Passwörter wechselt man. Die E-Mail-Adresse manchmal auch. Aber kaum jemand wechselt seine Telefonnummer. Ihre begleitet Sie seit zehn, fünfzehn, manchmal zwanzig Jahren: Mit ihr wurden Konten eröffnet, Bankcodes empfangen, Lieferformulare ausgefüllt, Kundenkarten freigeschaltet und längst vergessene Gewinnspiele mitgespielt.
Das Ergebnis: Diese zehnstellige Nummer ist zu einem dauerhaften Identifikator geworden, so aussagekräftig wie eine Aktenzeichennummer. Und anders als ein Passwort lässt sie sich nicht widerrufen. Wenn sie durchsickert – und statistisch gesehen ist das längst geschehen –, landet sie in Datenbanken, die weiterverkauft, abgeglichen und über Jahre hinweg reaktiviert werden.
Die gute Nachricht: Ein Leak ist kein unabwendbares Schicksal. Es verlangt eine methodische Reaktion, keine Panik. So finden Sie heraus, wo Sie stehen – und was konkret zu tun ist.
Warum eine Telefonnummer mehr wert ist als eine E-Mail-Adresse
Auf den Schattenmärkten für Daten ist eine E-Mail-Adresse allein fast nichts wert. Eine verifizierte Mobilnummer, verknüpft mit einem Namen und einer Postleitzahl, erzielt deutlich höhere Preise. Drei Gründe erklären diesen Unterschied.
Sie ist eindeutig, dauerhaft und mit einer realen Identität verknüpft
In Frankreich wird die Vergabe von Mobilfunknummern von der ARCEP geregelt, und die Freischaltung eines Anschlusses setzt eine Identifizierung des Inhabers voraus. Eine aktive Nummer ist aus Sicht eines Betrügers also ein impliziter Beleg dafür, dass am anderen Ende ein Mensch sitzt. Anders als Wegwerf-Postfächer lässt sie sich nicht im Handumdrehen zu Tausenden erzeugen.
Sie ist der Dreh- und Angelpunkt der Authentifizierung
Die SMS bleibt trotz ihrer bekannten Schwächen weltweit der am weitesten verbreitete zweite Authentifizierungsfaktor. Die europäische Richtlinie PSD2 hat die starke Kundenauthentifizierung für Zahlungen zum Standard gemacht, und die meisten französischen Banken setzen weiterhin ganz oder teilweise auf einen per Nachricht versendeten Code. Wer Ihre Nummer kennt, kennt die Eingangstür – bleibt nur, den Schlüssel zu finden, per Social Engineering oder SIM-Swapping.
Sie ermöglicht den Datenabgleich
Eine Nummer dient als Verknüpfungsschlüssel zwischen Datenbeständen. Eine Datenbank aus einem E-Commerce-Shop, eine zweite von einer Buchungsplattform, eine dritte aus einem Forum: Über die Nummer abgeglichen, ergeben sie ein detailliertes Profil – Name, Adresse, Kaufhistorie, ungefähres Alter. Genau dieser Abgleich macht Spear-Smishing so überzeugend: Die betrügerische SMS nennt Ihren echten Namen, Ihre echte Stadt, manchmal Ihre echte Bestellung.
Eine generische Betrugsnachricht erkennt man in zwei Sekunden. Eine Nachricht, die Ihren Namen, Ihren Anbieter und Ihren letzten Einkauf kennt, verlangt ein sehr viel höheres Maß an Wachsamkeit.
So finden Sie heraus, ob Ihre Nummer geleakt wurde
Ein offizielles Register kompromittierter Nummern gibt es nicht. Mehrere Signale und Werkzeuge erlauben aber eine belastbare Einschätzung.
Dienste zur Leak-Überprüfung
Der Dienst Have I Been Pwned, betrieben vom Sicherheitsforscher Troy Hunt, erlaubt seit einigen Jahren für bestimmte Datenlecks die Suche nach Telefonnummern im internationalen Format (+33…), ergänzend zur Suche per E-Mail. Auch das Hasso-Plattner-Institut bietet eine Überprüfung per E-Mail an, bei der das Ergebnis zugesandt wird. Diese Werkzeuge sind nicht vollständig: Sie erfassen nur öffentlich dokumentierte Leaks.
Ein paar Vorsichtsmaßnahmen:
- Nutzen Sie ausschließlich seriöse, gut dokumentierte Dienste; dubiose Seiten, die versprechen, „das Darknet zu scannen“, sind häufig selbst Datensammler.
- Geben Sie die Nummer im internationalen Format ohne Leerzeichen ein.
- Wiederholen Sie die Prüfung ein- bis zweimal jährlich, denn die Datenbanken werden nachträglich aktualisiert.
Verhaltensbezogene Signale
Oft macht sich ein Leak bemerkbar, bevor es dokumentiert ist. Drei klassische Anzeichen:
| Beobachtetes Signal | Wahrscheinliche Deutung |
|---|---|
| Plötzliche Zunahme von Werbeanrufen | Ihre Nummer ist gerade in eine weiterverkaufte Akquise-Datei gelangt |
| Betrugs-SMS, die Ihren Namen oder eine echte Bestellung nennt | Leck bei einem Händler, samt zugehöriger Daten |
| Unaufgeforderte Bestätigungscodes (OTP) | Jemand versucht, auf ein mit Ihrer Nummer verknüpftes Konto zuzugreifen |
| „Ping“-Anrufe mit nur einem Klingelton | Test, ob die Nummer aktiv ist, vor dem Weiterverkauf |
Der letzte Punkt ist wichtig: Ein Anruf, der sofort wieder aufgelegt wird, oder eine leere SMS dient manchmal schlicht dazu, zu bestätigen, dass der Anschluss aktiv ist. Rufen Sie niemals eine unbekannte Nummer mit exotischer Tarifierung zurück.
Prüfen, was Sie selbst preisgeben
Bevor Sie ein Leck vermuten, lohnt es sich, die selbst verursachte Sichtbarkeit zu messen. Geben Sie Ihre Nummer in Anführungszeichen in eine Suchmaschine ein. Prüfen Sie:
- Ihre Inserate auf Kleinanzeigenplattformen, die oft mit der Nummer im Klartext online bleiben;
- Rückwärtssuchverzeichnisse, die nicht gelistete Anschlüsse nur dann erfassen, wenn der Anschlussinhaber keine Sperrung („liste rouge“) beantragt hat;
- Ihre beruflichen und vereinsbezogenen Profile, PDF-Protokolle, Kontaktlisten, die ein Verein oder eine Schule veröffentlicht hat.
Viele Leaks sind keine Hacks: Es sind vergessene Veröffentlichungen.
Was nach einem Leak konkret passiert
Welle 1: die Werbeanrufe
Das ist die unmittelbarste und harmloseste Folge. In Frankreich ist die telefonische Kaltakquise reguliert: Seit den Gesetzesänderungen sind Werbeanrufe an Wochenenden, an Feiertagen und außerhalb bestimmter Zeitfenster unter der Woche verboten. Die kostenlose Eintragung bei Bloctel, dem offiziellen, im Auftrag des Staates betriebenen Widerspruchsdienst gegen Telefonwerbung, bleibt der erste Schritt. Sie blockiert weder Betrugsanrufe noch Unternehmen, mit denen Sie einen laufenden Vertrag haben, reduziert aber einen Teil des Aufkommens.
Für Werbung per SMS gilt ein anderer Rahmen: DSGVO und das französische Post- und Telekommunikationsgesetz verlangen eine vorherige Einwilligung für kommerzielle Nachrichten an Privatpersonen sowie eine einfache Widerspruchsmöglichkeit – das bekannte „STOP“ gefolgt von einem Code.
Welle 2: gezieltes Smishing
Hier liegt die eigentliche Gefahr. Smishing (Phishing per SMS) nutzt die geleakten Daten, um ein glaubwürdiges Szenario zu konstruieren: wartendes Paket, offenes Bußgeld, gesperrtes Bankkonto, Aktualisierung der Krankenversicherungskarte. Der Dienst Cybermalveillance.gouv.fr veröffentlicht regelmäßig Warnungen zu laufenden Kampagnen und stellt kostenlose, durchaus gelungene Merkblätter bereit.
Die eine Regel, die Sie sich merken sollten: Niemals aus der Nachricht heraus klicken. Öffnen Sie die offizielle App oder tippen Sie die Adresse von Hand ein. Wer diesen Reflex verinnerlichen und die Mechanik des Social Engineering verstehen möchte, findet in einem Buch über Cybersicherheit für Privatpersonen deutlich mehr Struktur als in einer Ansammlung von Artikeln.
Welle 3: der Übernahmeversuch
Die höchste Eskalationsstufe besteht darin, sich der Rufnummer selbst zu bemächtigen – per SIM-Swapping oder betrügerischer Rufnummernmitnahme –, um die Authentifizierungscodes abzufangen. Dieser Angriff setzt voraus, dass der Täter bereits über genügend persönliche Informationen verfügt – weshalb es so wichtig ist, den Datenabgleich von vornherein zu erschweren.
Die Angriffsfläche verringern, ohne die Nummer zu wechseln
Ein Nummernwechsel ist eine schwerwiegende Option, die Fällen von Belästigung oder wiederholtem Betrug vorbehalten bleiben sollte. In der großen Mehrheit der Fälle lässt sich stattdessen trennen.
Eine Zwei-Nummern-Strategie einführen
Das Prinzip ist einfach: eine private Nummer für Angehörige, Bank, Arbeitgeber und Behörden; eine öffentliche Nummer für Lieferungen, Anmeldungen, Kleinanzeigen, Kundenkarten und Onlinedienste.
Diese zweite Nummer kann verschiedene Formen annehmen:
- eine eigene Prepaid-SIM-Karte, die einfachste und günstigste Lösung;
- eine zweite eSIM auf einem Dual-SIM-fähigen Telefon;
- für gelegentliche Zwecke ein Onlinedienst zum SMS-Versand ohne Registrierung, mit dem Sie für eine einzelne Nachricht nicht Ihren persönlichen Anschluss preisgeben müssen.
Wenn Ihr Gerät kein Dual-SIM unterstützt, erfüllt ein günstiges Dual-SIM-Smartphone als Zweitgerät diesen Zweck sehr gut und verhindert, dass Sie die Nutzungsbereiche vermischen.
Aufräumen, was bereits online steht
Die DSGVO gibt Ihnen ein Recht auf Löschung (Artikel 17) und ein Widerspruchsrecht gegen die Verarbeitung zu Werbezwecken (Artikel 21). Konkret:
- Ermitteln Sie die Websites, die Ihre Nummer anzeigen oder speichern.
- Senden Sie eine schriftliche Löschanfrage, in der Sie Ihre Identität und die betroffene Verarbeitung benennen. Die CNIL stellt auf ihrer Website kostenlose Musterschreiben bereit.
- Der Verantwortliche hat grundsätzlich einen Monat Zeit, um zu antworten.
- Bleibt eine Antwort aus oder wird die Ablehnung nicht begründet, können Sie die CNIL über ihr Online-Beschwerdeformular einschalten.
Für Rückwärtssuchverzeichnisse beantragen Sie bei Ihrem Anbieter die Eintragung in die „liste rouge“ – das ist kostenlos und wird mit der nächsten Ausgabe wirksam.
Den Anschluss beim Anbieter absichern
Drei wenig bekannte Maßnahmen, die Sie direkt beim Kundendienst anfordern können:
- die Aktivierung eines PIN-Codes auf der SIM-Karte (aus Bequemlichkeit oft deaktiviert);
- die Einrichtung eines Passworts oder einer Sicherheitsfrage für das Kundenkonto, die vor jedem sensiblen Vorgang abgefragt wird;
- Wachsamkeit beim RIO-Code, der die Rufnummernmitnahme ermöglicht: Geben Sie ihn niemals an Dritte weiter.
Schrittweise weg von der SMS als Authentifizierungsfaktor
Wo immer möglich, ersetzen Sie die SMS-Bestätigung durch eine Authenticator-App (TOTP-Codes) oder – besser noch – durch einen physischen Sicherheitsschlüssel. Die ANSSI empfiehlt seit Jahren, diese Methoden für sensible Konten zu bevorzugen. Ein FIDO2-Sicherheitsschlüssel passt an den Schlüsselbund, kostet so viel wie ein Abendessen und macht das Abfischen Ihrer Zugangsdaten bei allen Diensten, die ihn unterstützen, praktisch wirkungslos.
Für Wiederherstellungscodes und die zugehörigen Passwörter bleibt ein Passwort-Manager das Basiswerkzeug: Er verhindert Mehrfachnutzung, die Hauptursache für Kettenkompromittierungen nach einem Leak.
Was in den ersten 48 Stunden nach einem bestätigten Leak zu tun ist
Wenn ein Unternehmen Ihnen eine Datenschutzverletzung meldet, die Ihre Nummer betrifft – eine Pflicht nach DSGVO bei hohem Risiko –, ist folgendes Vorgehen sinnvoll.
Tag 1 – Bestandsaufnahme. Listen Sie die Konten auf, die diese Nummer zur Wiederherstellung oder Zwei-Faktor-Authentifizierung nutzen: Bank, Messenger, soziale Netzwerke, Haupt-E-Mail-Postfach, Zahlungsplattformen.
Tag 1 – Absicherung. Ändern Sie die Passwörter der kritischsten Konten, beginnend mit dem E-Mail-Postfach, das alle anderen steuert. Aktivieren Sie überall dort, wo es die Option gibt, eine Authentifizierung ohne SMS.
Tag 2 – Überwachung. Richten Sie eine Benachrichtigung für Kontobewegungen ein. Notieren Sie das Datum des Leaks: Bezieht sich eine verdächtige SMS wenige Tage später auf einen betroffenen Dienst, ist der Zusammenhang hergestellt.
Tag 2 – Meldung. Melden Sie betrügerische SMS an die 33700, die nationale Plattform gegen Spam-Anrufe und Spam-SMS. Die Meldung ist kostenlos: Sie leiten die Nachricht an die 33700 weiter und senden anschließend die Absendernummer als Antwort. Bei finanziellem Schaden sind eine Strafanzeige und eine Meldung über die Plattform THESEE des Innenministeriums möglich.
Ein sicheres Notizbuch aus Papier, außerhalb der Wohnung aufbewahrt, für die Wiederherstellungscodes bleibt eine erstaunlich wirksame Vorsichtsmaßnahme: Es lässt sich nicht aus der Ferne hacken.
Die vermeintlich guten Ideen
Einige weit verbreitete Reflexe richten mehr Schaden an als Nutzen.
- Auf eine Betrugs-SMS mit „STOP“ antworten. Bei einem seriösen Absender ist das richtig. Bei einem Betrüger ist es die Bestätigung, dass der Anschluss aktiv ist. Unterscheiden Sie: Eine echte Werbenachricht nennt den Werbetreibenden klar und eindeutig.
- Nummern einzeln blockieren. Smishing-Kampagnen nutzen Wegwerfnummern, die laufend erneuert werden. Einzelblockierungen sind eine Sisyphosarbeit; das Filtern unbekannter Absender, unter iOS und Android nativ verfügbar, ist wirksamer.
- Eine aufdringliche „Anti-Spam“-App installieren. Viele Anrufsfilter-Apps verlangen vollen Zugriff auf das Adressbuch und laden Ihre Kontakte hoch. Sie schützen Ihre Nummer, indem Sie die Ihrer Angehörigen preisgeben.
- Glauben, eine „unterdrückte“ Rufnummer schütze. Die Unterdrückung der Rufnummernanzeige wirkt sich nur auf die Anzeige aus. Sie verhindert weder den Datenabgleich noch die Speicherung im Netz.
Ein einfacher Grundsatz: die eigene Nummer als sensibles Datum behandeln
Die Telefonnummer galt lange als banale Kontaktangabe, die man ohne Nachdenken herausgab. In der Praxis ist sie zu einem Identifikator auf Bankniveau geworden: Sie eröffnet Konten, bestätigt Zahlungen, weist eine Identität nach.
Die praktische Konsequenz lässt sich in drei Fragen fassen, die man sich vor jeder Eingabe stellen sollte:
- Braucht dieser Dienst wirklich einen telefonischen Kontakt zu mir?
- Kann ich meine Zweitnummer verwenden?
- Wenn diese Datei morgen durchsickert: Was verrät sie über mich, sobald sie mit dem Rest abgeglichen wird?
Drei Fragen, ein paar Sekunden. Das ist das beste Verhältnis von Aufwand und Schutz in der gesamten digitalen Hygiene – mit großem Abstand.
