SIM-Swap-Betrug erkennen und nachweisen: der Beweispfad in Deutschland

Beim SIM-Swap wird kein Telefon gehackt. Der Angreifer braucht kein Gerät, keine Malware und keinen Zugriff auf Ihr Konto — er braucht eine Ersatz-SIM. Und eine Ersatz-SIM ist ein Routinevorgang, den jeder Mobilfunkanbieter mehrfach täglich ausführt: Kunde meldet Verlust, Karte defekt, Umzug auf ein neues Handy, Wechsel auf eSIM. Genau deshalb ist dieser Angriff so wirksam. Er nutzt keinen Fehler in der Technik, sondern eine Lücke im Identitätsnachweis: Wer Kundennummer, Geburtsdatum und Anschrift kennt, wird am Telefon oft wie der Vertragsinhaber behandelt. Das Bundesamt für Sicherheit in der Informationstechnik beschreibt das Muster im Lagebericht zur IT-Sicherheit in Deutschland: Angreifer beantragen eine neue SIM-Karte für eine fremde Mobilfunknummer und übernehmen damit die Kontrolle über SMS-basierte Zwei-Faktor-Authentifizierung. Nutzer bemerken den Angriff häufig erst, wenn Konten bei Online-Banking und sozialen Netzwerken bereits übernommen sind. Dieser Leitfaden beschreibt die drei technischen Übernahmewege, die fünf Stellen, an denen die Anbieter-Authentifizierung bricht, die Beweisklassen mit den deutschen Auskunftsansprüchen, das Auskunftsersuchen nach Art. 15 DSGVO, die straf- und zivilrechtliche Einordnung und eine Präventionsreihenfolge, die nach Wirkung sortiert ist — nicht nach Aufwand.

Was bei einem SIM-Swap technisch passiert

Eine Mobilfunknummer gehört nicht dem Telefon, sondern der SIM-Karte. Das Netz ordnet eingehende Anrufe und SMS nicht dem Gerät zu, sondern der Karte, die aktuell auf die Nummer provisioniert ist. Wird eine neue Karte auf dieselbe Nummer aktiviert, wandert die Zustellung: Die alte Karte verliert die Netzanbindung, die neue bekommt sie. Für das Netz ist das kein Angriff, sondern ein regulärer Vorgang.

Es gibt drei Wege zu diesem Zustand, und sie unterscheiden sich in Aufwand und Spurenlage. Erstens die Ersatz-SIM: Der Angreifer bestellt unter dem Namen des Opfers eine Ersatzkarte, im Shop, an der Hotline oder über das Kundenportal. Zweitens die eSIM: Die neue Karte ist kein Kunststoff, sondern ein Profil, das per QR-Code oder direkt im Portal auf ein Gerät geladen wird. Es gibt keine Übergabe, keinen Postversand und damit keinen Ort, an dem ein Mensch die Karte in der Hand hält. Drittens die Rufnummernmitnahme: Der Angreifer schließt bei einem anderen Anbieter einen Vertrag und lässt die fremde Nummer dorthin portieren.

Der gemeinsame Nenner aller drei Wege ist der Identitätsnachweis. Das Telekommunikationsgesetz regelt in § 172 TKG, dass Anbieter vor der Freischaltung die Anschlussinhaberdaten erheben müssen, und für im Voraus bezahlte Mobilfunkdienste, dass die Richtigkeit dieser Daten vor der Aktivierung zu prüfen ist — durch Vorlage eines Ausweises oder ein von der Bundesnetzagentur zugelassenes Verfahren; welche anderen Verfahren geeignet sind, legt die Bundesnetzagentur fest, und die Art des eingesetzten Verfahrens ist zu speichern. Was die Vorschrift nicht vorschreibt, ist ein Besitznachweis für den Fall, dass eine bestehende Nummer auf eine neue Karte umgezogen wird. Genau in dieser Lücke sitzt der Angriff.

Warum eine Telefonnummer überhaupt ein Generalschlüssel ist

SMS war als Authentifizierungsfaktor nie für diesen Zweck gebaut. Das BSI hat die Verfahren in seiner Bewertung von Zwei-Faktor-Lösungen eingeordnet: SMS-TAN schützt nur begrenzt gegen Angriffe aus der Ferne, und als Grund nennt die Bewertung ausdrücklich SIM-Swapping — es sei möglich, nicht ausreichend sichere Authentisierungsverfahren von Telekommunikationsanbietern auszunutzen, um sich unberechtigt eine Ersatz-SIM zu verschaffen. Ergänzend weist dieselbe Bewertung auf ein zweites, oft übersehenes Problem hin: Telefonnummern bleiben nicht lebenslang derselben Person zugeordnet, sondern werden nach einer kurzen Sperrzeit erneut vergeben. Wer eine Nummer als dauerhafte Identität behandelt, baut auf eine Zuordnung, die das Netz selbst nicht garantiert.

Trotzdem hängt an der Nummer heute mehr als an jedem anderen Faktor. Sie ist Login-Kennung, Empfänger von Bestätigungscodes, Wiederherstellungskanal für E-Mail-Konten, Kontaktkanal der Bank und in vielen Häusern der einzige zweite Faktor. Ein Angreifer, der die Nummer kontrolliert, muss keine Passwörter erraten. Er setzt auf jedem Konto, das die Nummer als Faktor akzeptiert, einen Passwort-zurücksetzen-Lauf in Gang und fängt den Code ab. Das ist keine Lücke in einem einzelnen Dienst, sondern in der Annahme, dass eine Rufnummer ein Beweis für Identität ist.

Fünf Stellen, an denen die Anbieter-Authentifizierung bricht

Social Engineering am Telefon und im Shop. Die Daten, mit denen sich ein Kontoinhaber ausweist, stehen oft in Datenlecks: Name, Anschrift, Geburtsdatum, Vertragsnummer. Wer drei dieser Angaben nennen kann, wird im Callcenter regelmäßig durchgestellt. Der Angriff dauert Minuten und erzeugt einen Vorgang, der im System wie ein legitimer Kundenwunsch aussieht.

Übernahme des Kundenkontos beim Anbieter. Viele Mobilfunkportale erlauben den Kartenwechsel als Self-Service. Ist das Portalpasswort wiederverwendet und ohne zweiten Faktor, genügt ein einziger gestohlener Zugang, um eine Ersatz-eSIM auf ein fremdes Gerät zu laden — ohne Anruf, ohne Gesprächsnotiz und ohne Chance für den Kundenservice, Verdacht zu schöpfen.

Insider und Partneragenturen. Vertriebspartner haben Zugriff auf Provisionierungssysteme. Ein einzelner Beschäftigter mit Zugang kann eine Ersatzkarte aktivieren, ohne dass ein Kunde je angefragt hat. Diese Fälle sind selten, aber sie hinterlassen die klarste Spurenlage: Der Vorgang trägt eine Agenturkennung und einen Bearbeiter.

eSIM-Provisionierung als Fernvorgang. Weil kein Kunststoff übergeben wird, fehlt der Moment, in dem jemand die Karte prüfen könnte. Wer Portalzugang und Aktivierungscode hat, provisioniert ein fremdes Profil auf ein eigenes Gerät. Für den Angreifer ist das der bequemste Weg, für die Aufklärung der schwierigste.

Rufnummernmitnahme. § 59 TKG verlangt, dass ein Anbieterwechsel unter Leitung des aufnehmenden Anbieters erfolgt und dass die Anbieter den Wechsel nicht ohne vertragliche Vereinbarung des Endnutzers durchführen. Genau diese Vereinbarung erzeugt der Angreifer selbst, indem er beim aufnehmenden Anbieter einen Vertrag im Namen des Opfers abschließt. Die Prüfung, ob der Antragsteller der bisherige Inhaber ist, liegt beim abgebenden Anbieter — und sie fällt oft auf Rückfragen aus, die per SMS an die Nummer gehen, die gerade portiert werden soll.

Die Reihenfolge, in der ein übernommenes Nummernkonto fällt

Ein SIM-Swap läuft nicht als einzelner Vorfall, sondern als Kaskade, und die Reihenfolge ist bei fast allen Fällen gleich. Stufe eins: das Netz. Die eigene Karte verliert die Anbindung. Typische Anzeichen sind die Meldung, dass kein Netz verfügbar sei, der Hinweis auf eine nicht unterstützte SIM-Karte, eine plötzlich fehlende PIN-Abfrage beim Neustart oder Anrufe, die sofort auf eine Mailbox gehen, auf der keine neue Nachricht liegt. Stufe zwei: die Zwei-Faktor-Codes. Wer die Nummer hält, erhält jetzt alle SMS-Codes. Stufe drei: die Zurücksetz-Läufe. E-Mail-Konto, Social-Media-Konten, Messenger, Shops — überall dort, wo die Nummer als Wiederherstellungskanal hinterlegt ist. Stufe vier: das E-Mail-Konto. Es ist der eigentliche Preis, weil von dort alle weiteren Zurücksetzungen laufen. Stufe fünf: Geld und Vermögen — Online-Banking, Karten, Krypto-Börsen, Zahlungsdienste. Stufe sechs: die Identität — Profile, aus denen im Namen des Opfers Nachrichten an Kontakte gehen, häufig mit einer Zahlungsbitte.

Für die Beweisführung ist diese Kaskade ein Vorteil: Sie erzeugt in jedem beteiligten System einen Zeitstempel, und die Stempel müssen in einer Reihenfolge stehen, die ohne die Provisionierung einer neuen Karte nicht erklärbar ist. Eine SMS mit einem Bestätigungscode kann nicht vor dem Moment ankommen, in dem die Karte im Netz aktiv wurde.

Die erste Stunde: was zuerst, was später

Die Reihenfolge in der ersten Stunde entscheidet über den Schaden, nicht über den Ärger. Was zuerst kommt, ist nicht das Passwort, sondern die Karte.

• Sofort: Karte sperren. Der bundesweite Sperr-Notruf 116 116 nimmt SIM-Karten entgegen; benötigt werden Mobilfunknummer, Kunden- oder Teilnehmerkennwort und, falls vorhanden, die PUK. Aus dem Ausland mit deutscher Ländervorwahl. Alternativ die Sperrhotline des Anbieters.
• Sofort danach: Anbieter anrufen, nicht nur sperren. Verlangen Sie die Sperrung der Karte und eine Sperre für weitere Kartenwechsel und Portierungen auf dieser Nummer, bis der Vorgang geklärt ist. Lassen Sie sich die Vorgangsnummer geben.
• Bank anrufen, Karten und Online-Banking sperren lassen, Umsätze der letzten 48 Stunden prüfen. Nutzen Sie dafür nicht die Nummer, die gerade kompromittiert ist, sondern die auf der Karte gedruckte Hotline oder die App über WLAN.
• E-Mail-Konto zuerst absichern, dann alles andere: Passwort ändern, zweite Faktoren auf App-basierte Verfahren umstellen, alle aktiven Sitzungen abmelden, Weiterleitungen und Filterregeln prüfen — Angreifer richten dort am liebsten eine stille Kopie ein.
• Anzeige erstatten, sobald der größte Schaden gestoppt ist. Beweise mitnehmen, nicht nur beschreiben (siehe unten).
• Passwörter danach in einem Durchgang wechseln — aber erst, wenn die Konten wieder unter Kontrolle sind; ein Wechsel auf einem noch fremdkontrollierten Konto ist Arbeit für den Angreifer.

Vier Beweisklassen, die den Fall tragen

Erstens die Anschlussdaten beim Anbieter. Das ist der Kern. Sie brauchen den Zeitpunkt der Provisionierung, den Kanal (Shop, Hotline, Portal, Partneragentur), die dabei verwendete Authentifizierungsmethode, die IP-Adresse des Portalvorgangs, eine Bearbeiter- oder Agenturkennung und die Angabe, ob eine Ausweiskopie vorlag. Diese Daten existieren, weil § 172 TKG ihre Erhebung vorschreibt und weil jeder Kartenwechsel betrieblich dokumentiert wird.

Zweitens die Anmelde- und Änderungsprotokolle der übernommenen Dienste: IP-Adressen, Zeitstempel, Gerätekennungen, die Reihenfolge von Zurücksetzung und Anmeldung. Drittens die Bankdaten: Umsätze mit Autorisierungszeit und dem verwendeten Authentifizierungsverfahren — daran hängt, ob eine Zahlung als autorisiert gilt. Viertens die Kopfzeilen der Zurücksetzungs-E-Mails, aus denen Empfangszeit und Zustellweg hervorgehen.

Der Zeitfaktor ist hier der Feind. Verkehrs- und Verbindungsdaten unterliegen kurzen Löschfristen, und Protokolle in Portalen rotieren. Ein Auskunftsersuchen, das zwei Wochen nach dem Vorfall gestellt wird, findet regelmäßig nur noch den Kartenwechsel selbst — nicht mehr den Weg dorthin. Deshalb: schriftlich, mit Datum, mit Fristsetzung, und parallel an alle Beteiligten.

Das Auskunftsersuchen, das tatsächlich Daten liefert

Der Anspruch auf Auskunft über die eigenen personenbezogenen Daten steht in Art. 15 DSGVO; der Anbieter muss innerhalb eines Monats antworten und kann die Frist bei Komplexität um zwei weitere Monate verlängern (Art. 12 Abs. 3 DSGVO). Ein Ersuchen, das nur alle Daten verlangt, wird häufig mit einem Standardexport beantwortet, in dem genau die interessanten Felder fehlen. Deshalb ist die Liste entscheidend:

• Datum und Uhrzeit der Deaktivierung der alten und der Aktivierung der neuen Karte, jeweils mit Zeitzone;
• Kanal des Kartenwechsels und, bei einem Partner, dessen Kennung;
• die zur Authentifizierung verwendeten Merkmale (welche Daten abgefragt wurden, nicht deren Inhalt);
• IP-Adresse, Zeitstempel und Sitzungskennung des Portalvorgangs, falls der Wechsel online erfolgte;
• die nach § 172 TKG erhobenen Anschlussinhaberdaten mit Erhebungsdatum;
• ob und wann eine Portierung beantragt wurde, bei welchem aufnehmenden Anbieter und mit welchem Status;
• die Aufbewahrungsfristen für diese Daten und der Zeitpunkt der Löschung.

Zwei Formulierungen erhöhen die Trefferquote. Erstens: ausdrücklich nach Art. 15 Abs. 1 lit. c DSGVO die Empfänger der Daten benennen lassen — damit ist die Partneragentur oder der aufnehmende Anbieter erfasst. Zweitens: um Überlassung in einem maschinenlesbaren Format nach Art. 15 Abs. 3 DSGVO bitten, weil sich Zeitachsen damit prüfen lassen statt abzutippen.

Strafrechtliche Einordnung: was Anzeige erstattet wird

Ein SIM-Swap ist kein eigener Straftatbestand, sondern regelmäßig eine Kombination. Das Ausspähen von Daten (§ 202a StGB) erfasst den Zugriff auf den SMS-Verkehr, das Verschaffen und Verwenden fremder Zugangsdaten beim Login in fremde Konten wird über § 263a StGB (Computerbetrug) und, wenn Daten gefälscht oder untergeschoben werden, über § 269 StGB (Fälschung beweiserheblicher Daten) erfasst. Wo unmittelbar getäuscht und ein Vermögensschaden herbeigeführt wird, kommt § 263 StGB hinzu; das Löschen oder Unterdrücken von Daten kann § 303a StGB erfüllen.

Für die Anzeige gilt: Jede Polizeidienststelle nimmt sie auf, viele Länder bieten zusätzlich eine Online-Anzeige. Nehmen Sie die Beweise mit — Screenshots mit sichtbarem Datum, die Mail-Kopfzeilen, die Anschlussdaten, die Kontoauszüge. Verlangen Sie ein Aktenzeichen und reichen Sie Nachlieferungen unter diesem Aktenzeichen nach. Ergänzend und unabhängig vom Strafverfahren können Sie sich an die Bundesnetzagentur wenden: Sie ist für Rufnummernmissbrauch und für Beschwerden zur Rufnummernmitnahme zuständig, und der Sperrungsanspruch bei Missbrauch steht in § 61 TKG. Das ersetzt keine Strafanzeige, erzeugt aber eine Behördenspur mit eigener Aktenführung.

Zivilrecht: Bank, Anbieter und die Beweislast

Für Zahlungen, die ohne Autorisierung des Kontoinhabers ausgeführt wurden, regelt § 675u BGB, dass der Zahler keinen Aufwendungsersatz schuldet — die Bank muss also zurückzahlen, und sie trägt die Beweislast dafür, dass eine Autorisierung vorlag. Der Gegeneinwand läuft über § 675v BGB: Bei Vorsatz oder grober Fahrlässigkeit des Zahlers kann die Haftung ganz oder teilweise entfallen. Praktisch streiten die Parteien also selten über die Technik, sondern über die Frage, ob der Kontoinhaber seine Pflichten verletzt hat — und genau hier werden die Protokolle aus den vier Beweisklassen zum entscheidenden Dokument.

Gegenüber dem Mobilfunkanbieter ist die Rechtslage weniger klar, als sie scheint: Ein Kartenwechsel auf Antrag eines Dritten ist ein Fehler in einem Verfahren, das der Anbieter beherrscht, aber der Nachweis eines konkreten Verschuldens ist aufwendig, und die Vertragsunterlagen enthalten regelmäßig Klauseln zur Mitwirkung des Kunden. Deshalb ist die Reihenfolge der Beweissicherung wichtiger als die rechtliche Argumentation: erst Daten, dann Ansprüche. Wer zuerst schreibt und später Daten anfordert, hat die Fristen gegen sich.

Die Zeitachse: drei Uhren, die nie gleich gehen

In jedem dieser Fälle treffen drei Zeitquellen aufeinander: das Provisionierungssystem des Anbieters, die Protokolle der übernommenen Dienste und das Gerät des Opfers. Sie laufen selten synchron, und ein Zeitversatz von 90 Sekunden kann in einer Akte wie ein Widerspruch aussehen. Drei Regeln helfen. Erstens: Alle Zeiten in eine Zeitzone umrechnen und die Umrechnung dokumentieren; in Deutschland gilt MEZ (UTC+1) und in der Sommerzeit MESZ (UTC+2), während Anbieter- und Plattformprotokolle häufig UTC führen. Zweitens: Nicht die Uhrzeit der Handlung notieren, sondern die Uhrzeit des Protokolleintrags, mit Quelle. Drittens: Die Reihenfolge prüfen, nicht die Differenz: Aktivierung der Karte vor dem ersten Bestätigungscode, Code vor dem Zurücksetzen des Passworts, Zurücksetzen vor der Anmeldung aus fremder IP. Diese Ordnung ist der eigentliche Beweis; die Minuten sind Beiwerk.

Prävention, nach Wirkung sortiert

1. SMS als zweiten Faktor abschalten, wo es geht. Das ist die einzige Maßnahme, die den Angriff wirkungslos macht, statt ihn nur zu erschweren. App-basierte Einmalcodes (TOTP), Passkeys und Sicherheitsschlüssel sind nicht an die Rufnummer gebunden. Beginnen Sie beim E-Mail-Konto, weil es der Schlüssel zu allem anderen ist, dann Bank, dann die Konten mit Zahlungsdaten.

2. Das Kundenkonto beim Mobilfunkanbieter härten. Eigenes, langes Passwort, zweiter Faktor im Portal, und — falls angeboten — eine Sperre für Kartenwechsel und Portierungen, die nur schriftlich oder im Shop aufgehoben wird. Ein Portierungskennwort, das nicht aus Geburtsdaten besteht, ist kein Luxus.

3. SIM-PIN aktivieren. Sie schützt nicht gegen eine Provisionierung, aber gegen die physische Weiternutzung einer gestohlenen Karte.

4. Die Nummer aus dem öffentlichen Raum nehmen — Impressum, Shops, Forenprofile — und sie nicht als Wiederherstellungskanal für Konten hinterlegen, bei denen ein anderer Faktor verfügbar ist.

5. Bei der Bank auf ein Verfahren wechseln, das nicht auf SMS setzt, also photoTAN, App-TAN oder ein push-basiertes Verfahren mit Gerätebindung. Die starke Kundenauthentifizierung der Zahlungsdiensterichtlinie ist in Deutschland im Zahlungsdiensteaufsichtsgesetz umgesetzt; entscheidend für Sie ist weniger der Paragraph als die Frage, ob der zweite Faktor an Ihre SIM oder an Ihr Gerät gebunden ist.

6. Unangekündigte Netzabwesenheit ernst nehmen. Kein Netz an einem Ort, an dem sonst Empfang ist, kombiniert mit ausbleibenden SMS-Codes, ist ein Warnsignal, kein Funkloch. Prüfen Sie es, indem Sie über WLAN das Kundenportal des Anbieters aufrufen und den Vertragsstatus ansehen.

Was nicht hilft

Die IMEI sperren lassen. Die IMEI identifiziert das Gerät, nicht die Karte. Bei einem SIM-Swap ist das Gerät des Opfers nicht beteiligt; die Sperre trifft einen Gegenstand, der nie das Problem war. Nummerprüf-Apps und Anrufer-Datenbanken beantworten eine andere Frage, nämlich wem eine angezeigte Nummer gehört. Flugmodus, Neustart, Akku-Tricks ändern nichts an einer Provisionierung, die im Netz stattgefunden hat. Wiederherstellungscodes in einem Cloud-Konto ohne zweiten Faktor verschieben das Problem nur eine Ebene nach oben. Und die Erwartung, die alte Nummer werde nach einer Sperrung dauerhaft zurückgeholt, hält einer Prüfung nicht stand: Nummern werden nach einer Sperrzeit neu vergeben, und eine Nummer, die einmal fremd genutzt wurde, bleibt ein Risiko für alle Konten, die sie noch als Faktor führen.

Kosten, Grenzen und wann externe Hilfe sinnvoll ist

Was ein solcher Fall kostet, hängt an drei Faktoren: wie schnell die Karte gesperrt wurde, wie viele Konten die Nummer als Faktor nutzten und ob Zahlungen noch im Rückholfenster lagen. Eine pauschale Zahl wäre eine Erfindung. Was sich sagen lässt: Die Kosten steigen nicht linear mit der Zahl der Konten, sondern sprunghaft in dem Moment, in dem das E-Mail-Konto übernommen wurde — weil von dort jede weitere Zurücksetzung möglich ist.

Externe Unterstützung ist sinnvoll, wenn drei Bedingungen zusammentreffen: Es ist ein Vermögensschaden entstanden, die Anschlussdaten sind noch nicht gelöscht, und Sie brauchen eine Dokumentation, die einem Strafverfahren oder einem Zivilprozess standhält. Was eine solche Untersuchung leisten kann, ist die Sicherung der vier Beweisklassen, die Rekonstruktion der Zeitachse, die Zuordnung der Zugriffe zu Geräten und Netzen und ein Bericht, der die Reihenfolge der Ereignisse belegt. Was sie nicht leisten kann, ist eine Garantie auf Rückholung von Geld oder Konten — wer das verspricht, verkauft keine Ermittlung, sondern eine Erwartung.

Eine Grenze ist dabei nicht verhandelbar: Jede Untersuchung setzt voraus, dass Sie Eigentümer der betroffenen Anschlüsse und Konten sind oder eine schriftliche Vollmacht des Inhabers vorlegen. Alles andere wäre kein Auftrag, sondern eine Straftat.

Der Kurzcheck für den Ernstfall

Wenn Sie diesen Abschnitt ausdrucken und aufbewahren wollen, sind es sechs Zeilen: Karte über 116 116 sperren. Anbieter anrufen und Kartenwechsel sowie Portierung sperren lassen, Vorgangsnummer notieren. Bank über die auf der Karte gedruckte Nummer kontaktieren. E-Mail-Konto absichern, Sitzungen abmelden, Weiterleitungen prüfen. Auskunftsersuchen nach Art. 15 DSGVO mit der sieben Punkte umfassenden Liste abschicken. Anzeige erstatten, sobald der Schaden gestoppt ist. Alles andere ist danach Aufklärung — und Aufklärung braucht Daten, keine Erinnerungen.