Stell dir vor, dein Handy verliert plötzlich den Empfang. Keine Anrufe kommen mehr an, SMS bleiben aus, mobiles Internet ist tot – obwohl du mitten in der Stadt stehst. Wenig später flattern E-Mails über Passwortänderungen bei deinen Konten ein, die du nie veranlasst hast. Was nach einem Technikdefekt aussieht, ist in Wahrheit einer der gefährlichsten Betrugstricks überhaupt: SIM-Swapping. Dabei übernehmen Kriminelle deine Handynummer – und damit oft den Schlüssel zu deinem digitalen Leben.
Die Masche ist kein Nischenphänomen mehr: Das BSI und der Bundesdatenschutzbeauftragte haben wiederholt davor gewarnt, und die Fallzahlen steigen international rasant. Dieser Ratgeber erklärt, wie SIM-Swapping funktioniert, woran du einen Angriff früh erkennst, was du in den ersten Minuten tun musst – und wie du dich dauerhaft schützt.
Was ist SIM-Swapping?
Beim SIM-Swapping geben sich Betrüger bei deinem Mobilfunkanbieter als du aus. Ihr Ziel: Deine Handynummer auf eine neue SIM-Karte oder eSIM übertragen zu lassen, die sie selbst kontrollieren. Gelingt ihnen das, gehen Anrufe und SMS nicht mehr bei dir ein, sondern bei den Angreifern.
Das ist deshalb so gefährlich, weil deine Handynummer für viele Dienste weit mehr ist als eine Kontaktmöglichkeit: Sie dient als Sicherheitsanker. Du bekommst Einmalcodes per SMS, bestätigst damit Anmeldungen oder setzt Passwörter zurück. Wer deine Nummer kontrolliert, hat deshalb oft gleich die Hoheit über mehrere digitale Zugänge – E-Mail-Postfächer, Social-Media-Profile, Cloud-Dienste, Online-Shops, Zahlungsdienste und teilweise sogar Online-Banking.
Besonders perfide: Übernehmen die Täter zuerst dein E-Mail-Konto, wird es richtig kritisch. Denn die E-Mail ist bei den meisten Diensten der zentrale Schlüssel, um andere Konten zurückzusetzen oder neue Passwörter zu vergeben.
Wie funktioniert der Angriff Schritt für Schritt?
SIM-Swapping beginnt fast immer mit Informationsbeschaffung. Die Täter suchen persönliche Daten im Internet, greifen E-Mails ab oder nutzen Phishing, um an deine Daten zu kommen. Mit genug Informationen rufen sie dann beim Mobilfunkanbieter an – oder gehen in eine Filiale – und geben sich als der rechtmäßige Inhaber aus. Eine beliebte Geschichte: Das Handy sei verloren gegangen oder die SIM-Karte defekt, man brauche dringend eine Ersatz-SIM.
Prüft der Support des Anbieters das angebliche Anliegen nicht sorgfältig genug, wird eine Ersatz-SIM verschickt oder eine eSIM aktiviert. Ab diesem Moment ist deine Nummer auf dem Gerät der Betrüger aktiv. Dein eigenes Handy verliert den Empfang – du kannst nicht mehr anrufen, keine SMS senden und keine Verifizierungscodes empfangen.
In anderen Fällen verschaffen sich die Täter direkt Zugang zum Kundenportal deines Anbieters. Sind deine Anmeldedaten oder Sicherheitsabfragen bereits in falsche Hände geraten, können sie die SIM-Änderung dort selbst erfassen – ganz ohne Anruf beim Support.
Ein wichtiger Unterschied: Bei einer physischen SIM braucht es in der Regel einen physischen Ersatz oder einen Versand. Eine eSIM lässt sich dagegen viel schneller digital aktivieren – per QR-Code oder Aktivierungscode. Ist die Sicherheitsprüfung beim Anbieter nicht streng genug, kann das SIM-Swapping-Angriffe enorm beschleunigen. Das heißt nicht, dass eSIM unsicherer ist: Das Risiko entsteht vor allem dann, wenn die Prozesse oder der Kontoschutz beim Anbieter zu schwach sind.
Woran du SIM-Swapping frühzeitig erkennst
Je früher du einen Angriff bemerkst, desto besser. Typische Warnzeichen sind:
- Plötzlich kein Netz – obwohl du dich in einem Gebiet mit normaler Abdeckung befindest
- Keine SMS mehr, obwohl vorher alles funktionierte
- Anrufe kommen nicht mehr an oder können nicht getätigt werden
- Unerwartete Meldungen über neue Anmeldungen, die du siehst, sobald du mit WLAN verbunden bist
- E-Mails über Passwortänderungen oder neue Geräte, die du nicht veranlasst hast
- Hinweise deines Anbieters, dass eine SIM oder eSIM geändert wurde
Besonders verdächtig ist die Kombination aus fehlendem Mobilfunkempfang und gleichzeitigen Sicherheitsmeldungen. Dann solltest du sofort handeln – jede Minute zählt, denn die Täter beginnen umgehend, Einmalpasswörter abzufangen, Passwörter zurückzusetzen und dich aus deinen Konten auszusperren.
Was du im Verdachtsfall sofort tun musst
Wenn du den Verdacht hast, dass deine Nummer auf eine andere SIM-Karte übertragen wurde, arbeite diesen Ablauf strukturiert ab:
- Kontaktiere deinen Anbieter über einen anderen Weg – etwa über Festnetz, das Handy einer vertrauten Person oder den Online-Chat – und lass deine SIM oder eSIM sofort sperren. Fordere an, den Transfer rückgängig zu machen und dir eine neue SIM auszustellen. Ein Besuch in einer Filiale kann den Prozess beschleunigen.
- Ändere die Passwörter deiner wichtigsten Konten – zuerst E-Mail, dann Banking, dann alles andere. Nutze dafür ein als sicher geltendes Gerät, nicht das kompromittierte Handy.
- Prüfe E-Mail-, Banking- und Social-Media-Zugänge auf unbefugte Anmeldungen, geänderte Wiederherstellungsdaten und neue Geräte – und korrigiere, was die Täter verändert haben.
- Kontrolliere Wiederherstellungsdaten und Sicherheitsfragen bei allen wichtigen Diensten.
- Informiere deine Kontakte, falls bereits Nachrichten in deinem Namen missbräuchlich versendet wurden – zum Beispiel über WhatsApp, das die Täter gerne kapern.
Melde den Vorfall außerdem bei der Polizei. Sichere vorher Screenshots von verdächtigen E-Mails und Nachrichten – wie du Beweise richtig sicherst, erklärt unser Ratgeber zum Beweise sichern bei Betrug. Und falls dein Kleinanzeigen-Konto betroffen ist, sichere es parallel nach derselben Methode.
Warum SMS-Codes das eigentliche Problem sind
SIM-Swapping ist deshalb so attraktiv für Kriminelle, weil es eine grundlegende Schwachstelle der SMS-basierten Zwei-Faktor-Authentifizierung ausnutzt. Einmalcodes per SMS sind bequem – aber als alleiniger Sicherheitsfaktor angreifbar. Dass Codes per SMS alles andere als fälschungssicher sind, zeigt auch der verwandte SMS-Verifizierungscode-Betrug: Auch dort werden arglose Nutzer über einen Code am Handy hereingelegt. Viele Dienste erlauben außerdem das Zurücksetzen von Passwörtern per SMS-Verifizierung. Ein erfolgreicher SIM-Swap verschafft den Angreifern damit Zugriff auf mehrere Konten gleichzeitig.
Bei Banken ist die SMS-TAN zwar in den letzten Jahren zunehmend in den Hintergrund getreten – viele Institute sind auf App-basierte Verfahren wie PushTAN oder spezielle Geräte wie ChipTAN und photoTAN umgestiegen. Vereinzelt, etwa bei kleineren oder internationalen Banken, gibt es SMS-Einmalcodes aber noch. Es lohnt sich, die Authentisierungsmethode bei deiner eigenen Bank zu prüfen und gegebenenfalls auf ein moderneres Verfahren zu wechseln.
So schützt du dich dauerhaft vor SIM-Swapping
Der wichtigste Grundsatz: Nutze SMS nicht als einzigen Schutz der Zwei-Faktor-Authentifizierung für wichtige Konten. Besser sind:
- Passkeys für eine Anmeldung ganz ohne Passwort – sie lassen sich nicht per SIM-Swap abfangen
- Authenticator-Apps, wo sie angeboten werden
- Physische Sicherheitsschlüssel wie YubiKey oder vergleichbare Modelle
- Zusätzliche Sperren beim Anbieter: Frage deinen Mobilfunkanbieter nach einer PIN oder einem Kennwort für SIM-Änderungen und nach einer Portierungssperre, falls verfügbar
Dazu kommen die Basics, die viele Angriffe schon im Vorfeld stoppen:
- Starke, einzigartige Passwörter – besonders für dein E-Mail-Konto, denn es ist der Generalschlüssel zu fast allem anderen
- Schütze dich vor Phishing und gib persönliche Daten nie leichtfertig bekannt – die meisten Angriffe beginnen mit Informationen, die Betroffene selbst unbedacht öffentlich gemacht haben, etwa in sozialen Medien
- Prüfe regelmäßig deine Konten auf verdächtige Aktivitäten und richte Benachrichtigungen für neue Anmeldungen ein
Wer seine Ausweiskopie schon einmal an Betrüger geschickt hat, sollte besonders wachsam sein: Mit Ausweisdaten fällt es Tätern deutlich leichter, sich beim Anbieter als du auszugeben.
Häufige Fragen zu SIM-Swapping
Wie merke ich, dass meine SIM getauscht wurde? Das deutlichste Zeichen ist plötzlicher Empfangsverlust („Kein Netz") an einem Ort mit normaler Abdeckung – oft kombiniert mit Sicherheitsmeldungen über neue Anmeldungen oder Passwortänderungen, die du per WLAN oder E-Mail siehst.
Können Betrüger auch eine eSIM kapern? Ja. Bei der eSIM erfolgt die Aktivierung digital per QR-Code, was einen Angriff sogar beschleunigen kann, wenn der Anbieter die Identität nicht streng prüft. Die eSIM selbst ist nicht unsicherer – entscheidend sind die Prozesse des Anbieters und dein Kontoschutz.
Was machen die Täter mit meiner Nummer konkret? Sie fangen SMS-Codes ab, setzen Passwörter zurück, sperren dich aus deinen Konten aus und übernehmen E-Mail, Messenger und Zahlungsdienste. In vielen Fällen werden schnell Finanzkonten geplündert oder Konten für weitere Betrugsmaschen missbraucht.
Reicht es, wenn ich meine SIM sperren lasse? Die Sperrung beim Anbieter ist der wichtigste erste Schritt – aber nicht der einzige. Ändere danach unbedingt die Passwörter aller wichtigen Konten und prüfe Wiederherstellungsdaten, denn die Täter könnten in der Zwischenzeit bereits Änderungen vorgenommen haben.
Schützt eine PIN für SIM-Änderungen beim Anbieter? Sie erschwert den Angriff deutlich: Kann der Support eine SIM-Änderung nur mit deinem persönlichen Kennwort durchführen, scheitern die meisten Social-Engineering-Versuche. Frage deinen Anbieter gezielt nach dieser Option.
Ist SMS als zweiter Faktor jetzt komplett nutzlos? Nein – SMS-Codes sind immer noch besser als gar kein zweiter Faktor. Für deine wichtigsten Konten (E-Mail, Banking, Cloud) solltest du aber auf stärkere Verfahren wie Authenticator-Apps, Passkeys oder Sicherheitsschlüssel umsteigen.
Fazit
SIM-Swapping ist ein Angriff auf deine digitale Identität – nicht auf dein Handy. Die Täter brauchen dein Gerät nicht einmal anzufassen: Es genügt, wenn sie deinen Anbieter überzeugen, deine Nummer auf ihre SIM zu übertragen. Das Alarmsignal schlechthin ist plötzlicher Empfangsverlust kombiniert mit Sicherheitsmeldungen. Dann heißt es: Anbieter kontaktieren, SIM sperren lassen, Passwörter ändern, Konten prüfen. Und langfristig gilt: Raus aus der reinen SMS-Authentifizierung, rein in Passkeys, Authenticator-Apps oder Sicherheitsschlüssel – dann läuft der SIM-Swap der Betrüger ins Leere.
