Es gibt eine Erfahrung, die fast jeder schon gemacht hat und über die fast niemand spricht: eine Nachricht zu erhalten, die offensichtlich nicht für einen bestimmt war.
Manchmal ist es harmlos – „Treffen wir uns um 19 Uhr vor dem Kino?" von einer unbekannten Nummer. Manchmal ist es alles andere als harmlos: ein Anmeldecode für ein Bankkonto, ein medizinisches Laborergebnis, eine Vorladung, eine Trennungsnachricht, das Foto eines Kindes. Sie haben nichts verlangt, nichts gehackt, nichts abgefangen. Die Nachricht ist bei Ihnen gelandet, weil sich jemand um eine Ziffer vertippt hat – oder weil Ihre Nummer vor Ihnen jemand anderem gehörte.
Und schon stellen sich eine Reihe von Fragen, die Ihnen nie jemand beantwortet hat. Darf ich das lesen? Muss ich antworten? Riskiere ich etwas? Wie bringe ich das zum Aufhören?
Warum Ihre Nummer die Nachrichten eines anderen empfängt
Es gibt vier Hauptursachen, und sie erfordern jeweils unterschiedliche Reaktionen.
Die recycelte Rufnummer. Das ist bei Weitem der häufigste und hartnäckigste Fall. In Frankreich wird eine gekündigte Mobilfunknummer nicht gelöscht: Sie kehrt in den Bestand des Anbieters zurück, der eine „Quarantänefrist" einhalten muss, bevor er sie neu vergibt. Die ARCEP regelt diesen Mechanismus in ihrem nationalen Nummerierungsplan, doch die Frist beträgt nur wenige Monate. Danach hat Ihre brandneue Nummer bereits ein Vorleben: ein Fitnessstudio-Abo, ein Kundenkonto bei einem Energieversorger, eine Registrierung bei einem Lieferdienst, eine Akte in einem Analyselabor. All diese Datenbanken schreiben weiterhin an den früheren Inhaber – also an Sie.
Der Eingabefehler. Eine vertauschte Ziffer am Apothekentresen, ein telefonisch durchgegebenes Rezept, ein hastig ausgefülltes Formular. Die Nachricht geht an eine unbekannte Person, die nicht einmal weiß, dass es ein Problem gibt.
Die nie bereinigte Kundendatenbank. Ein Unternehmen verfügt über eine Nummer, die es vor acht Jahren erhoben hat, und hat nie geprüft, ob sie noch gültig ist. Dabei verlangt die DSGVO Datenrichtigkeit (Artikel 5 Abs. 1 Buchst. d): Unrichtige Daten müssen „unverzüglich gelöscht oder berichtigt werden". In der Praxis wird diese Pflicht in Marketingdatenbanken massenhaft ignoriert.
Die als Irrläufer getarnte Betrugs-SMS. Das ist der vierte Fall – und der hinterhältigste. Eine Nachricht wie „Hallo, hier ist Marie, wir sehen uns doch morgen?" ist kein Versehen: Sie ist der Einstieg in einen Beziehungsbetrug, der häufig auf Anlagebetrug mit Kryptowährungen abzielt. Das Muster, in der Cybersicherheitsliteratur Pig Butchering genannt, beginnt stets mit einer angeblich „versehentlich" verschickten Nachricht, um ein Gespräch anzubahnen.
Diese vier Fälle voneinander zu unterscheiden, ist der erste Schritt – denn im letzten Fall ist das richtige Verhalten ein völlig anderes.
Was das französische Recht sagt: Lesen ist keine Straftat, Verwerten schon
Viele Menschen glauben, dass schon das Öffnen einer nicht für sie bestimmten Nachricht eine Straftat darstellt. Das ist falsch, und diese Unterscheidung verdient eine klare Darstellung.
Das Briefgeheimnis ist durch Artikel 226-15 des französischen Strafgesetzbuchs geschützt, der mit einem Jahr Haft und 45.000 € Geldstrafe bestraft, „wer in böser Absicht an Dritte gerichtete Korrespondenz, ob sie ihr Ziel erreicht hat oder nicht, öffnet, löscht, verzögert oder umleitet". Zwei Elemente sind hier entscheidend:
- die böse Absicht: Es bedarf eines Vorsatzes. Eine SMS passiv auf dem eigenen Telefon zu empfangen und in der Benachrichtigung zu lesen, hat nichts Vorsätzliches;
- die Umleitung: Die Vorschrift zielt auf denjenigen ab, der sich die Korrespondenz anderer beschafft, nicht auf den, dem sie irrtümlich zugestellt wird.
Klartext: Sie begehen keine Straftat, wenn Sie eine Nachricht lesen, die spontan bei Ihnen eingegangen ist. Die rote Linie verläuft anderswo.
Rechtswidrig ist nicht, die Nachricht gesehen zu haben. Rechtswidrig ist, sie zu verwenden, weiterzuverbreiten oder damit auf etwas zuzugreifen, das Ihnen nicht gehört.
Drei Verhaltensweisen kippen die Situation:
- Einen irrtümlich erhaltenen Code verwenden. Wenn ein Bestätigungscode einer Bank oder ein Anmeldecode bei Ihnen eingeht und Sie ihn nutzen, verlassen Sie sofort den Bereich des Irrtums und betreten den des unbefugten Zugriffs auf ein automatisiertes Datenverarbeitungssystem (Artikel 323-1 des Strafgesetzbuchs) und – je nach Verwendung – des Betrugs.
- Den Inhalt weiterverbreiten. Einen Screenshot einer irrtümlich erhaltenen intimen Nachricht mit lesbarer Nummer oder lesbarem Namen zu veröffentlichen, kann eine Verletzung der Privatsphäre darstellen (Artikel 226-1) und – bei sexuellen Inhalten – eine Verbreitung ohne Einwilligung (Artikel 226-2-1).
- Gesundheitsdaten aufbewahren und verwerten. Ein bei Ihnen eingegangenes Laborergebnis bleibt von der ärztlichen Schweigepflicht erfasst. Sie selbst unterliegen ihr zwar nicht, doch jede Verwertung würde Sie angreifbar machen.
Anders gesagt: Das Recht schützt den unfreiwilligen Empfänger recht gut – sofern er sich auch wie ein unfreiwilliger Empfänger verhält.
Sollte man antworten? Die Regel der drei Antworten
Das ist die häufigste Frage, und die richtige Antwort hängt von der Art der Nachricht ab.
Fall 1: eindeutig persönliche, von einem Menschen verfasste Nachricht
Ein Freund schreibt einem Freund, ein Elternteil dem Kind, ein Termin wird vereinbart. Hier ist eine Antwort nicht nur erlaubt, sondern hilfreich: „Guten Tag, dies ist nicht die Nummer der Person, die Sie erreichen wollen – Sie haben sich im Empfänger geirrt." Ein Satz, neutral, ohne den Inhalt zu kommentieren.
Eine solche Antwort verhindert das Schlimmste: einen familiären Notfall, bei dem niemand versteht, warum der andere nicht reagiert.
Eine Vorsichtsmaßnahme jedoch: Antworten Sie per SMS, nicht durch Rückruf – besonders dann nicht, wenn die angezeigte Nummer ausländisch ist oder mit einer Sonderrufnummer-Vorwahl beginnt.
Fall 2: automatisierte Nachricht eines Unternehmens oder einer Einrichtung
Arzttermin, Zahlungserinnerung, Lieferbenachrichtigung, Sicherheitscode. Antworten Sie nicht auf die Nachricht selbst: Die meisten dieser Sendungen stammen von Kurzwahlnummern, die nicht erreichbar sind, und Ihre Antwort verpufft ins Leere.
Zielführend ist es, die Einrichtung direkt über ihren offiziellen Kanal zu kontaktieren – nicht über einen Link in der SMS – und die Löschung oder Berichtigung der Nummer zu verlangen. Sie können sich dabei ausdrücklich auf das Recht auf Berichtigung nach Artikel 16 DSGVO berufen. Eine bewährte Formulierung:
„Ihre Einrichtung sendet SMS mit personenbezogenen Daten eines Dritten an meine Rufnummer, deren Inhaber ich seit [Datum] bin. Ich fordere Sie auf Grundlage von Artikel 16 DSGVO auf, diese Nummer im betreffenden Datensatz zu berichtigen oder zu löschen und mir diese Aktualisierung zu bestätigen."
Reagiert das Unternehmen nicht innerhalb eines Monats, nimmt die CNIL Online-Beschwerden genau aus diesem Grund entgegen. Das ist keine Randnutzung des Verfahrens: Schlecht gepflegte Kontaktdatenbanken sind ein durchaus zulässiger Beschwerdegrund.
Fall 3: eine Nachricht, die nach Drehbuch riecht
„Guten Tag, sind Sie Doktor Chen?" „Entschuldigung, ist das die Nummer von Sophie?" „Sorry, falsche Nummer … aus welcher Gegend kommen Sie denn?"
Antworten Sie nichts. Absolut nichts, nicht einmal „falsche Nummer". Jede Antwort bestätigt, dass die Leitung aktiv ist und von einem Menschen gelesen wird – was den Wert Ihrer Nummer in weiterverkauften Datenbanken steigert.
Melden Sie die Nachricht an 33700, die offizielle französische Meldeplattform für unerwünschte und betrügerische SMS, die von den Mobilfunkanbietern unter staatlicher Aufsicht betrieben wird. Leiten Sie die Nachricht an 33700 weiter und senden Sie anschließend die Absendernummer, wenn die Plattform danach fragt. Sie können außerdem eine Meldung auf cybermalveillance.gouv.fr einreichen, wo die Unterstützung von Betroffenen gebündelt wird.
Der Sonderfall der Bestätigungscodes, die Sie nichts angehen
Einen Einmalcode zu erhalten, der für jemand anderen bestimmt ist, ist banal, wenn man eine recycelte Nummer geerbt hat – und es ist zugleich das heikelste Szenario.
Zunächst eine gute Nachricht: In der Regel bedeutet es, dass ein früherer Inhaber seine Online-Konten nicht aktualisiert hat, und nicht, dass jemand versucht, Sie zu hacken.
Zwei Situationen sollten Sie jedoch aufhorchen lassen:
| Was Sie erhalten | Was es wahrscheinlich bedeutet | Reaktion |
|---|---|---|
| Ein einzelner Code, einmal im Monat | Altes, nie aktualisiertes Konto | Dienst kontaktieren, Löschung verlangen |
| Eine Salve von Codes innerhalb weniger Minuten | Laufender Zugriffsversuch auf ein mit dieser Nummer verknüpftes Konto | Code keinesfalls verwenden, dem betroffenen Dienst melden |
| Ein Code, begleitet von einem Anruf „vom Sicherheitsdienst" | Betrugsversuch, der Sie zum Ziel hat | Auflegen, den Code niemals weitergeben |
Der dritte Fall sollte allgemein bekannt sein: Betrüger lösen absichtlich den Versand eines Codes aus, rufen dann das Opfer an, geben sich als Sicherheitsabteilung der Bank oder der Plattform aus und verlangen den Code „zur Überprüfung". Kein französisches Institut wird jemals verlangen, einen Code am Telefon vorzulesen. Das ist Regel Nummer eins, und sie wird sowohl von der Fédération bancaire française als auch von den Versicherern immer wieder betont.
Wenn Sie eine Nummer geerbt haben und regelmäßig Codes erhalten, lohnt sich auch ein Audit Ihrer eigenen Konten: Ihre Zwei-Faktor-Authentifizierung von SMS auf eine dedizierte App umzustellen oder sogar auf einen physischen FIDO2-Sicherheitsschlüssel, beseitigt das Problem an der Wurzel. Ein Ratgeber zur alltäglichen Cybersicherheit ist eine vernünftige Investition, wenn Ihnen das Thema undurchsichtig erscheint: Die SMS bleibt der schwächste Authentifizierungsfaktor im heutigen Ökosystem, und die ANSSI empfiehlt sie für sensible Anwendungen nicht mehr als zweiten Faktor.
Die Kontrolle zurückgewinnen, wenn Ihre Nummer recycelt ist
Wenn die Nachrichten in Dauerschleife und aus vielen verschiedenen Quellen eintreffen, handelt es sich nicht um ein einmaliges Versehen: Ihre Nummer geistert durch Dutzende Datenbanken. Die Methode, die funktioniert, verläuft in vier Schritten.
1. Zwei Wochen lang Bestandsaufnahme machen. Notieren Sie jeden Absender, die Art der Nachricht und die Häufigkeit. Ein einfacher Spiralblock genügt, entscheidend ist die Dokumentation: Sie hilft Ihnen beim Priorisieren und gegebenenfalls beim Belegen einer CNIL-Beschwerde.
2. Identifizierbare Absender einzeln abarbeiten. Senden Sie an jede erkennbare Einrichtung das DSGVO-Berichtigungsverlangen. Das ist mühsam, aber es ist der einzige Schritt, der den Nachrichtenstrom dauerhaft stoppt. Rechnen Sie mit drei bis vier Wochen pro Vorgang.
3. Die Filter des Telefons aktivieren. Sowohl iOS als auch Android erlauben es, unbekannte Absender in einem separaten Reiter zu filtern und eine Nummer mit zwei Handgriffen zu blockieren. Unter Android fängt der Spamfilter von Google Messages einen guten Teil der automatisierten Sendungen ab. Auf dem iPhone leistet die Option „Unbekannte Absender filtern" in den Nachrichten-Einstellungen dieselbe Arbeit. Diese Filter löschen nichts, machen den Lärm aber erträglich.
4. Die Nummer bei Bloctel eintragen. Das staatliche Widerspruchsregister gegen Telefonwerbung erfasst Marketing-SMS zwar nicht in gleicher Weise wie Anrufe, sorgt aber insgesamt für Ruhe. Seit dem Inkrafttreten der Gesetzesänderungen zur vorherigen Einwilligung wird Werbung ohne ausdrückliche Zustimmung von der DGCCRF immer konsequenter geahndet.
Und wenn Sie selbst an die falsche Nummer schreiben?
Das Problem hat eine spiegelbildliche Seite, über die noch weniger gesprochen wird.
Wenn Sie merken, dass Sie eine sensible Nachricht an den falschen Empfänger geschickt haben, sollten Sie wissen: Eine zugestellte SMS lässt sich nicht zurückholen – das Netz kennt keine Funktion „Senden rückgängig machen". RCS erlaubt unter Android in bestimmten Konstellationen, eine Nachricht für alle zu löschen, aber nur, wenn beide Gesprächspartner RCS nutzen – was bei einer unbekannten Person selten der Fall ist.
Was bleibt:
- sofort eine zweite Nachricht senden und höflich um Löschung bitten;
- falls die Nachricht einen Code oder eine Kennung enthielt, diesen Code unverzüglich entwerten, indem Sie eine neue Authentifizierung auslösen;
- falls die Nachricht berufliche Daten enthielt, den Datenschutzbeauftragten Ihrer Organisation informieren: Die versehentliche Offenlegung personenbezogener Daten gegenüber einem Dritten stellt eine Datenschutzverletzung im Sinne von Artikel 33 DSGVO dar, die der CNIL unter Umständen binnen 72 Stunden zu melden ist.
Der beste Schutz bleibt die Vorbeugung: die letzten drei Ziffern prüfen, bevor Sie eine Nachricht mit sensiblen Informationen versenden, und niemals per SMS eine Kennung, einen Zugangscode oder eine vollständige Kartennummer übermitteln. Für Passwörter und Zugangsdaten, die in der Familie oder unter Kollegen geteilt werden, beseitigt ein Passwortmanager oder schlicht ein sicher zu Hause verwahrtes Passwortbuch die Notwendigkeit, sie per Nachricht zu verschicken, vollständig.
Das Wichtigste in Kürze
- Eine nicht für Sie bestimmte Nachricht zu empfangen und zu lesen, ist keine Straftat; sie zu verwerten, weiterzuverbreiten oder einen erhaltenen Code zu nutzen, sehr wohl.
- Bei einer einzelnen, von einem Menschen verfassten Nachricht: eine neutrale, kurze Antwort, ohne den Inhalt zu kommentieren.
- Bei einer automatisierten Nachricht: die Einrichtung über ihren offiziellen Kanal kontaktieren und sich auf das Recht auf Berichtigung berufen (Artikel 16 DSGVO).
- Bei einer Nachricht, die ein Gespräch anbahnen will: nicht antworten, an 33700 weiterleiten.
- Kein Bestätigungscode wird jemals telefonisch weitergegeben – niemals, an niemanden.
- Wenn Ihre Nummer recycelt ist, beendet nur eine methodische Bereinigung der absendenden Datenbanken den Nachrichtenstrom; die Telefonfilter überdecken den Lärm lediglich.
Eine falsch adressierte SMS ist letztlich nur ein weiterer Fehler in einem System, das täglich Millionen davon produziert. Aber sie ist manchmal auch ein Fragment aus dem Leben eines anderen Menschen, das auf Ihrem Bildschirm landet. Die richtige Haltung lässt sich in einem Satz zusammenfassen: den Irrtum melden, nichts verwerten und dafür sorgen, dass er sich nicht wiederholt.
