„Ich habe mein altes Handy über eine Ankaufplattform verkauft. Drei Wochen später bekam ich eine SMS, in der der Name meiner Bank, mein Vorname und der genaue Betrag einer Überweisung standen, die ich im März getätigt hatte. Ich weiß nicht mehr, ob ein Link dabei war, aber mir lief es kalt den Rücken herunter."
Solche Berichte kursieren bei Verbraucherschutzverbänden, und sie sind im Detail schwer zu überprüfen: Woher ein konkretes Datenleck stammt, lässt sich fast nie ermitteln. Aber sie weisen auf einen echten blinden Fleck hin. Der Handywechsel wird als logistische Aufgabe behandelt – Fotos übertragen, Apps wiederfinden – obwohl er in erster Linie eine Sicherheitsaufgabe ist. Für einige Tage existieren Ihre SMS doppelt, Ihre Zwei-Faktor-Authentifizierung ist aus dem Takt, und ein Gerät mit Jahren an Nachrichten liegt unbeaufsichtigt herum.
Dieser Leitfaden beschreibt die richtige Reihenfolge: was Sie wirklich sichern sollten, was Sie auf keinen Fall mitnehmen dürfen und wie Sie mit dem Altgerät umgehen, damit es nicht zur Quelle der nächsten perfekt recherchierten Betrugs-SMS wird.
Warum dieses Zeitfenster von wenigen Tagen riskant ist
Ihre Nummer wird vorübergehend instabil
Wenn Sie eine neue Leitung, eine neue SIM oder eine eSIM aktivieren, gibt es fast immer eine Übergangszeit, in der das alte Medium noch teilweise funktioniert – oder in der gar nichts mehr richtig ankommt. Konkret heißt das:
- Bank-Bestätigungs-SMS können auf dem alten Gerät landen, wenn die physische SIM dort geblieben ist;
- Nachrichten können vom Netz zurückgehalten und mehrere Stunden später im Schwung ausgeliefert werden, wodurch sich ein legitimer Code nicht mehr von einem Code unterscheiden lässt, den jemand anderes ausgelöst hat;
- Ihre Kontakte wissen, dass Sie das Handy wechseln: der ideale Vorwand für eine Nachricht im Stil von „Deine neue Nummer geht nicht durch, bestätige sie hier".
Diese Verwirrung ist der Treibstoff für Smishing. Eine Betrugs-SMS ist nicht deshalb erfolgreich, weil sie gut formuliert ist, sondern weil sie in einem Moment eintrifft, in dem Sie genau so eine Nachricht erwartet haben. Der Handywechsel erzeugt diesen Moment künstlich.
Das alte Handy bleibt eine Fundgrube an Informationen
Ein fünf Jahre altes Smartphone enthält in der Regel mehrere Tausend SMS, darunter Einmalcodes, Bestellbestätigungen mit Lieferadresse, Erinnerungen an Arzttermine, Versicherungsnachrichten mit Vertragsnummer. Einzeln betrachtet ist nichts davon vertraulich. Zusammengenommen ergibt es ein Dossier, mit dem sich eine glaubwürdige Betrugsnachricht schreiben lässt.
Die CNIL weist in ihren Praxishinweisen zum Weiterverkauf von Geräten regelmäßig darauf hin, dass das manuelle Löschen von Dateien nicht ausreicht: Nur ein vollständiges Zurücksetzen auf einem verschlüsselten Gerät macht die Daten wirklich unzugänglich. An diesem Punkt hören die meisten Menschen zu früh auf.
Schritt 1: Aussortieren, bevor Sie übertragen
Die Versuchung ist groß, einfach alles mitzunehmen. Das ist ein Fehler: Sie duplizieren sensible Daten ohne jeden Nutzen.
SMS, die es wert sind, aufbewahrt zu werden
Es sind weniger, als man denkt, aber sie zählen:
| Art der Nachricht | Warum aufbewahren |
|---|---|
| Austausch mit Handwerkern, Vermietern, Käufern | Beweiswert im Streitfall |
| Bestätigungen von Arzt- oder Behördenterminen | Nachvollziehbarkeit der Termine |
| Persönliche Nachrichten (Angehörige, Beileid, Ankündigungen) | Emotionaler Wert |
| Bereits erhaltene und gemeldete Betrugs-SMS | Nützlich bei einer Anzeige |
Für diese Nachrichten ist ein Export besser als eine bloße Synchronisierung. Unter Android lassen sich mit Export-Apps Unterhaltungen als Text- oder Tabellendatei archivieren und danach vom Handy löschen. Auf dem iPhone erfüllt das verschlüsselte lokale Backup über einen Computer denselben Zweck. In beiden Fällen ist es sinnvoll, das Archiv auf einem Offline-Medium abzulegen: Ein verschlüsselter USB-Stick kostet so viel wie eine Tankfüllung und schützt Ihre Beweise vor dem Hack eines Cloud-Kontos.
SMS, die Sie niemals mitnehmen sollten
- Alle Einmalcodes. Sie sind abgelaufen, nutzlos und verraten, welche Dienste Sie nutzen. Wer Codes einer Onlinebank, einer Krypto-Plattform und eines Mobilfunkanbieters sieht, weiß genau, welches Szenario er schreiben muss.
- SMS mit einem Passwort im Klartext. Manche Dienste versenden das noch. Löschen Sie sie und ändern Sie das betreffende Passwort.
- Alte Lieferbenachrichtigungen. Sie enthalten Ihre Adresse und manchmal den Inhalt der Bestellung.
- Unterhaltungen mit gewerblichen Kurznummern. Ohne jeden Wert – und sie verstopfen die Suche in Ihren Nachrichten.
Dieses Aussortieren dauert zwanzig Minuten und verkleinert die angreifbare Fläche automatisch, auf dem alten wie auf dem neuen Gerät.
Schritt 2: Die Zwei-Faktor-Authentifizierung vor der SIM umziehen
Das ist der häufigste Fehler in der Reihenfolge – und der lästigste, wenn man ihn ausbügeln muss.
Viele Konten versenden ihren Bestätigungscode per SMS. Solange die Leitung auf einem Gerät aktiv ist, das Sie kontrollieren, ist alles in Ordnung. Wenn Sie die SIM jedoch umstecken, bevor Sie Ihre Zugänge geprüft haben, können Sie sich aussperren: Sie können den Code nicht empfangen und sich daher nicht einloggen, um das Bestätigungsverfahren zu ändern.
Die Reihenfolge, die funktioniert:
- Listen Sie die Konten auf, die von SMS abhängen. Bank, Mobilfunkanbieter, E-Mail, soziale Netzwerke, Verkaufsplattformen, Finanzamt. Eine einfache Liste auf Papier genügt – und genau hier leistet ein kleines Passwortbuch, das zu Hause und außerhalb des Handys liegt, gute Dienste.
- Stellen Sie um, was sich umstellen lässt, auf eine Authenticator-App. Die SMS bleibt der schwächste Faktor: Sie ist anfällig für SIM-Swapping und Abfangen. Die ANSSI empfiehlt seit mehreren Jahren, Apps zu bevorzugen, die Codes lokal erzeugen, und für die kritischsten Konten sogar einen physischen Sicherheitsschlüssel.
- Besorgen Sie sich die Wiederherstellungscodes jedes Dienstes und notieren Sie sie offline.
- Erst danach aktivieren Sie die neue SIM oder eSIM.
Wenn Sie eine Authenticator-App nutzen, denken Sie daran, sie ausdrücklich mitzunehmen: Die meisten werden bei einer normalen Backup-Wiederherstellung nicht übertragen. Diese Token zu verlieren, ist deutlich schmerzhafter als der Verlust von SMS.
Der Sonderfall eSIM
Immer mehr Tarife setzen auf eSIM, was die Logistik verändert: Es gibt keine Karte mehr zum Umstecken, sondern ein Profil, das über das Kundenportal des Anbieters oder eine im System integrierte Migrationsfunktion übertragen wird. Zwei praktische Folgen:
- Sie brauchen beim Transfer eine Internetverbindung, also WLAN – und damit nicht mitten auf der Straße;
- das alte Profil wird deaktiviert, aber das alte Handy bleibt voll mit Ihren Nachrichten – das Risiko verlagert sich, es verschwindet nicht.
Behalten Sie außerdem im Kopf: Eine SMS mit dem Hinweis „Ihre eSIM wird deaktiviert, bestätigen Sie Ihre Identität" ist ein Smishing-Klassiker. Kein Anbieter wird Sie auffordern, eine eSIM über einen per Nachricht erhaltenen Link zu bestätigen.
Schritt 3: Das alte Handy wirklich leeren
Was nicht ausreicht
Unterhaltungen einzeln löschen, die SIM entnehmen, Fotos entfernen: Keine dieser Maßnahmen räumt das Gerät auf. Die Daten bleiben wiederherstellbar, und vor allem entgehen viele Elemente einer manuellen Sortierung – App-Caches, lokale Backups, MMS-Anhänge.
Die Abfolge, die funktioniert
- Melden Sie das Google- oder Apple-Konto ab. Das ist der vergessene Schritt: Ein Gerät, das noch mit einem Konto verknüpft ist, bleibt für den Käufer gesperrt, und bestimmte Daten synchronisieren sich weiter.
- Melden Sie sich in sensiblen Apps einzeln ab (Bank, Messenger, Anbieterportal), anstatt sich auf das globale Löschen zu verlassen.
- Prüfen Sie, ob die Verschlüsselung aktiv ist. Auf allen iPhones und neueren Android-Geräten ist sie standardmäßig aktiv – vorausgesetzt, es existiert eine Displaysperre. Ohne Code schützt die Verschlüsselung nichts.
- Starten Sie das Zurücksetzen auf Werkseinstellungen.
- Entnehmen Sie SIM- und Speicherkarte physisch. Eine microSD-Karte ist so gut wie nie verschlüsselt und kann MMS-Anhänge enthalten. Wenn Sie sie nicht weiterverwenden, zerstören Sie sie.
- Starten Sie das Gerät neu und prüfen Sie, dass tatsächlich der Erstinbetriebnahme-Bildschirm erscheint.
Wenn Sie das alte Handy „für den Fall der Fälle" aufbewahren, verhindert eine antistatische Hülle oder eine kleine Aufbewahrungsbox für Elektronikzubehör, dass es mit noch eingelegter SIM in einer Schublade herumliegt – genau so empfangen Leitungen monatelang weiter Codes.
Schritt 4: Die ersten Tage mit dem neuen Handy
Schutzfunktionen neu einrichten, nicht nur die Apps
Eine Backup-Wiederherstellung stellt Ihre Filtereinstellungen nicht automatisch wieder her. Gleich am ersten Tag zu prüfen:
- die Filterung unbekannter Absender in der Nachrichten-App;
- den integrierten Betrugsschutz, den Google unter Android in Frankreich im Laufe des Jahres 2026 verstärkt hat und den Apple als automatische Sortierung der Nachrichten anbietet;
- die Nummernsperren, die Sie zuvor eingerichtet hatten: Diese Liste wandert nicht immer mit;
- die Systemupdates, die auf einem neuen, lange gelagerten Gerät oft hinterherhängen.
Ihre Kontakte informieren, ohne Verwirrung zu stiften
Wenn Sie auch die Nummer wechseln, kündigen Sie das über einen Kanal an, den Ihre Angehörigen kennen – einen Anruf, eine Nachricht in einer bestehenden Unterhaltung – und nicht per SMS von einer unbekannten Nummer. Genau dieses Format nutzt der „Ich habe eine neue Nummer"-Betrug. Eine neue Nummer, die sich selbst ankündigt, ist niemals glaubwürdig, und das ist auch gut so.
Im Zweifel klärt eine zehnsekündige Prüfung per Telefon die Sache. Wenn Sie viel telefonieren, ist das auch der Moment, in ein bequemes Bluetooth-Headset zu investieren: Eine Überprüfung per Anruf ist unendlich viel zuverlässiger als ein Nachrichtenaustausch mit einer Nummer, die Sie nicht kennen.
Vier Wochen lang die Kontoauszüge im Blick behalten
Die Folgen eines Datenlecks beim Gerätewechsel zeigen sich nicht sofort. Sehen Sie sich vier bis sechs Wochen lang Ihre Kontoauszüge Zeile für Zeile an, auch die kleinen wiederkehrenden Beträge – betrügerische Abos verstecken sich häufig unter 10 €. Bei einer nicht autorisierten Abbuchung erinnern die Banque de France und die DGCCRF daran, dass die Meldung an Ihre Bank unverzüglich erfolgen muss und dass eine schnelle Sperrung Voraussetzung für die Rückerstattung ist.
Die Zusammenfassung in zehn Zeilen
| Maßnahme | Wann | Warum |
|---|---|---|
| Nützliche SMS sortieren und exportieren | Vor jeder Übertragung | Keine sensiblen Daten duplizieren |
| Per SMS erhaltene Codes und Passwörter löschen | Vor der Übertragung | Angreifbare Fläche verkleinern |
| Konten mit SMS-Zwei-Faktor-Authentifizierung auflisten | Vor der Übertragung | Sich nicht selbst aussperren |
| Authenticator-App umziehen | Vor der SIM | Token werden von Backups nicht übernommen |
| Wiederherstellungscodes offline notieren | Vor der SIM | Sicherheitsnetz |
| Neue SIM oder eSIM aktivieren | Im WLAN, zu Hause | Der eSIM-Transfer braucht eine Verbindung |
| Konten auf dem alten Gerät abmelden | Vor dem Zurücksetzen | Sperre und Restsynchronisierung vermeiden |
| Werksreset + SIM und microSD entnehmen | Vor Verkauf oder Lagerung | Einzige zuverlässige Methode |
| Filter, Sperren und Updates erneut prüfen | Tag 1 mit dem neuen Handy | Diese Einstellungen wandern nicht immer mit |
| Kontoauszüge überwachen | 4 bis 6 Wochen | Betrügerische Abos erkennen |
Was Sie mitnehmen sollten
Der Handywechsel ist an sich nicht gefährlich. Gefährlich ist, ihn in der falschen Reihenfolge durchzuführen, ein Gerät voller Nachrichten herumliegen zu lassen und die Zwei-Faktor-Authentifizierung nur halb umzuziehen. Betrüger müssen gar nichts hacken: Sie nutzen eine Phase aus, in der Sie ungewöhnliche Benachrichtigungen erwarten und bei der Überprüfung nachlässig geworden sind.
Die Gewohnheit, die man sich aneignen sollte, ist einfach: Die Sicherheit zieht vor den Daten um. Zuerst die Zugänge, dann die Konten, ganz zuletzt Fotos und SMS. Und das alte Handy verlässt Ihr Zuhause erst, wenn es zurückgesetzt ist, die SIM entnommen wurde und der Willkommensbildschirm angezeigt wird.
Und schließlich ein Reflex, der für die ganze Zeit gilt: Eine SMS, die während eines Gerätewechsels eintrifft und Sie auffordert, eine Identität, eine Leitung, eine Nummer oder eine Zahlung zu bestätigen, verdient höchstes Misstrauen – auch wenn sie scheinbar zum richtigen Zeitpunkt kommt. Genau das sollte Sie alarmieren. Im Zweifel leiten Sie die Nachricht kostenlos an die 33700 weiter und löschen sie anschließend, ohne jemals auf den Link zu klicken.
