SIM-Swapping: wie Firmen ihre Nummern und Codes schützen

SIM-Swapping: Betrüger lassen sich Ihre Rufnummer geben

Beim SIM-Swapping bringen Betrüger den Mobilfunkanbieter dazu, für Ihre Rufnummer eine Ersatz-SIM oder eine eSIM auszustellen. Ab diesem Moment landen Anrufe und SMS auf dem Gerät der Täter, und Ihr eigenes Handy hat kein Netz mehr. Gefährlich wird das, weil viele Dienste Bestätigungscodes per SMS schicken oder über die Rufnummer ein neues Passwort vergeben. Das BSI führt SIM-Swapping in seinen Bewertungstabellen zur Zwei-Faktor-Authentisierung (Version 1.1, Mai 2026) ausdrücklich als Schwäche der SMS-TAN.

Eine Firma schützt sich an drei Stellen. Beim Anbieter sichert sie das Online-Kundenkonto mit einem zweiten Faktor per App und hält das Kundenkennwort geheim. Bei den eigenen Konten ersetzt sie SMS-Codes, wo der Dienst es anbietet, durch eine Authenticator-App oder einen Passkey und legt die Wiederherstellungscodes ab. Im Team gilt eine feste Regel: Einen Code aus einer SMS nennt niemand am Telefon. Fällt das Netz ohne erkennbaren Grund aus, ruft jemand von einem anderen Telefon beim Anbieter an und lässt die Karte sperren.

Zwei Wege zur fremden Nummer

Die Datenschutzaufsicht des Bundes (BfDI), zuständig für Telekommunikationsanbieter, beschreibt einen Weg in einer Kurzmeldung vom 23.06.2023: Die Täter verschaffen sich die Zugangsdaten zum Kundenkonto beim Mobilfunkanbieter und bestellen dort eine Ersatz-SIM. Bei einer eSIM gehe das noch leichter, weil keine Karte per Post verschickt werden muss. In ihrer Checkliste für Telekommunikationsunternehmen nennt sie neben der Ersatz-SIM als zweiten Weg die Rufnummernportierung, also die Mitnahme der Nummer zu einem anderen Anbieter.

Die Warnungen des LKA Niedersachsen und der Verbraucherzentrale Niedersachsen beschreiben Anrufe beim Opfer. Das LKA warnte am 14.02.2024 vor Anrufern, die sich als Paketboten ausgaben und für die Zustellung einen Code verlangten, der gleich per SMS komme. Der Code war in Wahrheit die Bestätigung für ein anderes Konto, in einem der Fälle für die Bestellung einer eSIM, die danach die echte SIM im Handy des Opfers ersetzte.

Bis zu diesem Tag hatten in Niedersachsen drei Betroffene Anzeige erstattet. Die Verbraucherzentrale Niedersachsen berichtete am 21.03.2025 von einer ähnlichen Masche mit Anrufern, die sich als Mitarbeiter eines Mobilfunkanbieters ausgaben. o2 beschreibt in seinem Ratgeber vom 06.08.2025 auch den direkten Weg: Die Täter sammeln vorher Daten über Phishing oder soziale Netzwerke, rufen beim Anbieter an, behaupten einen Geräteverlust und bekommen die neue Karte, wenn die Identitätsprüfung schwach ist.

SMS als zweiter Faktor bei Firmenkonten

Der SMS-Code hängt an der Rufnummer, nicht an einem Gerät. Wer die Nummer übernimmt, bekommt also auch die Codes, ohne das Handy je in der Hand gehabt zu haben. Das BSI nennt in derselben Bewertung eine zweite Schwäche: Rufnummern bleiben nicht lebenslang derselben Person zugeordnet und werden nach kurzer Sperrzeit neu vergeben. Kündigt die Firma einen alten Diensthandy-Vertrag, kann der nächste Inhaber der Nummer an Konten kommen, die noch an ihr hängen. Was bei Nummern ausgeschiedener Mitarbeiter zu tun ist, behandelt Diensthandy-Nummer mitnehmen.

Kommen in einem kleinen Betrieb alle Codes auf das Handy des Inhabers, trifft ein SIM-Swap diese Konten auf einmal:

• das Administratorkonto des E-Mail-Anbieters, über das sich die Passwörter aller Postfächer zurücksetzen lassen,
• das Kundenkonto beim Domain-Anbieter, über das sich die Website und die Mailzustellung umleiten lassen,
• Zahlungsdienste, Marktplätze und Werbekonten,
• das Kundenkonto beim Mobilfunkanbieter selbst.

Ganz wertlos ist die SMS nicht. Die Verbraucherzentrale rät zwar, „nach Möglichkeit keine SMS-TAN oder E-Mail als zweiten Faktor“ zu nutzen, hält aber fest, dass auch diese Verfahren sicherer sind als eine Anmeldung nur mit Passwort (Stand 24.09.2024). Bietet ein Dienst nichts anderes an, bleibt die SMS also eingeschaltet.

Das Kundenkonto beim Mobilfunkanbieter absichern

Über das Online-Kundenkonto bestellen Täter die eSIM, deshalb braucht es den besten Schutz. Die Telekom bietet für den Telekom Login einen zweiten Faktor per SMS oder per Authentifizierungs-App an. Die App nennt sie die sicherere Wahl, weil sie unabhängig vom Mobilfunknetz arbeitet und besser vor Phishing schützt. Für den höchsten Schutz rät die Telekom zur Einstellung „Bei jeder Anmeldung und bei wichtigen Aktionen“, zu finden im Kundencenter unter den Login-Einstellungen im Bereich „Sicherheit“ (Hilfeseite, zuletzt geändert am 21.09.2026). Für MeinVodafone beschreibt die Hilfe von Vodafone den zweiten Faktor unter „Mein Konto“, „Sicherheit“, ebenfalls per App oder SMS, dazu zehn Backup-Codes (Stand Oktober 2026). Die Seite steht in der Hilfe für Privatkunden. Verwaltet Ihre Firma ihre Verträge in einem eigenen Geschäftskundenportal, prüfen Sie die Sicherheitseinstellungen dort.

Ein SMS-Code als zweiter Faktor für das Mobilfunkkonto schützt ausgerechnet vor dem Angriff schlecht, um den es hier geht. Nehmen Sie dort die App. Das Kundenkennwort, mit dem sich die Firma am Telefon ausweist, gehört nur den Personen, die den Vertrag ändern dürfen. Vodafone schreibt auf seiner Sicherheitsseite, dass seine Mitarbeiter bei Anrufen weder nach dem Kunden-Kennwort noch nach der kompletten Service-PIN fragen. Wie die Firma ein verlorenes Kennwort neu vergibt, steht unter Kundenkennwort beim Mobilfunk.

Die eigenen Konten von der Rufnummer lösen

1. Liste machen. Für jedes Firmenhandy aufschreiben, welche Konten Codes per SMS schicken und bei welchen die Nummer zur Wiederherstellung eingetragen ist. Steht irgendwo die private Nummer eines Mitarbeiters, markieren Sie das Konto.
2. Auf App umstellen. Wo der Dienst eine Authenticator-App oder einen Passkey anbietet, zuerst den neuen Weg einrichten, dann die SMS entfernen. Welche Konten zuerst drankommen, steht unter Zwei-Faktor im Betrieb einführen.
3. Wiederherstellungscodes sichern. Die Verbraucherzentrale rät, auch für die Wiederherstellung eines Kontos ein sicheres Verfahren zu nutzen. Ersatzcodes ersetzen die Nummer, wenn das Handy fehlt. Wo sie hingehören, beschreibt Wiederherstellungscodes aufbewahren.
4. Nummer erst zuletzt kündigen. Bevor ein Vertrag endet, die Nummer aus allen Konten austragen.

Kein Netz, obwohl Empfang da sein müsste: was jetzt zu tun ist

Ein Handy, das plötzlich weder telefonieren noch SMS empfangen kann, obwohl es Empfang haben müsste, ist laut o2 das erste Anzeichen. Dazu kommen Warnungen über Anmeldungen von unbekannten Geräten und Konten, in die man sich nicht mehr anmelden kann. Die Reihenfolge danach:

1. Anbieter von einem anderen Telefon anrufen und die Karte sperren lassen. Ist die Nummer des Anbieters nicht zur Hand, hilft der Sperr-Notruf 116 116. Die Verbraucherzentrale nennt als Angaben, die der Anbieter meist abfragt, Rufnummer, SIM-Kartennummer und Kundennummer oder Kundenkennwort.
2. E-Mail-Postfächer zuerst sichern. Passwort von einem sicheren Gerät ändern und prüfen, ob die Täter Weiterleitungen eingerichtet haben. Dazu rät das LKA Niedersachsen.
3. Bank und Zahlungsdienste anrufen, wenn sie Codes an diese Nummer schicken.
4. Alles festhalten, mit Uhrzeiten und Bildschirmfotos, und Anzeige erstatten. Welche Stelle der Polizei für Unternehmen zuständig ist, steht unter Firmen-E-Mail gehackt.

Wer nach der Rückgabe der Nummer wieder Zugriff hat, ersetzt die SMS bei den betroffenen Konten durch eine App und erzeugt neue Ersatzcodes, weil die Täter zwischendurch in diesen Konten waren.

Ein Beispiel aus einer Spedition

Eine erfundene Spedition mit 14 Lkw und drei Disponentinnen: Die Codes für sein Administratorkonto beim Mailanbieter, für den Domain-Anbieter und für das Kundenkonto beim Mobilfunkanbieter kommen per SMS auf das Diensthandy des Inhabers. An einem Samstagvormittag zeigt sein Handy „Kein Netz“, während er auf dem Betriebshof steht. Er ruft vom Festnetz im Büro die Geschäftskundenhotline an. Dort erfährt er, dass am Morgen eine eSIM für seine Nummer aktiviert wurde.

Der Anbieter sperrt die eSIM. Der Inhaber ändert das Passwort des Mail-Administratorkontos und findet eine Weiterleitungsregel, die er nicht angelegt hat. In der Woche danach stellt er alle drei Konten von SMS auf Codes aus einer Authenticator-App um. Über das Kundenkonto beim Mobilfunkanbieter bestellt auch die Disposition Ersatzkarten für die Fahrer, deshalb legt er Zugang und geheimen Schlüssel dieses Kontos in der Sammlung der Disposition ab. Anmeldung und Ersatzcodes seines Mail-Administratorkontos legt er in seinem persönlichen Bereich ab, und seine Stellvertreterin bekommt beim Mailanbieter ein eigenes Administratorkonto. Die Ersatzcodes der beiden anderen Konten kommen in eine Sammlung, an die außer ihm nur sie kommt, denn die beiden haben als Einzige die Rollen Eigentümer und Administrator im Tresor. Welche Zugänge eine Spedition sonst ordnen sollte, zeigt die Seite für Logistik.

Codes im Tresor statt auf einem Handy

Ein Passwort-Tresor kann einen SMS-Code nicht empfangen. Bei Diensten, die nur SMS anbieten, bleibt der Code an die Rufnummer gebunden, und dort hilft nur der Schutz der Nummer selbst. Bietet der Dienst eine Authenticator-App an, lässt sich der geheime Schlüssel beim Zugang im Tresor speichern. Die Apps des Tresors zeigen dann den Code an, und das Konto hängt an keiner Rufnummer mehr. Wie mehrere Mitarbeiter so einen Code nutzen, erklärt Bestätigungscodes im Team teilen.

Damit hängt der Schutz dieser Konten am Tresor. Bei Passwortheld gilt die Zwei-Faktor-Pflicht für alle Mitarbeiter. Eigentümer und Administratoren richten den zweiten Faktor selbst ein. Weil sie alle Sammlungen sehen, raten wir, diese Rollen nur Inhaber und Stellvertretung zu geben. Was gilt, wenn der Inhaber ganz ausfällt, steht unter Notfallzugriff auf Firmenpasswörter.

Die Wartung kostet 16,99 € im Monat inkl. MwSt. bei 12 Monaten Mindestlaufzeit, ohne Kosten pro Nutzer, nur für Unternehmer. Dazu mietet Ihre Firma den Server bei netcup, ab 3,69 € im Monat inkl. MwSt. Wir sichern den Tresor nur mit dem Backup-Paket für 7,99 € im Monat inkl. MwSt., ohne das Paket sichert Ihre Firma selbst. Hilfe im Alltag rechnen wir nach Aufwand ab, 74,99 € je Stunde inkl. MwSt., je angefangener Viertelstunde. Ob das für Ihren Betrieb passt, klären wir im kostenlosen Erstgespräch (15 Minuten), am Telefon oder per Video.