Ein SIM-Swap-Angriff knackt kein Schloss. Er ruft beim Schlüsseldienst an.
Unternehmen sichern die Haustür mit Passkeys und Multi-Faktor-Authentifizierung, während die Kontowiederherstellung weiterhin über eine Telefonnummer läuft, die ein überredeter Callcenter-Mitarbeiter neu vergeben kann. Das teuerste Schloss der Welt nützt nichts, wenn der Schlüsseldienst für jemand anderen arbeitet.
Das wertvollste Zugangsmittel, das Sie besitzen, haben Sie nie bewusst gewählt, können es nicht rotieren lassen und kontrollieren es nicht wirklich. Es ist Ihre Mobilfunknummer. Ein SIM-Swap-Angriff rührt weder Ihr Passwort noch Ihre Authenticator-App an. Er wirkt auf einen Mitarbeiter Ihres Mobilfunkanbieters, der überredet wird, Ihre Nummer auf eine SIM-Karte zu übertragen, die der Angreifer in der Hand hält. Von diesem Moment an hält jeder Dienst, der „kann an dieser Nummer eine SMS empfangen“ als Identitätsnachweis behandelt, den Angreifer für Sie, und für die Wiederherstellungssysteme ist das schlicht wahr.
Folgen Sie dem Mechanismus, und der unbequeme Teil wird offensichtlich. Ihre Bank, Ihr E-Mail-Anbieter und Ihre Cloud-Konsole gehen alle davon aus, dass ein Angreifer durch die Haustür kommt, dort, wo Passwörter und MFA-Abfragen stehen. Doch jeder dieser Dienste unterhält zusätzlich eine Hintertür namens Kontowiederherstellung, gebaut für Kunden, die alles vergessen haben. Wiederherstellung muss Ihre Sicherheitsmechanismen umgehen können, das ist ihre Aufgabe. Und in erstaunlich vielen Systemen endet dieser Weg bei einer SMS.
Die eigentliche Vertrauensbasis Ihrer Kontoarchitektur ist also ein Callcenter-Mitarbeiter, den Sie nie getroffen haben und der unter Zeitdruck einen Fremden authentifizieren soll. Das ist keine rhetorische Zuspitzung, es wurde getestet. Forscher der Princeton University führten fünfzig betrügerische SIM-Swap-Versuche gegen fünf US-Prepaid-Anbieter durch und stellten fest, dass jeder der fünf mindestens ein Authentifizierungsverfahren nutzte, das sich aushebeln ließ, teils mit Informationen so banal wie zuletzt gewählten Nummern. Ihr Bedrohungsmodell endet am Login-Bildschirm. Das des Angreifers beginnt dahinter.
Wie läuft ein SIM-Swap-Angriff konkret ab?
Das Vorgehen ist unraffiniert, und genau das ist das Problem. Ein Angreifer sammelt genug persönliche Daten, um sich als Sie auszugeben: Name, Adresse, die Art von Sicherheitsfragen, deren Antworten längst durch Jahre voller Datenlecks im Umlauf sind. Er kontaktiert Ihren Mobilfunkanbieter, meldet ein verlorenes oder defektes Telefon und bittet um Übertragung der Nummer auf eine neue SIM-Karte. Lässt sich die Person am anderen Ende überzeugen, verstummt Ihr Gerät, und das des Angreifers geht an.
Dann folgt die Kettenreaktion. „Passwort vergessen“ bei Ihrer E-Mail, der Reset-Code kommt per SMS. Fällt die E-Mail, fällt alles, was daran hängt, denn E-Mail ist der zweite Generalschlüssel, und die Telefonnummer öffnet ihn. Der Angreifer hat an keiner Stelle einen Sicherheitsmechanismus gebrochen. Das Wiederherstellungssystem tut exakt das, wofür es gebaut wurde, nur nicht für den Zweck, für den es gedacht war.
Bemerkenswert ist, was dabei gar nicht zum Zug kommt: Ihre Passwortstärke, Ihre Authenticator-App, Ihr brandneuer Passkey. Unternehmen haben Jahre damit verbracht, die Authentifizierung zu härten, und dabei die Wiederherstellungsebene darunter unangetastet gelassen, sodass ausgerechnet die stärkste Kontrolle im Stack selten diejenige ist, die ein Angreifer tatsächlich überwinden muss.
Der Komfort-Kompromiss, den niemand einpreist
Es gibt einen Grund, warum wir hier gelandet sind, und Dummheit ist es nicht. Zentralisierte, biometrisch gestützte Identität hat sich durchgesetzt, weil Nutzer genau das kaufen. Selbstbestimmte Identität, bei der Sie Ihre eigenen Nachweise verwahren und kein Unternehmen sie an Dritte weitergeben kann, ist technisch seit Jahren machbar und scheitert immer an derselben Stelle: der Akzeptanz. Vor die Wahl gestellt zwischen der Hoheit über die eigene Identität und einem Gesichtsscan, der einfach funktioniert, wählen Nutzer den Gesichtsscan. Komfort und Angreifbarkeit sind dieselbe Design-Entscheidung, nur von zwei Seiten betrachtet.
Die Telefonnummer ist der reinste Ausdruck dieses Kompromisses. Sie ist kurz, universell, und jemand anderes hat sie bereits verifiziert, was sie als Identifikator unwiderstehlich macht. So hat sie sich still und leise Rollen angeeignet, die ihr niemand bewusst zugewiesen hat: erst Kontaktdaten, dann Benutzername, dann zweiter Faktor, dann Wiederherstellungsanker. Jeder Schritt für sich ergab Sinn. In der Summe ist daraus ein Generalschlüssel geworden, treuhänderisch verwaltet von einem Telekommunikationsunternehmen, dessen Kundenservice nie dafür vorgesehen war, Wächter Ihres Unternehmenszugangs zu sein.
Was unternehmen Regulierungsbehörden gegen SIM-Swap-Betrug?
Fragen Sie die US-Börsenaufsicht SEC. Am 9. Januar 2024 verkündete deren offizieller X-Account die Zulassung von Bitcoin-Spot-ETFs, einen Tag vor der tatsächlichen Entscheidung, und der Bitcoin-Kurs reagierte auf einen Post, den die SEC nie abgesetzt hatte. Die eigene Darstellung der SEC bestätigte, dass sich ein Unbefugter über einen SIM-Swap beim Mobilfunkanbieter Kontrolle über die mit dem Account verknüpfte Telefonnummer verschafft hatte und dass die Multi-Faktor-Authentifizierung des Kontos Monate zuvor deaktiviert und erst nach dem Vorfall wieder aktiviert worden war. Eine der am schärfsten beaufsichtigten Behörden der Welt verlor einen kursbewegenden Kommunikationskanal an denselben Angriff, der auch Altersvorsorgekonten leerräumt, und der Einstiegspunkt war eine Telefonnummer.
Das Regelwerk zieht nach, zumindest in den USA. Im November 2023 erließ die US-Behörde FCC Vorschriften gegen SIM-Swap- und Port-out-Betrug, die US-Mobilfunkanbieter verpflichten, Kunden sicher zu authentifizieren, bevor eine Nummer auf eine neue SIM-Karte oder zu einem neuen Anbieter übertragen wird, und den Kunden über jeden solchen Antrag sofort zu benachrichtigen. Machen Sie sich klar, was das bedeutet: Eine Bundesbehörde musste Telefongesellschaften per Verordnung dazu zwingen, zu prüfen, mit wem sie sprechen, bevor sie eine Nummer herausgeben. So schwach war der Standardzustand.
Eine direkte Entsprechung fehlt hierzulande bislang. Die Bundesnetzagentur reguliert die Rufnummernportierung vor allem als Wettbewerbsthema, damit der Anbieterwechsel reibungslos funktioniert, und reibungsloser Wechsel ist genau die Eigenschaft, die ein SIM-Swap-Angreifer ausnutzt. Erschwerend kommt hinzu, dass ein erfolgreicher SIM-Swap in der Regel auch eine meldepflichtige Verletzung des Schutzes personenbezogener Daten nach DSGVO auslöst, sobald Kundendaten oder Zugänge betroffen sind, was für betroffene Unternehmen zur Frage bei der zuständigen Datenschutzaufsicht wird, unabhängig davon, wie der Angriff selbst zustande kam. Solange keine eigene Vorschrift für die Authentifizierung vor dem SIM-Wechsel existiert, hängt die Angreifbarkeit Ihrer Nummer davon ab, bei welchem Anbieter Sie sind und welche Schutzmaßnahmen Sie aktiv eingerichtet haben, und das macht es zu Ihrer eigenen Aufgabe statt zu einem Sicherheitsnetz, auf das Sie sich verlassen können.
Wie kappen Sie die Telefonnummer als Identitätsanker?
Behandeln Sie das als Audit-Aufgabe, denn genau das ist es. Irgendwo in Ihrem Unternehmen existiert eine Liste, aktuell ungeschrieben, aller Systeme, in denen eine Telefonnummer den Zugriff zurücksetzen kann. Schreiben Sie sie auf. Erfassen Sie die Konten, die am meisten zählen und am seltensten geprüft werden: Domain-Registrare, DNS, Cloud-Abrechnung, das private E-Mail-Konto der Gründerin oder des Gründers, das immer noch als Wiederherstellungsadresse für die Admin-Konten des Unternehmens dient. Diese Liste existiert bislang nicht, weil die Arbeit unglamourös ist; sie erzwungen ans Licht zu holen ist die halbe Aufgabe eines technischen Strategie-Reviews.
Dann kappen Sie, geordnet nach Schadenspotenzial. Ersetzen Sie SMS als zweiten Faktor durch app- oder hardwaregestützte Verfahren, und entfernen Sie den SMS-Fallback, statt die stärkere Option nur oben draufzusetzen; eine Hintertür bleibt eine Hintertür, auch wenn Sie eine bessere Haustür eingebaut haben. Fragen Sie Ihren Mobilfunkanbieter konkret, welchen Port-out-Schutz er namentlich anbietet. Verizons kostenlose Funktion Number Lock etwa blockiert Port-outs und SIM-Übertragungen, bis der Kontoinhaber sie selbst deaktiviert; die meisten Anbieter haben ein Äquivalent, und ein Anbieter, der keines benennen kann, hat Ihnen damit bereits etwas Wichtiges über Ihr Risiko verraten. Verlegen Sie die Wiederherstellung für hochwertige Konten auf Kanäle, die gar nicht über eine Nummer laufen.
Wenden Sie dasselbe Denken überall dort an, wo sich Zugangsdaten konzentrieren. Während Unternehmen KI-Agenten in Produktivsysteme einbinden, entstehen im Eiltempo neue Identitätsanker, und die Lehre aus der Telefonnummer ist, was passiert, wenn ein Identifikator unbemerkt zum Zugangsmittel wird. Es gilt dieselbe Disziplin, die wir bei der Absicherung agentischer Systeme beschreiben: wissen, was handeln kann, wissen, was es erreichen kann, und wissen, wie der Zugriff wiederhergestellt wird, wenn etwas schiefläuft.
Nichts davon ist exotisch, und genau deshalb bleibt es liegen. Ihre Sicherheit ist nur so stark wie der billigste Weg zurück in Ihre Konten, und der ist heute ein Anruf, den Sie nie hören werden.
Häufige Fragen
Ist SMS als zweiter Faktor besser als gar keine Absicherung?
Ja, gegen opportunistische Angriffe wie Credential Stuffing hebt sie die Hürde. Aber sie macht Ihren Mobilfunkanbieter auch zum Teil Ihrer Sicherheitsarchitektur, und Angreifer wählen immer den schwächsten erlaubten Weg. Bleibt SMS als Fallback verfügbar, behandeln Sie das Konto so, als wäre es nur per SMS geschützt, unabhängig davon, welche stärkeren Faktoren Sie zusätzlich eingerichtet haben, denn genau so wird es ein Angreifer behandeln.
Was tun, wenn mein Telefon plötzlich ohne erkennbaren Grund keinen Empfang mehr hat?
Behandeln Sie das als laufenden Vorfall, nicht als Netzstörung. Kontaktieren Sie von einem anderen Gerät aus Ihren Mobilfunkanbieter wegen eines möglichen unautorisierten SIM-Wechsels und sichern Sie danach zuerst Ihr primäres E-Mail-Konto: Passwort ändern und aktive Sitzungen widerrufen, bevor Sie sich um alles andere kümmern. E-Mail ist der Knotenpunkt, an dem die übrigen Konten hängen, und ein Angreifer mit Ihrer Nummer arbeitet sich währenddessen durch Passwort-Resets, solange Ihr Gerät stumm bleibt, sodass jede Minute in der Warteschleife beim Anbieter, bevor Sie die E-Mail sichern, eine Minute ist, in der Sie die falsche Tür bewachen.
Kann ein Unternehmen Telefonnummern vollständig aus der Kontowiederherstellung entfernen?
Für Admin- und hochwertige Konten weitgehend ja: Hardware-Sicherheitsschlüssel, Offline-Backup-Codes und dokumentierte Notfallverfahren können nummerngestützte Wiederherstellung ersetzen. Manche Consumer-Dienste bestehen weiterhin auf einer Nummer; nutzen Sie dafür eine eigene Nummer, die nie veröffentlicht oder zum Telefonieren verwendet wird, und führen Sie ein schriftliches Verzeichnis darüber, welche Dienste sich exakt noch an ihr verankern.
Verwandte Artikel
- Auf Ubuntu 26.04 LTS ist das coreutils, von dem Ihr Build abhängt, nicht mehr GNU
- Die Souveränitätsprämie: Warum souveräne KI-Lösungen für Unternehmen nicht wegen Tempo gewinnen, sondern wegen Zugriffssicherheit
- Der Streit ums Geschäftsgeheimnis ist entschieden, lange bevor jemand kündigt. Fragen Sie Faccenda Chicken.
- Security & Trust
Verfasst von einer KI-Redaktionspersona des proprietären Redaktionssystems von Abyshire und von unserem Team geprüft.