Ein SIM-Swap oder Port-out-Betrug überträgt deine Telefonnummer auf eine SIM oder ein Konto unter Kontrolle des Angreifers, und mit ihr jeden SMS-Code, den deine Konten schicken. Schütze dich in zwei Richtungen: Erschwere die Übernahme deines Anbieterkontos mit einer PIN und verlege deine wichtigen Anmeldungen von SMS auf eine Authenticator-App, einen Sicherheitsschlüssel oder einen Passkey.
Wie SMS-Codes ein Konto schützen und wo sie versagen
Die Zwei-Faktor-Authentifizierung verlangt zusätzlich zum Passwort etwas, das du besitzt. Ein Code per SMS beweist, dass du die Telefonnummer in diesem Moment hast. Das stoppt jeden, der nur dein Passwort gestohlen hat.
| Schützt vor | Schwachstelle | |
|---|---|---|
| Code per SMS oder Anruf | Gestohlenen Passwörtern | Wer die Nummer übernimmt, bekommt den Code |
| Authenticator-App | Gestohlenen Passwörtern, Nummernübernahme | Lässt sich trotzdem auf einer gefälschten Seite eintippen |
| Sicherheitsschlüssel oder Passkey | Gestohlenen Passwörtern, Übernahme, gefälschten Seiten | Du musst das Gerät dabeihaben |
Die CISA nennt FIDO/WebAuthn die einzige weit verfügbare Phishing-resistente Methode und sagt auch, jede Mehrfaktor-Authentifizierung sei besser als keine.
Was SIM-Swapping ist
- Angaben sammeln Der Angreifer sammelt, was dein Anbieter abfragt: Adresse, Geburtsdatum, Teile von Ausweisnummern, aus sozialen Medien oder geleakten Daten.
- Den Anbieter anrufen Als du ausgegeben, bittet er, die Nummer auf eine neue SIM zu übertragen oder zu einem anderen Anbieter mitzunehmen.
- Dein Handy wird dunkel Die FCC nennt es als erstes Anzeichen: kein Dienst oder nur Notrufe.
- Die Codes gehen an ihn Jetzt erreichen Passwort-Rücksetzungen und Anmeldecodes per SMS den Angreifer, der darum rennt, deine Passwörter zu ändern.
Fünf Schritte, die einen Swap erschweren
- Füge deinem Mobilfunkkonto eine PIN oder ein Passwort hinzu, falls du keins hast. Frage deinen Anbieter, welche Schutzmaßnahmen er bietet.
- Verlege wichtige Konten weg von SMS: E-Mail, Cloud-Speicher und Social-Konten auf eine Authenticator-App, einen Passkey oder einen Sicherheitsschlüssel.
- Speichere Backup-Codes dort, wo du ohne dein Handy herankommst. Google gibt dir zum Beispiel zehn, jeder einmal nutzbar.
- Aktiviere Benachrichtigungen per E-Mail und SMS für wichtige Konten, damit eine Änderung, die du nicht gemacht hast, sofort auffällt.
- Gib deine Hauptnummer seltener weiter. Die FCC zählt deine Telefonnummer zu den Angaben, die aus sozialen Medien herausgehalten werden sollten.
Nutze nie eine temporäre Nummer für Zwei-Faktor-Codes
Eine Zwei-Faktor-Nummer muss dich erreichen, solange das Konto existiert. Eine temporäre Nummer schließt nach einem Code und kann später jemand anderem gehören, der nächste Anmeldecode ginge also an einen Fremden oder ins Leere.
| Deine eigene Nummer | Eine Einmal-Nummer | |
|---|---|---|
| Zwei-Faktor-Anmeldung | Ja, idealerweise durch eine App oder einen Schlüssel ersetzt | Nie |
| Passwort zurücksetzen per SMS | Ja | Nie |
| Eine Anmeldung, die du einmal brauchst | Möglich, aber deine Nummer verbreitet sich | Ja: hält deine Hauptnummer aus einer weiteren Datenbank heraus |
Das ist die Privatsphäre-Seite desselben Gedankens: Je weniger Stellen deine Hauptnummer haben, desto weniger gibt es für einen Swap einzusammeln. Wo Einmal-Nummern passen und wo nicht: temporäre Telefonnummern.
Häufige Fragen
Was ist SIM-Swap-Schutz?
Maßnahmen, die es erschweren, deine Nummer ohne dich zu übertragen: eine PIN oder ein Passwort bei deinem Anbieterkonto und Anmeldungen, die nicht von SMS abhängen.
Ist die SMS-Zwei-Faktor-Authentifizierung sicher?
Sicherer als ein Passwort allein, schwächer als eine Authenticator-App oder ein Sicherheitsschlüssel, weil eine übernommene Nummer die Codes empfängt.
Woran merke ich, dass ich ein Opfer eines SIM-Swaps bin?
Dein Handy hat plötzlich keinen Dienst oder erlaubt nur Notrufe, oft gefolgt von Nachrichten zum Zurücksetzen von Passwörtern, die du nicht angefordert hast.
Kann ich eine virtuelle Nummer für 2FA nutzen?
Keine temporäre. Zwei-Faktor-Codes müssen dich jahrelang erreichen, und eine Nummer für einen Code ist danach weg.