Einleitung: zehn Ziffern, die einem Personenstand gleichkommen
Zählen Sie einmal nach. Wie vielen Stellen haben Sie im letzten Jahr Ihre Mobilnummer gegeben? Der Bank, der Krankenversicherung, der Autowerkstatt, zwei Lieferplattformen, dem Kundendienst eines Haushaltsgeräteherstellers, der Kundenkarte des Supermarkts, dem Reservierungsformular eines Restaurants, der Anmeldung im Fitnessstudio, dem Ticketportal, dem Privatverkäufer eines Möbelstücks, das Sie an einem Samstag gekauft haben, dem Physiotherapeuten, der Schule, der Hausratversicherung, dem Computer-Reparaturdienst.
In den meisten dieser Fälle war die Nummer nicht nötig. Sie stand einfach im Pflichtfeld.
Das Problem ist nicht, dass diese Nummer „zirkuliert". Das Problem ist, dass sie ohne Gesetz und ohne Debatte zur faktischen eindeutigen Kennung der Bevölkerung geworden ist. Sie ändert sich so gut wie nie – die Rufnummernmitnahme, in Frankreich seit 2007 verpflichtend, hat den einzigen Grund beseitigt, aus dem man früher wechselte. Sie ist eindeutig, sie ist kurz, sie ist leicht zu merken, sie wird überall verlangt, und sie ist überprüfbar: eine Bestätigungs-SMS beweist, dass Sie tatsächlich der Inhaber sind. Kein anderes Merkmal vereint all diese Eigenschaften. Nicht die E-Mail-Adresse, die man beliebig vervielfacht. Nicht die Postadresse, die man im Schnitt alle sieben Jahre wechselt. Nicht der Name, der uneindeutig ist.
Das Ergebnis: Ihre Nummer ist die Spalte, über die sich zwei Datenbanken wieder zusammenfügen. Sie ist ein Dreh- und Angelpunkt. Und ein solcher Pivot verwandelt in der Datenwelt anonyme Fragmente in eine personenbezogene Akte.
Dieser Leitfaden erklärt, wie es dazu kam, was ein Dritter aus zehn Ziffern wirklich herausholen kann und vor allem, wie Sie aufhören, sie zu verteilen – ohne als Einsiedler leben zu müssen.
Teil 1 – Warum die Nummer zum Identifikations-Pivot wurde
Die Verschiebung vom Kontakt zur Authentifizierung
Ursprünglich diente eine Telefonnummer dazu, angerufen zu werden. Heute erfüllt sie drei verschiedene Funktionen, die permanent vermischt werden:
| Funktion | Beispiel | Braucht es Ihre echte Nummer? |
|---|---|---|
| Erreichbarkeit | Der Lieferbote meldet, dass er unten steht | Nein, eine Weiterleitungsnummer genügt |
| Authentifizierung | Sechsstelliger Code zur Freigabe einer Zahlung | Ja, aber eine eigene Nummer erfüllt den Zweck |
| Identifikation / Zusammenführung | Die Plattform verknüpft Ihr Konto mit Ihren Ladenkäufen | Nein, für Sie nie notwendig |
Die dritte Funktion ist die, von der niemand spricht. Und doch ist sie die lukrativste. Wenn eine Filiale und eine App Sie als dieselbe Person erkennen, liegt das fast immer an der Nummer.
Das „Hashing", das nichts schützt
Sie werden oft lesen, eine Nummer werde „in gehashter Form übermittelt" und sei damit anonym. In diesem konkreten Fall ist das falsch, und die CNIL hat in ihren Stellungnahmen zu pseudonymisierten Kennungen mehrfach darauf hingewiesen.
Eine französische Mobilnummer bewegt sich in einem Raum von rund 100 Millionen Kombinationen (die Bereiche 06 und 07). Ein gewöhnlicher Computer berechnet die Hashwerte dieses gesamten Raums in wenigen Minuten. Anders gesagt: Eine Telefonnummer zu hashen verbirgt sie nicht, es übersetzt sie lediglich. Der Hashwert bleibt eine vollständig umkehrbare Kennung – und damit ein personenbezogenes Datum im Sinne der DSGVO.
Genau dieser Mechanismus erlaubt es Werbevermarktern, einen Kunden anhand einer von einer Handelskette gelieferten „anonymisierten" Datei wiederzuerkennen.
Was eine bloße Nummer bereits hergibt
Mit zehn Ziffern und nichts weiter erhält ein motivierter Dritter häufig:
- Den Anbieter und den Leitungstyp (Mobil, Festnetz, VoIP) – eine öffentliche Information über die Portierungsdatenbanken.
- Den Namen und manchmal die Adresse, wenn Sie in einem Verzeichnis eingetragen sind oder die Nummer irgendwann in einem Kleinanzeigeninserat, einem Forum oder einem Online-Lebenslauf auftauchte.
- Ihr Profilbild und Ihren Vornamen bei Messenger-Diensten, die diese Angaben jedem Inhaber der Nummer zeigen.
- Die Bestätigung, dass ein Konto existiert, bei Dutzenden Diensten: Die Seite „Passwort vergessen" verrät unbeabsichtigt, ob die Nummer registriert ist.
- Die damit verbundenen Datenlecks: Kompromittierte Datenbanken sind indexiert und per Nummer abfragbar. 2024 legten mehrere massive Datenlecks in Frankreich – im Bereich Krankenversicherung und Handel – Millionen Datensätze mit Namen, Geburtsdatum und Telefonnummer offen.
Die Nummer ist also ein Einstiegspunkt. Keine isolierte Information.
Teil 2 – Die vier Kanäle, über die sie entweicht
1. Telefonbücher und die missverstandene „rote Liste"
Viele Französinnen und Franzosen glauben, die rote Liste schütze sie vor allem. Sie bewirkt genau eine Sache: Sie verhindert die Veröffentlichung in allgemeinen Verzeichnissen und in der Telefonauskunft. Sie ist bei Ihrem Anbieter kostenlos und einklagbar – das französische Post- und Telekommunikationsgesetzbuch räumt Ihnen dieses Recht ein.
Was sie nicht bewirkt:
- Sie löscht nicht die privaten Rückwärtsverzeichnisse, die die Nummer bereits abgesaugt haben.
- Sie verhindert keine Werbeanrufe auf Basis anderswo eingekaufter Datenbestände.
- Sie wirkt nicht auf die Datenbanken der Unternehmen, denen Sie die Nummer selbst gegeben haben.
2. Werbeanrufe und der Weiterverkauf von Datensätzen
Bloctel existiert und wurde verstärkt: Seit dem Gesetz von 2020 und dem Dekret vom Oktober 2022 sind Werbeanrufe an Wochenenden, an Feiertagen und werktags außerhalb der Zeitfenster 10–13 Uhr und 14–20 Uhr verboten. Seit 2026 wurden die Regeln weiter verschärft, mit dem Erfordernis einer vorherigen Einwilligung in mehreren Branchen, insbesondere bei der energetischen Gebäudesanierung und den persönlichen Weiterbildungskonten.
Das senkt den Lärmpegel. Es beseitigt aber nicht den Marktwert Ihrer Nummer. Eine Datei qualifizierter Interessenten – Nummer + Postleitzahl + Altersgruppe + Interessengebiet – wird weiterhin gehandelt.
3. Die „Löcher", die Sie selbst graben
Die Nummer entweicht vor allem über Kanäle, die niemand im Blick hat:
- Das Online-Inserat, in dem Sie sie im Klartext in den Text geschrieben haben, um das interne Nachrichtensystem der Plattform zu umgehen.
- Die automatische Signatur Ihrer E-Mails, versandt an Verteilerlisten.
- Das PDF-Dokument (Lebenslauf, Angebot, Rechnung), das irgendwo veröffentlicht und indexiert wurde.
- Das Adressbuch einer Bekannten, synchronisiert mit einer App, die Zugriff auf die Kontakte verlangt: Ihre Nummer wandert ab, selbst wenn Sie die App nie installiert haben.
Dieser letzte Punkt ist strukturell. Sie haben keine Kontrolle über die Diskretion Ihrer Kontakte.
4. Der Leitungsdiebstahl: SIM-Swapping
Das ist das teuerste Szenario. Ein Angreifer sammelt genügend Informationen über Sie, um den Anbieter davon zu überzeugen, Ihre Nummer auf eine SIM-Karte zu portieren, die er kontrolliert. Er empfängt dann Ihre Bestätigungscodes – und damit Ihre Bankkonten und Ihre Postfächer.
Die französische Cybersicherheitsbehörde ANSSI und die Banken empfehlen seit Jahren, sich nicht mehr allein auf SMS als zweiten Faktor zu verlassen. Das Gegenmittel existiert und ist günstig: Ein FIDO2-Sicherheitsschlüssel, per USB eingesteckt oder per NFC angehalten, ersetzt den SMS-Code durch einen physischen Nachweis, der aus der Ferne nicht abgefangen werden kann. Es ist die einzige Lösung, die einen Nummerndiebstahl für Ihre kritischen Konten harmlos macht.
Teil 3 – Die Strategie der drei Nummern
Der Fehler besteht darin, „die eine" geschützte Nummer zu suchen. Der richtige Ansatz ist Segmentierung, genau wie man mehrere E-Mail-Adressen nutzt.
Nummer 1 – Die private Nummer
Die, die Ihre Familie, Ihre engen Freunde, Ihre Hausärztin kennen. Eiserne Regel: Sie wird niemals in ein Formular eingetragen. Nicht für eine Lieferung, nicht für eine Kundenkarte, nicht für eine Reservierung. Diese Nummer existiert online nicht.
Nummer 2 – Die Nummer für Behörden und Bank
Die, die die wirklich relevanten Authentifizierungscodes empfängt: Bank, Finanzamt, Krankenkasse, Telekommunikationsanbieter. Sie wird tropfenweise herausgegeben, nur an Stellen, die Sie selbst ausgewählt haben, und sie dient niemals dazu, von einem Händler erreicht zu werden.
Nummer 3 – Die Wegwerf- oder Zweitnummer
Diese fängt alles Übrige ab: Lieferplattformen, Kleinanzeigen, Registrierungen, Gratis-Testphasen, Handwerker, Kundendienst. Drei Optionen in Frankreich:
| Lösung | Kosten | Grenzen |
|---|---|---|
| Prepaid-Leitung bei einem zweiten Anbieter | einige Euro pro Monat | Identifizierungspflicht beim Kauf seit 2016; keine vollständige Anonymität |
| Softwarebasierte Zweitnummer bei bestimmten Anbietern und Apps | 1 bis 5 €/Monat | setzt ein bestehendes Konto voraus |
| Anonymer SMS-Versand, ohne eine Nummer offenzulegen | punktuell | zum Senden, nicht zum Empfangen |
Ein technischer Punkt, der zählt: Damit Sie zwei Leitungen betreiben können, ohne zwei Geräte mitzuschleppen, prüfen Sie, ob Ihr Telefon eSIM unterstützt oder einen zweiten physischen Slot besitzt. Andernfalls erfüllt ein günstiges Dual-SIM-Telefon bestens den Zweck einer „öffentlichen" Leitung, und Sie vermeiden es, die Nutzungen auf demselben Gerät zu vermischen.
Vorsicht bei willkürlich heruntergeladenen Apps für „kostenlose virtuelle Nummern". Viele leben vom Weiterverkauf der Anruf-Metadaten oder speichern die Nachrichten auf Servern außerhalb der EU ohne Rechtsgrundlage. Sie tauschen einen Schutz gegen ein anderes Leck. Bevorzugen Sie ein bezahltes Angebot eines identifizierbaren Anbieters mit einer lesbaren Datenschutzerklärung.
Der Fall des punktuellen Sendens
Es gibt Situationen, in denen Sie etwas mitteilen müssen, ohne einen Rückruf zu ermöglichen: einen Vorfall anonym melden, eine Bekannte aus einem sensiblen Kontext heraus warnen, auf ein Inserat antworten, ohne sich zu exponieren, einen Nachbarn alarmieren. Genau dafür ist ein SMS-Versand ohne Offenlegung der Nummer gedacht: Die Nachricht geht raus, der Empfänger liest sie, und Ihre persönliche Leitung erscheint nirgends. Der Preis dafür ist klar und muss akzeptiert werden: Sie erhalten keine direkte Antwort.
Teil 4 – Der Aufräumvorgang: zurückholen, was schon weg ist
Schritt 1: kartieren
Suchen Sie nach Ihrer eigenen Nummer. In einer Suchmaschine, in Anführungszeichen, in mehreren Formaten: 0612345678, 06 12 34 56 78, +33612345678. Die Ergebnisse zeigen Ihnen, was öffentlich indexiert ist. Machen Sie dasselbe auf den großen Kleinanzeigenplattformen und, falls vorhanden, in Ihren alten Berufsprofilen.
Schritt 2: das Recht auf Löschung ausüben
Die DSGVO gibt Ihnen über Artikel 17 ein Recht auf Löschung. Bei einer Telefonnummer ist das Anschreiben schlicht und passt in vier Zeilen:
Betreff: Antrag auf Löschung personenbezogener Daten (Artikel 17 DSGVO)
Sehr geehrte Damen und Herren, ich beantrage die Löschung der Telefonnummer 06 XX XX XX XX, die mit meinem Konto / meiner Akte verknüpft ist, sowie deren Entfernung aus allen Werbedatenbeständen. Zudem beantrage ich gemäß Artikel 15 Abs. 3 DSGVO die Liste der Empfänger, an die sie weitergegeben wurde. Der Verantwortliche hat für die Beantwortung eine Frist von einem Monat.
Der Verweis auf Artikel 15 Abs. 3 ist der wirkungsvollste Hebel: Er verrät Ihnen, an wen Ihre Nummer übermittelt wurde, und damit, wem Sie als Nächstes schreiben müssen. Bleibt nach einem Monat eine Antwort aus, ist die Online-Beschwerde bei der CNIL kostenlos und in zehn Minuten erledigt.
Schritt 3: absichern, was übrig bleibt
- Stellen Sie Ihre kritischen Konten auf eine Authenticator-App oder einen physischen Schlüssel um, statt auf SMS.
- Deaktivieren Sie in den Einstellungen Ihrer Messenger die Auffindbarkeit über die Nummer und beschränken Sie die Sichtbarkeit des Profilbilds auf Ihre Kontakte.
- Verweigern Sie Apps den Zugriff auf das Adressbuch, wenn sie ihn funktional nicht brauchen.
- Bitten Sie Ihren Anbieter, Ihrem Kundenkonto ein Passwort oder einen Schutzcode hinzuzufügen, um einen betrügerischen Portierungsantrag zu blockieren.
- Veröffentlichen Sie in Inseraten die Nummer niemals im Klartext im Text, auch nicht getarnt als „null sechs".
Teil 5 – Konkrete Situationen
„An der Kasse verlangt man meine Nummer für die Kundenkarte"
Für eine Kundenkarte ist die Nummer nicht nötig. Sie dient dazu, Ihre Einkäufe mit Ihrem Werbeprofil abzugleichen. Lehnen Sie ab, oder geben Sie Nummer 3. Das Programm funktioniert auch ohne.
„Das Formular lässt sich ohne Nummer nicht abschicken"
Ein Pflichtfeld bedeutet keine rechtliche Pflicht. Der Grundsatz der Datenminimierung (Artikel 5 Abs. 1 lit. c DSGVO) verbietet die Erhebung von Daten, die für den Zweck nicht erforderlich sind. Für einen Newsletter oder den Download einer Broschüre ist eine Nummer nie notwendig. Geben Sie Nummer 3 – oder schreiben Sie dem Datenschutzbeauftragten der Website.
„Ein Lieferbote, ein Handwerker, ein Käufer muss mich erreichen"
Nutzen Sie das interne Nachrichtensystem der Plattform, wenn es existiert, sonst Nummer 3. Bei einem Einsatz zu Hause sollten Sie wissen: Die Nummer wird in einer gemeinsam genutzten Auftragsverwaltungssoftware gespeichert, die häufig bei einem Dritten gehostet wird.
„Ich muss jemandem schreiben, ohne dass er mich zurückrufen kann"
Das ist der Einsatzbereich anonymer SMS. Eine Meldung, eine Nachricht an einen Nachbarn, eine sensible Information: Der Inhalt kommt an, der Absender bleibt für den Empfänger nicht identifizierbar. Niemals zum Belästigen oder Bedrohen verwenden – technische Anonymität ist keine juristische Straffreiheit, und gerichtliche Auskunftsersuchen führen zum Ziel.
„Ich wechsle den Anbieter oder das Land"
Ein Umzug ins Ausland ist eine der seltenen Gelegenheiten, bei Null anzufangen. Nutzen Sie sie, um eine neue private Nummer zu vergeben und die alte auslaufen zu lassen, wobei Sie nur die kritischen Konten aktualisieren.
Weiterdenken, ohne paranoid zu werden
Der lohnendste Reflex passt in einen Satz: Fragen Sie sich, bevor Sie zehn Ziffern eintippen, wer anrufen wird und warum. In 70 % der Fälle wird niemand jemals anrufen. Das Feld existiert, um eine Datenbank anzureichern.
Wer systematisch vorgehen will, findet zwei nützliche Stützen: die Praxisleitfäden der CNIL, kostenlos und regelmäßig aktualisiert, und ein Standardwerk zur digitalen Hygiene – die Art von Buch über den Schutz personenbezogener Daten, das die Prinzipien ein für alle Mal festlegt, statt jeder einzelnen Einstellung hinterherzulaufen. Manche ergänzen das durch ein Passwortheft aus Papier, außer Reichweite verwahrt: wenig elegant, aber deutlich sicherer als eine Datei namens „Codes" auf dem Desktop.
Und wenn Sie Ihre DSGVO-Schritte dokumentieren möchten, leistet ein einfacher Archivordner mit den Kopien Ihrer Schreiben und den Empfangsbestätigungen gute Dienste – an dem Tag, an dem Sie der CNIL nachweisen müssen, dass Sie einen Monat zuvor tatsächlich geschrieben haben.
Das Dashboard in fünf Minuten
| Maßnahme | Häufigkeit | Wirkung |
|---|---|---|
| Die eigene Nummer im Web suchen | 2× pro Jahr | deckt öffentliche Lecks auf |
| Rote Liste beim Anbieter prüfen | bei Vertragsabschluss | Entfernung aus Verzeichnissen |
| Schutzcode im Kundenkonto hinzufügen | einmalig | blockiert SIM-Swapping |
| Zweiten Faktor von SMS auf Schlüssel oder App umstellen | einmalig | entschärft Leitungsdiebstahl |
| Nummer 3 für jedes kommerzielle Formular nutzen | dauerhaft | kappt den Werbe-Pivot |
Fazit: die einzige Kennung, die Sie selbst verteilen
Der französische Staat hat vierzig Jahre gebraucht, um die Verwendung der Sozialversicherungsnummer zu regulieren – gerade weil eine eindeutige und universelle Kennung erlaubt, alles miteinander zu verknüpfen. In derselben Zeit haben wir dieselbe Macht einer Mobilnummer überlassen, ohne Gesetz, ohne Register, ohne Kontrolle, einfach weil es praktisch war.
Die gute Nachricht: Dieser Pivot ist der Einzige, den Sie noch an der Quelle kontrollieren. Niemand zwingt Sie, ihn aufzuschreiben. Drei Nummern, eine Regel pro Nummer – und die Verknüpfungsmaschinerie kommt schlagartig zum Stehen, ohne dass Sie eine einzige Ihrer Gewohnheiten ändern müssen.
