TL;DR

  • Die Zwei-Faktor-Authentifizierung schützt ein Konto, dessen Passwort bereits gestohlen wurde – und genau von dieser Situation solltest du ausgehen. Passwörter werden ständig durch Phishing, Datenlecks und Wiederverwendung offengelegt, und ein zweiter, unabhängiger Faktor ist das, was zwischen einem offengelegten Passwort und einer Anmeldung steht.
  • Ein SMS-Code ist nur so sicher wie Ihre Telefonnummer, und Ihre Telefonnummer ist ein Konto bei einem Mobilfunkanbieter, das durch Verfahren geschützt ist, die ein Fremder durch Überredungskunst umgehen kann. US-Bundesrichtlinien stufen SMS genau aus diesem Grund als eingeschränkten Authentifikator ein.
  • Der Angreifer sammelt Ihre persönlichen Daten, überredet oder bezahlt einen Mitarbeiter des Mobilfunkanbieters, Ihre Nummer auf seine SIM-Karte zu übertragen, und nutzt die Nummer dann, um Passwörter zurückzusetzen und Codes zu empfangen – dabei arbeitet er sich von Ihrer E-Mail-Adresse aus bis zu Ihrem Konto vor. Sobald der erste Balken des Signals auf Ihrem Handy verschwindet, beträgt das Zeitfenster nur noch wenige Minuten.
  • Eine Authentifizierungs-App nimmt die Telefonnummer aus der Gleichung heraus; ein Hardware-Schlüssel oder Passkey beseitigt zudem das Phishing-Risiko. Schützen Sie Ihre wertvollsten Konten – die Börse und die dahinterstehende E-Mail-Adresse – mit den phishing-resistenten Optionen.
In einem Block

Die Zwei-Faktor-Authentifizierung ergänzt ein Passwort um einen zweiten, unabhängigen Identitätsnachweis. Der dadurch gewährte Schutz hängt vollständig davon ab, welchen zweiten Faktor Sie wählen: Ein per SMS gesendeter Code kann durch die Übernahme Ihrer Telefonnummer gestohlen werden, während ein Hardware-Sicherheitsschlüssel oder Passkey von Natur aus gegen Phishing geschüt…

Was schützt die Zwei-Faktor-Authentifizierung eigentlich?

Schnelle Antwort

Die Zwei-Faktor-Authentifizierung schützt ein Konto, dessen Passwort bereits gestohlen wurde – und genau von dieser Situation solltest du ausgehen. Passwörter werden ständig durch Phishing, Datenlecks und Wiederverwendung offengelegt, und ein zweiter, unabhängiger Faktor ist das, was zwischen einem offengelegten Passwort und einer Anmeldung steht.

Sicherheitsfaktoren lassen sich in drei Gruppen einteilen: etwas, das man weiß (ein Passwort oder eine PIN), etwas, das man hat (ein Smartphone, eine App, die ein Geheimnis enthält, ein Hardware-Schlüssel) und etwas, das man ist (ein Fingerabdruck oder das Gesicht). Die Zwei-Faktor-Authentifizierung erfordert Nachweise aus zwei verschiedenen Gruppen. Ein Passwort plus eine Sicherheitsfrage gehört immer noch zur selben Gruppe – dem Wissen – und eine Phishing-Seite erfasst beides.

Der Grund, warum dies für Kryptowährungen von Bedeutung ist, liegt in der Asymmetrie. Bei den meisten Online-Konten lässt sich eine Übernahme rückgängig machen: Eine Bank storniert die Überweisung, eine Plattform stellt das Profil wieder her. Eine Krypto-Auszahlung ist endgültig. Sobald Vermögenswerte ein Börsenkonto verlassen und an die Adresse eines Angreifers gesendet werden, kann keine Kundendienst-Warteschlange sie zurückholen. Angreifer wissen das, weshalb Krypto-Zugangsdaten zu den am häufigsten angegriffenen im Internet gehören und warum das Internet Crime Complaint Center des FBI im Jahr 2025 bei 181.565 Beschwerden gemeldete Verluste im Zusammenhang mit Kryptowährungen in Höhe von 11,4 Milliarden Dollar verzeichnete.

Eine Schwachstelle sollte frühzeitig behoben werden. Die Zwei-Faktor-Authentifizierung schützt Konten: Anmeldungen werden durch einen Dienst gesichert, der Ihre Authentifizierungsfaktoren überprüft. Eine selbstverwaltete Wallet wird durch Schlüssel geschützt, und ein privater Schlüssel fragt nicht nach einem Code. Beides ist wichtig; sie versagen auf unterschiedliche Weise. In diesem Artikel geht es um die erste Art.

Warum ist SMS der schwächste zweite Faktor?

Schnelle Antwort

Ein SMS-Code ist nur so sicher wie Ihre Telefonnummer, und Ihre Telefonnummer ist ein Konto bei einem Mobilfunkanbieter, das durch Verfahren geschützt ist, die ein Fremder durch Überredungskunst umgehen kann. US-Bundesrichtlinien stufen SMS genau aus diesem Grund als eingeschränkten Authentifikator ein.

Wenn ein Anmeldecode per SMS eintrifft, hängt die Sicherheit des Codes nicht mehr von Ihrem Smartphone ab. Sie hängt vielmehr vom Verfahren des Mobilfunkanbieters ab, mit dem dieser entscheidet, wem die Nummer gehört. Jeder, der den Mobilfunkanbieter davon überzeugt, Ihre Nummer auf seine SIM-Karte zu übertragen, erhält Ihre Codes. Das ist ein SIM-Swap, und dafür ist weder Malware auf Ihrem Gerät noch irgendein Kontakt mit Ihnen erforderlich.

SMS weisen weitere Schwachstellen auf. Codes können in Echtzeit per Phishing abgefangen werden: Eine gefälschte Anmeldeseite fragt nach Ihrem Passwort, fordert dann „den Code, den wir Ihnen gerade gesendet haben“ an, und der Angreifer leitet beides innerhalb von Sekunden an die echte Website weiter. Codes können auch durch Schwachstellen in der Signalisierungsinfrastruktur des Netzbetreibers abgefangen werden, obwohl beim Diebstahl von Kryptowährungen der Social-Engineering-Weg weitaus häufiger genutzt wird, da er kostengünstiger ist.

Die Richtung der offiziellen Leitlinien ist klar. Die NIST-Richtlinien zur digitalen Identität, SP 800-63B, stufen SMS- und Sprachcodes als eingeschränkte Authentifikatoren ein, verlangen von Behörden, die diese nutzen, das Risiko anzuerkennen, und weisen Implementierer auf phishingresistente Alternativen hin. Die FCC hat US-Mobilfunkanbieter seit Juli 2024 dazu verpflichtet, die Identität vor SIM-Wechseln und Nummernportierungen strenger zu überprüfen und Kunden zu benachrichtigen, wenn eine Änderung beantragt wird. Diese Regeln erhöhen die Kosten für Angreifer; sie haben Angriffe jedoch nicht selten gemacht.

Das bedeutet jedoch nicht, dass Sie SMS-Codes deaktivieren sollten, wenn keine bessere Alternative angeboten wird. Die Zwei-Faktor-Authentifizierung per SMS wehrt nach wie vor selbst die einfachsten Angriffe ab, und ein Konto mit SMS-Codes ist sicherer als dasselbe Konto, das nur mit einem Passwort geschützt ist. Die Regel ist einfacher: SMS ist die Mindestanforderung, niemals die erste Wahl und niemals der Schutz für Ihre E-Mail oder Ihr Konto, wenn eine Authentifizierungs-App, ein Hardware-Schlüssel oder ein Passkey verfügbar ist.

Wie funktioniert ein SIM-Swap-Angriff eigentlich?

Schnelle Antwort

Der Angreifer sammelt Ihre persönlichen Daten, überredet oder bezahlt einen Mitarbeiter des Mobilfunkanbieters, Ihre Nummer auf seine SIM-Karte zu übertragen, und nutzt die Nummer dann, um Passwörter zurückzusetzen und Codes zu empfangen – dabei arbeitet er sich von Ihrer E-Mail-Adresse aus bis zu Ihrem Konto vor. Sobald der erste Balken des Signals auf Ihrem Handy verschwindet, beträgt das Zeitfenster nur noch wenige Minuten.

Der Angriff verläuft in mehreren Phasen, und wenn man diese kennt, weiß man genau, wo die Abwehrmaßnahmen ansetzen müssen.

Erstens: Recherche. Der Angreifer trägt Ihren Namen, Ihre Adresse, Ihr Geburtsdatum, Ihre Nummer und Ihren Mobilfunkanbieter aus Dateien von Datenbrokern, früheren Datenlecks und sozialen Medien zusammen. Personen, die öffentlich über ihre Krypto-Bestände sprechen, werden in die engere Wahl gezogen; eine Princeton-Studie zur Authentifizierung bei Mobilfunkanbietern ergab, dass die für einen Support-Anruf erforderlichen Angaben routinemäßig verfügbar oder erratbar sind.

Zweitens: der Austausch selbst. Der Angreifer ruft den Mobilfunkanbieter an, gibt vor, sein Handy verloren zu haben, und bittet darum, die Nummer auf einer neuen SIM-Karte zu aktivieren, wobei er Sicherheitsfragen mit den recherchierten Angaben beantwortet. Eine Variante, der „Port-Out-Betrug“, verlegt die Nummer zu einem völlig anderen Mobilfunkanbieter. Eine noch perfidere Variante besteht darin, einen Mitarbeiter im Einzelhandel oder im Kundendienst dafür zu bezahlen, die Änderung direkt durchzuführen; in Strafverfahren in den USA ging es wiederholt um Insider, die pro Austausch bezahlt wurden.

Drittens: die Übernahme. Ihr Handy hat keinen Empfang mehr. Das Gerät des Angreifers empfängt nun Ihre Anrufe und SMS. Er löst eine Passwortzurücksetzung für Ihre E-Mail-Adresse aus, die in der Regel eine SMS-Bestätigung vorsieht, und nutzt dann die E-Mail-Adresse sowie die SMS-Codes, um sich bei der Börse anzumelden, die Zugangsdaten zu ändern und Abhebungen zu veranlassen. Gut organisierte Gruppen schaffen es, innerhalb einer Stunde vom ersten Signalverlust bis zur ersten Abhebung zu gelangen – oft nachts in Ihrer Zeitzone.

Die IC3-Zahlen für 2025 – 971 Anzeigen und gemeldete Verluste in Höhe von 17,4 Millionen Dollar über alle Kriminalitätskategorien hinweg, nicht nur im Kryptobereich – unterschätzen das Problem, da die Meldung freiwillig ist und viele Opfer sich an niemanden wenden. Was die Zahlen jedoch zeigen, ist, dass eine Technik, die erstmals 2018 bei Angriffen auf Krypto-Insider beobachtet wurde, auch acht Jahre später noch profitabel und gängige Praxis ist.

Die Abwehr folgt dem Ablauf. Jede Phase geht davon aus, dass Ihre Telefonnummer ein Hauptschlüssel ist. Entziehen Sie der Nummer diese Rolle, und die Kette hat nichts mehr, woran sie ansetzen kann.

Diagram of a SIM swap attack timeline showing research, carrier social engineering, phone number takeover and crypto exchange account drain, with the defence of removing the number from recovery paths
Abbildung 1. Die vier Phasen eines SIM-Swap-Angriffs, von der Datenerfassung bis zur Abhebung von Geld.

Was sollten Sie stattdessen verwenden: Apps, Hardware-Schlüssel oder Passkeys?

Schnelle Antwort

Eine Authentifizierungs-App nimmt die Telefonnummer aus der Gleichung heraus; ein Hardware-Schlüssel oder Passkey beseitigt zudem das Phishing-Risiko. Schützen Sie Ihre wertvollsten Konten – die Börse und die dahinterstehende E-Mail-Adresse – mit den phishing-resistenten Optionen.

Eine Authentifizierungs-App, wie beispielsweise ein TOTP-Code-Generator, speichert ein Geheimnis auf Ihrem Gerät und generiert alle dreißig Sekunden einen neuen sechsstelligen Code. Da keine SMS versendet wird, bringt ein SIM-Swap hier nichts. Zwei Einschränkungen bleiben bestehen. Eine überzeugend gefälschte Website kann immer noch einen aktuellen Code ausphishen, indem sie Sie auffordert, diesen einzugeben, und App-Codes, die in einem Cloud-Konto gesichert sind, übernehmen die Sicherheit dieses Cloud-Kontos – sodass ein schwach geschütztes Backup unbemerkt wieder einen Single Point of Failure einführen kann.

Ein Hardware-Sicherheitsschlüssel ist ein kleines Gerät, das die Standards FIDO2 und WebAuthn implementiert. Bei der Anmeldung signiert er eine Challenge, die an die Herkunft der echten Website gebunden ist. Eine gefälschte Website – wie perfekt ihr Design auch sein mag – gibt die falsche Herkunft an, und der Schlüssel liefert schlichtweg keine gültige Antwort. Diese Eigenschaft – die Phishing-Resistenz – ist ein struktureller Schutz, auf den Sie sich auch an einem schlechten Tag verlassen können, an dem Sie müde und in Eile sind und sicher sind, dass die Seite vor Ihnen echt ist. Sie schützt die Anmeldedaten selbst; Abläufe zur Kontowiederherstellung, ein kompromittiertes, synchronisiertes Cloud-Konto, böswillige Sitzungen auf einem infizierten Gerät und die Kompromittierung von Endgeräten bleiben separate Angriffspunkte – weshalb es den Rest dieses Leitfadens gibt.

Ein Passkey bringt denselben Standard in die Software: ein Schlüsselpaar, das auf deinem Smartphone oder Laptop gespeichert ist und per Fingerabdruck, Gesichtserkennung oder PIN entsperrt wird. Passkeys teilen die Phishing-Resistenz des Hardware-Schlüssels, und ihr Komfort ist der entscheidende Punkt; die Hürden, die die Menschen einst zurück zur SMS getrieben haben, sind weitgehend verschwunden. Wenn sich deine Passkeys über ein Cloud-Konto synchronisieren, wird dieses Konto Teil deines Sicherheitsperimeters und muss daher mit derselben Sorgfalt behandelt werden wie deine E-Mail.

Die praktische Rangfolge für ein Krypto-Konto lautet: zuerst Hardware-Schlüssel oder Passkey, an zweiter Stelle Authentifizierungs-App, SMS nur, wenn nichts anderes vorhanden ist, und E-Mail-Codes werden wie SMS behandelt. Eine weitere Regel bewahrt Nutzer vor einer häufigen, selbstverschuldeten Sperrung: Registrieren Sie zwei Hardware-Schlüssel oder bewahren Sie einen ausgedruckten Satz von Einmal-Wiederherstellungscodes an einem sicheren Ort auf, damit der Verlust eines Geräts Sie nicht aus Ihren eigenen Sicherheitsmaßnahmen aussperrt.

Comparison chart ranking SMS codes, authenticator apps, passkeys and hardware security keys by resistance to SIM swapping and phishing
Abbildung 2. Zweifaktor-Authentifizierungsmethoden, geordnet nach dem, wogegen sie schützen: SIM-Swaps, Echtzeit-Phishing oder beides.

Wie sichert man ein Krypto-Konto Schritt für Schritt ab?

Schnelle Antwort

Gehen Sie von den Grundlagen aus: zuerst die E-Mail, dann die Börse, dann die Telefonnummer, dann die Auszahlungskontrollen. Ein Angreifer arbeitet sich genau in dieser Reihenfolge durch Ihre Konten – sichern Sie diese also in dieser Reihenfolge ab.

Schritt 1: Sichern Sie die E-Mail-Adresse, die allem zugrunde liegt. Über Ihr E-Mail-Konto können Sie fast jedes andere Passwort zurücksetzen, das Sie besitzen – damit bildet es die eigentliche Sicherheitsgrenze. Vergeben Sie ein langes, einzigartiges Passwort aus einem Passwort-Manager und nutzen Sie die stärkste von der Plattform unterstützte zweite Sicherheitsstufe, idealerweise einen Passkey oder einen Hardware-Schlüssel. Entfernen Sie Ihre Telefonnummer als Wiederherstellungsmethode; Wiederherstellungsoptionen sind alternative Zugänge, und ein SMS-Wiederherstellungszugang öffnet erneut die SIM-Swap-Lücke, die Sie gerade geschlossen haben.

Schritt 2: Sichern Sie das Exchange-Konto. Einzigartiges Passwort, phishing-resistente zweite Authentifizierungsstufe und eine Überprüfung der Wiederherstellungswege des Kontos auf dieselbe Hintertür mit der Telefonnummer. Wenn die Plattform einen Anti-Phishing-Code anbietet – eine Phrase, die in echten E-Mails enthalten ist –, richten Sie einen ein.

Schritt 3: Sperren Sie die Telefonnummer selbst. Bitten Sie Ihren Mobilfunkanbieter um eine Sperre für die Nummernmitnahme und eine PIN für den SIM-Wechsel; US-Anbieter müssen gemäß den FCC-Vorschriften eine strengere Verifizierung anbieten, und britische Netzbetreiber stellen auf Anfrage ähnliche Sperren bereit. Stufen Sie die Nummer anschließend herab: Entfernen Sie sie aus den Zwei-Faktor- und Wiederherstellungseinstellungen aller Konten, bei denen es um Geld geht, und behandeln Sie sie als Kontaktangabe statt als Identitätsnachweis.

Schritt 4: Aktivieren Sie Auszahlungskontrollen. Eine Adress-Whitelist beschränkt Auszahlungen auf Adressen, die Sie im Voraus genehmigt haben, in der Regel mit einer zeitlichen Verzögerung bei Änderungen. Eine Auszahlungsverzögerung oder ein Tageslimit verwandelt einen fünfminütigen Überfall in einen langsamen, auffälligen Vorgang. Diese Kontrollen unterbinden gezielt das Bedürfnis des Angreifers nach Schnelligkeit.

Schritt 5: Verringern Sie die Angriffsfläche rund um das Konto. Melden Sie sich über ein Lesezeichen an, statt über Suchergebnisse oder Links in Nachrichten, da Phishing über gesponserte Suchergebnisse ein gängiger Köder ist. Halten Sie Ihre Geräte auf dem neuesten Stand. Sprechen Sie in der Öffentlichkeit weniger darüber, was Sie besitzen; jede Prahlerei ist ein Ziel für Datendiebe – ein Thema, auf das der Artikel zur physischen Sicherheit in dieser Reihe noch ausführlicher eingeht.

Nichts in dieser Liste erfordert technische Kenntnisse. Es ist ein Nachmittag voller Einstellungen, und er verwandelt Sie von einem leichten Ziel in ein teures.

Was sollten Sie tun, wenn Sie von einem SIM-Swap betroffen sind?

Schnelle Antwort

Behandle einen plötzlichen vollständigen Signalverlust auf deinem Handy als akuten Notfall, denn das entscheidende Zeitfenster für eine Reaktion ist die erste Stunde. Rufe den Mobilfunkanbieter von einem anderen Handy aus an, dann versuche, dem Angreifer beim Zugriff auf das E-Mail-Konto zuvorzukommen, und sperre anschließend die SIM-Karte.

Das Anzeichen ist abrupt: Dein Handy zeigt an einem Ort, an dem es normalerweise funktioniert, „Kein Empfang“ an, oder eine Meldung kündigt eine SIM-Aktivierung an, die du nie beantragt hast. Manchmal ist das erste Anzeichen seltsamer: eine Flut von E-Mails zur Passwortzurücksetzung oder Freunde, die dir SMS melden, die du nie verschickt hast.

Gehen Sie in dieser Reihenfolge vor: Rufen Sie den Mobilfunkanbieter von einem beliebigen anderen Telefon aus an, melden Sie einen unbefugten Austausch und lassen Sie die Nummer sperren oder zurückfordern; Betrugsbekämpfungsteams können einen Austausch schnell rückgängig machen, sobald sie davon in Kenntnis gesetzt werden. Überprüfen Sie anschließend von einem Gerät aus, auf dem Sie noch angemeldet sind, die Einstellungen Ihres E-Mail-Kontos, ändern Sie das Passwort und entfernen Sie alle Wiederherstellungsmethoden oder Weiterleitungsregeln, die Sie nicht selbst eingerichtet haben; Angreifer richten Weiterleitungsregeln ein, um Ihre E-Mails auch nach der Wiederherstellung weiterhin lesen zu können. Kontaktieren Sie dann die Bank, sperren Sie Abhebungen und überprüfen Sie die jüngsten Aktivitäten. Ändern Sie schließlich die Passwörter für alle Dienste, bei denen die Nummer zur Wiederherstellung verwendet wurde, beginnend mit Ihren Finanzkonten.

Melden Sie den Vorfall auch dann, wenn Sie ihn rechtzeitig verhindern konnten. In den USA reichen Sie eine Meldung beim Internet Crime Complaint Center des FBI unter ic3.gov ein; in England, Wales und Nordirland nutzen Sie „Report Fraud“, das im Dezember 2025 „Action Fraud“ abgelöst hat; in Schottland rufen Sie Police Scotland unter 101 an. Die Meldungen bilden die Grundlage für Ermittlungsakten, die zu Festnahmen führen, und durch Insider unterstützte Nummerentausch-Betrugsfälle haben bereits auf beiden Seiten des Atlantiks zu Strafverfolgungen geführt.

Zwei Gewohnheiten schwächen den Angriff bereits im Vorfeld ab: Geben Sie Ihre Telefonnummer nicht in Ihren Wiederherstellungseinstellungen an, damit eine gestohlene Nummer keinen Zugriff gewährt, und lassen Sie Auszahlungsverzögerungen aktiviert, damit selbst eine erfolgreiche Anmeldung den Vorgang nicht schnell abschließen kann.

Wo endet die Kontosicherheit und wo beginnt die Schlüsselsicherheit?

Schnelle Antwort

Alles in diesem Artikel schützt Konten, bei denen ein Unternehmen Ihre Identität überprüft, bevor es handelt; Schlüssel unterliegen keinem Support-Service, was sowohl ihre Stärke als auch ihr Risiko ist. Die beiden Modelle versagen auf unterschiedliche Weise, und ein umfassendes Sicherheitskonzept deckt beide ab.

Ein Börsenkonto wird durch Authentifizierung geschützt: Die Plattform verwahrt die Vermögenswerte und entscheidet anhand Ihrer Authentifizierungsfaktoren, ob Sie wirklich Sie sind. Das ist ein zweischneidiges Schwert. Ein Support-Team kann Auszahlungen mitten im Angriff sperren und Ihren Zugriff anschließend wiederherstellen; dasselbe Support-Team ist jedoch auch eine Angriffsfläche, die ein überzeugender Fremder ausnutzen kann, wie jeder SIM-Swap zeigt.

Bei der Selbstverwahrung entfällt der Mittelsmann. Der private Schlüssel einer Wallet signiert Transaktionen direkt, es wird kein Code per SMS an Dritte gesendet, und ein SIM-Swap spielt dabei keine Rolle. Der Nachteil ist, dass damit auch das Sicherheitsnetz für die Wiederherstellung wegfällt: Verliert man das Schlüsselmaterial oder gibt man es preis, gibt es kein Betrugsbekämpfungsteam, das man anrufen könnte. Die klassische Single-Key-Wallet konzentriert alles auf ein einziges Geheimnis, eine Seed-Phrase, deren Verlust oder Diebstahl den Totalverlust bedeutet. Aus diesem Grund verfügt der Verwahrungsaspekt der Sicherheit über eigene technische Lösungen: Multisignatur-Konfigurationen und Schwellenwertkryptografie verteilen die Signaturbefugnis auf mehrere Geräte oder Personen, sodass weder ein einzelnes gestohlenes Geheimnis noch eine einzelne unter Druck gesetzte Person die Gelder bewegen kann. Diese Konzepte werden in einem eigenen Artikel dieser Akademie behandelt.

Die ehrliche Zusammenfassung lautet: „Was ist sicherer?“ ist die falsche Frage. Ein Börsenkonto mit einem Hardware-Schlüssel, einer gesicherten E-Mail-Adresse und Auszahlungsverzögerungen ist ein schwer angreifbares Ziel. Eine Selbstverwahrungslösung mit verteilten Schlüsseln ist ein schwer angreifbares Ziel. Eine schwache Version von beidem ist das leichte Ziel, nach dem Angreifer suchen. Sichern Sie die Konten, die Sie heute haben; machen Sie sich mit dem Verwahrungsmodell vertraut, bevor Sie mehr halten, als Sie es sich leisten können, eingefroren, verloren oder gestohlen zu bekommen.

Häufig gestellte Fragen

Ist die Zwei-Faktor-Authentifizierung per SMS besser als gar nichts?

Ja, ganz klar. Sie verhindert opportunistische Angriffe, bei denen lediglich ein durchgesickertes Passwort genutzt wird. Das Problem ist jedoch die Art von Angreifern, die dadurch angelockt wird: Jeder, der Ihre Telefonnummer übernehmen kann, erhält damit auch Ihre Codes. Verwenden Sie SMS nur dort, wo keine Authentifizierungs-App, kein Hardware-Schlüssel oder kein Passkey angeboten wird, und niemals als Schutz für Ihre E-Mail oder Ihre Börse.

Kann durch einen SIM-Swap Geld aus meiner selbstverwalteten Wallet gestohlen werden?

Nicht direkt. Ein privater Schlüssel wird niemals per SMS übertragen, daher hat der Zugriff auf Ihre Nummer keinen Einfluss auf die Wallet. Der realistische Weg ist indirekt: Die gestohlene Nummer hilft dabei, Ihre E-Mail- und Börsenkonten zu übernehmen, und das anschließende Phishing könnte dann mit böswilligen Signaturanfragen auf Ihre Wallet abzielen – dies ist ein anderer Angriff, dem in dieser Reihe ein eigener Artikel gewidmet ist.

Sind Passkeys wirklich sicher, wenn sie über mein Cloud-Konto synchronisiert werden?

Der Passkey selbst ist phishingresistent; die Herkunftsbindung verhindert, dass er auf eine gefälschte Website reagiert. Die Synchronisierung bedeutet, dass dein Cloud-Konto nun Anmeldedaten speichert, daher muss es wie deine E-Mail geschützt werden: starkes, einzigartiges Passwort, stärkste verfügbare zweite Authentifizierungsstufe, keine SMS-Wiederherstellung. Schütze dieses eine Konto ordnungsgemäß, und synchronisierte Passkeys sind ein großer Nettovorteil gegenüber Codes.

Woher weiß ich, ob für meine Nummer eine Portierungssperre besteht?

Fragen Sie direkt beim Mobilfunkanbieter nach, da die Bezeichnungen variieren: Nummernsperre, Port-Freeze, SIM-Schutz, Transfer-PIN. US-Mobilfunkanbieter sind verpflichtet, eine verstärkte Verifizierung bei SIM-Wechseln und Portierungen anzubieten; britische Netzbetreiber wenden Schutzmaßnahmen auf Anfrage an. Richten Sie die Sperre ein und speichern Sie die PIN in Ihrem Passwort-Manager statt an einem Ort, an dem sie erraten werden kann.

Was ist die wichtigste Änderung, wenn ich heute nur eine einzige Maßnahme ergreife?

Richte für das E-Mail-Konto, das hinter deinem Exchange-Konto steht, eine phishing-resistente zweite Authentifizierungsstufe ein – einen Passkey oder einen Hardware-Schlüssel – und entferne deine Telefonnummer aus den Wiederherstellungsoptionen dieses Kontos. E-Mail ist die Wurzel des Kontostrukturs; sichere zuerst die Wurzel.

Quellen und weiterführende Literatur

Wichtige Quellenangaben zu diesem Artikel, Stand: Juli 2026. Schwankende Zahlen werden bei jeder vierteljährlichen Überprüfung erneut überprüft.

Kurzes Quiz: Hat es geklebt?

Ein paar Fragen zur Überprüfung der Grundlagen sind gelandet. Es folgen Antworten mit Erläuterungen und niemand außer Ihrem zukünftigen Portfolio bewertet Sie.

1/5 Frage
Warum macht ein SIM-Swap die SMS-basierte Zwei-Faktor-Authentifizierung zunichte?

War das hilfreich?