Du wechselst den Anbieter, lässt den alten Tarif auslaufen, und Monate später verlangt ein Anmeldebildschirm einen Code, der an eine Nummer geht, die dir nicht mehr gehört. Das Konto ist nicht weg, und die Blockchain hat mit dem Problem nichts zu tun. Wie schwer die nächste Stunde wird, entscheidet sich daran, welche von drei getrennten Aufgaben diese Telefonnummer für das Konto erfüllt hat.
Eine Telefonnummer erfüllt bis zu drei Aufgaben gleichzeitig
Ein Konto kann deine Telefonnummer an drei verschiedenen Stellen anhängen. Sie kann der Anmelde-Identifikator sein, also das, was du dort einträgst, wo jemand anders eine E-Mail-Adresse einträgt. Sie kann ein Zustellkanal für einen Einmalcode sein, und genau das ist Zwei-Faktor-Authentifizierung per SMS. Und sie kann eine Kontaktangabe im Identitätsdatensatz sein, direkt neben deinem amtlichen Namen und deiner Ausweisnummer.
Nichts auf dem Anmeldebildschirm sagt dir, welche der drei du hast, und die drei fallen zu verschiedenen Zeitpunkten aus. Eine Kontaktangabe fällt lautlos aus: Benachrichtigungen bleiben aus, und du merkst es erst, wenn du danach suchst. Ein Zustellkanal fällt bei der nächsten Anmeldung aus, die einen Code verlangt. Ein Identifikator fällt beim ersten Tastendruck aus, weil nichts mehr da ist, was man eintragen könnte.
Diese Anzahl entscheidet auch darüber, wie viel Arbeit nach dem offensichtlichen Teil noch übrig bleibt. Den zweiten Faktor von SMS wegzuholen schließt die zweite Aufgabe und lässt die beiden anderen genau dort, wo sie waren, und so bleibt ein Konto noch lange an eine tote Nummer gebunden, nachdem du die Sache für erledigt gehalten hast.
| Was die Nummer getan hat | Wie sich der Verlust zeigt | Was sie ersetzen muss |
|---|---|---|
| Anmelde-Identifikator | Die Anmeldung lässt sich gar nicht erst beginnen | Ein anderer hinterlegter Identifikator oder die Wiederherstellung beim Anbieter |
| Zustellkanal für einen Code | Das Passwort stimmt, der Code kommt nie an | Ein anderer zweiter Faktor oder die Wiederherstellung beim Anbieter |
| Kontaktangabe im Identitätsdatensatz | Nichts kommt an, und nichts kündigt es an | Ein aktualisierter Datensatz, von innerhalb des Kontos geändert |
Die Nummer kann dir auf mehr als eine Weise abhandenkommen
Eine ausgelaufene Nummer ist keine tote Leitung. Bei der Ankündigung ihrer Datenbank neu vergebener Nummern schrieb die Federal Communications Commission der Vereinigten Staaten, dass jedes Jahr Millionen von Telefonnummern neu vergeben werden und dass Anrufer, die die Datenbank nutzen, herausfinden können, welche Nummern dauerhaft abgeschaltet und zur Neuvergabe freigegeben wurden. Ein Code an eine freigegebene Nummer kann also völlig normal zugestellt werden, nämlich an den, der sie jetzt hat.
Der andere Weg ist, dass die Nummer weggenommen wird, solange sie noch dir gehört. Bei einem SIM-Swap überzeugt der Angreifer deinen Mobilfunkanbieter, deinen Dienst auf ein Telefon in seinem Besitz zu übertragen; beim Port-out-Betrug gibt er sich als du aus, eröffnet ein Konto bei einem anderen Anbieter und lässt die Nummer dorthin übertragen. Im November 2023 erließ die Kommission Regeln, die Mobilfunkanbieter verpflichten, einen Kunden mit sicheren Verfahren zu authentifizieren, bevor sie dessen Nummer auf ein neues Gerät oder zu einem neuen Anbieter umleiten, und Kunden unverzüglich zu benachrichtigen, sobald auf ihren Konten ein SIM-Wechsel oder ein Portierungsantrag gestellt wird.
Für den, der den Wiederherstellungsablauf entwirft, zeigen beide Wege in dieselbe Richtung. Die Richtlinien für digitale Identität des National Institute of Standards and Technology der Vereinigten Staaten stufen die Nutzung des öffentlichen Telefonnetzes für die Out-of-Band-Verifizierung als eingeschränkt ein und tragen Prüfern auf, Risikoindikatoren wie Gerätewechsel, SIM-Wechsel und Rufnummernportierung abzuwägen, bevor sie darüber ein Geheimnis versenden. Eine Telefonnummer kann nicht das sein, was beweist, dass du du bist, gerade weil die Telefonnummer der Teil ist, der verschoben worden sein könnte.
Ein Custodial-Konto hat einen Administrator
Ein Börsenkonto lässt sich überhaupt nur deshalb wieder öffnen, weil jemand anderes die Schlüssel hält. In einer Custodial-Verwahrung kontrolliert der Anbieter die privaten Schlüssel und betreibt darüber eine Kontoschicht, es gibt also eine Partei mit der Befugnis zu ändern, was dieses Konto als Nachweis für dich akzeptiert.
Selbstverwahrung kennt kein solches Amt. Niemand kann dir ein Ersatzgeheimnis ausstellen, und deshalb sind eine verlorene Seed-Phrase und eine verlorene Telefonnummer verschiedene Kategorien von Problem, auch wenn sich beides wie eine zugefallene Tür anfühlt. Wiederherstellung auf einem Custodial-Konto holt nichts zurück. Sie besteht darin, dass der Anbieter einen Authentifikator löst und einen anderen an denselben Teilnehmer bindet, und die erste Frage, die er dabei klären muss, ist nicht, ob du das Telefon hast, sondern ob du die Person bist, der das Konto gehört.
Was den fehlenden Code ersetzt, ist der Identitätsdatensatz
Die Akte, mit der das Konto eröffnet wurde, ist die Akte, mit der es wieder geöffnet wird. Weil die Plattform bei der Anmeldung eine Kontoverifizierung an dir durchgeführt hat, hält sie einen amtlichen Namen, ein Geburtsdatum und ein Dokument vor, das sie dir erneut vorlegen lassen kann. Ein Wiederherstellungsantrag wird an dieser Akte gemessen, das Eingereichte muss sich also mit dem decken, was damals eingereicht wurde, und nicht mit der Lage von heute.
Kraken schreibt diese Form klar hin. Wer den Zugang sowohl zur Zwei-Faktor-Authentifizierung für die Anmeldung als auch zum Master Key verloren hat, wählt laut Dokumentation bei der Anmeldung die Kontowiederherstellung, sobald der Code abgefragt wird. Ist dieser Weg nicht verfügbar, reichst du eine Support-Anfrage ein, und ein Mitarbeiter meldet sich per E-Mail, um die Zwei-Faktor-Anforderung vom Konto zu nehmen, damit du sie auf deinem Gerät neu einrichten kannst.
Dieselbe Dokumentation trägt einen Satz, den man zweimal lesen sollte: Ein Master Key lässt sich nicht mehr einrichten, wenn die Zwei-Faktor-Authentifizierung für die Anmeldung bereits verloren ist. Eine Rückfallebene zählt nur, wenn sie eingerichtet wurde, solange der Zugang noch bestand, und das ist eine allgemeine Eigenschaft des Wiederherstellungsentwurfs und keine Eigenheit einer Plattform. Die nationalen Richtlinien fassen denselben Punkt als Empfehlung, mindestens zwei gültige Authentifikatoren je genutztem Faktor vorzuhalten.
Die Verzögerung ist die Kontrolle, nicht die Reibung
Ein Wiederherstellungsablauf, der in Sekunden eine neue Telefonnummer bindet, ist ein Ablauf, den auch ein Angreifer mit deiner Nummer in Sekunden zu Ende bringt. Jede Prüfung, die dich ausbremst, existiert, weil dieselbe Anfrage auch von Leuten kommt, die nicht du sind, und im Moment ihres Eintreffens kann der Anbieter die beiden nicht auseinanderhalten.
Das ist dieselbe Form wie eine Auszahlungs-Whitelist, bei der eine neu hinzugefügte Adresse warten muss, bevor sie nutzbar wird. Die Wartezeit macht die Adresse nicht sicherer. Sie macht die Zeit, die zum Leerräumen eines gestohlenen Kontos nötig ist, länger als die Zeit, die du zum Bemerken und Eingreifen brauchst. Auf Authentifikatoren übertragen schützt dich eine Sperre nach einer abgeschlossenen Wiederherstellung vor der Version dieses Ereignisses, in der jemand anders wiederhergestellt hat.
Richte die Rückfallebene ein, bevor du sie brauchst
Die Arbeit, die das schmerzlos macht, muss erledigt sein, solange die alte Nummer noch antwortet. Wenn du auf ein neues Gerät wechselst, prüfe, ob deine Authenticator-App ihre Konten auf das neue exportieren kann, und mache die Übertragung, solange beide Telefone in deinen Händen sind. Kann sie nicht exportieren, füge dem Konto zuerst eine zweite Methode hinzu und entferne dann die alte.
Portiere die Nummer, statt den Tarif auslaufen zu lassen, und halte die alte Leitung erreichbar, bis jede Neubindung abgeschlossen ist. Zuerst zu kündigen ist genau das, was aus einer Einstellungsänderung eine Identitätsprüfung macht, denn danach bleibt dem Konto kein Kanal, der noch dir gehört.
| Tu das, solange die Nummer funktioniert | Welche Aufgabe es abdeckt |
|---|---|
| Die Backup-Codes sichern, die am Ende der Zwei-Faktor-Einrichtung ausgegeben werden | Zustellkanal |
| Einen zweiten Faktor derselben Art ergänzen, etwa einen Hardware-Sicherheitsschlüssel | Zustellkanal |
| Die Telefonnummer in den Kontoeinstellungen ändern, bevor du kündigst | Identifikator und Identitätsdatensatz |
| Den eigenen Wiederherstellungsschlüssel oder Master Key des Anbieters einrichten | Alle drei |
| Bestätigen, dass die E-Mail-Adresse am Konto noch unter deiner Kontrolle steht | Identifikator und Identitätsdatensatz |
Wiederherstellungsdienste können nichts neu binden
Nur der Anbieter kann ändern, was ein Konto als Nachweis akzeptiert, also kann keine außenstehende Partei den Zugang zu einem Custodial-Konto zurückgeben, wie immer sie sich auch beschreibt. Die Angebote, die sich um dieses Thema sammeln, gehören zur selben Familie wie die Wiederherstellungsdienste, die versprechen, eine verlorene Seed-Phrase zu rekonstruieren, und sie leben von derselben Asymmetrie: Von außen ist schwer zu erkennen, in welche Schicht des Systems ein Fremder angeblich hineingreift.
Die Signale sind handfest. Eine echte Wiederherstellung beginnt dort, wo du ohnehin bist, auf dem Anmeldebildschirm des Anbieters oder in seinem Support-Formular, und sie beginnt nie damit, dass ein Fremder dich anspricht. Ausweisdokumente gehören in die App oder auf die Website des Anbieters und nirgendwo sonst. Eine Vorauszahlung, eine zugesicherte Frist oder die Bitte um einen Einmalcode beschreiben jeweils eine Partei, die entweder machtlos oder feindselig ist, und in beiden Fällen verschlechtert das Herausgeben deiner Dokumente deine Lage.
Fazit
Die an ein Krypto-Konto gebundene Telefonnummer zu verlieren ist ein Bindungsproblem und kein Fundsachenproblem. Kläre, welche der drei Aufgaben die Nummer erfüllt hat, denn das trennt eine Einstellungsänderung von einem Wechsel des zweiten Faktors und von einer vollständigen Identitätsprüfung. Wer den zweiten Faktor repariert, repariert eine der drei.
Was einen Code ersetzt, den du nicht mehr empfangen kannst, ist der Identitätsdatensatz, mit dem das Konto eröffnet wurde, und der Anbieter bewegt sich in dem Tempo, das dieser Datensatz zulässt. Richte jetzt eine Rückfallebene ein, solange die Nummer noch dir gehört, und bewahre sie dort auf, wohin der Verlust eines einzelnen Geräts nicht reicht. Um die Grundlagen weiter zu lernen, folge weiteren Beiträgen der Bitbase Academy.
Weiterführende Artikel
Weitere Bitbase-Artikel zu diesem Thema:
- Verifizierung des Firmen-Kryptokontos: KYC-Anforderungen für ein Unternehmen
- Krypto-Dust-Umwandlung und die Aufzeichnungen, die sie hinterlässt
- Auszahlungsfrist bei einem delisteten Token verpasst
- Kontobeschränkung an der Kryptobörse: Einspruch einlegen
- Solana-Meme-Starts und Token-Risiken
Haftungsausschluss: Dieser Artikel ist Bildungsinhalt der Bitbase Academy, nur zu Informationszwecken. Er ist keine Anlage-, Handels-, Steuer- oder Finanzberatung. Krypto-Assets sind volatil — schätze dein Risiko selbst ein. Stand September 2026; maßgeblich sind die aktuellen offiziellen Informationen.
Quellen
[1] National Institute of Standards and Technology, Special Publication 800-63B, Digital Identity Guidelines: Authentication and Lifecycle Management pages.nist.gov
[2] Kraken Support, How to transfer authenticator app sign-in 2FA to a new phone (and bypass sign-in 2FA for a lost phone) support.kraken.com
[3] Kraken Support, How to recover your Sign-in 2FA (Master Key als Anmeldemethode) support.kraken.com
[4] Federal Communications Commission, Pressemitteilung, FCC Adopts Rules to Protect Consumers' Cell Phone Accounts, 15. November 2023 docs.fcc.gov
[5] Federal Communications Commission, Pressemitteilung, FCC Establishes Reassigned Phone Numbers Database to Help Reduce Unwanted Calls to Consumers, 12. Dezember 2018 docs.fcc.gov
