Einleitung: der geschwätzigste Gegenstand, den Sie je weiterverkauft haben
Sie haben im Juni das Handy gewechselt. Das alte ging für 180 Euro an eine Refurbishing-Plattform, mit einem Häkchen bei „Gerät zurückgesetzt". Sie haben in den Einstellungen einen Werksreset durchgeführt, die SIM-Karte entfernt – und die Sache für erledigt gehalten.
In diesem Gerät lebten: vier Jahre Fotos, die Chronik Ihrer Wege, Ihre im Browser gespeicherten Passwörter, nie abgeschickte Nachrichtenentwürfe, die Anhänge Ihrer Ärztin, der Scan Ihres Ausweises, den Sie eines Abends für eine Anmeldung gemacht haben, und die vollständige Liste der Menschen, die Sie sonntags anrufen.
Das Handy ist der einzige Gegenstand, den man gebraucht weiterverkauft, nachdem man darin mehr Intimes gespeichert hat als in irgendeiner Schublade der Wohnung. Und es zirkuliert kräftig: Laut Zahlen der ADEME und dem Digitalbarometer der Arcep macht der Markt für gebrauchte und refurbished Smartphones inzwischen einen erheblichen Teil der jährlichen Verkäufe in Frankreich aus. Jedes verkaufte Gerät ist ein Gerät, das jemand anderes kauft.
Dieser Leitfaden funktioniert deshalb in beide Richtungen: was Sie vor dem Verkauf löschen müssen und wovor Sie sich hüten sollten, wenn Sie ein Gerät kaufen, das bereits ein Leben hatte.
Teil 1 – Verstehen, was nach einer Löschung wirklich zurückbleibt
Der Mythos vom „geleerten Papierkorb"
Auf einer klassischen Festplatte löscht das Löschen einer Datei gar nichts: Das System markiert den Speicherplatz lediglich als wiederverwendbar. Auf diesem Prinzip beruhte es, dass sich zwei Jahrzehnte lang Daten von weiterverkauften Computern wiederherstellen ließen. Moderne Smartphones funktionieren anders – und das ist eine gute Nachricht, sofern man versteht, warum.
Verschlüsselung ändert alles
Seit Android 6 (2015) und iOS 8 (2014) ist der Gerätespeicher standardmäßig verschlüsselt. Konkret heißt das: Die Daten sind ohne einen Schlüssel unlesbar, und dieser Schlüssel ist wiederum durch Ihren Entsperrcode geschützt und in einem Sicherheitschip abgelegt (Secure Enclave bei Apple, Trusted Execution Environment oder Titan-Chip auf Android-Seite).
Wenn Sie auf einem verschlüsselten Gerät einen Werksreset durchführen, zerstört das System den Schlüssel. Die physischen Daten bleiben noch eine Weile im Flash-Speicher, entsprechen aber nur noch mathematischem Rauschen. Das nennt man Crypto-Erase, und es ist heute die von technischen Regelwerken empfohlene Methode, insbesondere von NIST SP 800-88 zur Datenträgerlöschung.
Die entscheidende Voraussetzung: Das Gerät muss vor der Löschung durch einen Code geschützt gewesen sein. Ein Handy ohne Sperrcode hat seinen Schutz nie wirklich aktiviert; das Zurücksetzen wird dann wieder zu bloßem Oberflächenputz.
Was der Werksreset nicht löscht
Drei blinde Flecken bleiben – und genau sie sind das Problem:
| Element | Wo es sich befindet | Was zu tun ist |
|---|---|---|
| Micro-SD-Karte | Physisch im Gerät | Entnehmen oder separat verschlüsselt formatieren |
| SIM-Karte / eSIM | Physische SIM oder integriertes Profil | SIM entnehmen; eSIM-Profil in den Einstellungen löschen |
| Verknüpfte Cloud-Konten | Auf den Servern, nicht auf dem Gerät | Gerät vor dem Verkauf vom Konto trennen |
| Automatische Backups | Google Drive, iCloud | Veraltete Backups prüfen und löschen |
| Gekoppelte Geräte | Uhr, Kopfhörer, Auto, Waage | Einzeln entkoppeln |
Den letzten Punkt vergisst man ausnahmslos immer. Eine weiterhin gekoppelte Smartwatch synchronisiert weiter Gesundheitsdaten; ein Fahrzeug behält ein komplettes, per Bluetooth importiertes Adressbuch im Speicher.
Teil 2 – Das Verkaufsprotokoll, Schritt für Schritt
Schritt 1: retten, bevor man zerstört
Holen Sie zuallererst heraus, was Sie behalten möchten. Eine direkte Übertragung auf das neue Gerät reicht oft aus; wenn Sie der Cloud lieber nichts anvertrauen, erledigen ein Kabel und eine externe Festplatte den Job. Eine verschlüsselte externe Festplatte mit hardwareseitigem Passwortschutz bleibt die nüchternste Lösung, um Jahre von Fotos zu archivieren, ohne sie auf fremde Server zu verteilen.
Nutzen Sie die Gelegenheit zum Aussortieren: Ein Backup, das alles enthält, ist ein Backup, das man ein Leben lang schützen muss.
Schritt 2: Aktivierungssperre deaktivieren
Das ist der Schritt, der am häufigsten misslingt – und der den Verkauf ruiniert.
- iPhone: Einstellungen → Ihr Name → Wo ist? → „Mein iPhone suchen" deaktivieren, anschließend von der Apple-ID abmelden. Andernfalls erhält der Käufer ein durch die Aktivierungssperre blockiertes, unbrauchbares Gerät.
- Android: Google-Konto unter Einstellungen → Konten löschen, dann Code und biometrische Daten entfernen. Der Factory Reset Protection funktioniert nach demselben Prinzip.
Rufen Sie danach die Geräteverwaltungsseite Ihres Kontos auf (Google, Apple, Samsung, Xiaomi – je nach Fall) und entfernen Sie das Gerät ausdrücklich aus der Liste. Dieser Handgriff kappt die Verbindung serverseitig, nicht nur auf dem Handy.
Schritt 3: Sitzungen und Zwei-Faktor-Authentifizierung widerrufen
Ihr altes Handy war womöglich Ihr zweiter Authentifizierungsfaktor. Bevor Sie es ziehen lassen:
- übertragen Sie Ihre Authentifizierungscodes (TOTP-Apps) auf das neue Gerät;
- widerrufen Sie aktive Sitzungen bei sensiblen Konten (Bank, E-Mail, soziale Netzwerke);
- wenn Sie einen physischen FIDO2-Sicherheitsschlüssel als zweiten Faktor nutzen, ist jetzt der richtige Moment zu prüfen, ob er bei den kritischen Konten korrekt registriert ist – er erspart Ihnen genau die Abhängigkeit von einer Telefonnummer.
Schritt 4: zurücksetzen, dann das Rauschen zurücksetzen
Für besonders Vorsichtige existiert die sogenannte „Auffüll"-Methode: Nach der Löschung füllt man den Speicher mit belanglosen Dateien (uninteressante Videos) und löscht erneut. Auf einem verschlüsselten Gerät ist das weitgehend überflüssig. Auf einem alten, unverschlüsselten Gerät (vor 2015) ist es dagegen eine vernünftige Vorsichtsmaßnahme.
Schritt 5: an die physische Hülle denken
Das Handy reist nicht allein. Die Schutzhülle, die vergessene SIM-Karte in der Schublade, das Versandetikett mit Ihrer vollständigen Adresse auf einem Paket: All das erzählt ebenfalls etwas. Wenn Sie das Gerät verschicken, sind eine neutrale Versandtasche und ein Lieferschein, der nur das Nötigste nennt, besser als ein wiederverwendeter Karton mit Ihrer alten Bestellung und Ihrem Namen in Großbuchstaben.
Teil 3 – Gebraucht kaufen: die fünf Prüfungen, die zählen
Ein bereits genutztes Gerät zu kaufen heißt, einen Gegenstand zu akzeptieren, dessen Geschichte man nicht kennt. So rekonstruieren Sie sie.
1. Die IMEI, vor allem anderen
Jedes Handy besitzt eine eindeutige Nummer, die IMEI, die man durch Eingabe von *#06# anzeigt. Lassen Sie sie sich vor dem Kauf vom Verkäufer nennen und prüfen Sie, ob sie mit der auf dem Gerät eingravierten oder in den Einstellungen angezeigten übereinstimmt.
In Frankreich kann eine als gestohlen gemeldete IMEI über die von der Fédération française des télécoms verwaltete Einrichtung von den Netzbetreibern auf eine Sperrliste gesetzt werden. Ein gesperrtes Gerät funktioniert in französischen Mobilfunknetzen nicht mehr, gleich welche SIM eingelegt wird. Ein gestohlenes Handy zu kaufen heißt auch, eine Anzeige zu erben, die an einen Gegenstand in Ihrem Besitz geknüpft ist.
2. Ist das Gerät wirklich entkoppelt?
Schalten Sie es beim Verkäufer ein, wenn es sich um eine Übergabe von Hand zu Hand handelt. Startet es mit einem Bildschirm, der nach der Apple-ID oder dem Google-Konto des Vorbesitzers fragt, ergibt der Kauf keinen Sinn: Sie erwerben einen Ziegelstein. Geben Sie sich niemals mit dem Versprechen „Ich entsperre es danach" zufrieden.
3. Ist das System im Originalzustand?
Manche über inoffizielle Kanäle aufbereiteten Geräte kommen mit verändertem System, vorinstallierten Apps oder einer umetikettierten Android-Version. Das Risiko ist nicht theoretisch: Von Sicherheitsforschern in den vergangenen Jahren veröffentlichte Analysen haben unerwünschte Software auf fabrikneu ausgelieferten Einsteigergeräten dokumentiert.
Einfacher Reflex: Führen Sie sofort nach Erhalt Ihren eigenen Werksreset durch, unabhängig von den Zusicherungen des Verkäufers, und prüfen Sie die Systemversion sowie das Datum des letzten Sicherheitspatches (Einstellungen → Über das Telefon → Sicherheitsversion).
4. Wie lange wird es noch Updates geben?
Ein Handy, das keine Patches mehr erhält, wird im Lauf der Monate zur offenen Tür. Seit 2023 schreibt die europäische Ökodesign-Verordnung den Herstellern schrittweise Mindestzeiträume für Sicherheitsupdates bei in der EU verkauften Smartphones vor. Prüfen Sie vor einem Gebrauchtkauf die Herstellerpolitik für das betreffende Modell: Ein vor sechs Jahren erschienenes Gerät kann physisch tadellos und softwareseitig völlig verwaist sein.
5. Suchen, was nicht da sein sollte
Nach dem Zurücksetzen hat ein sauberes Gerät keine unbekannte Verwaltungs-App, kein exotisches Konfigurationsprofil, kein ohne Ihr Wissen eingerichtetes VPN. Auf Android: ein Blick in Einstellungen → Sicherheit → Apps zur Geräteverwaltung; auf iOS: Einstellungen → Allgemein → VPN und Geräteverwaltung.
Genau dort nistet sich Stalkerware ein – Überwachungssoftware, die von einer nahestehenden Person installiert wurde. Das Thema geht weit über den Gebrauchtkauf hinaus: Es betrifft auch „geschenkte" Geräte im Kontext häuslicher Gewalt. Die CNIL und mehrere französische Organisationen warnen regelmäßig vor solchen Praktiken; die Coalition Against Stalkerware veröffentlicht französischsprachige Ressourcen zur Erkennung.
Teil 4 – Refurbishing-Plattformen und Ihre Rechte
Ein professioneller Aufbereiter ist ein Auftragsverarbeiter … oder auch nicht
Wenn Sie Ihr Handy einem Refurbisher überlassen, übergeben Sie ihm potenziell einen Datenträger mit personenbezogenen Daten – Ihren eigenen, aber auch denen all Ihrer Kontakte. Seriöse Anbieter wenden ein dokumentiertes Löschverfahren an und stellen Ihnen mitunter ein Zertifikat aus. Fordern Sie es ein.
Der entscheidende DSGVO-Punkt hier: Sie delegieren Ihre Verantwortung gegenüber den Dritten in Ihrem Adressbuch niemals vollständig. Der richtige Reflex bleibt also, vor der Übergabe selbst zu löschen und die Löschung durch den Profi als zweite Schicht zu betrachten, nicht als erste.
Der gesetzliche Hinweis, den man kennen sollte
Seit dem AGEC-Gesetz und seinen Ausführungsvorschriften müssen in Frankreich verkaufte aufbereitete Produkte die Angabe „reconditionné" tragen, ergänzt um Informationen zum Zustand des Geräts. Ein Verkäufer, der ohne weitere Präzisierung von „wie neu" spricht, bewegt sich außerhalb des Rahmens. Und ein von einem Gewerbetreibenden verkauftes aufbereitetes Produkt genießt die gesetzliche Konformitätsgarantie: mindestens zwölf Monate bei Gebrauchtware, zwei Jahre bei Neuware.
Teil 5 – Der Sonderfall: das Gerät, das man nicht weiterverkauft
Nicht alle Handys enden im Verkauf. Manche gehen kaputt, zerschellen oder schlummern fünf Jahre in einer Schublade. Drei Situationen verdienen eine gesonderte Behandlung.
Das Gerät, das sich nicht mehr einschalten lässt
Ein totes Handy lässt sich nicht zurücksetzen. Zwei Möglichkeiten:
- Die Abgabe an einer zugelassenen Sammelstelle (Wertstoffhof, Netzbetreiber, Handelskette), idealerweise nach vorherigem Entfernen von SIM- und Micro-SD-Karte.
- Die physische Zerstörung, wenn das Gerät sensible Daten enthielt und nie einen Sperrcode hatte. Den Speicherchip zu durchbohren oder zu zerbrechen macht eine Wiederherstellung wirtschaftlich undenkbar. Eine Schutzbrille und ein Feinmechaniker-Schraubendreher genügen – das Öffnen eines modernen Smartphones erfordert ein Minimum an Werkzeug und Geduld.
Das alte Handy, das man „für alle Fälle" behält
Ein ausgezeichneter Reflex für den Notfall – aber ein in der Schublade vergessenes Gerät bleibt ein Gerät, das alles enthält. Wenn Sie es behalten, löschen Sie es jetzt, nicht erst an dem Tag, an dem Sie es weitergeben. Ein leeres Gerät ist ein Gegenstand; ein volles Gerät ist eine Akte.
Das Handy, das man einem Kind oder Angehörigen gibt
Die Weitergabe in der Familie wird am häufigsten schlampig erledigt, weil man vertraut. Das Problem ist nicht das Vertrauen: Es ist, dass das Gerät mit Ihrem Konto verknüpft bleibt, Ihre Benachrichtigungen anzeigt und Ihre Nachrichten jemandem offenlegt, der sie gar nicht gesucht hat. Vollständige Löschung und ein eigenes Konto sind Pflicht – auch zwischen Eltern und Kind.
Zusammenfassung: die Checkliste zum Griffbereithalten
Vor dem Verkaufen oder Verschenken
- Sichern, was ich behalte – auf einem Medium, das ich kontrolliere
- Uhr, Kopfhörer, Auto, vernetzte Geräte entkoppeln
- eSIM-Profil löschen, SIM und Micro-SD entnehmen
- „Wo ist?" deaktivieren / Google-Konto löschen
- Meine Zwei-Faktor-Codes übertragen
- Gerät aus der Liste in meinem Herstellerkonto entfernen
- Werksreset bei aktivem Gerätecode
- Prüfen, dass das Versandpaket nicht zu viel verrät
Vor dem Kauf
- IMEI über
*#06#und ihren Status prüfen - Gerät starten: Es darf kein Vorbesitzerkonto erscheinen
- Sofort eigenen Werksreset durchführen
- Datum des letzten Sicherheitspatches kontrollieren
- Profile, VPN und Geräteadministratoren prüfen
- Vom Hersteller angekündigte Supportdauer prüfen
Fazit: ein Gerät, zwei Leben, keine Spur
Ein Smartphone, das den Besitzer wechselt, ist kein neutraler Gegenstand. Es trägt ein Gedächtnis mit sich, und dieses Gedächtnis löscht sich nicht aus Höflichkeit. Die gute Nachricht: Die Technik spielt seit zehn Jahren für Sie – auf einem verschlüsselten und mit Code geschützten Gerät genügt ein sauber durchgeführter Werksreset tatsächlich.
Der Rest besteht aus Handgriffen, die zwanzig Minuten dauern: Konten trennen, Geräte entkoppeln, prüfen, was serverseitig noch verknüpft ist. Und, in der anderen Richtung: sich weigern, ein Gerät mit verschwommener Geschichte zu kaufen.
Privatsphäre zu schützen heißt nicht nur zu entscheiden, was man veröffentlicht. Es heißt auch zu entscheiden, was man zurücklässt, wenn ein Gegenstand das Haus verlässt. Ein gut gelöschtes Handy verrät nichts über Sie – und genau das verlangen wir von ihm.
Quellen und nützliche Ressourcen: CNIL (Praxisblätter „Effacer les données d'un appareil avant de le revendre"), ADEME (Daten zum Markt für aufbereitete Geräte), Arcep (Digitalbarometer), NIST SP 800-88 (Regelwerk zur Datenträgerlöschung), Coalition Against Stalkerware, Fédération française des télécoms (IMEI-Sperrsystem), Artikel L. 217-3 ff. des französischen Verbrauchergesetzbuchs (gesetzliche Konformitätsgarantie).
