Es ist 14:12 Uhr, Sie sitzen in der U-Bahn. Auf Ihrem Handy steht „Kein Netz". Das ist nicht das erste Mal, der Empfang ist hier unten oft launisch. Sie kommen wieder ans Tageslicht: immer noch nichts. Sie starten das Gerät neu, nehmen die SIM-Karte heraus, pusten darauf wie früher auf ein Spielemodul. Nichts.
Währenddessen empfängt dreißig Kilometer entfernt jemand Ihre SMS. Darunter auch die Ihrer Bank mit dem Bestätigungscode für eine Überweisung über 4.800 Euro.
SIM-Swapping – wörtlich „SIM-Karten-Tausch" – ist einer der wenigen Angriffe auf Mobilgeräte, bei dem der Täter Ihr Telefon nie in die Hand nimmt. Er installiert keine Spionagesoftware, schickt Ihnen im Moment des Angriffs keinen präparierten Link, errät Ihren Entsperrcode nicht. Er macht es sich viel einfacher: Er bittet Ihren Mobilfunkanbieter höflich darum, Ihre Rufnummer auf eine Karte umzuziehen, die er selbst besitzt. Und er bekommt sie.
Ihre Nummer ist zum Schlüssel geworden, nicht mehr nur zur Adresse
Zwanzig Jahre lang diente eine Telefonnummer nur einem einzigen Zweck: erreichbar zu sein. Heute ist sie der Generalschlüssel Ihres digitalen Lebens.
Überlegen Sie einmal, was alles per SMS oder Anruf über Ihre Leitung läuft:
- die Bestätigungscodes für Überweisungen Ihrer Bank;
- die Wiederherstellungscodes für Ihre Konten bei Google, Apple, Microsoft, Facebook, Instagram;
- die Anmeldebestätigungen für Ihr Steuerportal, Ihre Versicherung, Ihre Krankenkasse;
- die Links zum Zurücksetzen des Passworts bei der Hälfte aller Dienste, die Sie nutzen.
Ein Angreifer, der Ihre Nummer kontrolliert, stiehlt keinen Kontakt: Er stiehlt das Notfallverfahren sämtlicher Ihrer Konten. Genau deshalb bleibt SIM-Swapping trotz seines Alters einer der lukrativsten Angriffe in der gesamten Landschaft des Mobilfunkbetrugs. Cybermalveillance.gouv.fr und die ANSSI zählen die Übernahme von Mobilfunkanschlüssen zu den zerstörerischsten Vektoren für Identitätsdiebstahl bei Privatpersonen – eben weil sie mit einer einzigen Operation Zugriff auf alles andere verschafft.
Wie ein Betrüger Ihre Leitung in drei Schritten übernimmt
Schritt 1: die vorbereitende Datensammlung
SIM-Swapping beginnt nie beim Mobilfunkanbieter. Es beginnt bei Ihnen, genauer gesagt bei Ihren öffentlichen und geleakten Daten. Der Angreifer stellt eine Akte zusammen: Name, Vorname, Geburtsdatum, Postanschrift, Telefonnummer, manchmal die letzten vier Ziffern einer Bankkarte oder eine Kundennummer.
Diese Informationen stammen aus drei Hauptquellen:
- massiven Datenlecks bei Mobilfunkanbietern, Logistikunternehmen oder Onlineshops – Frankreich hat seit 2024 mehrere spektakuläre Wellen erlebt;
- den sozialen Netzwerken, wo man völlig gedankenlos ein Geburtsdatum, eine Stadt, den Mädchennamen der Mutter oder den Namen eines Haustiers veröffentlicht;
- vorbereitendem Smishing, also einer gefälschten SMS eines Mobilfunkanbieters oder Paketdienstes, die einzig dazu dient, die noch fehlenden Felder der Akte zu füllen.
Diese Vorarbeit bleibt unsichtbar. Genau das macht SIM-Swapping so verstörend: Das Opfer erinnert sich an keinen unglücklichen Klick, weil es im entscheidenden Moment schlicht keinen gab.
Schritt 2: der Antrag auf eine Ersatzkarte
Mit dieser Akte ausgestattet, wendet sich der Angreifer an den Mobilfunkanbieter – im Shop, telefonisch oder über das Kundenkonto, falls auch das Passwort geleakt wurde. Der Vorwand ist banal, universell und niemals verdächtig:
„Guten Tag, mir wurde gestern Abend im Zug mein Handy gestohlen. Ich habe mir schon ein neues Gerät gekauft, ich bräuchte jetzt eine neue SIM-Karte mit meiner Nummer."
An dieser Bitte ist nichts Ungewöhnliches. Tausende ehrlicher Kunden formulieren sie jeden Tag. Der Mitarbeiter stellt Sicherheitsfragen – auf die der Angreifer vorbereitet ist. Die Ersatzkarte wird ausgestellt, oder die eSIM wird per E-Mail als QR-Code zum Scannen verschickt.
Schritt 3: die Umschaltung
In der Sekunde, in der die neue Karte aktiviert wird, wird Ihre deaktiviert. Das ist eine unumgängliche technische Regel: Eine Rufnummer kann immer nur einer einzigen aktiven SIM zugeordnet sein. Ihr Handy verliert das Netz. Anrufe und SMS an Ihre Nummer landen ab sofort beim Angreifer.
Das Zeitfenster für die Ausnutzung ist kurz – oft weniger als eine Stunde – aber es reicht völlig aus. Zurücksetzen des E-Mail-Passworts, dann des Bankzugangs, dann Freigabe der Überweisungen mit den Codes, die jetzt auf seinem Bildschirm eintreffen.
Die eSIM hat die Geografie des Angriffs verändert
Bis vor Kurzem hatte SIM-Swapping eine physische Hürde: Man musste eine Plastikkarte in die Hände bekommen, also in einen Shop gehen oder auf einen Brief warten. Diese Reibung bot einen gewissen Schutz.
Die eSIM hat diese Reibung beseitigt. Eine digitale SIM-Karte lässt sich aus der Ferne innerhalb weniger Minuten aktivieren, mit einem simplen QR-Code, der per E-Mail ankommt. Für rechtmäßige Nutzer ist das ein echter Fortschritt: keine Wartezeit mehr, kein Zurechtschneiden von Karten, sofortiger Gerätewechsel. Für den Angreifer ist es eine Abkürzung.
Die französischen Mobilfunkanbieter haben mit strengeren Verfahren reagiert: Versand eines Bestätigungscodes an die bestehende Leitung, Karenzzeit von 24 bis 72 Stunden vor der Aktivierung, automatische Benachrichtigung per E-Mail. Diese Schutzmechanismen funktionieren – vorausgesetzt, Sie lesen die Benachrichtigungen. Eine E-Mail mit dem Betreff „Ihre eSIM-Anfrage ist bei uns eingegangen", die Sie nie gestellt haben, ist das wichtigste Alarmsignal dieses gesamten Artikels.
Wenn Sie eine SMS oder E-Mail erhalten, die eine SIM-Ersatzkarte bestätigt, die Sie nicht beantragt haben: Rufen Sie sofort von einem anderen Telefon aus Ihren Mobilfunkanbieter an. Vielleicht haben Sie dem Angreifer noch ein paar Stunden voraus.
Die Warnsignale, die Sie alarmieren sollten
Anders als Spionagesoftware ist SIM-Swapping laut. Es erzeugt sehr klar erkennbare Symptome – sofern man sie nicht einfach einem Softwarefehler zuschreibt.
| Beobachtetes Signal | Naive Deutung | Richtige Deutung |
|---|---|---|
| Vollständiger Netzverlust ohne Grund | „Störung beim Anbieter" | Leitung möglicherweise deaktiviert |
| SMS eines Dienstes, den Sie nicht kontaktiert haben | „Spam" | Laufender Zurücksetzungsversuch |
| E-Mail „Ihre eSIM ist bereit" | „Fehler des Anbieters" | Laufender betrügerischer Antrag |
| Angehörige sagen, sie erreichen Sie nicht mehr | „Netzproblem" | Ihre Anrufe werden umgeleitet |
| Plötzliche Abmeldung aus Ihren Konten | „Fehler in der App" | Laufende Kontoübernahme |
Der rettende Reflex lässt sich in einem Satz zusammenfassen: Ein isolierter Netzverlust, während die Menschen um Sie herum normalen Empfang haben, ist niemals banal. Fragen Sie einen Sitznachbarn im Zug, schauen Sie auf das Handy einer Kollegin. Wenn alle Empfang haben außer Ihnen, liegt es nicht am Netz, sondern an Ihrer Leitung.
Die Leitung vor dem Angriff absichern: die sechs wirksamen Maßnahmen
1. Aktivieren Sie den PIN-Code der SIM-Karte
Das ist die elementarste und zugleich am meisten vernachlässigte Maßnahme. Viele Nutzer deaktivieren den PIN-Code, um beim Start drei Sekunden zu sparen. Dieser Code schützt zwar nicht vor dem SIM-Swapping selbst, aber er verhindert die sofortige Ausnutzung einer physischen SIM-Karte, die zusammen mit dem Handy gestohlen wurde – ein häufiges Szenario. Ändern Sie vor allem den vom Anbieter voreingestellten Standardcode (0000, 1234).
2. Nehmen Sie die SMS aus der Authentifizierung bei Bank und kritischen Konten heraus
Das ist die strukturelle Gegenmaßnahme. Solange die SMS Ihr zweiter Faktor bleibt, hängt Ihre Sicherheit an einem Callcenter-Mitarbeiter, den Sie nicht kennen. Bevorzugen Sie:
- die App Ihrer Bank mit Freigabe per Fingerabdruck oder Gesichtserkennung (das Verfahren „Sécur'Pass" oder ein vergleichbares, je nach Institut);
- eine Authentifizierungs-App, die offline Codes für Ihre Konten bei Google, Microsoft oder Ihren sozialen Netzwerken erzeugt;
- einen physischen Sicherheitsschlüssel mit USB-C oder NFC für wirklich sensible Konten: Er ist der einzige Faktor, den ein Angreifer aus der Ferne nicht abfangen kann, ganz gleich wie viel Kontrolle er über Ihre Nummer hat.
3. Beantragen Sie eine Sperre Ihrer Leitung beim Anbieter
Orange, SFR, Bouygues Telecom und Free bieten alle – unter unterschiedlichen Bezeichnungen – Schutzmechanismen an: ein zusätzliches Passwort für das Konto, eine Sicherheitsfrage, das Blockieren von Ersatzkartenanträgen aus der Ferne, die Pflicht, mit einem Ausweis persönlich im Shop zu erscheinen. Diese Optionen sind so gut wie nie standardmäßig aktiv. Ein zehnminütiger Anruf beim Kundenservice genügt, um sie einzurichten – das ist die beste Rendite auf investierte Zeit in diesem ganzen Artikel.
4. Räumen Sie auf, was Ihre Nummer über Sie verrät
Jedes Treueformular, jedes Gewinnspiel, jede Newsletter-Anmeldung vergrößert die Angriffsfläche. Prüfen Sie regelmäßig über den Dienst Have I Been Pwned, ob Ihre Adresse und Ihre Nummer in bekannten Datenlecks auftauchen, und machen Sie Ihr Recht auf Löschung bei den betroffenen Websites geltend – die CNIL erläutert das Verfahren und die Rechtsmittel im Fall einer Ablehnung.
Nach demselben Prinzip: Reservieren Sie Ihre Hauptnummer für ernsthafte Zwecke. Für einen Onlineshop, den Sie ein einziges Mal besuchen, für eine Kleinanzeige oder eine einmalige Anmeldung verhindert eine Prepaid-SIM-Karte ohne Vertragsbindung, die Sie ausschließlich für Formulare nutzen, dass sich die mit Ihrer Bank verknüpfte Nummer überall verbreitet.
5. Sichern Sie das benachbarte Glied ab: Ihre E-Mail-Adresse
SIM-Swapping entfaltet seine volle Wirkung erst in Kombination mit dem Zugriff auf Ihr Postfach. Eine Adresse, die durch ein einzigartiges, langes und in einem Passwortmanager gespeichertes Passwort geschützt ist, schließt die Hälfte des Angriffsszenarios aus. Wenn Sie Papier bevorzugen: ein sicheres Passwortbuch, das bei Ihnen zu Hause verwahrt wird, bleibt unendlich viel sicherer als eine Datei „codes.txt" auf dem Desktop.
6. Legen Sie sich einen materiellen Plan B zurecht
Wenn Ihre Leitung ausfällt, müssen Sie Ihren Mobilfunkanbieter und Ihre Bank anrufen, ohne Ihre Nummer nutzen zu können. Viele Haushalte haben dafür überhaupt keine Alternative mehr. Ein einfaches Ersatzhandy, aufgeladen und mit einer Prepaid-SIM eines anderen Anbieters bestückt, verwandelt eine Paniksituation in einen bloßen Zwischenfall. Es ist auch das, was Ihnen erlaubt, den Notruf zu wählen, falls Ihr Hauptgerät ausfällt.
Was in der ersten Stunde zu tun ist
Wenn Sie einen verdächtigen Verlust der Leitung feststellen, zählt die Reihenfolge der Schritte mehr als die Geschwindigkeit.
- Rufen Sie Ihren Mobilfunkanbieter von einem anderen Telefon aus an. Melden Sie den Verdacht auf eine betrügerische Ersatzkarte und verlangen Sie die sofortige Sperrung der Leitung. Das ist die Maßnahme, die dem Angreifer den Zugang abschneidet.
- Rufen Sie Ihre Bank an – über die Sperrnummer auf der Rückseite Ihrer Karte, nicht über eine Nummer aus einer SMS. Lassen Sie Überweisungen sperren und melden Sie die Kompromittierung Ihres zweiten Faktors.
- Ändern Sie das Passwort Ihres Haupt-E-Mail-Kontos von einem Computer aus und überprüfen Sie die automatischen Weiterleitungsregeln: Angreifer legen häufig welche an, um Nachrichten auch danach weiter abzufangen.
- Beenden Sie alle aktiven Sitzungen in Ihren Konten bei Google, Apple, Microsoft und in den sozialen Netzwerken.
- Erstatten Sie Anzeige bei der Polizei oder Gendarmerie. Bei Bankbetrug ist die Anzeige Voraussetzung für die Anwendung von Artikel L133-18 des französischen Währungs- und Finanzgesetzbuchs, der die Erstattung nicht autorisierter Transaktionen vorsieht.
- Melden Sie die betrügerische SMS oder Nachricht an die 33700, falls es eine in der Kette gibt, und melden Sie den Vorfall auf Cybermalveillance.gouv.fr, um Unterstützung zu erhalten.
Die Erstattung erfolgt nicht automatisch – aber sie ist möglich
Das ist der Punkt, der die Opfer am meisten beunruhigt. Der Grundsatz ist kundenfreundlich: Eine nicht autorisierte Zahlung muss von der Bank erstattet werden, es sei denn, der Kontoinhaber hat grob fahrlässig gehandelt.
Alles hängt also am Begriff der „groben Fahrlässigkeit". Die Cour de cassation hat mehrere wichtige Entscheidungen getroffen, die daran erinnern, dass allein der Umstand, einen per SMS erhaltenen Code weitergegeben zu haben, für sich genommen keine grobe Fahrlässigkeit begründet, wenn das Opfer durch ein glaubwürdiges Vorgehen getäuscht wurde. Im Fall von SIM-Swapping ist das Argument noch stärker: Sie haben überhaupt nichts weitergegeben, der Angreifer hat die Codes direkt erhalten.
Bewahren Sie deshalb alles auf: Screenshots des Netzverlusts, E-Mails des Mobilfunkanbieters, Anrufverlauf mit dem Kundenservice, Anzeigenbestätigung. Wird die Erstattung verweigert, wenden Sie sich an den Bankenombudsmann und anschließend, falls nötig, an die Banque de France.
Was uns diese Betrugsmasche lehrt
SIM-Swapping sagt wenig über Ihre persönliche Vorsicht aus. Es sagt vor allem, dass wir eine Infrastruktur, die für Gespräche gebaut wurde – das Telefonnetz –, zum Fundament unserer Identität für das gesamte digitale Leben gemacht haben.
Solange dieses Fundament von einem Mitarbeiter am anderen Ende der Leitung verwaltet werden kann, auf Basis von Informationen, die längst in gestohlenen Datensätzen kursieren, bleibt es angreifbar. Die gute Nachricht: Die Gegenmaßnahme liegt vollständig in Ihrer Hand. Jedes Konto, das Sie von der SMS lösen, ist ein Konto, das SIM-Swapping nicht mehr erreichen kann.
Fangen Sie beim Wichtigsten an – Ihrem E-Mail-Konto und Ihrer Bank – und tun Sie es diese Woche, nicht „irgendwann". Es dauert zwanzig Minuten. Der Diebstahl dauert fünf.
