Aktivierungssperre entfernt, aber nicht sauber: Die Phishing-Masche hinter gestohlenen Handys
· TR Vertriebs GmbH
Nach einem Handy-Diebstahl folgt oft eine zweite Welle: Phishing-SMS, die sich als Finder ausgeben, um die Aktivierungssperre zu umgehen. Was die Telekom-Warnung vom Juli 2026 für Käufer und Verkäufer gebrauchter Handys bedeutet.
Wer sein Handy verliert oder bestohlen wird, erlebt die eigentliche Gefahr oft erst Tage oder Wochen später. Die Deutsche Telekom warnte ihre Kundinnen und Kunden am 14. Juli 2026 ausdrücklich davor: Täter melden sich per SMS als angebliche Finder des Geräts, um an die Zugangsdaten für den Apple- oder Google-Account zu kommen. Besonders häufig betroffen sind laut Telekom iPhones, und als Tatorte für den eigentlichen Diebstahl nennt das Unternehmen vor allem Strand, Bar und die offene Straße – Momente, in denen ein schneller Griff leicht gelingt.
Die Masche folgt einem festen Muster: Die SMS behauptet, das verlorene oder gestohlene Gerät sei wieder aufgetaucht, und verlinkt auf eine Seite, die dem echten Apple- oder Google-Login täuschend ähnlich sieht. Wer dort seine Zugangsdaten eingibt, übergibt den Tätern genau das, was sie brauchen: die Möglichkeit, das Gerät aus dem Konto des Vorbesitzers zu lösen. Erst danach lässt sich die Aktivierungssperre aufheben – bei Apple als „Wo ist?“ bekannt, bei Android über die Gerätesuche des Google-Kontos – und erst danach wird das gestohlene Gerät auf dem Zweitmarkt überhaupt verkaufbar.
Genau hier liegt die Falle, vor der die Telekom warnt: Die Gefahr endet nicht mit dem Diebstahl selbst. Viele Betroffene lassen nach ein paar Wochen die Vorsicht sinken und reagieren auf eine vermeintlich gute Nachricht, ohne nachzudenken. Die Telekom rät deshalb, ein gestohlenes Gerät so lange als verloren markiert im Apple- oder Google-Konto zu belassen, bis es wirklich wieder in der eigenen Hand ist, Zugangsdaten niemals über einen Link aus SMS oder Mail einzugeben, sondern die Herstellerseite immer selbst aufzurufen, und verdächtige Nachrichten über die Kurzwahl 7726 oder die Spam-Melden-Funktion von iOS und Android weiterzuleiten.
Dass dahinter keine Einzeltäter stecken, zeigte im September 2024 eine international koordinierte Aktion von Europol, der Analysefirma Group-IB und der lateinamerikanischen Polizeibehörde Ameripol: Sie zerschlugen die Plattform „iServer“, die solche Phishing-Seiten als fertigen Dienst an andere Kriminelle verkaufte. Die Bilanz laut Europol: über 1,2 Millionen anvisierte Mobilgeräte, rund 483.000 Betroffene weltweit und 17 Festnahmen in Argentinien, Chile, Kolumbien, Ecuador, Peru und Spanien – eine Infrastruktur, die mehr als fünf Jahre lang lief, bevor sie aufflog.
Dass Handy-Diebstahl und Phishing zunehmend zusammenhängen, deckt sich mit dem Cybersicherheitsmonitor 2026 von BSI und der Polizeilichen Kriminalprävention der Länder und des Bundes (ProPK), veröffentlicht im Mai 2026: 11 Prozent der Internetnutzerinnen und -nutzer in Deutschland wurden 2025 Opfer von Cyberkriminalität, nach 7 Prozent im Jahr zuvor – ein Anstieg um mehr als die Hälfte innerhalb eines Jahres. Berichte, die sich auf den Monitor stützen, beschreiben darin ausdrücklich das Muster aus gestohlenem Smartphone und nachgelagertem Phishing, getarnt als Nachricht von Apple-Support oder vom Ortungsdienst „Wo ist?“.
Für Käuferinnen und Käufer gebrauchter Handys ist das mehr als eine Randnotiz. Ein Gerät, das beim Verkauf keine Kontobindung mehr zeigt, ist nicht automatisch sauber – es kann genau auf diesem Weg „freigeschaltet“ worden sein, mit den erbeuteten Zugangsdaten eines fremden Opfers. Ein frischer Werksreset ohne jede Account-Historie, ein ungewöhnlich günstiger Preis für ein aktuelles Modell oder ein Verkäufer, der weder Kaufbeleg noch Originalverpackung zeigen kann, sind Warnsignale – als Beweis reichen sie allein aber nicht.
Verlässlich ist nur der eigene Check vor der Übergabe: die IMEI gegen die internationalen Sperrlisten prüfen und getrennt davon den Status der Aktivierungssperre bei Apple beziehungsweise Google abfragen. Erst wenn beides unauffällig ist, lohnt sich der nächste Schritt – der Verkäufer setzt das Gerät live vor Ort auf die Werkseinstellungen zurück, damit sichtbar wird, ob noch ein fremder Account abgefragt wird. Bezahlt wird erst danach, nie vorher.
Für Händler, die in Stückzahlen ankaufen, reicht der Blick auf den Einrichtungsbildschirm eines einzelnen Geräts ohnehin nicht. Wareneingänge lassen sich im Posten über eine IMEI-API prüfen, statt jedes Gerät einzeln händisch nachzuschlagen – der einzige praktikable Weg, wenn täglich zwei- oder dreistellige Stückzahlen durch den Ankauf laufen. Genau diese Zweitmarkt-Kanäle waren das erklärte Ziel der „Unlocker“-Infrastruktur hinter iServer.
Mit IMEI Safe lässt sich beides in wenigen Sekunden klären: Blacklist-Status und Aktivierungssperre, einzeln per IMEI oder im Posten über die Händler-API – bevor Geld den Besitzer wechselt, nicht danach.