Die realen Risiken öffentlicher SMS-Empfangsseiten

Was öffentliche SMS-Empfangsseiten sind

Auf diesen Seiten stehen lange Listen von Telefonnummern. Daneben liegt der SMS-Posteingang: jede eingegangene Nachricht wird vollständig angezeigt, mit Absender, Text und Bestätigungscode. Der Gedanke dahinter ist einfach: Nummern werden einmal beschafft und dann vielen Personen zugänglich gemacht, damit niemand seine eigene Nummer angeben muss.

Das klingt praktisch, hat aber eine Konsequenz, die auf den ersten Blick nicht auffällt. Diese Nummern sind öffentlich. Wer die Seite aufruft, sieht dieselben Nachrichten wie du. Es gibt kein Login, keine Zuordnung, keine Trennung zwischen deiner Nachricht und der von jemand anderem.

Für die meisten Betreiber ist das kein Nebeneffekt, sondern das Geschäftsmodell. Die Seite finanziert sich über Werbung, die Besucher bringen, und die Besucher kommen, weil es scheinbar nichts kostet. Was du im Gegenzug einsetzt, ist nicht Geld.

• Der Posteingang ist ohne Konto und ohne Anmeldung einsehbar
• Nummern werden von vielen Personen gleichzeitig genutzt
• Nachrichten bleiben oft lange im Archiv liegen
• Es gibt keine technische Möglichkeit, eine Nachricht nur dir zuzuordnen

Warum dein Bestätigungscode bei Fremden landet

Wenn du dich bei einem Dienst registrierst und eine öffentliche Nummer angibst, schickt der Dienst eine SMS an diese Nummer. Die Nachricht erscheint im öffentlichen Posteingang. Ab diesem Moment kann den Code jeder lesen, der die Seite geöffnet hat oder sie später aufruft.

Bei häufig genutzten Nummern kommt ein zweites Problem dazu. Mehrere Personen geben dieselbe Nummer beim selben Dienst an. Manche Systeme erkennen das und brechen ab, andere senden trotzdem. Dann stehen in derselben Liste mehrere Codes nebeneinander, und niemand kann sicher sagen, welcher zu welcher Anmeldung gehört.

Es gibt noch eine Situation, die leicht übersehen wird. Fordert der Dienst den Code nach einigen Minuten erneut an, landet auch der zweite Code in derselben Liste. Wer beide sieht, kann den neueren verwenden, und zwar vor dir.

• Codes für Anmeldung und Wiederherstellung sind zeitlich begrenzt, aber öffentlich sichtbar
• Bei Mehrfachnutzung stehen mehrere Codes in derselben Nachrichtenliste
• Dritte können einen Code eingeben, bevor du ihn überhaupt gelesen hast

Was dabei für Konten und Identität verloren geht

Das Risiko endet nicht mit der Registrierung. Viele Dienste nutzen die Telefonnummer als Wiederherstellungsweg. Wer sie liest, kann versuchen, ein Passwort zurückzusetzen. Auch bei Plattformen, die zusätzlich eine E-Mail verlangen, bleibt die Nummer oft der zweite Faktor.

Hinzu kommen Dienste, bei denen die Nummer mit persönlichen Daten verbunden ist, etwa Zahlungsanbieter oder Marktplätze. Dort eingehende Nachrichten enthalten Bestellnummern, Beträge oder Adressen. Wer sie sieht, sieht auch Teile deiner Identität.

Ein letzter Punkt wird oft vergessen. Eine öffentliche Nummer kann später für etwas genutzt werden, das du nicht veranlasst hast. Die betroffene Plattform sieht nur die Nummer, nicht die Person hinter ihr, und ordnet das Geschehen möglicherweise dir zu.

• Kontoübernahme über den Wiederherstellungsweg Telefonnummer
• Der zweite Faktor liegt bei Dritten, sobald die Nummer geteilt ist
• Nachrichten aus Zahlungs- oder Handelsdiensten enthalten personenbezogene Angaben
• Spätere Registrierung derselben Nummer bei einem anderen Dienst kann dein altes Konto betreffen

Warum viele Plattformen virtuelle Nummern ausschließen

Viele Dienste führen interne Listen, die entscheiden, welche Rufnummern sie akzeptieren. Öffentlich genutzte Empfangsnummern stehen dort meistens zuerst. Werden sie erkannt, erscheint eine Meldung wie 'Diese Nummer wird nicht unterstützt', oder die Registrierung bricht ohne Begründung ab.

Das ist nachvollziehbar. Für einen Dienst ist eine geteilte Nummer ein Sicherheitsrisiko, das er selbst tragen müsste. Die Ablehnung betrifft deshalb nicht nur die Registrierung, sondern auch spätere Schritte, etwa die Anmeldung auf einem zweiten Gerät.

Wenn du einen bestimmten Dienst im Sinn hast, kläre vorher, ob dieser virtuelle oder mobile Nummern überhaupt annimmt. Sonst ist der Aufwand umsonst. Wir sagen an dieser Stelle bewusst nicht zu, dass eine bestimmte Plattform eine Nummer akzeptiert, das hängt allein von deren Prüfung ab.

• Viele Plattformen prüfen die Rufnummer gegen bekannte geteilte Nummernkreise
• Eine Ablehnung erfolgt oft ohne nähere Begründung
• Die Prüfung kann auch erst bei der Anmeldung auf einem zweiten Gerät zuschlagen

Was eine private Mietnummer ändert

Eine private Nummer löst das Hauptproblem, weil sie nicht geteilt ist. Niemand außer dir sieht den Posteingang. Der Dienst, den wir empfehlen, heißt SMS Activate. Er vermietet private Nummern für 28 Tage, die in dieser Zeit nur dir zukommen, für SMS und für Anrufe.

Die Verwaltung läuft über die Website oder über einen Telegram-Bot. Eingehende SMS lassen sich in einen Telegram-Chat oder einen Webhook weiterleiten, was sich anbietet, wenn du nicht ständig eine Seite offen halten möchtest. Zum Aufladen des Guthabens stehen eine Bankkarte und Kryptowährung zur Verfügung.

Die Verlängerung erfolgt automatisch alle 28 Tage, solange das Guthaben ausreicht, und lässt sich abschalten. Die Nummern stehen derzeit in Australien, Kanada, Vereinigtes Königreich, Israel, Puerto Rico und Vereinigte Staaten zur Verfügung, die Preise beginnen bei $8 für 28 Tage.

Ein Hinweis, bevor du buchst: Die Mietgebühr wird nicht erstattet. Prüfe deshalb zuerst, ob die gewünschte Plattform diese Art von Nummer annimmt. Diese kurze Prüfung vor dem Kauf erspart einen Betrag, der sonst weg wäre.

• Private Nummern werden für 28 Tage vermietet und nicht mit Dritten geteilt
• Verwaltung über die Website oder den Telegram-Bot
• Weiterleitung eingehender SMS in einen Telegram-Chat oder an einen Webhook
• Aufladen per Bankkarte oder Kryptowährung
• Automatische Verlängerung alle 28 Tage, abschaltbar