SIM-Swapping und wie man sich schützt

Beim SIM-Swapping überredet ein Betrüger deinen Mobilfunkanbieter, deine Handynummer auf eine SIM-Karte oder eSIM in seinem Besitz zu übertragen. Ab dann landen deine SMS und Anrufe bei ihm. Mit den SMS-Codes setzt er die Passwörter von E-Mail und Börsenkonto zurück und schickt deine Bitcoin weg. Schützen kannst du dich, indem deine Konten nicht mehr an der Handynummer hängen und deine Ersparnisse gar nicht erst auf einer Börse liegen.

So läuft ein SIM-Swap ab

Deine Handynummer gehört nicht zu deiner SIM-Karte, sondern zu deinem Vertrag. Der Anbieter kann sie jederzeit auf eine neue Karte legen. Das ist praktisch, wenn du dein Handy verlierst. Genau diese Funktion nutzt der Angreifer.

Ein typischer Ablauf hat vier Schritte:

1. Daten sammeln. Der Angreifer sucht deinen Namen, deine Adresse, dein Geburtsdatum und deine Nummer. Vieles davon steht in Datenlecks, in sozialen Netzwerken oder im Impressum. Hat ein Kundenverzeichnis einer Börse oder eines Wallet-Herstellers geleakt, weiß er auch, dass du Bitcoin besitzt.
2. Den Anbieter täuschen. Er ruft die Hotline an, schreibt im Chat oder geht in einen Shop. Er gibt sich als du aus: Handy verloren, bitte neue SIM oder eSIM aktivieren. Manchmal besticht er auch einen Mitarbeiter. Alternativ beantragt er die Mitnahme deiner Nummer zu einem anderen Anbieter.
3. Nummer übernehmen. Deine Karte verliert das Netz. Seine Karte bekommt deine Nummer, deine SMS und deine Anrufe.
4. Konten zurücksetzen. Er klickt bei deinem E-Mail-Anbieter auf „Passwort vergessen“ und lässt sich den Code per SMS schicken. Mit der E-Mail setzt er das Börsenkonto zurück, das oft auch nur einen SMS-Code als zweiten Faktor verlangt. Dann zieht er die Bitcoin auf eine eigene Adresse ab.

Zwischen Schritt 3 und 4 liegen oft nur Minuten. Die Täter arbeiten nachts oder am Wochenende, wenn du schläfst und die Hotline schwer erreichbar ist.

SIM-Swapping ist keine Theorie. Das FBI meldete für 2021 in den USA 1’611 Beschwerden mit Schäden von über 68 Millionen US-Dollar, deutlich mehr als in den drei Jahren davor zusammen. Bekannte Fälle betrafen 2019 das Twitter-Konto des Twitter-Gründers Jack Dorsey und das X-Konto der US-Börsenaufsicht SEC im Januar 2024, über das eine falsche Meldung zu Bitcoin-ETFs verbreitet wurde. Auch in Deutschland, Österreich und der Schweiz warnen Polizei und Behörden vor der Masche.

Warum Bitcoin-Halter beliebte Ziele sind

Ein SIM-Swap kostet den Täter Zeit und Risiko. Er lohnt sich nur, wenn danach etwas zu holen ist. Bitcoin-Halter sind dafür ideal:

• Endgültig. Eine Bankenüberweisung lässt sich manchmal stoppen. Eine Bitcoin-Transaktion nicht.
• Schnell. Eine Auszahlung von der Börse dauert Minuten, nicht Tage.
• Gut zu finden. Wer in sozialen Netzwerken über Bitcoin spricht oder in einem geleakten Kundenverzeichnis steht, verrät sich selbst.
• Alles an einer Nummer. Viele hängen Mail, Börse, Bank und Messenger an dieselbe Handynummer, oft mit SMS als einzigem zweitem Faktor.

SIM-Swapping ist eine Form von Social Engineering: Getäuscht wird nicht die Technik, sondern ein Mensch an der Hotline. Wie diese Täuschungen allgemein funktionieren und wie du sie bei dir selbst erkennst, erklärt der Artikel Social Engineering: Die größte Gefahr für Halter.

Warnzeichen: So merkst du einen SIM-Swap

Das wichtigste Zeichen ist unscheinbar: Dein Handy hat plötzlich kein Netz oder zeigt nur noch „Notrufe“, obwohl du an einem Ort mit gutem Empfang bist und andere Handys funktionieren.

Weitere Warnzeichen:

• Du bekommst eine SMS oder Mail vom Anbieter, dass eine neue SIM, eine eSIM oder eine Rufnummernmitnahme beantragt wurde.
• Du kommst nicht mehr in dein E-Mail-Postfach, obwohl du das Passwort nicht geändert hast.
• Du erhältst Mails über Passwort-Resets, neue Anmeldungen oder neue Auszahlungsadressen, die du nicht ausgelöst hast.
• Jemand ruft an und fragt nach einem Code, den du „gerade per SMS bekommen hast“. Das ist ein Täter, der deinen Code braucht, bevor die Übernahme fertig ist.

Schutz Schritt 1: SMS als zweiten Faktor abschaffen

Zwei-Faktor-Schutz heißt: Zum Passwort kommt ein zweiter Beweis, dass du es bist. Welcher zweite Faktor das ist, macht den ganzen Unterschied. SMS ist der schwächste, weil er an der Nummer hängt und nicht an einem Gerät, das du in der Hand hältst.

Eine Authenticator-App wie Google Authenticator, Microsoft Authenticator, Aegis oder 2FAS erzeugt alle 30 Sekunden einen neuen sechsstelligen Code. Das Geheimnis dafür liegt auf deinem Gerät, nicht bei deinem Mobilfunkanbieter. Ein SIM-Swap ändert daran nichts.

Ein Sicherheitsschlüssel ist ein kleiner USB- oder NFC-Stick, etwa ein YubiKey. Ein Passkey funktioniert nach demselben Standard (FIDO2), liegt aber auf deinem Handy oder Computer. Beide sind zusätzlich an die echte Website gebunden. Auf einer gefälschten Login-Seite funktionieren sie einfach nicht. Das ist der beste Schutz, den es heute für Konten gibt.

So gehst du vor:

1. Liste deine Konten auf. Zuerst E-Mail, dann Börsen, Bank, Passwortmanager, Apple- oder Google-Konto, Messenger.
2. Richte überall Authenticator-App oder Sicherheitsschlüssel ein. Bei wichtigen Konten am besten zwei Sicherheitsschlüssel, einer davon als Reserve an einem anderen Ort.
3. Entferne die Handynummer als Rücksetz-Weg. Viele Dienste lassen SMS als „Backup“ aktiv, auch wenn du die App einrichtest. Dann bleibt die Lücke offen. Lösche die Nummer dort, wo es geht.
4. Sichere die Wiederherstellungscodes. Fast jeder Dienst gibt dir bei der Einrichtung einige Einmal-Codes. Schreib sie auf Papier und leg sie zu deinen wichtigen Unterlagen.

Schutz Schritt 2: Die E-Mail ist dein Generalschlüssel

Fast jedes Konto lässt sich per E-Mail zurücksetzen. Wer dein Postfach hat, hat damit alle anderen Konten. Darum verdient es den stärksten Schutz:

• Ein langes, einmaliges Passwort aus einem Passwortmanager.
• Sicherheitsschlüssel oder Passkey als zweiter Faktor, sonst eine Authenticator-App.
• Keine Handynummer als Wiederherstellung. Prüfe in den Kontoeinstellungen, welche Telefonnummer und welche Ersatz-Adresse hinterlegt sind.
• Eine eigene Adresse für Geldkonten. Eine Mailadresse nur für Börse und Bank, die nirgends öffentlich steht, ist schwerer zu erraten und taucht seltener in Datenlecks auf.

Schutz Schritt 3: Den Mobilfunkanbieter absichern

Du kannst nicht kontrollieren, wie gut die Hotline deines Anbieters prüft. Du kannst es dem Angreifer aber schwerer machen.

• Kundenkennwort oder Service-PIN setzen. Viele Anbieter in Deutschland, Österreich und der Schweiz bieten ein Kennwort an, das bei Anrufen, im Shop oder für eine SIM-Änderung abgefragt wird. Wie es heißt und wo du es setzt, ist je nach Anbieter verschieden. Frag direkt nach, im Kundenportal oder an der Hotline, ob es eins gibt und ob es auch für den SIM-Tausch gilt.
• Kundenkonto online absichern. Das Kundenportal deines Anbieters braucht ein eigenes, starkes Passwort und, wenn möglich, eine Authenticator-App. Über dieses Portal lässt sich bei manchen Anbietern direkt eine eSIM bestellen.
• Nummer nicht verraten. Deine Hauptnummer steht wahrscheinlich längst in vielen Listen. Gib sie nicht zusätzlich in Bitcoin-Gruppen, Foren oder bei Gewinnspielen an.

Eine zweite, unbekannte Nummer für Geldkonten

Manche Dienste bestehen auf einer Handynummer. Dafür eignet sich eine zweite Nummer, etwa eine günstige Prepaid-Karte, die du nur für Börse und Bank nutzt. Niemand kennt sie, sie steht in keinem Profil und in keiner Signatur. Ein Angreifer kann eine Nummer nicht übernehmen, von der er nicht weiß, dass es sie gibt.

Beachte: Prepaid-Karten musst du in Deutschland, Österreich und der Schweiz mit Ausweis registrieren, und sie können verfallen, wenn du sie lange nicht nutzt oder auflädst. Halte sie aktiv. Die zweite Nummer ersetzt keine Authenticator-App, sie ist eine zusätzliche Hürde.

Schutz Schritt 4: Bitcoin dorthin, wo kein SIM-Swap hinkommt

Alle bisherigen Schritte schützen Konten. Der stärkste Schutz ist, dass auf diesen Konten gar nichts Wertvolles liegt.

Bitcoin auf einer Börse gehören rechtlich und technisch erst einmal der Börse. Du hast nur einen Anspruch, und den kann jeder geltend machen, der sich in dein Konto einloggt. Bitcoin in deiner eigenen Wallet dagegen bewegt nur, wer deinen privaten Schlüssel hat. Der liegt auf deiner Hardware-Wallet und auf deinem Seed-Backup, nicht an deiner Handynummer.

In der Praxis heißt das:

• Regelmäßig abziehen. Kaufst du per Sparplan, schick die Bitcoin in festen Abständen auf deine eigene Wallet. Auf der Börse liegt nur, was du gerade gekauft hast.
• Auszahlungsadresse festlegen. Viele Börsen erlauben eine Liste erlaubter Auszahlungsadressen. Neue Adressen werden erst nach einer Wartezeit aktiv. Trägst du dort nur deine eigene Wallet ein, gewinnt ein Angreifer Zeit, die du für die Sperre nutzen kannst.
• Automatische Auszahlung nutzen. Manche Sparplan-Anbieter schicken jeden Kauf direkt auf deine eigene Adresse. Dann liegt das Geld gar nicht erst auf der Börse.

Wie du deine erste eigene Wallet einrichtest, zeigt der Artikel Bitcoin-Wallet einrichten. Dass eine Börse nicht nur durch Hacker, sondern auch durch eine Pleite zum Risiko wird, erklärt Krypto-Börse pleite: Was du aus Mt. Gox bis FTX lernst.

Was du tust, wenn es passiert

Bei einem SIM-Swap zählt jede Minute. Arbeite diese Liste der Reihe nach ab:

1. Anbieter anrufen. Von einem anderen Telefon oder über WLAN. Sag klar: „Meine Nummer wurde ohne meine Zustimmung auf eine andere SIM übertragen. Bitte sofort sperren und auf mich zurückführen.“ Frag nach einem Kundenkennwort für die Zukunft.
2. E-Mail zurückholen. Von einem sauberen Gerät: Passwort ändern, unbekannte Geräte abmelden, Telefonnummer und Ersatz-Adresse prüfen, Weiterleitungsregeln kontrollieren. Täter richten gern eine Weiterleitung ein, damit sie weiter mitlesen.
3. Börsen sperren lassen. Kontaktiere den Support jeder Börse, auf der du ein Konto hast, über die offizielle Website. Bitte darum, Auszahlungen einzufrieren. Viele Börsen haben eine Notfall-Sperre, die du selbst auslösen kannst.
4. Passwörter und zweite Faktoren erneuern. Bei allen Konten, die an der Nummer oder der Mail hingen. SMS durch App oder Sicherheitsschlüssel ersetzen.
5. Bitcoin in Sicherheit bringen. Liegt noch etwas auf einer Börse, zieh es auf deine eigene Wallet ab, sobald du wieder Zugriff hast.
6. Anzeige erstatten. Bei der Polizei, in Deutschland auch über die Online-Wache deines Bundeslandes. Notiere Uhrzeiten, Transaktions-IDs und Zieladressen. Die Anzeige brauchst du auch gegenüber Anbieter und Börse.

Sei misstrauisch gegenüber jedem, der dir danach anbietet, deine Bitcoin gegen Gebühr zurückzuholen. Das ist fast immer die nächste Masche. Mehr dazu im Artikel Bitcoin-Betrug erkennen.