Am 9. Januar 2024 verkündete der offizielle X-Account der US-Börsenaufsicht SEC, dass Spot-Bitcoin-ETFs zugelassen worden seien. Bitcoin sprang auf die Schlagzeile an und fiel wieder, als die SEC erklärte, der Beitrag sei gefälscht. Wie es dazu kam, bestätigte die Behörde später: Niemand hatte X gehackt, und niemand die Netzwerke der SEC. Ein Angreifer hatte die mit dem Account verknüpfte Telefonnummer per SIM-Swap übernommen — durch Manipulation eines ganz gewöhnlichen Support-Prozesses beim Mobilfunkanbieter — und damit das Passwort des Accounts zurückgesetzt. Die echte ETF-Zulassung kam einen Tag später. Die Lehre kam sofort.
Jeder SIM-Swap-Angriff auf Kryptoassets beruht auf derselben stillen Annahme, die man klar aussprechen sollte, um sie verwerfen zu können: dass deine Telefonnummer du bist. Ist sie nicht. Eine Telefonnummer ist ein Routing-Etikett, das du von einem Mobilfunkanbieter least, und der Anbieter kann sie binnen Minuten jeder beliebigen SIM-Karte neu zuweisen — das ist eine Funktion, gebaut für den Tag, an dem du dein Handy verlierst. Jeder SMS-Code, jedes „Wir schicken dir per SMS einen Reset-Link“, jedes Konto, das deine Nummer als Wiederherstellungsmethode führt, erbt diese Funktion. Sitzen deine Kryptoassets irgendwo hinter ihr, ist ein Support-Gespräch, das du nie mithören wirst, Teil deines Sicherheitsmodells.
Was ein SIM-Swap wirklich ist
Ein SIM-Swap ist ein Angriff, bei dem jemand einen Mobilfunkanbieter überredet oder besticht, die Telefonnummer eines Opfers auf eine vom Angreifer kontrollierte SIM-Karte zu übertragen. Auf dem Handy des Opfers wird nichts gehackt; das Gerät wird nie angerührt. Zuerst sammelt der Angreifer persönliche Daten aus Datenlecks, sozialen Medien oder Phishing und ruft dann den Support des Anbieters an, gibt sich als das Opfer aus und tischt eine Geschichte über ein verlorenes oder kaputtes Handy auf. In anderen dokumentierten Fällen bezahlt der Angreifer schlicht einen Shop-Mitarbeiter, der die Übertragung von innen ausführt, oder portiert die Nummer gleich zu einem anderen Anbieter.
Von dem Moment an, in dem der Swap abgeschlossen ist, zeigt das Handy des Opfers „Kein Netz“, während das Gerät des Angreifers jeden Anruf und jede SMS empfängt, die an die Nummer gehen. Das Drehbuch, das folgt, ist schnell und standardisiert: einen Passwort-Reset für die E-Mail des Opfers anfordern, ihn mit dem SMS-Code bestätigen, der nun auf dem Handy des Angreifers ankommt, und sich dann durch alles arbeiten, was diese E-Mail kontrolliert — Börsenkonten zuerst. SIM-Swap-Diebstähle laufen routinemäßig über Nacht ab, abgeschlossen, bevor das Opfer begreift, warum sein Handy verstummt ist.
Ein 24-Millionen-Dollar-Diebstahl, eine Bundesbehörde und jahrelange Warnungen
Nichts davon ist theoretisch, und nichts davon ist neu. 2018 verlor der Krypto-Investor Michael Terpin Token im Wert von rund 24 Millionen Dollar, nachdem seine Nummer geswappt worden war — seiner Darstellung nach mit Insiderhilfe in einem Shop des Anbieters — und seine Klage gegen AT&T wurde zu einem der meistberichteten SIM-Swap-Fälle seiner Zeit. Ein Gericht sprach ihm später rund 75 Millionen Dollar Schadensersatz gegen einen der Männer hinter dem Diebstahl zu.
Der SEC-Vorfall vom Januar 2024 zeigte das andere Ende des Spektrums: ein Ziel ganz ohne Guthaben zum Stehlen, angegriffen wegen seiner Stimme. Die mit dem X-Account der Behörde verknüpfte Nummer wurde auf eine neue SIM übertragen, und nach eigener Darstellung der SEC war ein zusätzlicher Multi-Faktor-Schutz für den Account Monate zuvor abgeschaltet worden — die Kontrolle über die Nummer allein genügte also, um das Passwort zurückzusetzen und zu posten. Bundesanwälte klagten noch im selben Jahr einen Mann wegen des Swaps an. Wenn ein Support-Manöver den Bitcoin-Markt kurzzeitig bewegen kann, indem es eine Aufsichtsbehörde kapert, dann ist ein per SMS geschütztes Börsenkonto kein schwer zu knackendes Ziel.
Das Internet Crime Complaint Center des FBI warnt seit Jahren vor diesem Muster und verzeichnete allein 2021 gemeldete SIM-Swap-Schäden von über 68 Millionen Dollar — ein Vielfaches der Summe der drei Jahre davor zusammengenommen. Regulierungsbehörden haben die Anbieter seither zu strengeren Identitätsprüfungen gedrängt, bevor eine Nummer wandert, und das hilft am Rand. Doch die strukturelle Tatsache bleibt: Eine Nummer, die sich über einen Support-Ablauf neu zuweisen lässt, lässt sich auch über einen manipulierten neu zuweisen.
Warum Kryptoassets das Hauptziel sind
SIM-Swapping ist älter als Kryptoassets — es wird seit Jahren gegen Bankkonten und soziale Medien eingesetzt — doch Krypto veränderte die Ökonomie des Angriffs. Eine betrügerische Banküberweisung lässt sich markieren, einfrieren und oft rückgängig machen. Eine Krypto-Auszahlung ist in Minuten durch und endgültig; bis das Opfer seine Nummer zurückhat, sind die Mittel über Chains gewandert oder in einem Mixer gelandet. Für einen Angreifer, der eine gestohlene Nummer ein paar Stunden hält, ist ein per SMS bewachtes Börsenkonto die wertvollste Tür, die diese Nummer öffnet.
Der Fairness halber ein Vorbehalt: SMS-Zwei-Faktor-Authentifizierung ist immer noch besser als ein Passwort allein und wehrt den Großteil der aus der Ferne geführten Credential-Stuffing-Angriffe ab. Auch die Börsen haben nachgebessert — App-basierte Authenticator-Codes, Hardware-Sicherheitsschlüssel, Allowlists für Auszahlungsadressen und zeitverzögerte Auszahlungen sind auf großen Plattformen breit verfügbar, und sie alle lohnt es sich heute zu aktivieren. Das Problem ist nicht, dass SMS-2FA nichts bewirkt. Das Problem ist, dass sie genau gegen den Angreifer versagt, der deine Nummer übernommen hat — und genau diesen Angreifer zieht Krypto an.
Jedes Konto, das sich mit einer Telefonnummer wiederherstellen lässt, wird letztlich von dem kontrolliert, den dein Mobilfunkanbieter für dich hält.
Die Konten härten, die noch von deiner Nummer abhängen
Manche Dienste bestehen darauf, eine Telefonnummer verknüpft zu halten. Das Ziel ist, zu verkleinern, was diese Nummer bewirken kann:
- Entferne deine Nummer aus den Wiederherstellungsabläufen, angefangen bei deinem primären E-Mail-Konto — es ist die Drehscheibe, über die jeder andere Reset läuft. Lässt sich ein Konto per SMS wiederherstellen, braucht ein Angreifer mit deiner Nummer dein Passwort gar nicht.
- Ersetze SMS-2FA durch eine Authenticator-App oder einen Hardware-Schlüssel. Auf dem Gerät erzeugte Codes wandern nie durch das Mobilfunknetz, und ein FIDO2-Hardware-Schlüssel widersteht Phishing von vornherein.
- Sperre deine Nummer beim Anbieter. Die meisten großen Anbieter bieten eine Portierungs-PIN, eine Nummernsperre oder beides. Keines davon ist unüberwindbar, aber sie erhöhen die Kosten des Support-Betrugs erheblich.
- Nutze eine eigene E-Mail-Adresse für Börsenkonten — eine, die nirgends veröffentlicht ist und mit der keine Telefonnummer verknüpft ist.
- Behandle einen plötzlichen Signalverlust als Vorfall. Fällt dein Handy auf „Kein Netz“, während die Handys um dich herum funktionieren, ruf deinen Anbieter von einer anderen Leitung aus an und friere zuerst deine Börsenkonten ein, nicht zuletzt.
Diese Schritte verkleinern die Angriffsfläche; beseitigen können sie sie nicht. Die Wurzel des Problems ist architektonisch — eine Wiederherstellungskette, die an einem Support-Schalter endet, den du nicht kontrollierst.
Die strukturelle Lösung: Schlüssel, die du hältst, statt einer Nummer, die du mietest
Self-Custody verändert die Form des Problems, statt nur seine Kanten abzuschleifen. Eine Self-Custody-Wallet hat kein Konto, das man wiederherstellen müsste: Kontrolle über die Mittel ist der Besitz der privaten Schlüssel, und kein Support-Schalter irgendwo kann einen privaten Schlüssel neu zuweisen. Ownbit ist genau auf dieser Prämisse gebaut — Schlüssel werden auf deinem Gerät erzeugt und gespeichert, es gibt überhaupt keinen auf einer Telefonnummer basierenden Wiederherstellungspfad, und das Sicherheitsmodell der Wallet geht davon aus, dass Ownbits eigene Server niemals Mittel berühren können sollten: Sie koordinieren das Signieren, halten aber nie Schlüssel.
Ehrlichkeit verlangt auch den nächsten Satz: Self-Custody tauscht das Anbieterrisiko gegen das Risiko der Schlüsselverwaltung. Eine einzige Seed-Phrase, die alles schützt, ist ihr eigener Single Point of Failure — ein abfotografiertes Backup oder eine abgephishte Phrase, und das Ergebnis sieht aus wie ein SIM-Swap mit ein paar Extraschritten. Die Antwort ist nicht die Rückkehr zur SMS; es ist die Aufteilung der Kontrolle. In einer MultiSig-Wallet erfordert das Bewegen von Mitteln Signaturen mehrerer unabhängiger Schlüssel — üblicherweise zwei von drei, ein Schwellenwert, der nach unserer Argumentation der Sweet Spot für die private Verwahrung ist. Ein Angreifer, der einen einzelnen Kanal kompromittiert — eine abgephishte Phrase, ein gestohlenes Handy oder, wenn man so will, eine geswappte SIM, um einen Signer per Social Engineering zu manipulieren — kann den Schwellenwert allein trotzdem nicht erreichen.
SIM-Swap-Angriffe auf Kryptoassets enden dort, wo der Schlüsselbesitz beginnt. Jeder Schlüssel in einer Ownbit-MultiSig ist eine standardmäßige BIP39-Seed-Phrase, sodass das Arrangement auch ohne Ownbits Server wiederherstellbar bleibt. Der Kontrast zwischen den beiden Modellen ist das ganze Argument dieses Artikels: Das eine konzentriert die Kontrolle in einem Berechtigungsnachweis, den ein Dritter in Minuten neu zuweisen kann; das andere verteilt die Kontrolle auf Schlüssel, die nur du und die von dir gewählten Menschen je besessen haben.
Häufig gestellte Fragen
Was ist ein SIM-Swap-Angriff bei Kryptoassets?
Ein SIM-Swap ist ein Angriff, bei dem ein Krimineller einen Mobilfunkanbieter überredet oder besticht, deine Telefonnummer auf eine von ihm kontrollierte SIM-Karte zu übertragen. Von diesem Moment an empfängt er deine SMS-Zwei-Faktor-Codes und Passwort-Reset-Nachrichten, was oft genügt, um E-Mail- und Börsenkonten zu übernehmen und Kryptoassets abzuheben. Weil Krypto-Überweisungen endgültig sind, sind die Verluste selten zurückzuholen.
Woran erkenne ich, dass ich Opfer eines SIM-Swaps geworden bin?
Das deutlichste Zeichen ist, dass dein Handy plötzlich „Kein Netz“ oder „Nur SOS“ anzeigt, während die Handys um dich herum normal funktionieren, oft gefolgt von Passwort-Reset-E-Mails, die du nicht angefordert hast. Passiert das, handle innerhalb von Minuten: Ruf deinen Anbieter von einer anderen Leitung aus an, sperre oder friere deine Börsenkonten ein und ändere dein E-Mail-Passwort von einem Gerät, dem du vertraust.
Stoppt ein Hardware-Sicherheitsschlüssel SIM-Swap-Angriffe?
Für die Konten, die er schützt, ja. Ein FIDO2- oder U2F-Hardware-Schlüssel sendet nie Codes über das Mobilfunknetz, sodass das Verschieben deiner Nummer dem Angreifer dort nichts bringt. Aber prüfe jeden Wiederherstellungspfad: Ein Hardware-Schlüssel an der Vordertür ist wertlos, wenn dasselbe Konto durch die Hintertür weiterhin einen Passwort-Reset per SMS zulässt.
Kann ein SIM-Swap Kryptoassets aus einer Self-Custody-Wallet stehlen?
Nicht direkt. Eine Self-Custody-Wallet wie Ownbit hat keine auf einer Telefonnummer basierende Wiederherstellung: Mittel bewegen sich nur mit Signaturen privater Schlüssel, die auf deinen Geräten liegen, und kein Anbieter kann einen privaten Schlüssel neu zuweisen. Eine gestohlene Nummer kann trotzdem anschließendes Phishing gegen dich befeuern, was einer der Gründe ist, warum ein MultiSig-Schwellenwert — bei dem keine einzelne Freigabe Mittel bewegen kann — eine stärkere Grundeinstellung ist als ein einzelner Schlüssel.
Wenn ein Teil deiner Kryptoassets derzeit hinter einem SMS-Code sitzt, ist der Umzug hinter Schlüssel, die du hältst, das größte einzelne Upgrade, das es gibt — und es kostet einen Nachmittag, kein Vermögen. Ownbit hält die Schlüssel auf deinem Gerät, ohne Telefonnummer-Wiederherstellung, die man angreifen könnte, und mit Ownbit MultiSig teilst du die Kontrolle auf zwei oder drei Geräte auf, sodass kein einzelner kompromittierter Kanal — SIM, Handy oder Seed-Phrase — Mittel allein bewegen kann. Jeder neue Nutzer erhält eine 7-tägige kostenlose Testphase, und deine Schlüssel bleiben ohnehin deine.