eSIM-Hijacking: Forensik gegen den unsichtbaren SIM-Swap
20.07.2026 sim-swapesimmobile-forensicsaccount-takeover
Vom Ladentisch zur Cloud-API
Jahrelang folgte SIM-Swapping einem vertrauten Muster: Ein Betrüger erscheint mit gefälschten Ausweisdokumenten in einem Mobilfunkshop oder überredet einen Call-Center-Mitarbeiter am Telefon, die Rufnummer eines Opfers auf eine neue physische SIM-Karte zu übertragen. Dieses Muster verschwindet gerade. Mit der Umstellung auf eSIM verlagert sich der gesamte Angriff in eine Fernprovisionierung: Ein QR-Code oder ein Self-Service-Portal genügt, und die Nummer wandert in Minuten auf ein Gerät des Angreifers – ganz ohne Filialbesuch. Physische SIM-Diebstähle werden irrelevant, während die Fernprovisionierung Nummernübertragungen schneller, leiser und leichter durch Social Engineering angreifbar macht.
Wie real diese Bedrohung ist, zeigte kürzlich ein Fall, den ein kalifornischer Schiedsrichter verhandelte: Im März 2025 musste T-Mobile 33 Millionen US-Dollar zahlen, nachdem ein SIM-Swap-Angriff Dieben ermöglicht hatte, rund 38 Millionen US-Dollar in Kryptowährung zu stehlen – die Angreifer umgingen dabei das „NOPORT"-Sicherheitsflag, indem sie einen Call-Center-Mitarbeiter überredeten, einen Remote-eSIM-QR-Code auszustellen, obwohl das Konto zusätzliche Sicherheitsmaßnahmen hatte. Dieser Fall etablierte einen wichtigen Präzedenzfall zur Providerhaftung – und zeigt zugleich, dass eSIM keineswegs automatisch sicherer ist, solange der Mensch am anderen Ende der Leitung der schwächste Faktor bleibt.
Auch strafrechtlich ist das Thema hochaktuell: Erst vor wenigen Wochen nahmen polnische Behörden mit Unterstützung von FBI und Homeland Security Investigations vier Mitglieder einer Bande fest, die mit spezialisierter Software und Social Engineering unbefugten Zugriff auf die Infrastruktur von Telekommunikations-Partnerunternehmen sowie auf Mitarbeiter-E-Mail-Konten erlangte, um SIM-Swap-Angriffe durchzuführen, bei denen Telefonnummern der Opfer geklont und übernommen wurden, um SMS-Nachrichten und E-Mail-Kommunikation abzufangen. Die Beute: mehr als fünf Millionen US-Dollar.
Wenn der Angriff im Chip selbst beginnt
Noch beunruhigender für Forensiker ist eine zweite Entwicklung: Sicherheitsforscher haben strukturelle Schwachstellen in eUICC-Chips nachgewiesen, die eSIM-Profile verwalten. Ein Forscher benötigte zunächst physischen Zugriff auf einen Kigen-eUICC, um den privaten kryptografischen Schlüssel zu stehlen, der die eSIM gegenüber dem Mobilfunknetz authentifiziert – von dort aus konnte er beliebige eSIM-Profile im Klartext herunterladen und Schlüssel extrahieren, um bösartige Applets over-the-air zu installieren, ohne einen Sicherheitsalarm auszulösen. Damit verschiebt sich die Angriffsfläche von der Social-Engineering-Ebene auf die Firmware-Ebene des Chips selbst – ein Szenario, in dem klassische Carrier-Protokolle möglicherweise gar keine verdächtige Aktivität zeigen.
Forensische Rekonstruktion: Eine neue Beweiskette
Für Incident Responder bedeutet das eine Verschiebung der Beweisquellen. Die zentrale Timeline lautet: Dienstausfall → SIM-/Port-Wechsel → Login-/Reset-Ereignisse → Abhebungen, wobei Carrier-Benachrichtigungen und -Logs diese Timeline verankern und helfen, die Kausalität zu belegen – dass die Kontrolle über die Nummer Passwort-Resets, SMS-2FA-Interception oder Account-Recovery ermöglichte. Praktisch heißt das für Ermittler:
- Carrier-seitige Artefakte wie CPNI-Anfragen, Port-Historie und Account-Änderungsprotokolle müssen frühzeitig per Aufbewahrungsanordnung gesichert werden, da Telekommunikationsanbieter diese Daten oft nur kurz vorhalten.
- Geräteforensik wird komplexer: Physische SIM-Karten werden zunehmend durch eSIM-Technologie ersetzt, die direkt auf die Hauptplatine des Geräts gelötet ist und nicht physisch entnommen werden kann. Analysten müssen daher auf Backups und Dateisystem-Extraktion ausweichen.
- Korrelation mit Cloud-Sign-in-Logs (Azure AD/Entra ID, Google Workspace) wird zur Pflicht, um den exakten Moment zu identifizieren, an dem SMS-basierte MFA kompromittiert wurde.
- Aggregator-APIs wie SIM-Swap-Lookup-Dienste liefern präventive Signale: Entwickler können die API bei risikoreichen Vorgängen wie Login, Passwort-Reset oder Geldtransfer aufrufen und eine Regel setzen, dass bei einem Swap innerhalb von 24 Stunden App-basierte MFA oder ein Hardware-Key erforderlich ist – jede API-Antwort sollte für die Audit-Beweisführung protokolliert werden.
Fazit
Für Unternehmen mit exponierten Führungskräften ist die Konsequenz klar: SMS-basierte 2FA muss als kompromittierbar gelten, MDM-Systeme sollten Alarm schlagen, sobald ein verwaltetes Gerät eine neue IMSI meldet, und forensische Runbooks müssen carrier-seitige Beweissicherung von Tag eins an einplanen – bevor die Log-Retention der Telekommunikationsanbieter das Zeitfenster für eine belastbare Beweiskette schließt.
← Zurück zur Übersicht