SIM-Swapping: Wie Kriminelle mit deiner Handynummer Krypto-Konten leerräumen – und warum SMS-Codes nicht reichen
Die polnische Cyber-Behörde hat vier mutmaßliche Täter festgenommen, die mit einer besonders heimtückischen Methode Krypto-Konten geplündert haben sollen: SIM-Swapping. Dabei brauchen die Täter weder dein Passwort noch Zugriff auf dein Handy – es reicht, deine Telefonnummer zu übernehmen. Der Fall zeigt eine Schwachstelle, die viele unterschätzen: den SMS-Code.
Das Wichtigste in Kürze
- Die polnische Cyber-Behörde CBZC hat vier mutmaßliche Täter festgenommen, die per SIM-Swapping Krypto-Konten leergeräumt haben sollen – unterstützt von FBI und HSI.
- Der Onchain-Ermittler ZachXBT brachte einen der Festgenommenen mit einem bekannten Bedrohungsakteur in Verbindung; die Behörden haben die Identitäten bislang nicht bestätigt.
- Bei SIM-Swapping übernehmen Täter deine Handynummer – und damit alle Codes, die per SMS kommen.
- Das macht SMS-basierte Zwei-Faktor-Anmeldung zum schwächsten Glied, besonders bei Krypto.
- Wichtigste Maßnahme: SMS-2FA durch eine Authenticator-App ersetzen und, wo möglich, zusätzlich einen Hardware-Schlüssel nutzen.
Was ist gerade passiert?
Polens Zentralbüro zur Bekämpfung der Cyberkriminalität (CBZC) hat nach eigenen Angaben vier Mitglieder einer organisierten Gruppe festgenommen. Der Vorwurf: SIM-Swap-Angriffe auf Krypto-Börsen, Diebstahl digitaler Vermögenswerte und Geldwäsche. Unterstützt wurde die Aktion von Agenten der US-Behörden FBI und HSI. Die erbeuteten Gelder sollen über Bankkonten im In- und Ausland, internationale Zahlungsplattformen und digitale Wallets gewaschen worden sein – die Summe wird auf einen zweistelligen Millionenbetrag in polnischen Zloty geschätzt. Den Verdächtigen drohen bis zu 25 Jahre Haft.
Zusätzliche Aufmerksamkeit bekam der Fall durch den bekannten Onchain-Ermittler ZachXBT. Er brachte einen der Festgenommenen mit einem in der Szene bekannten Bedrohungsakteur in Verbindung, der online unter dem Namen „Merry" auftritt. Dabei handelt es sich um eine Einschätzung des Ermittlers – die polnischen Behörden haben die Identitäten der Festgenommenen mit Verweis auf die laufenden Ermittlungen nicht bestätigt. Bis zu einer rechtskräftigen Verurteilung gilt für alle die Unschuldsvermutung.
Was ist SIM-Swapping?
SIM-Swapping ist die Übernahme deiner Telefonnummer durch Dritte. Vereinfacht gesagt sorgen die Täter dafür, dass deine Nummer auf eine SIM-Karte in ihrer Hand umgezogen wird. Ab diesem Moment landen Anrufe und vor allem SMS – also auch SMS-Codes – bei ihnen statt bei dir.
Bemerkenswert ist, wie sie dorthin kommen: Im aktuellen Fall verschafften sich die Täter laut Behörde über Spezialsoftware und Social Engineering Zugang zu E-Mail-Konten von Mitarbeitern, die mit Mobilfunkanbietern zusammenarbeiten. Der Angriff zielt also nicht auf dein Gerät, sondern auf die Abläufe rund um deine Nummer. Genau deshalb hilft ein sicheres Smartphone allein hier nicht.
Warum gerade Krypto-Besitzer im Visier sind
Krypto ist für diese Masche ein ideales Ziel. Überweisungen sind schnell und in der Regel nicht umkehrbar – einmal abgeflossen, ist das Geld meist weg. Gleichzeitig sichern viele Nutzer ihre Börsenkonten noch immer mit SMS-Codes ab. Wer die Nummer kontrolliert, kann damit Anmeldungen bestätigen oder Passwörter zurücksetzen und so die Kontrolle über das Konto übernehmen.
Dass Angreifer dabei oft mit Täuschung und gefälschtem Support arbeiten, zeigt auch der Überblick dazu, wie sich Krypto-Scams wie Phishing und Fake-Support erkennen lassen.
Warum SMS-2FA das schwächste Glied ist
Die Zwei-Faktor-Anmeldung soll dein Konto schützen, indem zum Passwort ein zweiter Nachweis kommt. Entscheidend ist aber, worüber dieser zweite Faktor läuft:
- SMS-Code: hängt an deiner Telefonnummer – und die lässt sich per SIM-Swap übernehmen. Das schwächste Verfahren.
- Authenticator-App: erzeugt die Codes direkt auf deinem Gerät, unabhängig von der Telefonnummer. Deutlich sicherer.
- Hardware-Schlüssel oder Passkey: ist an dein Gerät und die echte Webseite gebunden und lässt sich so nicht umleiten. Die stärkste Stufe.
Die wichtigste Konsequenz aus dem Fall ist deshalb einfach: Wer Krypto hält, sollte die SMS-Anmeldung überall ersetzen, wo es geht. Wie das geht, zeigt die Anleitung zur Zwei-Faktor-Anmeldung per Authenticator-App. Für besonders sensible Konten lohnt der Schritt zum Hardware-Sicherheitsschlüssel als stärkstem Login-Tool.
So schützt du dich
Mit diesen Schritten machst du dich für SIM-Swapping zum unattraktiven Ziel:
- SMS-2FA ersetzen. Stelle Börsen und wichtige Konten auf eine Authenticator-App um und entferne SMS als zweiten Faktor.
- SMS als Wiederherstellung entfernen. Auch beim Zurücksetzen von Passwörtern sollte nicht die Telefonnummer der einzige Weg sein.
- Hardware-Schlüssel nutzen. Wo es angeboten wird, ist ein Sicherheitsschlüssel oder Passkey die robusteste Absicherung.
- Mobilfunk-Konto absichern. Viele Anbieter ermöglichen eine zusätzliche PIN oder ein Kennwort für Karten- und Nummernänderungen. Aktiviere diesen Schutz.
- Weniger auf der Börse lagern. Was du nicht aktiv handelst, gehört in die eigene Verwahrung. Was der Grundsatz „Not your keys, not your coins" wirklich bedeutet, vertieft den Gedanken.
- Zugangsdaten in Ordnung halten. Eigene, starke Passwörter pro Dienst sind die Basis – Teil der Grundhygiene bei Zugangsdaten.
Warnzeichen: Verliert dein Handy plötzlich ohne Grund das Netz oder zeigt nur noch „Notrufe", obwohl andere Geräte am selben Ort Empfang haben, kann das auf eine übernommene SIM hinweisen. Dann zählt jede Minute – kontaktiere sofort deinen Mobilfunkanbieter.
Was tun bei Verdacht auf SIM-Swap?
Wenn du den Verdacht hast, dass deine Nummer übernommen wurde, handle schnell und in dieser Reihenfolge: Kontaktiere zuerst deinen Mobilfunkanbieter, um die Nummer zurückzuholen und die fremde SIM sperren zu lassen. Sichere danach deine wichtigsten Konten – vor allem Börsen und E-Mail – über ein anderes Gerät, ändere Passwörter und bringe, falls möglich, Guthaben in Sicherheit. Die konkreten Sofortmaßnahmen nach einem Krypto-Hack helfen dabei, die richtigen Schritte nicht zu vergessen.
Häufige Fragen zu SIM-Swapping
Die wichtigsten Fragen kurz beantwortet:
Brauchen die Täter mein Handy oder mein Passwort?
Nein. Beim SIM-Swapping übernehmen sie deine Telefonnummer, nicht dein Gerät. Sobald SMS und Anrufe bei ihnen landen, können sie damit Anmeldungen bestätigen und Passwörter zurücksetzen.
Ist eine Authenticator-App wirklich sicherer als SMS?
Ja. Eine Authenticator-App erzeugt die Codes direkt auf deinem Gerät und ist nicht an die Telefonnummer gebunden. Ein SIM-Swap läuft dadurch ins Leere. Noch sicherer sind Hardware-Schlüssel oder Passkeys.
Woran erkenne ich, dass meine SIM übernommen wurde?
Ein deutliches Zeichen ist plötzlicher Empfangsverlust ohne Grund – das Handy zeigt „kein Netz" oder „nur Notrufe", während andere Geräte am selben Ort Empfang haben. Dann solltest du sofort deinen Anbieter kontaktieren.
Sind nur Krypto-Besitzer betroffen?
Nein, aber sie sind ein bevorzugtes Ziel, weil Krypto-Überweisungen schnell und meist unumkehrbar sind. SIM-Swapping bedroht aber auch Bankkonten, E-Mail und alles, was per SMS abgesichert ist.
Wie kann ich meine Telefonnummer beim Anbieter schützen?
Viele Anbieter bieten eine zusätzliche PIN oder ein Kennwort an, das bei Karten- und Nummernänderungen abgefragt wird. Frag aktiv nach diesem Schutz und richte ihn ein.
Was mache ich zuerst, wenn es passiert ist?
Zuerst den Mobilfunkanbieter kontaktieren, um die Nummer zurückzuholen. Danach über ein anderes Gerät die wichtigsten Konten sichern, Passwörter ändern, Guthaben in Sicherheit bringen und Anzeige erstatten.