Die SMS, einst ein revolutionäres Kommunikationsmittel, gilt heute als unsicher. Dieser Blogpost beleuchtet die gravierenden Sicherheitslücken der Short Message Service, von fehlender Verschlüsselung über anfällige SS7-Protokolle bis hin zu raffinierten Smishing-Angriffen. Wir erklären, warum SMS-basierte Zwei-Faktor-Authentifizierung nicht mehr ausreicht und welche modernen Alternativen dir einen besseren Schutz deiner Daten bieten. Erfahre, wie du dich vor Cyberkriminellen schützt und deine digitale Kommunikation sicherer machst.
Erinnerst du dich noch an die Zeiten, als eine SMS das Nonplusultra der mobilen Kommunikation war? Kurz, knackig, direkt – und scheinbar harmlos. Doch in einer immer komplexer werdenden digitalen Welt, in der Datensicherheit oberste Priorität hat, rückt die gute alte SMS zunehmend in ein schlechtes Licht. Was viele nicht wissen oder unterschätzen: Die SMS ist alles andere als sicher. Warum das so ist und welche Risiken sich dahinter verbergen, schauen wir uns heute genauer an. Es ist höchste Zeit, die Mythen rund um die vermeintliche Einfachheit der SMS zu entlarven und zu verstehen, warum sie in vielen Kontexten zu einem echten Sicherheitsrisiko geworden ist.
Inhalt
Key Facts: Darum ist SMS unsicher
- Fehlende Ende-zu-Ende-Verschlüsselung: SMS-Nachrichten werden im Klartext übermittelt und können von Dritten abgefangen und gelesen werden.
- Anfälligkeit für SS7-Angriffe: Das veraltete Signalling System No. 7 (SS7)-Protokoll, das SMS nutzt, weist erhebliche Sicherheitslücken auf, die Angreifern das Abfangen von Nachrichten, das Umleiten von Anrufen und sogar das Orten von Geräten ermöglichen.
- SIM-Swapping: Kriminelle können Mobilfunkanbieter dazu bringen, die Telefonnummer eines Opfers auf eine neue SIM-Karte zu übertragen, wodurch sie Zugriff auf SMS-Codes und somit auf Konten erhalten.
- Smishing (SMS-Phishing): Betrüger versenden gefälschte SMS, um Nutzer zum Herunterladen von Malware, zur Preisgabe sensibler Informationen oder zur Überweisung von Geld zu verleiten.
- Unsichere Zwei-Faktor-Authentifizierung (2FA): Obwohl weit verbreitet, ist SMS-basierte 2FA anfällig für Angriffe und gilt als eine der schwächsten Formen der Authentifizierung.
- Dienstleister-Sicherheitslücken: Dienstleister, die SMS in großen Mengen versenden, können Nachlässigkeiten beim Schutz der SMS-Daten aufweisen, was zu Datenlecks führen kann.
Die Achillesferse der SMS: Fehlende Verschlüsselung und das SS7-Protokoll
Die größte Schwachstelle der SMS liegt in ihrer fundamentalen Architektur: Sie wurde nicht für die Anforderungen moderner Datensicherheit entwickelt. Im Gegensatz zu vielen modernen Messaging-Diensten bietet die SMS standardmäßig keine Ende-zu-Ende-Verschlüsselung. Das bedeutet, dass deine Nachrichten im Klartext über die Mobilfunknetze gesendet werden. Stell dir vor, du schickst eine Postkarte statt eines versiegelten Briefes – jeder, der sie in die Finger bekommt, kann sie lesen. Genau das passiert mit deinen SMS. Zwar wird die Nachricht zwischen deinem Handy und dem Mobilfunkanbieter sowie zwischen den Anbietern verschlüsselt, aber nicht Ende-zu-Ende. Das ermöglicht es dem Anbieter in der Mitte, den Inhalt einzusehen.
Ein weiterer kritischer Punkt ist das sogenannte Signaling System No. 7, kurz SS7. Dieses Protokoll ist das Rückgrat der globalen Telefonnetze und wurde bereits 1975 entwickelt. Zu dieser Zeit spielte Sicherheit, wie wir sie heute kennen, kaum eine Rolle. Die Folge: SS7 weist erhebliche und nicht zu behebende Sicherheitsmängel auf. Angreifer können diese Schwachstellen ausnutzen, um SMS-Nachrichten abzufangen, Anrufe umzuleiten, den Standort von Mobiltelefonen zu verfolgen und sogar Anrufe abzuhören. Es ist erschreckend, wie ein Protokoll aus einer anderen Ära noch immer so weitreichende Auswirkungen auf unsere heutige digitale Sicherheit hat. Selbst Messenger, die Ende-zu-Ende-Verschlüsselung nutzen, können indirekt betroffen sein, wenn Angreifer über SS7 die Telefonnummer des Opfers kapern und Nachrichten auf ihr eigenes Gerät umleiten.
Smishing und SIM-Swapping: Wenn die SMS zur Falle wird
Neben den technischen Schwachstellen der SMS selbst nutzen Cyberkriminelle auch menschliche Faktoren aus, um an sensible Daten zu gelangen. Eine der bekanntesten Methoden ist das sogenannte Smishing, eine Kombination aus SMS und Phishing. Dabei geben sich Angreifer in gefälschten Textnachrichten als vertrauenswürdige Personen oder Institutionen aus – zum Beispiel deine Bank, ein Paketdienst oder ein Online-Shop. Das Ziel ist immer dasselbe: dich dazu zu bringen, auf einen schädlichen Link zu klicken, Malware herunterzuladen, vertrauliche Informationen preiszugeben oder Geld zu überweisen. Smishing-Angriffe sind besonders tückisch, weil Menschen Textnachrichten oft als vertrauenswürdiger empfinden als E-Mails und sie unterwegs oft unaufmerksamer sind. Die Zahlen sind alarmierend: Smishing machte im Juni 2026 bereits 35 Prozent aller Phishing-Angriffe aus.
Eine weitere, besonders perfide Angriffsmethode ist das SIM-Swapping. Hierbei überzeugen Kriminelle deinen Mobilfunkanbieter, deine Telefonnummer auf eine von ihnen kontrollierte SIM-Karte zu übertragen. Ist das geschehen, erhalten sie alle für dich bestimmten SMS-Nachrichten und Anrufe. Das ist fatal, denn viele Online-Dienste nutzen SMS für die Zwei-Faktor-Authentifizierung (2FA) oder zum Zurücksetzen von Passwörtern. Mit deiner Telefonnummer und den abgefangenen SMS-Codes können die Angreifer dann problemlos auf deine Bankkonten, E-Mail-Postfächer oder Social-Media-Profile zugreifen. Prominente Beispiele wie der SIM-Swap-Angriff auf den ehemaligen Twitter-CEO Jack Dorsey im Jahr 2019 oder die Coinbase-Angriffe 2021, bei denen Tausende von Kunden Geld verloren, zeigen, wie real und gefährlich diese Bedrohung ist.
2FA per SMS: Eine trügerische Sicherheit und bessere Alternativen
Die Zwei-Faktor-Authentifizierung (2FA) ist ein wichtiges Sicherheitskonzept, das eine zusätzliche Schutzebene jenseits des Passworts bietet. Leider ist die SMS-basierte 2FA, obwohl weit verbreitet, die schwächste Form davon. Viele Dienste nutzen sie, um Einmalpasswörter (OTPs) zu versenden, die zur Bestätigung von Anmeldungen oder Transaktionen dienen. Doch genau diese OTPs können durch SS7-Angriffe oder SIM-Swapping abgefangen werden. Auch Phishing-Angriffe können Nutzer dazu verleiten, ihre SMS-Codes preiszugeben. Der Chaos Computer Club (CCC) konnte sogar zeigen, dass Dienstleister, die SMS in großen Mengen versenden, oft nachlässig mit den Daten umgehen und Angreifer Einblick in Millionen von SMS erhalten können.
Was sind also die Alternativen? Glücklicherweise gibt es wesentlich sicherere Methoden der Zwei-Faktor-Authentifizierung, die du unbedingt nutzen solltest:
- Authenticator-Apps (TOTP): Apps wie Google Authenticator, Microsoft Authenticator, Authy oder Aegis generieren zeitbasierte Einmalpasswörter direkt auf deinem Gerät. Diese Codes werden nicht über das Netz gesendet und sind daher immun gegen SIM-Swapping und SS7-Angriffe.
- Hardware-Sicherheitsschlüssel (FIDO2/WebAuthn): Physische Schlüssel wie YubiKey bieten die höchste Sicherheit, da sie eine physische Interaktion erfordern und phishing-resistent sind.
- Biometrische Authentifizierung: Fingerabdruck- oder Gesichtserkennung kann in Kombination mit anderen Faktoren ebenfalls eine starke Authentifizierungsmethode sein.
Für die allgemeine Kommunikation solltest du auf Messenger mit echter Ende-zu-Ende-Verschlüsselung setzen. Apps wie Signal, Threema oder WhatsApp (das das Signal-Protokoll nutzt) verschlüsseln deine Nachrichten so, dass nur Sender und Empfänger sie lesen können. Selbst Google Messages bietet für RCS-Chats mittlerweile eine Ende-zu-Ende-Verschlüsselung an. Wenn du mehr über sichere Kommunikationswege erfahren möchtest, schau dir unseren Beitrag über Sichere Kommunikation im digitalen Zeitalter an.
Fazit: Die SMS gehört ins digitale Museum
Die Zeiten, in denen die SMS ein unbeschwertes und sicheres Kommunikationsmittel war, sind lange vorbei. Die fehlende Ende-zu-Ende-Verschlüsselung, die gravierenden Schwachstellen des SS7-Protokolls und die ständige Bedrohung durch Smishing und SIM-Swapping machen sie zu einem ernsthaften Sicherheitsrisiko in der heutigen digitalen Landschaft. Insbesondere für sicherheitskritische Anwendungen wie die Zwei-Faktor-Authentifizierung ist die SMS nicht mehr zeitgemäß und sollte durch robustere Methoden wie Authenticator-Apps oder Hardware-Sicherheitsschlüssel ersetzt werden.
Es ist entscheidend, dass wir als Nutzer ein Bewusstsein für diese Gefahren entwickeln und proaktiv handeln, um unsere persönlichen Daten und Konten zu schützen. Das bedeutet, wachsam bei verdächtigen SMS zu sein, niemals auf unbekannte Links zu klicken und, wo immer möglich, auf moderne, Ende-zu-Ende-verschlüsselte Kommunikationslösungen umzusteigen. Die SMS mag nostalgisch sein, aber in puncto Sicherheit gehört sie definitiv ins digitale Museum. Dein digitales Leben ist zu wertvoll, um es alten Technologien anzuvertrauen, die den heutigen Bedrohungen nicht mehr standhalten können. Bleib sicher und informiert – denn deine Daten sind es wert!
FAQ
Warum ist SMS unsicher?
SMS-Nachrichten sind standardmäßig nicht Ende-zu-Ende-verschlüsselt, was bedeutet, dass sie im Klartext übermittelt und von Dritten abgefangen und gelesen werden können. Zudem ist das zugrunde liegende SS7-Protokoll anfällig für Angriffe wie das Abfangen von Nachrichten und SIM-Swapping.
Was ist Smishing?
Smishing ist eine Form des Phishings, bei der Cyberkriminelle gefälschte SMS-Nachrichten verwenden, um Empfänger dazu zu verleiten, Malware herunterzuladen, sensible persönliche Informationen preiszugeben oder Geld zu überweisen.
Was ist ein SIM-Swapping-Angriff?
Bei einem SIM-Swapping-Angriff überzeugen Kriminelle den Mobilfunkanbieter eines Opfers, dessen Telefonnummer auf eine von den Angreifern kontrollierte SIM-Karte zu übertragen. Dadurch erhalten sie Zugriff auf alle SMS und Anrufe, die für das Opfer bestimmt sind, einschließlich 2FA-Codes.
Ist die Zwei-Faktor-Authentifizierung (2FA) per SMS sicher?
Nein, SMS-basierte 2FA gilt als die schwächste Form der Multi-Faktor-Authentifizierung. Sie ist anfällig für SIM-Swapping, SS7-Angriffe und Phishing, da die Einmalpasswörter (OTPs) abgefangen oder durch Social Engineering erbeutet werden können.
Welche Alternativen gibt es zu SMS für sichere Kommunikation und 2FA?
Für sichere Kommunikation eignen sich Messenger mit Ende-zu-Ende-Verschlüsselung wie Signal, Threema oder Google Messages (für RCS-Chats). Für 2FA sind Authenticator-Apps (TOTP) wie Google Authenticator oder Authy sowie Hardware-Sicherheitsschlüssel (FIDO2/WebAuthn) deutlich sicherer als SMS.
