Kapitel 29: SIM-Swapping: Die lautlose Entführung

Stellen Sie sich kurz das folgende Szenario vor: Sie sitzen in einem Café und genießen einen entspannten Freitagmorgen. Ihr Telefon liegt auf dem Tisch, lautlos. Plötzlich bemerken Sie etwas Seltsames. An der Stelle, an der die Empfangsbalken für das LTE- oder 5G-Netz angezeigt werden sollten, erscheint der lakonische und bedrohliche Hinweis: „Kein Dienst“ (No Service). Sie schalten das Gerät aus und wieder ein, nehmen die SIM-Karte heraus und legen sie wieder ein, in der Annahme, es handele sich um eine regionale Störung Ihres Mobilfunkanbieters. Sie verbinden sich mit dem WLAN des Cafés, um nach Berichten über eine landesweite Störung zu suchen, finden jedoch nichts.

Was Sie in diesem Moment nicht wissen, ist, dass nur wenige Kilometer von Ihnen entfernt, an einem belebten Mobilfunkstand oder durch einen raffinierten Anruf beim Kundendienst, jemand soeben Ihre digitale Identität „gestohlen“ hat. Er hat nicht das physische Gerät gestohlen; er hat Ihre Telefonnummer gestohlen. Innerhalb weniger Minuten wurde die Nummer, die Sie beruflich, privat und vor allem zur Authentifizierung bei Ihrer Bank und Ihren E-Mail-Konten nutzen, zur Waffe des Täters. Dies ist ein „SIM-Swapping“ – eine der lautlosesten, raffiniertesten und zerstörerischsten Betrugsmaschen der Moderne.

Das folgende Szenario ist ein lehrreiches Beispiel, das auf verbreiteten Betrugsmustern basiert. Die Charaktere und Ereignisse dienen lediglich zur Veranschaulichung.

Die Stille vor dem Sturm: Eitans Geschichte

Eitan galt als „bewusster Nutzer“. Er arbeitete in der Softwareentwicklung, verwendete komplexe Passwörter für jedes Konto und achtete stets darauf, wo immer möglich die „Zwei-Faktor-Authentifizierung“ (2FA) zu aktivieren. Er fühlte sich sicher. Schließlich sendet ihm die Bank vor jeder ungewöhnlichen Transaktion einen SMS-Code, oder etwa nicht?

An einem Dienstag um 14:15 Uhr verlor Eitans Telefon den Empfang. Eitan, der vertieft in die Programmierung war, maß dem keine große Bedeutung bei. „Bestimmt wieder Infrastrukturarbeiten des Telekommunikationsanbieters“, murmelte er vor sich hin. Erst eine Stunde später, als er ein dringendes Telefonat führen wollte und sah, dass sich das Gerät immer noch im Status „Kein Dienst“ befand, schöpfte er Verdacht. Er rief von einem Arbeitskollegen aus beim Kundendienst seines Mobilfunkanbieters an.

„Guten Tag, meine Telefonnummer funktioniert nicht“, sagte Eitan der Mitarbeiterin.

„Ich sehe hier, dass Sie vor etwa einer Stunde in einer unserer Filialen einen Austausch der SIM-Karte beantragt haben“, antwortete die Mitarbeiterin ganz natürlich.

Eitan lief ein Schauer über den Rücken. „Ich habe keinen Austausch der SIM-Karte beantragt. Hat sich jemand als ich ausgegeben?“

„Der Kunde, der erschien, legte einen Personalausweis vor und beantwortete die Identifizierungsfragen“, beharrte die Mitarbeiterin. „Ihre alte SIM-Karte wurde deaktiviert und die neue aktiviert.“

In diesem Moment begriff Eitan, dass er in Schwierigkeiten steckte, doch das volle Ausmaß der Katastrophe war ihm noch nicht bewusst. Er rannte zum Computer und versuchte, sich in sein E-Mail-Konto einzuloggen. „Falsches Passwort“, teilte ihm das System mit. Er versuchte, das Passwort über sein Telefon zurückzusetzen – doch der Code wurde an das Gerät des Täters gesendet. Er versuchte, auf sein Bankkonto zuzugreifen, musste dort jedoch feststellen, dass der Zugriff nach mehreren Fehlversuchen blockiert wurde. Als er es schließlich schaffte, über das Festnetz Kontakt zur Sicherheitsabteilung der Bank aufzunehmen, stellte sich heraus, dass in diesem Szenario der Schaden bereits angerichtet war: Banküberweisungen in erheblicher Höhe könnten an „neue Kontaktpersonen“ getätigt worden sein, die erst Minuten zuvor hinzugefügt wurden.

Wie war das möglich? Der Täter benötigte nicht Eitans Passwort. Er benötigte lediglich dessen Telefonnummer. Sobald die Nummer unter seiner Kontrolle war, wurden alle Sicherheitsmechanismen, auf die sich Eitan verlassen hatte – jene SMS-Codes zur Authentifizierung –, zum Schlüssel, der dem Täter alle Türen öffnete.

Anatomie einer Entführung: Wie wechselt Ihr Mobiltelefon die Seite?

Um den SIM-Swap-Betrug zu verstehen, muss man die kritische Rolle der Telefonnummer in unserer digitalen Identität begreifen. Die Telefonnummer ist nicht nur ein Mittel zur Kontaktaufnahme; sie ist zu einem „Identitätsanker“ geworden. Fast jeder Online-Dienst – von Facebook und Google bis hin zu Banken und Kreditkartenunternehmen – nutzt die Telefonnummer zur Passwortwiederherstellung oder als zweiten Authentifizierungsfaktor.

SIM-Swapping ist kein technischer Hackerangriff auf Ihr Telefon. Es handelt sich um „Social Engineering“, das sich gegen ein schwaches Glied in der Kette richtet: den Mobilfunkanbieter. Der Angreifer sammelt Informationen über Sie aus sozialen Netzwerken, aus geleakten Datenbanken oder durch „Phishing“. Er beschafft Ihren vollständigen Namen, Ihre Personalausweisnummer, Ihr Geburtsdatum und manchmal sogar die letzten vier Ziffern Ihrer Kreditkarte.

Ausgestattet mit diesen Informationen kontaktiert der Täter den Mobilfunkanbieter auf zwei Hauptwegen:

1. Telefonische Identitätsfälschung: Der Täter ruft beim Kundendienst an, behauptet, seine SIM-Karte sei verloren gegangen oder defekt, und durchläuft den Identifizierungsprozess beim Mitarbeiter (der sich in der Regel auf dieselben persönlichen Daten stützt, die er zuvor beschafft hat). Er bittet darum, die Nummer auf eine neue SIM-Karte zu übertragen, die sich in seinem Besitz befindet.
2. Physisches Erscheinen: Der Täter erscheint an einem Stand des Mobilfunkanbieters, manchmal mit einem gefälschten Ausweis, der die Daten des Opfers trägt, aber das Foto des Täters enthält. Der Mitarbeiter am Stand, der oft überlastet oder nicht ausreichend im Erkennen von Fälschungen geschult ist, führt den Austausch vor Ort durch.
3. „Innentäter“: In schwerwiegenderen Fällen haben Täter Komplizen innerhalb der Telekommunikationsunternehmen – untergeordnete Mitarbeiter, die Bestechungsgelder annehmen, um SIM-Karten ohne jegliches Identifizierungsverfahren auszutauschen.

Sobald der Vorgang abgeschlossen ist, verliert die SIM-Karte in Ihrem Gerät die Verbindung zum Netzwerk. Sie wird zu einem wertlosen Stück Plastik. Genau in diesem Moment wird das Gerät des Täters zu „Ihrem Telefon“. Er beginnt, alle für Sie bestimmten SMS-Nachrichten zu empfangen, einschließlich der Authentifizierungscodes. Von hier an ist der Weg zur Übernahme von E-Mail-Konten, sozialen Netzwerken und Bankkonten kurz und schmerzhaft.

Der juristische Kampf: Die Verantwortung von Mobilfunkanbietern und Banken

Hier betreten wir ein juristisches Minenfeld. Wer ist für den Schaden verantwortlich? Ist es der Kunde, der seine Daten nicht geschützt hat? Der Mobilfunkanbieter, der den Austausch ermöglicht hat? Oder vielleicht die Bank, die nicht erkannt hat, dass der Code an eine neue SIM-Karte gesendet wurde?

Im israelischen Rechtssystem ist diese Problematik komplex. Einerseits argumentieren die Telekommunikationsunternehmen, dass sie Kommunikationsdienste erbringen und keine Datensicherheitsdienste für Banken. Andererseits besitzen sie enorme Macht über unsere digitale Identität. Das Datenschutzgesetz von 1981 und die dazugehörigen Vorschriften legen Verpflichtungen für diejenigen fest, die Datenbanken verwalten, doch der SIM-Swap-Betrug stellt neue Herausforderungen dar.

Bei der Prüfung der Verantwortung der Bank müssen wir das Zahlungsdienstegesetz von 2019 berücksichtigen. Dieses Gesetz regelt die Haftung bei „missbräuchlicher Verwendung“ von Zahlungsmitteln. Grundsätzlich neigt das Gesetz dazu, den Kunden zu schützen, es sei denn, es wird nachgewiesen, dass der Kunde betrügerisch gehandelt hat oder das Zahlungsmittel oder den Authentifizierungscode unter Umständen grober Fahrlässigkeit an eine andere Person weitergegeben hat. Die spannende Rechtsfrage ist: Gilt ein SIM-Hack als „Weitergabe des Authentifizierungscodes“? Die juristische Analyse könnte zu dem Schluss führen, dass der Kunde nichts weitergegeben hat – der Code wurde ihm durch das vermeintliche Fehlverhalten eines Dritten entwendet.

Was die Mobilfunkanbieter betrifft, so kann eine Haftung aus dem Deliktsrecht entstehen. Ein Mobilfunkanbieter, der einen SIM-Austausch ohne angemessene Identifizierung oder unter Ignorierung von Warnsignalen ermöglicht, könnte als fahrlässig handelnd angesehen werden. Es gibt eine wachsende rechtliche Tendenz anzuerkennen, dass Mobilfunkanbieter verstärkte Vorsichtsmaßnahmen treffen müssen, da sie sich bewusst sind, dass die Telefonnummer heutzutage als Schlüssel zur digitalen Identität des Kunden fungiert.

Es ist jedoch wichtig zu betonen: Die Möglichkeit der Rückerstattung hängt von den Umständen des Einzelfalls ab. Banken und Versicherungsunternehmen könnten argumentieren, dass der Kunde fahrlässig gehandelt hat, indem er seine Identitätsdaten nicht geschützt hat oder durch unvorsichtiges Verhalten zum ursprünglichen Datenleck beigetragen hat. Jeder Fall muss individuell geprüft werden: Hat der Mobilfunkanbieter gemäß den Richtlinien des Kommunikationsministeriums gehandelt? Hat die Bank ein ungewöhnliches Verhaltensmuster erkannt? Hat der Kunde den Vorfall sofort nach der Unterbrechung der Leitung gemeldet?

Der Tag danach: Wiederherstellung der Identität und künftiger Schutz

Wenn eine Person Opfer eines SIM-Swaps wird, ist Zeit der größte Feind. Jede verstreichende Minute ermöglicht es dem Angreifer, das Eindringen zu vertiefen. Doch über die sofortigen Maßnahmen hinaus stellt sich die große Frage: Wie verhindert man dies von vornherein?

Das große Paradoxon der modernen Datensicherheit besteht darin, dass das, was als „starke Authentifizierung“ wahrgenommen wurde – die SMS –, zu einem der schwächsten Glieder geworden ist. Sicherheitsexperten, und auch ich während meiner langjährigen beruflichen Tätigkeit, empfehlen den Wechsel von einer SMS-basierten Authentifizierung zu einer Authentifizierung mittels Authentifizierungs-Apps (wie Google Authenticator oder Microsoft Authenticator) oder die Verwendung physischer Sicherheitsschlüssel. Diese Apps generieren den Code innerhalb des Geräts selbst und sind nicht vom Mobilfunknetz abhängig.

Darüber hinaus ermöglichen einige Mobilfunkanbieter das Hinzufügen eines „Geheimcodes“ oder eines zusätzlichen Passworts, das für jeden Vorgang im Konto erforderlich ist, einschließlich eines SIM-Austauschs. Dies ist eine zusätzliche Schutzschicht, deren Aktivierung dringend empfohlen wird.

Aus rechtlicher Sicht ist es ratsam, den Ablauf der Ereignisse zu dokumentieren. Jedes Gespräch mit dem Mobilfunkanbieter, jede Nachricht der Bank, jeder fehlgeschlagene Anmeldeversuch. Diese Dokumentation kann eine Grundlage für die Prüfung künftiger rechtlicher Möglichkeiten bilden. In einer Welt, in der unsere Identität digital ist, wächst die Erwartung an die Stellen, die unsere Daten verwalten, mit einem hohen Maß an Sorgfalt zu handeln.

Warnsignale: Wann sollten Sie misstrauisch werden?

• Plötzlicher Verbindungsabbruch: Das Telefon zeigt „Kein Dienst“ oder „Nur Notrufe“ an, obwohl normalerweise exzellenter Empfang besteht.
• Seltsame Textnachrichten: Empfang einer SMS, die über eine Änderung der Kontoeinstellungen oder einen Antrag auf SIM-Austausch informiert, den Sie nicht getätigt haben.
• Unfähigkeit, auf Konten zuzugreifen: E-Mail-Passwörter oder Zugangsdaten zu sozialen Netzwerken funktionieren plötzlich nicht mehr, obwohl Sie diese nicht geändert haben.
• Benachrichtigungen der Bank: Mitteilungen über das „Hinzufügen eines neuen Zahlungsempfängers“ oder die „Ausführung einer Überweisung“, die Sie nicht kennen.

Was Sie sofort tun müssen: Notfallmaßnahmen

1. Nehmen Sie sofort Kontakt mit dem Mobilfunkanbieter auf: Nutzen Sie ein anderes Telefon, erscheinen Sie persönlich in einer Filiale und stoppen Sie die neue SIM-Karte. Bitten Sie darum, die Nummer wieder unter Ihre Kontrolle zu bringen, und erkundigen Sie sich nach Möglichkeiten der Kontosicherung durch ein zusätzliches Passwort.
2. Informieren Sie Banken und Kreditkartenunternehmen: Sie können vorsorglich die Sperrung von Konten und Kreditkarten beantragen.
3. Änderung kritischer Passwörter: Ändern Sie von einem sauberen und sicheren Computer aus die Passwörter für Ihr Haupt-E-Mail-Konto und aktivieren Sie, wenn möglich, eine Zwei-Faktor-Authentifizierung, die nicht auf SMS basiert.
4. Erstattung einer Anzeige bei der Polizei: Dies ist ein wichtiger Schritt für den Umgang mit Finanzinstituten. Es wird empfohlen, eine Bestätigung über die Anzeigenerstattung aufzubewahren.
5. Kontenüberwachung: Überwachen Sie jede Bewegung auf Ihren Konten genau und prüfen Sie, ob weitere Betrugsversuche unternommen wurden.

Rechtlicher Aspekt: Zusammenfassung der Haftung

Im Falle eines SIM-Swap-Betrugs kann die Haftung je nach Umständen zwischen mehreren Akteuren aufgeteilt werden:

• Mobilfunkanbieter: Könnte haftbar gemacht werden, wenn nachgewiesen wird, dass er im Identifizierungsprozess fahrlässig gehandelt hat oder die professionellen Richtlinien in dieser Angelegenheit nicht befolgt hat.
• Bank / Finanzinstitut: Unterliegen dem Zahlungsdienstegesetz. Unter bestimmten Umständen kann das Finanzinstitut zur Rückerstattung von Geldern verpflichtet werden, sofern nicht nachgewiesen wird, dass der Kunde grob fahrlässig gehandelt hat. In möglichen Szenarien könnten die Parteien nach Prüfung der Beweise einen Vergleich anstreben.
• Kunde: Vom Kunden wird erwartet, mit angemessener Sorgfalt zu handeln und den Vorfall unverzüglich zu melden, sobald er bemerkt, dass seine Leitung unterbrochen wurde. Das Maß an Sorgfalt und die Schnelligkeit der Meldung sind Faktoren, die bei der Prüfung der Haftungsverteilung berücksichtigt werden.

Zusammenfassend lässt sich sagen, dass ein SIM-Swap verdeutlicht, dass wir in der digitalen Welt unterschiedliche Vorsichtsmaßnahmen ergreifen müssen. Es wird empfohlen, sich nicht auf die Telefonnummer als einzigen Schlüssel für den Zugriff auf sensible Daten und Finanzkonten zu verlassen.