SIM-Swapping: Bankkonto leer – wer haftet?

SIM-Swapping: Wenn Betrüger Ihre Mobilfunknummer übernehmen

Das Smartphone verliert plötzlich die Verbindung zum Mobilfunknetz. Telefonate sind nicht mehr möglich, SMS kommen nicht mehr an. Vielleicht erscheint zunächst nur „Kein Netz“ oder „Nur Notrufe“.

Was wie eine technische Störung aussieht, kann ein Warnsignal für SIM-Swapping sein.

Bei dieser Betrugsform versuchen Kriminelle, die Mobilfunknummer ihres Opfers unter ihre Kontrolle zu bringen. Gelingt dies, können Anrufe oder SMS unter Umständen auf einer anderen SIM beziehungsweise eSIM ankommen. In Kombination mit zuvor erlangten persönlichen Daten oder Online-Banking-Zugangsdaten kann daraus ein erheblicher finanzieller Schaden entstehen.

Werden anschließend ohne Zustimmung des Kontoinhabers Überweisungen ausgeführt, stellt sich die Frage nach Erstattungsansprüchen gegen die Bank.

Entscheidend ist insbesondere, ob die einzelnen Zahlungsvorgänge autorisiert wurden, welche Authentifizierungsverfahren eingesetzt wurden und ob dem Bankkunden überhaupt eine relevante Pflichtverletzung vorgeworfen werden kann.

Björn-Michael Lange, Fachanwalt für Bank- und Kapitalmarktrecht, vertritt Bankkunden bei erheblichen Schäden durch SIM-Swapping und andere Formen des Online-Banking-Betrugs.

Was ist SIM-Swapping?

Beim SIM-Swapping, auch SIM-Swap oder SIM-Hijacking genannt, übernehmen Täter die Kontrolle über die Mobilfunknummer eines anderen Menschen.

Dafür benötigen sie nicht zwingend die physische SIM-Karte des Opfers.

Stattdessen kann der Angriff darauf abzielen, beim Mobilfunkanbieter eine neue SIM-Karte oder eSIM für die bestehende Telefonnummer aktivieren zu lassen. Wird die bisherige SIM dadurch deaktiviert, verliert das Opfer möglicherweise unvermittelt die Verbindung zum Mobilfunknetz.

Die Täter können die übernommene Mobilfunknummer anschließend für weitere Angriffe verwenden.

Besonders gefährlich wird dies, wenn die Telefonnummer Bestandteil von Authentifizierungs- oder Wiederherstellungsverfahren für Bankkonten, E-Mail-Konten oder andere digitale Dienste ist.

Wie funktioniert ein SIM-Swap?

Der genaue Ablauf kann von Fall zu Fall erheblich variieren.

Häufig benötigen Täter zunächst persönliche Informationen über ihr Opfer. Diese können beispielsweise aus früheren Datenabflüssen, Phishing und Smishing, manipulierten Webseiten oder anderen Betrugshandlungen stammen.

Anschließend versuchen die Täter, die Kontrolle über die Mobilfunknummer zu erlangen.

Ein möglicher Angriff verläuft in mehreren Schritten:

1. Die Täter beschaffen persönliche Informationen des Opfers.
2. Sie versuchen, beim Mobilfunkanbieter eine Ersatz-SIM oder eSIM für die bestehende Nummer zu aktivieren.
3. Die bisherige SIM des Opfers verliert gegebenenfalls ihre Netzverbindung.
4. Anrufe oder SMS können nun über die neu aktivierte SIM empfangen werden.
5. Die Täter nutzen weitere bereits erlangte Zugangsdaten.
6. Sie versuchen, Online-Konten zu übernehmen oder Sicherheitsverfahren zurückzusetzen.
7. Im Zusammenhang mit dem Online-Banking werden anschließend möglicherweise Zahlungen veranlasst.

Nicht jeder SIM-Swap läuft nach diesem Muster. Für eine rechtliche Prüfung sollte deshalb der tatsächliche Angriff möglichst genau rekonstruiert werden.

Woran erkennt man SIM-Swapping?

Ein charakteristisches Warnsignal kann der plötzliche Verlust der Mobilfunkverbindung sein.

Das Smartphone zeigt beispielsweise unerwartet kein Netz mehr an, obwohl am Aufenthaltsort normalerweise Empfang besteht.

Allein daraus lässt sich allerdings noch kein SIM-Swapping ableiten. Auch technische Störungen können einen Netzausfall verursachen.

Besonders ernst genommen werden sollte die Situation, wenn gleichzeitig weitere Auffälligkeiten auftreten, etwa:

• unbekannte Änderungen an Online-Konten,
• unerwartete Sicherheitsnachrichten,
• nicht selbst veranlasste Passwortänderungen,
• ungewöhnliche Aktivitäten im Online-Banking,
• unbekannte Überweisungen,
• Nachrichten über eine neue SIM oder eSIM,
• Verlust des Zugriffs auf E-Mail- oder andere Benutzerkonten.

Treffen mehrere dieser Anzeichen zusammen, sollte schnell gehandelt werden.

Warum ist SIM-Swapping für das Online-Banking gefährlich?

Eine Mobilfunknummer kann Teil verschiedener Sicherheits- und Wiederherstellungsprozesse sein.

Gelingt es Tätern, zusätzlich weitere persönliche Daten oder Zugangsinformationen zu erlangen, kann die Übernahme der Telefonnummer deshalb ein Baustein eines umfassenderen Angriffs werden.

Beim SIM-Swapping im Online-Banking sollte allerdings nicht vorschnell angenommen werden, dass allein die Übernahme der Telefonnummer bereits sämtliche späteren Zahlungsvorgänge ermöglicht hat.

Für die rechtliche Bewertung ist vielmehr entscheidend, welche konkreten Sicherheitsverfahren die Bank eingesetzt hat und wie die einzelnen Zahlungen tatsächlich authentifiziert wurden.

Gerade diese technische Rekonstruktion kann für Erstattungsansprüche entscheidend sein.

SIM-Swapping und SMS-TAN

Besonders naheliegend ist ein Zusammenhang mit Verfahren, bei denen Sicherheitsinformationen per SMS an eine hinterlegte Mobilfunknummer übermittelt werden.

Kontrolliert ein Täter die betreffende Nummer, kann sich die Frage stellen, ob er dadurch eine für einen Zahlungsvorgang erforderliche SMS erhalten konnte.

Rechtlich ist jedoch zwischen Authentifizierung und Autorisierung zu unterscheiden.

Dass eine technisch korrekte TAN verwendet wurde, bedeutet nicht automatisch, dass der Kontoinhaber der betreffenden Zahlung zugestimmt hat.

Deshalb muss geklärt werden:

Wer hat den Zahlungsvorgang veranlasst? Wer hat die TAN erhalten? Wer hat sie verwendet? Und hat der Kontoinhaber dem konkreten Zahlungsvorgang tatsächlich zugestimmt?

SIM-Swapping trotz moderner Banking-App?

SIM-Swapping ist nicht mit jedem Authentifizierungsverfahren in gleicher Weise verbunden.

Moderne Banken verwenden unterschiedliche technische Verfahren. Bei einer separaten Banking- oder Freigabe-App kann deshalb genau zu prüfen sein, welche Rolle die Mobilfunknummer beim konkreten Angriff überhaupt gespielt hat.

Möglicherweise war die Übernahme der Telefonnummer nur ein Bestandteil eines umfassenderen Angriffs.

Zusätzlich können Täter beispielsweise versuchen, Zugangsdaten zu erlangen, Geräte neu zu registrieren oder Wiederherstellungsprozesse auszunutzen.

Deshalb sollte bei einem SIM-Swap nicht allein auf die Mobilfunknummer geschaut werden. Wichtig ist die vollständige technische Kette vom ersten Angriff bis zur einzelnen Kontobelastung.

SIM-Swapping und Kontoübernahme

In komplexeren Fällen kann SIM-Swapping mit einer Kontoübernahme und Identitätsdiebstahl zusammentreffen.

Die Täter verfügen möglicherweise bereits über persönliche Daten, E-Mail-Adressen, Passwörter oder Bankinformationen. Die Übernahme der Mobilfunknummer verschafft ihnen dann einen weiteren Baustein, um Sicherheitsmechanismen zu überwinden.

Für Geschädigte kann dies bedeuten, dass nicht nur das Bankkonto betroffen ist.

Auch E-Mail-Konten, Kundenkonten oder andere digitale Zugänge können kompromittiert worden sein.

Nach einem festgestellten SIM-Swap sollte deshalb geprüft werden, welche weiteren Konten mit der betroffenen Mobilfunknummer verknüpft waren.

Muss die Bank nach SIM-Swapping das Geld erstatten?

Ausgangspunkt für Ansprüche gegen die Bank ist die Frage, ob die betreffenden Zahlungsvorgänge autorisiert waren.

Nach § 675j BGB ist ein Zahlungsvorgang gegenüber dem Zahler grundsätzlich nur wirksam, wenn dieser ihm zugestimmt hat.

Hat ein Täter nach einem SIM-Swap selbst Überweisungen ausgeführt, ohne dass der Kontoinhaber ihnen zugestimmt hat, kann eine nicht autorisierte Zahlung vorliegen.

Für nicht autorisierte Zahlungsvorgänge enthält § 675u BGB eine wichtige Schutzregelung. Der Zahlungsdienstleister hat grundsätzlich keinen Anspruch auf Erstattung seiner Aufwendungen. Wurde das Konto bereits belastet, muss der Zahlungsbetrag grundsätzlich erstattet und der entsprechende Kontostand wiederhergestellt werden.

Das kann einen unmittelbaren Erstattungsanspruch gegen die Bank begründen.

Ob dieser Anspruch im konkreten Fall durchsetzbar ist, hängt allerdings von den weiteren Umständen des Angriffs und möglichen Einwendungen der Bank ab.

Muss ich den Schaden selbst tragen, wenn eine TAN verwendet wurde?

Nicht allein deshalb.

Gerade bei SIM-Swapping besteht die Besonderheit darin, dass ein Täter möglicherweise Zugriff auf Kommunikations- oder Sicherheitsinformationen erhält, ohne dass der Kontoinhaber dies zunächst bemerkt.

Die Verwendung eines korrekten Authentifizierungsmerkmals beantwortet deshalb nicht automatisch die Frage, wer den Zahlungsvorgang tatsächlich autorisiert hat.

Für die Anspruchsprüfung muss rekonstruiert werden, wie die Bank die jeweilige Transaktion authentifiziert hat und wie der Täter die dafür notwendigen Informationen erlangen konnte.

Hier können die Beweislast und Bankprotokolle eine zentrale Rolle spielen.

Was muss die Bank bei SIM-Swapping beweisen?

Bestreitet der Kontoinhaber, die Zahlungen autorisiert zu haben, gelten die besonderen Beweisregeln des Zahlungsdiensterechts.

Nach § 675w BGB muss der Zahlungsdienstleister grundsätzlich nachweisen, dass eine Authentifizierung erfolgt ist und der Zahlungsvorgang ordnungsgemäß aufgezeichnet und verbucht sowie nicht durch eine technische oder sonstige Störung beeinträchtigt wurde.

Von besonderer Bedeutung ist dabei: Die aufgezeichnete Nutzung eines Zahlungsinstruments reicht für sich genommen grundsätzlich nicht zwingend als Nachweis dafür aus, dass der Zahler die Zahlung autorisiert oder seine Pflichten vorsätzlich oder grob fahrlässig verletzt hat.

Bei einem SIM-Swap können deshalb die Authentifizierungsdaten und Bankprotokolle mit den Informationen des Mobilfunkanbieters abgeglichen werden.

Welche Daten des Mobilfunkanbieters können wichtig sein?

SIM-Swapping weist eine Besonderheit gegenüber vielen anderen Formen des Online-Banking-Betrugs auf: Neben den Daten der Bank können auch Informationen des Mobilfunkanbieters für die Rekonstruktion des Angriffs wichtig sein.

Je nach Sachverhalt sollte insbesondere geklärt werden:

• wann die bisherige SIM deaktiviert wurde,
• ob und wann eine Ersatz-SIM oder eSIM aktiviert wurde,
• über welchen Prozess die Aktivierung erfolgte,
• wann der Kunde den Mobilfunkanbieter kontaktierte,
• welche Mitteilungen über den Vorgang vorhanden sind.

Diese zeitlichen Daten können anschließend mit den streitigen Banktransaktionen verglichen werden.

Liegt beispielsweise zwischen einer unbekannten SIM-Aktivierung und den nicht autorisierten Überweisungen nur ein enger Zeitraum, kann dies für die Rekonstruktion des Geschehens relevant sein.

Kann die Bank dem Kunden grobe Fahrlässigkeit vorwerfen?

Auch bei SIM-Swapping kann die Bank versuchen, sich auf grobe Fahrlässigkeit des Kunden zu berufen.

Ob ein solcher Vorwurf berechtigt ist, hängt vom konkreten Angriff ab.

Dabei sollte zunächst geklärt werden, welche Handlung des Bankkunden überhaupt zum Schaden beigetragen haben soll.

Hat der Kunde zuvor Zugangsdaten auf einer gefälschten Bankseite eingegeben? Hat er Sicherheitsinformationen weitergegeben? Hat er Warnungen erhalten und ignoriert? Oder erfolgte die Übernahme seiner Mobilfunknummer ohne eine für ihn erkennbare Mitwirkung?

Diese Unterschiede sind erheblich.

Die bloße Tatsache, dass Täter eine Mobilfunknummer erfolgreich übernommen haben, erlaubt für sich genommen noch keine pauschale Aussage über eine grob fahrlässige Pflichtverletzung des Bankkunden.

Was tun bei Verdacht auf SIM-Swapping?

Wenn das Mobiltelefon plötzlich ohne nachvollziehbaren Grund die Netzverbindung verliert und zugleich verdächtige Kontoaktivitäten auftreten, sollte schnell reagiert werden.

Zu den wichtigsten Sofortmaßnahmen und Maßnahmen zur Beweissicherung gehören:

1. Mobilfunkanbieter kontaktieren: Klären Sie über einen sicheren Kontaktweg, ob eine neue SIM oder eSIM für Ihre Nummer aktiviert wurde.
2. Bank unverzüglich informieren: Melden Sie verdächtige Zahlungsvorgänge und lassen Sie gefährdete Online-Banking-Zugänge sperren.
3. Überweisungsrückruf verlangen: Bereits ausgeführte Überweisungen sollten schnellstmöglich zurückgerufen werden.
4. E-Mail-Konto absichern: Prüfen Sie insbesondere das mit Bank- und Mobilfunkkonten verbundene E-Mail-Konto.
5. Weitere Konten überprüfen: Kontrollieren Sie wichtige Benutzerkonten, bei denen die Mobilfunknummer zur Anmeldung oder Wiederherstellung genutzt wird.
6. Beweise sichern: Bewahren Sie Nachrichten, E-Mails und Mitteilungen von Bank und Mobilfunkanbieter auf.
7. Zeitlichen Ablauf dokumentieren: Notieren Sie insbesondere den Zeitpunkt des Netzausfalls und der unbekannten Zahlungen.
8. Strafanzeige erstatten: Dokumentieren Sie das Aktenzeichen und übermitteln Sie vorhandene Informationen zum Angriff.

Bei einem hohen finanziellen Schaden sollte die Sicherung technischer und zeitlicher Daten möglichst früh erfolgen.

Warum ist eine genaue Chronologie beim SIM-Swap wichtig?

Bei SIM-Swapping können Daten verschiedener Beteiligter miteinander verknüpft werden.

Besonders wichtig ist deshalb eine möglichst präzise zeitliche Rekonstruktion.

Notiert werden sollte beispielsweise:

Wann funktionierte das Mobiltelefon zuletzt normal? Wann fiel das Netz aus? Wann wurde eine neue SIM aktiviert? Wann erfolgte die erste unbekannte Banktransaktion? Wann bemerkte der Geschädigte den Schaden? Wann wurden Bank und Mobilfunkanbieter informiert?

Eine solche Chronologie kann helfen, den Zusammenhang zwischen der Übernahme der Mobilfunknummer und den späteren Zahlungsvorgängen nachvollziehbar darzustellen.

Welche Beweise sollten SIM-Swapping-Opfer sichern?

Neben den üblichen Bankunterlagen können bei SIM-Swapping zusätzliche Nachweise wichtig sein.

Betroffene sollten insbesondere aufbewahren:

• Kontoauszüge mit allen streitigen Zahlungen,
• Schriftverkehr und Ablehnungsschreiben der Bank,
• Mitteilungen des Mobilfunkanbieters,
• Informationen über SIM- oder eSIM-Aktivierungen,
• SMS und E-Mails vor dem Angriff,
• Sicherheits- und Login-Benachrichtigungen,
• Screenshots von Fehlermeldungen oder Netzausfällen,
• Informationen über kompromittierte E-Mail-Konten,
• Strafanzeige und Aktenzeichen,
• eine möglichst genaue Chronologie.

Auch die Beweissicherung beim Mobilfunkanbieter kann bei einem SIM-Swap besondere Bedeutung haben.

Bank lehnt Erstattung nach SIM-Swapping ab – was tun?

Lehnt die Bank eine Erstattung ab, sollte zunächst untersucht werden, wie sie ihre Entscheidung begründet.

Beruft sie sich darauf, dass eine korrekte TAN verwendet wurde? Behauptet sie, die Zahlung sei ordnungsgemäß authentifiziert worden? Wirft sie dem Kunden grobe Fahrlässigkeit vor?

Anschließend sollte diese Argumentation mit dem tatsächlichen Ablauf des SIM-Swaps abgeglichen werden.

Bei einem erheblichen Schaden sind insbesondere folgende Fragen relevant:

Wann wurde die Mobilfunknummer übernommen? Wie wurde die Zahlung authentifiziert? Welche Sicherheitsmerkmale wurden verwendet? Wer hatte zu diesem Zeitpunkt Zugriff darauf? Welche Handlungen des Kunden behauptet die Bank? Welche technischen Nachweise liegen dafür vor?

Eine rein technische Feststellung, dass ein bestimmtes Sicherheitsmerkmal verwendet wurde, ersetzt nicht automatisch die rechtliche Prüfung der Autorisierung und Haftung.

SIM-Swapping oder klassischer Phishing-Betrug?

SIM-Swapping kann als eigenständiger Angriff auftreten, ist aber häufig Teil einer größeren Betrugskette.

Möglicherweise wurden zuvor durch Phishing oder Smishing Zugangsdaten oder persönliche Informationen erlangt. Anschließend wird die Mobilfunknummer übernommen und für einen weiteren Angriff genutzt.

In anderen Fällen kann zusätzlich eine Kontoübernahme stattfinden.

Für die rechtliche Einordnung ist deshalb nicht entscheidend, welcher einzelne Begriff den Betrug am besten beschreibt.

Wichtig ist vielmehr:

Wie gelangten die Täter an die erforderlichen Daten, wie übernahmen sie die Mobilfunknummer und wie wurden anschließend die einzelnen Zahlungen ausgelöst?

Welche Rolle spielt der Mobilfunkanbieter?

Bei einem SIM-Swap steht neben dem Bankkonto auch die Frage im Raum, wie die Täter die Kontrolle über die Mobilfunknummer erlangen konnten.

Je nach Sachverhalt kann deshalb zu prüfen sein, welche Sicherheits- und Identifizierungsprozesse beim Mobilfunkanbieter durchgeführt wurden und ob dort Fehler vorlagen.

Ob daraus eigenständige Ansprüche entstehen, kann nicht pauschal beantwortet werden.

Für einen hohen Schaden sollte die Prüfung jedoch nicht zwingend auf die kontoführende Bank beschränkt werden. Abhängig vom tatsächlichen Angriff können weitere Beteiligte und mögliche Anspruchsgrundlagen relevant sein.

Welche Unterlagen benötigt der Anwalt?

Für die rechtliche Prüfung eines SIM-Swapping-Falls sollten möglichst sowohl die Bankseite als auch die Mobilfunkseite dokumentiert werden.

Hilfreich sind insbesondere Kontoauszüge, Schreiben der Bank, Informationen über die verwendeten Authentifizierungsverfahren, Unterlagen des Mobilfunkanbieters zur SIM-Aktivierung, Sicherheitsnachrichten, E-Mails, die Strafanzeige sowie eine detaillierte Chronologie.

Besonders wichtig ist die zeitliche Verbindung zwischen SIM-Übernahme und Kontobewegungen.

Je genauer sich diese rekonstruieren lässt, desto besser kann geprüft werden, wie die Täter vorgegangen sind und gegen wen Ansprüche in Betracht kommen.

Wie Fachanwalt Björn-Michael Lange SIM-Swapping-Fälle prüft

SIM-Swapping-Fälle können rechtlich und technisch komplex sein, weil Mobilfunk-, Authentifizierungs- und Zahlungsvorgänge ineinandergreifen.

Björn-Michael Lange ist Fachanwalt für Bank- und Kapitalmarktrecht und prüft bei erheblichen finanziellen Schäden insbesondere:

• ob die Zahlungen autorisiert oder unautorisiert waren,
• welche Erstattungsansprüche gegen die Bank bestehen,
• wann und wie die Mobilfunknummer übernommen wurde,
• welche Authentifizierungsverfahren eingesetzt wurden,
• welche Bankprotokolle den Zahlungsvorgang dokumentieren,
• welche Nachweise beim Mobilfunkanbieter vorhanden sind,
• ob der Vorwurf grober Fahrlässigkeit rechtlich trägt,
• ob neben der Bank weitere Anspruchsgegner in Betracht kommen.

Ziel ist eine möglichst vollständige Rekonstruktion des Angriffs, um festzustellen, wer den entstandenen finanziellen Schaden rechtlich zu tragen hat.

Geld durch SIM-Swapping verloren? Ansprüche prüfen lassen

Wenn Täter Ihre Mobilfunknummer übernommen und anschließend Geld vom Bankkonto transferiert haben, sollte die Haftungsfrage nicht allein danach beurteilt werden, ob bei den Zahlungen korrekte Sicherheitsmerkmale verwendet wurden.

Entscheidend ist, wer die einzelnen Zahlungen tatsächlich veranlasst und autorisiert hat.

Bei nicht autorisierten Zahlungen können gesetzliche Erstattungsansprüche gegen die Bank bestehen. Gleichzeitig können die zeitlichen Daten des Mobilfunkanbieters, die Authentifizierungsverfahren der Bank und die Beweislastentscheidend sein.

Auch der mögliche Vorwurf grober Fahrlässigkeit muss anhand des konkreten Angriffs geprüft werden.

Fachanwalt Björn-Michael Lange prüft SIM-Swapping-Fälle mit erheblichen finanziellen Schäden und unterstützt Geschädigte bei der Durchsetzung berechtigter Ansprüche.

Lassen Sie prüfen, wer für Ihren finanziellen Schaden nach dem SIM-Swapping haftet.