Für Krypto-Konten sollte SMS nicht der primäre zweite Faktor sein. Ein SIM-Swap-Angriff kann Kriminellen die Kontrolle über die Telefonnummer verschaffen, die Ihre SMS und Anrufe empfängt. Wenn diese Nummer auch für die Anmeldung bei Ihrer Kryptobörse oder zum Zurücksetzen Ihres Passworts verwendet wird, kann ein per SMS gesendeter Bestätigungscode Ihre Anmeldung nicht mehr bestätigen. Die praktikable Lösung besteht darin, wichtige Konten auf eine phishingresistente Methode umzustellen – in der Regel einen Passkey oder, falls unterstützt, einen Hardware-Sicherheitsschlüssel – und die Wiederherstellungswege entsprechend abzusichern.
Das macht ein Konto nicht unverwundbar. Schadsoftware, ein kompromittiertes E-Mail-Postfach, Social Engineering, unsichere Wiederherstellungsverfahren und ein bereits entsperrtes Gerät können weiterhin gute Gewohnheiten zunichtemachen. Doch die Entfernung von SMS aus dem sensibelsten Bereich schließt eine spezifische und folgenreiche Schwachstelle.
Ein SIM-Swap, auch Portierungsbetrug genannt, liegt vor, wenn jemand Ihre Telefonnummer betrügerisch auf eine fremde SIM- oder eSIM-Karte überträgt. Die US-amerikanische Federal Trade Commission (FTC) rät, in einem solchen Fall umgehend Ihren Mobilfunkanbieter zu kontaktieren, um die Kontrolle über Ihre Nummer zurückzuerlangen. Die Federal Communications Commission (FCC) stuft SIM-Swapping und Portierungsbetrug ebenfalls als Formen des Mobilfunkbetrugs ein.
Der Angreifer muss die SMS-Verschlüsselung nicht knacken. Sein Ziel ist es, die Kontrolle über den Endpunkt zu erlangen: Ihre Telefonnummer. Gelingt ihm dies, kann er Einmalcodes, Nachrichten zum Zurücksetzen des Passworts, Kontobenachrichtigungen und Anrufe, die für Sie bestimmt sind, empfangen. Dies kann insbesondere für Kryptobörsen verheerende Folgen haben, da ein Angreifer versuchen könnte, ein Passwort zurückzusetzen, ein neues Gerät zu genehmigen, Auszahlungseinstellungen zu ändern oder einen unsicheren Wiederherstellungsprozess zu umgehen.
Ein plötzlicher Ausfall des Mobilfunknetzes kann ein Warnsignal sein, ist aber allein kein Beweis. Störungen, Geräteprobleme und Kontoprobleme können auch harmlose Ursachen haben. Behandeln Sie unerwartete Ausfälle von Anrufen, SMS und mobilen Daten als dringend, wenn diese mit ungewohnten Benachrichtigungen zum Zurücksetzen des Passworts, Anmeldewarnungen oder Kontoänderungen einhergehen.
In der Regel ja. Die SMS-basierte Zwei-Faktor-Authentifizierung stellt im Vergleich zu einem Passwort allein immer noch eine zusätzliche Sicherheitsmaßnahme dar. Sie kann einige opportunistische Kontoübernahmen verhindern. Der Fehler besteht darin, sie als letzte Schutzebene für wichtige Vermögenswerte zu betrachten.
SMS birgt Risiken, die für Authentifizierungs-Apps oder Sicherheitsschlüssel nicht in gleichem Maße gelten: SIM-Karten-Tausch, Kompromittierung von Mobilfunkverträgen, Rufnummernmitnahmebetrug sowie Abfangen oder Umleiten von SMS in Telekommunikationssystemen. Die NIST-Richtlinien zur digitalen Identität stufen die Out-of-Band-Authentifizierung über das öffentliche Telefonnetz aufgrund dieser Einschränkungen als eingeschränkte Authentifizierungsmethode ein. CISA empfiehlt eine phishingresistente Multi-Faktor-Authentifizierung (MFA) und erklärt, dass der Rufnummernabgleich eine bessere Alternative zu herkömmlichen Push-Benachrichtigungen oder SMS-basierten Angriffen darstellt, wenn eine stärkere MFA nicht möglich ist.
| Verfahren | Wovor es schützt | Hauptbeschränkung für Krypto-Konten |
|---|---|---|
| SMS-Code | Einige Angriffe, die nur auf Passwörter abzielen | Kann fehlschlagen, wenn die Telefonnummer übernommen wird. |
| Authentifizierungs-App-Code (TOTP) | SIM-Kartenwechsel, weil der Code nicht per SMS zugestellt wird. | Kann weiterhin Opfer von Phishing oder dem Kopieren auf eine gefälschte Website werden; Wiederherstellung und Geräteverlust erfordern Planung. |
| Passkey | SIM-Karten-Tausch und zahlreiche Phishing-Angriffe auf Zugangsdaten | Verfügbarkeit, Gerätezugriff und Backup-Optionen variieren je nach Dienst und Ökosystem. |
| Hardware-Sicherheitsschlüssel | SIM-Kartenwechsel und Phishing-resistente Anmeldung bei Implementierung mit FIDO/WebAuthn | Sie benötigen einen kompatiblen Dienst, einen sicheren Backup-Schlüssel und einen dokumentierten Wiederherstellungsplan. |
Die Tabelle dient als Entscheidungshilfe und behauptet nicht, dass ein einzelner Faktor für jeden ausreichend ist. Bei einem größeren Guthaben sollten Sie die stärkste vom jeweiligen Anbieter unterstützte Methode verwenden und anschließend E-Mail- und Wiederherstellungskanäle mit einem vergleichbaren Standard schützen.
Beginnen Sie mit dem Konto, das alle anderen Konten freischaltet: Ihrem primären E-Mail-Postfach. Wenn der Link zum Zurücksetzen Ihres Exchange-Passworts an dieses Postfach gesendet wird, nützt ein sicheres Exchange-Login wenig, wenn das E-Mail-Konto leicht per SMS zurückgesetzt werden kann. Aktivieren Sie nach Möglichkeit eine Passkey- oder Hardware-Schlüssel-basierte Methode für E-Mails, verwenden Sie ein eindeutiges Passwort und überprüfen Sie Ihre Wiederherstellungs-E-Mail-Adressen, Wiederherstellungs-Telefonnummern und aktiven Sitzungen.
Öffnen Sie anschließend die offiziellen Sicherheitseinstellungen jeder Börse, indem Sie die bekannte Adresse selbst eingeben oder ein vertrauenswürdiges Lesezeichen verwenden – niemals über einen Link in einer SMS, Direktnachricht oder Suchanzeige. Achten Sie auf Begriffe wie „Passkey“, „Sicherheitsschlüssel“, „Hardware-Schlüssel“, „FIDO“ oder „WebAuthn“. Beispielsweise nennt die aktuelle Hilfedokumentation von Coinbase einen Passkey in Kombination mit einem Sicherheitsschlüssel als Backup für den Fall, dass das Telefon verloren geht. Dies ist ein Beispiel für die Optionen eines Anbieters und bedeutet nicht, dass alle Börsen dieselben Einstellungen verwenden.
Verwenden Sie einen primären Passkey oder Sicherheitsschlüssel und eine Backup-Methode, die nicht am selben Ort aufbewahrt wird. Ein zweiter Hardware-Schlüssel an einem sicheren Ort ist oft einfacher, als für jedes Backup dasselbe Smartphone zu verwenden. Registrieren Sie kein Backup-Gerät, das Sie später nicht identifizieren oder kontrollieren können.
Wiederherstellungscodes können nützlich sein, sind aber im Grunde genommen Kontoschlüssel. Bewahren Sie sie offline oder in einem gut geschützten Passwortmanager auf, nicht in einer Cloud-Notiz, einem E-Mail-Entwurf oder einer Screenshot-Galerie. Stellen Sie sicher, dass die Codes vollständig und aktuell sind; manche Dienste ungültig machen ältere Codes, wenn Sie neue generieren.
Löschen Sie nicht zuerst eine SMS-basierte Anmeldemethode und gehen Sie davon aus, dass die neue Methode funktioniert. Registrieren Sie die sicherere Methode, melden Sie sich kontrolliert ab und überprüfen Sie, ob Sie sich von einem normalen Gerät aus wieder anmelden können. Überprüfen Sie auch das Backup, sofern der Dienst dies zulässt. Reduzieren oder entfernen Sie dann die SMS-basierte Anmeldung und Wiederherstellung, wenn der Dienst diese Option anbietet. Einige Dienste benötigen eine Telefonnummer für regulatorische, Benachrichtigungs- oder Wiederherstellungsfunktionen. In diesem Fall sollten Sie die Bedeutung von SMS minimieren und die sicherste verfügbare Anmeldemethode des Dienstes verwenden.
Absolut. Die Aktualisierung der Zwei-Faktor-Authentifizierung (2FA) verringert zwar den Wert einer gestohlenen Nummer, aber Sie können weiterhin Anrufe, persönliche Nachrichten und möglicherweise Benachrichtigungen empfangen. Fragen Sie Ihren Mobilfunkanbieter nach den Schutzmaßnahmen bei SIM-Kartenwechsel und Rufnummernmitnahme, z. B. einer Konto-PIN, einer Rufnummernsperre oder zusätzlicher Verifizierung. Verwenden Sie ein individuelles Passwort für Ihr Mobilfunkkonto. Verlassen Sie sich nicht auf leicht zu erratende biografische Antworten bei Fragen zur Kontoverifizierung.
Beschränken Sie außerdem die öffentliche Preisgabe von Daten, die ein Angreifer zur Identitätsfälschung verwenden könnte. Vermeiden Sie es, Ihr vollständiges Geburtsdatum, Ihre Adresse oder Ihre Mobilfunknummer öffentlich zu veröffentlichen. Seien Sie vorsichtig bei unerwarteten Anrufen oder Nachrichten Ihres Mobilfunkanbieters, in denen nach Kontocodes gefragt wird; kontaktieren Sie den Anbieter stattdessen über eine verifizierte Nummer oder dessen offizielle App.
Die Authentifizierung sichert den Zugang, schützt aber nicht automatisch alle nachfolgenden Aktionen. Aktivieren Sie Auszahlungsadressen-Zulassungslisten, Auszahlungsverzögerungen, Benachrichtigungen für neue Geräte und Transaktionsbestätigungen, sofern Ihr Anbieter diese Funktionen unterstützt. Überprüfen Sie Ihre API-Schlüssel und widerrufen Sie nicht mehr benötigte. Halten Sie nur so viel Geld bereit, wie Sie für den Handel an einer Börse benötigen; die Wahl des Verwahrungsanbieters birgt eigene Risiken und sollte wohlüberlegt sein.
Verwenden Sie für jedes Exchange- und E-Mail-Konto ein einzigartiges, langes Passwort. Ein Passwort-Manager hilft, die Wiederverwendung von Passwörtern zu vermeiden und ähnliche Domains leichter zu erkennen. Lesen Sie vor der Bestätigung einer Anfrage die Geräte- und Standortinformationen. Geben Sie niemals einen Bestätigungscode, Wiederherstellungscode, eine Seed-Phrase oder einen privaten Schlüssel an Anrufer, Chat-Mitarbeiter oder Direktnachrichten-Kontakte weiter.
Reagieren Sie während eines Vorfalls nicht vorschnell auf eingehende Support-Nachrichten. Angreifer nutzen häufig die Dringlichkeit aus. Wenden Sie sich direkt an den Anbieter und verwenden Sie die Kontaktdaten von dessen offizieller Website.
Der Schutz Ihres Kryptokontos hat sich verbessert, wenn eine gestohlene Telefonnummer allein Ihr E-Mail- oder Exchange-Konto nicht zurücksetzen kann; Sie mindestens ein getestetes, unabhängiges Backup besitzen; Wiederherstellungscodes geschützt sind; und Sie erklären können, was Sie tun würden, wenn Ihr Haupttelefon verloren geht. Überprüfen Sie diese Annahmen erneut, wenn Sie Ihr Telefon oder Ihren Mobilfunkanbieter wechseln, einen Sicherheitsschlüssel ersetzen oder eine Kryptobörse ihre Sicherheitseinstellungen ändert.
Praktische Risikoregeln für Kryptoderivate in Bezug auf Hebelwirkung, Positionsgröße, Stopps, Liquidation, Margin, Finanzierung, Korrelation und Wechselkursrisiko.
Einsteigerfreundlicher Leitfaden zum Restaking mit EigenLayer und Symbiotic: Wie Belohnungen generiert werden, woher das Risiko von Slashing-Aktionen kommt und wie man die Möglichkeiten vergleicht.
Erfahren Sie, wie Bitcoin Ordinals und BRC-20-Token funktionieren, warum sie eine Nachfrage nach Blockspace erzeugen, wie sie sich auf die Gebühren auswirken können und was Anfänger vor ihrer Verwendung überprüfen sollten.
Lernen Sie, wie Sie offene Interessen in Verbindung mit Preis, Finanzierung, Volumen und Liquidationen interpretieren, um bullische Hebelwirkung, bärische Hebelwirkung, Schuldenabbau und überbelegtes Risiko zu unterscheiden.
Vergleichen Sie den aktuellen Krypto-Rahmen der US-amerikanischen Börsenaufsichtsbehörde SEC, die EU-MiCA-Regeln und die wichtigsten asiatischen Regelungen in Hongkong, Singapur, Japan und Südkorea (Stand: September 2026).
Lernen Sie, wie Sie eine mögliche Altcoin-Saison anhand der Liquidität von Stablecoins, der Handelsströme, der Netzwerkaktivität und des MVRV einschätzen können – ohne sich auf einen einzigen magischen Indikator zu verlassen.
Verstehen Sie, was die Maßnahmen der SEC gegen Kryptobörsen im Jahr 2026 tatsächlich für Handel, Delisting, Auszahlungen, Verwahrung und Token-Risiko bedeuten.
Vergleichen Sie Arbitrum One, OP Mainnet, Base und ZKsync Era hinsichtlich des Proof-Modells, der Ethereum-Kompatibilität, der Auszahlungen, der Gebühren und der Anwendungsfälle für Einsteiger.
Lernen Sie, wie Sie nach einem starken Markteinbruch Rachehandel stoppen können, indem Sie eine Abkühlphase einlegen, Risikolimits festlegen, eine Checkliste für den Wiedereinstieg verwenden und objektive Regeln für die Zeit nach einem Verlust anwenden.
Vergleichen Sie Solana und Ethereum hinsichtlich des DeFi-TVL bis 2026, der Handelsaktivität und der Entwicklerdynamik. Wir geben Ihnen klare Hinweise darauf, was die einzelnen Kennzahlen aussagen – und was nicht.
