SIM-Swapping: Kriminelle kapern Telefonnummern und umgehen SMS-Schutz

Kriminelle nutzen vermehrt das sogenannte SIM-Swapping, um fremde Mobilfunknummern zu kapern, vertrauliche Mitteilungen abzufangen und Schutzmechanismen im Online-Banking auszuhebeln.

Bei dieser auch als SIM-Port-Hacking bekannten Methode verschaffen sich Angreifer die Kontrolle über die Rufnummer des Opfers. Infolgedessen landen SMS-Nachrichten und Anrufe nicht mehr auf dem Gerät der Betroffenen, sondern auf der Hardware der Angreifer.

Auf diesem Weg gelingt es Tätern, die SMS-basierte Zwei-Faktor-Authentifizierung zu umgehen und unbefugt auf Bankkonten zuzugreifen. Für Betroffene kündigt sich der Übergriff meist dadurch an, dass das eigene Telefon plötzlich den Empfang verliert und keine Verbindung mehr zum Netz aufbauen kann.

Millionenschäden und gestohlene Daten als Einfallstor

Die finanziellen Folgen dieser Angriffsform sind gravierend. Laut dem Internet Crime Report der US-Bundespolizei FBI belief sich der durch Port-Jacking und SIM-Swapping verursachte Schaden im Jahr 2023 auf über 48.798.103 US-Dollar.

Als wesentliche Ursache für das Ausmaß gelten großflächige Datenabflüsse aus der Vergangenheit. Dazu zählt insbesondere das Datenleck bei der Kreditauskunftei Equifax aus dem Jahr 2017, bei dem sensible Daten von über 150 Millionen US-Bürgern erbeutet wurden.

Kriminelle greifen auf derartige Datensätze zurück, um sich persönliche Informationen zu beschaffen. Mit diesen Angaben gelingt es Tätern, Mobilfunkanbieter über ihre wahre Identität zu täuschen und eine Übertragung der fremden Rufnummer auf eine neue SIM-Karte zu veranlassen.

IT-Konzerne reagieren mit Abschied von SMS-Sicherheit

Aufgrund der strukturellen Anfälligkeit von Mobilfunkübertragungen drängen Sicherheitsexperten zunehmend auf robustere Verfahren. Auch Technologieunternehmen passen ihre Authentifizierungssysteme an: Microsoft stellt SMS- und Sprachcodes in Entra ID schrittweise ein. Die Deaktivierung tritt ab dem 1. Februar 2027 für den Großteil der Anwender in Kraft. Für globale Administratoren und externe Nutzer erfolgt die Umstellung ab dem 1. Juli 2027.

Anzeige

Wer sein Android-Smartphone effektiv vor Kriminellen und Datenmissbrauch schützen möchte, findet in diesem kostenlosen Ratgeber die passenden Lösungen. Erfahren Sie in fünf einfachen Schritten, wie Sie WhatsApp, PayPal und Online-Banking sicher nutzen. 5 sofort umsetzbare Schutzmaßnahmen entdecken

Sicherheitsanalysten raten Organisationen, die SMS-Anmeldung zu deaktivieren und stattdessen phishingresistente Sicherheitsmethoden wie Passkeys oder hardwarebasierte FIDO2-Token zu etablieren. Vor einer Deaktivierung sollten bestehende Systemabhängigkeiten sorgfältig geprüft werden, um versehentliche Kontosperrungen zu vermeiden.

Um unberechtigte Kontozugriffe einzudämmen, setzen Telekommunikations- und Finanzunternehmen verstärkt auf direkte Netzabfragen. In Portugal starteten die Netzbetreiber MEO, NOS und Vodafone am 20. Oktober 2026 entsprechende Sicherheitsabfragen.

Anzeige

Eine moderne Methode, um den Sicherheitsrisiken klassischer Passwörter zu begegnen, ist die Anmeldung per Fingerabdruck oder Gesichtserkennung. Dieser kostenlose Report zeigt, wie Sie Passkeys bei Diensten wie Amazon oder WhatsApp einrichten und sich vor Phishing schützen. Kostenlosen Report zur passwortlosen Anmeldung sichern

Schnittstellen zur Betrugserkennung im Mobilfunknetz

Über solche Schnittstellen können Kreditinstitute bei sensiblen Vorgängen automatisiert überprüfen, ob eine SIM-Karte innerhalb eines bestimmten Zeitraums getauscht wurde. Die Abfrage liefert den Banken lediglich die Information über den erfolgten Kartentausch, gibt jedoch keine persönlichen Identifikationsmerkmale wie Namen, Adressen oder SIM-Identifikationsnummern preis.

Verbrauchern wird zum Schutz vor Identitätsdiebstahl geraten, eine zusätzliche Sicherheits-PIN beim eigenen Mobilfunkanbieter einzurichten, starke Passwörter zu verwenden und bei der Zwei-Faktor-Authentifizierung auf SMS-Codes zugunsten von Passkeys oder physischen Hardware-Token zu verzichten.