20. Juli 2026SicherheitLesezeit 6 Min

SIM-Swapping: wie Angreifer über deine Handynummer Konten übernehmen

Wer deine Handynummer übernimmt, bekommt die SMS-Codes für deine wichtigsten Konten. Wie SIM-Swapping abläuft, woran du es merkst und was dagegen hilft.

Stell dir vor, dein Handy zeigt mitten am Tag „kein Netz". Kein Anruf geht mehr raus, keine SMS kommt an. Das kann eine simple Störung sein. Es kann aber auch bedeuten, dass gerade jemand anderes deine Handynummer benutzt und die SMS-Codes empfängt, mit denen sich dein E-Mail-Postfach und dein Online-Banking zurücksetzen lassen. Diese Masche heißt SIM-Swapping, und sie funktioniert, ohne dass dein Handy je gehackt wurde.

Was bei einem SIM-Swap passiert

Deine Rufnummer klebt nicht fest an deiner SIM-Karte. Dein Mobilfunkanbieter kann sie jederzeit auf eine neue Karte oder eine eSIM übertragen, zum Beispiel wenn du dein Handy verloren hast. Genau diesen ganz normalen Service missbrauchen Angreifer. Das FBI beschreibt drei Wege: Die Täter geben sich beim Anbieter als du aus und lassen die Nummer auf ihre SIM-Karte umziehen. Sie bezahlen Mitarbeiter des Anbieters für den Wechsel. Oder sie schleusen per Phishing Schadsoftware in die Systeme des Anbieters ein.

Ein vierter Weg kommt heute oft ganz ohne Anruf aus: Die Angreifer phishen deine Zugangsdaten für das Kundenportal deines Mobilfunkanbieters und bestellen dort selbst eine neue SIM oder eSIM. So beschreibt es die Schweizer Cybersicherheitsbehörde NCSC an einem realen Fall. Ab diesem Moment landen alle Anrufe und SMS bei den Tätern, dein Gerät bleibt stumm.

Warum eine Handynummer so wertvoll ist

Der eigentliche Schaden entsteht nicht beim Mobilfunkanbieter, sondern überall dort, wo deine Nummer als Sicherheitsanker dient. Viele Dienste schicken Codes zum Zurücksetzen des Passworts per SMS, und Banken nutzen SMS-TAN-Verfahren. Der Bundesdatenschutzbeauftragte, die Datenschutzaufsicht über die Telekommunikationsanbieter, hält SIM-Swapping deshalb für besonders gefährlich, wenn die Mobilfunknummer über solche Verfahren als Zugangsfaktor für Online-Dienste dient. Das NCSC formuliert es nüchtern: Ab der Übernahme haben die Angreifer Zugriff auf alle Konten, die an dieser Nummer hängen.

Wie groß das Geschäft ist, zeigen Zahlen des FBI. Von Januar 2018 bis Dezember 2020 gingen dort 320 Beschwerden zu SIM-Swapping ein, mit Schäden von rund 12 Millionen US-Dollar. Allein im Jahr 2021 waren es dann 1.611 Beschwerden mit mehr als 68 Millionen US-Dollar Schaden. Und das sind nur die Fälle, die dem FBI gemeldet wurden.

Dass die Hürden lange erstaunlich niedrig waren, zeigte 2020 eine Studie der Princeton University: Die Forscher testeten die Sicherheitsabfragen von fünf US-Prepaid-Anbietern, und bei allen fünf ließen sich diese Abfragen leicht aushebeln. Von über 140 untersuchten Websites mit telefonbasierter Anmeldung ließen sich 17 allein per SIM-Swap übernehmen. Die Studie floss später in strengere Vorgaben der US-Regulierungsbehörde FCC ein.

Und Deutschland? Die großen deutschen Netzbetreiber erklärten Anfang 2022 gegenüber heise, ihnen lägen kaum noch oder seit Jahren keine SIM-Swapping-Fälle vor, weil die Sicherheitsverfahren verschärft wurden, und auch das Bundeskriminalamt sah damals keine größere Relevanz, auch weil Banken von SMS-TAN auf App-Verfahren umgestiegen sind. Das ist eine gute Nachricht, aber kein Freifahrtschein: Die Portal-Variante über gephishte Zugangsdaten hängt nicht an der Hotline deines Anbieters, sondern an dir.

Woran du einen Angriff erkennst

• Dein Handy verliert das Netz an einem Ort, an dem du sonst Empfang hast, und ein Neustart ändert nichts.
• Du kannst keine SMS mehr senden oder empfangen, Anrufe und mobile Daten funktionieren nicht mehr.
• Du wirst plötzlich aus deinem E-Mail-Postfach oder anderen Konten ausgesperrt.
• Dein Anbieter informiert dich über einen SIM-Wechsel oder eine eSIM-Bestellung, die du nie beauftragt hast.

In diesem Fall zählt Geschwindigkeit, aber bleib ruhig: Ruf deinen Mobilfunkanbieter von einem anderen Gerät aus an und lass die neue SIM sperren. Ändere danach die Passwörter deiner wichtigsten Konten, allen voran E-Mail, und prüfe deine Kontobewegungen. Wenn dir etwas auffällt, sprich sofort deine Bank an.

So schützt du dich

• Sichere dein Mobilfunkkonto zusätzlich ab. Der Bankenverband empfiehlt, beim Mobilfunkanbieter eine PIN oder eine Sicherheitsfrage zu hinterlegen. So reicht es nicht, dass jemand nur deine persönlichen Daten kennt.
• Ersetze SMS-Codes, wo es geht. Das FBI empfiehlt starke Verfahren wie Authenticator-Apps, Hardware-Sicherheitsschlüssel oder Biometrie. Jedes Konto, das seine Codes nicht mehr per SMS bekommt, ist für SIM-Swapper wertlos.
• Aktiviere Benachrichtigungen für SIM-Wechsel, wenn dein Anbieter das anbietet. So erfährst du vom Angriff, bevor die Täter fertig sind.
• Zeig nicht her, was du besitzt. Das FBI rät ausdrücklich davon ab, Krypto-Besitz oder andere Vermögenswerte in sozialen Medien zu präsentieren. Wer als lohnendes Ziel auffällt, wird eher angegriffen.
• Misstraue Nachrichten im Namen deines Mobilfunkanbieters. Die Portal-Variante des Angriffs beginnt fast immer mit einer Phishing-Nachricht.

Was das mit PriChat zu tun hat

Ehrlicherweise: Ein SIM-Swap zielt meist auf dein Bankkonto, dein E-Mail-Postfach oder deine Krypto-Wallet, nicht auf deinen Messenger. Aber viele Messenger hängen an der Telefonnummer, und damit hängt dein Konto dort auch an den Prozessen deines Mobilfunkanbieters.

Bei PriChat existiert diese Angriffsfläche nicht, weil es die Nummer schlicht nicht gibt. Du registrierst dich mit Benutzername und Passwort, und wir verschicken grundsätzlich keine Codes per SMS. Wer deine Handynummer kapert, hat auf dein PriChat-Konto keinerlei Hebel. Genauso ehrlich: Gegen ein gephishtes Passwort hilft das nicht. Dafür gibt es bei uns optional die Zwei-Faktor-Anmeldung per Authenticator-App und Passkeys. Ein SIM-Swap allein öffnet bei uns aber keine einzige Tür.

← Zurück zum Ratgeber