren Sie mein Konto, warum kann ich mein Geld nicht senden? Wenn Sie das nicht tun, melde ich Sie der Aufsichtsbehörde!"

Die Täter, so Jackson, „setzen ihre Opfer psychologisch massiv unter Druck".

Identität nachweisen

Melanie übermittelte über ihr neues E-Mail-Konto Ausweisdokumente und nahm an einer Video-Ident-Prüfung teil.

Jackson ergänzt: „Am Ende konnten wir ihr Konto wiederherstellen."

Diese vollständige Identitätsübernahme begann mit einem einzigen Schritt: der Übernahme ihrer Rufnummer. Einiges bleibt bis heute unklar. Woher hatten die Täter ihr Geburtsdatum? Woher die übrigen Daten? Hatten sie Zugang zu ihren Passwörtern?

Woher kennen Kriminelle meine Daten?

SIM-Swapping ist eine reale Bedrohung. Ihre Rufnummer ist heute Teil Ihrer Identität. Wird dieser Teil übernommen, öffnet er den Zugang zu vielen weiteren Diensten.

Große Unternehmen und auch Behörden sind bereits von Datenpannen betroffen gewesen. Bei solchen Vorfällen gelangen Nutzerdaten in großem Umfang in falsche Hände. Name, Geburtsdatum, Anschrift, Ausweisnummern, Rufnummern und E-Mail-Adressen werden anschließend häufig im Darknet gehandelt.

Ob Ihre E-Mail-Adresse in bekannten Datenlecks auftaucht, können Sie kostenlos mit dem Identity Leak Checker des Hasso-Plattner-Instituts prüfen.

Mit diesen Daten geben sich Kriminelle gegenüber Ihrem Mobilfunkanbieter als Sie aus. Sobald sie Ihre SMS und Anrufe empfangen, können sie weitere Konten übernehmen. Das reicht vom Streamingdienst über Ihr E-Mail-Postfach, in dem womöglich Ausweiskopien liegen, bis zum Bankkonto.

Die Folgen können gravierend sein: leergeräumte Konten, nicht autorisierte Kartenzahlungen, übernommene Social-Media-Profile. Die Belastung ist finanziell und emotional erheblich.

Wenn Sie psychisch belastet sind und mit jemandem sprechen möchten: Die TelefonSeelsorge ist rund um die Uhr kostenlos und anonym erreichbar, unter 0800 111 0 111, 0800 111 0 222 oder 116 123. Beratung per Chat und E-Mail ist ebenfalls möglich.

Wie schützen Mobilfunkanbieter vor SIM-Swapping?

Die deutschen Anbieter haben ihre Verfahren verschärft. Für einen SIM-Tausch oder die Aktivierung einer eSIM ist in der Regel eine Authentifizierung erforderlich, etwa über ein Kundenkennwort, eine Service-PIN, den Login im Kundenportal oder eine Ausweisprüfung im Shop.

Richten Sie unbedingt ein Kundenkennwort beziehungsweise eine Service-PIN bei Ihrem Anbieter ein, wenn Sie das noch nicht getan haben. Ohne dieses Kennwort kann telefonisch kein SIM-Tausch beauftragt werden. Das ist die wirksamste einzelne Maßnahme gegen SIM-Swapping.

Auch die Anbieter selbst informieren inzwischen darüber. o2 erklärt in einem eigenen Ratgeber zu SIM-Swapping, wie die Masche funktioniert.

Cyberkriminalität und Betrug melden

SIM-Swapping, Erpressung und Diebstahl sind Straftaten. Wenn Ihnen so etwas passiert, sollten Sie unbedingt Anzeige erstatten. Das geht bei jeder Polizeidienststelle oder online über die Onlinewache der Polizei. In akuten Notfällen wählen Sie die 110.

Jackson rät, keine Beweise zu vernichten. „Löschen Sie keine SMS und keine Anrufprotokolle. Behalten Sie alles und legen Sie es der Polizei vor, wenn Sie Anzeige erstatten."

Wichtig ist außerdem, CoinJar schnell zu informieren. „Wenn sich jemand bei uns meldet und sagt, sein Konto sei kompromittiert, reagieren wir sehr schnell, weil wir Warnmeldungen in Echtzeit erhalten.

In der Regel sind wir deutlich schneller als eine Bank. Manchmal hängt man 20 Minuten in der Warteschleife, nur um überhaupt jemandem sagen zu können: ‚Mein Konto wurde kompromittiert!' Jede Sekunde zählt."

Tipps für mehr Sicherheit im Netz

Verwenden Sie Passwörter niemals mehrfach

Nutzen Sie einen Passwortmanager, um für jedes Konto ein eigenes, langes Passwort zu vergeben. Geeignet sind zum Beispiel iCloud-Schlüsselbund, Bitwarden oder 1Password.

Nutzen Sie SMS nicht zur Zwei-Faktor-Authentifizierung

Verwenden Sie stattdessen eine Authenticator-App oder einen Hardware-Sicherheitsschlüssel. Auch das BSI bewertet die SMS-TAN als schwächeres Verfahren und empfiehlt App-basierte oder hardwaregestützte Lösungen.

Ein Hinweis zu einem verbreiteten Ratschlag: In Deutschland lässt sich keine anonyme Zweitrufnummer nutzen. Seit Juli 2017 ist für die Aktivierung jeder Prepaid-SIM eine Identitätsprüfung mit Ausweis vorgeschrieben. Eine separate Zweitnummer nur für SMS-Codes ist zwar möglich, etwa über eine zweite SIM oder eSIM in einem Dual-SIM-Gerät, sie ist aber immer Ihrer Identität zugeordnet. Der wirksamere Weg bleibt daher, SMS-Codes vollständig durch eine Authenticator-App zu ersetzen.

Sprechen Sie nicht öffentlich über Ihre Kryptowährungen

Erzählen Sie niemandem von Ihren Konten oder Hardware-Wallets und posten Sie nichts dazu in sozialen Netzwerken. Machen Sie sich nicht zur Zielscheibe.

Nutzen Sie verschiedene E-Mail-Adressen

Verwenden Sie zum Beispiel eine Adresse für Einkäufe, eine für soziale Netzwerke und eine für berufliche Themen. Wird eine Adresse kompromittiert, sind die übrigen nicht betroffen.

Der Plus-Trick: Bei Anbietern wie Gmail und Google Workspace können Sie vor dem @-Zeichen ein Pluszeichen und ein beliebiges Wort ergänzen. Aus ihreadresse@gmail.com wird so ihreadresse+shopping@gmail.com oder ihreadresse+arbeit@gmail.com.

Alle Varianten landen im selben Postfach, lassen sich aber leicht filtern und sortieren. Wenn Sie sich bei einem Dienst anmelden, etwa bei CoinJar, verwenden Sie ihreadresse+coinjar@gmail.com. Erhalten Sie später Spam an diese Variante, wissen Sie sofort, woher die Adresse stammt.

Sichern Sie Ihr WLAN

Lassen Sie keine unbekannten Geräte in Ihr Heimnetzwerk. Vergeben Sie ein starkes WLAN-Passwort und teilen Sie es nur mit Personen, denen Sie vertrauen. Ersetzen Sie ein voreingestelltes Router-Passwort unbedingt durch ein eigenes.

Sichern Sie Ihre Geräte

Nutzen Sie nach Möglichkeit biometrische Verfahren wie Gesichts- oder Fingerabdruckerkennung. Wo das nicht geht, wählen Sie eine starke PIN oder ein Passwort. Vermeiden Sie leicht zu erratende Kombinationen wie 0000, 1234 oder Ihr Geburtsjahr. Aktivieren Sie den Schutz auch für einzelne Apps, insbesondere für Banking- und Krypto-Apps.

Identität und Bonität im Blick behalten

Die SCHUFA bietet Verbrauchern Dienste zur Identitätsüberwachung an, die Sie warnen, wenn Ihre Daten in Datenlecks auftauchen. Einmal jährlich haben Sie außerdem Anspruch auf eine kostenlose Datenkopie nach Art. 15 DSGVO, aus der hervorgeht, welche Daten über Sie gespeichert sind. So erkennen Sie zum Beispiel Verträge, die in Ihrem Namen abgeschlossen wurden.

Hardware-Wallets und Wiederherstellungsphrasen

Wenn Sie eine Hardware-Wallet nutzen, also ein Gerät zur Aufbewahrung Ihrer Kryptowährungen, müssen Sie Ihre Wiederherstellungsphrase sicher aufbewahren. Sie ist der einzige Weg zurück zu Ihrem Guthaben, wenn das Gerät verloren geht oder defekt ist.

Für die Aufbewahrung eignen sich Metalllösungen wie Cryptosteel Capsule Solo oder Cryptotag Zeus. Bewahren Sie die Phrase an einem sicheren Ort auf, zu dem sonst niemand Zugang hat.

Kaufen Sie Hardware-Wallets ausschließlich direkt bei Ledger oder Trezor. Es gibt täuschend echt aussehende Fälschungen, die Ihr Guthaben abgreifen. Und speichern Sie Ihre Wiederherstellungsphrase niemals digital oder online.

Für den Ernstfall vorsorgen

Wenn Sie eine Hardware-Wallet oder eine andere selbstverwahrte Wallet nutzen, sollten Sie regeln, was im Todesfall oder bei längerer Handlungsunfähigkeit passiert. Andernfalls sind Ihre Kryptowährungen für Ihre Angehörigen dauerhaft verloren.

Verschicken Sie Ihre Wiederherstellungsphrase dafür aber niemals per Nachricht und teilen Sie sie nicht im Alltag. Sinnvoll ist eine schriftliche, versiegelte Anleitung, die zusammen mit Ihren wichtigen Unterlagen verwahrt oder bei einer Notarin oder einem Notar hinterlegt wird.

Wenn Sie Ihre Kryptowährungen in Ihrem CoinJar-Konto halten, ist dieser Schritt nicht erforderlich.

Weitere Hilfe von CoinJar

• Passwort verwalten
• Wichtige Hinweise zu Finanzbetrug
• Zwei-Faktor-Authentifizierung einrichten
• Kryptowährungen kaufen mit CoinJar

Zusätzliche Ressourcen

• Die Polizeiliche Kriminalprävention erklärt, wie Sie Cybertrading-Betrug erkennen und vermeiden.

• Das BSI informiert im digitalen Verbraucherschutz über Phishing, Identitätsdiebstahl und Kontosicherheit.

• Aktuelle Warnmeldungen der BaFin listen unerlaubt tätige Anbieter und betrügerische Plattformen.

• Die Verbraucherzentrale erklärt, wie Sie unseriöse Online-Tradingplattformen erkennen.

• Unerwünschte Werbeanrufe, betrügerische SMS und Rufnummernmissbrauch melden Sie der Bundesnetzagentur.

• Der Bankenverband informiert über sicheres Online-Banking und aktuelle Betrugsmaschen.

• Vorsicht vor angeblichen Rückholdiensten: Die Verbraucherzentrale erklärt, wie Sie einen Recovery Scam erkennen.