SIM-Swap-Angriff: Ablauf und Schutz für Ihre Krypto

Bei einem SIM-Swap-Angriff überredet ein Krimineller Ihren Mobilfunkanbieter, Ihre Telefonnummer auf eine SIM-Karte zu übertragen, die er kontrolliert. Ab diesem Moment gehen Ihre Anrufe und SMS, einschließlich Links zum Zurücksetzen von Passwörtern und SMS-Anmeldecodes, an den Angreifer, der damit in Ihre E-Mail-, Börsen- und Bankkonten eindringt.

Krypto-Besitzer sind ein beliebtes Ziel, weil gestohlene Coins sich schnell bewegen und schwer zurückzuholen sind. Dieser Leitfaden erklärt, wie SIM-Swaps funktionieren, wie häufig sie sind, zwei Gerichtsfälle, die das Muster zeigen, was die US-Telekommunikationsbehörde Federal Communications Commission (FCC) dagegen unternommen hat und welche Schritte Sie tatsächlich schützen.

Was ein SIM-Swap ist

Die FCC definiert SIM-Swapping so, dass ein Täter „den Mobilfunkanbieter eines Opfers dazu bringt, den Dienst des Opfers von dessen Mobiltelefon auf ein Mobiltelefon im Besitz des Täters zu übertragen“. Eng verwandt ist der Port-out-Betrug: Der Angreifer eröffnet im Namen des Opfers ein Konto bei einem anderen Anbieter und lässt die Nummer dorthin übertragen („portieren“) (FCC-Pressemitteilung, 15. November 2023).

In beiden Fällen muss der Angreifer Ihr Telefon nie berühren. Er braucht nur einen Anbieter, der ihn für Sie hält, oder einen Mitarbeiter des Anbieters, der ihm hilft.

Wie ein SIM-Swap-Angriff abläuft

Das FBI beschreibt drei Wege in den Mobilfunkanbieter (FBI IC3, Februar 2022):

• Social Engineering. Der Kriminelle gibt sich als das Opfer aus und überredet den Anbieter, die Nummer auf eine neue SIM umzustellen. Die FCC weist darauf hin, dass Betrüger die nötigen Angaben aus sozialen Medien zusammentragen oder von Hackern kaufen: Anschrift, Geburtsdatum, Konto-PINs oder Passwörter und die letzten vier Ziffern einer US-Sozialversicherungsnummer (Social Security Number).
• Hilfe von Insidern. Der Kriminelle bezahlt einen Mitarbeiter des Anbieters für die Umstellung.
• Phishing beim Personal des Anbieters. Mitarbeiter werden dazu verleitet, Schadsoftware zu installieren, mit der der Angreifer Umstellungen direkt vornehmen kann.

Sobald die Nummer übertragen ist, wird der Angriff zum Wettlauf. Der Kriminelle sendet „Passwort vergessen“-Anfragen an jedes Konto, das mit der Nummer verknüpft ist, erhält die Links zum Zurücksetzen und die Einmalcodes per SMS und sperrt den Inhaber aus. Die FCC beschreibt, wie der Angreifer versucht, „so viele Finanz- und Social-Media-Konten des Opfers wie möglich zurückzusetzen, bevor das Opfer bemerkt, dass es keinen Empfang mehr hat“.

Das FBI warnt außerdem vor zwei unauffälligeren Varianten: Anrufweiterleitung und paralleles Klingeln, bei denen der Kriminelle den Anbieter dazu bringt, Anrufe weiterzuleiten oder ein zweites Telefon klingeln zu lassen, was ebenfalls die telefonbasierte Verifizierung aushebeln kann (FBI IC3, April 2024).

Wie häufig SIM-Swap-Angriffe sind

Die detailliertesten öffentlichen Zahlen stammen aus den Beschwerdedaten des FBI. Von Januar 2018 bis Dezember 2020 gingen beim IC3 320 Beschwerden wegen SIM-Swaps mit bereinigten Verlusten von rund 12 Millionen $ ein. Allein 2021 waren es 1.611 Beschwerden mit bereinigten Verlusten von mehr als 68 Millionen $. Die damalige Warnung des FBI bezog sich ausdrücklich auf Kriminelle, die SIM-Swaps nutzen, um aus „Fiat- und virtuellen Währungskonten“ zu stehlen.

Beschwerdedaten erfassen nur, was Opfer melden; betrachten Sie die Zahlen daher als Untergrenze und nicht als vollständige Zählung.

Bekannte SIM-Swap-Fälle

Zwei aktuelle Strafverfahren in den USA zeigen, wie der Angriff in der Praxis eingesetzt wird:

• Das X-Konto der SEC (Januar 2024). Angreifer übernahmen das X-Konto der US-Börsenaufsicht Securities and Exchange Commission und verkündeten fälschlich, dass Bitcoin-ETFs (börsengehandelte Fonds) genehmigt worden seien. Laut US-Justizministerium führte Eric Council Jr. den SIM-Swap durch, indem er einen gefälschten Ausweis mit den persönlichen Daten des Opfers druckte und damit die Telefonnummer des Opfers übernahm. Bitcoin stieg nach dem falschen Post um mehr als 1.000 $ und fiel nach der Richtigstellung um mehr als 2.000 $. Council wurde am 16. Mai 2025 zu 14 Monaten Haft verurteilt (US Department of Justice).
• Krypto-Diebstähle mit Verbindung zu Scattered Spider. Noah Michael Urban aus Palm Coast, Florida, wurde am 21. August 2025 zu 10 Jahren Bundeshaft verurteilt. Laut Anklage stahl er von August 2022 bis März 2023 mithilfe von SIM-Swaps Kryptowährung von mindestens 59 Opfern, mit Gesamtverlusten von über 13 Millionen $. Er wurde zur Zahlung von 13 Millionen $ Schadensersatz verurteilt (US Attorney's Office, Middle District of Florida).

Der SEC-Fall erinnert daran, dass auch eine große Organisation mit vielen Ressourcen nicht geschützt ist, wenn eine Telefonnummer das schwache Glied ist.

Was die FCC-Regeln vorschreiben

Am 15. November 2023 verabschiedete die FCC Regeln gegen SIM-Swap- und Port-out-Betrug. Sie verpflichten Mobilfunkanbieter, Kunden mit sicheren Methoden zu authentifizieren, bevor eine Nummer auf ein neues Gerät oder zu einem anderen Anbieter übertragen wird, Kunden sofort zu benachrichtigen, wenn ein SIM-Wechsel oder eine Portierung beantragt wird, und weitere Maßnahmen gegen diesen Betrug zu ergreifen.

Die Rechtslage ist komplizierter, als viele Artikel nahelegen. Die Regeln wurden am 8. Dezember 2023 im Federal Register veröffentlicht, doch die Bestimmungen zur Informationserhebung, einschließlich der Pflicht zur Kundenbenachrichtigung, wurden zurückgestellt, bis die FCC ein Inkrafttreten bekannt gibt (Federal Register). Mit Stand 7. Oktober 2026 führt der Abschnitt zum SIM-Wechsel, 47 CFR 64.2010(h), die Benachrichtigungsabsätze weiterhin als „reserved“ und stellt fest, dass deren Einhaltung „erst verlangt wird, wenn dieser Absatz entfernt wird oder ein Umsetzungsdatum enthält“ (eCFR). Der Text verbietet Anbietern zudem, SIM-Wechsel anhand leicht verfügbarer biografischer oder Kontoinformationen zu authentifizieren.

In der Praxis bieten Anbieter bereits Konto-PINs und Sperren für SIM-Wechsel oder Portierungen an. Warten Sie nicht auf die Regulierung, um sie zu aktivieren.

So schützen Sie sich vor einem SIM-Swap

Sie können nicht verhindern, dass Kriminelle Sie ins Visier nehmen, aber Sie können eine gekaperte Telefonnummer für sie wertlos machen:

1. Sperren Sie Ihr Mobilfunkkonto. Legen Sie eine Konto-PIN oder ein Kennwort beim Anbieter fest und bitten Sie ihn, SIM-Wechsel und Rufnummernübertragungen zu blockieren, solange Sie die Sperre nicht selbst aufheben. Das FBI empfiehlt zudem, Anrufweiterleitung und paralleles Klingeln deaktivieren zu lassen.
2. Entfernen Sie SMS als Anmelde- oder Wiederherstellungsmethode bei Börsen, E-Mail und Passwortmanagern. Die Richtlinien des NIST, einer US-Regierungsbehörde, stufen SMS- und Sprachcodes als „eingeschränkten“ (restricted) Authentifikator ein (NIST SP 800-63B-4).
3. Nutzen Sie Passkeys oder einen Hardware-Sicherheitsschlüssel. Die CISA stellt fest, dass SIM-Swap-Angriffe bei FIDO/WebAuthn-Authentifizierung nicht greifen, die sie als Goldstandard bezeichnet (CISA). Eine Authenticator-App ist die nächstbeste Option.
4. Sichern Sie zuerst Ihre E-Mail. Über Ihr E-Mail-Konto lässt sich alles andere zurücksetzen, also geben Sie ihm den stärksten Schutz.
5. Halten Sie Ihre Bestände privat. Der erste Tipp des FBI lautet, Krypto-Besitz nicht in sozialen Medien oder Foren zur Schau zu stellen. Angreifer suchen sich Ziele aus, die den Aufwand wert erscheinen.
6. Legen Sie ein eigenes Passwort für Ihre Mailbox fest und beschränken Sie die persönlichen Angaben, die Sie öffentlich teilen.

Langfristige Krypto-Bestände in einem Non-Custodial Wallet zu halten, hilft ebenfalls, weil ein selbstverwahrtes Wallet über einen privaten Schlüssel und nicht über eine Telefonnummer gesteuert wird. Damit verlagert sich das Risiko auf den Schutz Ihrer Seed Phrase, die niemals in Notizen, Fotos oder dem Cloud-Backup Ihres Telefons gespeichert werden sollte.

Warnzeichen und was zu tun ist

Laut FCC ist das erste Anzeichen meist, dass Ihr Telefon keinen Empfang mehr hat oder nur noch Notrufe zulässt. Weitere Hinweise sind SMS zu einem SIM-Wechsel, den Sie nicht beantragt haben, oder Anmeldewarnungen, die eintreffen, während Ihr Telefon kein Netz hat.

Wenn Sie einen SIM-Swap vermuten, raten FBI und FCC:

1. Kontaktieren Sie sofort Ihren Anbieter von einem anderen Telefon aus, um die Kontrolle über die Nummer zurückzuerlangen.
2. Ändern Sie die Passwörter Ihrer E-Mail- und Finanzkonten, beginnend mit der E-Mail.
3. Kontaktieren Sie Ihre Börsen und Banken und bitten Sie sie, Auszahlungen einzufrieren und verdächtige Anmeldungen zu markieren.
4. Erstatten Sie Anzeige bei der örtlichen Polizei und in den USA beim FBI unter ic3.gov. Sie können auch eine Beschwerde bei der FCC einreichen, und die FCC empfiehlt, einen Betrugsvermerk (Fraud Alert) bei Ihren Kreditauskunfteien zu hinterlegen.

Ein SIM-Swap ist meist der erste Schritt einer umfassenderen Kontoübernahme; prüfen Sie daher jedes Konto, das Ihre Telefonnummer verwendet hat, nicht nur das, bei dem Sie das Problem bemerkt haben.

Häufig gestellte Fragen

Was ist ein SIM-Swap-Angriff?

Es ist ein Betrug, bei dem ein Krimineller Ihren Mobilfunkanbieter überredet, Ihre Telefonnummer auf eine SIM-Karte zu übertragen, die er kontrolliert. Er erhält dann Ihre Anrufe und SMS, einschließlich SMS-Anmeldecodes und Links zum Zurücksetzen von Passwörtern, und übernimmt damit Ihre Konten.

Woran erkenne ich, dass ich Opfer eines SIM-Swaps wurde?

Das häufigste Anzeichen ist, dass Ihr Telefon plötzlich keinen Empfang mehr hat oder nur noch Notrufe zulässt. Möglicherweise erhalten Sie auch eine Mitteilung über einen SIM-Wechsel, den Sie nicht beantragt haben, oder Anmelde- und Passwort-Reset-Warnungen, die Sie nicht ausgelöst haben.

Kann ein SIM-Swap Krypto aus einem Hardware Wallet stehlen?

Nicht direkt. Ein Hardware Wallet oder ein anderes selbstverwahrtes Wallet wird über einen privaten Schlüssel gesteuert, nicht über eine Telefonnummer. Gefährdet sind Börsenkonten und E-Mail-Konten mit SMS-Codes sowie jede Seed Phrase, die Sie auf Ihrem Telefon oder in Cloud-Backups gespeichert haben.

Schützt eine Authenticator-App vor SIM-Swaps?

Ja, vor dem SIM-Swap selbst, weil App-Codes nicht über das Telefonnetz gesendet werden. Passkeys und Hardware-Sicherheitsschlüssel gehen noch weiter, weil sie zusätzlich gegen Phishing resistent sind.

Sind Anbieter gesetzlich verpflichtet, SIM-Swaps zu verhindern?

Die FCC verabschiedete im November 2023 Regeln, die eine sichere Authentifizierung vor SIM-Wechseln und sofortige Kundenbenachrichtigungen verlangen. Mit Stand 7. Oktober 2026 besagt der Text der Bundesverordnung, dass die Einhaltung des Abschnitts zum SIM-Wechsel erst verlangt wird, wenn ein Umsetzungsdatum festgelegt ist; prüfen Sie daher, welche Schutzfunktionen Ihr Anbieter bietet.

Weiterlesen

• Kontoübernahme-Betrug bei Krypto
• Leitfaden zur Selbstverwahrung von Krypto
• Was ist eine Seed Phrase?
• Krypto-Betrug 2026
• Hot Wallet vs. Cold Wallet

Dieser Artikel dient der Information und ist keine Rechts-, Sicherheits- oder Finanzberatung. Die Beschwerdezahlen stammen aus der FBI-IC3-Mitteilung I-020822-PSA (Februar 2022); die Falldetails stammen aus Mitteilungen des US-Justizministeriums vom 16. Mai 2025 und 21. August 2025; der Status von 47 CFR 64.2010(h) wurde anhand des am 7. Oktober 2026 gültigen eCFR-Texts geprüft. Quellen geprüft am 9. Oktober 2026.