Kostenlose eSIM: Proxy-Risiken und Code-Diebstahl

Kann eine kostenlose eSIM zum schädlichen Proxy werden?

Grundsätzlich ja – meist ist aber nicht das eSIM-Profil selbst der Auslöser. Das größere Risiko liegt in einer nicht vertrauenswürdigen Begleit-App, einem manuell installierten App-Paket, einem VPN oder einem fragwürdigen Einrichtungsprozess, der mit dem kostenlosen Angebot verknüpft ist. Schadsoftware kann unbemerkt den Internetverkehr Dritter über das Smartphone weiterleiten.

Das Gerät oder der Anschluss wird dadurch zum Ausgangspunkt eines Residential Proxys. Für aufgerufene Websites erscheint dann die Mobilfunk- oder Heimnetz-IP des Opfers und nicht die tatsächliche Quelle des Datenverkehrs. Für Kriminelle sind solche Verbindungen attraktiv, weil Zugriffe aus privaten Netzen häufig vertrauenswürdiger wirken als Datenverkehr aus einem Rechenzentrum.

Das FBI warnte 2026 davor, dass Schadsoftware, die mit kostenlosen Inhalten oder Programmen gebündelt wird, Geräte in Residential-Proxy-Netzwerke einbinden kann. Unabhängige Sicherheitsanalysen haben zudem versteckte Proxy-Software auf Endgeräten nachgewiesen. Das bedeutet nicht, dass seriöse kostenlose eSIM-Testangebote grundsätzlich schädlich sind. Es zeigt aber, warum ein nicht nachvollziehbares Gratis-Angebot mit weitreichenden Softwareanforderungen besonders kritisch geprüft werden sollte.

Weitere Hintergründe zum Bedrohungsmodell und zu Schutzmaßnahmen finden Sie in der FBI-Warnung zu Residential-Proxy-Netzwerken.

So funktioniert die Angriffskette

Am Anfang steht meist ein starker Anreiz: kostenloses Datenvolumen, ein Gratis-Test, Prämien oder eine angeblich dauerhafte Internetverbindung. Nutzer installieren eine App, erteilen weitreichende Rechte oder lassen einen Hintergrunddienst aktiv. Der Betreiber kann anschließend Anfragen Dritter über das Gerät leiten.

• Der Köder: Eine kostenlose eSIM oder ein Gratis-Datenpaket senkt die Skepsis und verleitet zu einer schnellen Installation.
• Der Zugriff: Die Begleit-App erhält Netzwerk-, Hintergrund-, VPN-, Bedienungshilfen- oder Benachrichtigungsrechte.
• Die Weiterleitung: Externe Kunden senden ihren Datenverkehr über den Anschluss und die IP-Adresse des Nutzers.
• Der Missbrauch: Der weitergeleitete Datenverkehr kann für Kontoerstellungen, Scraping, Anzeigenbetrug, Angriffe auf Zugangsdaten oder andere unerlaubte Aktivitäten dienen.
• Die Folgen: Betroffene bemerken möglicherweise einen höheren Akku- und Datenverbrauch, Leistungseinbußen, gesperrte IP-Adressen oder Ermittlungen zu Datenverkehr, den sie selbst nie erzeugt haben.

Können SMS-Bestätigungscodes gestohlen werden?

Eine gewöhnliche reine Daten-eSIM kann Bestätigungs-SMS auf einer anderen Leitung nicht einfach mitlesen. Für den Diebstahl eines Codes ist normalerweise eine zusätzliche Berechtigung oder ein separater Angriff erforderlich. Die pauschale Behauptung, jede kostenlose eSIM könne automatisch sämtliche SMS lesen, ist daher irreführend.

Eine schädliche Begleit-App kann einen solchen Diebstahl jedoch ermöglichen, wenn ihr sensible Zugriffsrechte erteilt werden. Angreifer können das Angebot außerdem mit Phishing, dem Abfangen von Benachrichtigungen, dem Missbrauch der Kontowiederherstellung oder SIM-Swapping kombinieren.

Auch die US-Handelsaufsicht FTC empfiehlt in ihren Hinweisen zu SIM-Swap-Betrug, nach Möglichkeit stärkere Anmeldeverfahren zu verwenden. Für wichtige Konten sind eine Authenticator-App, ein physischer Sicherheitsschlüssel oder ein Passkey in der Regel sicherer als ein SMS-Code.

Warnsignale bei kostenlosen eSIM-Angeboten

Ein kostenloser Dienst kann durchaus seriös sein. Anbieter stellen mitunter ein kleines Testvolumen bereit, um ihre Netzabdeckung zu demonstrieren, Neukunden zu gewinnen oder eine zeitlich begrenzte Aktion anzubieten. Kritisch wird es, wenn kein eindeutig identifizierbares Unternehmen, kein nachvollziehbares Finanzierungsmodell und zugleich ein ungewöhnlich invasiver Installationsprozess erkennbar sind.

• Die App verlangt ohne plausiblen Grund Zugriff auf Bedienungshilfen, Benachrichtigungen, SMS, Kontakte, Geräteverwaltung oder ein dauerhaft aktives VPN.
• Der Anbieter verteilt eine APK-Datei, Konfigurationsdatei oder ein Profil außerhalb eines offiziellen Stores, ohne überprüfbare Unternehmensdaten zu nennen.
• Die Datenschutzerklärung erlaubt Bandbreitenfreigabe, „Netzwerkoptimierung“, Peer-to-Peer-Dienste, die Vermarktung des Datenverkehrs oder die Nutzung des Geräts als Netzwerkknoten.
• Das Unternehmen verspricht unbegrenztes kostenloses Datenvolumen, erklärt aber weder Einschränkungen noch Sponsoring, Werbung oder eine andere glaubwürdige Einnahmequelle.
• Für die Aktivierung sollen Sie sich über ein soziales Netzwerk anmelden oder einen Bankcode, eine Mobilfunk-PIN, einen Wiederherstellungscode beziehungsweise eine Fernsteuerungssitzung freigeben.
• Die App verbraucht weiterhin Daten und Akku oder bleibt im Hintergrund aktiv, obwohl die eSIM deaktiviert wurde oder nicht mehr benötigt wird.
• Der Support setzt Sie unter Zeitdruck oder rät ausdrücklich davon ab, Berechtigungen zu entziehen.

So prüfen Sie eine kostenlose eSIM sicher

Unterscheiden Sie zunächst zwischen dem eSIM-Profil und der Software, über die es verkauft oder verwaltet wird. iPhones und Android-Smartphones bieten bereits eigene Systemeinstellungen zum Hinzufügen einer eSIM. Eine Anbieter-App kann praktisch sein, sollte aber keinen sachfremden Zugriff auf Nachrichten, Benachrichtigungen, Kontakte oder den Bildschirm benötigen.

Wenn Sie noch keine Erfahrung mit der Einrichtung haben, hilft unsere Anleitung zum sicheren Scannen eines eSIM-Aktivierungscodes. Wer gezielt nach einer Aktion sucht, kann außerdem die Bedingungen in unserem Vergleich der besten kostenlosen eSIM-Angebote prüfen oder sich über kostenlose eSIM-Testangebote für die USA informieren – etwa vor einer Reise aus Deutschland.

Checkliste vor der Installation

• Unternehmen identifizieren: Prüfen Sie Website, Support-Kanal, Geschäftsbedingungen und Datenschutzerklärung.
• Berechtigungen vorab lesen: Lehnen Sie Zugriffe ab, die nichts mit Kauf, Installation oder Verwaltung mobiler Daten zu tun haben.
• Geschäftsmodell nachvollziehen: Suchen Sie nach einer glaubwürdigen Erklärung, wie das kostenlose Datenvolumen finanziert wird.
• Offizielle Installationswege nutzen: Bevorzugen Sie die eSIM-Einstellungen des Smartphones, einen verifizierten App-Store-Eintrag oder einen QR-Code aus dem geschützten Kundenkonto des Anbieters.
• Wichtige Konten besser schützen: Ersetzen Sie die SMS-Anmeldung nach Möglichkeit durch Passkeys, Sicherheitsschlüssel oder eine Authenticator-App.
• Haupt-SIM absichern: Richten Sie eine Kundenkonto-PIN ein und aktivieren Sie, sofern verfügbar, eine Sperre gegen unbefugte Rufnummernmitnahmen.
• Nicht mehr Benötigtes entfernen: Deinstallieren Sie die App, entziehen Sie Berechtigungen, löschen Sie unbekannte VPN-Profile und entfernen Sie die eSIM nach dem Test.

Sicherere Alternativen statt Gratis-Versprechen

Für Reisende aus Deutschland ist eine günstige Reise-eSIM eines transparenten Anbieters oft die bessere Wahl als ein kostenloser Dienst, dessen Finanzierung unklar bleibt. Achten Sie auf verständliche Bedingungen, erreichbaren Support, angemessene App-Berechtigungen, einen sicheren Bezahlvorgang und eine unkomplizierte Installation.

Mit unserer aktuellen Anbieterauswahl können Sie etablierte kommerzielle Angebote vergleichen. Eine Listung ist jedoch nur ein Ausgangspunkt und ersetzt nicht Ihre eigene Sicherheitsprüfung, denn Apps, Eigentümer, Richtlinien und Berechtigungen können sich ändern.

Treffen Sie Ihre Wahl nicht allein aufgrund eines Social-Media-Beitrags oder eines in einem Forum geteilten QR-Codes. Rufen Sie die offizielle Website des Anbieters selbst auf und prüfen Sie, ob die Aktion dort ebenfalls genannt wird. Wirkt ein Angebot widersprüchlich, sollten Sie nichts scannen und die Prüfung zunächst abbrechen.

Was tun nach der Installation einer verdächtigen eSIM-App?

Handeln Sie zügig, aber bleiben Sie verhältnismäßig. Die Installation einer unbekannten eSIM ist noch kein Beweis dafür, dass Ihre Konten kompromittiert wurden. Ziel ist es, versteckte Zugriffe zu entfernen, hilfreiche Belege zu sichern und besonders gefährdete Konten gegen den Diebstahl von Bestätigungscodes abzusichern.

1. Trennen Sie die verdächtige eSIM und deaktivieren Sie die mobilen Daten für die zugehörige Leitung.
2. Erstellen Sie Screenshots von App-Name, Entwickler, Berechtigungen, VPN-Einstellungen, Akkuverbrauch und Datennutzung.
3. Entziehen Sie Rechte für Benachrichtigungen, Bedienungshilfen, SMS, VPN, Geräteverwaltung und Hintergrunddaten.
4. Deinstallieren Sie die Begleit-App, entfernen Sie unbekannte Konfigurations- oder VPN-Profile und löschen Sie die eSIM.
5. Aktualisieren Sie das Smartphone und führen Sie die integrierten Sicherheitsprüfungen des Betriebssystems aus.
6. Ändern Sie wichtige Passwörter auf einem vertrauenswürdigen Gerät. Beginnen Sie mit E-Mail-, Mobilfunk-, Bank- und Passwortmanager-Konten.
7. Prüfen Sie aktive Sitzungen und melden Sie unbekannte Geräte ab.
8. Kontaktieren Sie sofort Ihren Mobilfunkanbieter, wenn Ihre Hauptnummer plötzlich keinen Empfang mehr hat oder Sie einen SIM-Swap vermuten.

FAQ

Sind alle kostenlosen eSIMs Betrug?

Nein. Einige Anbieter stellen seriöse Testtarife oder kleine kostenlose Datenpakete bereit. Entscheidend sind das Unternehmen, sein Finanzierungsmodell, der Installationsweg, die verlangten Berechtigungen und die Datenschutzbedingungen – nicht allein das Wort „kostenlos“.

Kann ein eSIM-Profil meine SMS lesen?

Ein gewöhnliches reines Daten-eSIM-Profil liest Nachrichten auf einer anderen Leitung nicht automatisch mit. Für den Diebstahl eines Codes sind in der Regel App-Berechtigungen, Benachrichtigungszugriff, Phishing, Schadsoftware, die Übernahme des Mobilfunkkontos oder ein anderer separater Mechanismus erforderlich.

Warum wollen Kriminelle mein Smartphone als Proxy nutzen?

Ihre Mobilfunk- oder Heimnetz-IP kann vertrauenswürdiger wirken als die IP eines Servers. Angreifer leiten Aktivitäten über private Geräte, um Sperren zu umgehen, ihren Standort zu verschleiern oder automatisierten Datenverkehr schwerer erkennbar zu machen.

Ist das Scannen eines eSIM-QR-Codes gefährlich?

Das Scannen eines Codes von einem vertrauenswürdigen Anbieter ist eine übliche Aktivierungsmethode. Gefährlich sind ungeprüfte Codes, gefälschte Anmeldeseiten, schädliche Konfigurationsanweisungen oder Forderungen nach sachfremden Berechtigungen und Zugangsdaten.

Welche Alternative zur SMS-Bestätigung ist am sichersten?

Nutzen Sie einen Passkey, einen physischen Sicherheitsschlüssel oder eine Authenticator-App, sofern der jeweilige Dienst dies unterstützt. Schützen Sie außerdem Ihr Mobilfunkkonto mit einer eigenen PIN und einer verfügbaren Sperre gegen unbefugte Rufnummernmitnahmen.