IM-Swap-Betrug ist ein Angriff zur Kontoübernahme, bei dem ein Krimineller die Mobilfunknummer eines Opfers auf eine von ihm kontrollierte SIM-Karte überträgt – entweder durch Social Engineering des Mobilfunkanbieters oder durch einen internen Portierungsversuch. Dadurch gelangt jedes an diese Nummer gesendete Einmalpasswort (OTP) auf das Gerät des Angreifers. Da die Telefonnummer als zweiter Faktor verwendet wird, kann ein SMS-OTP allein den Betrug nicht verhindern.
Dies ist eine detaillierte Analyse zur Verhinderung von SIM-Swapping. Für die reibungslose Netzwerkprüfung, die den Großteil der Verteidigung ausmacht, lesen Sie unseren Leitfaden zur stillen Netzwerkauthentifizierung. Dieser Beitrag zeigt, wie sie sich in die SIM-Swapping-Erkennung und die mehrschichtige Authentifizierung einfügt.
Wie ein SIM-Kartentausch tatsächlich funktioniert
Ein SIM-Swap (auch SIM-Hijacking oder unautorisierte Rufnummernmitnahme genannt) greift nicht Ihre Server an, sondern den Wiederherstellungsprozess des Mobilfunknetzes. Der Täter sammelt zunächst genügend persönliche Daten des Opfers, um sich als dieses auszugeben: Name, Geburtsdatum, Adresse, zuletzt gewählte Nummern oder gestohlene Ausweisdokumente. Anschließend kontaktiert er den Mobilfunkanbieter des Opfers, behauptet, eine SIM-Karte verloren oder beschädigt zu haben, und bittet darum, die Rufnummer auf eine neue SIM-Karte in seinem Besitz zu übertragen oder zu einem anderen Anbieter zu portieren.
Die Rufnummernmitnahme erfolgt mitunter durch einen bestochenen oder unter Druck gesetzten Mitarbeiter eines Einzelhandelsgeschäfts oder Callcenters. Daher müssen selbst die stärksten technischen Sicherheitsvorkehrungen davon ausgehen, dass die Rufnummernmitnahme gelingen kann. Sobald die Rufnummer neu zugewiesen ist, verliert das eigentliche Mobiltelefon des Opfers stillschweigend den Empfang, und alle Anrufe und SMS – einschließlich Einmalpasswörter, Links zum Zurücksetzen von Passwörtern und Transaktionsbenachrichtigungen – werden an den Angreifer weitergeleitet. Von da an verläuft alles schnell und mechanisch:
- Einen Passwort-Reset oder Login bei einem Zielkonto (Bank, Wallet, E-Mail, Börse) auslösen, das die Telefonnummer zur Wiederherstellung oder 2FA verwendet.
- Empfangen Sie das SMS-Einmalpasswort auf der getauschten SIM-Karte und schließen Sie die Herausforderung ab.
- Übernehmen Sie das Konto, ändern Sie die Wiederherstellungsdetails und sperren Sie den rechtmäßigen Besitzer aus.
- Gelder abheben, Zahlungen autorisieren oder auf andere Konten ausweichen, die dieselbe Wiederherstellungsnummer haben.
Warum ein SMS-OTP allein nicht ausreicht
SMS-OTP behandelt die Kontrolle über die Telefonnummer als Besitznachweis. Diese Annahme gilt, solange die Nummer gültig ist – bis sie übertragen wird, und ein SIM-Karten-Tausch führt zu einer solchen Übertragung. Der Code selbst ist in Ordnung; das Problem besteht darin, dass er unverschlüsselt an den aktuellen SIM-Karten-Inhaber übermittelt wird, und das Netzwerk hat die SIM-Karte dem Angreifer gerade übergeben. Weder die Nachricht selbst, noch die Codelänge oder die Gültigkeitsdauer ändern etwas daran, wer sie erhält.
Aus diesem Grund betrachten Normungsgremien SMS mittlerweile als einen Kanal mit geringerer Sicherheit und nicht mehr als einen starken zweiten Faktor. Das NIST stuft die SMS-basierte Out-of-Band-Authentifizierung in SP 800-63B als „eingeschränkten“ Authentifikator ein und erwartet von Prüfern, dass sie Indikatoren wie einen kürzlich erfolgten SIM-Kartenwechsel oder eine Rufnummernmitnahme erkennen, bevor sie der Authentifizierung vertrauen. Für Sicherheits- oder Produktteams bedeutet dies konkret: SMS-OTP ist als ein Signal in einem mehrschichtigen Sicherheitsdesign akzeptabel, darf aber niemals die alleinige Sicherheitsmaßnahme für eine Passwortzurücksetzung oder eine wichtige Aktion sein. Wie wir dieses mehrschichtige Design darstellen, erfahren Sie in der Sicherheit.
Verteidigungsanlagen, in der Tiefe
SIM-Swapping lässt sich nicht durch eine einzelne Kontrollmaßnahme verhindern, da der Angriff zwei Systeme betrifft, die nicht vollständig unter Ihrer Kontrolle stehen: den Bereitstellungsprozess des Mobilfunkanbieters und das Endgerät des Nutzers. Die dauerhafte Lösung ist ein mehrschichtiges Sicherheitskonzept: Verifizieren Sie den Besitz der SIM-Karte auf eine Weise, die eine ausgetauschte SIM-Karte nicht erfüllen kann, erkennen Sie, wann ein SIM-Swap stattgefunden hat, binden Sie Sitzungen an bekannte Geräte und verstärken Sie die Sicherheitsmaßnahmen bei steigendem Risiko. Jede der darunterliegenden Schichten unterbricht den Angriff an einem anderen Punkt.
Stille Netzwerkauthentifizierung und Überprüfung der Netzbetreibernummer
Die stille Netzwerkauthentifizierung (SNA) bestätigt den Besitz der SIM-Karte durch eine direkte Abfrage beim Mobilfunkbetreiber während der aktiven Datenverbindung, ohne dabei einen Code zu senden. Da kein Einmalpasswort (OTP) übertragen wird, kann eine ausgetauschte SIM-Karte nichts abfangen. Entscheidend ist, dass die Prüfung an die aktive Netzwerkverbindung gekoppelt ist und somit die aktuell verbundene SIM-Karte widerspiegelt. Standardisierte APIs zur Rufnummernverifizierung der Mobilfunkanbieter im Rahmen der GSMA Open Gateway Initiative ermöglichen die netzübergreifende Verfügbarkeit dieser Funktion. Platzieren Sie SNA an der Spitze der Authentifizierungshierarchie, darunter die SMS-OTP-Authentifizierung, um eine größere Reichweite zu erzielen. Die vollständige Funktionsweise finden Sie in unserem Leitfaden zur stillen Netzwerkauthentifizierung (SNA) [/blog/silent-network-authentication-2026].
SIM-Tausch-/SIM-Wechselerkennung
Die direkteste Gegenmaßnahme ist, dem Netzwerk vor dem Vertrauen in ein OTP eine einfache Frage zu stellen: Wann wurde diese SIM-Karte zuletzt gewechselt? Die Netzbetreiber-Signalisierung kann den Zeitstempel des letzten SIM-Kartenwechsels oder der Rufnummernmitnahme für eine Nummer zurückgeben. Erfolgte diese Änderung innerhalb eines Risikofensters – üblicherweise der letzten 24 bis 72 Stunden –, stufen Sie die Nummer als risikoreich ein und verweigern die Annahme eines SMS-OTP oder die Durchführung einer sensiblen Aktion mit dieser Nummer. Statt einer Authentifizierung halten Sie die Verbindung zurück, eskalieren die Sicherheitsabfrage an eine höhere Instanz oder leiten den Fall zur Überprüfung weiter. Dadurch wird genau das Ereignis, auf das der Angreifer setzt, zum Signal, das ihn stoppt.
Gerätebindung
Verknüpfen Sie das Konto mit den Geräten, die es normalerweise verwendet. Wenn Anmeldeinformationen oder eine Sitzung an ein bekanntes Gerät gebunden sind – beispielsweise über einen hardwarebasierten Schlüssel, einen Passkey oder einen verifizierten Geräte-Fingerabdruck –, befindet sich ein Angreifer, der nur die Gerätenummer kennt, weiterhin auf einem unbekannten Gerät. Die Anmeldung von einem neuen Gerät wird so zu einer auffälligen Anomalie und nicht zu einem stillen Erfolg. Zusätzliche Prüfungen können erzwungen werden, bevor Vertrauen gewährt wird.
Verstärkte Authentifizierung hinsichtlich Risiko und Wert
Die Stärke der Sicherheitsabfrage sollte dem Risiko angemessen sein. Ein einfacher Lesezugriff kann mit geringen Sicherheitsvorkehrungen durchgelassen werden; das Hinzufügen eines Zahlungsempfängers, das Ändern einer Wiederherstellungsnummer oder eine Geldüberweisung sollten jedoch eine höhere Sicherheitsstufe erfordern – beispielsweise einen Phishing-Schutz, eine Bestätigung in der App oder eine erneute Netzwerkprüfung. Wenn ein kürzlich erfolgter SIM-Kartenwechsel, ein neues Gerät oder ein ungewöhnlicher Standort mit einer wichtigen Transaktion zusammenfällt, sollte diese Kombination stets eine stärkere Sicherheitsmaßnahme als einen SMS-Code auslösen.
Berücksichtigen Sie die verschiedenen Faktoren – OTP ist nur ein Signal, nicht das gesamte Schloss.
Das übergreifende Prinzip besteht darin, einzelne Signale zum Nummernbesitz nicht länger isoliert zu betrachten. Kombinieren Sie eine netzwerkverifizierte Besitzprüfung, SIM-Kartenwechsel- und Gerätesignale sowie einen Phishing-Schutz für besonders wichtige Datenströme und behalten Sie SMS-OTP als universelle Ausweichlösung bei. Die einzelnen Schichten des Angriffsmechanismus unterbrechen diesen in jedem Schritt.
| Angriffsschritt | Was der Angreifer gewinnt | Kontrolle, die es zerstört |
|---|---|---|
| Die Nummer auf eine neue SIM-Karte portieren | Eingehende SMS und Anrufe | SIM-Tausch-Erkennung anhand des Zeitstempels der letzten Änderung |
| SMS-OTP auslösen | Der Einmalcode auf ihrem Gerät | Stille Netzwerkauthentifizierung (es wird kein Code gesendet) |
| Von einem neuen Gerät anmelden | Eine Sitzung auf dem Zielkonto | Gerätebindung plus Step-up-Authentifizierung |
| Geld überweisen oder Daten ändern | Auszahlung oder vollständige Übernahme | Mehrstufige Authentifizierung: OTP ist ein Faktor, niemals der einzige |
Der Bankenblick in der MENA- und GCC-Region
Dies ist kein abstraktes Risiko in der Golfregion. Laut GSMA Mobile Economy zählt der Golf-Kooperationsrat (GCC) zu den weltweit führenden Märkten hinsichtlich Smartphone-Nutzung und Mobile-Banking. Mobile Wallets und Sofortzahlungssysteme sind in den Vereinigten Arabischen Emiraten, Saudi-Arabien und Ägypten mittlerweile weit verbreitet. Da das Mobiltelefon der primäre Kanal für Bankgeschäfte und behördliche Identitätsprüfungen ist, wird die Telefonnummer zu einem besonders wertvollen Ziel – und ein erfolgreicher Nummerntausch hat unmittelbare finanzielle Folgen. Regionale Regulierungsbehörden und Banken verschärfen daher die Anforderungen für Überweisungen mit hohem Wert und Empfängeränderungen.
Für Banken und Fintechs in der Region ist die oben beschriebene mehrstufige Sicherheitsstrategie, die über eine betreiberdirekte Infrastruktur realisiert wird, die beste Lösung. Eine netzwerkverifizierte Besitzprüfung und eine SIM-Kartenwechselabfrage basieren auf realen Signalisierungsbeziehungen zu den terminierenden Betreibern – dieselbe direkte Verbindungsstruktur, die die Zuverlässigkeit der A2P-Übertragung gewährleistet, sorgt auch für eine präzise Erkennung von SIM-Kartenwechseln. Graue Routen liefern keinen verlässlichen Zeitstempel für den letzten SIM-Kartenwechsel.
BroadNets OTP- und Verifizierungs-Stack (siehe /products/otp) führt zunächst eine stille Netzwerkauthentifizierung durch, prüft vor der Code-Einlösung auf kürzlich erfolgte SIM-Kartenwechsel und greift bei Bedarf auf SMS zurück – daher schlägt eine ausgetauschte SIM-Karte die Besitzprüfung fehl, anstatt sie zu bestehen. Ein direkt integrierbares Verifizierungs-Widget mit Sprach-Fallback, das auf demselben Mobilfunknetz basiert, finden Sie unter MyOTP (siehe /products/myotp).
Häufig gestellte Fragen
Was ist SIM-Swap-Betrug?
SIM-Swap-Betrug ist eine Methode zur Kontoübernahme, bei der ein Krimineller einen Mobilfunkanbieter dazu bringt, die Telefonnummer eines Opfers auf eine von ihm kontrollierte SIM-Karte zu übertragen – beispielsweise durch Social Engineering, gestohlene Identitätsdaten oder mithilfe eines Insiders beim Anbieter. Sobald die Nummer übertragen ist, erreichen Anrufe und SMS, einschließlich SMS-Einmalpasswörter, das Gerät des Angreifers. Dadurch kann er die telefonische Authentifizierung umgehen und Konten übernehmen.
Kann ein SIM-Kartentausch die SMS-OTP-Verschlüsselung umgehen?
Ja. Genau diese Schwachstelle nutzt ein SIM-Swap aus. SMS-OTP setzt die Kontrolle über die Nummer voraus und beweist damit den Besitz. Ein SIM-Swap leitet die Nummer jedoch auf die SIM-Karte des Angreifers um, sodass der Code direkt an ihn übermittelt wird. Die Verteidigung besteht nicht in einem besseren Code, sondern in einer anderen Überprüfung: stille Netzwerkauthentifizierung, eine SIM-Wechsel-Abfrage vor der Einlösung des OTP, Gerätebindung und zusätzliche Authentifizierung für wichtige Aktionen.
Wie verhindern Banken SIM-Swap-Angriffe?
Führende Banken setzen mehrere Sicherheitsmechanismen ein. Sie fragen den Zeitstempel des letzten SIM-Kartenwechsels im Netzwerk ab und lehnen OTPs oder Transaktionen mit hohem Wert ab, wenn ein Wechsel erst kürzlich stattgefunden hat. Sie nutzen eine stille Netzwerkauthentifizierung, sodass kein abfangbarer Code gesendet wird. Sie binden Sitzungen an bekannte Geräte und erhöhen den Schutz vor Phishing bei Geldtransfers und Empfängeränderungen. SMS-OTPs sind dabei nur eines von mehreren Sicherheitsmerkmalen und nicht das alleinige Kriterium.
Referenzen
- NIST — SP 800-63B Richtlinien für digitale Identität (Authentifikator- und Out-of-Band-Leitfaden): nist.gov
- GSMA – Open Gateway, APIs zur Nummernverifizierung und zum SIM-Kartentausch: gsma.com
- BroadNet — OTP und Verifizierung und die Sicherheit Übersicht.
- BroadNet — Stille Netzwerkauthentifizierung im Jahr 2026.