Recycelte Telefonnummern: das stille SMS-Risiko

Telefonnummern fühlen sich dauerhaft an. Wir drucken sie auf Visitenkarten, geben sie Banken und melden uns damit fast überall an. Aber für den Netzbetreiber ist eine Nummer Lagerbestand. Hört ein Kunde auf zu zahlen, wechselt den Tarif ohne Rufnummernmitnahme oder lässt einfach eine Prepaid-Karte verfallen, wird die Nummer abgeschaltet, eine Weile ruhen gelassen und an jemand Neuen vergeben.

Die US-Kommunikationsbehörde FCC schätzt, dass allein in den Vereinigten Staaten jedes Jahr rund 35 Millionen Nummern abgeschaltet und zur Neuvergabe freigegeben werden. Die meisten davon waren irgendwann Login, Wiederherstellungskanal oder zweiter Faktor für die Konten von irgendwem.

Was die Forscher in Princeton herausfanden

2021 machten sich Kevin Lee und Arvind Narayanan vom Center for Information Technology Policy der Princeton University daran, das Problem direkt zu messen. Sie zogen eine Stichprobe von 259 Nummern, die zwei große US-Betreiber, T-Mobile und Verizon, neuen Kunden anboten, und prüften dann, was diese Nummern noch freischalten konnten.

• ·171 der 259 Nummern – etwa zwei von drei – hingen noch an bestehenden Konten bei beliebten Websites, darunter Amazon, AOL, Facebook, Google, PayPal und Yahoo. Ein neuer Inhaber, der Passwort-Reset-SMS empfängt, könnte diese Konten womöglich übernehmen.
• ·100 der Nummern tauchten in öffentlichen Daten aus Datenlecks neben geleakten Zugangsdaten auf – die SMS war also das Einzige, was zwischen einem Angreifer und dem Konto stand.
• ·Viele Nummern lieferten außerdem auf Personensuchseiten persönliche Informationen über frühere Inhaber.

Die Forscher stellten auch fest, dass die Online-Seiten der Betreiber zum Nummernwechsel jedem erlaubten, große Pools verfügbarer Nummern zu durchstöbern, was es einem Angreifer leicht machte, nach recycelten zu suchen. Beide Betreiber nahmen nach der Benachrichtigung Änderungen vor; die Autoren veröffentlichten die Antworten der Betreiber zusammen mit der Studie.

Das Kernproblem ist einfach: Dienste behandeln „kann auf dieser Nummer eine SMS empfangen“ als Identitätsnachweis, während Netzbetreiber Nummern als wiederverwendbar behandeln. Treffen diese beiden Annahmen aufeinander, erbt die Person, die die Nummer heute hat, jedes Vertrauen, das gestern daran hing.

Was Regulierungsbehörden getan haben

Die Hauptantwort der FCC zielte auf ein anderes Problem – unerwünschte Anrufe bei Menschen, die eine Nummer geerbt haben. Im Dezember 2018 ordnete sie die Einrichtung der Reassigned Numbers Database an, die 2021 in Betrieb ging. Betreiber melden dauerhaft abgeschaltete Nummern, und Unternehmen können abfragen, ob eine Nummer seit einem bestimmten Datum abgeschaltet wurde, bevor sie sie anrufen oder anschreiben. Dieselbe Anordnung legte eine Mindest-„Ruhezeit“ von 45 Tagen fest, bevor eine abgeschaltete Nummer neu vergeben werden darf.

Das hilft Unternehmen, keine Fremden mehr anzuschreiben. Für Konten, in denen noch die alte Nummer hinterlegt ist, tut es nichts. Sie aktuell zu halten, bleibt in der Praxis dem Kontoinhaber überlassen.

So schützt du dich, wenn du die Nummer wechselst

Was das für gemietete virtuelle Nummern bedeutet

Ein ehrlicher Artikel über das Recycling von Nummern muss dieselbe Logik auf gemietete Nummern anwenden, denn die werden bewusst recycelt. Eine Nummer, die du für eine Bestätigung mietest, ist während der Aktivierung für dich reserviert; danach kann sie wieder für andere Menschen und andere Dienste genutzt werden. Das macht eine gemietete Nummer günstig und wegwerfbar – und genau deshalb sollte sie nie zum langfristigen Wiederherstellungskanal eines Kontos werden, das dir wichtig ist.

• ·Gute Anwendungen: eine Registrierung schaffen, ohne einem Dienst deine private Nummer zu geben; Messenger, soziale Netzwerke, Marktplätze, Testphasen und Testkonten, bei denen die Nummer im Moment der Bestätigung zählt.
• ·Schlechte Anwendungen: Banking, Zahlungen, Behördendienste und jedes Konto, dessen einziger Wiederherstellungsweg eine SMS an diese Nummer ist. Die verdienen eine Nummer, die in fünf Jahren noch deine ist.
• ·Direkt nach der Bestätigung: Füge eine Wiederherstellungs-E-Mail hinzu, aktiviere App-basierten Zwei-Faktor-Schutz und lass, wo der Dienst es erlaubt, die gemietete Nummer nicht als einzigen Weg zurück stehen.

So genutzt ist eine gemietete Nummer sogar ein Schutz gegen das Recycling-Problem statt ein Beispiel dafür. Deine echte Nummer – die eines Tages selbst abgeschaltet und weiterverkauft werden könnte – landet erst gar nicht in Dutzenden Datenbanken.

Häufige Fragen