Glossar

SIM-Swapping

Aktualisiert 12. Juni 2026

SIM-Swapping (auch: SIM-Hijacking, Port-Out-Fraud) ist eine Angriffsmethode, bei der Kriminelle einen Mobilfunkanbieter durch Social Engineering dazu bringen, die Rufnummer eines Opfers auf eine SIM-Karte unter ihrer Kontrolle zu übertragen – ohne das physische Gerät des Opfers je zu berühren.

Wie der Angriff funktioniert

Der Ablauf folgt einem klaren Muster. Die Angreifer sammeln zunächst persönliche Daten des Opfers – Name, Geburtsdatum, Adresse, Kundennummer – aus Datenlecks, öffentlichen Profilen oder gezieltem Phishing. Mit diesen Informationen wenden sie sich an den Mobilfunkanbieter: entweder über den Kundenservice mit gefälschten Identitätsdokumenten oder, in dokumentierten Fällen, durch direkte Bestechung von Mitarbeitern. Ziel ist die Rufnummernportierung auf eine eigene SIM-Karte. Sobald die Portierung abgeschlossen ist, empfängt der Angreifer alle eingehenden Anrufe und SMS des Opfers – einschließlich SMS-basierter One-Time Passwords (OTP) und Zwei-Faktor-Authentifizierungscodes (2FA). Das Opfer verliert dabei schlagartig den Mobilfunkempfang und bemerkt den Angriff oft erst, wenn bereits Konten kompromittiert wurden.

Warum Kryptowährungsinhaber besonders im Fokus stehen

Inhaber von Kryptowährungen sind überproportional häufig Ziel von SIM-Swap-Angriffen. Der Grund liegt in der Natur von Blockchain-Transaktionen: Anders als bei Überweisungen über klassische Finanzinstitute sind abgehende Transfers irreversibel. Eine Rückbuchung ist technisch nicht möglich. Wer den privaten Schlüssel oder die Kontrolle über ein Exchange-Konto verliert, verliert die Vermögenswerte endgültig. Das US-Justizministerium hat mehrere Täter verurteilt, die durch SIM-Swap-Angriffe Krypto-Diebstähle in zweistelliger Millionenhöhe begangen hatten. Besonders Custodial Wallets auf zentralisierten Börsen sind anfällig, weil diese Plattformen häufig SMS-basierte 2FA anbieten und kontogebundene Passwort-Resets über die Mobilfunknummer erlauben.

Schutzmaßnahmen

Die Schwachstelle liegt nicht im Gerät, sondern in der Nummer als Authentifizierungsfaktor. Wirksame Gegenmaßnahmen setzen deshalb an dieser Stelle an:

TOTP-Apps statt SMS: Zeitbasierte Einmalpasswörter (z. B. über Authenticator-Apps) sind gerätgebunden und werden nicht über das Mobilfunknetz übertragen.
Hardware-Security-Keys: Physische Schlüssel (FIDO2/U2F) machen SMS-2FA vollständig überflüssig und sind gegen Fernzugriff immun.
SIM-Lock-PIN beim Anbieter: Die meisten Mobilfunkanbieter ermöglichen eine zusätzliche Portierungssperre oder eine separate PIN für Kontoänderungen.
Selbstverwahrung: Wer Bestände in einer Non-Custodial Wallet hält und den privaten Schlüssel offline verwahrt, entzieht SIM-Swap-Angriffen die Angriffsfläche – die Telefonnummer ist schlicht irrelevant.