SIM-Swap: Der Angreifer braucht nur dein Kundenkonto

Das Handy zeigt kein Netz mehr. Kein Balken, kein Notruf, nichts. Zwanzig Minuten später kommt die Mail, dass sich jemand in dein Postfach eingeloggt hat, und der Code dafür ging an eine Nummer, die eben noch dir gehört hat. So beschreibt das Landeskriminalamt Niedersachsen den Ausgang, und die Ermittler nennen das Kapern von Mobilfunk- und Mailkonto einen Totalschaden. In einem der Fälle, die dort bekannt sind, war im gekaperten Postfach zu sehen, dass das Opfer in Kryptowerte investiert hatte, und das Geld war anschließend weg.

Die verbreitete Vorstellung von SIM-Swapping geht so: Jemand fälscht einen Ausweis, geht in einen Laden und lässt sich eine Ersatzkarte geben. Das kommt vor, aber der Weg, vor dem die Ermittler warnen, kommt ohne Laden und ohne Papiere aus.

Drei Schritte, und keiner davon braucht einen Ausweis

Der Einstieg ist das Kundenkonto beim Mobilfunkanbieter, und dorthin kommen die Täter über die Rufnummer allein. Manche Anbieter lassen den Login ins Onlinekonto nicht nur per Passwort zu, sondern auch per Einmalcode, und den kann jeder anfordern, der die Nummer kennt. Genau diesen Code holen sich die Täter beim Opfer ab.

Dafür rufen sie an und geben sich als Paketboten aus. Eine Sendung sei unterwegs und lasse sich nur zustellen, wenn man aus Sicherheitsgründen kurz einen Code aus einer SMS vorliest. Die SMS kommt tatsächlich, nur eben vom Mobilfunkanbieter und nicht vom Paketdienst, was im Eifer des Gefechts untergeht. Wer den Code nennt, öffnet sein Kundenkonto.

Im Konto bestellen die Täter dann eine eSIM für den laufenden Vertrag. Ein Stück Plastik muss dafür nirgendwo hin, das Profil ist eine Datei und in wenigen Minuten aktiv. Sobald sie auf dem fremden Gerät läuft, schaltet sich die Karte im Handy des Opfers in der Regel selbst ab.

Danach laufen alle SMS auf dem fremden Gerät auf, und weil sich die Passwörter der meisten Onlinedienste über eine Mail oder eine SMS zurücksetzen lassen, fällt der Rest hinterher. Wie schnell eine Nummer zum Generalschlüssel wird, haben wir am Beispiel alter Handynummern auseinandergenommen.

Eine Sperre gegen die Portierung kannst du nicht einschalten

An dieser Stelle liegt der Gedanke nahe, die eigene Nummer einfach festzunageln. In den USA geht das tatsächlich. Verizon nennt die Portierungssperre Number Lock, T-Mobile bietet sie als Port Out Protection an, und AT&T bündelt mehrere Sperren im Wireless Account Lock, der allerdings nur in der eigenen App sitzt.

Eine Sperre, die gezielt Portierung und SIM-Tausch blockiert, gibt es in Deutschland nicht, und dafür gibt es einen Grund. Die Rufnummernmitnahme ist hier ein Anspruch, geregelt in Paragraf 59 des Telekommunikationsgesetzes, und seit dem 1. Dezember 2021 dürfen die Anbieter dafür kein Entgelt mehr verlangen. Ein dauerhafter Riegel, den der Kunde selbst vorschiebt, passt schlecht zu einem Recht, das der Gesetzgeber ausdrücklich leicht ausübbar machen wollte. Was die deutschen Anbieter stattdessen haben, ist das Kennwort für die Hotline und die Möglichkeit, eine SIM nach dem Verlust zu sperren. Beides greift, nachdem etwas passiert ist.

Der Schalter, den es wirklich gibt, sitzt vor dem Konto

Der Angriff beginnt beim Kundenkonto, also entscheidet sich dort auch die Abwehr. Alle drei großen Anbieter haben inzwischen einen zweiten Faktor für den Login, aber die Unterschiede sind für dieses Thema erheblich.

Bei der Telekom heißt die Funktion Mehr-Faktor-Authentifizierung und greift erst, wenn du sie selbst einrichtest. Dabei wählst du das Verfahren, App oder SMS, und dazu den Zeitpunkt, entweder bei jeder Anmeldung oder nur bei wichtigen Aktionen. Vodafone rät beim Aktivieren dazu, gleich Backup-Codes zu erzeugen, damit ein verlorenes Handy nicht auch noch den Zugang kostet. Bei O2 ist der zweite Faktor gesetzt, dort läuft die Prüfung über die Kundenkennzahl, wenn weder eine o2-Nummer noch eine verifizierte Mailadresse hinterlegt ist.

Warum der zweite Faktor per SMS hier in die falsche Richtung zeigt

Jetzt legt man den Angriff und die Einstellungen nebeneinander. Gestohlen wird die Rufnummer, und der zweite Faktor, der das Kundenkonto schützen soll, ist bei O2 standardmäßig und bei der Telekom auf Wunsch eine SMS an genau diese Rufnummer. Solange nur das Passwort abhandengekommen ist, funktioniert das. Sobald die Nummer weg ist, schützt der zweite Faktor den Angreifer statt dich.

O2 schreibt in derselben Ankündigung, in der die Pflicht zum zweiten Faktor steht, einen Satz, der beim Lesen leicht untergeht. Den Code solle man niemals telefonisch oder im Chat weitergeben, das Serviceteam frage dort nie danach. Das ist präzise die Stelle, an der der falsche Paketbote anruft.

Wer wählen darf, nimmt deshalb die App. Ein Code aus einer Authentifizierungs-App liegt auf dem Gerät und wandert nicht mit der Nummer mit. Wer nicht wählen darf, verlagert das Gewicht auf das Mailkonto. Dann gehört dort ein starkes eigenes Passwort hin und ein zweiter Faktor, der nicht wieder an derselben Nummer hängt.

Fünf Minuten, in denen du das erledigst

Melde dich im Kundenportal deines Anbieters an und sieh nach, ob ein zweiter Faktor eingerichtet ist. Bei der Telekom findest du das in den Login-Einstellungen, bei Vodafone unter Mein Konto und Login-Daten, bei O2 ist er ohnehin aktiv. Steht dort SMS und lässt sich eine App auswählen, stell um. Bei der Telekom setzt du zusätzlich den Zeitpunkt auf jede Anmeldung.

Prüfe im selben Zug, ob das Passwort fürs Kundenkonto nur dort benutzt wird. Es ist der Schlüssel zu einer eSIM-Bestellung, also gehört es in dieselbe Kategorie wie das Passwort fürs Onlinebanking. Sieh danach nach, was bei deinem Anbieter am Telefon als Hürde dient. Bei der Telekom ist das das Kundenkennwort, einrichten und ändern läuft über das Kontaktformular. Vodafone hat im Mobilfunk stattdessen die Service-PIN, sie steht in MeinVodafone, ändern lässt sie sich nicht, nur neu anfordern, und sie kommt dann per Brief.

Und dann noch die Regel, die keine Einstellung ist. Niemand, der anruft, braucht einen Code aus deiner SMS. Kein Paketdienst, kein Serviceteam, keine Bank. Wer danach fragt, hat den Code nötig, weil er gerade dabei ist, etwas in deinem Namen zu bestätigen. Auflegen, selbst die offizielle Nummer wählen, nachfragen. Dieselbe Logik gilt beim Passwort für die Verifizierung in zwei Schritten bei WhatsApp, das seit Ende August die alte sechsstellige PIN ablöst.