Kann eine eSIM gehackt werden?

Diese Unterscheidung ist entscheidend, denn sie bestimmt, wo du deine Energie investierst. Was du auch am Chip tust – es hilft nichts. Was hilft, ist das Konto zu sperren, das deine Nummer kontrolliert, und die Codes, die dein Geld schützen, komplett von SMS zu trennen.

• Der Chip ist stark. Profil-Zugangsdaten liegen in einem manipulationssicheren Secure Element und werden nie in lesbarer Form herausgegeben.
• Der Papierkram ist schwach. Telefonnummern wandern zwischen Profilen – allein gestützt auf einen Namen, eine Adresse und eine plausible Geschichte.
• Die Beute ist die Nummer, nicht die Daten. Ein Angreifer will die SMS-Codes, die deine Nummer empfängt — und genau die hat eine reine Daten-eSIM nie.

Der Rest dieses Ratgebers geht die vier Stellen durch, an denen ein Angriff tatsächlich landen kann, und liefert dir dann die Checkliste, die die eine Stelle schließt, auf die es ankommt.

„Eine eSIM hacken“ ist keine einzelne Sache, sondern vier ganz unterschiedliche Ziele mit völlig unterschiedlichem Schwierigkeitsgrad — und wer sie in einen Topf wirft, sorgt sich am Ende um das Falsche.

Lies diese Liste in der Reihenfolge des Aufwands: Ein Angreifer beginnt unten und arbeitet sich nur nach oben vor, wenn er dazu gezwungen wird. Niemand greift den Chip an, wenn ein Anruf beim Support schon reicht.

Ein SIM-Swap ist der Diebstahl einer Telefonnummer. Der Angreifer fasst dein Handy nie an und bricht keine einzige Verschlüsselung. Er überzeugt deinen Anbieter davon, dass er du sei, und dass der Dienst auf eine neue SIM oder ein neues eSIM-Profil verschoben werden muss. Von diesem Moment an klingelt jeder Anruf und jede SMS, die für dich bestimmt ist, stattdessen auf seinem Gerät.

1. 01
   Der Angreifer sammelt die Details

   Deinen Namen, deine Nummer, dein Geburtsdatum, deine Adresse und die letzten vier Ziffern einer Karte. Datenlecks, soziale Netzwerke und ein freundlicher Anruf bei dir liefern fast alles davon.

2. 02
   Der Angreifer kontaktiert den Anbieter

   Support-Hotline, Chat oder Ladentheke. Die Geschichte ist gewöhnlich und langweilig: ein verlorenes Handy, ein kaputtes Gerät, ein Upgrade. Gewöhnlich und langweilig ist genau das, was durchgewunken wird.

3. 03
   Die Nummer wandert

   Deine Leitung stirbt. Seine wird lebendig – mit deiner Nummer, meist innerhalb von Minuten.

4. 04
   Der Angreifer setzt zurück, was geht

   E-Mail, Bank, Börse, Cloud-Speicher. Jedes „Passwort vergessen“ schickt einen Code per SMS – und die SMS kommt jetzt auf seinem Handy an.

5. 05
   Der Angreifer räumt leer und verschwindet

   Krypto-Konten zuerst, weil diese Überweisungen unumkehrbar sind. Die ganze Abfolge läuft oft innerhalb einer Stunde ab, häufig über Nacht.

Ein ehrlicher Ratgeber muss das klar sagen: Die eSIM hat SIM-Swapping nicht erfunden, aber sie hat die Reibung entfernt, die es früher gebremst hat. Es gibt keine Plastikkarte zu verschicken und keinen Laden zu besuchen — die Ersatzleitung ist ein QR-Code, sofort ausgestellt.

• Die Zustellung ist sofort. Der alte Angriff brauchte eine Karte auf dem Postweg oder einen Besuch mit gefälschtem Ausweis. Der neue braucht eine E-Mail-Adresse und einen Screenshot.
• Es skaliert. Alles, was sich auf ein Webformular reduzieren lässt, kann von überall aus gleichzeitig gegen viele Opfer gefahren werden.
• Das Opfer merkt es später. Ein Swap um 3 Uhr nachts wirkt bis zum Morgen wie schlechter Empfang, und das nutzbare Zeitfenster für den Angreifer wird in Minuten gemessen.
• Das Self-Service-Portal ist jetzt ein Ziel. Wo ein Anbieter dir erlaubt, eine eSIM direkt aus deinem Online-Konto zu provisionieren, reicht der gestohlene Login — kein Gespräch mit dem Support nötig.

Nichts davon ist ein Argument gegen die eSIM. Genau die Dauerhaftigkeit, die ein Profil schwer beweglich macht, ist der Grund, warum eine eSIM ein gestohlenes Handy besser übersteht als Plastik — kein Fach, das sich mit einer Büroklammer öffnen lässt, keine Karte, die man herausnehmen und weiterverwenden kann.

Nicht auf eine Weise, mit der du wirklich rechnen musst. Das ist die Frage, die die meisten eigentlich meinen, wenn sie fragen, ob eine eSIM gehackt werden kann — und genau hier hält die Technik wirklich stand.

• Die Schlüssel verlassen den Chip nie. Ein Profil lebt in der eUICC, einem zertifizierten, manipulationssicheren Secure Element. Seine Geheimnisse werden darin verwendet und nie in lesbarer Form exportiert — nicht an das Betriebssystem, nicht an eine App, nicht an dich.
• Beide Seiten weisen sich aus. Ein Profil-Download läuft über einen beidseitig authentifizierten Kanal: Der Server weist sich gegenüber dem Chip aus, und der Chip weist sich gegenüber dem Server aus — mit Zertifikaten, die keine Seite fälschen kann.
• Ein Profil ist an einen Chip gebunden. Es ist für eine bestimmte eUICC verschlüsselt. Wer den QR-Code, den Aktivierungscode oder die Profildatei kopiert, bekommt als Angreifer nur eine Nutzlast, die seine Hardware nicht öffnen kann.
• Der Code ist nur einmal gültig. Sobald ein Profil heruntergeladen wurde, ist sein Aktivierungscode verbraucht. Ein danach durchgesickerter Screenshot installiert gar nichts mehr.

Die alten Klon-Angriffe, an die sich manche vage erinnern, gehören zu einer anderen Ära der Technik — gerichtet gegen Algorithmen, die längst abgeschaltet waren, bevor es die eSIM überhaupt gab. Das ist Geschichte, kein aktuelles Risiko.

Jeder Schritt eines SIM-Swaps zielt auf ein einziges Gut: die Telefonnummer, weil die Nummer die Codes empfängt. Nimm die Nummer weg, und der Angriff hat kein Ziel mehr. Eine reine Daten-Reise-eSIM hat keine Nummer, kann keine SMS empfangen und ist an keinen Namen gebunden.

Das ist dasselbe strukturelle Argument, das sich durch unseren Ratgeber zum Bedrohungsmodell zieht: Ein Dienst, der etwas nie erfasst, kann es nicht durchsickern lassen, und eine Leitung, die nie eine Nummer hatte, kann keine gestohlen bekommen. Das ist kein Versprechen, das jemand halten muss — es ist eine Abwesenheit.

Das ist der Teil, der dich wirklich schützt, und er dauert einmalig etwa zwanzig Minuten. Arbeite die Liste der Reihe nach ab — die ersten beiden Punkte blockieren den Angriff komplett, der Rest begrenzt den Schaden, wenn trotzdem etwas schiefgeht.

1. 01
   Aktiviere eine Port-out-PIN oder Nummernsperre

   Fast jeder große Anbieter bietet das inzwischen an, unter einem Namen wie SIM-Schutz, Nummernsperre oder Portsperre. Sie blockiert jede Übertragung deiner Leitung, bis du sie selbst aufhebst. Das ist der mit Abstand wertvollste Schalter auf dieser Seite, und er ist meist standardmäßig deaktiviert.

2. 02
   Verlagere deine Codes weg von SMS

   Stelle jedes wichtige Konto um — zuerst E-Mail, dann Bank und Börse — auf eine Authenticator-App oder einen Hardware-Schlüssel. SMS-Codes sind der Grund, warum Nummern gestohlen werden; nimm die Belohnung weg, und der Angriff lohnt sich nicht mehr.

3. 03
   Entferne deine Nummer als Wiederherstellungsmethode

   Viele Konten schicken weiterhin einen Reset-Code per SMS an deine Nummer, selbst wenn App-basierte Zwei-Faktor-Authentifizierung aktiv ist — das reißt die gerade geschlossene Lücke still und leise wieder auf. Lösche die Nummer, wo die Option existiert.

4. 04
   Setze ein echtes Passwort für dein Anbieterkonto

   Nicht der Name deines Hundes, nicht dein Geburtsjahr, und nicht die Antwort auf eine Sicherheitsfrage, die jeder auf deinem Profil lesen kann. Bewahre es zusammen mit allem anderen in einem Passwort-Manager auf.

5. 05
   Halte Geburtstag und Adresse von öffentlichen Profilen fern

   Genau diese Felder nutzt der Support, um dich zu identifizieren. Jedes, das du veröffentlichst, ist ein kostenloser Nachweis für jeden, der anruft und vorgibt, du zu sein.

• Fange mit E-Mail an. Wer dein Postfach kontrolliert, kann fast alles andere zurücksetzen — deshalb verdient es die stärkste Methode, die du bereit bist zu nutzen.
• Bevorzuge einen Hardware-Schlüssel oder einen Passkey, wo das Konto es unterstützt. Beide lassen sich nicht phishen, umleiten oder vom Sperrbildschirm ablesen.
• Speichere deine Backup-Codes offline, bevor du sie brauchst — auf Papier, irgendwo, das nicht das Handy ist.
• Nutze im Ausland eine reine Daten-eSIM, damit deine Hauptleitung die Reise über ruht. Eine Leitung, die niemand nutzt, ist eine Leitung, die niemand für dich im Blick behalten muss — und eine Roaming-Registrierung weniger in einem Land, das du nur besuchst.

Ein Swap lässt sich überstehen, wenn du ihn früh erkennst, und das frühe Signal ist unverkennbar, sobald du weißt, wonach du suchen musst. Dein Handy warnt dich nicht, dass deine Nummer gestohlen wurde. Es verliert einfach den Dienst.

• Plötzlich „Kein Dienst“ oder SOS auf deiner Hauptleitung, drinnen, an einem Ort, an dem es immer funktioniert hat, ohne dass sonst irgendwo ein Ausfall gemeldet wird.
• Anrufe und SMS kommen nicht mehr an, während WLAN-Apps normal weiterlaufen — das Erkennungszeichen, dass die Leitung weg ist, nicht das Internet.
• Eine Nachricht über eine SIM-Änderung oder Nummernübertragung, die du nicht angefordert hast. Manche Anbieter verschicken so etwas; sie lohnt sich zu lesen, statt sie wegzuwischen.
• Passwort-Reset-E-Mails, um die du nicht gebeten hast, besonders mehrere hintereinander innerhalb weniger Minuten.
• Aus Konten ausgeloggt zu werden, auf einem Gerät, das vor einer Stunde noch funktioniert hat.

1. 01
   Rufe deinen Anbieter von einem anderen Handy an

   Sage wörtlich „Ich glaube, meine Nummer wurde per SIM-Swap gestohlen“ und bitte darum, die Leitung einzufrieren. Hier schlägt Geschwindigkeit Höflichkeit — jede Minute ist ein weiterer Reset-Code, der bei jemand anderem ankommt.

2. 02
   Sichere zuerst dein Geld

   Bank, dann jede Börse oder jedes Wallet mit Custodial-Login. Sperre Karten und stoppe Überweisungen, bevor du dich um dein E-Mail-Postfach kümmerst.

3. 03
   Ändere Passwörter von einem sauberen Gerät aus

   E-Mail vor allem anderen, dann alles, was SMS-Codes genutzt hat. Nutze einen Laptop oder ein zweites Handy, nicht das Gerät, das gerade seine Leitung verloren hat.

4. 04
   Baue die Zwei-Faktor-Authentifizierung richtig neu auf

   Sobald du die Nummer zurückhast, stelle diese Konten auf eine Authenticator-App oder einen Schlüssel um, damit derselbe Angriff nächsten Monat nicht wiederholt werden kann.

Die eSIM-spezifischen Betrugsmaschen, die es tatsächlich gibt, sind keine Angriffe auf den Chip. Es sind die gewöhnlichen Internetbetrügereien, nur angepasst: ein Shop, der die Zahlung nimmt und nichts liefert, ein QR-Code, der ein Profil von jemandem installiert, den du nicht ausgewählt hast, ein Support-Konto, das in deinen Antworten auftaucht und Hilfe anbietet.

• Scanne nur Codes, um die du selbst gebeten hast. Ein QR-Code aus einer Nachricht, einer Forenantwort oder einem Aufkleber im Hostel ist eine Einladung, ein Profil zu installieren, das ein Fremder kontrolliert. Es kann deine anderen Profile nicht lesen, aber es kann deinen Datenverkehr tragen.
• Behandle einen ungenutzten Code wie Bargeld. Vor der Installation ist er ein Inhabergutschein — wer ihn fotografiert, kann das Paket anstelle von dir installieren. Installiere ihn zeitnah, dann spielt es keine Rolle mehr.
• Kaufe im echten Shop. Weiterverkauf ist zu einem eigenen kleinen Gewerbe geworden: dasselbe Paket, aufgeschlagen, verkauft über eine Nachahmerseite, bei der es hinterher keinen Weg zum Support gibt.
• Niemand Seriöses braucht dein Token. Ein Support, der nach dem Code fragt, der dein Konto ist, ist kein Support. Unserer ist die Zeichenfolge XXXX-XXXX-XXXX-XXXX, die du bei der Anmeldung gespeichert hast, und sie sollte niemals irgendwo eingetippt werden außer im Login-Feld.
• Prüfe die Domain, bevor du zahlst, besonders auf dem Handy, wo die Adressleiste halb versteckt ist. Zahlungsseiten sind nicht ohne Grund die am häufigsten geklonten Seiten im Internet.

Dieselbe Ehrlichkeit, die wir bei der Privatsphäre anwenden, gilt auch hier. Die Telefonnummer zu entfernen beseitigt eine Kategorie von Angriffen vollständig – und lässt die anderen genau dort, wo sie waren.

• Ein kompromittiertes Gerät bleibt kompromittiert. Malware mit Blick auf deinen Bildschirm liest Authenticator-Codes genauso leicht wie SMS. Keine SIM-Technologie hilft dagegen.
• Phishing funktioniert weiterhin. Die häufigste Kontoübernahme ist immer noch jemand, der ein echtes Passwort in eine überzeugende Fake-Seite tippt. Passkeys und Hardware-Schlüssel wehren das ab; eine Daten-eSIM tut das nicht.
• Das Netz sieht weiterhin die Form deines Datenverkehrs. Anonymer Kauf ist kein verschlüsselter Transport — das Argument steht in voller Länge in was eine anonyme eSIM verbirgt – und was nicht.
• Deine Hardware bleibt identifizierbar. Handys melden sich bei Funkmasten, ganz gleich, welches Profil installiert ist, wie der Ratgeber zur Nachverfolgbarkeit darlegt.
• Nicht vertrauenswürdige Netze bleiben nicht vertrauenswürdig. Eine gehärtete Leitung nützt nichts gegen das Hotel-WLAN, dem du dich danach anschließt — dieses Risiko hat einen eigenen Ratgeber.

Einfach gesagt: Eine reine Daten-eSIM entfernt das Gut, hinter dem SIM-Swap-Angreifer her sind, und eine Portsperre schützt die Nummer, die du noch behältst. Zusammen schließen sie die Lücke, die Menschen echtes Geld kostet. Wenn du die Verbindungsseite davon heute willst: Die Länderpakete stehen auf der Seite mit den Reisezielen, und der Kauf dauert etwa fünf Minuten — ohne Namen, ohne E-Mail und ohne Karte.