Erst der Mobilfunkanbieter, nicht die Passwort-zurücksetzen-Schaltfläche
Ein Passwort-Reset und ein SIM-Swap können von außen ähnlich aussehen: Sie kommen nicht rein, und der Code, der sonst per SMS kam, funktioniert nicht. Der Unterschied liegt darin, wo das Problem sitzt. Ein vergessenes Passwort ist ein Problem innerhalb eines Kontos. Ein SIM-Swap ist ein Problem mit der Telefonnummer selbst und kann alle Konten auf einmal blockieren, die von dieser Nummer abhängen.
Die erste Entscheidung lautet also nicht „Welches Passwort setze ich zurück?“, sondern „Gehört meine Nummer noch mir?“
Signale, die auf die Nummer und nicht auf das Passwort hindeuten
Entscheiden Sie anhand des Musters der Fehler, nicht anhand eines einzelnen Symptoms, welche Checkliste Sie abarbeiten.
| Was Sie beobachten | Wahrscheinlichere Erklärung | Erster Schritt |
|---|---|---|
| Ein Dienst lehnt Ihr Passwort ab; Anrufe und SMS kommen weiterhin normal an | Vergessenes oder falsch eingegebenes Passwort | Normale Kontowiederherstellung für diesen Dienst |
| Anrufe, SMS und mobile Daten fallen gemeinsam aus, dazu eine unerwartete SIM-Aktivierungsmeldung | Möglicher SIM-Swap | Sofort den Mobilfunkanbieter kontaktieren |
| SMS kommen von manchen Absendern an, Bestätigungscodes aber nie | Unklar; Ursache kann der Dienst, die Nummer oder das Gerät sein | Den Mobilfunkanbieter kontaktieren und den Status der Nummer klären lassen, bevor Sie etwas zurücksetzen |
| Sie erhalten eine Anbietermeldung über eine SIM-Änderung, die Sie nicht veranlasst haben | Möglicher SIM-Swap | Sofort den Mobilfunkanbieter kontaktieren |
Ein plötzlicher gleichzeitiger Ausfall von Anrufen, SMS und Daten zusammen mit einer unerwarteten SIM-Aktivierungsmeldung kann auf einen SIM-Swap hindeuten. Quelle
Eine Anbietermeldung über eine Aktivierung, die Sie nicht veranlasst haben, ist ein Grund anzurufen, aber kein Beweis für einen Angriff. Auch Mobilfunkanbieter verschicken legitime Hinweise, und ein Geräte- oder Tarifwechsel kann den Dienst unterbrechen. Der Sinn des Anrufs ist herauszufinden, in welcher Situation Sie stecken, bevor Sie Passwörter zurücksetzen, die ein Angreifer möglicherweise ebenfalls zurücksetzt.
Checkliste für den Ernstfall: zuerst der Mobilfunkanbieter
Arbeiten Sie diese Punkte der Reihe nach ab. Die Reihenfolge ist wichtig, weil Passwort-Resets per SMS nutzlos und möglicherweise sogar kontraproduktiv sind, solange jemand anderes die Nummer kontrolliert.
- Rufen Sie Ihren Mobilfunkanbieter über eine Nummer an, die Sie bereits kennen. Nutzen Sie die Kontaktnummer auf Ihrer Rechnung, in der App Ihres Anbieters oder in Ihren eigenen gespeicherten Kontakten. Verwenden Sie keine Nummer aus einer unerwarteten Nachricht, die Sie auffordert, Ihre SIM zu „bestätigen“ oder „wiederherzustellen“.
- Schildern Sie das konkrete Problem. Sagen Sie, dass Anrufe, SMS und Daten gleichzeitig ausgefallen sind und dass Sie eine SIM-Aktivierungsmeldung erhalten haben, die Sie nicht veranlasst haben. Bitten Sie den Anbieter zu bestätigen, ob die SIM geändert wurde, und die Kontrolle über die Nummer wiederherzustellen.
- Fragen Sie, welchen Schutz der Anbieter bietet. Eine Anbieter-PIN oder Kontosperre kann das Risiko eines erneuten Versuchs verringern. Betrachten Sie das als Risikominderung, nicht als Lösung.
- Ändern Sie Passwörter erst, wenn die Nummer wieder unter Ihrer Kontrolle ist. Beginnen Sie mit den Konten, über die sich Geld bewegen lässt oder mit denen sich andere Konten zurücksetzen lassen, und arbeiten Sie sich dann weiter vor.
- Ersetzen Sie reine SMS-Authentifizierung, wo es geht. Wechseln Sie zu einer Authenticator-App, einem Passkey oder einem Hardware-Schlüssel, wenn der Dienst das unterstützt. Behalten Sie mindestens eine Wiederherstellungsmethode, die Sie selbst kontrollieren.
- Prüfen Sie auf Änderungen aus der Lücke. Achten Sie bei den wichtigsten Konten auf neue Anmeldewarnungen, geänderte Wiederherstellungsadressen, neue Zahlungsmethoden oder Weiterleitungsregeln.
- Halten Sie fest, was passiert ist. Notieren Sie den Zeitpunkt, zu dem Ihnen der Ausfall zuerst aufgefallen ist, die Referenznummer des Anbieters und die Konten, die Sie geändert haben. Das hilft, falls Sie später Abbuchungen bestreiten müssen.
Die FTC rät, sich sofort an den Mobilfunkanbieter zu wenden, um die Kontrolle über die Nummer zurückzugewinnen, und erst danach die Passwörter betroffener Konten zu ändern. Quelle
Diese Reihenfolge ist eine redaktionelle Empfehlung auf Grundlage der offiziellen Abfolge: erst die Nummer zurückgewinnen, dann Passwörter ändern. Passwörter zurückzusetzen, während die Nummer noch anderswo kontrolliert wird, kann dem Angreifer einen frischen Code in die Hand spielen.
Ein Verzeichnis der Konto-Abhängigkeiten anlegen
Ein SIM-Swap ist schlimmer als ein vergessenes Passwort, weil viele Konten voneinander abhängen. Viele Konten nutzen dieselbe Nummer als Anmeldenamen, als Wiederherstellungsweg oder als zweiten Faktor. Erfassen Sie das, bevor Sie es brauchen.
| Spalte | Was Sie eintragen | Warum das wichtig ist |
|---|---|---|
| Konto | Der Name des Dienstes | Hält die Liste konkret |
| Rolle der Nummer | Anmeldename, Wiederherstellungsweg, SMS-Zweitfaktor oder nur Benachrichtigung | Zeigt, was ausfällt, wenn die Nummer verloren geht |
| Stärkere Option verfügbar | Authenticator-App, Passkey, Hardware-Schlüssel, Backup-Codes | Zeigt, wo sich die Abhängigkeit von SMS verringern lässt |
| Wiederherstellungsmethode, die Sie kontrollieren | Backup-E-Mail, ausgedruckte Codes, Zweitgerät | Muss den Verlust der Nummer überstehen |
| Priorität | Geld, E-Mail, dann alles andere | Legt die Reihenfolge für Passwortänderungen fest |
Zwei Regeln halten das Verzeichnis nützlich. Erstens: Behalten Sie mindestens eine Wiederherstellungsmethode, die nicht von der Telefonnummer abhängt, und bewahren Sie sie an einem Ort auf, den Sie ohne das Telefon erreichen können. Zweitens: Löschen Sie eine Wiederherstellungsmethode erst, wenn Sie bestätigt haben, dass Sie sich auf einem anderen Weg anmelden können; den letzten Weg, den Sie kontrollieren, zu entfernen, kann Sie dauerhaft aussperren.
SMS-Authentifizierung kann durch einen SIM-Swap kompromittiert werden; eine Anbieter-PIN und stärkere Konto-Authentifizierung können das Risiko verringern, sind aber keine Garantie. Quelle
Eine Anbieter-PIN und eine Authenticator-App sind Risikominderungen, keine Garantien. Manche Dienste fallen immer noch auf SMS zurück, und manche Support-Mitarbeiter setzen ein Konto am Telefon zurück. Das Verzeichnis sollte zeigen, wo solche Rückfallwege bestehen.
Wann es wahrscheinlich kein SIM-Swap ist
Nicht jeder Ausfall ist ein Angriff, und jemanden oder einen Ort zu beschuldigen hilft Ihnen nicht, ein Konto wiederzuerlangen. Schließen Sie gewöhnliche Ursachen aus, bevor Sie den Vorfall als Swap behandeln.
- Nur ein Dienst: Wenn Anrufe und SMS weiterhin funktionieren, liegt das Problem wahrscheinlich in diesem Konto, und die normale Wiederherstellung greift.
- Geräte- oder Tarifwechsel: Ein neues Telefon, eine eSIM-Übertragung oder ein Tarifwechsel kann den Dienst unterbrechen. Der Anbieter kann bestätigen, was passiert ist.
- Störung beim Anbieter: Prüfen Sie, ob der Anbieter eine lokale Störung meldet, bevor Sie Betrug annehmen.
- Nur Bestätigungscodes: Wenn SMS von Freunden ankommen, Codes aber nicht, ist die Ursache unklar. Bitten Sie den Anbieter, den Status der Nummer zu bestätigen, statt wiederholt zurückzusetzen.
Wenn der Anbieter bestätigt, dass die SIM ohne Ihre Veranlassung geändert wurde, behandeln Sie es als Sicherheitsvorfall, auch wenn der Dienst schnell wieder läuft. Der Angreifer kann die Lücke genutzt haben, um Konten zurückzusetzen, und solche Resets machen sich nicht von selbst rückgängig.
Ein Wiederherstellungsweg, den Sie behalten
Ein vergessenes Passwort lässt sich für sich genommen wiederherstellen. Ein SIM-Swap entfernt den Wiederherstellungsweg, den viele Konten gemeinsam nutzen. Das praktische Ziel ist daher, nicht mehr für alles von einer einzigen Nummer abhängig zu sein.
Wenn Sie jetzt erfassen möchten, welche Dienste Ihre Nummer verwenden, ist der Leitfaden So finden Sie alle mit einer Telefonnummer verknüpften Konten ein sinnvoller nächster Schritt. Betrachten Sie jede Liste, die Sie erstellen, als Ausgangspunkt für Ihre eigenen Prüfungen, nicht als vollständige Bestandsaufnahme, und bestätigen Sie jedes Konto über dessen eigenen Wiederherstellungsprozess.
TraceSeek, die von TruthsSeek behandelte App, prüft Benutzernamen auf 3.000+ Plattformen und bietet einen kostenlosen ersten Scan, der 20–30 Sekunden dauert; für diesen ersten Scan sind keine Registrierung und keine Anmeldung erforderlich. Das ist nützlich, um öffentliche Profile zu finden, die mit einem Benutzernamen verbunden sind; es stellt keine Telefonnummer wieder her, und ein öffentlicher Treffer ist ein Hinweis, kein Beweis dafür, wem ein Konto gehört.