Geben Sie die Telefonnummer des Verkäufers ein
„Geben Sie die Telefonnummer des Verkäufers ein“ steht auf keiner echten Bezahlseite. Für eine Auszahlung braucht niemand deine Handynummer. Gebraucht wird sie, um in deinem Namen eine Anmeldung auszulösen: Der Code kommt bei dir an, und im nächsten Schritt fragt jemand freundlich danach.
Die Nummer ist der Anfang, nicht das Ziel
Messenger und viele Portale binden Konten an eine Mobilnummer. Wer eine Nummer bei einem solchen Dienst einträgt, löst eine Registrierung aus, und der Dienst schickt einen Bestätigungscode per SMS — bei WhatsApp sechsstellig — an genau diese Nummer. Der Angreifer hat den Code also nicht, du hast ihn. Deshalb besteht die Masche aus zwei Teilen, die zeitlich dicht beieinanderliegen. Erst wird die Nummer abgefragt, oft auf einer nachgebauten Bezahlseite unter einer harmlosen Überschrift wie Zuordnung oder Kontaktverifizierung. Dann meldet sich jemand im Chat, sagt, das System habe versehentlich einen Code an dich geschickt, und bittet um die Ziffern. Wer den ersten Teil erkennt, kommt zum zweiten gar nicht. Wer die beiden Schritte als getrennte Ereignisse wahrnimmt, übersieht den Zusammenhang genau dann, wenn es darauf ankommt.
Warum die Nummer beim Verkauf gar nicht nötig ist
Ein Verkauf braucht drei Informationen: was du verkaufst, wo übergeben wird und wie gezahlt wird. Keine davon setzt eine Telefonnummer voraus. Absprachen laufen im Chat des Portals, Termine ebenfalls, und für eine Überweisung reicht die IBAN. Genau deshalb halten viele Portale Kontaktdaten bewusst verborgen — das ist kein Komfortverlust, sondern der Punkt, an dem sich Kontoübernahmen und Werbeanrufe verhindern lassen. Wenn du für die Übergabe doch eine Nummer austauschen willst, tu es erst, wenn Zeit und Ort feststehen, und nicht in Verbindung mit einer Zahlungsseite. Eine Nummer, die im Zusammenhang mit einer angeblichen Auszahlung abgefragt wird, hat mit der Übergabe nichts zu tun. Und einmal weitergegeben, bekommst du eine Nummer nicht zurück: Sie wird weiterverkauft und taucht Monate später in Werbeanrufen wieder auf.
Eine Anzeige, die alle Angaben enthält, macht Rückfragen per Telefon überflüssig — Maße, Zustand und Abholzeiten reichen dafür meist aus. Anzeige aufgeben
Der Moment, in dem beides zusammenkommt
Zwischen der Eingabe der Nummer und der Bitte um den Code liegen selten mehr als zwei Minuten, und das ist der auffälligste Teil. Wenn du eine SMS mit einem Code bekommst, den du nicht angefordert hast, versucht in dieser Sekunde jemand, sich anzumelden. Die richtige Reaktion ist, nichts zu tun: den Code nicht weiterzugeben, nicht darauf zu antworten, keinen Link in der SMS zu öffnen. Ohne den Code läuft die Registrierung ins Leere, und nach mehreren Fehlversuchen sperrt der Dienst neue Anfragen für Stunden. Wer stattdessen die Ziffern nennt, verliert das Konto in dem Moment, in dem er auf Senden drückt. Danach schreibt der Angreifer aus deinem Namen deine Kontakte an, meist mit einer Bitte um Geld.
Zwei-Schritt-Verifizierung einschalten
Die Gegenmaßnahme dauert eine Minute und wirkt dauerhaft. Bei WhatsApp aktivierst du in den Einstellungen unter Konto die Zwei-Schritt-Verifizierung und vergibst eine sechsstellige PIN, die zusätzlich zum SMS-Code abgefragt wird, sobald jemand deine Nummer auf einem neuen Gerät registriert. Wer nur den SMS-Code hat, kommt damit nicht mehr hinein. Vergleichbares gibt es bei Signal als Registrierungssperre und bei Telegram als Cloud-Passwort. Ergänzend lohnt sich der Blick in die Liste der verknüpften Geräte, die du in jedem Messenger einsehen und leeren kannst. Und falls dein Konto bereits übernommen wurde: Registriere deine Nummer selbst erneut, dadurch verliert der Angreifer den Zugang sofort, und setze anschließend die PIN. Notiere die PIN an einem Ort, an dem du sie wiederfindest, denn abgefragt wird sie nur selten.
Häufige Fragen
Ist es schlimm, wenn jemand meine Handynummer hat?
Allein reicht sie nicht für eine Übernahme, sie ist aber der Ausgangspunkt. Mit der Nummer lässt sich eine Registrierung starten, und der Rest hängt daran, ob du den Code herausgibst und ob eine zusätzliche PIN gesetzt ist. Mit aktivierter Zwei-Schritt-Verifizierung ist die Nummer weitgehend ungefährlich.
Warum bekomme ich einen Code, den ich nicht angefordert habe?
Weil gerade jemand versucht, deine Nummer bei einem Dienst zu registrieren. Gib den Code nicht weiter, antworte nicht auf die SMS und öffne keinen enthaltenen Link. Prüfe danach, ob deine Zwei-Schritt-PIN gesetzt ist. Wiederholt sich das über Tage, kann eine zeitweilige Sperre beim Anbieter helfen.
Muss ich für den Verkauf meine Nummer angeben?
Nein. Absprachen zu Preis, Übergabe und Zahlung laufen vollständig über den Chat des Portals. Eine Nummer brauchst du höchstens am Übergabetag, um die letzten Meter zu klären. Wer die Nummer schon vor der Einigung verlangt, hat dafür einen Grund, der mit dem Kauf nichts zu tun hat.
Mein Konto wurde übernommen — was tue ich?
Registriere die Nummer sofort selbst neu, dann wird das fremde Gerät abgemeldet. Setze anschließend die Zwei-Schritt-PIN, prüfe verknüpfte Geräte und informiere deine Kontakte, dass in deinem Namen geschrieben wurde. Sichere Screenshots und erstatte Anzeige, besonders wenn Kontakte um Geld gebeten wurden.