Wenn plötzlich der Empfang weg ist – und das erst der Anfang war

SIM-Swapping – was auf dem Papier unscheinbar klingt, ist in der Praxis der Super-GAU

Der Ablauf ist schnell erklärt – aber eben auch schnell durchgezogen. Angreifer besorgen sich personenbezogene Daten: Name, Adresse, Geburtsdatum. Teils aus Datenlecks, teils über klassische Phishing-Aktionen. Mit diesen Informationen kontaktieren sie den Mobilfunkanbieter und geben sich als Euch aus. Das Ziel: Eine Ersatz-SIM.

Wenn der Antrag durchgeht – und das tut er leider häufiger als man denkt – wird die neue SIM aktiviert. Und die alte? Deaktiviert. Damit geht die Telefonnummer an den Angreifer über. SMS-Verifizierung? Tan-Codes? Passwort-Resets per SMS? Alles landet jetzt bei ihnen. Und Ihr bekommt davon erstmal – nichts mit.

Warum das für viele brandgefährlich ist

Wer in der Praxis noch stark auf SMS als zweiten Faktor setzt, sitzt bei so einem Angriff auf einem Pulverfass. Banking, Authentifizierung bei E-Mail-Accounts, Zugang zu Passwort-Resets: Der SIM-Zugriff ist ein Generalschlüssel, mit dem sich zentrale digitale Identitäten übernehmen lassen.

Gerade jüngere Menschen, die ihre digitale Identität fast vollständig auf dem Smartphone abbilden, geraten dabei besonders schnell in die Zielgruppe. Nicht, weil sie naiv wären. Sondern weil bei ihnen alles – von Finanzen bis Kommunikation – über ein einziges Gerät läuft. Und das ist angreifbar.

SIM-Swapping ist längst nicht mehr nur ein Experiment für Scriptkiddies. Die Täter arbeiten mit System. Datensätze werden eingekauft, kombiniert, verifiziert. Der Kontakt mit dem Mobilfunkanbieter erfolgt professionell. In vielen Fällen sind es Callcenter-ähnliche Strukturen, in denen Social Engineering perfektioniert wurde. Die Hürde ist nicht technisch – sie ist psychologisch. Und sie wird oft genug überwunden.

Woran man erkennt, dass es ernst wird

Einmal kein Netz zu haben, ist noch kein Grund zur Panik. Funklöcher, Wartungen, Roaming-Probleme – alles bekannt. Aber wenn plötzlich mehrere Dienste seltsam reagieren, Apps sich abmelden, SMS-Codes nicht mehr ankommen oder E-Mails zu Passwort-Änderungen auftauchen, obwohl Ihr nichts angefordert habt – dann sollte es klingeln.

In dem Fall gilt: Sofort beim Mobilfunkanbieter melden. SIM sperren lassen. Zugänge überprüfen, vor allem E-Mail und Bank. Passwörter ändern, Zwei-Faktor-Verfahren anpassen. Vor allem: Nicht weiter auf SMS setzen. Authenticator-Apps oder physische Sicherheitstoken sind hier deutlich robuster.

Und was bedeutet das jetzt für Euch?

Kurz gesagt: Wer seine digitale Identität auf dem Smartphone konsolidiert, muss den Zugang zur SIM-Karte absichern – so gut es eben geht. Das heißt nicht, paranoid zu werden. Aber es heißt, sich bewusst zu machen, dass Angreifer heute nicht mehr über Malware oder Brute-Force kommen müssen. Ein überzeugender Anruf beim Support reicht oft schon aus.

SIM-Swapping ist kein hypothetisches Risiko. Es ist real, und es ist unterschätzt. Nicht, weil es besonders neu wäre. Sondern weil es in der Lage ist, die Brücke zwischen digitaler und realer Identität vollständig zu kappen – in wenigen Minuten. Wer das weiß, kann reagieren, bevor es ernst wird.