SIM-Swapping: Woher Betrüger die Daten für deine Nummer haben

Vier Forscher der Princeton University riefen für eine Studie zum SIM-Swapping bei fünf US-Mobilfunkanbietern an und gaben sich als Kunden aus. Genauer gesagt als sie selbst, denn die 50 Prepaid-Konten hatten sie vorher eigens dafür angelegt. Am Telefon baten sie um eine neue SIM-Karte. Auf die Prüffragen der Hotline gaben sie absichtlich falsche Antworten. Laut ihrem Studienentwurf vom Januar 2020 klappte der Tausch trotzdem in 39 von 50 Versuchen. Bei den drei großen Anbietern gelang er jedes Mal.

Der Satz aus dieser Studie, um den es in diesem Text geht, steht etwas weiter hinten. Die Fragen, mit denen die Hotlines ihre Kunden erkennen wollten, hätten sich fast alle aus öffentlich zugänglichen Quellen beantworten lassen. Genau hier beginnt SIM-Swapping, lange bevor jemand eine Hotline wählt. Wer deine Nummer übernehmen will, muss sich als du ausgeben, und dafür braucht er Wissen über dich. Dieser Text zeigt, welches Wissen das ist, wo es meistens herumliegt und wie du es einsammelst, bevor es ein anderer tut.

Was beim SIM-Swapping eigentlich passiert

Deine Rufnummer gehört nicht zu deinem Telefon, sie hängt an einem Eintrag beim Mobilfunkanbieter. Dort ist vermerkt, welche SIM-Karte oder eSIM gerade zu dieser Nummer gehört. Geht eine Karte verloren, stellt der Anbieter eine neue aus und verknüpft die Nummer mit ihr. Die alte wird stumm. Das ist ein ganz normaler Vorgang, den jeder kennt, der schon einmal ein Telefon verloren hat.

Beim SIM-Swapping lässt ein Fremder genau diesen Vorgang für sich ablaufen. Die US-Verbraucherschutzbehörde FTC beschreibt es nüchtern: Jemand meldet sich beim Anbieter, behauptet, das Telefon sei weg oder kaputt, und lässt die Nummer auf eine Karte in seinem eigenen Gerät legen. Das Bundesamt für Sicherheit in der Informationstechnik fasst es ähnlich knapp. Die Täter geben sich beim Provider als rechtmäßige Besitzer aus und bringen ihn dazu, eine neue SIM-Karte herauszugeben.

Für dich sieht das so aus: Das Telefon zeigt plötzlich keinen Empfang mehr. Keine Anrufe, keine SMS, keine mobilen Daten. Ab diesem Moment klingelt deine Nummer woanders.

Was danach kommt, ist der eigentliche Zweck. Viele Dienste schicken Bestätigungscodes per SMS, zum Anmelden und vor allem zum Zurücksetzen von Passwörtern. Das FBI beschreibt den typischen Ablauf in einer Warnung von 2022. Erst kommt die Nummer, dann der Klick auf „Passwort vergessen“, dann das Konto. Die Bundesdatenschutzbeauftragte, in Deutschland die Aufsicht über den Datenschutz bei Telefonanbietern, nennt es „besonders brenzlig“, wenn Opfer ihre Nummer per smsTAN als Zugangsfaktor für andere Dienste nutzen.

Ein Händler, ein Papierkorb und 24 Millionen Dollar

Der bekannteste Fall ist der von Michael Terpin, einem Investor aus der Kryptoszene, Kunde bei AT&T seit 2011. Im Juni 2017 übernahmen Unbekannte zum ersten Mal seine Nummer, er verlor dabei etwas Kryptogeld. AT&T versprach ihm danach laut seiner Darstellung zusätzlichen Schutz, einen sechsstelligen statt eines vierstelligen Codes für Änderungen am Konto.

2018 passierte es trotzdem wieder. Der Täter, ein Teenager namens Ellis Pinsky, musste dafür keine Prüffrage beantworten. Er bestach den Mitarbeiter eines AT&T-Vertragshändlers, der die Nummer auf eine SIM-Karte von Pinsky und einem Komplizen legte. Im Kundenkonto stand anschließend, die Karte sei „per customer request“ ersetzt worden, also auf Wunsch des Kunden. Mit Terpins Nummer setzten die beiden Passwörter zurück und kamen an seine Online-Konten, darunter einen Cloudspeicher. Im Papierkorb dieses Speichers lag ein Dokument mit Zugangsdaten zu seinen Kryptowerten. Weg waren 24 Millionen Dollar.

So steht es im Urteil des Bundesberufungsgerichts für den neunten Bezirk der USA vom 30. September 2024. Terpin hatte AT&T verklagt, das Gericht ließ einen Teil der Klage weiterlaufen und schickte ihn zurück an die erste Instanz. In einer Fußnote nennt es auch die Zivilurteile gegen die Täter: 22 Millionen Dollar gegen Pinsky, 75 Millionen gegen seinen Komplizen.

Ehrlich gesagt passt dieser Fall nur halb zum Thema dieses Textes. Der Weg zur Nummer führte über einen gekauften Insider, über öffentlich auffindbare Daten steht in dem Urteil nichts. Dass Terpin aber ein lohnendes Ziel war, ließ sich öffentlich erkennen. Das FBI rät genau deshalb, Kryptobesitz nicht in sozialen Netzwerken und Foren herumzuerzählen. Und die Bundesdatenschutzbeauftragte warnt vor demselben Einfallstor in Deutschland: Shops und Partnerfirmen greifen auf große Kundendatenbestände zu, bis hin zu „nicht autorisierten Vertragsänderungen durch Betreiber einzelner Shops“.

Was die Hotline wissen will

Zurück zur Princeton-Studie, denn sie ist die beste öffentliche Quelle dafür, wonach Anbieter ihre Kunden fragen. Die Forscher listen auf, was die Hotlines der fünf Anbieter abfragten. Darunter waren persönliche Angaben wie Anschrift, E-Mail-Adresse und Geburtsdatum. Dazu kamen Kontodaten wie die letzten vier Ziffern der Zahlungskarte, das Aktivierungsdatum oder die letzte Zahlung, außerdem PIN oder Kennwort und Sicherheitsfragen. Meist reichte eine einzige richtig beantwortete Frage, auch nach mehreren falschen.

Dann folgt der Satz, um den es hier geht. Fast alle Prüffragen, schreiben die Autoren, stammten aus öffentlich zugänglichen Quellen. Ein entschlossener Angreifer könne Geburtsdatum, Adresse, Mailadresse oder Antworten auf Sicherheitsfragen plausibel über Online-Profile herausfinden. Die letzten vier Kartenziffern stehen ohnehin auf vielen Kassenzetteln.

Das ist eine US-Studie über Prepaid-Konten, und sie ist ein paar Jahre alt. Übertragen lässt sich trotzdem die Grundidee. Die FTC warnt, ein Identitätsdieb könne öffentlich gepostete Angaben nutzen, um genau die Sicherheitsfragen zu beantworten, mit denen ein Konto dich erkennen will. Der Bankenverband schreibt dasselbe für Deutschland. Kriminelle kämen mit persönlichen Informationen durch, die sie „vorab im Internet ausgespäht oder über die sozialen Netzwerke“ gesammelt haben, etwa Geburtsdaten, Adresse oder sogar ein Kundenkennwort.

In Deutschland hat sich die Tür dabei etwas verschoben. Ersatzkarten und eSIMs lassen sich bei den großen Anbietern im Online-Kundenkonto bestellen. O2 etwa schreibt, eine Ersatz-SIM, auch als eSIM, gehe „ganz einfach“ in Mein O2 oder der App. Bei Vodafone identifiziert die Hotline Mobilfunkkunden über eine sechsstellige Service-PIN, und diese PIN steht im Kundenportal MeinVodafone. Die Bundesdatenschutzbeauftragte beschrieb 2023 genau diesen Weg. Mit gestohlenen Zugangsdaten für das Online-Konto beim Telefonanbieter lasse sich eine Ersatz-SIM ausstellen. Mit der eSIM gehe das sogar „noch einfacher“, weil nichts mehr per Post verschickt werden muss.

Damit gibt es zwei Türen. Die eine ist die Hotline oder der Laden, wo jemand persönliche Angaben abfragt. Die andere ist das Kundenkonto im Netz, und dessen Passwort liegt im schlechtesten Fall schon in einem alten Datenleck.

Die Vorarbeit: was über dich offen liegt

Hier kommt der OSINT-Winkel ins Spiel. OSINT steht für Open Source Intelligence, also das gezielte Auswerten öffentlich zugänglicher Quellen. Was Täter dabei tun, kannst du in Ruhe selbst nachvollziehen, und zwar ausschließlich für dich. Die Tabelle stellt gegenüber, was bei der Identifizierung typischerweise gefragt wird und wo es häufig offen liegt.

Für die Rubrik ganz oben hilft der Artikel über die Personensuche nach dir selbst, der die einzelnen Suchwege der Reihe nach durchgeht. Was in Leaks über dich steht, zeigt der Beitrag zum Datenleck prüfen. Wer verstehen möchte, wie solche Recherchen überhaupt funktionieren, findet die Grundlagen im Text über OSINT, der auch zu unserer OSINT-Reihe gehört.

Rechne dabei nicht mit einer einzigen Fundstelle, die alles verrät. Typisch ist das Puzzle. Das Geburtsdatum steht in einem Glückwunsch von 2016, die Nummer in einer Kleinanzeige für ein Fahrrad, die Mailadresse in einem Leak. Einzeln wirkt das harmlos. Zusammen ergibt es ziemlich genau die Liste, die eine Hotline abarbeitet.

Wie häufig SIM-Swapping ist

Für Deutschland haben wir keine öffentliche Statistik gefunden, die SIM-Swapping gesondert ausweist. Die Bundesdatenschutzbeauftragte schreibt in einem Arbeitspapier, die Fälle dürften insgesamt sehr selten sein, der drohende Schaden sei im Einzelfall aber immens.

Etwas genauer sind die Zahlen aus den USA. Das Internet Crime Complaint Center des FBI, kurz IC3, sammelt Anzeigen zu Onlinebetrug und führt SIM-Swapping als eigene Kategorie.

Seit 2022 gehen die Meldungen also deutlich zurück. Ob das an besseren Prüfungen bei den Anbietern liegt oder daran, dass Fälle unter anderen Kategorien wie Kryptobetrug landen, sagen die Berichte nicht. Auffällig ist der Durchschnitt. Er lag 2025 bei fast 18.000 Dollar pro gemeldetem Fall.

In den USA hat die Telekommunikationsbehörde FCC im November 2023 neue Regeln beschlossen. Anbieter müssen Kunden sicher identifizieren, bevor sie eine Nummer auf ein neues Gerät oder zu einem anderen Anbieter umziehen, und sie müssen Kunden sofort benachrichtigen, wenn jemand das beantragt. Die FCC schrieb dabei ausdrücklich, Datenlecks erhöhten das Risiko, weil sie Angaben offenlegen, mit denen Täter Konten leichter übernehmen. Wann die Regeln verbindlich gelten, hat die Behörde später an eine weitere Prüfung geknüpft und den ursprünglichen Stichtag ausgesetzt.

Warnzeichen, die zählen

Das erste Zeichen ist fast immer dasselbe. Das Telefon hat kein Netz mehr, und zwar nicht für ein paar Sekunden im Aufzug, sondern dauerhaft. Die FTC beschreibt es so: keine Daten, keine Nachrichten, keine Anrufe. Danach kommt womöglich eine Nachricht des Anbieters, dass deine SIM-Karte auf einem neuen Gerät aktiviert wurde.

Bevor du in Panik gerätst, prüfe das Naheliegende. Der Bankenverband rät ausdrücklich, zuerst ein Funkloch auszuschließen. Hat das Telefon eines Mitbewohners am selben Ort Empfang, du aber nicht, wird es ernst.

Weitere Zeichen stehen in deinen anderen Konten. Mails über Passwortänderungen, die du nicht ausgelöst hast, Anmeldungen von unbekannten Geräten, eine geänderte Mailadresse im Kundenkonto. Ein Login beim Onlinebanking, der plötzlich mit dem richtigen Passwort scheitert, gehört ebenfalls dazu.

Eine Abgrenzung noch. Wenn eine SMS dich auffordert, wegen eines angeblichen SIM-Problems auf einen Link zu tippen oder Daten zu bestätigen, ist das selbst ein Betrugsversuch. Wie solche Nachrichten aussehen, steht im Artikel über Smishing und SMS-Betrug.

So schützt du deine Nummer

Der wichtigste Schritt dauert fünf Minuten. Leg beim Anbieter ein Kundenkennwort oder eine Service-PIN fest, falls es noch keins gibt, und nimm dafür nichts, was irgendwo anders vorkommt. Der Bankenverband formuliert die Anforderung gut: Es sollte für Außenstehende nicht möglich sein, über eine Recherche im Internet oder in sozialen Netzwerken darauf zu stoßen. Der Geburtstag des Hundes, der auf Instagram gefeiert wird, fällt damit weg.

Mindestens genauso wichtig ist das Online-Kundenkonto. Wer dort hineinkommt, kann bei manchen Anbietern selbst eine Ersatz-SIM bestellen oder sieht die PIN, mit der die Hotline dich erkennt. Gib diesem Konto ein Passwort, das du sonst nirgends benutzt. Schalte eine zweite Anmeldestufe ein, wenn der Anbieter sie anbietet, und hinterlege dafür möglichst nicht dieselbe Handynummer. Die Bundesdatenschutzbeauftragte nennt ausdrücklich das Risiko, dass Passwörter für das Online-Konto und für Hotline oder Shop dieselben sind.

Dann kommt der Teil, der den Schaden begrenzt, falls doch jemand an die Nummer kommt. Die FTC schreibt, SMS-Bestätigungen könnten einen SIM-Tausch nicht aufhalten, und empfiehlt eine Authenticator-App oder einen Sicherheitsschlüssel. Das FBI rät dasselbe, ebenso der Bankenverband. Fang mit dem E-Mail-Postfach an, weil darüber fast alle anderen Passwörter zurückgesetzt werden. Danach folgen Bank, Cloudspeicher und alles, wo Geld liegt. Wo es geht, sind Passkeys die bessere Wahl, weil sie an dein Gerät gebunden sind und keinen Code per SMS brauchen.

Prüfe auch, wo deine Nummer als Rettungsweg hinterlegt ist. Viele Konten erlauben die Wiederherstellung per SMS, selbst wenn die Anmeldung längst mit App läuft. Diese Hintertür bleibt offen, solange die Nummer dort steht.

Bleibt die Angriffsfläche aus dem vorigen Abschnitt. Die FTC rät, möglichst nicht vollen Namen, Adresse und Telefonnummer auf öffentlichen Seiten zu posten. Das FBI ergänzt die Warnung vor Posts über Kryptobesitz. Ganz verschwinden musst du dafür nicht. Es reicht, die Nummer aus Profilen und alten Kleinanzeigen zu nehmen, das Geburtsjahr aus öffentlichen Feldern zu entfernen und Glückwünsche nicht öffentlich sichtbar stehen zu lassen. Wer prüfen will, wie leicht die eigene Nummer einem Namen zugeordnet werden kann, findet im Artikel zur Rückwärtssuche von Telefonnummern die gängigen Wege.

Ein letzter Punkt betrifft Anrufe. Das FBI rät, Kontodaten, Kennwort oder PIN nie am Telefon an jemanden zu geben, der sich als Anbieter meldet. Leg auf und ruf die bekannte Hotline selbst an, wenn du unsicher bist.

Wenn es passiert ist

Dann zählt Geschwindigkeit. Ruf über ein anderes Telefon die offizielle Hotline deines Anbieters an und lass die Nummer sperren oder zurückholen. Informiere direkt danach deine Bank, denn in einem großen Fall aus Spanien ging das Geld laut der europäischen Polizeibehörde Europol binnen zwei Stunden an Mittelsleute weiter. So berichtete es 2020 die Fachseite Bleeping Computer. Anschließend eine Anzeige bei der Polizei. Wie du danach deine Konten der Reihe nach zurückholst und prüfst, ob noch jemand drin sitzt, beschreibt unser Text Wurde ich gehackt? ausführlich.

Was bleibt

Ein SIM-Swap fühlt sich an wie ein technischer Angriff, und am Ende steht ja auch eine fremde Karte in einem fremden Telefon. Davor aber liegt meistens Handarbeit. Jemand muss wissen, dass du ein lohnendes Ziel bist, welche Nummer du hast, bei wem du bist und was die Hotline fragen wird. Oder er braucht ein Passwort, das irgendwann einmal in einem Leak gelandet ist.

An diesem Punkt hast du mehr Einfluss, als es scheint. Ein Kennwort beim Anbieter, ein eigenes Passwort fürs Kundenkonto und SMS raus aus den wichtigen Konten machen den Tausch schwerer und den Nutzen kleiner. Den Rest erledigt eine ruhige Stunde, in der du dich selbst so suchst, wie es ein Fremder tun würde.

Häufige Fragen

Was ist SIM-Swapping?

Beim SIM-Swapping bringen Kriminelle deinen Mobilfunkanbieter dazu, deine Rufnummer auf eine SIM-Karte oder eSIM zu übertragen, die sie selbst in der Hand haben. Dein eigenes Telefon verliert dann das Netz, Anrufe und SMS landen beim Täter. Gefährlich wird das, weil viele Konten Bestätigungscodes per SMS verschicken. Wer die Nummer hat, kann damit oft Passwörter zurücksetzen und sich in Mail, Bank oder Kryptobörse anmelden.

Woran erkenne ich, dass meine SIM-Karte gekapert wurde?

Das deutlichste Zeichen ist ein Telefon, das ohne erkennbaren Grund keinen Empfang mehr hat, während andere Geräte am selben Ort normal funktionieren. Kommt dazu eine Nachricht des Anbieters über eine neue SIM-Karte, eine eSIM-Aktivierung oder eine geänderte Kontoeinstellung, die du nicht beauftragt hast, solltest du sofort handeln. Prüfe kurz, ob du nicht nur in einem Funkloch stehst, und ruf dann den Anbieter über ein anderes Telefon an.

Wie schütze ich mich vor SIM-Swapping?

Am wirksamsten ist eine Kombination. Richte beim Anbieter ein Kundenkennwort oder eine Service-PIN ein, die du nirgends sonst verwendest. Sichere dein Online-Kundenkonto beim Anbieter mit einem eigenen Passwort und, wenn möglich, einer zweiten Anmeldestufe. Stelle wichtige Konten von SMS-Codes auf eine Authenticator-App, einen Sicherheitsschlüssel oder Passkeys um. Und halte Telefonnummer und Geburtsdatum aus öffentlichen Profilen heraus, weil genau diese Angaben bei der Identifizierung abgefragt werden.

Was tun bei SIM-Swapping?

Zuerst den Mobilfunkanbieter anrufen, über ein anderes Telefon und die offizielle Hotline-Nummer, und die Nummer sperren oder zurückholen lassen. Danach die Bank informieren, weil Täter oft innerhalb weniger Stunden Geld bewegen. Anschließend die wichtigsten Passwörter von einem sauberen Gerät aus ändern, mit dem E-Mail-Postfach zuerst, und Anzeige bei der Polizei erstatten. Unterlagen, Uhrzeiten und Nachrichten des Anbieters aufheben, sie helfen bei der Klärung mit Bank und Anbieter.

Ist eine eSIM sicherer gegen SIM-Swapping?

Nicht automatisch. Die Bundesdatenschutzbeauftragte schrieb 2023, dass SIM-Swapping mit der eSIM sogar noch einfacher funktioniert, weil keine Karte mehr per Post verschickt werden muss. Entscheidend ist, wie gut das Kundenkonto beim Anbieter geschützt ist, über das eine neue eSIM bestellt oder aktiviert werden kann. Wer dort ein starkes, einzigartiges Passwort und eine zusätzliche Anmeldestufe nutzt, macht es Tätern deutlich schwerer, egal ob Karte oder eSIM.