„Ich verstehe das nicht. Ich passe auf, ich klicke nie, und trotzdem bekomme ich vier Betrugs-SMS pro Woche."
Diesen Satz hört man ständig. Und er ist vollkommen logisch: Vorsicht schützt vor den Folgen einer betrügerischen SMS, nicht vor ihrem Empfang. Solange Ihre Nummer in Datenbanken kursiert, wird sie weiter beschossen. Das Problem ist nicht Ihr Verhalten gegenüber den Nachrichten, sondern die Exponiertheit der Kennung selbst.
Seit rund fünfzehn Jahren hat die Handynummer klammheimlich die Postanschrift und die E-Mail-Adresse als wichtigsten Identifikationsschlüssel abgelöst. Sie dient dazu, einen Bank-Bestätigungscode zu empfangen, ein Paket zu verfolgen, ein Konto anzulegen, Treuepunkte zu sammeln, eine Anzeige zu schalten, einen Tisch zu reservieren. Ein und dieselbe Nummer, geteilt mit Hunderten von Gegenübern höchst unterschiedlicher Vertrauenswürdigkeit. Das ist ein Single Point of Failure – und die Betrüger wissen das.
Die hier beschriebene Methode ist alles andere als spektakulär: Sie besteht darin, aufzuhören, eine einzige Nummer zu verwenden. Eine Nummer für die Menschen, die zählen, und für kritische Dienste, eine zweite für alles andere. Das ist kein Geek-Trick, das ist Kompartimentierung – genau das Prinzip, das man bei Passwörtern längst anwendet.
Warum eine einzige Nummer irgendwann immer durchsickert
Die Lecks kommen nicht von Ihnen
Eine Handynummer landet nicht deshalb auf einer Betrügerliste, weil Sie etwas falsch gemacht haben. Sie landet dort durch Anhäufung:
- Datenschutzverletzungen. Die CNIL hat in den vergangenen Jahren massive Meldungen registriert, die Mobilfunkanbieter, Ticketplattformen, Krankenzusatzversicherungen und Handelsketten betrafen. Die Telefonnummer gehört fast immer zu den offengelegten Feldern, weil sie als „weniger sensibel" gilt als das Passwort – dabei ist sie gerade dauerhaft und nicht ohne Aufwand änderbar.
- Der Weiterverkauf von Datensätzen. Werbliche Ansprache, völlig legal, sofern eine Einwilligung vorliegt, speist eine Grauzonen-Ökonomie, in der Datenbanken weiterverkauft, abgeglichen und angereichert werden. Ist eine Nummer einmal in diesem Kreislauf, kommt sie selten wieder heraus.
- Die Verknüpfung. Ihre Nummer, hinterlassen in einer Kleinanzeige, in einem Gewinnspielformular, auf einer Buchungsseite, wird zum Bindeglied, über das sich mehrere Datensätze miteinander verknüpfen lassen. Das erklärt jene SMS, die Ihren Namen, Ihre Stadt oder Ihre Bestellung „kennen".
Die Folge: ein Opferprofil
Wenn eine Nummer mit Kontextinformationen verknüpft ist, verschickt der Betrüger keine generische Nachricht mehr. Er verschickt eine plausible Nachricht. Und Plausibilität ist mit weitem Abstand der wichtigste Erfolgsfaktor beim Smishing. Die Banque de France betont in den Arbeiten ihres Observatoire de la sécurité des moyens de paiement die Zunahme des sogenannten „Manipulationsbetrugs", bei dem das Opfer selbst handelt, überzeugt von einem glaubwürdigen Szenario.
Kompartimentieren heißt, diese Verknüpfung zu zerschlagen. Wenn Ihre „öffentliche" Nummer nie mit Ihrer Bank verbunden ist, lässt sich aus einem Leck, das sie betrifft, keine glaubwürdige Banknachricht mehr basteln.
Die drei Wege zu einer zweiten Nummer
1. Die zweite physische SIM oder die eSIM
Das ist die robusteste Lösung. Nahezu alle seit 2021 verkauften Smartphones unterstützen Dual-SIM, häufig auch die Kombination physische SIM + eSIM. Eine eSIM lässt sich in wenigen Minuten per QR-Code aktivieren, ohne Gang in den Laden.
Zusatztarife für 2 oder 3 € im Monat reichen völlig aus: Sie müssen lediglich SMS empfangen und gelegentlich telefonieren können. Manche Anbieter haben sogar Tarife mit Kostenbremse für unter 2 €, die für diese Rolle bestens geeignet sind.
Auf einem älteren Telefon ohne eSIM-Unterstützung bleibt die Zweitgerät-Lösung sinnvoll: ein günstiges Dual-SIM-Handy, in einer Schublade aufbewahrt und einmal pro Woche eingeschaltet, erfüllt die Funktion eines „Briefkastens" für zweitrangige Anmeldungen bestens.
2. Die virtuelle App-Nummer
Mehrere Dienste bieten eine softwareseitig zugewiesene Nummer an, die sich über eine App nutzen lässt. Praktisch, aber Achtung bei zwei Einschränkungen: Manche Bank- und Behördendienste akzeptieren für den Versand von Bestätigungscodes keine Nummern, die nicht an einen klassischen Mobilfunkanbieter gebunden sind, und die Beständigkeit der Nummer hängt vom Fortbestehen des Dienstes ab. Eine virtuelle Nummer, die abläuft, bedeutet ein möglicherweise unwiederbringlich verlorenes Konto.
3. Der Festnetzanschluss oder die Nummer eines alten Tarifs
Eine Notlösung, aber wirksam: Viele Formulare akzeptieren eine Festnetznummer. Wenn Sie über Ihren Router eine haben, kann sie einen Teil der unkritischen Anmeldungen auffangen. Der Nachteil: Sie empfängt keine SMS, was jede Zwei-Faktor-Authentifizierung blockiert.
So teilen Sie Ihre Nutzungen auf: die Zwei-Spalten-Regel
Das Prinzip ist einfach: Die private Nummer darf niemals in ein Online-Formular eingetragen werden, abgesehen von den aufgeführten Ausnahmen.
| Nutzung | Private Nummer | Öffentliche Nummer |
|---|---|---|
| Familie, Freunde, Kollegen | ✅ | ❌ |
| Bank, Versicherung, Finanzamt, Krankenkasse | ✅ | ❌ |
| Arzt, Apotheke, Labor | ✅ | ❌ |
| Schule, Kita, Arbeitgeber | ✅ | ❌ |
| Lieferungen, Onlinehandel | ❌ | ✅ |
| Kundenkarten, Gewinnspiele | ❌ | ✅ |
| Kleinanzeigen, Vinted, Leboncoin | ❌ | ✅ |
| Reservierungen (Restaurant, Friseur, Mietwagen) | ❌ | ✅ |
| Anmeldungen bei wenig bekannten Websites | ❌ | ✅ |
| Öffentliches WLAN, das eine Nummer verlangt | ❌ | ✅ |
Dieses Raster ist keine dauerhafte Belastung. Es erfordert in den ersten beiden Wochen etwas Aufwand, bis der Reflex sitzt, danach läuft es automatisch.
Der Sonderfall Zwei-Faktor-Authentifizierung
Hier muss man konsequent sein. Die per SMS empfangenen Codes zur Bestätigung einer Zahlung oder einer Anmeldung müssen auf der privaten Nummer ankommen, niemals auf der öffentlichen. Der Grund: Die öffentliche Nummer ist jene, die in geleakten Datenbanken auftaucht, also jene, auf die ein Versuch der Leitungsübernahme zielt (Rufnummernmitnahme- oder SIM-Swap-Betrug).
Und wenn Sie schon dabei sind, nutzen Sie die Gelegenheit, wo immer möglich von SMS wegzukommen. Die ANSSI empfiehlt seit Langem Authentifizierungs-Apps statt SMS-Codes, da SMS nicht Ende-zu-Ende-verschlüsselt sind. Für die sensibelsten Konten ist ein physischer FIDO2-Sicherheitsschlüssel die nächste Stufe: Er macht Phishing strukturell wirkungslos, da kein Code an Dritte weitergegeben werden kann.
Was die Trennung wirklich löst – und was nicht
Was sie löst
- Das Volumen. Die Erfahrungsberichte decken sich: Nach sechs bis zwölf Monaten empfängt die private Nummer nur noch einen Restanteil an Spam, oft nahe null, während sich alles auf der öffentlichen Nummer konzentriert.
- Die Glaubwürdigkeit der Angriffe. Eine SMS „Ihr Paket wurde zurückgehalten", empfangen auf einer Nummer, von der Sie wissen, dass sie nur für Lieferungen und fragwürdige Anmeldungen reserviert ist, verliert sofort ihre Überzeugungskraft. Sie müssen sich nicht mehr fragen, ob sie echt ist: Der Kontext antwortet für Sie.
- Das Aufspüren von Lecks. Indem Sie bestimmte Nutzungen bestimmten Nummern zuordnen, wissen Sie, woher ein Leck stammt. Es ist das Prinzip der Wegwerf-E-Mail-Adresse, übertragen auf das Mobiltelefon.
Was sie nicht löst
Seien wir ehrlich, was die Grenzen angeht.
Absender-Spoofing bleibt möglich: Ein Betrüger kann den Namen Ihrer Bank anzeigen lassen, unabhängig von der Zielnummer. Die Trennung verringert die Wahrscheinlichkeit, dass Sie diese Nachricht erhalten, nicht die technische Fähigkeit des Angreifers.
SMS-Blaster, jene Koffer, die eine Mobilfunkzelle simulieren und alle Handys im Umkreis von einigen hundert Metern beschießen, ignorieren Ihre Nummer vollständig: Sie nutzen nicht das Netz des Anbieters und müssen Ihre Leitung gar nicht kennen. Gegen diesen Vektor schützt keine Kompartimentierung.
Und schließlich schützt die Trennung nicht vor Ihren eigenen Kontakten. Wenn das Telefon eines Freundes kompromittiert und sein Adressbuch abgesaugt wird, verlässt Ihre private Nummer dessen Schutzraum.
Den Umstieg vollziehen, ohne alles zu zerlegen
Schritt 1: inventarisieren, bevor Sie handeln
Bevor Sie irgendetwas aktivieren, listen Sie die Dienste auf, bei denen Ihre aktuelle Nummer hinterlegt ist. Öffnen Sie Ihren SMS-Posteingang und gehen Sie die letzten sechs Monate durch: Dabei tauchen die legitimen Absender auf (Bank, Zusatzversicherung, Arzt, Mobilfunkanbieter, Lieferdienste). Das ist Ihr Ausgangsinventar.
Ein Notizbuch aus Papier eignet sich für diesen Schritt hervorragend und hat einen echten Vorteil: Es wird nie in einem Datenleck landen. Viele Menschen, die ihre digitale Sicherheit strukturieren, führen ein solches Offline-Register für Informationen zur Kontowiederherstellung.
Schritt 2: entscheiden, welche Nummer „öffentlich" wird
Es gibt zwei Schulen.
Option A – die alte Nummer wird zur öffentlichen Nummer. Sie nehmen eine neue Leitung für den privaten Gebrauch. Vorteil: keinerlei Aktualisierungsaufwand, alle bestehenden Dienste funktionieren weiter. Nachteil: Ihre brandneue private Nummer muss Ihren Angehörigen mitgeteilt werden, und Sie müssen daran denken, die kritischen Dienste darauf umzustellen.
Option B – die alte Nummer bleibt privat. Sie nehmen eine neue Leitung für den öffentlichen Gebrauch. Vorteil: Für Ihre Angehörigen ändert sich nichts. Nachteil: Sie müssen alle bereits registrierten unkritischen Dienste einzeln aktualisieren – oder einfach die Zeit arbeiten lassen und die öffentliche Nummer nur für neue Anmeldungen verwenden.
In der Praxis ist Option B der sanftere Weg, und sie ist es, die ich allen empfehle, die keine Lust auf eine Großbaustelle haben. Die private Nummer „reinigt" sich nach und nach.
Schritt 3: zwei Leitungen ohne Verwechslung verwalten
Unter Android wie unter iOS können Sie jede Leitung benennen („Privat", „Öffentlich"), ihr eine Blasenfarbe zuweisen und eine Standardleitung für den Versand festlegen. Nehmen Sie sich fünf Minuten dafür: Genau das verhindert, dass Sie eine berufliche Nachricht von der Müllnummer aus verschicken.
Ein unterschiedlicher Klingelton pro Leitung ist ebenfalls sehr nützlich. Die öffentliche Nummer muss Sie nicht unterbrechen: Stellen Sie sie dauerhaft stumm und sehen Sie einmal täglich nach. Bei Telefonen, die Tonprofile pro SIM schlecht verwalten, lässt sich mit einer Smartwatch mit gefilterten Benachrichtigungen erreichen, dass nur die private Leitung durchkommt.
Schritt 4: die öffentliche Nummer nicht zu gesprächig machen
Eine öffentliche Nummer bleibt eine Nummer, die Ihnen gehört. Verknüpfen Sie damit nicht Ihren vollständigen Namen in Verzeichnissen, nutzen Sie sie nicht als Messenger-Kennung mit persönlichem Profilfoto, und verweigern Sie in diesem Kontext installierten Apps die Synchronisierung des Adressbuchs.
Der Reflex, der in jedem Fall bleiben muss: melden
Die Trennung ersetzt die Meldung nicht. Jede empfangene betrügerische SMS – auf der einen wie auf der anderen Leitung – sollte an die 33700 weitergeleitet werden, den offiziellen Meldedienst für Spam-Anrufe und -SMS, der von der Association française du multimédia mobile in Zusammenarbeit mit den Mobilfunkanbietern betrieben wird. Das ist kostenlos, dauert zehn Sekunden und speist die Sperrung von Absendernummern.
Bei finanziellem Schaden bleiben die Strafanzeige sowie die Plattformen Perceval (bei betrügerischer Nutzung der Bankkarte) und Cybermalveillance.gouv.fr (für die Begleitung) die offiziellen Anlaufstellen.
Eine mit Spam gesättigte öffentliche Nummer ist kein Versagen des Systems: Sie ist der Beweis, dass es funktioniert. Der Spam ist dorthin gewandert, wo er keinen Schaden mehr anrichtet.
Braucht es wirklich zwei Telefone?
Für die meisten Menschen: nein, Dual-SIM reicht. Zwei Situationen rechtfertigen dennoch ein zweites Gerät.
Der berufliche Fall. Wenn Sie selbstständig sind oder einen Handel betreiben, ist die auf Ihren Geschäftsunterlagen angegebene Nummer per Definition öffentlich, exponiert, abgegrast. Sie physisch vom privaten Telefon zu trennen, ergibt Sinn – besonders für Feierabend und Wochenende. Eine kompakte Powerbank wird dann zum unverzichtbaren Zubehör, denn zwei Geräte bedeuten zwei Akkulaufzeiten, die es zu managen gilt.
Der Reise-Fall. Auf Reisen begrenzt ein Zweittelefon mit ausschließlich der öffentlichen Nummer das Ausmaß des Schadens bei Diebstahl oder Verlust, da weder die Bank noch Bestätigungscodes darüber laufen. Sinnvoll ergänzen lässt sich das mit einem Bluetooth-Tracker in der Tasche, mit dem sich zumindest feststellen lässt, ob das Gerät irgendwo liegen geblieben ist oder mitgenommen wurde.
Was Sie mitnehmen sollten
Datenlecks können Sie nicht verhindern: Sie hängen nicht von Ihnen ab. Sie können aber entscheiden, was sie mit sich fortnehmen. Eine einzige Nummer ist ein Schlüssel, der alle Türen Ihres digitalen Lebens öffnet; zwei Nummern sind zwei getrennte Schlüsselbunde, von denen einer folgenlos verloren gehen kann.
Die Einrichtung erfordert eine Stunde Nachdenken, ein paar Euro im Monat und zwei Wochen Gewöhnung. Im Gegenzug stellt sich die Frage „Ist diese SMS echt?" deutlich seltener – und genau das ist das Ziel. Die beste Betrugs-SMS ist die, die auf einer Leitung ankommt, von der Sie schon vor dem Öffnen wissen, dass dort nie etwas Wichtiges eintrifft.
