Carrier Star-Code (*72) Anrufweiterleitungs-Hijacking und Voicemail-PIN-Übernahme¶

Entdecken Sie, dass Ihr WhatsApp-, Signal-, Telegram-, Google- oder Bankkonto gerade übernommen wurde, während Ihr Mobiltelefon im Gegensatz zu einem herkömmlichen Gerät noch über volle 5G- oder LTE-Signalleisten verfügt SIM-Tausch Wenn Ihr Telefon plötzlich auf „Kein Dienst/Nur SOS“* fällt, ist das klassische Kennzeichen eines Carrier Star-Code (*72 / *21*) Call Forwarding Hijack oder eine Standard-Voicemail-PIN-Kontoübernahme. Jeder Mobilfunknetzbetreiber auf der Erde unterstützt veraltete SS/USSD-Wählcodes (Supplementary Service), die von Festnetz-Telefonvermittlungsstellen übernommen wurden (*72, *71, *90, *92 auf nordamerikanischen CDMA/Bell-Style-Netzwerken wie Verizon und **21*, **61*, **62*, **67* in globalen GSM/3GPP-Netzwerken wie AT&T, T-Mobile, Vodafone, O2, Rogers und Telstra). Wenn diese Codes gewählt werden, weisen sie den Kernnetzschalter Ihres Mobilfunkanbieters an, Ihre eingehenden Sprachanrufe (oder unbeantworteten/besetzten Anrufe) stillschweigend an eine nach dem Code angegebene externe Telefonnummer umzuleiten, bevor ein Anruf Ihr Mobilteil erreicht.

Angreifer nutzen diese zelluläre Signalarchitektur durch zwei verheerend einfache Tricks aus. In Spiel Nr. 1 („Social-Engineered Star-Code Dialing**) bringt Sie ein Betrüger, der sich als Bankbetrugsabteilung, Zustellfahrer, Mitarbeiter eines Versorgungsunternehmens oder Google Voice-Käufers ausgibt, zum Wählen *72 oder **21* gefolgt von einer 10-stelligen Nummer (die vorgibt, dass es sich um einen „Sicherheitsverifizierungscode“, eine „Badge-ID“ oder einen „Anrufzusammenführungscode“ handelt), die sofort 100 Prozent Ihrer eingehenden Anrufe an das Brennertelefon des Angreifers weiterleitet. In Spiel Nr. 2 („Nighttime Voicemail Box Takeover“) spricht der Angreifer nicht einmal mit Ihnen: Um 03:00 Uhr morgens, während Sie schlafen (oder während Sie Ihren Bildschirm mit Spam-Anrufen überfluten, sodass Sie auf „Ablehnen“ klicken), löst der Angreifer die automatische Sprachüberprüfungsoption „Ruf mich stattdessen an“ auf WhatsApp, Signal, Telegram oder einem E-Mail-Anbieter aus. Da Sie nicht antworten, wird der automatisierte Sprachroboter, der Ihren 6-stelligen Anmeldecode vorliest, direkt an die Voicemail-Box Ihres Mobilfunkanbieters weitergeleitet, in die sich der Angreifer dann aus der Ferne mithilfe von Anrufer-ID-Spoofing einwählt (SpoofCard / SIP-Trunking) oder die standardmäßige werkseitige Voicemail-PIN Ihres Mobilfunkanbieters (0000, 1234oder die letzten 4 Ziffern Ihrer Telefonnummer), um die Aufzeichnung abzuspielen und Ihr Konto zu kapern.

Wenn Sie sich in unmittelbarer körperlicher Gefahr befinden oder einer Erpressung ausgesetzt sind, rufen Sie Ihre örtliche Notrufnummer an (911 in den Vereinigten Staaten und Kanada, 112 in der gesamten Europäischen Union, 999 im Vereinigten Königreich) oder konsultieren Sie unser internationales Verzeichnis Notrufnummern. Befolgen Sie die nachstehenden Schritte zur sofortigen Stornierung der Weiterleitung durch den Mobilfunkanbieter und zur Kontowiederherstellung.

Tun Sie dies jetzt¶

1. Öffnen Sie JETZT die Wähltastatur Ihres Telefons und wählen Sie die universellen Sperrcodes des Mobilfunkanbieters, um sowohl die bedingungslose als auch die bedingte Anrufweiterleitung zu deaktivieren: Verlassen Sie sich nicht nur auf das Menü „Einstellungen“ Ihres iPhones oder Android, in dem CDMA oder bedingte Anrufe auf Netzbetreiberebene häufig nicht angezeigt werden (Busy / No Answer / Unreachable) Weiterleitungsregeln. Öffnen Sie Ihre Telefon-App und wählen Sie nacheinander alle drei dieser Stornierungssequenzen, drücken Sie nach jeder Sequenz die grüne Anruftaste und warten Sie 5 Sekunden auf den Bestätigungston oder das Popup-Fenster:
2. Wählen ##002# und drücken Sie Anrufen: Der universelle 3GPP/GSM-Master-Löschcode (funktioniert auf AT&T, T-Mobile, Rogers, Bell, Vodafone, EE, O2, Orange, Telstra, Optus und internationalen GSM-Netzen), der alle bedingungslos löscht (*21*) und bedingt (*61*, *62*, *67*) Anrufweiterleitungsregeln gleichzeitig.
3. Wählen *73 und drücken Sie Anrufen: Bricht die bedingungslose Anrufweiterleitung ab (*72) und bedingte Anrufweiterleitung (*71) in Verizon Wireless-, US-Mobilfunk-, Spectrum Mobile-, Xfinity Mobile-, Visible- und nordamerikanischen Festnetz-/Kabelnetzen.
4. Wählen *93 und drücken Sie Anrufen (und *91 (bei Bedarf): Bricht die Anrufweiterleitung bei Besetzt/Keine Antwort ab (*90 / *92) auf nordamerikanischen Trägern, die bedingte Sterncodes von trennen *73.
5. Überprüfen Sie sofort, an welche Nummer Ihre Anrufe weitergeleitet wurden, indem Sie wählen *#21# und *#61# und *#62# und *#67# (bei GSM-Betreibern) oder Überprüfen Ihres Online-Betreiberportals: Vor oder direkt nach dem Löschen der Regeln, dem Wählen *#21# (Bedingungslos) und *#67# (Weiterleiten bei Besetzt) zeigt einen MMI-Bildschirm an, der anzeigt, ob die Sprach-, Daten- oder SMS-Weiterleitung derzeit aktiv ist und welche betrügerische Telefonnummer Ihre Anrufe entgegengenommen hat.
6. Ändern Sie die Voicemail-PIN Ihres Mobilfunkanbieters sofort in einen zufälligen 6- bis 8-stelligen Code und deaktivieren Sie „Voicemail-Passwort vom eigenen Telefon überspringen“ (Direct-to-Voicemail-Anrufer-ID-Umgehung): Rufen Sie jetzt Ihr Voicemail-System an (oder öffnen Sie die App Ihres Mobilfunkanbieters: My Verizon, myAT&T, T-Life/T-Mobile) und ändern Sie Ihre Voicemail-PIN weg von den letzten 4 Ziffern Ihrer Telefonnummer. 0000, oder 1234. Entscheidend ist, dass Sie in Ihren Voicemail-Sicherheitseinstellungen die PIN auch dann verlangen, wenn Sie von Ihrer eigenen Telefonnummer aus anrufen: Andernfalls kann jeder Angreifer, der Ihre Telefonnummer als ausgehende Anrufer-ID vortäuscht (ANI/CLI spoofing) wird vom Voicemail-Switch Ihres Mobilfunkanbieters als „Sie rufen von Ihrem eigenen Mobilteil aus an“ erkannt und direkt in Ihrem Voicemail-Posteingang abgelegt, ohne jemals nach einer PIN gefragt zu werden.
7. Registrieren Sie Ihr gekapertes WhatsApp-, Signal- oder Telegram-Konto sofort erneut auf Ihrem Telefon und aktivieren Sie die In-App-PIN für die zweistufige Verifizierung (Registration Lock):
8. Öffnen Sie WhatsApp (Settings > Account > Two-step verification), Signal (Settings > Account > Registration Lock) und Telegram (Settings > Privacy and Security > Two-Step Verification).
9. Da die Anrufweiterleitung nun deaktiviert und Ihre Voicemail-PIN geändert ist, fordern Sie einen neuen SMS- oder Sprachbestätigungscode auf Ihrem Telefon an, um den Angreifer gewaltsam von Ihrer Telefonnummer fernzuhalten. Aktivieren Sie dann sofort die 6-stellige In-App-PIN für die zweistufige Verifizierung/Registrierungssperre, damit niemand Ihre Telefonnummer jemals wieder nur mit einem Voicemail- oder SMS-Code erneut registrieren kann.
10. Warnen Sie Ihre Familie, Freunde und beruflichen Kontakte über einen alternativen Kanal, dass Ihr WhatsApp/Telegram kurzzeitig gekapert wurde: Innerhalb von 60 Sekunden nach der Kaperung eines WhatsApp- oder Telegram-Kontos per Voicemail oder *72 Bei der Anrufweiterleitung senden Betrüger Nachrichten an Ihre letzten Kontakte und Familiengruppenchats mit der Bitte, sich „bis morgen 500 US-Dollar über Zelle, Venmo, Cash App oder Apple Cash zu leihen“ oder senden bösartige Links. Senden Sie eine Warnung per SMS, iMessage oder Sprachanruf, damit niemand Geld an den Betrüger sendet.
11. Überprüfen Sie Ihr Google Voice (voice.google.com), Apple-ID und Bankkonten für nicht autorisierte verknüpfte Weiterleitungsnummern: Einer der häufigsten Gründe, warum Betrüger Opfer dazu verleiten, anzurufen *72 oder das Abfangen eines 6-stelligen Telefonanrufs besteht darin, Ihre persönliche Mobiltelefonnummer als verifizierte Weiterleitungsnummer in einem brandneuen Google Voice-Konto zu verknüpfen, das vom Betrüger kontrolliert wird. Folgen Sie unserem Schritte zur Wiederherstellung nach Betrug mit dem Google Voice-Bestätigungscode unten, um Ihre Nummer zurückzufordern.

Entscheidungsbaum: Diagnose und Stopp eines Starcode- oder Voicemail-Hijacks¶

Verwenden Sie diesen Workflow, um festzustellen, wie der Angreifer Ihre Bestätigungscodes abfängt, während Ihre SIM-Karte noch in Ihrer Hand aktiv ist:

flowchart TD
    Symptom["Der Angreifer hat WhatsApp/Signal/Bank 2FA gekapert (oder Sie haben keine Anrufe mehr angenommen), während Ihr Telefon noch über Mobilfunksperren verfügt"] --> DialCheck{"Hat Sie kürzlich jemand dazu verleitet, *72, *71, *90, *92 oder **21* gefolgt von einer Telefonnummer zu wählen?"}

    DialCheck -->|"Ja: Star-Code-Weiterleitung aktiv"| KillForward["SCHRITT 1: Wählen Sie ##002# (Drücken Sie „Anrufen“), DANN wählen Sie *73 (Drücken Sie „Anrufen“), DANN wählen Sie *93 (Drücken Sie „Anrufen“), um alle Netzbetreiberweiterleitungen zu löschen"]

    DialCheck -->|"Nein: Habe nie einen Starcode gewählt"| VoicemailVector["Der Angriffsvektor ist entweder: (A) Remote-Voicemail-Box-PIN/Anrufer-ID-Spoofing-Hack ODER (B) zuvor festgelegte bedingte Weiterleitung (*61/*62/*67)."]

    VoicemailVector --> KillForward

    KillForward --> LockVM["SCHRITT 2: Ändern Sie die Voicemail-PIN des Mobilfunkanbieters in einen zufälligen 6-8-stelligen Code und aktivieren Sie „PIN erforderlich, wenn Sie von Ihrer eigenen Nummer aus anrufen“."]

    LockVM --> ReclaimApp{"Welches Konto hat der Angreifer mit dem abgefangenen Sprachanruf gekapert?"}

    ReclaimApp -->|"WhatsApp / Signal / Telegramm"| ReReg["SCHRITT 3A: Fordern Sie einen neuen SMS-/Sprachcode an, um die Nummer zurückzufordern -> Aktivieren Sie sofort die Bestätigung in zwei Schritten/PIN für die Registrierungssperre"]
    ReclaimApp -->|"Google Voice („Bestätigung per Telefon“-Betrug)"| ReclaimGV["SCHRITT 3B: Gehen Sie zu voice.google.com -> Verknüpfen Sie Ihre Nummer per Sprachanruf, um sie aus dem Konto des Betrügers zu entfernen"]
    ReclaimApp -->|"Bank / E-Mail / Apple / Google"| RevokeSess["SCHRITT 3C: Widerrufen Sie alle aktiven Sitzungen, entfernen Sie nicht autorisierte vertrauenswürdige Telefonnummern und stellen Sie 2FA von Sprache/SMS auf Authentifikator/Passkey um"]

Verstehen wie *72 / GSM-MMI-Codes und Voicemail-Hacks funktionieren¶

Die meisten Mobilfunknutzer gehen davon aus, dass niemand an ihre Telefonnummer gesendete Anrufe oder 2FA-Codes empfangen kann, wenn ihre physische SIM-Karte oder eSIM nicht von einem betrügerischen Betreibermitarbeiter ausgetauscht wurde. In Wirklichkeit ist das öffentliche Telefonnetz (PSTN) und Mobilfunk-SS7/IMS-Netzwerke bieten zwei integrierte Anrufumleitungsfunktionen, die keine Beteiligung eines Mitarbeiters des Netzbetreibers erfordern:

1. Unbedingte vs. bedingte Carrier-Star-Codes (*72 vs. *71 / *90 / *92 / *61* / *62* / *67*)¶

Jeder Mobiltelefonanschluss verfügt über vier separate Anrufweiterleitungsplätze, die im Heimatregister Ihres Mobilfunkanbieters gespeichert sind (HLR) oder Home Subscriber Server (HSS):

Warum bedingte Anrufweiterleitung (*71 / *90 / *92 / **61* / **67*) ist so heimtückisch: - Wenn ein Angreifer Sie dazu verleitet, Bedingungslose Weiterleitung (*72 oder **21*), bemerken Sie innerhalb eines Tages, dass Ihr Telefon überhaupt nicht mehr klingelt. - Wenn Sie jedoch von einem Angreifer dazu verleitet werden, einen Code für die bedingte Weiterleitung zu wählen (*71<Number>, **67*<Number>#, oder **61*<Number>#)** oder berühren Sie in einer Bar oder im Büro kurz 5 Sekunden lang Ihr entsperrtes Telefon, um zu wählen **67*<AttackerNumber>#, Ihr Telefon klingelt jeden Tag ganz normal weiter. Die Weiterleitungsfalle schlummert wochen- oder monatelang in der Vermittlungsstelle Ihres Mobilfunkanbieters, bis der Angreifer beschließt, zuzuschlagen: Um 03:00 Uhr ruft er Ihr Telefon von einer gesperrten Nummer aus an (wodurch Ihre Leitung „besetzt“ wird) und löst gleichzeitig einen Passwort-Reset- oder WhatsApp-Anruf zur Sprachbestätigung aus. Da Ihre Leitung besetzt ist oder der Anruf nicht beantwortet wird, leitet Ihr Mobilfunkanbieter den Bestätigungsanruf stillschweigend an das Telefon des Angreifers und nicht an Ihre Voicemail weiter.

2. Wie die Remote-Voicemail-Box PIN und Anrufer-ID-Spoofing ausnutzt (Qakbot / WhatsApp Nighttime Hijack) Funktioniert¶

Auch wenn Sie nie eine Sternvorwahl wählen, verfügt jedes Mobiltelefon über die bedingte Anrufweiterleitung (*61* / *62* / *67*) verweist standardmäßig auf die Voicemail-Pilotnummer Ihres Mobilfunkanbieters. Angreifer nutzen Ihre Voicemail-Box in drei Schritten aus: 1. Auslösen des automatisierten Sprach-OTP um 03:00 Uhr: Nahezu jede Verbraucher-App, die die Telefonnummernauthentifizierung verwendet (WhatsApp, Signal, Telegram, Instagram, Google, Microsoft, PayPal und Banken), bietet auf dem Anmeldebildschirm einen Fallback-Link mit der Aufschrift „Sie haben die SMS nicht erhalten? Rufen Sie mich stattdessen mit einem Code an.“ Wenn der Angreifer im Schlaf auf „Ruf mich an“ klickt, tätigt der Dienst einen automatischen Telefonanruf, der die 6 Ziffern spricht Geben Sie den Bestätigungscode laut vor und hinterlassen Sie ihn als aufgezeichnete Voicemail-Nachricht in Ihrem Posteingang. 2. Anwahl Ihrer Voicemail aus der Ferne: Jeder Mobilfunkanbieter verfügt standardmäßig über eine Funktion für den Remote-Voicemail-Zugriff: - Sie rufen die Telefonnummer des Opfers an, warten, bis die Voicemail-Begrüßung abgespielt wird, und drücken * (Stern) oder # (Pfund) während der Begrüßung, um die Anmeldeaufforderung für Remote-Besitzer zu öffnen ("Please enter your password"). - Oder Sie rufen direkt die Einzahlungs-/Abrufnummer des regionalen Voicemail-Piloten des Netzbetreibers an und geben die 10-stellige Telefonnummer des Opfers ein. 3. Umgehen der Voicemail-PIN über Werkseinstellungen oder Anrufer-ID (ANI) Spoofing: - Methode A (Standard-PINs): Millionen von Abonnenten haben ihre Voicemail-PIN des Mobilfunkanbieters nie eingerichtet oder geändert und belassen sie auf der Standardeinstellung des Mobilfunkanbieters (0000, 1111, 1234, 9999oder die letzten 4 Ziffern der Telefonnummer selbst). - Methode B (Anrufer-ID / SIP-Spoofing-Umgehung): Wenn Sie Ihr Voicemail-System von Ihrem eigenen Mobiltelefon aus anrufen, überprüft der Switch standardmäßig bei vielen Anbietern Ihre Anrufer-ID (Calling Party Number) und überspringt der Einfachheit halber die PIN-Eingabeaufforderung. Angreifer nutzen einen VoIP-SIP-Trunk oder einen Anrufer-ID-Spoofing-Dienst, um ihre ausgehende Anrufer-ID auf Ihre 10-stellige Telefonnummer festzulegen, wählen die Voicemail-Zugangsnummer Ihres Mobilfunkanbieters und erhalten sofort vollen Zugriff zum Abspielen Ihrer neuesten Voicemail-Nachricht, ohne Ihre PIN überhaupt zu kennen.

Phase 1: Schritt-für-Schritt-Anleitung für die Anrufweiterleitung und Voicemail-Sperrung durch den Anbieter¶

Gehen Sie nicht davon aus, dass es läuft ##002# Allein hat alles behoben, weil das Zurücksetzen der bedingten Weiterleitung bei einigen GSM-Anbietern (##002#) kann auch Ihre legitimen Voicemail-Einzahlungsregeln löschen, bis sie neu initialisiert werden, und CDMA-Heritage-Betreiber erfordern spezielle Sterncodes. Befolgen Sie die genauen Anweisungen für Ihren Mobilfunkanbieter unten:

1. Universelles GSM-MMI-Audit- und Reset-Verfahren (AT&T, T-Mobile, Rogers, Bell, Telus, Vodafone, EE, O2, Three, Telstra, Optus)¶

1. Schritt A (Zuerst aktuelle Weiterleitungsziele prüfen):
2. Öffnen Sie Ihr Telefonwählprogramm und geben Sie ** ein.*#21#** und drücken Sie Anrufen. Lesen Sie den grauen MMI-Bildschirm, der angezeigt wird: Wenn in einer Zeile „Voice Call Forwarding: Enabled“ gefolgt von einer unbekannten Telefonnummer steht, machen Sie als Beweis einen Screenshot.
3. Wiederholen Sie mit *#61# (Keine Antwort), *#62# (Nicht erreichbar) und *#67# (Wenn beschäftigt). (Hinweis: Bei normalen Konten *#61#, *#62#, und *#67# sollte die offizielle Voicemail-Pilotnummer Ihres Mobilfunkanbieters enthalten; Wenn Sie nicht sicher sind, ob es sich bei der angezeigten Nummer um die Voicemail-Pilotnummer Ihres Mobilfunkanbieters oder um die Nummer eines Hackers handelt, fahren Sie mit Schritt B fort.)
4. Schritt B (Alle Weiterleitungsregeln löschen):
5. Wählen ##002# und drücken Sie Anrufen (warten Sie "Call Forwarding Erasure was successful").
6. Überprüfen Sie auch das native Menü Ihres Smartphones:
   • Auf dem iPhone: Gehen Sie zu Einstellungen > Apps > Telefon > Anrufweiterleitung und stellen Sie sicher, dass der Schalter auf AUS steht.
   • Auf Android: Öffnen Sie die Telefon-App > Drei-Punkte-Menü > Einstellungen > Anrufkonten (oder Zusatzdienste) > Anrufweiterleitung und stellen Sie sicher, dass Immer weiterleiten Aus ist und dass Bei besetzt / Bei unbeantwortet / Bei nicht erreichbar nur auf die Standard-Voicemail-Nummer Ihres Mobilfunkanbieters verweist.

2. Verizon Wireless, Visible, US-Mobilfunk, Spectrum Mobile und Xfinity Mobile¶

Weil das Kern-Sprachnetz von Verizon nordamerikanische Sterncodes anstelle von GSM verwendet # MMI-Saiten, ##002# wird bei Verizon einen Fehler zurückgeben oder nichts unternehmen. Stattdessen: 1. Öffnen Sie den Telefonwähler und wählen Sie *73 und drücken Sie Anrufen. Achten Sie auf die Bestätigungstöne oder die Ansage, dass die Anrufweiterleitung deaktiviert wurde, und legen Sie dann auf. 2. Wählen *93 und drücken Sie Anrufen (um sicherzustellen, dass jede separate Weiterleitung bei „Keine Antwort/Besetzt“ gelöscht wird). 3. Öffnen Sie die My Verizon-App (oder melden Sie sich an verizon.com in einem sauberen Browser) -> gehen Sie zu Konto > Mein Plan > Sperren / Anrufweiterleitung (oder suchen Sie in der App nach Anrufweiterleitung) und stellen Sie sicher, dass auf keiner Leitung Ihres Familienplans eine Weiterleitungsnummer aktiv ist.

3. Sperren Sie die Voicemail-Box Ihres Mobilfunkanbieters vor Fernzugriff und gefälschtem Zugriff¶

Führen Sie diese obligatorischen Schritte zur Voicemail-Härtung auf jeder Telefonleitung in Ihrem Haushalt aus:

Phase 2: Wiederherstellen eines gekaperten WhatsApp-, Signal- oder Telegram-Kontos¶

Wenn ein Angreifer verwendet *72 Anrufweiterleitung oder ein nächtlicher Voicemail-PIN-Hack, ihr Hauptziel ist Ihr **WhatsApp-, Signal- oder Telegram-Konto. Da diese Apps Ihre Telefonnummer als Root-Identität verwenden, kann der Angreifer durch das Abfangen eines einzelnen 6-stelligen Sprachanrufs Ihre Telefonnummer auf seinem Gerät registrieren, wodurch Ihr Telefon sofort abgemeldet wird.

1. Sofortige WhatsApp-Wiederherstellung ("Your phone number is no longer registered with WhatsApp on this phone")¶

Befolgen Sie innerhalb von Minuten nach dem Verlust des Zugriffs genau diese Schritte: 1. Schließen Sie zuerst Phase 1 ab (##002# + *73 + Voicemail-PIN ändern): Wenn Sie vor der Kündigung einen WhatsApp-Code anfordern *72 Bei einer Anrufweiterleitung geht der neue Code einfach wieder an den Angreifer. 2. Öffnen Sie WhatsApp auf Ihrem Telefon, geben Sie Ihre Telefonnummer ein und fordern Sie einen neuen 6-stelligen Bestätigungscode per SMS (oder Sprachanruf) an: - Da Sie physisch über die echte SIM-Karte/eSIM verfügen und die Anrufweiterleitung aktiviert haben, kommt die SMS oder der Sprachanruf nun auf Ihrem Telefon an. - Sobald Sie diesen 6-stelligen Code eingeben, wird das Gerät des Angreifers zwangsweise von Ihrem WhatsApp-Konto abgemeldet. 3. Was wäre, wenn der Angreifer die WhatsApp-Verifizierung in zwei Schritten (6-stellige PIN) für Ihr Konto aktiviert hätte, um Sie auszusperren? - Angreifer legen fast immer direkt nach der Übernahme ihre eigene 6-stellige Zwei-Schritt-Verifizierungs-PIN in Ihrem WhatsApp fest. - KEINE PANIK: Auch wenn Sie auf dem Bildschirm nach der 6-stelligen zweistufigen Verifizierungs-PIN des Angreifers gefragt werden, die Sie nicht kennen, die reine Verifizierung Ihrer Telefonnummer mit dem SMS-/Sprachcode in Schritt 2 hat den Angreifer BEREITS abgemeldet. Der Angreifer kann keine Nachrichten mehr lesen oder senden, während sich Ihr Konto auf diesem PIN-Bildschirm befindet. - Sehen Sie sich den Eingabeaufforderungsbildschirm für die zweistufige Verifizierung der PIN an: - Wenn Sie zuvor eine E-Mail-Adresse zur Wiederherstellung hinzugefügt haben (oder wenn der Angreifer vergessen hat, eine festzulegen/keine Bestätigung vorgenommen): Tippen Sie auf „PIN vergessen?“ -> „E-Mail senden“, um die PIN sofort zurückzusetzen. - Wenn der Angreifer seine eigene E-Mail-Adresse hinzugefügt hat (oder keine E-Mail-Adresse festgelegt wurde): Tippen Sie auf „PIN vergessen?“ -> „Zurücksetzen“ und warten Sie die obligatorische 7-tägige Sicherheitsabklingzeit ab. Während dieser 7 Tage ist der Angreifer vollständig von Ihrem WhatsApp-Konto getrennt und kann keine Nachrichten senden oder Chats lesen. Nach genau 7 Tagen können Sie bei WhatsApp auf „Konto zurücksetzen“ tippen, um Ihr Konto ohne erforderliche PIN einzugeben. 4. Sobald Sie wieder in WhatsApp sind, erledigen Sie diese drei Dinge sofort: - Gehen Sie zu Einstellungen > Verknüpfte Geräte und tippen Sie bei allen nicht erkannten WhatsApp Web-, Windows- oder Mac-Begleitsitzungen, die der Angreifer während des Zugriffsfensters verknüpft hat, auf Abmelden. - Gehen Sie zu Einstellungen > Konto > Bestätigung in zwei Schritten -> legen Sie Ihre eigene 6-stellige PIN fest und registrieren Sie Ihre eigene sichere E-Mail-Adresse. - Gehen Sie zu Einstellungen > Konto > E-Mail-Adresse und stellen Sie sicher, dass keine Angreifer-E-Mail angehängt ist.

2. Signal- und Telegrammwiederherstellung¶

• Signal: Registrieren Sie Ihre Telefonnummer erneut per SMS auf Ihrem Mobilteil, gehen Sie sofort zu Einstellungen > Konto > Registrierungssperre und schalten Sie sie EIN (gebunden an Ihre Signal-PIN) und überprüfen Sie Einstellungen > Verknüpfte Geräte, um die Verknüpfung aller unerwünschten Desktop-Sitzungen aufzuheben.
• Telegram: Melden Sie sich erneut mit Ihrer Telefonnummer an, öffnen Sie sofort Einstellungen > Geräte -> Alle anderen Sitzungen beenden (da Telegram mehrere Geräte gleichzeitig angemeldet hält, es sei denn, Sie beenden Sitzungen explizit) und aktivieren Sie Einstellungen > Datenschutz und Sicherheit > Bestätigung in zwei Schritten (Cloud-Passwort).

Phase 3: Wiederherstellung nach dem Hijack „Google Voice Linked Number“.¶

Wenn ein Fremder Sie auf dem Facebook-Marktplatz, bei Craigslist, OfferUp, in einer Dating-App oder in einem Flyer mit verlorenen Haustieren darum bittet, Sie anzurufen (oder Sie aufzufordern, anzurufen). *72 oder einen 6-stelligen Code weitergeben, „um zu beweisen, dass Sie eine echte Person und kein Bot sind“), haben sie mit ziemlicher Sicherheit Ihre Telefonnummer gekapert, um eine Google Voice (voice.google.com)-Konto, damit sie andere Opfer von einer kostenlosen US-Telefonnummer aus betrügen können.

So entfernen Sie Ihre persönliche Mobiltelefonnummer in weniger als 3 Minuten aus dem Google Voice-Konto des Betrügers: 1. Stellen Sie zunächst sicher, dass die Anrufweiterleitung deaktiviert ist (##002# und *73). 2. Melden Sie sich in einem Desktop-Browser oder auf Ihrem Telefon bei ** an.voice.google.com** Verwenden Sie Ihr persönliches Google-/Gmail-Konto. 3. Wenn Sie Google Voice noch nie zuvor eingerichtet haben, klicken Sie auf Weiter, suchen Sie nach einer beliebigen Stadt-/Ortsvorwahl und wählen Sie eine beliebige kostenlose Google Voice-Nummer aus, um mit dem Bestätigungsschritt „Telefonnummer verknüpfen“ fortzufahren. (Wenn Sie bereits ein Google Voice-Konto haben, gehen Sie zu Einstellungen (Zahnradsymbol) > Konto > Verknüpfte Nummern > + Neue verknüpfte Nummer.) 4. Geben Sie IHRE persönliche Mobiltelefonnummer ein (die, die der Betrüger gestohlen hat) und wählen Sie Bestätigen per Telefonanruf oder SMS. 5. Google Voice zeigt ein Warn-Pop-up an, das besagt: *** „Diese Telefonnummer ist bereits mit einem anderen Google Voice-Konto verknüpft. Möchten Sie sie stattdessen für dieses Konto beanspruchen?“*** 6. Klicken Sie auf Ja / Anspruch. Geben Sie den 6-stelligen Code ein, der an Ihr Telefon gesendet wurde. Dadurch wird Ihre Telefonnummer sofort aus dem Google Voice-Konto des Betrügers entfernt.

Phase 4: Absichern Ihres Mobilfunkanbieterkontos und 2FA gegen alle Angriffe auf Telefonnummern¶

Sobald Sie alle Star-Code-Anrufweiterleitungsregeln gelöscht und Ihre Konten wiederhergestellt haben, ergreifen Sie diese fünf strukturellen Abwehrmaßnahmen, damit kein Angreifer jemals wieder Ihre Telefonnummer oder Voicemail-Box zu einer Waffe machen kann:

• Aktivieren Sie die Mobilfunkanbieter-Nummernsperre/den Port-Out-Schutz und legen Sie einen Passcode für das Mobilfunkanbieter-Konto fest: Melden Sie sich zusätzlich zu den Voicemail-PINs bei Ihrer Mobilfunkanbieter-App an (Verizon-Nummernsperre, AT&T Wireless-Kontosperre, T-Mobile Port-Out-Schutz/SIM-Schutz) und aktivieren Sie die SIM-/Port-Sperre, damit ein Angreifer nicht von einem Voicemail-Hack zu einem vollständigen eskalieren kann SIM-Tausch.
• Eliminieren Sie Sprachanrufe und SMS 2FA überall dort, wo Passkeys, Hardwareschlüssel oder Authentifizierungs-Apps unterstützt werden: Überprüfen Sie Ihre primäre E-Mail-Adresse (Gmail, Outlook, Proton), Ihren Passwort-Manager, Ihre Apple-ID und Ihre Finanzkonten. Entfernen Sie Ihre Mobiltelefonnummer nach Möglichkeit als Sprach-/SMS-2FA-Fallback und wechseln Sie zu Passkeys, FIDO2-Hardwareschlüsseln (YubiKey) oder TOTP-Authentifikator-Apps. Denken Sie daran, dass ein Zwei-Faktor-System nur so stark ist wie sein schwächster Wiederherstellungs-Fallback: Wenn Sie einen YubiKey für ein Konto aktiviert haben, das das Klicken auf „Anderen Weg versuchen -> Meine Telefonnummer anrufen“ weiterhin zulässt, ist Ihr Konto immer noch anfällig für a *72 oder Voicemail-Angriff.
• Denken Sie darüber nach, die Voicemail des Mobilfunkanbieters vollständig zu deaktivieren (oder die bedingte Weiterleitung an eine tote Nummer zu verlegen): Wenn Sie selten auf die Voicemail des alten Mobilfunkanbieters angewiesen sind, weil Ihnen Leute SMS oder Nachrichten senden, wenn Sie einen Anruf verpassen, rufen Sie Ihren Mobilfunkanbieter an (611), um die Voicemail-Funktion vollständig von Ihrer Leitung zu entfernen, wird die gesamte Remote-Voicemail-OTP-Angriffsfläche dauerhaft eliminiert.
• Aktivieren Sie „Unbekannte Anrufer stummschalten“ vorsichtig oder deaktivieren Sie die Sprachmitschriften auf dem Sperrbildschirm.: Beachten Sie, dass iOS mit der Funktion „Unbekannte Anrufer stumm schalten“ jede Nummer, die nicht in Ihren Kontakten enthalten ist, sofort direkt an die Voicemail sendet. Das heißt, wenn ein Angreifer einen automatischen Bank- oder WhatsApp-Sprachbestätigungsanruf von einer unbekannten gebührenfreien Nummer auslöst, leitet Ihr iPhone diesen Bestätigungsanruf stillschweigend direkt in Ihre Voicemail-Box weiter, ohne dass Ihr Telefon überhaupt klingelt. Stellen Sie sicher, dass Ihre Voicemail-Box-PIN und das Überspringen der automatischen Anmeldung gesperrt sind, bevor Sie „Unbekannte Anrufer stumm schalten“ verwenden.
• Schulen Sie jedes Familienmitglied im „Niemals wählen“. *72 oder **21*„Regel: Sagen Sie älteren Eltern, Teenagern und Kollegen, dass keine legitime Bank, kein Lieferunternehmen, keine Polizeibehörde oder kein Mitarbeiter des technischen Supports Sie jemals auffordern wird, eine Vorwahl zu wählen, die mit beginnt *72, *71, *90, *92, oder **21* gefolgt von einer Telefonnummer. Jeder Code, der mit diesen Präfixen beginnt, ist ein Anrufweiterleitungsbefehl.

Häufig gestellte Fragen¶

Wie hat jemand um 3:00 Uhr morgens mein WhatsApp gekapert, während ich schlief und mein Telefon mit vollem Empfang direkt auf meinem Nachttisch lag?¶

Während Sie schliefen, tippte der Angreifer Ihre Telefonnummer in WhatsApp auf seinem Gerät ein und tippte darauf „Per Telefonanruf bestätigen“ statt SMS. Da Sie nicht aufgewacht sind und den eingehenden automatischen Anruf nicht entgegengenommen haben, hat Ihr Mobilfunkanbieter den unbeantworteten Anruf an Ihre Voicemail-Box weitergeleitet, wo das automatische Sprachsystem von WhatsApp den sechsstelligen Bestätigungscode als Voicemail-Nachricht aufzeichnete. Sekunden später wählte der Angreifer aus der Ferne Ihr Voicemail-System an und erriet entweder die Standard-Voicemail-PIN Ihres Mobilfunkanbieters (häufig). 0000, 1234, oder die letzten 4 Ziffern Ihrer Telefonnummer) oder haben Anrufer-ID-Spoofing verwendet, um dem Voicemail-System Ihres Mobilfunkanbieters vorzutäuschen, dass er von Ihrem eigenen Mobilteil aus angerufen hat, sodass er sich die Aufzeichnung anhören und sich bei Ihrem WhatsApp anmelden konnte.

Warum hat die Deaktivierung der „Anrufweiterleitung“ in den Einstellungen meines iPhones oder Androids den Angreifer nicht daran gehindert, meine Anrufe entgegenzunehmen?¶

Der eingebaute Einstellungen > Telefon > Anrufweiterleitung Umschalten auf iPhones und vielen Android-Geräten nur zur Steuerung Bedingungslose Anrufweiterleitung (*21*) in Standard-GSM-Netzen. Es wird häufig nicht angezeigt oder gelöscht Regeln für die bedingte Anrufweiterleitung (Weiterleiten, wenn beschäftigt *67*/*90, Weiterleiten, wenn keine Antwort erfolgt *61*/*92, und Weiterleiten, wenn nicht erreichbar *62*) und kontrolliert nicht die Sterncodes nordamerikanischer Netzbetreiber (*72 / *71) in Verizon- oder CDMA-Heritage-Netzwerken. Nur wählen ##002# (auf GSM-Trägern) und *73 / *93 (bei Verizon und nordamerikanischen Mobilfunkanbietern) weist den Mobilfunknetz-Switch direkt an, alle Weiterleitungsslots zu löschen.

Kann ##002# oder *72 meine eingehenden SMS-Textnachrichten auch an das Telefon eines Hackers weiterleiten?¶

In modernen öffentlichen kommerziellen Mobilfunknetzen gelten standardmäßige Teilnehmer-Sterncodes (*72, **21*, **61*, **67*) nur vorwärts leitungsvermittelte/IMS-Sprachanrufe, keine SMS-Textnachrichten (obwohl die alte 3GPP-MMI-Spezifikation einen Teledienstcode enthält). 16 Für SMS blockieren praktisch alle Verbrauchernetzbetreiber die vom Teilnehmer initiierte SMS-Weiterleitung auf Switch-Ebene. Angreifer müssen Ihre SMS-Nachrichten jedoch nicht weiterleiten, da fast jede große Plattform (WhatsApp, Signal, Telegram, Google, Microsoft und Banken) eine Weiterleitung anbietet „Rufen Sie mich mit einem Bestätigungscode an, anstatt eine SMS zu schreiben“ Klicken Sie direkt auf dem Anmeldebildschirm auf die Schaltfläche und wandeln Sie einen Hijack der Sprachanrufweiterleitung in eine sofortige 2FA-Umgehung um.

Was passiert, wenn ich wähle? ##002# bei AT&T, T-Mobile oder einem europäischen/britischen/australischen GSM-Anbieter: Funktioniert meine normale Voicemail weiterhin?¶

Weil ##002# löscht alle bedingte und bedingungslose Weiterleitungsregeln in GSM-Netzen; bei bestimmten Netzbetreibern können auch die bedingten Weiterleitungszeiger gelöscht werden (*61*, *62*, *67*), die verpasste Anrufe normalerweise an die Voicemail-Box Ihres Netzbetreibers weiterleiten. Nach dem Laufen ##002# Um die betrügerische Weiterleitungsnummer eines Angreifers rauszuschmeißen, rufen Sie Ihre Mobiltelefonnummer testweise von einem anderen Telefon aus an und lehnen Sie den Anruf ab: Wenn die Meldung „Anruf kann nicht abgeschlossen werden“ angezeigt wird, öffnen Sie nicht Ihre Voicemail Telefon > Einstellungen > Anrufweiterleitung (oder wählen Sie *#61# / Wenden Sie sich an Ihren Mobilfunkanbieter), um die offizielle Standard-Voicemail-Pilotnummer Ihres Mobilfunkanbieters wiederherzustellen, oder lassen Sie die bedingte Weiterleitung absichtlich deaktiviert, damit niemand jemals wieder einen Bestätigungsanruf in Ihre Voicemail einleiten kann.

Quellen überprüft¶

• Federal Communications Commission (FCC) (Vereinigte Staaten): Verbraucherleitfaden: Betrug bei der Anrufweiterleitung, SIM-Tausch, Port-Out-Betrug und Schutz vor Anrufer-ID-Spoofing.
• Agentur für Cybersicherheit und Infrastruktursicherheit (CISA) & FBI IC3 (Vereinigte Staaten): Öffentliche Bekanntmachungen zum automatischen Abfangen von Voicemail-OTP (Qakbot / Nächtliche WhatsApp- und Kontoübernahme-Kampagnen) und MFA-Härtung.
• Europäisches Institut für Telekommunikationsnormen (ETSI) & 3GPP Technische Spezifikation TS 22.030 / TS 22.082: Mensch-Maschine-Schnittstelle (MMI) des Benutzergeräts (UE) und Anrufangebot für ergänzende Dienste (*21*, *61*, *62*, *67*, ##002#).
• Nationales Zentrum für Cybersicherheit (NCSC) (Vereinigtes Königreich) & Ofcom: Schutz von Messaging-Konten (WhatsApp, Signal, Telegram) vor der Ausnutzung von Voicemail-PINs und Anleitung zur zweistufigen Verifizierung.
• Nordamerikanische Nummerierungsplanverwaltung (NANPA): Vertikale Servicecodes (*72, *73, *90, *91, *92, *93) Technische Referenz.

Verwandte Leitfäden¶

• SIM-Tausch: So erkennen, stoppen und beheben Sie einen SIM-Hijack
• MFA-Phishing und Adversary-in-the-Middle (AiTM)-Umgehung
• MFA-Sperre und Wiederherstellung des Authentifikators
• E-Mail-Konto gehackt, Weiterleitungsregeln und Wiederherstellung
• Stalkerware-, Spyware- und Keylogger-Erkennung auf Telefonen
• Notrufnummern nach Ländern