„Ich verstehe das nicht, ich gebe meine Nummer doch niemandem."
Diesen Satz hört man ausnahmslos immer, wenn sich jemand darüber beklagt, drei Betrugs-SMS pro Woche zu bekommen. Und er ist ehrlich gemeint: Die Person erinnert sich nicht daran, ihre Nummer herausgegeben zu haben. Nur hat sie es getan – an der Kasse eines Geschäfts für die Kundenkarte, in einem Formular für ein Versicherungsangebot, in einer Verkaufsanzeige für ein Fahrrad, bei einer Online-Bestellung, um über die Lieferung informiert zu werden, bei der Registrierung eines Kontos, das eine Bestätigung per SMS verlangte.
Eine Handynummer ist längst kein Kontaktweg mehr. Sie ist zu einer universellen Kennung geworden: einmalig, über Jahre stabil, selten gewechselt, beim Anbieter mit einer amtlichen Identität verknüpft. Keine andere personenbezogene Angabe ist so wertvoll für jemanden, der Sie erreichen will – für Vertriebsleute genauso wie für Betrüger.
Die gute Nachricht: Die Menge an Betrugs-SMS, die Sie erhalten, ist kein unabänderliches Naturereignis. Sie hängt unmittelbar davon ab, wie exponiert Ihre Nummer ist. Und diese Exponierung lässt sich verringern.
Woher die angeschriebenen Nummern wirklich kommen
Anders als weit verbreitet angenommen, kaufen Betrüger nicht alle ihre Nummern auf illegalen Marktplätzen. Die Quellen sind viel alltäglicher – und genau das macht das Phänomen so schwer zu bekämpfen.
Die automatische Generierung
Das ist die einfachste Methode, und sie setzt kein einziges Datenleck voraus. Die Rufnummernbereiche für Mobilfunk sind öffentlich: Die Regulierungsbehörde weist den Anbietern Nummernblöcke zu, und diese Blöcke sind dokumentiert. Eine Software kann also Millionen gültiger Kombinationen erzeugen und sie massenhaft bespielen.
Diese Art von Kampagne erklärt die vollkommen allgemein gehaltenen SMS: „Ihr Paket liegt bereit", „Konto gesperrt, bitte bestätigen". Keine Personalisierung, kein Name. Die Nachricht setzt darauf, dass einer von hundert Empfängern genau an diesem Tag tatsächlich ein Paket erwartet.
Datenlecks in Kundendatenbanken
Die Jahre 2023 bis 2026 waren von einer Reihe massiver Sicherheitsvorfälle geprägt, die Mobilfunkanbieter, Krankenversicherer, Handelsketten und Dienstleister für die Verwaltung von Gesundheitsdaten betrafen. Die französische Datenschutzbehörde CNIL hat dazu mehrere Abmahnungen und Sanktionen veröffentlicht und empfiehlt den Betroffenen erhöhte Wachsamkeit bei eingehenden Nachrichten.
Aus solchen Lecks stammen die beunruhigenden SMS: jene, die Ihren Namen kennen, manchmal Ihren Wohnort, manchmal den Namen Ihrer Krankenversicherung. Der Inhalt wirkt glaubwürdig, weil er auf echten Daten beruht.
Die legale, aber weiterverkaufte Datenerhebung
Das ist die größte und am meisten unterschätzte Quelle. Jedes Mal, wenn Sie ein Kästchen ankreuzen – oder vergessen, es abzuwählen –, mit dem Sie die Weitergabe Ihrer Daten „an unsere Partner" erlauben, gelangt Ihre Nummer in eine vollkommen legale Vermarktungskette. Sie wird vermietet, angereichert, mit anderen Datenbanken abgeglichen.
Die DSGVO regelt diese Praxis, aber sie regelt sie nur: Sie verbietet sie nicht. Und eine legal aufgebaute Datenbank kann später leaken, außerhalb des vorgesehenen Rahmens weiterverkauft werden oder bei einem wenig skrupulösen Akteur landen. Der Weg von der „Kundenkarte eines Baumarkts" zur „SMS eines falschen Bankberaters" ist kürzer, als man denkt.
Das Abgrasen von Kleinanzeigen
Kleinanzeigenportale sind eine Goldgrube. Viele Verkäufer schreiben ihre Nummer direkt in den Anzeigentext, um das interne Nachrichtensystem zu vermeiden. Bots saugen diese Nummern fortlaufend ab – mit einem Bonus: Sie wissen, dass die Person etwas verkauft, zu welchem Preis und in welcher Stadt. Genau das ist der Treibstoff für Betrugsmaschen mit falschen Käufern.
Der einfache Test, um Ihre Lage einzuschätzen
Bevor Sie handeln, lohnt es sich zu messen. Notieren Sie zwei Wochen lang jede unerwünschte SMS in drei Spalten:
| Typ | Merkmal | Was das verrät |
|---|---|---|
| Allgemein, ohne Ihren Namen | „Ihr Paket", „Ihr Konto" | Automatische Generierung – unvermeidlich |
| Mit Ihrem Vor- oder Nachnamen | „Guten Tag Marie, Ihr Vorgang…" | Ihre Nummer steht in einer namentlichen Datenbank |
| Mit konkretem Kontext | Name Ihrer Bank, Ihrer Krankenversicherung, eines kürzlichen Einkaufs | Gezieltes Datenleck oder qualifizierter Weiterverkauf |
Wenn der Großteil Ihrer SMS allgemein gehalten ist, ist Ihre Exponierung normal und Filtermaßnahmen genügen. Wenn Sie regelmäßig namentliche und kontextualisierte Nachrichten erhalten, kursiert Ihre Nummer in qualifizierten Datenbanken – und dann ist die Arbeit eine andere: Sie betrifft die Verbreitung, nicht nur den Filter.
Exponierung verringern: Was wirklich funktioniert
Aufhören, eine einzige Nummer für alles zu nutzen
Das ist der wirksamste und einfachste Hebel. Der strukturelle Fehler besteht darin, dieselbe Nummer für die Bank, die Familie, Lieferungen, Anzeigen und Online-Registrierungen zu verwenden. Alles ist vermischt, also ist alles auf dem Niveau des schwächsten Glieds exponiert.
Die Lösung ist nicht, die Nummer zu wechseln – das ist wirkungslos, lästig, und die neue Nummer wird binnen achtzehn Monaten ebenso exponiert sein. Die Lösung lautet Trennung.
Eine zweite Nummer für „öffentliche" Zwecke (Anzeigen, Werbeformulare, Registrierungen bei nicht essenziellen Diensten) lässt die Belastung der Hauptnummer deutlich sinken. Dafür gibt es mehrere Möglichkeiten:
- eine Prepaid-SIM-Karte ohne Vertragsbindung, die punktuell aufgeladen wird, oft für wenige Euro;
- eine zweite eSIM, sofern Ihr Telefon sie unterstützt, was das physische Hin- und Herwechseln erspart;
- ein Dual-SIM-Smartphone, mit dem sich beide Anschlüsse ohne Zweitgerät aktiv halten lassen.
Wer das Gerät nicht wechseln möchte, findet in einem Dual-SIM-Adapter bei älteren Modellen eine brauchbare Notlösung, auch wenn die Handhabung weniger reibungslos ist als bei echtem Dual-SIM.
Die Nummer nicht mehr angeben, wenn sie nicht zwingend nötig ist
Ein einfacher Rechtsgrundsatz, auf den die CNIL hinweist: Der Verantwortliche darf nur die Daten erheben, die für den angegebenen Zweck erforderlich sind. Eine Handynummer ist für eine Kundenkarte, einen Newsletter oder den Download einer Broschüre so gut wie nie erforderlich.
In der Praxis genügt im Geschäft in den allermeisten Fällen die Antwort „Ich möchte sie lieber nicht angeben". Die Karte wird trotzdem ausgestellt. Die Nummer wurde verlangt, weil das Formular sie verlangte, nicht weil der Dienst sie brauchte.
In Online-Formularen ist das Feld oft aus Designfaulheit als Pflichtfeld markiert. Wenn der Dienst tatsächlich nützlich ist, ist es keineswegs unsinnig, dort die Zweitnummer einzutragen.
Bestehende Anzeigen aufräumen
Wenn Sie Anzeigen mit Ihrer Nummer im Klartext veröffentlicht haben, sind diese wahrscheinlich noch indexiert. Eine Suche nach Ihrer eigenen Nummer in Anführungszeichen bei einer Suchmaschine liefert manchmal überraschende Ergebnisse: Gebrauchtanzeigen, Geschäftskonten, alte Foren, Vereinslisten, als PDF veröffentlichte Sitzungsprotokolle.
Jeder Treffer ist ein Löschantrag, den Sie verschicken sollten. Die DSGVO gewährt Ihnen ein Recht auf Löschung, das Sie beim Verantwortlichen der Website ausüben können – mit der Möglichkeit, bei einer Ablehnung die Datenschutzbehörde einzuschalten.
Das Widerspruchsrecht gegen Direktwerbung nutzen
Die DSGVO sieht ein Widerspruchsrecht gegen Direktwerbung vor, das ohne Begründung ausgeübt werden kann. Konkret:
- gegen telefonische Werbeanrufe bleibt die Eintragung bei Bloctel kostenlos und für Unternehmen verbindlich;
- bei legitimen Werbe-SMS funktioniert das Wort STOP an die Kurzwahlnummer und kostet nicht mehr als eine normale SMS;
- bei Betrugs-SMS ist STOP kontraproduktiv: Es bestätigt, dass die Nummer aktiv ist und gelesen wird.
Diese Unterscheidung ist entscheidend, und genau hier machen viele einen Fehler. Eine SMS einer bekannten Marke mit dem Hinweis „STOP 36xxx" ist eine regulierte Werbebotschaft: Wer STOP antwortet, beendet sie. Eine Betrugs-SMS hat keinen rechtlich vorgesehenen STOP-Hinweis – oder sie ahmt einen nach. In diesem Fall antwortet man nicht, sondern leitet die Nachricht an die 33700 weiter.
Filtern, was trotzdem durchkommt
Die Exponierung zu verringern dauert Monate. In der Zwischenzeit begrenzt das Filtern den Schaden im Alltag.
Die im Telefon integrierten Filter
Android und iOS bieten beide eine automatische Sortierung unbekannter Absender und eine Filterung unerwünschter Nachrichten, inzwischen verstärkt durch lokal arbeitende Analysemodelle, die typische Smishing-Formulierungen erkennen. Diese Funktionen sind nützlich, aber auf vielen Geräten selten standardmäßig aktiviert – es lohnt sich, in den Einstellungen der Nachrichten-App nachzusehen.
Ihre Grenze ist bekannt: Sie filtern Nachrichten schlecht, die einen legitimen Absendernamen vortäuschen und sich in einen bestehenden Chatverlauf einschleichen.
Manuelles Blockieren, mit Maß
Jede Absendernummer zu blockieren ist ein natürlicher Reflex, bringt aber wenig: Smishing-Kampagnen wechseln bei jedem Versand die Nummer. Blockieren hat vor allem einen psychologischen Nutzen – die Nachricht nicht mehr zu sehen – und einen echten Nutzen in nur einem Fall: bei Belästigung durch einen festen Absender.
Die Meldung an die 33700
Die Weiterleitung an die 33700 schützt Sie nicht persönlich, aber sie speist das System der Mobilfunkanbieter, das missbräuchliche Absender abschaltet. Sie ist kostenlos, wird nicht vom Tarifvolumen abgezogen, und sie ist die einzige Handlung mit messbarer kollektiver Wirkung.
Sensible Anwendungen schützen: Das ist der eigentliche Punkt
Weniger Betrugs-SMS zu erhalten ist angenehm. Aber das eigentliche Ziel liegt woanders: dafür zu sorgen, dass eine kompromittierte Nummer nicht auch Ihre Konten kompromittiert.
Denn heute ist die Handynummer nicht nur ein Empfangskanal. Sie ist oft der Wiederherstellungsschlüssel für ein Konto: „Passwort vergessen? Code per SMS erhalten." Das heißt: Wer Ihre Nummer kontrolliert, kontrolliert Ihre Konten.
Die SMS aus der Authentifizierung nehmen, wo es möglich ist
Die SMS bleibt der verbreitetste und der schwächste Authentifizierungsfaktor. Die französische Cybersicherheitsbehörde ANSSI rät seit Jahren davon ab und empfiehlt robustere Lösungen. Bei wichtigen Konten – Haupt-E-Mail-Postfach, Cloud, soziale Netzwerke, Zahlungsplattformen – ist es besser, auf eine Authenticator-App umzusteigen, die Codes offline erzeugt.
Für wirklich kritische Konten bleibt ein physischer Sicherheitsschlüssel im USB-Format die höchste Stufe: Selbst wenn ein Angreifer Ihr Passwort und Ihre SMS-Codes hat, kann er ohne das Gerät nichts ausrichten.
Die SIM-Karte selbst sperren
Die Übernahme des Anschlusses – eine neue SIM auf Ihren Namen zu erhalten, um Ihre Codes abzufangen – bleibt selten, ist aber verheerend. Zwei einfache Maßnahmen:
- einen aktiven PIN-Code auf der SIM-Karte behalten, und zwar nicht 0000 oder 1234, was viele aus Bequemlichkeit deaktivieren;
- Ihren Anbieter fragen, ob für jede Anfrage einer Ersatz-SIM ein Passwort oder eine doppelte Bestätigung verlangt werden kann. Die meisten bieten das an, wenige bewerben es.
Passwörter nicht in SMS aufbewahren
Eine häufige Gewohnheit besteht darin, sich selbst sensible Informationen per SMS zu schicken: Tresorcode, Benutzerkennung, Vertragsnummer. Der Nachrichtenverlauf wird so zu einem offen liegenden Schlüsselbund, lesbar für jeden, der das Telefon ein paar Sekunden in die Hand nimmt.
Ein verschlüsselter Passwortmanager löst das Problem für den digitalen Bereich. Für Codes, die man nirgends online haben will, bleibt ein Passwortbuch aus Papier, zu Hause verwahrt, entgegen aller Intuition eine ernstzunehmende Option: Es ist nicht dem Internet ausgesetzt und geht nicht mit dem im Zug verlorenen Telefon verloren.
Der Fall von Kindern und Senioren
Zwei Gruppen verdienen eine besondere Behandlung, und zwar aus entgegengesetzten Gründen.
Jugendliche verbreiten ihre Nummer massenhaft: Anmeldungen bei Spielen, Austausch auf Plattformen, Gewinnspiele. Ihre Exponierung ist strukturell hoch. Hier ergibt die Trennung vollen Sinn: Hauptanschluss für Familie und Schule, Zweitnummer für alles andere.
Senioren geben ihre Nummer selten heraus, stehen aber in alten und gut gepflegten Datenbanken: Krankenversicherungen, Rentenkassen, Vereine, Mobilfunkanbieter. Ihre Betrugs-SMS sind daher stärker kontextualisiert und damit glaubwürdiger. Der richtige Ansatz ist nicht, sie mit Einstellungen zu überfrachten, sondern eine einzige, leicht zu merkende Regel einzuführen: Kein per SMS empfangener Link wird angeklickt, niemals; man ruft die Organisation unter der Nummer zurück, die auf einem Papierdokument steht.
Für jene, die mit dem kleinen Display Schwierigkeiten haben, verringert ein Telefon mit großen Tasten und kontrastreichem Display die Bedienfehler – eine weithin unterschätzte Ursache für versehentliche Klicks.
Was man sich merken sollte
Die Menge an Betrugs-SMS, die Sie erhalten, ist kein Zufall: Sie ist das Maß dafür, wie exponiert Ihre Nummer ist.
Drei Handlungsebenen, nach Wirksamkeit geordnet:
- Trennen – eine Nummer für sensible Zwecke, eine andere für alles Übrige. Das ist die Maßnahme mit dem besten Verhältnis von Aufwand und Wirkung.
- Verbreitung begrenzen – die Nummer nicht angeben, wenn sie nicht nötig ist, aufräumen, was online herumliegt, das Widerspruchsrecht nutzen.
- Entkoppeln – dafür sorgen, dass die Nummer nicht länger der Wiederherstellungsschlüssel Ihrer wichtigen Konten ist.
Filtern und Blockieren kommen danach. Sie behandeln das Symptom, nicht die Ursache. Und wenn sich die Ursache in einem Satz zusammenfassen lässt, dann so: Wir haben zugelassen, dass eine einmalige, dauerhafte und verifizierte Kennung zu dem Datum wird, das wir am leichtfertigsten weitergeben.
Um die rechtmäßige Nutzung Ihrer Daten durch eine Organisation zu überprüfen, stellt die CNIL auf ihrer Website Musterschreiben für das Auskunfts- und Widerspruchsrecht bereit. Um einen nachgewiesenen Betrug zu melden, weist die Plattform Cybermalveillance.gouv.fr den Weg zu den passenden Schritten; eine Strafanzeige ist weiterhin bei der Polizei oder der Gendarmerie möglich – bringen Sie Ihre Screenshots mit.
