SIM-Swapping-Angriff: So funktioniert er und so stoppen Sie ihn (2026)

Ihre Telefonnummer war nie als Sicherheitsschlüssel gedacht — doch jahrelang machten SMS-Einmalcodes genau das daraus. Ein SIM-Swapping-Angriff nutzt genau das aus: Indem er Ihre Nummer kapert, empfängt ein Angreifer Ihre SMS-2FA-Codes und spaziert in Ihre Konten. Dieser Leitfaden erklärt, wie der Angriff funktioniert, die Warnzeichen und die konkreten Abwehrmaßnahmen, die ihn 2026 tatsächlich stoppen.

Wie ein SIM-Swapping-Angriff funktioniert

Der Mechanismus ist Social Engineering, kein Hacken Ihres Telefons:

1. Der Angreifer sammelt Ihre persönlichen Daten (aus Datenlecks, Phishing oder Ihren öffentlichen sozialen Medien).
2. Er kontaktiert Ihren Mobilfunkanbieter, gibt sich als Sie aus und verlangt, dass Ihre Nummer auf eine neue SIM verschoben wird (eine "Portierung" oder ein SIM-Tausch) — manchmal mithilfe eines bestochenen Shop-Mitarbeiters.
3. Ihr Telefon verliert das Netz; die Nummer lebt nun auf der SIM des Angreifers.
4. Jede SMS — einschließlich Einmal-2FA-Codes — landet nun auf seinem Gerät. Er löst Passwort-Resets aus und übernimmt zuerst die E-Mail, dann Bank-, Krypto- und soziale Konten.

Die grundlegende Schwäche ist, dass SMS-Codes der Telefonnummer folgen, nicht Ihnen.

Warnzeichen

• Plötzlicher Verlust des Mobilfunknetzes (keine Anrufe/SMS/Daten), während andere um Sie herum normal funktionieren.
• Eine Anbieterwarnung über einen SIM-Wechsel oder eine Portierung, die Sie nicht angefordert haben.
• Unerwartetes Abgemeldetwerden aus Konten oder Passwort-Reset-E-Mails, die Sie nicht gestartet haben.

Wenn Ihr Telefon ausfällt und ausgefallen bleibt, gehen Sie von einem möglichen SIM-Swap aus und handeln Sie sofort.

Die Abwehrmaßnahmen, die wirklich funktionieren

1. Sperren Sie die Nummer beim Anbieter. Richten Sie eine PIN / Port-Sperre / Number Lock ein, damit Ihre Nummer nicht ohne sie übertragen werden kann. Das ist die einzige anbieterseitige Kontrolle, die die meisten Swaps blockiert.

2. Weg von SMS-2FA — das ist der entscheidende Schritt. Da ein SIM-Swap nur SMS-Codes aushebelt, verlagern Sie Ihre wichtigen Konten auf 2FA, die nicht an Ihre Telefonnummer gebunden ist:

• Authenticator-App (TOTP) — Codes, die auf dem Gerät erzeugt werden. Siehe unseren Leitfaden zur besten Authenticator-App.
• Hardware-Sicherheitsschlüssel (FIDO2) — phishing- und swap-sicher. Siehe unseren Vergleich von Hardware-Sicherheitsschlüsseln.
• Passkeys — an Ihr Gerät gebunden. Siehe Passkey-Einrichtung.

3. Entfernen Sie die Telefonnummer als Wiederherstellungsmethode bei kritischen Konten, wo die Plattform es erlaubt.

4. Verkleinern Sie Ihre preisgegebenen Daten — der Angreifer braucht persönliche Details, um sich als Sie auszugeben. Starke, einzigartige Passwörter in einem Manager bedeuten, dass ein SIM-Swap allein nicht ausreicht, um über Konten hinweg zu kaskadieren.

Wenn Sie gerade jetzt einem SIM-Swap zum Opfer fallen

1. Rufen Sie Ihren Anbieter von einem anderen Telefon aus an, um die Nummer wieder abzusichern und den Swap rückgängig zu machen.
2. Von einem vertrauenswürdigen Gerät aus sichern Sie zuerst Ihre E-Mail (sie ist der Hauptschlüssel): Ändern Sie das Passwort, widerrufen Sie Sitzungen, schalten Sie SMS-2FA ab.
3. Tun Sie dasselbe für Bank-, Krypto- und soziale Konten, in dieser Reihenfolge.
4. Kontaktieren Sie Ihre Bank, um Betrug zu melden, und erstatten Sie Anzeige bei der zuständigen Behörde.

Geschwindigkeit ist alles: Ihr Risikofenster ist die Lücke zwischen dem Swap und Ihrer Rückgewinnung der Kontrolle. Das vollständige Vorfall-Drehbuch finden Sie unter was zu tun ist, wenn Ihr Konto gehackt wird.

Das Fazit

Ein SIM-Swap ist nur gegen SMS-basierte Verifizierung mächtig. Sperren Sie Ihre Nummer beim Anbieter, verlagern Sie jedes wichtige Konto auf eine Authenticator-App, einen Hardware-Schlüssel oder Passkeys und bewahren Sie starke, einzigartige Passwörter in einem Manager auf. Tun Sie das, und das Kapern Ihrer Telefonnummer ist kein Hauptschlüssel zu Ihrem digitalen Leben mehr.

Redaktioneller Leitfaden auf Basis dokumentierter SIM-Swap-Angriffsmethoden und der dokumentierten Eigenschaften der Authentifizierung per SMS, TOTP, FIDO2 und Passkey. Wir benennen die spezifische Schwäche von SMS-2FA klar. Kommerzielle Links tragen das Attribut rel="sponsored nofollow"; es kann eine Affiliate-Provision anfallen, ohne dass Ihnen zusätzliche Kosten entstehen.