Ist SMS-Verifizierung sicher? SIM-Swap, SS7 und Phishing erklärt

Wie bewerten NIST, BSI und CISA die SMS?

Die US-Standardisierungsbehörde NIST regelt die Anmeldung in SP 800-63B-4, ihrer Richtlinie für digitale Identitäten in der US-Bundesverwaltung. Sie kennt genau einen „eingeschränkten“ Faktor: Codes über das Telefonnetz, also per SMS oder Sprachanruf. Die Richtlinie erschien im Juli 2025, die Einstufung gilt aber schon seit Revision 3 von 2017.

Eingeschränkt heißt nicht verboten. Ob das Risiko tragbar ist, entscheidet der Dienst; hält er es für untragbar, darf er SMS nicht nutzen. Wer SMS anbietet, muss mindestens eine nicht eingeschränkte Alternative bereitstellen und verständlich auf die Risiken hinweisen.

Das BSI bewertet die SMS-TAN in seinen Bewertungstabellen zur Zwei-Faktor-Authentisierung, zuletzt überarbeitet im Mai 2026. Gegen Phishing, das nicht in Echtzeit abläuft, vergibt es „Gut“, weil der Code nach kurzer Zeit verfällt. Gegen Angriffe aus der Ferne gibt es „Mittel“, gegen Echtzeit-Phishing „Schlecht“.

Die US-Cybersicherheitsbehörde CISA rät seit Dezember 2024 besonders gefährdeten Personen aus Regierung und Politik, SMS nicht als zweiten Faktor zu nutzen. Anlass war Spionage staatsnaher chinesischer Akteure in Telekommunikationsnetzen, in denen Eindringlinge unverschlüsselte SMS mitlesen können.

Die drei Behörden bewerten die Anmeldung mit zweitem Faktor, nicht die Prüfung einer Nummer bei Newsletter- oder Gewinnspielanmeldungen. Ihre Einwände lassen sich sinngemäß übertragen; das ist eine Einordnung, keine Aussage der Behörden. Den Vergleich mit anderen Verfahren zeigt der Überblick zur Telefonnummer-Verifizierung.

Welche Angriffswege sind belegt?

Angriffsweg	Was passiert	Beschrieben von	Zahlen in den Quellen
SIM-Swap	Die Nummer wird auf eine SIM des Angreifers übertragen	NIST, BSI, Europol, BfDI	USA (bis 2021), Großbritannien (2024)
Signalisierungsnetz (SS7)	Ein vorgetäuschter Aufenthalt im Ausland lenkt die SMS in ein fremdes Netz	BSI, ENISA	keine; Pressebericht zu einem Fall in Deutschland 2017
Echtzeit-Phishing	Eine gefälschte Seite reicht den eingegebenen Code sofort weiter	BSI, CISA, NIST	keine
Schad-App	Schädliche Software auf dem Gerät greift den Code aus der Benachrichtigung ab	NIST, BSI, Google	keine; laut Google ein gängiger Angriffsweg
Mailbox	Ein Täter greift auf die Mailbox zu, wenn Codes per Anruf kommen	BSI	keine
Neu vergebene Nummer	Wer die Nummer neu erhält, erreicht noch verknüpfte Dienste	BSI	keine

Nicht um abgefangene Codes, sondern um massenhaft ausgelöste SMS geht es beim SMS-Pumping.

SIM-Swap: Wenn die Nummer den Besitzer wechselt

Beim SIM-Swapping bringt ein Betrüger den Mobilfunkanbieter dazu, die Nummer des Opfers auf seine SIM zu übertragen, und empfängt danach Anrufe und SMS. Die nötigen persönlichen Daten stammen laut Europol etwa aus Datenlecks, Phishing oder sozialen Netzwerken.

Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) nennt auch gestohlene Zugangsdaten zum Kundenkonto beim Anbieter. Damit lässt sich eine Ersatz-SIM ausstellen, bei der eSIM sogar ohne Postweg. Das BSI sieht den Ansatzpunkt in unzureichender Authentisierung beim Anbieter.

Besonders gefährlich ist das laut BfDI, wenn die Nummer als Zugangsfaktor für andere Dienste dient, denn dann lassen sich auch diese übernehmen. Europol rät, die Nummer möglichst nicht mit sensiblen Konten zu verknüpfen und bei grundlos fehlendem Empfang sofort den Anbieter zu informieren.

Wie häufig ist SIM-Swapping?

Zahlen gibt es aus den USA und Großbritannien; sie erfassen nur gemeldete Fälle. Das FBI zählte in einer Warnung vom 8. Februar 2022 für 2018 bis 2020 zusammen 320 Beschwerden mit rund 12 Millionen US-Dollar Schaden. Allein 2021 waren es 1.611 Beschwerden mit über 68 Millionen US-Dollar. Der britische Betrugspräventionsverband Cifas erfasste 2024 fast 3.000 unautorisierte SIM-Swaps, ein Anstieg um 1.055 Prozent.

Für Deutschland fand sich keine amtliche Zahl, nur eine Presseeinordnung. Laut heise online erklärte das BKA 2022, solche Fälle hätten derzeit keine größere Relevanz; das LKA Niedersachsen nannte niedrige zweistellige Fallzahlen pro Jahr.

Was ist das Risiko im Signalisierungsnetz (SS7)?

Laut BSI lässt sich dem heimischen Netz etwa vortäuschen, das Gerät sei in einem ausländischen Partnernetz eingebucht; die SMS gehen dann dorthin. Das BSI nennt SS7 nicht, ENISA und Presse fassen solche Angriffe über das Signalisierungsnetz aber unter diesem Begriff; das ist eine Einordnung.

Die EU-Agentur für Cybersicherheit ENISA beschrieb SS7 2018 als Protokoll, das vor Jahrzehnten ohne Rücksicht auf Sicherheit entworfen wurde. Das Risiko schätzte sie als mittel bis hoch ein.

Für Deutschland ist ein Fall nur aus der Presse bekannt. Laut The Register, gestützt auf die Süddeutsche Zeitung, bestätigte O2-Telefónica Deutschland 2017, dass über einen Angriff unter Ausnutzung von SS7 Bankkonten der Kundschaft geleert wurden.

Warum hilft SMS nicht gegen Echtzeit-Phishing?

Beim Echtzeit-Phishing reicht eine gefälschte Login-Seite alle Eingaben sofort an die echte Seite weiter; das BSI spricht von einem Realtime-Proxy. Den eingegebenen SMS-Code nutzt der Angreifer dann für seine eigene Sitzung, eine Bedrohung, die auch NIST beschreibt. Laut BSI-Übersicht schützen SMS-TAN, E-Mail-TAN und Codes aus Authenticator-Apps nicht davor.

Ein anderer Kanal für den Code, etwa WhatsApp oder E-Mail, ändert daran nichts; das ist eine Einordnung. Helfen können laut BSI und CISA domaingebundene Verfahren wie Passkeys, also an die echte Website gebundene Anmeldeschlüssel nach dem FIDO-Standard.

Wie schützt Android vor Schad-Apps?

SMS erscheinen als Benachrichtigung, und dort können laut BSI schädliche Apps mitlesen; NIST nennt dieselbe Bedrohung. Seit Anfang 2019 dürfen Apps im Play Store SMS-Berechtigungen grundsätzlich nur als Standard-App für SMS, Telefon oder Assistent anfordern (Ankündigung); die Richtlinie nennt einzelne Ausnahmen. Mit Android 15 blendet das System Einmalcodes in Benachrichtigungen für die meisten Apps aus; Google nennt sie einen gängigen Angriffsweg.

Was tun Anbieter und Behörden gegen SIM-Swap?

Riskante Vorgänge wie den SIM-Tausch oder die Änderung der Lieferadresse für eine SIM sollen Telekommunikationsanbieter laut einem Arbeitspapier der BfDI nur nach sicherer Authentifizierung ausführen. Ihre Checkliste fragt Anbieter, wie sie das Risiko von SIM-Swapping über Ersatz-SIM oder Rufnummernportierung verringern.

CISA empfiehlt eine zusätzliche PIN beim Mobilfunkanbieter, das FBI rät Anbietern zu strengen Protokollen für die Identitätsprüfung.

In den USA hat die Regulierungsbehörde FCC Regeln gegen SIM-Swap- und Portierungsbetrug erlassen. Anbieter sollen ihre Kundschaft vor dem Umleiten einer Nummer sicher authentifizieren, bei jedem SIM-Wechsel- oder Portierungsantrag sofort informieren und kostenlos eine Sperre anbieten. Die Regeln traten am 8. Januar 2024 in Kraft, Benachrichtigung und Sperre aber noch nicht. Einzuhalten waren sie frühestens sechs Monate später und erst nach einer Prüfung durch die US-Haushaltsbehörde OMB. Ob und seit wann alle Pflichten verbindlich sind, ließ sich nicht belegen.

Die Netzbetreiber-Schnittstelle SIM Swap des Projekts CAMARA meldet den Zeitpunkt des letzten SIM-Wechsels oder antwortet mit Ja oder Nein für einen Zeitraum. So kann laut GSMA etwa eine Bank vor einer Transaktion einen kürzlichen Wechsel erkennen. In Deutschland war die Abfrage im Februar 2024 eine Entwicklervorschau. Laut undatierter Seite vermarktet Telefónica Open Gateway sie auch hier, der Vermittler Vonage listet sie für Deutschland ohne einzelne Netzbetreiber.

Wann genügt ein SMS-Code?

In der Google-Studie von 2019 mit NYU und UC San Diego verhinderte ein Code an die Wiederherstellungsnummer 100 Prozent der automatisierten Bot-Angriffe. Gegen massenhaftes Phishing waren es 96 Prozent, gegen gezielte Angriffe 76 Prozent. Die Zahlen gelten nur für Googles eigene Login-Abfragen.

Nach dem EU-Zahlungsrecht PSD2 ist ein SMS-Einmalpasswort laut Europäischer Bankenaufsicht ein Besitzelement der starken Kundenauthentifizierung. Viele Banken bieten smsTAN laut BSI trotzdem nicht mehr an, weil Alternativen sicherer sind.

Je mehr ein Code freigibt, desto eher lohnt sich ein Angriff. Ein übernommenes Konto oder eine Zahlung ist für Täter mehr wert als ein Eintrag in einer Newsletterliste. Das ist eine Einordnung, gestützt auf NIST, das die Risikoentscheidung beim Dienst sieht, und auf CISA, das SMS als schwachen Rückfallweg beschreibt.

Checkliste für Betreiber, die SMS-Codes einsetzen:

• Festlegen, was der Code freischaltet: Anmeldung, Kontowiederherstellung oder Zahlung.
• Mindestens eine nicht eingeschränkte Alternative anbieten, wie NIST es vorsieht.
• Vor dem Versand Risikosignale wie SIM-Wechsel oder Portierung prüfen, etwa per SIM-Swap-Abfrage.
• Das Ändern der hinterlegten Nummer absichern wie das Einrichten eines neuen Faktors.
• SMS nicht als Rückfallweg bestehen lassen, wenn ein stärkerer Faktor eingerichtet ist.
• Gegen Echtzeit-Phishing auf Passkeys oder andere domaingebundene Verfahren setzen.

Beim Reverse OTP empfängt die Person keinen Code, sondern sendet einen angezeigten Code selbst an den Dienst. Wie sich das vom ausgehenden SMS-Code unterscheidet, beschreibt der Reverse-OTP-Dienst Sendity.