Handynummer schützen: Zweitnummern, VoIP und SIM-Swapping

Die Handynummer ist zu einem Generalschlüssel geworden, ohne dass es je eine bewusste Entscheidung dafür gab: Sie empfängt SMS-Codes für Bank und E-Mail-Konto, dient als Konto-Wiederherstellung, identifiziert Sie in Messengern und steht nebenbei in Kundendatenbanken, Kleinanzeigen und alten Impressen. Eine einzige Nummer für alles zu verwenden ist darum der häufigste strukturelle Fehler im persönlichen Datenschutz. Die gute Nachricht: Kein anderer Baustein der technischen Härtung bringt für so wenig Geld so viel. Die Trennung in zwei Nummern kostet wenige Euro im Monat und wirkt ab dem ersten Tag.

Warum die Nummer so wertvoll ist

• Sicherheitsanker: SMS-Codes und Anrufe zur Konto-Wiederherstellung laufen über die Nummer. Wer sie kontrolliert, kommt in erschreckend viele Konten.
• Identifikator: Die Nummer ist eindeutig und langlebig. Datenhändler, Plattformen und Leak-Datenbanken verknüpfen über sie Datensätze, die sonst getrennt blieben.
• Auffindbarkeitskanal: Über die Inverssuche der Telefonverzeichnisse und über die Kontaktfindung von Messengern übersetzt sich eine bekannte Nummer in Name, Adresse und Profil.
• Belästigungskanal: Anrufwellen, Spam und gezielte Einschüchterung erreichen Sie direkt und jederzeit, wenn die Nummer öffentlich kursiert.

Das Schichtenmodell: welche Nummer wohin

Das Ziel ist nicht Geheimniskrämerei, sondern Sortierung. Bewährt hat sich ein Modell aus zwei, bei exponierten Personen drei Schichten:

Die Regel dahinter ist einfach: Die private Nummer verlässt den engsten Kreis nie. Jede Registrierung, jedes Gewinnspiel und jede Kleinanzeige bekommt die Alltagsnummer. Damit ist ein Leak bei irgendeinem Dienst kein Treffer auf Ihre Sicherheitsschicht mehr, sondern nur noch Lärm auf einer Nummer, die Sie notfalls austauschen.

Umsetzung: Zweit-SIM, eSIM, VoIP, Weiterleitung

• Zweite SIM oder eSIM: der robusteste Weg. Moderne Smartphones führen zwei Profile parallel (Dual-SIM), sodass beide Nummern auf einem Gerät laufen; ein günstiger Prepaid- oder Zweittarif genügt für die Alltagsnummer. Nachteil: ein zweiter Vertrag oder ein Guthaben, das gepflegt werden will.
• VoIP- und App-Nummern: Festnetz- oder Mobilnummern, die über eine App oder im Browser laufen und ohne zweite SIM auskommen. Gut als Alltags- oder öffentliche Nummer; als Empfänger für sicherheitskritische SMS-Codes sind sie ungeeignet, und manche Dienste akzeptieren VoIP-Nummern bei der Registrierung nicht.
• Weiterleitung als Brücke: Wer eine neue private Nummer einführt, leitet die alte für eine Übergangszeit weiter und zieht Konto für Konto um. So bricht die Erreichbarkeit nicht ab, während die alte Nummer ausläuft.
• Keine Umgehung der Registrierung: SIM-Karten ohne Identitätsprüfung sind in Deutschland nicht vorgesehen; seit dem 01.07.2017 müssen Anbieter auch Prepaid-Kunden vor der Freischaltung anhand eines Ausweisdokuments identifizieren (heute § 172 TKG). Eine Zweitnummer ist Schichtung, keine Tarnung, und genau das reicht für den Schutzzweck aus.

SIM-Swapping: der Angriff auf die Nummer selbst

Beim SIM-Swapping übernimmt ein Angreifer nicht Ihr Telefon, sondern Ihre Nummer: Er gibt sich beim Mobilfunkanbieter mit zuvor gesammelten Daten (Name, Geburtsdatum, Adresse, Kundennummer aus Leaks oder Phishing) als Sie aus und lässt eine Ersatz-SIM ausstellen oder die Nummer zu einem anderen Anbieter portieren. Ab diesem Moment landen Ihre Anrufe und SMS bei ihm, einschließlich der SMS-Codes für Bank und E-Mail-Konto. Das erste Warnzeichen ist oft, dass Ihr eigenes Gerät plötzlich ohne Netz ist.

• Kundenkennwort setzen: Die deutschen Mobilfunkanbieter bieten ein Kennwort oder eine Service-PIN an, ohne die an der Hotline keine Vertragsänderungen und keine Ersatz-SIM möglich sind. Aktivieren Sie es und wählen Sie es nicht aus Geburtsdaten.
• Portierungssperre oder Bestätigungsverfahren: Lassen Sie sich von Ihrem Anbieter bestätigen, wie Portierungen und eSIM-Neuausstellungen abgesichert sind, und aktivieren Sie die angebotenen Sperren oder Rückbestätigungen.
• 2FA weg von der SMS: Der wirksamste Schutz besteht darin, der Nummer ihre Schlüsselrolle zu nehmen. Stellen Sie wichtige Konten auf App-basierte Verfahren oder Hardware-Schlüssel um: Zwei-Faktor-Authentifizierung richtig aufsetzen.
• Im Verdachtsfall sofort handeln: Netz weg ohne Erklärung, unerwartete Portierungsbestätigung, plötzlich abgemeldete Konten. Dann umgehend den Anbieter anrufen, die SIM sperren lassen und die wichtigsten Konten über einen zweiten Kanal sichern.

Wenn die Nummer bereits kursiert

1. Lage klären: Prüfen Sie mit Have I Been Pwned, ob die Nummer in bekannten Datenlecks auftaucht, und suchen Sie die Nummer in Suchmaschinen und Verzeichnissen. Was nach einem Leak zusätzlich zu tun ist, steht im Beitrag Nach dem Daten-Leak.
2. Verzeichnisse schließen: Nach § 17 TDDDG können Sie Verzeichniseinträge jederzeit unentgeltlich löschen lassen, über Ihren Anbieter und zentral beim Verlag DTM Deutsche Tele Medien für Das Örtliche, Das Telefonbuch und Gelbe Seiten. Widersprechen Sie dort gesondert der Inverssuche, damit die Nummer nicht mehr in Name und Adresse übersetzt werden kann; Details im Beitrag Personensuchmaschinen und Telefonverzeichnisse.
3. Anrufwelle überstehen: unbekannte Nummern stummschalten (das können iOS und Android von Haus aus), Anrufe auf die Mailbox laufen lassen und wiederkehrende Nummern blockieren. Dokumentieren Sie bedrohliche Anrufe mit Datum und Uhrzeit, statt sie nur wegzudrücken.
4. Quellen austrocknen: die Nummer aus Profilen, Signaturen, Kleinanzeigen und Webseiten entfernen und bei Diensten durch die Alltagsnummer ersetzen.
5. Nummernwechsel als letzter Schritt: Er wirkt, kostet aber jede Registrierung und jeden Kontakt einen Umzug, und die neue Nummer bleibt nur geschützt, wenn sie von Anfang an geschichtet vergeben wird. Sinnvoll ist der Wechsel bei anhaltender Belästigung auf der privaten Nummer oder in akuten Bedrohungslagen.

Messenger: wo die Nummer durchsickert

Messenger sind der Ort, an dem die Nummer am häufigsten unbemerkt Profildaten preisgibt: Wer Ihre Nummer im Adressbuch hat, sieht je nach Einstellung Ihr Profilbild, Ihren Anzeigenamen und Ihren Status. Umgekehrt verrät die Kontaktfindung per Nummer, dass es zu dieser Nummer ein Konto gibt. Prüfen Sie in jedem Messenger drei Einstellungen: Wer sieht Profilbild und Status (auf Kontakte oder enger beschränken), wer kann Sie über die Nummer finden und wer kann Sie zu Gruppen hinzufügen. Einige Dienste erlauben inzwischen Benutzernamen statt Nummernfreigabe, sodass Sie erreichbar sind, ohne die Nummer zu zeigen. Für die übrigen Profile gilt dieselbe Logik wie überall: so wenig öffentlich wie möglich, siehe Social Media härten.

Werbeanrufe: wenn die Nummer im Adresshandel steckt

Nicht jede Anrufwelle ist ein Angriff; oft ist die Nummer schlicht in Werbebestände geraten. Drei Hebel wirken hier. Erstens der Widerspruch gegen Direktwerbung nach Art. 21 Abs. 2 und 3 DSGVO direkt beim werbenden Unternehmen: Er bindet ohne jede Abwägung. Zweitens die Auskunft nach Art. 15 DSGVO samt Frage nach der Herkunft der Daten, die offenlegt, aus welchem Bestand die Nummer stammt, damit Sie an der Quelle löschen lassen können. Drittens die Robinsonlisten des DDV (ichhabediewahl.de) und der I.D.I. (robinsonliste.de): kostenlose Schutzlisten gegen Werbung, die allerdings nur teilnehmende Unternehmen binden und zeitlich begrenzt gelten, weshalb sie den Widerspruch beim einzelnen Absender ergänzen, nicht ersetzen. Und zur Einordnung: Telefonwerbung gegenüber Verbrauchern ohne vorherige ausdrückliche Einwilligung ist nach § 7 Abs. 2 Nr. 1 UWG ohnehin unzulässig; solche Anrufe können Sie der Bundesnetzagentur melden, die Verstöße mit Bußgeldern verfolgt.

Vom Einzelbaustein zur Struktur

Die Nummerntrennung entfaltet ihren Wert erst im Verbund: mit sauberer Zwei-Faktor-Authentifizierung, bereinigten Verzeichnissen und Profilen, die nicht mehr preisgeben als nötig. Ob die eigene Schichtung trägt und wo die Nummer heute überall verknüpft ist, zeigt eine systematische Bestandsaufnahme der eigenen Datenspuren, wie wir sie in der Expositionsanalyse durchführen. Wer sie selbst beginnen will, startet mit der Frage, die dieser Artikel beantwortet hat: Welche Nummer kennt eigentlich wer, und warum?