eSIM-Sicherheit: Mythen und die echten Risiken

Eine eSIM ist im Großen und Ganzen so sicher wie eine physische SIM, und die meisten Schauergeschichten darüber sind Mythen. Aber ehrlich heißt ehrlich in beide Richtungen: keine Technik ist gegen jeden Angriff gefeit, und ein paar echte Vorsichtsmaßnahmen lohnen sich. Dieser Artikel sortiert die üblichen Sorgen auf zwei Stapel: die Mythen, wegen derer du nicht mehr wach liegen musst, und die Gewohnheiten, die dich wirklich schützen. Keine davon verlangt technisches Können; die meisten laufen darauf hinaus, einen QR-Code so sorgfältig zu behandeln wie ein Passwort.

Die realistische Bedrohung ist nicht der Einbruch in den Chip aus der Ferne, sondern dass jemand dich täuscht. eSIM-Profile werden über das standardisierte Verfahren der GSMA ausgeliefert, bei dem sich Server und Sicherheitschip gegenseitig authentifizieren und das Profil verschlüsselt unterwegs ist. Nichts ist je nachweislich unhackbar, und Forschende klopfen jedes System immer wieder ab, aber es ist kein praktischer Angriff bekannt, bei dem eine fremde Person einfach über die Luft ein Profil auf deinem Handy installiert oder von dort stiehlt. Die Angriffe, die tatsächlich passieren, sind altmodisch: Phishing-Mails, gefälschte Anbieterseiten und gestohlene QR-Codes. Die Schwachstelle ist der Mensch, nicht der Chip.

Eine eSIM fügt kein Tracking hinzu, das eine physische SIM nicht ohnehin schon hätte. Jedes Handy, das mit einem Mobilfunknetz verbunden ist, lässt sich von diesem Netz auf Funkzellen-Ebene orten; genau so leiten Mobilfunknetze deine Anrufe und Daten weiter, und das funktioniert bei beiden SIM-Arten identisch. Der eSIM-Standard bringt keinen zusätzlichen Standortkanal mit, keine versteckte Meldung und keine Möglichkeit für den Verkäufer des Profils, deine Bewegungen zu beobachten. Wenn dich Ortung auf Netzebene beschäftigt, lautet die ehrliche Antwort: Sie gehört zum Besitz eines Handys, nicht zur Wahl einer eSIM.

Nein. Es gibt am Gate oder am Grenzschalter kein Gerät, das die Profile auf dem Chip deines Handys ausliest. Profile liegen in der eUICC, dem Sicherheitschip, und werden nicht nach außen gefunkt, damit Geräte in der Nähe darin blättern könnten. Was Grenzbeamte tun können, ist das, was sie immer schon konnten: darum bitten, dein entsperrtes Handy zu sehen, in dem die eSIM-Liste in den Einstellungen sichtbar ist wie jede andere Einstellung auch. Das ist eine Frage des örtlichen Rechts und deiner eigenen Entscheidungen an der Grenze, und es gilt genauso für eine physische SIM im Kartenschlitten.

Du kannst ein eSIM-Profil jederzeit löschen, direkt in den Einstellungen. Der Chip bleibt im Handy (er ist fest verlötet), aber das Profil darauf entfernst du mit ein paar Fingertipps. Der ehrliche Vorbehalt: Das Löschen ist oft endgültig. Weil der ursprüngliche QR-Code bei der Installation verbraucht wurde, lässt sich ein gelöschtes Profil meist nicht wieder hinzufügen, ohne dass der Anbieter es neu ausstellt. Der Mythos steht also auf dem Kopf: Entfernen ist einfach, und der eigentliche Rat lautet, ein Profil mit übrigem Datenvolumen oder Restlaufzeit nicht zu löschen, wenn du es nicht wirklich willst.

Drei Gewohnheiten decken die echten Risiken ab. Erstens: Hüte einen noch nicht eingelösten QR-Code wie ein Passwort. Wer ihn zuerst einlöst, besitzt das Profil, also poste ihn nicht, leite ihn nicht weiter und lass ihn nicht in einem gemeinsamen Postfach liegen. Zweitens: Lösche deine Profile, bevor du ein Handy verkaufst oder weitergibst, so wie du dich auch aus deinen Konten abmelden würdest. Drittens: Wisse, dass SIM-Swapping (ein Krimineller überredet den Anbieter, deine Nummer umzuziehen) dein Kundenkonto angreift und nicht den Chip, also verhindert es kein SIM-Format; ein starkes Kontopasswort und eine PIN beim Anbieter schützen dich deutlich mehr. Ein seriöser Anbieter wie Goodbars schickt deine eSIM außerdem immer nur an die E-Mail-Adresse, mit der du gekauft hast, nie über Links in unerwarteten Nachrichten.