In Deutschland werden jährlich über 77 Millionen Spam-SMS und unerwünschte Werbeanrufe gemeldet (Bundesnetzagentur Jahresbericht, 2024). Hinter vielen dieser Kontaktversuche stecken Datenlecks: Nummern, die auf Websites, in App-Registrierungen oder bei Plattform-Breaches an die Öffentlichkeit gelangt sind. Die beste Verteidigung ist präventiv — die eigene Nummer gar nicht erst preiszugeben.
TL;DR: Die Handynummer ist ein sensibler Datenpunkt, der bei Datenlecks, SIM-Swap-Angriffen und Tracking gefährlich werden kann. Dieser Ratgeber zeigt, wie man die Nummer systematisch schützt: durch virtuelle Nummern für Online-Registrierungen, DSGVO-Auskunftsrechte, sichere 2FA-Methoden und konkrete technische Maßnahmen — ohne Aufwand zu übertreiben.
Warum ist die Handynummer so ein attraktives Ziel?
Die Handynummer ist mehr als eine Kontaktmöglichkeit. Sie ist ein universeller Identifikator — für Bankkonten, Social-Media-Profile, Online-Shops und Messenger-Dienste. Wer die Nummer kennt, hat oft einen Angriffspunkt auf alles, was damit verknüpft ist.
Laut dem Verizon Data Breach Investigations Report 2024 sind SMS-basierte 2FA-Systeme in über 20 % der dokumentierten Kontokompromittierungen beteiligt — als Angriffsziel über SIM-Swapping oder SS7-Protokollschwachstellen (Verizon DBIR, 2024). Die eigene Nummer zu schützen ist deshalb kein paranoider Aufwand, sondern vernünftige Vorsorge.
Das Problem ist systematisch: Man gibt die Nummer auf Seite A an. Seite A wird gehackt. Jetzt haben Angreifer die Nummer — zusammen mit E-Mail-Adresse und anderen Daten. Mit dieser Kombination werden Social-Engineering-Angriffe gestartet oder die Nummer direkt für Phishing genutzt.
Die größten Risiken für Handynummern
SIM-Swap-Angriff
Der SIM-Swap ist einer der gefährlichsten Angriffe auf Mobilnummern. Dabei überzeugt ein Angreifer den Mobilfunkanbieter, die Nummer auf eine neue SIM-Karte zu übertragen — in der Hand des Angreifers. Ab diesem Moment empfängt der Angreifer alle SMS, inklusive 2FA-Codes für Bankkonten und soziale Netzwerke.
SIM-Swap-Angriffe haben in Deutschland zugenommen, werden aber von Mobilfunkanbietern selten aktiv kommuniziert. Laut FBI haben SIM-Swap-Angriffe allein im Jahr 2023 Schäden von über 48 Millionen Dollar in den USA verursacht — bei Krypto-Konten oft deutlich mehr (FBI IC3 Report, 2023). In Deutschland fehlen vergleichbare öffentliche Statistiken.
Schutzmaßnahmen gegen SIM-Swap:
- Beim Mobilfunkanbieter eine PIN für SIM-Änderungen einrichten
- Einen anderen Anbieter als Backup nutzen
- SMS-basierte 2FA durch Authenticator-Apps ersetzen
- Für kritische Konten Hardware-Keys (YubiKey) verwenden
Datenlecks und Datenmissbrauch
Millionen von Handynummern sind durch Datenlecks bei großen Plattformen in die Hände von Kriminellen gelangt. 2021 wurden 533 Millionen Facebook-Nutzerprofile inklusive Telefonnummern geleakt (Business Insider, 2021). Viele dieser Nummern werden noch heute für Phishing-SMS genutzt.
Wie man prüft, ob die eigene Nummer betroffen ist:
- haveibeenpwned.com prüft E-Mail-Adressen auf bekannte Lecks
- Für Nummern gibt es spezialisierte Dienste — aber vollständige Abdeckung bietet keiner
- Regelmäßig auf unbekannte SMS oder Anrufe achten
SS7-Protokollschwachstellen
Das Signalisierungssystem 7 (SS7) ist das Protokoll, über das Mobilfunknetze weltweit kommunizieren. Es hat fundamentale Sicherheitslücken, die seit Jahren bekannt, aber nicht vollständig behoben sind. Angreifer mit Zugang zu SS7-Netzknoten können theoretisch SMS umleiten und Standorte verfolgen — ohne SIM-Swap.
SS7-Angriffe sind komplex und teuer, aber gegen hochwertige Ziele (Prominente, Manager, Politiker) eingesetzt worden. Für normalen Schutz reicht das Ersetzen von SMS-2FA durch Authenticator-Apps aus.
Tracking und Profilbildung
Jede Website, bei der man sich mit der Handynummer registriert, kann diese für Marketing-Targeting nutzen. Facebook und Google erlauben Werbetreibenden, bestimmte Telefonnummern zu targeten — auch wenn man kein Konto hat.
Gegenmaßnahmen:
- Keine echte Nummer bei Plattformen angeben, die für Marketing bekannt sind
- DSGVO-Auskunftsrecht nutzen: Plattformen müssen auf Anfrage mitteilen, welche Daten sie über einen gespeichert haben
- Virtuelle Nummern für Registrierungen bei Marketing-lastigen Plattformen verwenden
Virtuelle Nummern als Datenschutz-Werkzeug
Die effektivste präventive Maßnahme ist schlicht: Die echte Nummer gar nicht erst herausgeben.
SMSCode-Nutzerdaten (Q1 2026) zeigen, dass der häufigste Grund für den Kauf virtueller Nummern unter deutschen Nutzern Datenschutz ist — 58 % geben an, ihre persönliche Nummer schützen zu wollen. Erst danach folgen Mehrfachkonto-Bedarf (27 %) und sonstige Gründe (15 %).
Wann virtuelle Nummern sinnvoll sind:
- Registrierung auf Websites oder Apps, denen man nicht vollständig vertraut
- Ausprobieren eines neuen Dienstes, ohne dauerhafte Datenbindung
- Online-Marktplatz-Inserate (Kleinanzeigen, eBay), um Spam-Anrufe zu vermeiden
- Gewinnspiele und Rabattaktionen, die eine Nummernangabe verlangen
- Business-Registrierungen ohne private Nummer zu verknüpfen
Im Alltag fällt auf, wie oft man nach der Handynummer gefragt wird, ohne dass sie wirklich nötig wäre. Restaurant-Reservierungen, Newsletter-Anmeldungen, Gewinnspiele — viele Anbieter fragen nach der Nummer nur, um ihre Marketing-Datenbank zu füllen. Eine virtuelle Nummer macht hier Sinn: Man gibt etwas an, was technisch funktioniert, aber keine echten persönlichen Daten preisgibt.
Wo virtuelle Nummern von SMSCode helfen:
- Einmalige SMS-Verifizierung auf jeder Plattform
- Nummern aus 200+ Ländern verfügbar
- Ab 0,29 € pro Verifizierung
- Automatische Rückerstattung bei nicht erfolgter SMS
SMS-basierte 2FA durch sicherere Methoden ersetzen
SMS-2FA ist besser als keine 2FA — aber sie ist die schwächste Form der Zwei-Faktor-Authentifizierung. Wer wichtige Konten wirklich schützen will, sollte auf stärkere Methoden wechseln.
TOTP-Authenticator-Apps
Time-based One-Time Passwords (TOTP) werden lokal auf dem Gerät generiert — ohne Telekommunikationsanbieter, ohne SMS-Netz. Jeder Code ist 30 Sekunden gültig.
Empfohlene Apps:
- Aegis (Android, open-source, beste Wahl für datenschutzbewusste Nutzer)
- Authy (iOS/Android, Cloud-Backup möglich)
- Google Authenticator (einfach, weit verbreitet)
- Microsoft Authenticator (gut für Microsoft-Konten)
Umstellung von SMS-2FA auf TOTP:
- In den Sicherheitseinstellungen des jeweiligen Dienstes 2FA-Optionen öffnen
- “Authenticator-App hinzufügen” wählen
- QR-Code mit der gewählten App scannen
- Ersten Code eingeben und bestätigen
- SMS-2FA deaktivieren (erst nach erfolgreicher TOTP-Einrichtung!)
- Recovery-Codes sicher speichern
Hardware-Security-Keys
Für kritische Konten (Bank, Krypto, berufliche E-Mail) sind Hardware-Keys die sicherste Option.
- YubiKey — Marktführer, kompatibel mit den meisten großen Diensten
- Nitrokey — deutsches Unternehmen, open-source Hardware
- FIDO2/WebAuthn — der Standard, den alle modernen Dienste unterstützen
Hardware-Keys sind unphishbar: Selbst wenn ein Angreifer Login-Daten hat, kommt er ohne den physischen Key nicht ins Konto. Besonders wichtig für: E-Mail-Hauptkonto, Banking, Kryptobörsen, berufliche Konten.
Preise: YubiKey 5 ab ~50 €, Nitrokey Start ab ~35 €. Für kritische Konten eine einmalige Investition, die sich vielfach auszahlt.
DSGVO: Rechte kennen und nutzen
Deutsche Nutzer haben starke Datenschutzrechte. Diese aktiv zu nutzen ist eine wichtige Schutzmaßnahme.
Auskunftsrecht (Art. 15 DSGVO). Jede Plattform muss auf Anfrage mitteilen, welche personenbezogenen Daten (inklusive Telefonnummer) gespeichert sind, an wen sie weitergegeben wurden und wie lange sie aufbewahrt werden.
Recht auf Löschung (Art. 17 DSGVO). Wer einem Dienst nicht mehr vertraut oder ihn nicht mehr nutzt, kann die Löschung aller persönlichen Daten verlangen — inklusive der Handynummer.
Widerspruchsrecht gegen Marketing (Art. 21 DSGVO). Werbliche Nutzung der Telefonnummer kann jederzeit widersprochen werden. Plattformen müssen dem innerhalb von 30 Tagen nachkommen.
Musterbrief für DSGVO-Auskunft: Datenschutzorganisationen wie die Deutsche Verbraucherzentrale bieten kostenlose Musterbriefe zum Download an.
Datenschutzaufsichtsbehörden in Deutschland:
- Bayern: BayLDA (Bayerisches Landesamt für Datenschutzaufsicht)
- NRW: LDI NRW (Landesbeauftragte für Datenschutz und Informationsfreiheit)
- Bundesebene: BfDI (Bundesbeauftragter für den Datenschutz und die Informationsfreiheit)
- International (EU-Unternehmen): Irischer DPC für viele US-Tech-Unternehmen
Praktische Maßnahmen im Alltag
Datenschutz bei der Handynummer ist kein einmaliges Event, sondern eine laufende Praxis. Wer seinen “Nummer-Fußabdruck” systematisch klein hält, hat langfristig weniger Spam, weniger Phishing und weniger Angriffsfläche.
Sofort umsetzbare Maßnahmen:
1. Mobilfunkanbieter anrufen. Nachfragen, ob eine Port-Schutz-PIN oder SIM-Change-PIN eingerichtet werden kann. Viele Anbieter bieten das an, ohne aktiv darüber zu informieren.
- Telekom: SIM-Sperre einrichten unter Kundencenter → Sicherheit
- Vodafone: Service-PIN beim Kundenservice einrichten
- O2: Wechselsperre aktivieren (telefonisch oder online)
2. SMS-2FA deaktivieren. Für alle wichtigen Konten (E-Mail, Bank, soziale Netzwerke) SMS-2FA durch Authenticator-App ersetzen.
3. Plattform-Accounts prüfen. Wo ist die Handynummer hinterlegt? Bei welchen davon ist sie wirklich nötig? Nicht benötigte Nummern aus Konten entfernen. Die meisten Plattformen erlauben das einfach in den Profileinstellungen.
4. Virtuelle Nummer für zukünftige Registrierungen. Ab sofort für alle neuen Plattform-Registrierungen eine virtuelle Nummer verwenden — die echte Nummer bleibt reserviert für wirklich vertrauenswürdige Dienste.
5. Have I Been Pwned prüfen. E-Mail-Adressen auf haveibeenpwned.com prüfen. Wenn eine betroffene E-Mail auch an eine Handynummer gekoppelt war, die Nummer im Auge behalten.
6. Passwort-Manager einsetzen. Schwache oder wiederverwendete Passwörter sind der Haupteinstiegspunkt für Kontoübernahmen. Bitwarden (kostenlos, open-source) oder 1Password sind empfehlenswert.
7. Backup-Codes sichern. Für alle wichtigen Konten mit 2FA: Recovery-Codes ausdrucken und sicher aufbewahren. Digital speichern nur in verschlüsseltem Format.
Spezielle Risiken für Selbstständige und Unternehmen
Für Selbstständige und kleine Unternehmen sind die Risiken besonders hoch, weil die Handynummer oft gleichzeitig geschäftliche Kontaktnummer und private 2FA-Nummer ist.
Das Problem: Wer seine Handynummer auf der Unternehmenswebsite veröffentlicht, gibt Scraping-Bots eine öffentlich zugängliche Nummer. Diese landet in Spam-Listen. Gleichzeitig ist dieselbe Nummer mit dem privaten Online-Banking verknüpft.
Lösung für Selbstständige:
- Separate Geschäftsnummer für öffentliche Nutzung (kann eine virtuelle Miet-Nummer sein)
- Private Nummer ausschließlich für Bank, Behörden und vertrauenswürdige Kontakte
- Für Unternehmenskonten (Google Workspace, Social Media) separate Registrierungsnummern verwenden
Für Unternehmen mit Teams:
- Interne Richtlinie für die Nutzung privater vs. geschäftlicher Nummern
- DSGVO-Schulungen für Mitarbeiter (besonders für die, die Kundendaten verwalten)
- Unternehmensmobilgeräte mit MDM-Schutz für sensible 2FA-Konten
Smishing-Schutz: Praktische Erkennungshilfe
Smishing-Angriffe werden immer raffinierter. Hier ist eine praktische Erkennungshilfe für die häufigsten Muster.
Paketdienst-Smishing:
- “Ihre Sendung konnte nicht zugestellt werden — Klicken Sie hier…”
- Erkennungszeichen: Link-Domain nicht die offizielle Paketdienst-Domain, keine Sendungsnummer, allgemeine Ansprache
Banking-Smishing:
- “Ihr Konto wurde eingefroren — Bestätigen Sie Ihre Daten…”
- Erkennungszeichen: Banken senden keine Links per SMS, keine Kontodaten oder Passwörter per SMS eingeben
Gewinnbenachrichtigung:
- “Sie haben gewonnen — Fordern Sie jetzt Ihren Preis an…”
- Erkennungszeichen: Man hat nicht teilgenommen, Link zu unbekannter Domain
Dringende Behörden-SMS:
- “Steuerschuld — Sofort zahlen oder Pfändung…”
- Erkennungszeichen: Behörden kommunizieren per Brief, nicht per SMS, nie Links oder Zahlungsaufforderungen per SMS
Goldene Regel: Bei Unsicherheit niemals auf Links klicken. Den Dienst direkt aufrufen (URL eintippen) und dort prüfen, ob eine Aktion erforderlich ist.
Handynummern bei Behörden und Versicherungen: Was wirklich nötig ist
Viele Menschen geben ihre Nummer reflexartig überall an — auch dort, wo es keine Pflicht ist. Eine klare Unterscheidung hilft.
Wo die echte Nummer wirklich nötig ist:
- Banken und Finanzinstitute (gesetzliche Pflicht zur Identitätsverifizierung)
- Krankenversicherung und andere Versicherungen (für Rückruf und Bescheidübermittlung)
- Finanzamt und staatliche Stellen (offizielle Kommunikation)
- Arbeitgeber (für Lohnabrechnung und Notfälle)
- Arztpraxen und Krankenhäuser (für Terminbestätigung)
Wo eine virtuelle Nummer ausreicht:
- Online-Shopping (wenn nur für Benachrichtigungen)
- Lieferdienste für Einmalkäufe
- Newsletter-Anmeldungen
- Dienste, die man ausprobiert
- Social-Media-Plattformen
Die Faustregel: Je kritischer und vertrauenswürdiger der Dienst, desto eher sollte die echte Nummer verwendet werden. Je kommerzieller und weniger wichtig, desto eher eine virtuelle.
Tracking-Schutz über die Handynummer hinaus
Die Handynummer ist ein Datenpunkt von vielen. Wer seinen digitalen Fußabdruck ernsthaft reduzieren will, muss mehrere Ebenen betrachten.
E-Mail-Aliase: Dienste wie SimpleLogin oder Apple Hide My Email generieren zufällige E-Mail-Adressen, die Weiterleitungen an die echte E-Mail ermöglichen. Kombiniert mit virtuellen Nummern entsteht eine starke Anonymitätsschicht für Online-Registrierungen.
Browser-Fingerprinting: Moderne Websites erkennen Nutzer über Browser-Fingerprints (Bildschirmgröße, installierte Schriften, Betriebssystem) — auch ohne Cookies. Firefox mit uBlock Origin und dem Privacy Badger-Plugin reduziert diesen Fingerprint erheblich.
DNS-Verschlüsselung: Standardmäßig gehen DNS-Anfragen (Website-Lookups) unverschlüsselt an den ISP-Server. Cloudflare (1.1.1.1) oder NextDNS bieten verschlüsselte DNS-Resolver, die gleichzeitig Tracker blockieren.
Diese Maßnahmen gehen über den Handynummern-Schutz hinaus, aber wer einmal angefangen hat, seinen digitalen Fußabdruck zu reduzieren, findet schnell weitere sinnvolle Schritte.
FAQ
Wie kann ich herausfinden, ob meine Handynummer in einem Datenleck aufgetaucht ist?
Für E-Mail-Adressen ist haveibeenpwned.com die beste Anlaufstelle. Für Telefonnummern gibt es spezialisierte Dienste, aber keine vollständige Datenbank. Praktischer Hinweis: Unbekannte SMS oder plötzlich zunehmende Spam-Anrufe sind ein Indiz dafür, dass die Nummer in Umlauf geraten ist.
Ist SMS-2FA besser als keine 2FA?
Ja, deutlich. Keine 2FA ist am schlechtesten — ein gestohlenes Passwort reicht für den Kontozugang. SMS-2FA ist besser, aber angreifbar über SIM-Swap und SS7-Schwachstellen. Eine Authenticator-App ist noch besser. Ein Hardware-Key ist am sichersten. Für die meisten Alltagskonten ist eine Authenticator-App der beste Kompromiss aus Sicherheit und Komfort.
Kann ich meine echte Handynummer aus allen Plattformen entfernen?
Grundsätzlich ja — über das DSGVO-Löschungsrecht. Manche Plattformen verlangen aber eine Nummer für den dauerhaften Kontozugang. In diesen Fällen: Nummer durch eine dauerhaft verfügbare virtuelle Nummer ersetzen (bei Diensten, die dauerhafte Nummern anbieten) oder SMS-2FA durch Authenticator-App ersetzen und dann die Nummer entfernen.
Was ist SIM-Swapping und wie schütze ich mich davor?
SIM-Swapping ist ein Angriff, bei dem ein Krimineller einen Mobilfunkanbieter überzeugt, eine Nummer auf eine neue SIM-Karte zu übertragen. Danach empfängt der Angreifer alle SMS. Schutz: Port-Schutz-PIN beim Anbieter einrichten, SMS-2FA durch Authenticator-App ersetzen, bei kritischen Konten Hardware-Key nutzen.
Warum ist eine virtuelle Nummer datenschutzfreundlicher als meine echte Nummer?
Eine virtuelle Nummer ist nicht an eine persönliche Identität gebunden — sie lässt sich nicht auf eine physische Person zurückverfolgen. Wenn die Plattform, bei der man die virtuelle Nummer hinterlegt hat, gehackt wird, ist nur die virtuelle Nummer betroffen, nicht die echte. Das trennt Datenleck-Risiken sauber von der persönlichen Identität.
Wie oft sollte ich überprüfen, wo meine Nummer hinterlegt ist?
Mindestens einmal pro Jahr empfiehlt sich ein vollständiges Audit: In welchen Konten ist die Nummer hinterlegt? Bei welchen ist sie wirklich notwendig? Welche Konten werden nicht mehr genutzt und können gelöscht werden? Für neue Registrierungen: sofort mit einer virtuellen Nummer beginnen, damit kein neuer Audit-Aufwand entsteht.
Hilft ein VPN beim Schutz der Handynummer?
Nein, direkt nicht. Ein VPN schützt die IP-Adresse, nicht die Handynummer. Für den Schutz der Nummer sind virtuelle Nummern die richtige Maßnahme. VPN und virtuelle Nummern ergänzen sich aber gut: VPN schützt die IP-Adresse, virtuelle Nummer schützt die Telefonnummer — zusammen decken sie zwei wichtige Datenpunkte ab.