SIM-Swapping: So funktioniert der gefährliche Identitätsdiebstahl

Wie funktioniert SIM-Swapping?

SIM-Swapping ist eine besonders hinterhältige Form des Identitätsdiebstahls. Dabei gelingt es Kriminellen, die SIM-Karte eines Opfers zu übernehmen und so dessen Handynummer für ihre Zwecke zu nutzen. Das Perfide daran: Die meisten Betroffenen bemerken den Angriff erst, wenn es bereits zu spät ist – nämlich dann, wenn sie plötzlich keinen Mobilfunkempfang mehr haben oder sich nicht mehr in ihre Online-Konten einloggen können. Doch wie läuft ein solcher Angriff genau ab?

Datenbeschaffung: Der erste Schritt zum Identitätsdiebstahl

Bevor die Täter eine fremde SIM-Karte übernehmen können, müssen sie an persönliche Daten des Opfers gelangen. Das tun sie auf verschiedene Weise:

• Phishing-Angriffe: Opfer erhalten gefälschte E-Mails oder SMS, die angeblich von Banken, Online-Diensten oder Mobilfunkanbietern stammen. Sie werden dazu aufgefordert, persönliche Daten wie Geburtsdatum, Adresse oder sogar Passwörter einzugeben.
• Datenlecks: Cyberkriminelle nutzen gestohlene Informationen aus Hackerangriffen auf Unternehmen. Werden beispielsweise Benutzerdaten von Online-Shops oder sozialen Netzwerken geleakt, können Betrüger diese nutzen, um sich als das Opfer auszugeben.
• Social Engineering: Täter rufen das Opfer oder dessen Familie an und geben sich als Bankangestellte oder Behördenmitarbeiter aus. Mit geschickter Gesprächsführung locken sie vertrauliche Informationen aus den Betroffenen heraus.

Besonders gefährlich ist es, wenn Betrüger Zugang zu sensiblen Informationen wie Personalausweisnummern oder Antworten auf Sicherheitsfragen bekommen. Diese erleichtern es ihnen, sich als das Opfer auszugeben und einen SIM-Tausch beim Mobilfunkanbieter durchzusetzen.

Der Anruf beim Mobilfunkanbieter: Betrüger übernehmen die Identität des Opfers

Sobald die Täter genug persönliche Informationen gesammelt haben, nehmen sie Kontakt mit dem Mobilfunkanbieter des Opfers auf. Hier setzen sie auf geschickte Täuschung:

• Sie geben sich als der rechtmäßige Kunde aus und behaupten, ihr Handy sei verloren gegangen oder die SIM-Karte sei defekt.
• Manche Kriminelle erstellen sogar gefälschte Ausweisdokumente oder Rechnungen, um ihre Identität glaubwürdiger erscheinen zu lassen.
• In vielen Fällen nutzen sie zuvor gesammelte Informationen, um die Sicherheitsfragen des Anbieters korrekt zu beantworten.

Wenn der Mobilfunkanbieter den Tätern glaubt, wird eine neue SIM-Karte mit der Telefonnummer des Opfers ausgestellt – und an die Adresse des Betrügers geschickt. Sobald diese aktiviert wird, verliert die echte SIM-Karte des Opfers ihre Funktion.

Übernahme der Telefonnummer: Das Opfer wird vom Netz getrennt

Nun haben die Kriminellen die volle Kontrolle über die Handynummer. Die alte SIM-Karte des Opfers wird deaktiviert – ohne Vorwarnung. Viele merken den Angriff erst, wenn plötzlich keine Anrufe oder SMS mehr ankommen und das Handy „Kein Netz“ anzeigt.

Für die Betrüger beginnt jetzt die entscheidende Phase: Sie können nun alle Anrufe und SMS empfangen, die eigentlich für das Opfer bestimmt sind. Besonders brisant: Viele Online-Dienste und Banken verwenden SMS-Codes für die Zwei-Faktor-Authentifizierung. Das bedeutet, dass sich die Täter nun Zugang zu den wichtigsten Konten des Opfers verschaffen können.

Kontenübernahme: Die gefährliche Phase des Angriffs

Mit der gestohlenen Telefonnummer können die Betrüger nun alle Konten übernehmen, die mit dieser Nummer verknüpft sind. Dazu gehören:

• Bankkonten: Viele Banken senden TAN-Codes per SMS. Hat ein Betrüger bereits die Zugangsdaten des Opfers (z. B. durch Phishing), kann er mit dem SMS-Code Überweisungen tätigen und Geld stehlen.
• E-Mail-Konten: Ist das E-Mail-Konto mit der Telefonnummer gesichert, kann der Angreifer ein neues Passwort anfordern – und sich so vollständigen Zugriff auf die E-Mails verschaffen.
• Social-Media-Profile: Facebook, Instagram, Twitter & Co. bieten oft die Möglichkeit, das Passwort über die Handynummer zurückzusetzen. Sobald der Betrüger Zugriff hat, kann er sich als das Opfer ausgeben oder sogar Erpressungen durchführen.
• Online-Shopping & PayPal: Viele Onlineshops und Zahlungsdienste erlauben ebenfalls Passwort-Resets per SMS. So können die Täter Bestellungen auf Kosten des Opfers aufgeben.

Da der Betrüger die Handynummer des Opfers vollständig kontrolliert, bleibt dem echten Besitzer oft nichts anderes übrig, als hilflos zuzusehen. Selbst das Zurücksetzen von Passwörtern wird schwierig, weil auch die E-Mail-Konten übernommen werden können.

Warum ist das so gefährlich?

SIM-Swapping ist weit mehr als nur ein einfacher Betrug – es ist ein direkter Angriff auf die digitale Identität eines Menschen. Wer seine Handynummer verliert, verliert in vielen Fällen auch die Kontrolle über Bankkonten, soziale Netzwerke und E-Mail-Dienste. Der Täter kann sich als das Opfer ausgeben, vertrauliche Informationen abrufen oder finanziellen Schaden anrichten. Besonders gefährlich wird es, weil viele Online-Dienste auf die Telefonnummer als Sicherheitsfaktor setzen.

Zugriff auf Online-Banking: Dein Geld ist in Gefahr

Viele Banken nutzen SMS-TANs (Transaktionsnummern), um Überweisungen oder Kontoänderungen zu bestätigen. Solange der Bankkunde alleinigen Zugriff auf sein Handy hat, gilt diese Methode als sicher. Doch sobald ein Betrüger die Kontrolle über die Handynummer übernimmt, ändert sich das schlagartig.

So könnte ein Angriff ablaufen:

1. Der Täter gibt sich bei der Bank als das Opfer aus und fordert eine Passwortzurücksetzung an.
2. Die Bank sendet den Bestätigungscode per SMS an die gehackte Handynummer.
3. Der Angreifer setzt das Passwort zurück und erhält vollständigen Zugriff auf das Konto.
4. Nun kann er Überweisungen tätigen, Daueraufträge ändern oder sogar neue Kreditkarten beantragen.

Besonders riskant wird es, wenn der Betrüger die Zugangsdaten zur Bank bereits durch Phishing oder Datenlecks erhalten hat. Dann muss er sich nur noch die SMS-TANs besorgen – und genau das ermöglicht SIM-Swapping. Opfer merken oft erst dann etwas, wenn Geld fehlt oder Transaktionen nicht mehr nachvollziehbar sind.

Kontrolle über E-Mails: Die digitale Schaltzentrale übernehmen

Die E-Mail-Adresse ist für viele Menschen das zentrale Element ihrer Online-Identität. Sie dient nicht nur zum Versenden von Nachrichten, sondern auch als Schlüssel für viele andere Dienste. Wer Zugriff auf eine E-Mail-Adresse hat, kann Passwörter zurücksetzen und fast jedes verbundene Konto übernehmen.

Mit SIM-Swapping funktioniert das folgendermaßen:

• Der Angreifer fordert ein neues Passwort für die E-Mail-Adresse des Opfers an.
• Der Anbieter sendet einen Bestätigungscode per SMS an die gehackte Nummer.
• Mit diesem Code setzt der Betrüger das E-Mail-Passwort zurück und sperrt das eigentliche Opfer aus.

Sobald der Täter die Kontrolle über die E-Mail-Adresse hat, kann er die Sicherheitseinstellungen von Online-Banking, Social-Media-Profilen oder Cloud-Diensten ändern – und das Opfer effektiv von der eigenen digitalen Identität abschneiden.

Missbrauch von Social-Media-Konten: Betrug in deinem Namen

Social-Media-Profile sind nicht nur private Plattformen zum Austausch mit Freunden – sie können auch zu einem wertvollen Ziel für Betrüger werden. Besonders verheerend ist es, wenn Kriminelle über das SIM-Swapping Zugriff auf Konten mit großer Reichweite oder hohem Einfluss erhalten.

Ein prominentes Beispiel dafür ist der Fall von Twitter-CEO Jack Dorsey im Jahr 2019:

• Hacker übernahmen seine Handynummer durch SIM-Swapping.
• Dadurch konnten sie sich in seinen Twitter-Account einloggen.
• Anschließend veröffentlichten sie eine Reihe von beleidigenden und rassistischen Tweets in seinem Namen.
• Die Nachrichten verbreiteten sich rasant, und der Vorfall sorgte weltweit für Aufsehen.

Ein solcher Angriff kann schwerwiegende Konsequenzen haben:

• Erpressung: Kriminelle drohen, peinliche oder private Nachrichten zu veröffentlichen, wenn das Opfer kein Lösegeld zahlt.
• Betrug an Freunden und Familie: Der Betrüger kann Nachrichten an Kontakte des Opfers senden und beispielsweise um Geld bitten („Hey, ich bin in einer Notlage, kannst du mir 500 € überweisen?“).
• Verbreitung von Fake News: Inhaber von großen Accounts könnten unfreiwillig zur Verbreitung von Desinformation beitragen.

Wer beruflich oder privat eine große Online-Reichweite hat, kann durch einen solchen Angriff massiven Reputationsschaden erleiden.

Identitätsdiebstahl: Der Betrüger wird zu dir

SIM-Swapping ermöglicht es Kriminellen, sich nahezu vollständig als das Opfer auszugeben. In vielen Fällen reicht der Besitz der Handynummer aus, um sich gegenüber Behörden, Banken oder Online-Diensten als legitimer Nutzer zu verifizieren.

Ein Beispiel:

• Der Täter ruft beim Mobilfunkanbieter, beim Finanzamt oder einer Behörde an.
• Er gibt sich als das Opfer aus und bestätigt seine Identität mit der übernommenen Telefonnummer.
• Manche Dienste akzeptieren telefonische Identitätsverifikationen – insbesondere, wenn Sicherheitsfragen bereits durch vorherige Datenlecks bekannt sind.

Das kann gravierende Folgen haben:

• Betrüger könnten neue Verträge im Namen des Opfers abschließen, z. B. teure Handyverträge oder Kreditkarten beantragen.
• Sie könnten Konto- oder Adressänderungen bei Online-Diensten durchführen und das Opfer komplett aussperren.
• In einigen Fällen kam es sogar dazu, dass Opfer plötzlich Schulden hatten, weil in ihrem Namen Kredite aufgenommen wurden.

Besonders heikel wird es, wenn Kriminelle die Identität eines Opfers nutzen, um Straftaten zu begehen. Es gab bereits Fälle, in denen Cyberkriminelle gefälschte Profile mit der Telefonnummer des Opfers erstellt haben, um illegale Aktivitäten zu verschleiern.

Warum SIM-Swapping so gefährlich ist

SIM-Swapping ist eine der effektivsten Methoden, um die digitale Identität eines Menschen zu stehlen. Es geht nicht nur um den Verlust einer Telefonnummer – sondern um die vollständige Kontrolle über persönliche, finanzielle und soziale Online-Konten.

Die größte Gefahr liegt in der weit verbreiteten Abhängigkeit von Telefonnummern als Sicherheitsfaktor. Viele Banken, Online-Dienste und soziale Netzwerke setzen nach wie vor auf SMS-Codes zur Authentifizierung – ein System, das mit SIM-Swapping leicht ausgetrickst werden kann.

Wer sich nicht schützt, läuft Gefahr, plötzlich keinen Zugriff mehr auf sein eigenes Geld, seine E-Mails oder seine Online-Konten zu haben – während Kriminelle im Hintergrund das digitale Leben des Opfers manipulieren.

Das könnte Sie ebenfalls interessieren:
Desinformation: Die unsichtbare Waffe gegen die Demokratie
Agentur für Arbeit insolvent? Diese Behauptung ist falsch!
Gil Ofarim: Lüge, Geständnis und die Frage nach der Wahrheit