SIM-Swapping

Der Hauptvektor ist Social Engineering gegen das Callcenter des Mobilfunkanbieters oder die Bestechung interner Mitarbeiter. Dokumentiert sind Nachrichten an Mitarbeiter von US-Mobilfunkanbietern, in denen bescheidene Summen pro SIM-Swap angeboten wurden. Nach der Übernahme der Nummer landen jede SMS mit Einmalcode, jede Sprachverifizierung und jedes Zurücksetzen per SMS beim Angreifer. Damit lässt sich die SMS-2FA von Kryptobörsen, E-Mail-Konten und Onlinebanking umgehen, und von dort aus werden Konten und Gelder entwendet. Es ist ein Angriff auf die Telekommunikations- und Identitätsebene, nicht auf das Netzwerk: Der private Schlüssel wird nicht direkt berührt, doch über eine verwahrende Kryptobörse oder die Wiederherstellungs-E-Mail kann der Weg dorthin geöffnet werden.

Die Regulierung hat bereits reagiert. Die US-amerikanische FCC verabschiedete im November 2023 Regeln zu SIM-Swap und Rufnummernportierung, deren Umsetzungsfrist auf Juli 2024 festgelegt wurde; sie verpflichten die Anbieter, den Kunden vor einem SIM-Wechsel oder einer Portierung sicher zu authentifizieren. Die Regeln sind ergebnisorientiert und schreiben keine bestimmte Technologie vor, sodass ein gewisser Spielraum für Social Engineering bleibt. Sicherheitsberichte zeigen einen anhaltenden Anstieg der Fälle, was die regulatorische Verschärfung erklärt.

Die Gegenmaßnahmen sind einfach: SMS-2FA durch eine Authenticator-App (TOTP) oder durch FIDO2-Hardwareschlüssel und Passkeys ersetzen, beim Anbieter eine PIN oder ein Transferpasswort aktivieren, die Portierung der Nummer sperren und das Telefon nie als einzigen Faktor für Konten mit Vermögenswerten nutzen. In Spanien koordinieren die Anbieter die Portierung unter Aufsicht der CNMC, der spanischen Wettbewerbs- und Marktaufsicht; die genannten Vorkehrungen sollten mit dem Anbieter vereinbart werden. Initiativen wie der auf Datenschutz ausgerichtete Anbieter Cape und Verfahren wie das von EPIC vor der FCC zeigen die Reaktion auf das Phänomen. SIM-Swapping ist ein Einfallstor zur Kompromittierung von Schlüsseln oder Konten, sobald die Sicherheit vom Telefon abhängt.