Ist eine eSIM sicher? Sicherheit, Risiken und Checks

Das Wichtigste in Kürze

Eine eSIM ist ein fest in dein Handy eingebauter Chip, den ein Dieb nicht herausnehmen kann. Deshalb bleibt ein gestohlenes Handy meist mit dem Netz verbunden und lässt sich aus der Ferne orten, sperren oder löschen. Betrüger können trotzdem versuchen, deine Nummer zu übernehmen, meist indem sie deinen Mobilfunkanbieter dazu bringen, sie auf eine SIM zu übertragen, die sie kontrollieren (ein SIM-Swap), oder indem sie dir einen gefälschten eSIM-Aktivierungslink schicken, der sie auf ihr Handy überträgt. Richte bei deinem Mobilfunkanbieter eine PIN ein, nutze eine Authenticator-App statt SMS-Codes und installiere eine eSIM nur über die eigene App oder Website deines Anbieters, um geschützt zu bleiben.

Was eine eSIM ist und wie sie geschützt ist

Der technische Name einer eSIM ist eUICC, kurz für „embedded universal integrated circuit card“. Das ist ein kleiner, manipulationssicherer Chip, der bereits fest in deinem Handy verlötet ist. Anders als die Plastik-SIM ist er nicht für immer an einen Betreiber gebunden (deinen Mobilfunkanbieter oder einen eSIM-Anbieter). Er kann mehrere Betreiberprofile speichern und neue in Sekunden herunterladen.

Dieser Download heißt Remote SIM Provisioning, ein Verfahren, das in den eSIM-Spezifikationen der GSMA festgelegt ist. Bevor etwas auf deinem Handy landet, tauschen das Gerät und der Provisioning-Server des Betreibers Zertifikate aus und prüfen sich gegenseitig. Danach wird das Profil für genau diesen einen Chip verschlüsselt. Es landet im Secure Element, einem geschützten Bereich des Chips, den die übrige Software des Handys nicht lesen kann.

Forschende der Aalto-Universität haben das Download-Protokoll der eSIM modelliert und nach Wegen gesucht, wie ein Angreifer eindringen könnte. Laut den von der GSMA veröffentlichten Ergebnissen ist es ausreichend gegen Hacker abgesichert. Die Schwachstellen, die die Analyse fand, setzen alle voraus, dass der Provisioning-Server oder der Chip schon vor dem Download kompromittiert ist.

eSIM und physische SIM: was sich ändert und was nicht

Die FCC bringt den praktischen Unterschied in ihrem eSIM-Leitfaden klar auf den Punkt: Eine eSIM lässt sich nicht stehlen, ohne das Handy zu stehlen. Physische SIM-Karten werden dagegen tatsächlich aus verlorenen Handys entnommen und genutzt, um persönliche Daten und deine Nummer zu stehlen.

Sind eSIMs sicher vor SIM-Swapping, Phishing und anderen Betrugsmaschen?

Eine eSIM kann diese Betrugsmaschen nicht verhindern, eine physische SIM aber auch nicht, denn sie zielen auf deine Konten und nicht auf dein Handy.

SIM-Swaps

Bei einem SIM-Swap gibt sich ein Betrüger als du aus und bringt deinen Mobilfunkanbieter, meist über den Kundenservice, dazu, deine Nummer auf eine SIM zu übertragen, die er kontrolliert. Ab dann gehen deine Anrufe und SMS an ihn, auch die Einmalcodes für deine Bank und dein E-Mail-Konto.

„Ein Dieb, der dein Handy mitnimmt, kann eine physische SIM herausnehmen, in ein anderes Handy stecken und deine Anrufe und SMS-Codes für Bank-Logins, 2FA und Passwort-Resets empfangen. Bei einer eSIM ist das Profil an die sichere Hardware des Handys gebunden. Weil ein Dieb die eSIM nicht entfernen kann, bleibt das Handy meist mit dem Netz verbunden, sodass „Wo ist?“ auf dem iPhone oder „Mein Gerät finden“ es weiterhin orten, sperren oder löschen kann. Die physische SIM herauszunehmen ist oft das Erste, was ein Dieb tut, um ein Handy offline zu nehmen.“

Asım Alp, Mitgründer und CTO, Roamless (über 15 Jahre in der Telekommunikation)

Es gibt auch eine Variante, die sich direkt an eSIM-Nutzer richtet. Betrüger geben sich als dein Mobilfunkanbieter aus und schicken per Anruf oder SMS einen Link, um eine eSIM zu „aktivieren“. Wer darauf klickt, überträgt seine Nummer auf das Handy der Betrüger.

Wie gründlich dein Mobilfunkanbieter prüfen muss, bevor er deine Nummer überträgt, hängt davon ab, wo du lebst:

Egal wo du bist: Frag deinen Mobilfunkanbieter, was er prüft, bevor er deine Nummer auf ein neues Gerät überträgt.

Phishing

Viele Betrugsmaschen beginnen mit Phishing. Betrüger schicken E-Mails und SMS, die aussehen, als kämen sie von einem Unternehmen, dem du vertraust, etwa deiner Bank oder deinem Mobilfunkanbieter, um an deine Passwörter oder Kontodaten zu kommen. SIM-Swapper setzen Phishing auch bei Mitarbeitenden der Mobilfunkanbieter ein, um Zugriff auf dein Konto zu bekommen (FBI).

KI-Betrug

KI macht es noch leichter, sich als jemand anderes auszugeben. Es gab Fälle, in denen Kriminelle mit geklonten Stimmen in Bankkonten eingedrungen sind und mit KI-generierten gefälschten Ausweisen Identitätsprüfungen bestanden haben (FBI).

So schützt du dich vor all diesen Maschen:

• Richte bei deinem Mobilfunkanbieter eine Kunden-PIN oder ein Kennwort ein, und gib es niemandem, der dich anruft und danach fragt.

• Frag, ob dein Anbieter eine Rufnummernsperre oder Portierungssperre anbietet, und schalte sie ein.

• Nutze, wo immer möglich, eine Authenticator-App statt SMS-Codes, und bewahre die Backup-Codes an einem Ort auf, an den du auch ohne dein Handy kommst.

• Klick nicht auf Links in Nachrichten, die du nicht erwartet hast. Öffne stattdessen selbst die App oder Website des Unternehmens.

• Wenn ein Anruf Geld oder einen Code verlangt, leg auf und ruf unter einer Nummer zurück, die du selbst heraussuchst.

• Vereinbare mit deiner Familie ein Codewort oder eine Kontrollfrage, damit du prüfen kannst, ob wirklich sie am Telefon sind.

Kann eine eSIM gehackt werden?

Theoretisch ja, aber der einzige veröffentlichte Angriff auf einen eSIM-Chip für Verbraucher setzte voraus, dass die Angreifer den Chip in der Hand hatten.

2025 hat das Forschungslabor Security Explorations einen eSIM-Chip von Kigen geknackt. Über ein Testprofil konnten die Forschenden den Schlüssel auslesen, der den Chip identifiziert, und damit eSIM-Profile von Mobilfunkanbietern herunterladen.

Um einen solchen Angriff zu wiederholen, bräuchte man aber sowohl den Chip als auch die Zugangscodes des Testprofils, und seitdem wurde er noch weiter erschwert. Kigen hat die Lücke geschlossen, und die GSMA hat ihre Regeln geändert, um genau diesen Weg zu blockieren.

Was dein eSIM-Anbieter sehen kann

Eine Reise-eSIM ist ein Roaming-Produkt. Deine Daten laufen über ein lokales Partnernetz im Rahmen eines Roaming-Abkommens, und dein Anbieter leitet sie weiter. Damit sieht er das, was jeder Mobilfunkbetreiber bei jedem Kunden sieht:

• Welche Funkmasten du genutzt hast

• Ungefähr wann und wo

• Wie viele Daten du verbraucht hast

• Mit welchen Servern du verbunden warst

Die Inhalte sieht er nicht, denn sie sind zwischen deinem Handy und der App oder Website, die du nutzt, verschlüsselt. Dein Mobilfunkanbieter zu Hause hat genau denselben Einblick, wenn du mit seinen Auslandstarifen roamst.

eSIM für Banking und 2FA nutzen

Reise-eSIMs sind reine Daten-eSIMs. Sie haben keine Telefonnummer und können keine normalen Anrufe oder SMS-Codes empfangen.

Damit Banking und Einmalpasswörter (OTPs) im Ausland weiter funktionieren:

• Lass deine SIM von zu Hause aktiv und schalte Daten-Roaming aus. So kommen SMS und Einmalcodes weiter auf deiner gewohnten Nummer an, ohne Roaming-Rechnung.

• Lege die Reise-eSIM als Leitung für mobile Daten fest.

• Stelle wichtige Konten vor dem Abflug auf eine Authenticator-App um und speichere die Backup-Codes.

• Sag deiner Bank Bescheid, dass du verreist, wenn sie das anbietet, denn ein Login aus einem ungewohnten Land kann eine Sperre auslösen.

• Wenn du überall, zu Hause oder im Ausland, Anrufe und SMS-Codes empfangen willst, kannst du dir auch einfach eine Telefonnummer holen, die weder eine physische SIM noch eine eSIM braucht.

Nutze für die Banking-Sitzung selbst mobile Daten statt öffentlichem WLAN. WLAN am Flughafen und im Hotel ist geteilt, wird nicht verwaltet und lässt sich leicht nachahmen. Mobilfunkverkehr ist zwischen deinem Handy und der Technik des Betreibers verschlüsselt, und es gibt kein gemeinsames Netz, in das sich jemand anderes einwählen kann.

So findest du einen eSIM-Anbieter, dem du vertrauen kannst

Genauso wichtig wie die technische Sicherheit ist, wie sehr du einem eSIM-Anbieter vertrauen kannst. Das hängt meist davon ab, wie transparent und fair er ist, was er dir berechnet und welche Daten er sammelt. Prüf zuerst, ob der eSIM-Anbieter:

• Dir sagt, welche lokalen Netze er nutzt. Abdeckung und Geschwindigkeit hängen vom Netz ab, und genau dafür bezahlst du.

• Offen mit Geschwindigkeits- und Fair-Use-Grenzen umgeht. So erlebst du unterwegs keine langsameren Daten, vor denen dich niemand gewarnt hat.

• Klar angibt, wann deine Daten ablaufen. Sonst verlierst du womöglich Daten, die du schon bezahlt hast.

• Einen gut erreichbaren Kundenservice und klare Erstattungsregeln bietet, falls sich deine eSIM nicht installieren oder verbinden lässt.

• Direkt über die eigene Website oder App verkauft. Dann ist dein QR-Code neu und du bekommst den Support des Anbieters.

• Nur die App-Berechtigungen verlangt, die er braucht. Alles darüber hinaus heißt, dass er Daten sammelt, die er nicht braucht.

Wenn ein eSIM-Anbieter diese Informationen schwer auffindbar macht, schau dich lieber woanders um.

Eine globale eSIM, wo immer du bist

Eine globale eSIM von Roamless deckt über 200 Reiseziele ab. Du installierst sie einmal, und sie funktioniert weiter, während du Grenzen überquerst. Deine Credits verfallen nie, also sind die Daten, die du kaufst, bereit, wann immer du sie brauchst, zu Hause oder auf deiner nächsten Reise.

Häufige Fragen zur eSIM-Sicherheit

Kann man eSIMs hacken?

Technisch ist es möglich, eine eSIM zu hacken, aber sehr unwahrscheinlich, dass es dich trifft. Der einzige veröffentlichte Hack eines eSIM-Chips für Verbraucher, 2025 durch das Forschungslabor Security Explorations, setzte voraus, dass die Angreifer den Chip in der Hand hatten und bestimmte Zugangscodes kannten. Der Chiphersteller Kigen hat inzwischen einen Patch veröffentlicht (Security Explorations, Kigen). Die echten Risiken sind Betrugsmaschen, die auf deine Konten zielen, etwa SIM-Swapping und Phishing, und die funktionieren mit einer eSIM genauso wie mit einer physischen SIM.

Kann man eine eSIM klonen?

Nicht im normalen Gebrauch. Beim Herunterladen wird eine eSIM für genau den einen Chip in deinem Handy verschlüsselt. Im einzigen veröffentlichten Fall, in dem Forschende eSIM-Profile kopiert haben, mussten sie zuerst in einen Chip eindringen, den sie physisch in der Hand hatten (Security Explorations).

Kann man eine eSIM orten?

Nicht mehr als eine physische SIM. Jedes eingeschaltete Handy, das mit einem Mobilfunknetz verbunden ist, kann der Betreiber anhand der genutzten Funkmasten ungefähr orten, egal welche Art von SIM darin steckt (EFF).

Ist eine eSIM sicher fürs Online-Banking?

Ja, und die Mobilfunkverbindung ist dafür sicherer als öffentliches WLAN. Eine reine Daten-eSIM für Reisen kann keine SMS-Codes empfangen. Lass also deine Nummer von zu Hause erreichbar oder stelle deine Konten vor der Reise auf eine Authenticator-App um.

Gibt es Gründe, keine eSIM zu nutzen?

Drei praktische. Wenn dein Handy kaputtgeht, kannst du keinen Chip in ein Ersatzgerät stecken, so wie du eine Karte umstecken kannst. Manche Profile lassen sich nur begrenzt oft neu installieren. Und in einigen wenigen Ländern ist der Kauf vor Ort umständlich.

In welchen Ländern sind eSIMs nicht erlaubt?

eSIMs funktionieren in den meisten Ländern, aber einige schränken ein, wie du sie kaufst oder nutzt. In der Türkei sind die Websites und Apps vieler internationaler eSIM-Anbieter gesperrt. Reise-eSIMs verbinden sich aber über lokale Netze, daher funktioniert eine eSIM, die du vor der Ankunft in der Türkei installiert hast, ganz normal. In Russland wird mobiles Internet auf ausländischen SIM-Karten, auch auf eSIMs, Berichten zufolge nach der Ankunft für 24 Stunden gesperrt. Und Handys aus Festlandchina unterstützen eSIM erst seit Oktober 2025. Wenn du deins dort gekauft hast, prüf also, ob es eSIM unterstützt.

Was passiert mit meiner eSIM, wenn mein Handy verloren geht oder gestohlen wird?

Das Profil lässt sich nicht aus dem Gerät entfernen, und eine Fernlöschung löscht es zusammen mit allem anderen. Du kannst aber die eSIM beim Zurücksetzen des Handys behalten. Ruf außerdem deinen Mobilfunkanbieter an, um die Leitung sperren zu lassen, denn ein Angreifer hätte es auf das Konto abgesehen.

Kann mein eSIM-Anbieter sehen, was ich im Internet mache?

Er sieht das, was jeder Mobilfunkbetreiber sieht: Datenmengen, Zeitpunkte, ungefähren Standort und welche Server du kontaktiert hast. Die Inhalte sieht er nicht, denn sie sind zwischen deinem Handy und der Website verschlüsselt. Dein Mobilfunkanbieter zu Hause sieht beim Roaming dasselbe.

Ist eine eSIM sicherer als eine physische SIM?

Bei Diebstahl ja, weil es keine Karte zum Herausnehmen gibt. Bei allem anderen sind beide gleich, denn angegriffen werden dein Kundenkonto beim Mobilfunkanbieter und deine Passwörter, und die ändern sich nicht, wenn sich die Karte ändert.

Glossar

eUICC: der eingebaute Chip, auf dem eine eSIM liegt. Die Hardware.

Secure Element: der geschützte Teil dieses Chips, in dem Zugangsdaten gespeichert sind, abgeschottet von der übrigen Software des Handys.

eSIM-Profil: die Zugangsdaten des Betreibers, die auf den Chip heruntergeladen werden. Sie machen dein Handy zum Kunden eines bestimmten Netzes.

Remote SIM Provisioning: das von der GSMA festgelegte Verfahren, mit dem ein Profil drahtlos bereitgestellt wird.

IMSI: die Teilnehmerkennung, mit der ein Netz deine Anrufe und SMS zustellt. Genau das verschiebt ein SIM-Swap.

SM-DP+: der Provisioning-Server des Betreibers, also die Adresse, die dein Handy kontaktiert, um ein Profil abzurufen.

TOTP: der wechselnde sechsstellige Code aus einer Authenticator-App. Deshalb ist sie besser gegen SIM-Swapping geschützt als SMS.