SIM-Swap-Angriffe auf Krypto-Konten: Wie sie funktionieren und wie man sie stoppt

Ein SIM-Swap liegt vor, wenn ein Angreifer Ihren Mobilfunkanbieter überzeugt, Ihre Rufnummer auf eine SIM zu übertragen, die er kontrolliert. Sobald die Nummer ihm gehört, empfängt er Ihre SMS-Codes und Passwort-Reset-Nachrichten, übernimmt Ihre E-Mail- und Börsenkonten und räumt jedes verwahrte Guthaben leer. Der Angriff zielt auf Konten, die durch SMS-2FA geschützt sind. Eine selbstverwahrte Wallet mit einer Seed-Phrase ist nicht direkt betroffen, es sei denn, die Seed wurde in einem der kompromittierten Konten gespeichert.

Das ist die kurze Antwort. Der Rest dieser Seite ist die Angriffskette Schritt für Schritt, welche Konten gefährdet sind und welche Abwehr standhält.

---

Wie ein SIM-Swap tatsächlich funktioniert

Der Angriff berührt nicht Ihr Telefon. Er berührt Ihren Anbieter. Die Kette sieht so aus:

1. Persönliche Daten sammeln. Der Angreifer sammelt Ihren Namen, Ihre Rufnummer, Ihr Geburtsdatum, Ihre Adresse und oft eine Teilantwort auf eine Sicherheitsfrage. Datenlecks, soziale Medien und Phishing liefern das meiste davon.
2. Anbieter per Social Engineering oder Bestechung manipulieren. Er ruft den Support an und gibt sich als Sie aus ("Ich habe mein Telefon verloren") oder bezahlt einen Insider im Shop. Genug durchgesickerte Details bestehen die Identitätsprüfung.
3. Die Nummer portieren. Der Anbieter überträgt Ihre Nummer auf die SIM des Angreifers. Ihr Telefon verliert still das Signal — das ist oft das erste Anzeichen, und dann ist es bereits spät.
4. Das SMS-OTP abfangen. Jeder SMS-Einmalcode und Reset-Link landet nun auf seinem Gerät.
5. Passwörter zurücksetzen und Konten leeren. Er setzt Ihre E-Mail zurück, nutzt dann E-Mail plus SMS-Codes, um in Börsen einzudringen und Gelder abzuziehen.

Die gesamte Abfolge kann in unter einer Stunde ablaufen. Der Schwachpunkt ist nicht Ihr Passwort — es ist die Rufnummer als Wiederherstellungskanal.

---

Was gefährdet ist und was nicht

Die Gefährdung hängt allein davon ab, ob ein Konto Ihrer Rufnummer vertraut.

Das Muster: Alles, was sich auf Ihre Rufnummer als Identitätsnachweis stützt, ist gefährdet. Alles, was durch ein Geheimnis geschützt ist, das nie per SMS reist, nicht.

---

Abwehr, die wirklich standhält

• SMS-2FA entfernen. Ersetzen Sie sie durch eine Authenticator-App (TOTP) oder besser durch einen Hardware-Sicherheitsschlüssel nach FIDO2/WebAuthn. Tun Sie das bei jeder Börse und zuerst bei Ihrer E-Mail, denn die E-Mail ist der Dreh- und Angelpunkt.
• Eine Portierungs-PIN oder SIM-Sperre beim Anbieter einrichten. Die meisten Anbieter bieten eine "Nummernsperre" oder "Portierungssperre", die Übertragungen blockiert, bis Sie sie persönlich oder mit einer separaten PIN aufheben. Das schließt die Tür, durch die der Angreifer geht.
• Seed-Phrasen nicht in E-Mail oder Cloud speichern. Ein Foto Ihrer Wiederherstellungswörter im Cloud-Backup verwandelt eine E-Mail-Übernahme in einen Wallet-Diebstahl. Halten Sie die Seed offline. Siehe Grundlagen der Selbstverwahrung.
• Eindeutige E-Mail-Adressen für Börsen verwenden. Eine dedizierte Adresse, die nicht mit Ihrer öffentlichen Identität oder Ihrer Rufnummer verknüpft ist, gibt Angreifern keinen Ansatzpunkt. Kombinieren Sie sie mit App- oder Schlüssel-2FA.
• Ihren öffentlichen Fußabdruck reduzieren. Je weniger von Geburtsdatum, Adresse und Rufnummer öffentlich ist, desto schwerer lässt sich die Identitätsprüfung fälschen.

---

Ehrliche Grenzen

Keine einzelne Maßnahme ist ein Allheilmittel, daher hilft es zu wissen, wo jede aufhört.

Hardware-Sicherheitsschlüssel (FIDO2) sind die stärkste Option, weil die Anmeldung ein physisches Gerät erfordert, das sich weder phishen noch per SMS kopieren lässt. Authenticator-Apps sind eine große Verbesserung gegenüber SMS — der Code verlässt nie Ihr Gerät —, aber eine überzeugende gefälschte Anmeldeseite kann Sie immer noch dazu bringen, einen gültigen Code einzugeben, sodass App-2FA gephisht werden kann, wo ein Hardware-Schlüssel es nicht kann.

Selbstverwahrung ändert die Form des Problems vollständig. Wenn Ihre Gelder in einer Wallet liegen, die Sie kontrollieren, und die Seed nie in einem kompromittierten Konto gespeichert war, hat ein SIM-Swap keine Börse zum Einbrechen und kein Guthaben zum Abziehen. Er umgeht den Kontoübernahme-Weg vollständig. Der Kompromiss ist, dass Sie die volle Last der Schlüsselverwaltung selbst tragen. Wenn Sie auf Börsen halten, sehen Sie, wie Identitätsprüfungen Ihre Konten verbinden, in KYC bei Krypto erklärt, und prüfen Sie Wallet-Optionen im Leitfaden zu Krypto-Wallets.

---

FAQ

Was ist ein SIM-Swap-Angriff? Es ist, wenn ein Angreifer Ihren Mobilfunkanbieter — durch Social Engineering oder einen bestochenen Insider — überzeugt, Ihre Rufnummer auf eine SIM zu übertragen, die er hält. Er empfängt dann Ihre Anrufe und Nachrichten, einschließlich SMS-2FA-Codes und Passwort-Reset-Links, und nutzt sie, um Ihre Konten zu übernehmen.

Ist SMS-2FA sicher für Krypto? Nein, nicht für etwas, das Wert hat. SMS-2FA ist besser als gar kein zweiter Faktor, aber die Rufnummer ist ein Wiederherstellungskanal, den ein Angreifer kapern kann, ohne Ihr Gerät zu berühren. Nutzen Sie mindestens eine Authenticator-App und wo möglich einen Hardware-Sicherheitsschlüssel.

Kann ein SIM-Swap Gelder aus meiner Hardware-Wallet stehlen? Nicht direkt. Eine Hardware-Wallet signiert Transaktionen mit einem Schlüssel, der das Gerät nie verlässt, und es gibt kein Konto zum Zurücksetzen. Der einzige Weg, wie ein SIM-Swap diese Gelder erreicht, ist, wenn Sie die Seed-Phrase in einem E-Mail- oder Cloud-Konto gespeichert haben, das der Angreifer übernommen hat. Halten Sie die Seed offline, und sie bleibt außer Reichweite.

Wie schütze ich mich vor SIM-Swaps? Entfernen Sie SMS-2FA zugunsten einer Authenticator-App oder eines FIDO2-Hardware-Schlüssels, richten Sie eine Portierungs-PIN oder SIM-Sperre beim Anbieter ein, halten Sie Seed-Phrasen offline und verwenden Sie eine eindeutige E-Mail für Börsenkonten. Ihre E-Mail zuerst zu sichern ist am wichtigsten, denn sie ist der Schlüssel, der alles andere aufsperrt.

---

Sobald Ihre Konten nicht mehr von Ihrer Rufnummer abhängen, ist das nächste schwache Glied, wie Sie Transaktionen bestätigen und wo Ihre Schlüssel liegen. Beginnen Sie mit dem Leitfaden zu Krypto-Wallets und den Grundlagen der Selbstverwahrung.