Sichern Sie Ihr Mobilfunkkonto mit zwei getrennten Zugangsdaten: einem eigenen Passwort für das Kundenportal und einem Kundenkennwort, einer Service-PIN oder einer Kundenkennzahl für Anrufe beim Anbieter und andere Serviceanfragen.
Wenn ein SIM-Tausch gelingt, wird Ihre Rufnummer auf eine SIM-Karte übertragen, die jemand anderes kontrolliert. Diese Person kann dann Ihre SMS und Anrufe empfangen, darunter Bestätigungscodes. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) nennt den SIM-Tausch ausdrücklich als Risiko für SMS-TANs, also Einmalcodes, die per SMS an eine Rufnummer gesendet werden.
Portal und Service getrennt schützen
Verwenden Sie für das Kundenportal ein langes, eigenes Passwort, das Sie bei keinem anderen Dienst nutzen. Ein Passwortmanager hilft dabei, für jedes Konto ein anderes Passwort zu speichern. Das BSI empfiehlt unterschiedliche Passwörter für Onlinekonten und rät dazu, verfügbare zusätzliche Anmeldeverfahren zu nutzen.
Richten Sie beim Mobilfunkanbieter eine zusätzliche Anmeldebestätigung ein, wenn das Kundenportal sie anbietet. Eine SMS kann dabei einen weiteren Schritt beim Login bilden, schützt aber nicht zuverlässig, wenn jemand Ihre Rufnummer übernimmt. Das BSI bewertet SMS als anfällig für bestimmte Angriffe. Auch ein Code aus einer Authentifizierungs-App ist nicht automatisch vor Phishing geschützt: Betrüger können Anmeldedaten und Codes in Echtzeit abfangen. Gegen diesen Angriffstyp schätzt das BSI die FIDO2-Anmeldung als sicherer ein. Dabei melden Sie sich mit einem Sicherheitsschlüssel oder einer Gerätefunktion an. Das gilt, wenn der Dienst FIDO2 korrekt umsetzt und anbietet.
Das Service-Kennwort ist ein eigener Schutz für Kontakte mit dem Anbieter. Es ersetzt weder das Passwort für den Portal-Login noch die SIM-PIN am Smartphone. Die SIM-PIN schützt die SIM-Karte vor Nutzung nach einem Geräte-Neustart; sie verhindert keinen Zugriff auf Ihr Kundenportal und schützt nicht vor einem SIM-Tausch durch den Anbieter.
Service-Kennwörter bei Telekom, Vodafone und O₂
Telekom, Vodafone und O₂ verwenden unterschiedliche Bezeichnungen und Abläufe. Prüfen Sie in Ihrem Kundenportal oder auf der offiziellen Hilfeseite, welches Kennwort für Ihren Vertrag gilt und bei welchen Vorgängen der Anbieter es abfragt.
| Anbieter | Offiziell beschriebenes Verfahren |
|---|---|
| Telekom | Das Kundenkennwort dient laut Telekom zur telefonischen Authentifizierung beim Mobilfunk-Service. Sie können es über ein Kontaktformular einrichten, ändern oder löschen lassen. |
| Vodafone | Die sechsstellige Service-PIN wird laut Anbieter für Hotline-Kontakte, Vertragsdatenänderungen im Shop und bestimmte Online-Vorgänge genutzt. Bei Hotline-Anrufen werden zwei Ziffern abgefragt. Für bestimmte Änderungen in MeinVodafone, darunter ein eSIM-Tausch, ist außerdem ein Aktivierungscode nötig. Vodafone weist darauf hin, dass das Kundenkennwort vorerst weiter gebraucht wird. |
| O₂ | Bei Laufzeitverträgen gilt eine vierstellige Persönliche Kundenkennzahl, bei Prepaid eine sechsstellige Hotline-PIN. O₂ nennt auch den PUK als mögliche alternative Identifizierung im Kontakt mit dem Service. Die Möglichkeiten, eine Kundenkennzahl einzusehen oder zu ändern, hängen von den Voraussetzungen des jeweiligen Vertrags ab. |
Diese Angaben beschreiben nur die Verfahren, die die Anbieter öffentlich nennen. Sie zeigen nicht, ob ein Anbieter das Service-Kennwort bei jeder Kontenänderung abfragt oder damit einen unberechtigten SIM- oder eSIM-Tausch verhindert. Die Angaben reichen auch nicht aus, um die Anbieter verlässlich zu vergleichen.
Bewahren Sie Ihr Kundenkennwort vertraulich und getrennt von Ihren Vertragsunterlagen auf. Das gilt ebenso für PIN, PUK und Aktivierungscode. Geben Sie diese Daten nicht an Personen weiter, die unerwartet anrufen oder schreiben. Mit Aktivierungscodes lassen sich bestimmte Änderungen freischalten. O₂ nennt den PUK als mögliche Alternative zur Identifizierung beim Service.
Codes am Telefon nicht weitergeben
Die Bundesnetzagentur warnt vor Anrufen von Personen, die sich als Beschäftigte eines Mobilfunkanbieters ausgeben und Kundendaten oder Kundenkennwörter verlangen. Wenn Sie unerwartet kontaktiert werden, nennen Sie weder Ihr Service-Kennwort noch einen Bestätigungscode. Beenden Sie das Gespräch. Rufen Sie den Anbieter über eine bekannte offizielle Nummer an oder öffnen Sie direkt sein Kundenportal.
Prüfen Sie auch Nachrichten mit Links genau. Melden Sie sich nicht über einen Link in einer unerwarteten Nachricht an, sondern öffnen Sie die Anbieter-App oder geben Sie die bekannte Adresse selbst ein. Auch wenn tatsächlich eine Sicherheitsprüfung ansteht, nennen Sie einem Anrufer nicht Ihr vollständiges Kennwort.
Bei Empfangsausfall schnell handeln
Ein plötzlicher Verlust des Mobilfunkempfangs kann viele Ursachen haben. Tritt er ohne erkennbaren Grund auf und erhalten Sie zugleich Hinweise auf Änderungen an Ihrem Vertrag oder Kundenkonto, behandeln Sie den Empfangsausfall als Warnsignal. Bei einem erfolgreichen SIM-Tausch verliert die bisherige SIM den Anschluss.
Kontaktieren Sie den Anbieter dann über einen unabhängigen Weg, etwa von einem anderen Telefon aus, und lassen Sie die SIM oder den Anschluss prüfen und gegebenenfalls sperren. Verlassen Sie sich nicht auf eine SMS-Bestätigung, wenn Sie keine SMS mehr empfangen. Die Telekom beschreibt beispielsweise eine SIM-Sperre über App oder Kundencenter; für diesen Onlineweg ist ein SMS-Code vorgesehen. Wenn der SMS-Empfang bereits ausgefallen ist, verweist die Telekom auf ihr Service-Team. Andere Anbieter können abweichende Abläufe haben.
Sichern Sie außerdem Konten, bei denen Sie SMS-Codes zur Anmeldung oder Wiederherstellung nutzen. Ändern Sie deren Zugangsdaten über die offiziellen Kanäle der jeweiligen Dienste und melden Sie einen konkreten Betrugsverdacht oder finanziellen Schaden der Polizei. Die Bundesnetzagentur weist darauf hin, dass mögliche Straftaten von den Strafverfolgungsbehörden verfolgt werden.
SIM-Tausch und Rufnummernmitnahme beachten
Der Anbieter legt fest, welche Identitätsprüfungen bei einer Ersatz-SIM gelten. Das gilt auch für einen eSIM-Wechsel und eine Rufnummernmitnahme. Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit nennt diese Vorgänge in ihrer Checkliste zum Umgang mit Kundendaten. Die Checkliste zeigt jedoch nicht, welche Kontrollen ein einzelner Anbieter tatsächlich einsetzt.
Sehen Sie daher in den aktuellen Hilfeseiten Ihres Anbieters nach, wie Sie SIM- und eSIM-Wechsel absichern und im Notfall sperren lassen. Verlassen Sie sich nicht allein auf ein Service-Kennwort: Die öffentlich beschriebenen Verfahren legen nicht vollständig offen, welche Prüfungen bei jedem Wechsel greifen.
