Deine alte Handynummer öffnet noch dein Konto

Beim Anbieterwechsel nimmst du deine Nummer normalerweise mit. Interessant wird es, wenn du das nicht tust. Neuer Vertrag mit neuer Nummer, Zweitkarte gekündigt, Prepaid-Karte ausgelaufen. Die alte Nummer ist dann nicht verschwunden. Sie geht zurück an den Anbieter und wird irgendwann an jemand anderen vergeben. In deinem Google-Konto, bei PayPal und bei der Bank steht sie derweil weiter als Weg zurück ins Konto.

In Deutschland fällt die Nummer sofort zurück

Eine gesetzliche Schutzfrist gibt es hier nicht. Die Telekommunikations-Nummerierungsverordnung regelt den Fall in Paragraf 9 Absatz 3, und zwar so: "Eine abgeleitet zugeteilte Nummer fällt mit der Beendigung des Vertragsverhältnisses über die Bereitstellung des Telekommunikationsdienstes, dem die Nummer zugeordnet war, an den originären Zuteilungsnehmer zurück." Abgeleitet zugeteilt heißt, dass dein Anbieter dir die Nummer aus seinem eigenen Block gegeben hat. Originärer Zuteilungsnehmer ist der Anbieter. Vertrag zu Ende, Nummer zurück. Von einer Wartezeit steht dort nichts.

Wie lange ein Anbieter freiwillig wartet, bleibt ihm überlassen. Die Telekom beschreibt das Problem im eigenen Hilfe-Bereich bemerkenswert offen. Die Sperre könne "je nach Anbieter zwischen 1-6 Monaten dauern", heißt es dort, und weiter: "Ist diese Rufnummer dann wieder freigegeben, wird sie an jemanden Neues vergeben, der damit indirekten Zugriff auf viele eurer Daten und Accounts bekommen könnte." Ein paar Absätze später wird der Beitrag konkreter. Er verweist auf WhatsApp, wo eine Nummer nach 45 Tagen ohne Aktivität als möglicherweise neu vergeben gilt. Inaktive Konten löscht WhatsApp nach eigenen Angaben erst nach 120 Tagen. Beides nütze wenig, "wenn alte Handynummern teilweise nach 30 Tagen wieder freigegeben werden".

Der Vergleich mit den USA fällt unangenehm aus. Dort schreibt die Regulierungsbehörde FCC eine Mindestfrist von 45 Tagen vor, für Privatkunden gedeckelt auf 90 Tage. Deutschland hat an dieser Stelle gar nichts.

An Knappheit liegt es nicht. Die Bundesnetzagentur führt in ihrer Übersicht der freien Rufnummernblöcke rund 430 Blöcke zu je einer Million Mobilfunkrufnummern. Aktiv genutzt wurden Ende 2025 laut Jahresbericht 106,4 Millionen SIM-Profile. Wer eine Nummer neu vergibt, tut das aus betrieblichen Gründen, nicht aus Not.

Was in den USA gemessen wurde

Belastbare Zahlen liefert bis heute eine einzige Untersuchung, und die ist amerikanisch. Kevin Lee und Arvind Narayanan von der Princeton University kauften im August und September 2020 bei Verizon und T-Mobile 259 frei verfügbare Nummern und sahen nach, was noch an ihnen hing.

Bei 171 davon, also 66 Prozent, existierte weiterhin mindestens ein Konto des Vorbesitzers bei Amazon, AOL, Facebook, Google, PayPal oder Yahoo. In einem zweiten Durchgang übernahmen die Forscher 200 recycelte Nummern und hörten jede eine Woche lang mit. 19 Nummern, knapp zehn Prozent, empfingen in dieser einen Woche sicherheitsrelevante Nachrichten. Bei sechsen waren Einmalcodes dabei, unter anderem von Apple, Google, Microsoft, Facebook und WhatsApp.

Zwei Einschränkungen gehören dazu. Die Messung ist sechs Jahre alt und betrifft zwei US-Anbieter. Eine deutsche Entsprechung existiert nicht, weder vom BSI noch von einer Hochschule oder einem Verbraucherverband. Umgekehrt haben die Forscher aus Rücksicht auf die Betroffenen keine Nachrichteninhalte gelesen, nur Absender, und schreiben deshalb selbst, der tatsächliche Anteil dürfte höher liegen.

Die Portierung prüft nur, was in jedem Datenleck steht

Der zweite Weg zu deiner Nummer führt nicht über das Warten, sondern über den Anbieter. Beim SIM-Swapping gibt sich jemand als du aus und lässt deine Nummer auf eine neue Karte umziehen.

Wie die Prüfung dabei aussieht, beschreibt die Bundesnetzagentur in ihrem Verbraucherportal selbst. Kundinnen und Kunden sollen darauf achten, "dass Ihre Kundendaten bei dem bisherigen und dem neuen Anbieter übereinstimmen: Name, Anschrift, Geburtsdatum, die zu portierende Rufnummer". Das ist der ganze Abgleich. Vier Angaben, von denen keine ein Geheimnis ist und die zusammen in jedem größeren Datenleck stehen.

Eine buchbare Portierungssperre bietet weder die Telekom noch o2 an. Was es gibt, ist ein Kennwort für die Hotline, und dessen Wert schwankt erheblich. Bei o2 wurde der bequeme Weg abgeschafft, dort heißt es zur Frage nach Geburtsdatum, Adress- oder Bankdaten: "Das ist leider nicht möglich. Ab 16. Februar 2023 benötigst du dafür entweder deine persönliche Kundenkennzahl oder den PUK deines Mobilfunkvertrags." Bei der Telekom ist das Kundenkennwort dagegen freiwillig und ersetzt die üblichen Angaben nicht, sondern ergänzt sie.

Einordnen muss man das trotzdem. SIM-Swapping ist in Deutschland kein Massenphänomen. Telekom, 1&1 und Telefónica meldeten für 2024 keine nennenswerte Zunahme, auch BKA und LKA Niedersachsen sahen zuletzt keine größere Relevanz. Der Punkt ist nicht die Häufigkeit, sondern dass der Aufwand für einen gezielten Angriff niedrig bleibt.

Warum das ausgerechnet die Zwei-Faktor-Anmeldung trifft

Das Ärgerliche daran ist die Richtung. Du richtest einen zweiten Faktor ein, um dein Konto zu härten, und baust dabei einen Ersatzweg, der schwächer ist als das Passwort davor.

Das BSI benennt genau das in seiner Bewertung der 2FA-Verfahren: "Bei den Wiederherstellungsmechanismen ist es grundsätzlich kritisch, wenn ein einstufiges Verfahren die Zwei-Faktor-Authentisierung ersetzt." Und weiter: "Angreifende können genau an dieser Schwachstelle ansetzen." Eine SMS an eine Nummer, die dir seit zwei Jahren nicht mehr gehört, ist so ein einstufiges Verfahren.

Löschen ist hier wirksamer als hinzufügen

Der Reflex bei Sicherheitsratgebern ist, noch etwas einzurichten. Hier ist es umgekehrt.

Geh die Konten durch, bei denen Geld, Identität oder Postfach hängen, und wirf jede Rufnummer raus, die du nicht mehr besitzt. Das betrifft Google, Apple, Microsoft, PayPal, Amazon, dein Bankkonto und die Zweitmail, an die du seit Jahren nicht gedacht hast. Bei Google findest du die Einträge unter Sicherheit und Wege zur Bestätigung deiner Identität, bei Apple in den Kontoeinstellungen unter Anmeldung und Sicherheit.

Ersetze die SMS als zweiten Faktor, wo es geht, durch eine Authenticator-App oder einen Passkey. Beide hängen am Gerät und nicht an der Nummer. Die Nummer als Ersatzweg kannst du danach in vielen Diensten ganz entfernen.

Und wenn du eine Nummer aufgibst, dann in dieser Reihenfolge: erst überall austragen, dann kündigen. Andersherum sitzt du vor Konten, in die du dich nicht mehr einloggen kannst, während jemand anderes die Codes bekommt.