Name, Geburtsdatum, Adresse: Worauf es beim SIM-Swapping-Schutz für dein Krypto-Konto ankommt

Beim SIM-Swapping übernehmen Betrüger deine Handynummer, indem sie beim Mobilfunkanbieter eine neue SIM-Karte auf deinen Namen aktivieren lassen. Ab diesem Moment landen alle SMS-Codes auf ihrem Gerät, auch der Bestätigungscode deiner Krypto-Börse. Der wirksamste Schutz besteht aus zwei Schritten: Die Zwei-Faktor-Authentifizierung am Börsenkonto läuft über eine Authenticator-App oder einen Hardware-Schlüssel statt über SMS, und beim Mobilfunkanbieter liegt ein Kundenkennwort, ohne das niemand am Telefon eine neue Karte bestellen kann.

Das ist kein theoretisches Risiko. Wer Bitcoin oder andere Coins auf einer Börse liegen hat, verliert sie bei einem erfolgreichen Angriff endgültig: Eine Überweisung auf der Blockchain lässt sich nicht zurückholen, und für Guthaben bei einer Krypto-Börse gibt es keine Einlagensicherung wie bei einer Bank. Der Angriff selbst braucht keine Technik. Er braucht nur einen Mitarbeiter am Kundenschalter, der die Person am anderen Ende der Leitung für dich hält.

SIM-Swapping erklärt: die Betrugsmasche am Kundenschalter des Mobilfunkanbieters

SIM-Swapping ist der unbefugte Umzug einer Mobilfunknummer auf eine neue SIM-Karte, die der Angreifer kontrolliert. Die Abkürzung SIM steht für Subscriber Identity Module, also das Modul, das deine Teilnehmerkennung trägt. Entscheidend ist: Die Nummer gehört nicht zur Karte, sondern zum Vertrag. Jeder Anbieter kann eine Nummer jederzeit auf eine andere Karte oder ein eSIM-Profil umbuchen, denn genau das braucht ein Kunde, der sein Handy verloren hat.

Diese Umbuchung ist der Angriffspunkt. Die Fachliteratur nennt die Masche auch SIM-Hijacking oder SIM-Swap-Betrug. Nach Darstellung der Fachzeitschrift PC-WELT erfolgt SIM-Swapping in der Regel über das Kundenportal oder die Kunden-Hotline des Mobilfunk-Providers. Es wird also keine Sicherheitslücke in einem Chip ausgenutzt, sondern eine Prozesslücke in der Kundenbetreuung. Der Angreifer ruft an, gibt sich als du aus und meldet ein verlorenes Telefon.

Für dich sieht das Ergebnis harmlos aus. Dein Mobiltelefon verliert das Netz, mehr nicht. Die Kontrolle über die Nummer liegt in diesem Augenblick bereits woanders.

Dein Krypto-Konto hängt an der Handynummer: der Weg vom SIM-Swap zur leeren Börse

Die Handynummer ist bei den meisten Online-Diensten der Generalschlüssel. Diese Nummer dient als zweiter Faktor beim Login, als Weg für die Passwort-Zurücksetzung und als Kanal für Bestätigungen bei Auszahlungen. Wer sie kontrolliert, hat damit drei Hebel gleichzeitig in der Hand.

Der typische Ablauf bei einem Krypto-Konto: Der Angreifer startet an der Börse eine Passwort-Zurücksetzung. Die Bestätigung geht an deine E-Mail-Adresse. Hat er auch dort Zugang, weil das E-Mail-Konto ebenfalls per SMS abgesichert war, ist die Kette geschlossen. Er setzt beide Passwörter neu, bestätigt die Anmeldung mit dem SMS-Code, der jetzt bei ihm ankommt, und veranlasst eine Auszahlung an eine eigene Adresse. Bei Bitcoin und Ethereum ist dieser Transfer nach wenigen Bestätigungen endgültig.

Deshalb trifft SIM-Swapping Krypto-Anleger härter als Bankkunden. Eine Bank kann eine Überweisung im SEPA-Raum unter Umständen zurückrufen und haftet im Streitfall nach den Regeln für nicht autorisierte Zahlungen. Eine Blockchain-Transaktion kennt keinen Rückruf. Wer sein Guthaben nicht selbst verwahrt, sollte deshalb wenigstens den Zugang zum Konto so bauen, dass eine fremde SIM-Karte ihn nicht öffnet. Welche Börsen welche Verfahren anbieten, zeigt unser Vergleich der Krypto-Börsen.

Name, Geburtsdatum und Anschrift: diese drei Angaben genügen Betrügern oft

Die Vorarbeit ist unspektakulär. O2 schreibt in seinem Ratgeber zur Masche, es genüge den Kriminellen in vielen Fällen, grundlegende personenbezogene Daten wie den vollständigen Namen, das Geburtsdatum und die Anschrift anzugeben. Alle drei Angaben stehen bei vielen Menschen offen im Netz oder lassen sich mit wenig Aufwand zusammentragen.

Die Quellen dafür sind bekannt: Profile in sozialen Netzwerken, aus denen sich Geburtstag und Wohnort ablesen lassen; Datenlecks bei Online-Händlern, deren Datensätze im Darknet gehandelt werden; und Phishing-Mails, die gezielt nach Vertragsdaten fragen. Ein Angreifer braucht keine einzige Zahl aus deinem Börsenkonto. Er braucht nur genug, um am Telefon glaubwürdig zu klingen.

Daraus folgt eine unbequeme Regel für Social Media: Jedes öffentlich sichtbare Detail, das in einer Sicherheitsabfrage vorkommen könnte, ist ein Baustein für den Angriff. Das gilt für den Geburtstag ebenso wie für den Namen des ersten Haustiers, der in vielen Kundensystemen immer noch als Sicherheitsfrage dient.

Vom Kundenportal zur neuen SIM-Karte: der Angriff in drei Phasen

O2 beschreibt den Ablauf in drei Phasen, und die decken sich mit dem, was Ermittler aus Verfahren berichten.

Phase eins: die Daten sammeln

Der Angreifer trägt zusammen, was der Mobilfunkanbieter zur Identifikation abfragt. Dafür reichen Phishing-Mails, gefälschte Webseiten und öffentliche Profile.

Phase zwei: die Identität übernehmen

Er meldet sich beim Anbieter, gibt sich als Vertragsinhaber aus und begründet den Wunsch nach einer neuen Karte mit einem Verlust oder einem technischen Problem, etwa einem anderen Kartenformat.

Phase drei: die Nummer aktivieren

Die neue SIM-Karte oder das neue eSIM-Profil wird freigeschaltet, deine alte Karte verliert das Netz. Ab jetzt laufen Anrufe, Nachrichten und alle SMS-Codes beim Angreifer auf.

Zwischen Phase zwei und Phase drei vergehen im ungünstigsten Fall Minuten. Deshalb ist die Verteidigung, die erst nach dem Angriff greift, fast immer zu spät. Was wirklich hilft, sind Hürden, die vorher stehen.

971 Fälle, 17,4 Millionen Dollar: die FBI-Zahlen zu SIM-Swapping für 2025

Für Deutschland gibt es keine eigene Statistik zu dieser Betrugsmasche. Die beste verfügbare Erhebung führt die US-Bundespolizei FBI mit ihrem Jahresbericht des Internet Crime Complaint Center, und die Zahlen dort sind eindeutig genug, um die Größenordnung zu zeigen.

Für 2025 zählt das FBI 971 gemeldete SIM-Swap-Fälle mit einem Schaden von 17.366.758 Dollar. Ein Jahr davor waren es 982 Fälle und 25.983.946 Dollar, im Jahr 2023 noch 1.075 Fälle und 48.798.103 Dollar. Rechnerisch kostet ein gemeldeter Fall 2025 damit rund 17.900 Dollar. Die Zahl der Meldungen sinkt also kaum, die gemeldete Schadenssumme deutlich.

Zwei Einschränkungen gehören dazu. Erstens sind das Meldungen aus den USA, nicht aus Deutschland. Zweitens erfasst die Behörde nur, was jemand aktiv meldet; die Dunkelziffer ist unbekannt. Was die Zahlen trotzdem zeigen: Der Schaden je Fall liegt im fünfstelligen Bereich, und das passt zu einem Angriff, der sich erst lohnt, wenn hinter dem Konto ein nennenswertes Guthaben steht.

Interessant ist die Altersverteilung in derselben Erhebung. Die meisten SIM-Swap-Meldungen 2025 kommen aus der Gruppe der 40- bis 49-Jährigen mit 210 Fällen, dahinter folgen die 50- bis 59-Jährigen mit 194 und die 30- bis 39-Jährigen mit 162 Fällen. Unter 20 Jahren sind es sechs. Das ist kein Jugendphänomen, sondern trifft die Altersgruppen mit dem größten Vermögen.

Zum Vergleich der Dimensionen: Dieselbe Erhebung weist für 2025 insgesamt 181.565 Beschwerden mit Krypto-Bezug und einen Schaden von gut 11,3 Milliarden Dollar aus. SIM-Swapping ist davon ein kleiner, aber besonders gezielter Ausschnitt.

Kein Netz, fremde Codes, unbekannte Logins: die Warnzeichen eines SIM-Swap-Angriffs

Ein SIM-Swap kündigt sich an, allerdings nur für wenige Minuten und nur, wenn du weißt, worauf das hindeutet. Diese Anzeichen stehen übereinstimmend in den Ratgebern der Anbieter und der Sicherheitsfirmen:

• Plötzlich kein Netz. Dein Telefon zeigt keinen Empfang mehr oder nur noch Notrufe, obwohl andere Geräte am selben Ort normal funktionieren. Das ist das deutlichste Warnzeichen überhaupt.
• Unerwartete Bestätigung des Anbieters. Eine E-Mail oder ein Brief kündigt eine neue SIM-Karte, ein neues eSIM-Profil oder eine Vertragsänderung an, die du nicht veranlasst hast.
• SMS-Codes, die du nicht angefordert hast. Solange die alte Karte noch läuft, kommen manchmal Codes für Logins an, die niemand aus deinem Haushalt ausgelöst hat.
• Abgelehnte Anmeldung. Du kommst in dein E-Mail-Konto oder in dein Börsenkonto nicht mehr hinein, obwohl das Passwort stimmt.
• Stille Änderungen in Konten. In sozialen Netzwerken oder beim Online-Banking tauchen neue Geräte, neue Sitzungen oder geänderte Kontaktdaten auf.

Der Haken am ersten Punkt: Ein Funkloch sieht genauso aus. Deshalb gilt die Faustregel, dass ein plötzlicher Netzverlust mitten im Alltag, ohne Ortswechsel und ohne Neustart, innerhalb weniger Minuten einen Anruf beim Anbieter von einem anderen Telefon aus verdient.

Authenticator-App statt SMS: die Zwei-Faktor-Authentifizierung am Börsenkonto umstellen

Die Zwei-Faktor-Authentifizierung verlangt neben dem Passwort einen zweiten, unabhängigen Nachweis. Ob dieser Nachweis einen SIM-Swap übersteht, hängt allein davon ab, wo er erzeugt wird.

Das Bundesamt für Sicherheit in der Informationstechnik ordnet die Verfahren in seinen Empfehlungen zum Accountschutz klar ein. Zur Übermittlung per SMS schreibt die Behörde, gängig sei vor allem die Übermittlung per SMS, also mTAN oder smsTAN. Zur Alternative heißt es dort wörtlich: „Besser sind TAN-Generatoren (Hardware) bzw. Authenticator Apps (Software), die Einmalkennwörter zeit- oder ereignisbasiert stets neu generieren." Und zur stärksten Stufe: „sicherer ist aber die Speicherung in Hardware auf einer Chipkarte (HBCI, Signaturkarten) oder einem speziellen USB-Stick/NFC-Token (FIDO/U2F)."

Für dein Krypto-Konto heißt das in aufsteigender Sicherheit:

1. SMS-Code. Hängt an der Handynummer und fällt bei einem SIM-Swap vollständig aus. Nur als Notlösung, wenn ein Anbieter nichts anderes kann.
2. Authenticator-App (TOTP). Der Einmalcode entsteht auf deinem Gerät aus einem geheimen Startwert und der Uhrzeit. Eine fremde SIM-Karte ändert daran nichts. Den Startwert sicherst du beim Einrichten getrennt vom Telefon.
3. Passkey oder Hardware-Schlüssel (FIDO2/U2F). Der Schlüssel liegt in einem separaten Stück Hardware oder im Sicherheitschip des Geräts und verlässt es nie. Er ist zugleich der einzige Faktor, der auch gegen Phishing schützt, weil er die Internetadresse der echten Seite prüft.

Wichtig ist der zweite Schritt, den viele vergessen: Nach dem Umstellen entfernst du die Telefonnummer als Wiederherstellungsoption. Sonst bleibt der alte Weg offen, und der Angreifer nimmt einfach den. Genau dieselbe Logik haben wir in unserem Stück zur Zwei-Faktor-Authentifizierung bei der Krypto-Börse ausführlich durchgespielt.

Kundenkennwort bei Telekom, Vodafone und O2: der Riegel beim Mobilfunkanbieter

Die zweite Hälfte des Schutzes liegt beim Mobilfunkanbieter. Nach Darstellung der PC-WELT ist bei der Telekom, bei Vodafone und bei O2 ein spezielles Kundenkennwort an der Kunden-Hotline verpflichtend. Dieses Kennwort ist der Riegel: Ohne es soll am Telefon keine Bestellung und keine Kartenumbuchung laufen.

Daraus ergeben sich drei konkrete Handgriffe, die jeder in einer Viertelstunde erledigt:

• Kundenkennwort setzen und ändern. Es muss sich von allen anderen Passwörtern unterscheiden und darf nichts enthalten, was in einem öffentlichen Profil steht. Bei vielen Verträgen steht beim Abschluss ein schwaches Standardkennwort darin.
• Zugang zum Kundenportal absichern. Das Portal ist nach Darstellung der PC-WELT der zweite Weg neben der Hotline. Eigenes Passwort, und wenn der Anbieter es anbietet, ein zweiter Faktor, der nicht die eigene Nummer ist.
• Nach zusätzlichen Sperren fragen. Die Telekom bietet seit dem Sommer 2018 eine Identifikation per Stimme an. Andere Anbieter arbeiten mit Rückrufen oder mit Versand per Post. Welche Hürde dein Vertrag kennt, steht in keinem Tarifblatt; das erfährst du nur im Gespräch.

Ein Nebeneffekt der eSIM ist dabei hilfreich: Weil das Profil an ein bestimmtes Gerät gebunden und zusätzlich autorisiert werden muss, ist der Umzug auf fremde Hardware aufwendiger als bei einer Plastikkarte, die sich irgendwohin schicken lässt.

Auszahlungsadressen, Entnahmesperre und Eigenverwahrung: die zweite Verteidigungslinie

Selbst wenn ein Angreifer bis ins Konto kommt, muss er die Coins noch herausbekommen. Genau dort setzt die zweite Verteidigungslinie an, und sie kostet nichts außer ein paar Minuten in den Einstellungen.

Auszahlungsadressen festschreiben

Die meisten Börsen erlauben eine Liste erlaubter Auszahlungsadressen, oft Adressbuch oder Whitelist genannt. Steht eine Adresse nicht darauf, geht nichts hinaus. Entscheidend ist die Sperrfrist beim Hinzufügen einer neuen Adresse: 24 oder 48 Stunden, in denen keine Auszahlung an das neue Ziel möglich ist. Diese Frist ist genau das Zeitfenster, in dem du einen Angriff bemerkst.

Entnahmesperre nach Änderungen

Viele Anbieter sperren Auszahlungen automatisch für einen Tag, nachdem jemand das Passwort, die E-Mail-Adresse oder den zweiten Faktor geändert hat. Wo das einstellbar ist, schaltest du es ein. Wo nicht, lohnt der Blick, ob der Anbieter diese Sperre überhaupt kennt.

Was nicht auf der Börse liegen muss

Der härteste Schutz bleibt, den langfristigen Bestand gar nicht erst beim Anbieter zu lassen. Wer selbst verwahrt, hat kein Konto, das sich per Telefon übernehmen lässt. Dafür handelt er sich andere Risiken ein, vor allem bei Freigaben in der eigenen Wallet. Was dabei schiefgehen kann, haben wir am Beispiel der Wallet-Drainer und ihrer Signaturen gezeigt, und wie man alte Berechtigungen wieder loswird, steht in unserer Anleitung zum Widerruf von Token-Freigaben bei Ethereum.

Ersatz-SIM für 14,95 Euro: was ein Urteil des OLG Frankfurt für Betroffene bedeutet

Nach einem SIM-Swap brauchst du eine neue Karte, und dafür haben Anbieter lange pauschal kassiert. Der Verbraucherzentrale Bundesverband hat dagegen geklagt und berichtet von einem Urteil des Oberlandesgerichts Frankfurt am Main vom 18. Juli 2024 gegen die Drillisch Online GmbH, Aktenzeichen 1 UKl 2/24. Streitpunkt war eine Preisliste, nach der eine Ersatz-SIM-Karte 14,95 Euro kosten sollte, ohne jede Ausnahme.

Das Gericht hielt diese Pauschale für unzulässig, weil sie auch Fälle erfasst, die der Kunde gar nicht verursacht hat. Der Verband fasst den Kern so zusammen, dass das Entgelt keine Fälle umfassen darf, in denen der Ersatz der SIM-Karte von Kundinnen und Kunden nicht verursacht wurde. Nach Angaben des Verbands ist die Entscheidung rechtskräftig.

Für dich heißt das zweierlei. Erstens ist die Gebühr für eine Ersatzkarte nach einem fremdverschuldeten Vorfall diskutabel, und ein Hinweis auf dieses Urteil im Gespräch mit dem Anbieter schadet nicht. Zweitens ändert das nichts am eigentlichen Schaden: Die Karte ist das Billigste an der ganzen Geschichte. Wer Haftungsfragen gegenüber Bank oder Mobilfunkanbieter klären will, braucht anwaltlichen Rat, denn die Rechtslage hängt am Einzelfall und ist nicht pauschal zu beantworten.

Der SIM-Swap ist passiert: so prüfst du deine Konten und sperrst die Nummer

Wenn der Verdacht da ist, zählt die Reihenfolge. Diese Schritte stehen übereinstimmend in den Empfehlungen von Anbietern und Sicherheitsfirmen:

1. Nummer sperren lassen. Von einem anderen Telefon aus beim Mobilfunkanbieter anrufen, den Vorgang melden und die fremde Karte sperren lassen. Das ist der einzige Schritt, der den Nachschub an Codes abschneidet.
2. E-Mail-Konto zuerst sichern. Die E-Mail-Adresse ist die Wurzel, das Börsenkonto kommt erst danach. Passwort ändern, alle fremden Sitzungen beenden, zweiten Faktor auf eine App oder einen Hardware-Schlüssel umstellen.
3. Börsenkonto sperren. Die meisten Anbieter haben eine Notfallsperre für Auszahlungen oder für das ganze Konto. Danach Passwort und zweiten Faktor neu setzen und sämtliche aktiven Geräte abmelden.
4. Bank und Zahlungsdienste benachrichtigen. Online-Banking und jeder Dienst, der Banktransaktionen über die Nummer bestätigt, gehören auf dieselbe Liste.
5. Anzeige erstatten. Eine Anzeige bei der Polizei ist die Grundlage für jeden späteren Erstattungs- oder Haftungsanspruch. Dazu alles sichern, was den Zeitpunkt belegt: Bildschirmfotos, E-Mails des Anbieters, Zeitpunkte der Auszahlungen.
6. Verbliebene Bestände bewegen. Was noch da ist, gehört auf eine Adresse, deren Schlüssel der Angreifer nie gesehen hat.

Zur Ehrlichkeit gehört: Sind Coins einmal abgeflossen, ist die Rückholung auf der Blockchain nicht vorgesehen. Was bleibt, sind die Spur der Transaktion, die Anzeige und der Weg über die Börse, auf der die Beute landet.

SIM-Swapping: Was du daraus mitnimmst

Die Masche braucht keine Technik, sondern Geduld am Telefon, und sie zielt auf den schwächsten Punkt deiner Kontosicherheit: eine Telefonnummer, die ein Fremder umbuchen lassen kann. Drei Schritte schließen die Lücke.

1. Zweiten Faktor umstellen. Heute noch bei Börse und E-Mail-Anbieter von SMS auf Authenticator-App oder Hardware-Schlüssel wechseln und die Nummer als Wiederherstellungsweg löschen. Welche Anbieter unter europäischer Aufsicht stehen und welche Verfahren sie bieten, zeigt unsere Übersicht zu regulierten Krypto-Börsen.
2. Riegel beim Mobilfunkanbieter setzen. Kundenkennwort vergeben, Kundenportal mit eigenem Passwort absichern und nach zusätzlichen Hürden für Kartenwechsel fragen. Parallel prüfen, was überhaupt beim Anbieter liegen muss und was besser in eine eigene Software-Wallet gehört.
3. Zweite Verteidigungslinie aktivieren. Auszahlungsadressen festschreiben, Entnahmesperre nach Änderungen einschalten und den langfristigen Bestand in Eigenverwahrung nehmen; die Geräte dafür stehen im Hardware-Wallet-Vergleich.

(Stand: 2. Oktober 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)