SMS-2FA: Sicherheitsbehörden warnen vor veralteter Authentifizierung
Veröffentlicht am: 19.08.2026 um 00:02 Uhr | Redaktion boerse-global.de
Sicherheitsanalysten identifizieren die SMS-basierte Zwei-Faktor-Authentifizierung (2FA) gegenwärtig als das schwächste Glied in der digitalen Sicherheitskette. Besonders für Nutzer von Kryptowährungsbörsen stellt dieses Verfahren laut Experten ein erhebliches Risiko dar.
Während zusätzliche Sicherheitsebenen grundsätzlich empfohlen werden, weisen aktuelle Untersuchungen darauf hin, dass die Übermittlung von Einmalcodes per Mobilfunknetz keinen ausreichenden Schutz gegen moderne Angriffsszenarien mehr bietet.
Institutionelle Warnungen und technologische Einstufung
Nationale und internationale Sicherheitsbehörden haben ihre Einschätzungen zu SMS-basierten Verfahren bereits angepasst. Das National Institute of Standards and Technology (NIST) stufte SMS-2FA in einer Veröffentlichung im Juli 2025 als eingeschränkten Authentifikator („restricted authenticator“) ein.
Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) bewertet SMS- und TOTP-Verfahren (Time-based One-Time Password) als unzureichend gegenüber Echtzeit-Phishing-Angriffen. Im Gegensatz dazu gelten domain-gebundene Lösungen wie Passkeys oder FIDO2-Standards als resistent gegen derartige Übernahmeversuche.
Trotz eines Rückgangs der durch SIM-Swapping verursachten Verluste — das FBI beziffert diese für das Jahr 2025 auf 17,4 Mio. US-Dollar nach 48,8 Mio. US-Dollar im Jahr 2023 — nehmen spezialisierte Angriffe auf mobile Endgeräte zu.
Die Federal Trade Commission (FTC) registrierte für das Jahr 2024 insgesamt 1.135.291 Meldungen über Identitätsdiebstahl, was einer Steigerung von 9,5 Prozent gegenüber dem Vorjahr entspricht.
Angesichts der Millionen gehackten Konten jedes Quartal wird deutlich, dass herkömmliche Passwörter und SMS-Codes oft nicht mehr ausreichen. Dieser kostenlose Report zeigt Ihnen, wie Sie moderne Passkeys bei Diensten wie Amazon oder WhatsApp einrichten und sich so effektiv schützen. Passkey-Ratgeber jetzt kostenlos herunterladen
Gezielte Malware und koordinierte Kampagnen
Ein im Juni 2026 durch iVerify entdecktes Malware-Tool namens „Octagon“ verdeutlicht die Bedrohungslage für Android-Nutzer. Die Software wird nach Branchenberichten für einen Preis von 1.400 US-Dollar pro Monat vertrieben und mit einem russischsprachigen Akteur namens „AndroidKitKat“ in Verbindung gebracht.
Die Malware missbraucht Bedienungshilfen-Funktionen des Betriebssystems, um Overlays zu erstellen und Fernsteuerungszugriff zu erhalten. Ziel dieser Angriffe ist das Abfangen von SMS-Einmalcodes für Kontoübernahmen bei Instituten und Börsen wie Binance, MEXC oder Trust Wallet.
Parallel dazu beobachten Sicherheitsforscher von Rapid7 koordinierte Aktionen wie die „Operation ASTERIX“. Diese Kampagne kombiniert Phishing, Vishing und manipulierte Wallet-Apps. Ein exponierter Server der Angreifer enthielt umfangreiche Datenbanken, darunter 316.002 deutsche Mobilfunknummern, die zur Identifizierung von 43.066 Krypto-Konten bei Plattformen wie Kraken, Ledger, Crypto.com und Binance genutzt wurden.
Datenlecks und Umgehung von Sicherheitsmaßnahmen
Praxisbeispiele der letzten Monate zeigen die Anfälligkeit etablierter Systeme. Ende Juli 2026 kam es bei RingCentral zu einem Datenleck, bei dem durch einen Vishing-Angriff 1,6 Mio. Datensätze kompromittiert wurden.
Darunter befanden sich Namen, E-Mails und Telefonnummern. Die Angreifer der Gruppe ShinyHunters konnten dabei die Multi-Faktor-Authentifizierung (MFA) mittels Einmalpasswörtern in Echtzeit überbrücken. Insgesamt wurden 623 GB an Daten exfiltriert.
Wer sich vor solchen gezielten Angriffen auf das Smartphone schützen möchte, sollte die grundlegenden Sicherheits-Einstellungen seines Geräts kennen. Ein gratis PDF-Ratgeber zeigt Ihnen 5 einfache Schritte, mit denen Sie Ihr Android-Smartphone sofort wirksam gegen Hacker absichern. 5 Schutzmaßnahmen für Android-Smartphones entdecken
Auch individuelle Fälle sorgen für Aufmerksamkeit. Ein Nutzer der Börse Gate.io lobte im Juli 2026 eine Belohnung von 100.000 US-Dollar für Hinweise aus, nachdem 1,7 Mio. US-Dollar von einem vermeintlich vollständig gesicherten Konto entwendet worden waren. Der CEO des Unternehmens stellte daraufhin 3,4 Mio. US-Dollar on-chain für eine mögliche Entschädigung bereit.
Zusätzlich wurden Mitte August 2026 Sicherheitsvorfälle bei den Anbietern SafePal (39.798 Datensätze), Trezor (13.689 Datensätze) und Bits of Gold (ca. 200.000 Datensätze) bekannt.
Diese Lecks resultierten teilweise aus Schwachstellen bei Drittanbietern, wobei in zwei Fällen die kritische Sicherheitslücke CVE-2026-72898, eine SQL-Injection in Metabase mit einer Bewertung von 10.0, eine Rolle spielte.
Neben digitalen Angriffen verzeichneten Sicherheitsforscher im ersten Halbjahr 2026 zudem 52 Fälle von physischen Angriffen (Wrench-Attacken), was einer Steigerung von 33 Prozent gegenüber dem Vorjahr entspricht.
