Was ist ein SIM-Swap-Angriff? So werden Krypto-Inhaber gehackt

Ein SIM-Swap-Angriff liegt vor, wenn ein Krimineller Ihre Telefonnummer auf eine von ihm kontrollierte SIM-Karte umleiten lässt. Im Jahr 2024 wurden beim Internet Crime Complaint Center (IC3) des FBI 982 Beschwerden wegen SIM-Swaps eingereicht. Sobald die Nummer übertragen wird, gehen Ihre Anrufe und SMS-Nachrichten an den Angreifer, zusammen mit jedem SMS-Login-Code und Link zum Zurücksetzen des Passworts.

Die FCC verabschiedete im November 2023 Regeln, die US-Funknetzbetreiber verpflichten, einen Kunden zu überprüfen, bevor eine Nummer auf eine neue SIM oder einen anderen Betreiber übertragen wird. Mitte Oktober 2026, 1.065 Tage später, mussten die Betreiber diese Vorschriften noch immer nicht erfüllen. Es war kein Umsetzungsdatum im Federal Register erschienen, und der eCFR-Text beider Regeln besagte weiterhin, dass die Umsetzung auf dieses Datum warten würde.

Wie funktioniert ein SIM-Swap-Angriff?

Ein SIM-Swap-Angriff funktioniert, indem jemand bei Ihrem Mobilfunkanbieter ausgetrickst oder bestochen wird. Die öffentliche Bekanntmachung des FBI vom Februar 2022 nennt die Wege. Kriminelle geben sich als Opfer aus, um die Nummer wechseln zu lassen, bestechen einen Mitarbeiter des Anbieters oder phishen Mitarbeiter, um Malware zu installieren, die die Swaps durchführt.

Sobald der Swap durchgeführt wurde, landen die Anrufe und Nachrichten des Opfers auf dem Telefon des Kriminellen. Der Kriminelle fordert dann "Passwort vergessen"-Resets für E-Mail- und Finanzkonten an, und die einmaligen Codes kommen per Text an einer Nummer an, die das Opfer nicht mehr kontrolliert.

Port-Out-Betrug erreicht dasselbe Ziel durch eine andere Tür. Der Angreifer eröffnet ein Konto bei einem anderen Anbieter im Namen des Opfers und lässt die Nummer dorthin übertragen, sodass niemals eine SIM-Änderung beim eigenen Anbieter des Opfers stattfindet.

Der SIM-Swap-Betrug beginnt lange vor dem Anruf beim Anbieter, mit den persönlichen Daten, die ein Angreifer benötigt, um sich als Sie auszugeben. FINRA nennt als Beispiel Informationen, die Sie in sozialen Medien posten, gesammelt, um Ihren Anbieter davon zu überzeugen, dass der Anrufer Sie sind.

Trader erhalten dasselbe Phishing wie Mitarbeiter von Anbietern, durch gefälschte E-Mails und kopierte Login-Seiten, und die Phemex Academy behandelt was Phishing in Krypto ist und wie man es verhindert.

Warum zielen SIM-Swapper auf Krypto-Inhaber?

Die Warnung des FBI beschrieb SIM-Swapping als Weg, um "Fiat- und virtuelle Währungskonten" zu stehlen. FINRA erklärt, warum die Telefonnummer der Einstiegspunkt ist, da Mobilnummern "ein Schlüssel zur Feststellung der Kundenidentität" für Finanzlogins geworden sind. Ein Textcode kann ein Konto öffnen, und ein Reset-Link per Text öffnet den E-Mail-Posteingang, wo jeder andere Reset landet.

Eine Blockchain-Übertragung hat auch keine Rückbuchung, also sind Coins, die ein Angreifer abhebt, weg, sobald die Transaktion bestätigt ist.

Ein SIM-Swap kann den privaten Schlüssel in einer Self-Custody-Wallet nicht erreichen, weil der Schlüssel in der Wallet lebt und niemals auf der SIM. Bitcoin öffentliche vs. private Schlüssel erklärt, warum dieser Schlüssel derjenige ist, der Coins bewegt. Die Gefahr ist eine Kopie eines Schlüssels oder einer Seed-Phrase, die in E-Mail oder Cloud-Notizen aufbewahrt wird, worauf eine gekaperte Nummer durch ein Passwort-Reset zugreifen kann.

Wie verbreitet ist SIM-Swapping?

IC3 begann 2022, SIM-Swaps als eigene Kriminalitätsart zu zählen, und seine jährlichen Berichte liefern diese Reihe.

Auf der Dreijahres-Tabelle im jährlichen IC3-Bericht 2024 fielen die Beschwerden um 51,53 % gegenüber ihrer Basis von 2.026 im Jahr 2022 und die gemeldeten Verluste fielen um 64,24 % von $72,65 Millionen.

Dies sind Beschwerden, die Menschen freiwillig eingereicht haben, was sie zu einer Untergrenze macht. Ein Angriff, der nie IC3 erreicht, ist nicht in der Zählung enthalten.

Die Warnung des FBI aus dem Jahr 2022 gab frühere Zahlen an, bevor die Kategorie existierte. Sie zählte 320 Beschwerden von 2018 bis 2020 mit etwa $12 Millionen an angepassten Verlusten, dann 1.611 Beschwerden im Jahr 2021 mit mehr als $68 Millionen. Diese stammen aus einer separaten Zählung und schließen sich nicht der jährlichen Reihe an.

Personen im Alter von 60 Jahren und darüber reichten 205 der 982 Beschwerden im Jahr 2024 ein und meldeten $6,342 Millionen an Verlusten, was 24,41 % der Gesamtsumme von $25,98 Millionen in diesem Jahr entspricht.

Müssen US-Anbieter SIM-Swaps stoppen?

Nein, Stand Mitte Oktober 2026 nicht, obwohl die FCC am 15. November 2023 SIM-Swap- und Port-Out-Regeln für US-Funknetzbetreiber verabschiedete. Auf dem Papier verlangt die Federal Register Regel, dass Betreiber sichere Methoden verwenden, um die Identität eines Kunden vor einer SIM-Änderung oder einem Port-Out zu bestätigen und Kunden sofort zu benachrichtigen, wenn eines davon angefordert wird.

Der Erlass erklärt die Lücke. Am 5. Juli 2024 erließ das Wireline Competition Bureau der FCC die Einhaltung "der Regeln in ihrer Gesamtheit", bis das OMB seine Überprüfung abgeschlossen hatte und "die Kommission eine Bekanntmachung im Federal Register veröffentlicht, die das Umsetzungsdatum ankündigt". Das OMB genehmigte die SIM-Change-Informationssammlung und ihr Port-Out-Gegenstück am 15. Januar 2025, was die Bekanntmachung als fehlenden Schritt hinterließ.

Bis Mitte Oktober 2026 waren 638 Tage seit dieser Genehmigung vergangen, etwa 21 Monate. Der eCFR-Text der SIM-Change-Regel besagte immer noch, dass die Einhaltung "nicht erforderlich sein wird, bis dieser Absatz entfernt wird oder ein Umsetzungsdatum enthält", und die Port-Out-Regel trägt dieselbe Zeile. Sechs SIM-Change-Schutzmaßnahmen und vier Port-Out-Schutzmaßnahmen bleiben als "[Reserved]"-Platzhalter.

Kein FCC-Dokument, das ab 2024 im Federal Register veröffentlicht wurde, setzt dieses Datum, und die Erlassanordnung nennt das Federal Register als Ort, an dem es erscheinen muss. Der Eintrag der FCC in der Unified Agenda der Regierung, veröffentlicht im August 2026, listet ihre nächste Maßnahme als unbestimmt auf.

Bis ein Umsetzungsdatum erscheint, ist der Schutz, der funktioniert, derjenige, den Sie selbst einrichten.

Ist SIM-Swapping illegal?

Ja, und ein Bundesfall aus dem Jahr 2025 zeigt, wie Staatsanwälte ihn anklagen. Am 9. Januar 2024 übernahm jemand das X-Konto der SEC und postete, dass die Agentur Spot-Bitcoin-ETFs genehmigt habe, was sie nicht getan hatte.

Die SEC sagte am 22. Januar 2024, dass die nicht autorisierte Partei "die Kontrolle über die SEC-Handynummer erlangte, die mit dem Konto verbunden war, in einem scheinbaren 'SIM-Swap'-Angriff". Die Multi-Faktor-Authentifizierung war "auf Wunsch des Personals im Juli 2023" deaktiviert gewesen, sodass die Kontrolle über die Nummer es dem Angreifer ermöglichte, das Passwort des Kontos zurückzusetzen.

Das Justizministerium sagte im Mai 2025, dass ein Mann aus Alabama 14 Monate Gefängnis für seinen Anteil erhielt. Er bekannte sich schuldig der Verschwörung zur schweren Identitätsdiebstahl und Zugangsbetrugs.

Um die Nummer zu bekommen, verwendete er einen Ausweisdrucker, um einen gefälschten Ausweis im Namen eines Opfers herzustellen, und gab sich als dieses Opfer aus. Laut dem Ministerium stieg Bitcoin direkt nach dem falschen Posten um mehr als $1.000 und fiel nach der Korrektur um mehr als $2.000.

Woran erkennen Sie, ob Sie SIM-gewechselt wurden?

Dass Ihr Telefon den Dienst verliert, ist normalerweise der erste Hinweis. Die Anordnung der FCC aus 2023 sagt, dass das Telefon, das "dunkel geht oder nur 911-Anrufe erlaubt", typischerweise das erste Zeichen dafür ist, dass ein SIM-Swap oder Port-Out-Betrug stattgefunden hat.

FINRA listet weitere Warnsignale auf, beginnend mit einer Benachrichtigung, dass ein neues Gerät oder eine neue Nummer auf Ihrem Konto aktiviert wurde, obwohl Sie keines hinzugefügt haben. Logins, die plötzlich fehlschlagen, und eine Flut unerwarteter Anrufe oder Texte gehören auf dieselbe Liste.

Eine Nachricht, die Sie bittet, einen Code oder eine Seed-Phrase vorzulesen, ist ein eigenes Warnsignal. Die Phemex Safety Hub Zusammenfassung von vier Konto-Checks besagt, dass Phemex-Mitarbeiter niemals nach Ihrem 2FA-Code oder Ihrer Seed-Phrase fragen werden.

Wie verhindern Sie einen SIM-Swap-Angriff?

Vier Schritte verhindern, dass SIM-Swapping eine gestohlene Nummer in ein geleertes Konto verwandelt.

1. Entfernen Sie SMS aus Ihren Logins, indem Sie die Zwei-Faktor-Authentifizierung auf eine Authenticator-App oder einen Hardware-Security-Key umstellen, wann immer ein Konto dies zulässt. Die Warnung des FBI empfiehlt "Biometrie, physische Sicherheitstokens oder eigenständige Authentifizierungsanwendungen". Die digitalen Identitätsrichtlinien des NIST vom Juli 2025 listen Codes, die über das Telefonnetz gesendet werden, als ihren "einen eingeschränkten Authentifikator" auf, der nur verwendet werden darf, wenn eine Organisation das zusätzliche Risiko akzeptiert.

2. Sperren Sie die Nummer bei Ihrem Anbieter mit einer PIN oder einem Passcode auf Ihrem Funkkonto, wie FINRA rät, und fragen Sie nach einer SIM-Change- oder Port-Out-Sperre, falls Ihr Anbieter eine anbietet. Die Regeln der FCC würden Betreiber dazu bringen, diese Sperre anzubieten, aber bis ein Umsetzungsdatum eintrifft, ist Fragen alles, was Sie tun können.

3. Halten Sie Ihre Bestände aus sozialen Medien heraus, der erste Tipp in der Warnung des FBI, denn ein öffentliches Prahlen sagt einem Angreifer, wessen Nummer er ins Visier nehmen soll.

4. Bewahren Sie die Seed-Phrase offline auf Papier oder Metall auf, fern von der E-Mail und den Cloud-Notizen, die eine gekaperte Nummer zurücksetzen kann. Die Akademie-Seite über Seed-Phrasen und wie man eine Wallet sichert deckt sichere Möglichkeiten ab, eine zu speichern.

Phemex verlangt 2FA für kritische Kontomaßnahmen, und der Code stammt aus einer Authenticator-App auf Ihrem Gerät, wie sein Beitrag über wie Phemex fortschrittlichen Kontenschutz implementiert darlegt. Derselbe Login-Check deckt Phemex Futures ab, wo der BTCUSDT Perpetual bis zu 150x Hebel läuft. Futures nutzen Hebel, und eine gehebelte Position wird automatisch geschlossen, wenn Verluste ihre Marge erreichen.

Was sollten Sie nach einem SIM-Swap tun?

Handeln Sie schnell, denn der Angreifer rast durch Ihre Passwort-Resets, während die Nummer ihm gehört. Die Warnung des FBI und die Anleitung von FINRA weisen auf dieselben Schritte hin.

5. Rufen Sie Ihren Anbieter von einem anderen Telefon aus an und holen Sie sich die Nummer zurück.

6. Ändern Sie Ihre Passwörter, beginnend mit E-Mail, dann die Börse und Bankkonten, die mit der Nummer verbunden sind.

7. Bitten Sie Ihre Banken und Börsen, Ihre Konten für verdächtige Logins und Abhebungen zu kennzeichnen.

8. Melden Sie den Angriff dem IC3 und lokalen Strafverfolgungsbehörden und reichen Sie bei der FTC ein, wie FINRA vorschlägt.

Eine Wallet, deren Seed-Phrase in Ihrer E-Mail oder im Cloud-Speicher lag, sollte als exponiert betrachtet werden, also bewegen Sie ihre Coins in eine neue Wallet mit einer frischen Phrase. Jeder Bericht, den Sie beim IC3 einreichen, landet auch in der jährlichen Zählung, die das Problem verfolgt.

Häufig gestellte Fragen

Was ist SIM-Swapping?

SIM-Swapping ist ein anderer Name für einen SIM-Swap-Angriff. Ein Krimineller überredet oder bezahlt einen Anbieter, Ihre Telefonnummer auf eine SIM-Karte zu verschieben, die er hält, und verwendet dann Ihre eingehenden Texte, um Passwörter zurückzusetzen und SMS-Login-Checks zu passieren.

Gibt es SIM-Swapping noch?

Ja. IC3 erhielt 982 SIM-Swap-Beschwerden im Jahr 2024 mit $25,98 Millionen an gemeldeten Verlusten. Diese Zahlen decken nur Opfer ab, die eine Beschwerde eingereicht haben, also sind sie eine Untergrenze für die Anzahl der Angriffe.

Ist SIM-Swapping illegal?

Ja. Der Mann, der den SIM-Swap hinter dem gekaperten X-Konto der SEC im Januar 2024 durchführte, erhielt im Mai 2025 14 Monate Bundesgefängnis, nachdem er sich der Verschwörung zum schweren Identitätsdiebstahl und Zugangsbetrug schuldig bekannt hatte.

Kann SIM-Swapping mit eSIM passieren?

Ja. Die Regeln der FCC definieren eine SIM als "eine physische oder virtuelle Karte", und FINRA warnt, dass ein Angreifer, der Ihren Anbieter davon überzeugt, dass er Sie ist, Ihre eSIM auf sein Gerät verschieben lassen kann.

Fazit

Jede Verteidigung gegen einen SIM-Swap-Angriff macht entweder den Swap schwieriger oder macht ihn wertlos. Ihn schwieriger zu machen ist die Aufgabe der Anbieter, und der Kalender oben zeigt, wie lange diese Aufgabe gewartet hat. Ihn wertlos zu machen ist Ihre. Es dauert einen Nachmittag, Logins von Textnachrichten wegzubewegen. Danach bekommt ein gestohlener Nummer der Angreifer eine Telefonleitung und sonst wenig.

Haftungsausschluss: Dieser Artikel dient ausschließlich Informationszwecken und ist keine Finanzberatung. Der Handel mit Kryptowährungen birgt erhebliche Risiken. Führen Sie immer Ihre eigene Recherche durch, bevor Sie Anlageentscheidungen treffen.