Konnektivität

Reise-eSIM: der diskrete digitale Reisepass

Eine lokale Daten-eSIM nutzen, um zu reisen, ohne seine nationale Nummer preiszugeben, die Optionen vergleichen, die Restrisiken handhaben.

Veröffentlicht am 18. September 2025 15 Min. Lesezeit Exponiert

Zuletzt überprüft: 8. Januar 2026

An einen Switch angeschlossene Netzwerkkabel

Eine Führungskraft reicht mir in der Lobby eines Hotels in Ho-Chi-Minh-Stadt ihr Telefon, genervt. Ihre Bank hat gerade eine Verbindung „von einem ungewöhnlichen Gerät” blockiert. Ich schaue auf ihren Bildschirm: Sie hat die Nummer der lokalen eSIM, die sie gerade gekauft hat, drei Gesprächspartnern als Kontaktnummer gegeben, und wundert sich, dass ihre Bestätigungscodes nicht mehr ankommen. Die vietnamesische Nummer empfängt keine zuverlässigen internationalen SMS, und sie verfällt in neun Tagen. Währenddessen ist ihre deutsche Nummer aktiv im Roaming in ihrer Tasche geblieben — sichtbar für ihren Betreiber, pro Megabyte abgerechnet, und immer noch in der Lage, die Codes zu empfangen, die sie verschoben zu haben glaubte. Sie hatte alles vertauscht.

Angle de lecture

Particulier RSSI / DSI

Die übliche Falle

Der vorherrschende Diskurs über Konnektivität auf Reisen lässt sich auf zwei Sätze zusammenfassen, und beide kosten Sie teuer. Der erste: „Ich aktiviere das Roaming, das funktioniert überall.” Das stimmt, technisch. Es ist auch die teuerste, am leichtesten nachverfolgbare und am wenigsten beherrschte Option, die existiert. Außerhalb der Europäischen Union wird das Roaming in manchen Netzen mitunter zwischen 5 und 15 Euro pro Megabyte abgerechnet, und die „Reise”-Pakete Ihres Betreibers deckeln schnell oder drosseln jenseits einiger hundert Megabyte. Eine lokale eSIM für 10 GB in Asien kostet 8 bis 20 Euro. Der Unterschied beträgt einen Faktor 10 bis 50. Aber die Rechnung ist nur der sichtbare Teil.

Der zweite Satz, moderner, kommt von den Leuten, die die erste Falle verstanden haben: „Ich kaufe eine Daten-eSIM und werde unsichtbar.” Falsch. Eine eSIM ändert den Betreiber, der Ihren Verkehr sieht, nicht Ihr Gerät. Ihre IMEI — die fünfzehnstellige, fest in Ihr Telefon eingelötete Hardwarekennung — bleibt streng dieselbe, welches Profil Sie auch laden. Die eSIM löst ein Problem von Kosten und Betreiber-Sichtbarkeit. Sie löst nicht das Problem der Geräteidentität, und sie macht Sie nicht anonym. Die beiden zu verwechseln führt zu absurden Entscheidungen, etwa eine eSIM „für die Diskretion” zu kaufen und dabei die Hauptnummer aktiv im Roaming zu behalten, was die angestrebte Wirkung zunichtemacht.

Das wahre Thema ist weder der Preis noch die fantasierte Anonymität. Es ist die Trennung der Nutzungen. Eine gut eingesetzte Daten-eSIM gibt Ihnen eine schnelle, günstige lokale Konnektivität, die Ihren gewohnten Betreiber nicht über Ihre Bewegungen Minute für Minute aufklärt. Aber sie ergibt nur in einer durchdachten Architektur Sinn: wer Ihre Authentifizierungscodes empfängt, welche Nummer Sie als Kontakt angeben, welche Leitung im Notfall erreichbar bleibt, und was Sie in welchem Land sichtbar zu lassen bereit sind. Ohne diese Überlegung kaufen Sie ein Gadget für acht Euro und glauben, eine Sicherheitsfrage gelöst zu haben.

Wie es funktioniert und was es wirklich exponiert

Die physische SIM ist eine herausnehmbare Karte, die ein einzelnes Betreiberprofil trägt. Die eSIM ist ein integrierter und reprogrammierbarer Chip: Das Profil — die Konfiguration, die das Gerät in einem Netzwerk authentifiziert — wird zu einer Datei, die man herunterlädt. Konkret kaufen Sie ein Datenpaket bei einem Anbieter, erhalten einen QR-Code, scannen ihn in den Einstellungen, und das Profil aktiviert sich in weniger als zwei Minuten. Die iPhones ab dem XS, die Pixel ab dem 3, die Galaxy ab dem S20 beherrschen alle die eSIM. Die neueren iPhones speichern mehrere Profile (fünf bis acht), aber nur eines bleibt zur gleichen Zeit für die Daten aktiv, außer bei den Modellen mit gleichzeitiger Dual-eSIM wie den in den USA seit dem 14 verkauften iPhones.

Was die eSIM wirklich für Sie ändert, ist die Sichtbarkeit auf der Betreiberseite. Wenn Sie das Roaming aktivieren, erfährt Ihr deutscher Betreiber — Telekom, Vodafone, O2 — in Echtzeit, dass Sie in diesem oder jenem Land sind, in diesem oder jenem Partnernetz, zu dieser Uhrzeit, mit welchem aggregierten Volumen. Diese Daten existieren, sie werden gespeichert, und in bestimmten Rechtsordnungen sind sie zugänglich. Mit einer lokalen eSIM weiß Ihr gewohnter Betreiber nur, dass Sie sein Netz nicht nutzen. Das lokale Netzwerk seinerseits sieht Ihren Verkehr — aber das ist ein anderer Akteur, ohne Verbindung zu Ihrer zwölfjährigen Rechnungshistorie, Ihren Bankverbindungen und Ihrem Betreiber-Adressbuch.

Was sich nicht ändert, ist der gesamte Rest der Hardwareschicht. Die IMEI bleibt für das lokale Netzwerk sichtbar, und sie ist beständiger als jede Nummer: Die SIM oder das eSIM-Profil im selben Gehäuse zu wechseln, verändert sie nie. Wenn Ihr Bedrohungsmodell eine vollständige Entkopplung zwischen Ihrer bekannten Identität und Ihrer Aktivität vor Ort einschließt — und für die meisten Reisenden ist das nicht der Fall — braucht es ein dediziertes Gerät, kein anderes eSIM-Profil in Ihrem gewohnten Telefon. Ebenso schützt Sie die eSIM in Zonen, in denen IMSI-Catcher eingesetzt werden, nicht: Diese gefälschten Relais erfassen das Gerät unabhängig vom geladenen Betreiberprofil. Die eSIM ist ein Werkzeug zur Verwaltung von Konnektivität und Kosten, kein Werkzeug zur Gegenüberwachung.

Es gibt eine dritte Expositionsebene, die fast niemand erwähnt und die doch die heimtückischste ist: Das Daten-eSIM-Profil behandelt nicht das Verhalten des restlichen Telefons. Ihre Anwendungen laufen weiter genau wie zu Hause. Ihr Mail-Client synchronisiert, Ihre Cloud sichert, Ihre Messenger empfangen, Ihre Karten-Apps melden Ihre Position, und jede spricht mit ihren gewohnten Servern — oft in den USA oder in Europa — von einer lokalen IP-Adresse des Landes aus, in dem Sie sind. Für einen lokalen Netzwerkbeobachter zeichnet diese Anhäufung ein Porträt: ein ausländisches Gerät, das mit Microsoft 365 spricht, mit einer deutschen Bank, mit einem Unternehmens-VPN, mit identifizierbaren beruflichen Diensten. Die eSIM hat Ihren deutschen Betreiber aus der Gleichung gestrichen, aber sie hat nichts daran geändert, was Ihre Anwendungen dem Netzwerk, das sie transportiert, über Sie erzählen. Genau deshalb denkt man die eSIM als untere Schicht, und die Vertraulichkeit des Transits — VPN, verschlüsseltes DNS, Aussortieren der Anwendungen vor der Abreise — behandelt man getrennt, darüber.

Letzter technischer Punkt, der die Eiligen in die Falle lockt: Die eSIM ist im Fall einer Kompromittierung weniger wendig als eine physische SIM. Eine Plastikkarte zieht man heraus und wirft sie in zehn Sekunden weg. Ein eSIM-Profil löscht man über die Einstellungen, was voraussetzt, dass das Gerät funktioniert, entsperrt ist und nicht unter der Kontrolle eines anderen steht. Wenn Ihr Szenario die Beschlagnahmung des Geräts einschließt — harter Grenzübertritt, Polizeikontrolle — bietet Ihnen die eSIM keine schnelle Außerbetriebsetzung. Auch hier liegt die Antwort nicht im Profil, sondern in der Architektur: was das Gerät enthält, was es erreichen kann, und ob es überhaupt reisen darf.

Der richtige Ansatz: die Nutzungen vor der Abreise trennen

Der pragmatische Wechsel hält in einer Regel: Die lokale eSIM trägt die Daten, Ihre nationale Leitung trägt die Identität und den Notfall. Sie kaufen und laden das eSIM-Profil vor der Abreise herunter, im vertrauenswürdigen WLAN — bei sich zu Hause oder im Büro, niemals im Flughafen-WLAN noch im Roaming des Flugzeugs. Bei der Ankunft aktivieren Sie das lokale Datenprofil, Sie schalten das Daten-Roaming auf der Hauptleitung ab, und Sie entscheiden bewusst, was diese Hauptleitung weiterhin tut.

Testen Sie die Aktivierung vor dem Tag X, und nicht am Vorabend in der Eile. Manche Profile lassen sich nur auf einem nicht durch den Betreiber gesperrten Gerät installieren oder verlangen, dass die eSIM-Unterstützung beim ursprünglichen Betreiber aktiviert ist — zwei Überprüfungen, die zu Hause fünf Minuten dauern und am Flughafen zum Albtraum werden, wenn man sie zu spät entdeckt. Prüfen Sie auch die Auslöseregel des Pakets: Manche starten beim Kauf, andere bei der ersten Verbindung mit dem Zielnetz. Drei Tage vorher zu kaufen und sein Guthaben schmelzen zu sehen, während man noch zu Hause ist, ist ein banaler und vermeidbarer Fehler. Die Disziplin liegt nicht in der Raffinesse des Setups, sie liegt darin, es einmal in Ruhe erprobt zu haben, bevor es wirklich zählt.

Der Punkt, der die meisten Reisen kippen lässt, ist die MFA per SMS. Wenn Ihre Bestätigungscodes auf Ihrer deutschen Nummer ankommen und Sie das gesamte Roaming abschalten, empfangen Sie sie nicht mehr und finden sich im schlimmsten Moment aus Ihren eigenen Konten ausgesperrt. Die Abwehr besteht nicht darin, das volle Roaming für ein paar überteuerte SMS zu behalten. Sie besteht darin, Ihre kritischen Konten vor der Abreise auf eine TOTP-Authentifizierungs-App zu migrieren — einen Code-Generator, der offline funktioniert, ohne jedes Netzwerk, und der Ihre Telefonnummer für die Authentifizierung irrelevant macht. Das ist die einzige Maßnahme, die das Problem wirklich beseitigt, statt es zu verschieben. Wenn einige Dienste sich widersetzen und nur SMS akzeptieren, behalten Sie den SMS-Empfang der Hauptleitung aktiv (oft kostenlos oder günstig, im Gegensatz zum Daten-Roaming) nur für diese Fälle, und Sie lassen das Telefon im Flugmodus mit manuell reaktivierter Daten-eSIM.

Die Wahl des Anbieters zählt weniger, als man glaubt, aber hier das Raster. Airalo ist der universelle Ausgangspunkt: Abdeckung in über 200 Ländern, wettbewerbsfähige Preise, in den meisten Fällen data-only, Anmeldung per E-Mail — nutzen Sie einen Wegwerf-Alias, wenn die Nachverfolgbarkeit Sie stört. Holafly verkauft „unbegrenzte” Daten zum Festpreis, praktisch für lange Aufenthalte, aber lesen Sie die Bedingungen: Es gibt fast immer eine Drosselung nach einem täglichen Volumen, und das Tethering ist manchmal gedrosselt. Saily (herausgegeben von NordVPN) bietet ein gutes Preis-Leistungs-Verhältnis und eine saubere Oberfläche. Die eSIM direkt beim lokalen Betreiber gibt die beste Netzqualität, manchmal den besten Preis, verlangt aber oft eine Identitätsprüfung mit Reisepass — Daten, die in die Register des lokalen Staates eingehen. Zu meiden außer im Notfall: die in Flughafenläden oder von reputationslosen Wiederverkäufern verkauften eSIMs, zwei- bis dreimal teurer. Welcher Anbieter auch immer, behalten Sie im Kopf, dass die eSIM weder ein VPN noch ein verschlüsseltes DNS ersetzt: Das lokale Netzwerk sieht weiterhin Ihre Verbindungsmetadaten, und in Ländern mit Filterung werden Sie diese Schichten zusätzlich brauchen.

Die Länderrealitäten und die Multi-eSIM-Strategie

Nicht alle Reiseziele sind gleich, und der Reflex „eine Daten-eSIM überall” stößt schnell auf das Gelände. In der Europäischen Union stellt sich die Frage kaum: Das Roaming wird dort seit 2017 zum nationalen Tarif abgerechnet, Ihr deutscher Tarif funktioniert ohne Aufpreis, und eine lokale eSIM bringt nur einen marginalen Gewinn. Außerhalb der EU entscheidet sich alles, und außerhalb der EU verändert die Netzwerkfilterung das Spiel ebenso sehr wie der Preis. In China blockiert die Great Firewall die Mehrheit der westlichen Dienste; eine lokale chinesische Daten-eSIM gibt Ihnen einen schnellen Zugang, aber zum chinesischen Internet, nicht zu Ihrem — ohne vor der Ankunft vorkonfiguriertes VPN erreichen Sie weder Ihr Unternehmenspostfach noch Ihre gewohnten Werkzeuge. Manche internationalen eSIMs, die sich auf ein Partnernetz außerhalb des chinesischen Festlands stützen, umgehen diese Filterung teilweise, weil Ihr Verkehr über einen Verbindungspunkt in Hongkong oder anderswo hinausgeht. Das ist ein Detail, das über Erfolg oder Scheitern einer Mission entscheidet, und es überprüft sich vor der Abreise, nicht vor Ort.

Die zweite Länderachse ist die Registrierung. In einem bedeutenden Teil der Welt — China, Russland, Saudi-Arabien, Pakistan und anderen — erfordert der Erwerb einer lokalen SIM oder eSIM eine Identitätsprüfung mit Reisepass, Daten, die in ein Staatsregister eingehen. Die vor der Abreise gekauften internationalen eSIMs, bei Airalo oder Äquivalent, entgehen oft dieser Pflicht, weil sie sich auf eine Großhandelsvereinbarung und nicht auf eine lokale namentliche Anmeldung stützen — das ist einer ihrer realen operativen Vorteile. Aber verallgemeinern Sie nicht: Die Regel hängt vom Land und vom Anbieter ab, und sie entwickelt sich. Die gute Praxis besteht darin, vor dem Kauf zu wissen, ob Ihre Konnektivität vor Ort namentlich sein wird oder nicht, und zu entscheiden, ob das angesichts dessen, wer Sie sind und was Sie tun werden, akzeptabel ist.

Für Vielreisende ist die Antwort kein punktueller Kauf, sondern eine dauerhafte Multi-eSIM-Strategie. Sie behalten ein Hauptprofil an Ort und Stelle — Ihre berufliche oder private Leitung, permanent im Gerät vorhanden, meist im Flugmodus oder mit deaktivierten Daten je nach Kontext. Sie fügen ein lokales Datenprofil pro Ziel hinzu, vor jeder Abreise gekauft, das den gesamten Verkehr trägt und nichts an Ihren gewohnten Betreiber preisgibt. Auf den Geräten mit gleichzeitig aktiver Dual-eSIM können Sie sogar die Anrufe und SMS auf die Hauptleitung und die Daten auf die lokale eSIM routen: Ihre Korrespondenten sehen Ihre gewohnte Nummer, Ihr Verkehr läuft über das Netz des Landes. Diese Trennung, einmal durchdacht und bei jeder Reise reproduziert, verwandelt eine Flughafen-Plackerei in eine Routine von zehn Minuten am Vorabend der Abreise. Und sie legt die Grundlagen für die nächste Stufe — die dedizierte Reisenummer, ja sogar das Wegwerfgerät — ohne dass man jedes Mal alles neu lernen muss.

Was das konkret bedeutet

Für Sie als Privatperson

Drei Handgriffe, machbar diese Woche, für weniger als 200 Euro — in Wirklichkeit für den Preis eines Datenpakets.

Kaufen und testen Sie eine Airalo-eSIM vor dem Tag X — schließen Sie das Paket Ihres Ziels von Ihrem heimischen WLAN aus ab, laden Sie das Profil herunter und prüfen Sie, dass es sich ohne Fehler installiert. Aktivieren Sie es nicht sofort, wenn das Paket bei der ersten Verbindung startet; lesen Sie die Auslöseregel. Rechnen Sie mit 8 bis 15 Euro je nach Land. Prüfen Sie auch, dass Ihr Telefon nicht betreibergesperrt ist („SIM-Lock”), sonst wird sich das Profil weigern, sich zu installieren.
Migrieren Sie Ihre sensiblen Konten vor der Abreise auf eine TOTP-App — Bank, Postfach, Cloud-Konten. Eine Authentifizierungs-App generiert Ihre Codes offline: Sie brauchen keine SMS mehr zu empfangen, also keine erreichbare Leitung mehr nur dafür zu behalten. Das ist die Geste, die Ihre Reise verwandelt. Machen Sie es in Ruhe zu Hause, nicht in der Eile am Flughafen.
Geben Sie niemals die Nummer der eSIM als Kontakt an — sie ist flüchtig und empfängt keine internationalen SMS zuverlässig. Behalten Sie Ihre deutsche Nummer als Kontaktnummer, meist im Flugmodus, punktuell reaktiviert, um Anrufe und Notfallnachrichten zu prüfen. Schalten Sie das Daten-Roaming darauf ab der Ankunft ab, um die Überraschungsrechnung zu vermeiden.

Für Sie als CISO / IT-Leitung / Geschäftsführung

1. Die Unternehmensnummer reist nicht in eine Tier-3-Zone. Eine berufliche Nummer ist eine starke Kennung: Sie ist mit dem Unternehmensverzeichnis verbunden, mit den MFA-Konten per SMS, mit den Signaturen. Sie in ein Land mit hoher Abhörfähigkeit mitzunehmen, setzt sie der Korrelation, dem gezielten SIM-Swap und der Aufnahme in lokale Register aus. Direkte Konsequenz: Eine dedizierte Reisenummer, getrennt von der Unternehmensnummer, wird zu einer grundlegenden Hygienemaßnahme für Vielreisende in Risikozonen, und die Unternehmensnummer bleibt in Deutschland, idealerweise umgeleitet.

2. Die eSIM handhabt die Kosten und die Betreiber-Sichtbarkeit, nicht die Hardware-Entkopplung. Das Profil wechselt, die IMEI nicht. Für eine wirklich heikle Mission ist es ein Burner Phone — dediziertes Gerät, neues Paar aus IMEI + Nummer — das man budgetieren muss, keine weitere eSIM im Telefon der Führungskraft. Direkte Konsequenz: Ihre Reiserichtlinie muss drei Stufen unterscheiden — Daten-eSIM auf dem gewohnten Gerät (häufiger Fall), dedizierte Reisenummer (Vielreisender in Risikozone), dediziertes Wegwerfgerät (heikle Mission) — und präzisieren, wer über die Stufe entscheidet.

3. Die MFA per SMS ist ein Single Point of Failure in der Mobilität. Wenn der Zugang zu den Systemen des Unternehmens von Codes abhängt, die an eine Nummer gesendet werden, die im Ausland nichts mehr empfängt, fabrizieren Sie Zugangsvorfälle und drängen die Mitarbeitenden zur Umgehung. Direkte Konsequenz: Stellen Sie die kritische Authentifizierung auf TOTP oder Hardware-Schlüssel um, bevor Sie irgendeine eSIM-Richtlinie ausrollen, sonst schafft die Sicherheitsmaßnahme eine Blockademaßnahme.

Fehler, die man ständig sieht

Das Daten-Roaming „für alle Fälle” parallel zur lokalen eSIM aktiv lassen. Sie zahlen doppelt, Sie heben den Diskretionsgewinn auf, und manche Geräte fallen automatisch auf das Roaming zurück, sobald das eSIM-Signal schwächer wird, und erzeugen Kosten, die niemand überwacht.
Die Nummer der eSIM als Kontaktnummer angeben. Sie ist data-only oder flüchtig, empfängt keine internationalen SMS und wird nach Ablauf recycelt. Ihre Korrespondenten — und Ihre Bankdienste — schreiben dann ins Leere oder, schlimmer, an jemand anderen.
Die eSIM im Flughafen-WLAN aktivieren oder herunterladen. Die Installation eines Profils erfordert Netzwerk; sie in einem öffentlichen WLAN bei der Ankunft zu machen, heißt, die Operation der unzuverlässigsten Umgebung der Reise anzuvertrauen. Kaufen und laden Sie das Profil zu Hause, vorher.
Glauben, dass die eSIM ein VPN ersetzt. Das lokale Netzwerk sieht Ihre Metadaten, und in Ländern mit Filterung blockiert oder inspiziert es. Die eSIM regelt die Konnektivität, nicht die Vertraulichkeit des Transits noch die Umgehung der Zensur.
Die lokale Registrierungspflicht vergessen. In China, Russland, Saudi-Arabien und anderswo läuft der Erwerb einer lokalen SIM oder eSIM über eine Reisepass-Prüfung. Das ist nicht ausschlaggebend, aber es ist eine Staatsdatum, das man ins Bedrohungsmodell integriert, nicht am Schalter entdeckt.

Umsetzbare Checkliste

N1 Die eSIM-Kompatibilität und das Fehlen einer Betreibersperre vor der Abreise prüfen
N1 Das Daten-eSIM-Profil im vertrauenswürdigen WLAN abschließen und herunterladen, vor der Ankunft
N1 Die kritischen Konten (Bank, Postfach, Cloud) vor der Abreise auf eine TOTP-App migrieren
N2 Das Daten-Roaming auf der Hauptleitung ab der Aktivierung der lokalen eSIM abschalten
N2 Niemals die Nummer der eSIM als Kontaktnummer verbreiten
N2 Einen Wegwerf-E-Mail-Alias für die Anmeldung beim eSIM-Anbieter verwenden
N2 Die Reisepass-Registrierungspflichten in den betroffenen Ländern prüfen
N3 Eine dedizierte Reisenummer bereitstellen, getrennt von der Unternehmensnummer, für häufige Reisen in Risikozonen
N3 Für eine heikle Mission: dediziertes Gerät (Burner) mit neuem Paar aus IMEI + Nummer, ohne Verbindung zur gewohnten Identität

Zum Weiterlesen

Die eSIM-Spezifikationen der GSMA beschreiben den Mechanismus des Remote-Provisioning und seine Garantien — nützlich, um zu verstehen, was das Profil trägt und was es nicht trägt. Die Empfehlungen des BSI zum sicheren mobilen Arbeiten und zu Auslandsreisen rahmen die Trennung der Nutzungen und die Doktrin des dedizierten Geräts ein, über das alleinige Thema der Konnektivität hinaus. Und die reale Netzabdeckung eines Anbieters wie Airalo überprüft sich Ziel für Ziel vor dem Kauf: Die Liste der Partnernetze variiert stark von einem Land zum anderen, und sie bestimmt die Qualität Ihrer Verbindung, nicht die Marke auf der App. Für den Authentifizierungsteil lesen Sie ergänzend das Merkblatt zum SIM-Swap: Es erklärt, warum das Verschieben seiner Konten weg von der SMS das wahre Thema hinter der Wahl einer Reisenummer ist.

Quellen und weiterführende Literatur

GSMA — eSIM specifications [official]
BSI — Sicheres mobiles Arbeiten und Reisen ins Ausland [official]
Airalo — supported networks & coverage [official]