SIM-Swap-Angriffe auf Crypto Exchanges: So schützt du dich

Was ein SIM-Swap-Angriff tatsächlich mit deinem Exchange-Login macht

Ein SIM-Swap beschädigt nicht dein Telefon. Er zerstört die Verknüpfung zwischen deiner Telefonnummer und der SIM-Karte darin. Jede Mobilnummer bei jedem Anbieter ist ein Datenbankeintrag, der sagt, „diese Nummer liegt gerade auf dieser SIM-Karte“. Wenn du den Anbieter anrufst oder in einen Shop gehst, kann ein Mitarbeiter diesen Eintrag aktualisieren. Bei einem SIM-Swap bringt der Kriminelle den Mitarbeiter dazu, deine Nummer auf eine SIM in seinem Handy umzuleiten.

Von außen ändert sich an deinem Telefon zunächst nichts. Wenige Minuten später verliert es das Signal, wenn sich die alte SIM abmeldet. Das Telefon des Kriminellen klingelt, empfängt deine SMS und kontrolliert nun jedes Konto, das deine Telefonnummer als Identitätsnachweis nutzt, einschließlich, in vielen Fällen, deines Kontos bei der Krypto-Börse.

Sobald sie deine Nummer kontrollieren, läuft der Angriff auf die Börse mechanisch ab. Sie tippen auf „Passwort vergessen“, erhalten per SMS einen Link oder Code zum Zurücksetzen, vergeben ein neues Passwort und werden nach der Zwei-Faktor-Authentifizierung gefragt. Der zweite Faktor kommt ebenfalls per SMS an „deine“ Nummer, die nun ihr Telefon ist. Sie geben ihn ein, melden sich an und beginnen mit den Auszahlungen. Bis sich dein echtes Telefon wieder verbindet, ist das Geld meist schon weg.

Die realen Fehlerbilder (lies das, bevor du annimmst, dass es dir nicht passieren wird)

Das ist kein theoretisches Risiko und auch kein Randproblem. Das Internet Crime Complaint Center des FBI verzeichnete 2021 mehr als 1.000 SIM-Swap-Beschwerden mit einem Schaden von rund 68 Millionen Dollar, und das ist sehr wahrscheinlich zu niedrig angesetzt, weil viele Opfer keine Anzeige erstatten. Einzelne Fälle machen das Ausmaß greifbarer.

In einem gut dokumentierten Fall aus dem Jahr 2019 wurde ein Student in den USA zu zehn Jahren Haft verurteilt, weil er mit einem SIM-Swap-Schema rund 50.000 Dollar von einem einzigen Opfer erbeutet hatte, einem Manager eines Krypto-Hedgefonds. Der Angreifer rief den Anbieter an, gab sich mit persönlichen Daten aus, die er aus sozialen Medien und von Datenbrokern gesammelt hatte, als das Opfer aus, portierte die Nummer und führte das Zurücksetzen des Passworts in wenigen Minuten durch.

Das Muster wiederholt sich auf mehreren Kontinenten. 2020 stahl eine deutsche SIM-Swap-Gruppe mehr als 1 Million Dollar von Opfern, indem sie Anleger ins Visier nahm, die die Wiederherstellung für Gmail, Exchange und Authenticator alle an dieselbe Telefonnummer gebunden hatten. 2023 klagte das US-Justizministerium mehrere Mitglieder einer Gruppe namens „Scattered Spider“ wegen SIM-Swaps gegen Krypto-Inhaber und Telekommunikationsmitarbeiter an. Der gemeinsame Nenner in jedem Fall ist kein raffinierter Hack. Es ist Social Engineering beim Anbieter, bei dem der Angreifer einen Menschen davon überzeugt, dass er die Person ist, für die er sich ausgibt.

Die Fehlerbilder innerhalb des Angriffs sind wichtig, weil sie zeigen, welche Schutzmaßnahmen funktionieren und welche nur Show sind. Ein starkes, einzigartiges Passwort hilft nicht, weil der Angreifer es zurücksetzt. Zwei-Faktor-Authentifizierung hilft nur, wenn der zweite Faktor nicht dieselbe SIM ist, die gerade gekapert wurde. Die Wiederherstellung per E-Mail ist gefährlich, wenn dein E-Mail-Konto ebenfalls auf SMS-Wiederherstellung angewiesen ist. Die Lehre daraus ist, dass jede Login-Kette eigenständig abgesichert werden muss, weil der schwächste Punkt der ist, den der Angreifer angreift.

Warum SMS-Zwei-Faktor-Authentifizierung nicht mehr akzeptabel ist

SMS-Zwei-Faktor-Authentifizierung (SMS 2FA) war bei ihrer Einführung ein großer Fortschritt gegenüber Passwörtern allein, aber die Welt hat sich weiterentwickelt und die Bedrohungen haben aufgeholt. Der Grund, warum SMS 2FA für alles mit Geldwert nicht mehr akzeptabel ist, ist strukturell: Der Code läuft durch dasselbe Netzwerk, das der Angreifer gerade kompromittiert hat.

Die großen Tech-Publikationen und Standardisierungsgremien sagen das seit Jahren. NIST, die US-Behörde, die Authentifizierungsrichtlinien veröffentlicht, hat SMS bereits 2017 als akzeptablen zweiten Faktor für föderale Systeme mit hohem Sicherheitsniveau gestrichen, ausdrücklich wegen SIM-Swap- und SS7-Abfangangriffen (Signaling System 7). SS7 ist das globale Telekommunikations-Signalisierungsprotokoll, mit dem Anbieter Anrufe und SMS zwischen Netzwerken übergeben können. Kriminelle kennen SS7-Schwachstellen mindestens seit 2014 und nutzen sie, um SMS ganz ohne SIM-Swap umzuleiten.

Auch ohne diese exotischen Angriffe ist Social Engineering beim Mobilfunkanbieter billig. Ein Teenager mit einer Prepaid-SIM und einigen aus LinkedIn, Instagram oder einem Datenbroker wie PeopleFinder abgegriffenen persönlichen Informationen kann oft mit einem einzigen Anruf Erfolg haben. Die Anbieter haben ihre Abwehrmaßnahmen in den letzten Jahren verstärkt, aber Betrug mit neuen Konten und kompromittierte Insider sind ständige Hintergrundgeräusche, und die kriminelle Wirtschaft rund um SIM-Swaps ist ausgereift genug, dass es Dienstleister gibt, die Swaps dutzendweise verkaufen.

Die ehrliche Einordnung lautet so. Wenn dein Exchange-Login SMS als zweiten Faktor nutzt, liegt deine Krypto hinter einem einzigen Telefonanruf. Du musst keinen erfahrenen Hacker besiegen. Du musst nur die Art von Ziel sein, bei der der Mitarbeiter des Mobilfunkanbieters beim Angreifer auflegt. Das ist machbar, aber dafür musst du SMS aus der Kette entfernen, nicht nur hoffen, dass es niemand versucht.

Die 2FA-Falle bei Telegram, Signal und WhatsApp, in die die meisten Anfänger tappen

Weil SMS 2FA zunehmend in Verruf gerät, wechseln viele Anfänger zur "Zwei-Schritt-Verifizierung" einer Messaging-App und nehmen an, es sei dasselbe. Das ist es nicht, und die Unterschiede sind wichtig.

Telegram, Signal und WhatsApp bieten jeweils eine Funktion namens "Zwei-Schritt-Verifizierung" (Telegram) oder "Zwei-Faktor-Authentifizierung" (Signal und WhatsApp) an. Es ist eine PIN oder ein Passwort, das du in der App festlegst. Entscheidend ist, dass diese PIN Registrierungen auf neuen Geräten und bestimmte sensible Aktionen schützt, aber sie ersetzt für sich genommen nicht SMS für den Rest deiner Login-Kette, weil dein Exchange-Login, deine E-Mail, deine Bank und viele andere Konten weiterhin von deiner Telefonnummer abhängen.

Die Falle ist subtiler. Ein SIM-Swap gegen deine Nummer funktioniert weiterhin gegen all diese Konten. Das Zwei-Schritt-Passwort von Telegram greift nur, wenn der Angreifer versucht, sich von einem neuen Gerät aus bei deinem Telegram anzumelden. Es hindert ihn nicht daran, die SMS zu empfangen, auf die du dich anderswo verlässt. Noch schlimmer: Wenn der Angreifer auch dein Telegram-Passwort bekommt, weil du es wiederverwendet hast oder weil es bei einem Datenleck offengelegt wurde, kontrolliert er nun die Messaging-App, die du möglicherweise als teilweisen Ersatz für SMS nutzt.

Das solltest du tatsächlich tun, in dieser Reihenfolge: Aktiviere die Zwei-Schritt-Verifizierung in Telegram, Signal und WhatsApp mit eindeutigen PINs, die du nirgendwo wiederverwendest. Richte bei deinem Mobilfunkanbieter eine PIN für SIM-Wechsel oder SIM-Ersatz ein und erwäge eine Nummernübertragungs- oder "Port-out"-PIN als zweite Schicht. Nutze eine dedizierte Authenticator-App, die im nächsten Abschnitt behandelt wird, für Exchange- und E-Mail-2FA. Lass dich durch 2FA in Messaging-Apps nicht in dem Glauben wiegen, deine Telefonnummer sei kein hochwertiges Ziel mehr. Sie ist es.

So schützt du dich: die Fünf-Schritte-Einrichtung, die du an einem Nachmittag erledigen kannst

Das Ziel dieser Schritte ist es, die Kette zwischen deiner Telefonnummer und deiner Krypto zu durchbrechen. Keiner davon erfordert spezielle Hardware oder technisches Wissen. Du kannst alle fünf in ein paar Stunden erledigen.

Schritt 1: Sperre dein Mobilfunkkonto mit einer PIN und Port-out-Schutz ab

Rufe deinen Mobilfunkanbieter an. Bitte ihn, eine "Port-out-PIN" oder "Nummernübertragungs-PIN" für dein Konto einzurichten. Das ist ein separater Code, der vorgelegt werden muss, bevor deine Nummer zu einem anderen Anbieter oder auf eine andere SIM übertragen werden kann. Frage ausdrücklich nach "Nummernübertragungsschutz" (die Bezeichnung variiert: T-Mobile nennt es Number Transfer PIN, Verizon nennt es Number Transfer PIN oder Account Lock, AT&T nennt es Number Transfer PIN und bietet außerdem einen separaten Wireless Account Lock an).

Bitte um eine PIN auf Kontoebene, nicht um dieselben Ziffern wie bei deiner Nummernübertragungs-PIN. Das ist die PIN, nach der der Mitarbeiter fragt, bevor er dein Konto bespricht. Lege sie auf etwas fest, das ein Anrufer nicht aus deinen sozialen Medien erraten kann, also keine Geburtstage, keine Jahrestage, keine Haustiernamen. Schreibe sie auf Papier und bewahre sie zu Hause an einem sicheren Ort auf, nicht in einer Notizen-App auf dem Telefon, das du schützen willst.

Aktiviere Wireless Account Lock bei T-Mobile und AT&T, falls verfügbar. Das ist eine Funktion, die verlangt, dass du persönlich in einem Laden erscheinst oder dich über deine bestehende Nummer verifizierst, bevor Kont Änderungen vorgenommen werden können, in manchen Konfigurationen sogar durch Mitarbeiter.

Rufe einmal im Jahr erneut an. Mitarbeiter von Mobilfunkanbietern wechseln, Systeme ändern sich, und PINs werden manchmal während Support-Interaktionen stillschweigend entfernt. Bestätige, dass die Schutzmaßnahmen weiterhin aktiv sind.

Schritt 2: Ersetze SMS 2FA auf jeder Exchange und bei jeder E-Mail durch eine Authenticator-App

Lade eine Time-based One-Time Password (TOTP) Authenticator-App herunter. Die zwei Mainstream-Optionen sind Authy (Twilio) und Google Authenticator, wobei neuere Optionen wie 2FAS, Bitwarden Authenticator und 1Password an Bedeutung gewinnen. Jede App zeigt einen sechsstelligen Code an, der alle 30 Sekunden wechselt und aus einem geheimen Schlüssel generiert wird, der auf deinem Telefon gespeichert ist.

Die Codes laufen nie über das Mobilfunknetz. Sie können nicht durch einen SIM-Swap oder einen SS7-Angriff abgefangen werden, weil sie lokal auf deinem Gerät berechnet werden. Der geheime Schlüssel in deiner Authenticator-App wird dir einmalig als QR-Code angezeigt, deshalb wird der Schutz von Backups, der in Schritt 5 behandelt wird, entscheidend. Wer den QR-Code oder die Wiederherstellungscodes hat, hat deine 2FA.

Gehe zu jeder Exchange, die du nutzt, einschließlich deiner E-Mail, und entferne SMS als zweiten Faktor. Wechsle zu Codes aus einer Authenticator-App. Dazu gehören auch Konten, die du vielleicht nicht als Krypto betrachtest: Gmail oder Outlook, weil sie Passwortzurücksetzungen abwickeln, Coinbase, Kraken, Gemini, Binance und jedes Wallet-Webportal, bei dem du dich anmeldest. Die meisten Exchanges erlauben mehrere 2FA-Methoden, lasse also nur die Authenticator-App aktiv und entferne SMS vollständig.

Schritt 3: Steige auf einen Hardware-Sicherheitsschlüssel um, wenn du relevante Werte hältst

Ein Hardware-Sicherheitsschlüssel ist ein kleines physisches Gerät, das beweist, dass du du bist, und speziell darauf ausgelegt ist, Phishing und Fernübernahmen zu widerstehen. Der dominierende Standard ist FIDO2/WebAuthn (Fast Identity Online 2 / Web Authentication), und die bekannteste Marke ist YubiKey, obwohl es Alternativen von Google (Titan Key), Feitian und anderen gibt.

Wenn du einen Schlüssel bei einer Exchange registrierst, musst du dich beim Einloggen mit dem Schlüssel antippen oder ihn einstecken. Die Exchange sendet eine Challenge, der Schlüssel signiert sie mit einem privaten Schlüssel, der das Gerät nie verlässt, und die Exchange verifiziert die Signatur. Es gibt keinen Code zum Abfangen, keinen QR zum Phishen und vor allem überhaupt keinen Wert in deiner Telefonnummer. Wenn du den Schlüssel verlierst, nutzt du ein Backup (Schritt 5).

Für Bestände oberhalb einer persönlich relevanten Schwelle, die Zahl bestimmst du, aber für viele Leser bedeutet das "mehr, als ich problemlos verlieren könnte", ist dies die stärkste Verteidigung, die Verbrauchern heute zur Verfügung steht. Coinbase, Binance.US, Kraken, Gemini und mehrere andere unterstützen FIDO2-Schlüssel direkt. Kaufe zwei Schlüssel aus unterschiedlichen Chargen, registriere beide bei jedem Dienst und bewahre einen an einem separaten physischen Ort auf, etwa in einem Bankschließfach.

Schritt 4: Richte app-spezifische Zwei-Schritt-Verifizierung in Telegram, Signal und WhatsApp ein

Öffne Telegram, gehe zu Einstellungen, Privatsphäre und Sicherheit, Zwei-Schritt-Verifizierung. Lege ein starkes, eindeutiges Passwort fest, bewahre die Wiederherstellungs-E-Mail sorgfältig auf, nicht eine, die für Passwortzurücksetzungen an deine Telefonnummer gebunden ist, und wähle einen Hinweis, den nur du kennst. Wiederhole dies in Signal unter Konto, Registrierungssperre. Wiederhole dies in WhatsApp unter Einstellungen, Konto, Zwei-Schritt-Verifizierung.

Keine dieser Maßnahmen ersetzt die Absicherung deiner Nummer oder deines Mobilfunkkontos. Sie sind eine zusätzliche Schicht für die Messaging-Apps selbst, nützlich, weil Angreifer, die deine Nummer kontrollieren, oft auch versuchen werden, die von dir genutzten Messaging-Apps zu übernehmen.

Schritt 5: Sichere deine Wiederherstellungscodes und Authenticator-Geheimnisse offline

Die Kehrseite des Entfernens von SMS ist, dass du ausgesperrt bist, wenn du dein Telefon verlierst und keine Wiederherstellung geplant hast. Das ist Absicht: Ein System, zu dem du den Zugriff nicht verlieren kannst, ist auch eines, in das ein Angreifer nicht einfach hineinspazieren kann.

Jede Exchange und jeder E-Mail-Anbieter gibt dir einmalige Wiederherstellungscodes, wenn du 2FA aktivierst. Drucke sie auf Papier aus oder schreibe sie auf eine Karte und bewahre sie irgendwo offline und physisch sicher auf: in einem feuerfesten Dokumentensafe, einem Bankschließfach oder aufgeteilt auf zwei vertrauenswürdige Familienmitglieder. Speichere Wiederherstellungscodes nicht in derselben Notizen-App wie alles andere auf deinem Telefon. Fotografiere sie nicht und lasse sie nicht in deiner Kamerarolle liegen.

Bei Authenticator-Apps ist die Wiederherstellungsfrage wichtig. Google Authenticator hat 2023 Cloud-Sync mit einem daran gebundenen Google-Konto eingeführt, was bequem ist, aber einen neuen Single Point of Failure schafft, der an die Sicherheit deines Google-Kontos gebunden ist. Authy bietet verschlüsselte Backups hinter einem separaten Passwort. Bitwarden Authenticator und 2FAS exportieren und sichern die Geheimnisse selbst, die in einem Passwortmanager gespeichert werden können, der durch ein starkes Master-Passwort und 2FA auf dem Passwortmanager geschützt ist. Welchen Weg du auch wählst, das Ziel ist, deine Codes wiederherstellen zu können, wenn du dein Telefon verlierst, ohne zugleich eine neue digitale Identität zu schaffen, die ein Angreifer stehlen kann.

Sonderfälle und Grenzfälle, die du kennen solltest

Einige Leser gehören zu höheren Risikokategorien als andere. Wenn du dich öffentlich als Krypto-Inhaber zu erkennen gibst, mehr als fünfstellige Beträge in BTC oder ETH auf einer Exchange hältst, häufig reist oder dieselbe Telefonnummer geschäftlich nutzt, behandle die SIM-Swap-Bedrohung als routinemäßigen Teil deiner Sicherheitspraxis und nicht als Übung einmal im Jahr. Die fünf Schritte oben gelten weiterhin, aber überprüfe die Schutzmaßnahmen beim Mobilfunkanbieter und die Schlüssel-Backups alle sechs Monate erneut.

Für Menschen, die bereits Opfer eines SIM-Swaps waren, besteht die Priorität darin, den Mobilfunkanbieter von einem anderen Gerät aus anzurufen, die Leitung einzufrieren und dann deine Exchange, Bank und deinen E-Mail-Anbieter anzurufen, um alles zu sperren, bevor du weitermachst. Wenn Krypto bereits bewegt wurde, ist eine On-chain-Wiederherstellung praktisch unmöglich, weshalb Prävention wichtiger ist als Reaktion.

Eine häufige Frage ist, ob eine Google Voice- oder virtuelle Nummer für SMS 2FA sicherer ist als eine Nummer eines Mobilfunkanbieters. Die ehrliche Antwort lautet nein: Alles, was an einen einzelnen Anbieter gebunden ist, aus dem du per Telefonanruf ausgesperrt werden kannst, bleibt ein Single Point of Failure. Es ist besser, SMS ganz zu überspringen, als nur die zugrunde liegende Abhängigkeit zu wechseln.

Wann du SMS 2FA vollständig aufgeben solltest

Du solltest SMS 2FA vollständig aufgeben, sobald deine Börse eine Alternative anbietet, ohne Ausnahmen. Authenticator-Apps und Hardware-Sicherheitsschlüssel sind stärker, sie werden breit unterstützt, und bei SMS zu bleiben ist eine der wenigen Entscheidungen in der Krypto-Sicherheit, bei denen nahezu kein Experte widerspricht. Die verbleibende Frage ist, welche Alternative du wählen solltest, und die Faustregel lautet: Authenticator-App für den Alltag, Hardware-Schlüssel für jedes Konto, das Geld schützt, das du nicht leicht ersetzen kannst.

Bleib SIM-Swap-Taktiken voraus, bevor sie dein Konto erreichen

SIM-Swap-Taktiken entwickeln sich schnell weiter, weil Mobilfunkanbieter ihre Verifizierungsverfahren ändern, Angreifer neue Social-Engineering-Ansätze finden und jedes Jahr neue Login-Abläufe bei Börsen eingeführt werden. Jede dieser Änderungen manuell zu verfolgen, ist ein aussichtsloses Spiel. Zippfeed zeigt Schlagzeilen zur Krypto-Sicherheit mit Sentiment-Bewertung an, sodass du auf einen Blick erkennst, ob die Nachrichten bullish, neutral oder bearish sind, sowie mit einer Wichtigkeitsbewertung, damit eine echte Welle von SIM-Swap-Berichten aus dem Rauschen heraussticht. Nutze es, um die nächste Runde von Ankündigungen auf Mobilfunkanbieter-Ebene und Updates zur 2FA bei Börsen zu erfassen, bevor sie in deinem Posteingang landen.