Kurz erklärt: Beim SIM-Swapping erlangen Täter die Kontrolle über die Mobilfunknummer eines Opfers, indem sie den Anbieter zur Übertragung auf eine eigene Karte veranlassen. Mit der Nummer erhalten sie den Kanal, über den Bestätigungscodes und Passwortzurücksetzungen laufen — und damit Zugriff auf Konten bei Handelsplattformen, E-Mail-Diensten und Wallet-Anwendungen. Der Angriff richtet sich nicht gegen das Gerät des Opfers, sondern gegen die Prozesse seines Mobilfunkanbieters.
Ablauf
Der Angriff beginnt mit der Zielauswahl. Täter suchen Personen, bei denen sich der Aufwand lohnt — erkennbar an öffentlichen Äußerungen zu Kryptobeständen, an Positionen in Projekten oder an Daten aus Abflüssen bei Handelsplattformen, die Namen, Rufnummern und Kontostände enthalten können.
Es folgt die Informationsbeschaffung: Geburtsdatum, Anschrift, Kundennummer, letzte Rechnungsbeträge. Diese Angaben stammen aus früheren Datenabflüssen, aus sozialen Netzwerken oder aus einem vorgeschalteten Phishing-Angriff.
Der eigentliche Übernahmeversuch erfolgt gegenüber dem Mobilfunkanbieter — telefonisch, im Onlineportal oder in einem Ladengeschäft. Behauptet wird ein Verlust der Karte oder ein Gerätewechsel. In manchen Fällen wirken Beschäftigte des Anbieters mit; entsprechende Fälle sind aus Strafverfahren bekannt.
Nach erfolgreicher Übertragung ist die Karte des Opfers inaktiv. Der Täter empfängt nun dessen Anrufe und Nachrichten und beginnt mit der Zurücksetzung von Zugängen — üblicherweise zuerst beim E-Mail-Konto, weil darüber die meisten weiteren Zurücksetzungen laufen.
Der Zeitraum zwischen Übernahme und Abfluss beträgt oft weniger als eine Stunde. Angriffe erfolgen bevorzugt nachts oder am Wochenende, wenn die Reaktion verzögert ist.
Warum Kryptonutzer bevorzugte Ziele sind
Der Aufwand für einen SIM-Swap ist erheblich — Recherche, Vorbereitung und ein Übernahmeversuch mit Entdeckungsrisiko. Er lohnt sich nur bei entsprechendem Ertrag.
Bei Bankkonten ist der Ertrag begrenzt: Überweisungen sind betragsbeschränkt, auffällig und unter Umständen rückholbar. Bei Kryptowerten gilt nichts davon. Ein Abfluss ist unwiderruflich, unbegrenzt und innerhalb von Minuten abgeschlossen.
Hinzu kommt, dass sich Ziele identifizieren lassen. Wer öffentlich über Kryptobestände spricht, macht sich auffindbar. Datenabflüsse bei Handelsplattformen haben in der Vergangenheit Kundenlisten mit Namen, Rufnummern und Anschriften offengelegt — Material, das für genau diese Angriffsform verwendbar ist.
Das ist ein Grund, warum die Auswahl einer Plattform auch deren Sicherheitsverhalten berücksichtigen sollte: Ein Datenabfluss dort kann Angriffe auf den eigenen Mobilfunkanschluss nach sich ziehen.
Warnzeichen und Sofortmaßnahmen
Das eindeutige Warnzeichen ist ein plötzlicher, unerklärlicher Verlust des Mobilfunknetzes — kein Empfang, keine Anrufe, keine Nachrichten, während andere Geräte im selben Umfeld funktionieren. Wer das im Zusammenhang mit Kryptobeständen erlebt, sollte von einem Angriff ausgehen, nicht von einer Störung.
Weitere Hinweise sind unerwartete Benachrichtigungen über Anmeldeversuche, Passwortzurücksetzungen, die man nicht ausgelöst hat, oder eine Bestätigung des Mobilfunkanbieters über einen Kartenwechsel.
Sofortmaßnahmen, in dieser Reihenfolge:
- Über eine andere Verbindung — Festnetz oder fremdes Gerät — den Mobilfunkanbieter kontaktieren und die Nummer sperren lassen.
- Bestände von Handelsplattformen auf eine Adresse übertragen, zu der der Angreifer keinen Zugang hat, sofern der Zugriff noch besteht.
- Passwörter der wichtigsten Konten ändern, beginnend mit dem E-Mail-Konto, und alle aktiven Sitzungen beenden.
- SMS-basierte Zwei-Faktor-Verfahren überall entfernen und durch andere Verfahren ersetzen.
- Plattformen informieren und Auszahlungsadressen prüfen.
- Anzeige erstatten und den Vorgang beim Mobilfunkanbieter schriftlich dokumentieren lassen.
Die letzte Maßnahme ist für etwaige Ansprüche gegen den Anbieter erheblich — der Nachweis, wann und auf welchem Weg die Übertragung veranlasst wurde, liegt bei ihm.
Zusammenspiel mit anderen Angriffsformen
SIM-Swapping steht selten allein. Es ist meist ein Baustein in einer längeren Kette, und das erklärt, warum es trotz des Aufwands eingesetzt wird.
Vorgeschaltetes Phishing. Die für den Übernahmeversuch nötigen Angaben — Kundennummer, Geburtsdatum, letzte Rechnungsposten — stammen häufig aus einem vorherigen Phishing-Angriff, der als Anfrage des Mobilfunkanbieters getarnt war.
Datenabflüsse als Ausgangsmaterial. Kundenlisten aus kompromittierten Plattformen liefern die Kombination aus Name, Rufnummer, Anschrift und teilweise Hinweisen auf die Größenordnung der Bestände. Dieses Material wird gehandelt und gezielt ausgewertet.
Nachgelagerter Zugriff. Nach der Übernahme folgt die Zurücksetzung des E-Mail-Kontos, darüber die der Plattformkonten und schließlich der Abfluss. Jeder Schritt hinterlässt Spuren, aber die Geschwindigkeit lässt keine Reaktion zu.
Für die Verteidigung folgt daraus ein wichtiger Gedanke: Die Kette lässt sich an mehreren Stellen unterbrechen, nicht nur an einer. Wer keine SMS-Codes verwendet, macht die Rufnummernübernahme wertlos. Wer eine gesonderte, nicht öffentlich bekannte E-Mail-Adresse für Kryptokonten nutzt, entzieht dem nachgelagerten Schritt die Grundlage. Und wer größere Bestände selbst verwahrt, nimmt der gesamten Kette das Ziel.
Wirksamer Schutz
Keine SMS-Codes für Kryptokonten. Das ist die wichtigste Einzelmaßnahme. Solange die Rufnummer als Sicherheitsfaktor dient, ist ihre Übernahme gleichbedeutend mit dem Verlust der Konten. Zu ersetzen ist sie durch eine Authenticator-Anwendung oder — deutlich besser — durch einen Hardware-Sicherheitsschlüssel.
Portierungssperre beim Mobilfunkanbieter. Die meisten Anbieter ermöglichen ein zusätzliches Kennwort oder eine Sperre gegen Kartenwechsel und Rufnummernmitnahme. Diese Einrichtung dauert Minuten und ist die wirksamste Maßnahme an der Wurzel des Problems.
Rufnummer nicht als Wiederherstellungsweg hinterlegen. Insbesondere beim E-Mail-Konto, das als Ausgangspunkt für weitere Zurücksetzungen dient.
Getrennte E-Mail-Adresse für Kryptokonten, die nirgends öffentlich auftaucht und nicht mit der Mobilfunknummer verknüpft ist.
Zurückhaltung mit öffentlichen Angaben. Wer nicht als lohnendes Ziel erkennbar ist, wird seltener ausgewählt.
Selbstverwahrung für größere Bestände. Eine Hardware-Wallet ist gegen SIM-Swapping strukturell immun, weil kein Zugang über Konten und Zurücksetzungsprozesse besteht.
Rechtliche Einordnung
Der Angriff verwirklicht mehrere Tatbestände. In Betracht kommen das Ausspähen von Daten, der Computerbetrug beim anschließenden Zugriff auf Konten sowie Betrug nach § 263 StGB gegenüber dem Mobilfunkanbieter, der zur Übertragung veranlasst wird. Bei Mitwirkung von Beschäftigten kommen weitere Delikte hinzu.
Praktisch bedeutsam ist die Frage der Haftung des Mobilfunkanbieters. Der Angriff gelingt, weil dessen Identitätsprüfung überwunden wurde. Ob und in welchem Umfang daraus Ansprüche folgen, hängt vom Einzelfall ab — insbesondere davon, welche Prüfungen vorgesehen waren und ob sie eingehalten wurden.
Für die Anspruchsverfolgung ist deshalb entscheidend, den Vorgang beim Anbieter frühzeitig und schriftlich zu dokumentieren: Zeitpunkt der Übertragung, verwendeter Kanal, vorgelegte Angaben. Diese Informationen liegen ausschließlich beim Anbieter und können später schwer zu erlangen sein.
Für die Verfolgung der Mittel gelten die allgemeinen Grundsätze: Die Abflüsse sind on-chain dokumentiert, und die Aussichten hängen davon ab, ob sie eine regulierte Plattform erreicht haben — siehe Asset Recovery.
Häufige Fragen
Woran merke ich einen SIM-Swap?
Am plötzlichen, unerklärlichen Verlust des Mobilfunknetzes, während andere Geräte im selben Umfeld funktionieren. Wer Kryptobestände hält und das erlebt, sollte von einem Angriff ausgehen und nicht von einer Störung.
Was tue ich zuerst?
Über Festnetz oder ein fremdes Gerät den Mobilfunkanbieter kontaktieren und die Nummer sperren lassen. Danach, falls noch Zugriff besteht, Bestände von Handelsplattformen wegtransferieren, dann Passwörter ändern und Sitzungen beenden.
Warum sind gerade Kryptonutzer Ziel?
Weil sich der erhebliche Aufwand nur bei entsprechendem Ertrag lohnt. Krypto-Abflüsse sind unwiderruflich, unbegrenzt und binnen Minuten abgeschlossen — bei Bankkonten ist der Ertrag durch Betragsgrenzen und Rückholmöglichkeiten begrenzt.
Wie schütze ich mich wirksam?
SMS-Codes für Kryptokonten vollständig abschaffen und durch eine Authenticator-Anwendung oder einen Hardware-Sicherheitsschlüssel ersetzen. Zusätzlich eine Portierungssperre beim Mobilfunkanbieter einrichten — das ist die wirksamste Maßnahme an der Wurzel.
Haftet der Mobilfunkanbieter?
Das hängt vom Einzelfall ab, insbesondere davon, welche Identitätsprüfungen vorgesehen waren und ob sie eingehalten wurden. Entscheidend ist, den Vorgang frühzeitig und schriftlich dokumentieren zu lassen — Zeitpunkt, Kanal und vorgelegte Angaben liegen ausschließlich beim Anbieter.
Schützt eine Hardware-Wallet vor SIM-Swapping?
Ja, strukturell. Bei selbstverwahrten Beständen gibt es keinen Zugang über Konten und Zurücksetzungsprozesse, den die Übernahme einer Rufnummer eröffnen könnte.
Kommt SIM-Swapping allein vor?
Selten. Es ist meist ein Baustein einer Kette: vorgeschaltetes Phishing zur Beschaffung der Kundendaten, Datenabflüsse als Ausgangsmaterial für die Zielauswahl, danach Zurücksetzung des E-Mail-Kontos und der Plattformkonten. Die Kette lässt sich an mehreren Stellen unterbrechen.
Zusammenfassung
Beim SIM-Swapping veranlassen Täter den Mobilfunkanbieter zur Übertragung der Rufnummer auf eine eigene Karte und erlangen damit den Kanal für Bestätigungscodes und Passwortzurücksetzungen. Der Angriff richtet sich gegen die Prozesse des Anbieters, nicht gegen das Gerät des Opfers. Kryptonutzer sind bevorzugte Ziele, weil Abflüsse unwiderruflich und unbegrenzt sind. Eindeutiges Warnzeichen ist der plötzliche Netzverlust. Wirksamster Schutz: SMS-Codes für Kryptokonten abschaffen und eine Portierungssperre einrichten. Selbstverwahrte Bestände sind strukturell immun.
Weiterführende Quellen
- BSI — Blockchain sicher gestalten: www.bsi.bund.de
- § 263 StGB — Betrug, Gesetze im Internet: www.gesetze-im-internet.de
- NIST — Computer Security Resource Center Glossary: csrc.nist.gov
- Polizeiliche Kriminalprävention der Länder und des Bundes — Betrug: www.polizei-beratung.de
- FBI Internet Crime Complaint Center — Internet Crime Report 2024 (PDF): www.ic3.gov
- BKA — Bundeslagebild Cybercrime: www.bka.de
- Europol — IOCTA 2026: The evolving threat landscape: www.europol.europa.eu