Die kurze Antwort: Am 6. Oktober 2026 erklärte Absher, dass die Änderung der Handynummer in seiner App in 5 Schritten erfolgt, von denen der letzte eine biometrische Verifizierung ist. In vielen Unternehmen dagegen ändert sich die Nummer eines Kunden mit einer WhatsApp-Nachricht oder einem Anruf. Dabei ist diese Nummer in Ihrem System nicht nur eine Kontaktangabe; sie ist der Schlüssel zum Konto, an den Anmeldecodes, Rechnungen und Kontoauszüge gehen. Ändern Sie sie ohne Prüfung, übergeben Sie das Konto womöglich jemand anderem. Lassen Sie sie veralten, landen die Rechnungen Ihres Kunden womöglich bei einem Fremden. Artikel 22 der Durchführungsverordnung zum Gesetz zum Schutz personenbezogener Daten verlangt bei jeder Aktualisierung Verifizierung, Aufzeichnungen und Benachrichtigung.

Wie ändert Absher eine Handynummer?

Absher hat die Schritte auf seinem offiziellen X-Konto veröffentlicht. Sie beginnen in der App, vor der Anmeldung:

  1. Wählen Sie vor der Anmeldung Verwaltung der digitalen Identität.
  2. Wählen Sie Handynummer ändern.
  3. Geben Sie Ihre Ausweisnummer und Ihr Geburtsdatum ein.
  4. Geben Sie die neue Handynummer ein und wählen Sie dann Handynummer ändern.
  5. Schließen Sie die biometrische Verifizierung ab, um die Änderung zu bestätigen.

In einer früheren Antwort an einen Nutzer im Januar 2025 erklärte Absher, dass die Änderung in der App möglich ist, wenn die neue Nummer auf Ihren Namen registriert ist; andernfalls erfolgt sie an Selbstbedienungsautomaten oder beim Registrierungs- und Aktivierungspersonal der Passbehörde oder des Personenstandswesens. Dasselbe Menü, das im Bild des Dienstes zu sehen ist, bietet auch die Option Vorübergehende Sperrung der digitalen Identität.

Lesen Sie die Schritte als Unternehmer, und Sie finden drei Fragen, die Absher beantwortet, bevor es eine neue Nummer akzeptiert: wer Sie sind (Ausweisnummer und Geburtsdatum), ob Sie wirklich der Kontoinhaber sind (Biometrie) und ob die neue Nummer Ihnen gehört (auf Ihren Namen registriert oder andernfalls persönlich verifiziert). Die veröffentlichten Schritte erwähnen keinen Code an die alte Nummer, die Prüfung stützt sich also auf die Person, nicht auf ihr bisheriges Telefon. Das ist sinnvoll, denn wer seine Nummer ändert, hat die alte oft verloren.

Die Handynummer Ihres Kunden ist der Schlüssel zu seinem Konto

In vielen Systemen, von Kassensystemen über Onlineshops bis zu Treueprogrammen, hängt an der Handynummer weit mehr als der Kontakt:

  • Zugang: Der per SMS gesendete Verifizierungscode ist alles, was ein Kunde braucht, um in sein Konto zu gelangen.
  • Geld: Wallet-Guthaben, Treuepunkte und manchmal ein Kreditlimit.
  • Dokumente: Rechnungen, Kontoauszüge und Angebote, die über WhatsApp verschickt werden.
  • Inkasso: Zahlungserinnerungen und offene Beträge.

Die Änderung scheitert also auf zwei Arten. Die erste ist die Änderung ohne Prüfung: Jemand ruft an, gibt sich als der Kunde aus und sagt, er habe ein neues Telefon, der Mitarbeiter aktualisiert den Datensatz, und die Anmeldecodes gehen nun an einen Betrüger, zusammen mit Guthaben und Punkten. Die zweite ist, sie nie zu ändern: Der Kunde gibt seine alte Leitung auf, ohne Ihnen Bescheid zu sagen, und seine Rechnungen und Kontoauszüge gehen weiter an eine Leitung, die inzwischen jemand anderem gehören kann.

Die alte Nummer kann inzwischen jemand anderem gehören

Telefonleitungen bleiben nicht für immer bei ihren Inhabern. Die Vorschriften zur Rufnummernportierung zwischen Festnetz- und Mobilfunkdiensten der Kommission für Kommunikation, Raumfahrt und Technologie, geändert durch Beschluss 1-195-2025, legen in Abschnitt 4-14 fest, dass der Anbieter eine portierte Nummer nach Kündigung des Dienstes 90 Tage lang zurückhält, während derer er sie nur demselben Nutzer erneut zuteilen darf, und sie danach an den Anbieter zurückgibt, dem sie ursprünglich zugeteilt war. Abschnitt 4-13 erlaubt dem Anbieter, die Übertragung der portierten Nummer eines Nutzers an einen anderen Nutzer zu akzeptieren.

In der Praxis heißt das: Die Leitung, die Ihr Kunde vor Monaten aufgegeben hat, gehört ihm heute vielleicht nicht mehr, und ein System, das das nicht weiß, schickt weiter dorthin. Veraltete Kontaktdaten vorzuhalten ist kein kleiner Verwaltungsfehler; es ist eine Tür, durch die die Daten Ihres Kunden zu jemandem gelangen können, den Sie nicht kennen.

Was verlangt die PDPL-Durchführungsverordnung?

Das Gesetz zum Schutz personenbezogener Daten wurde durch Königlichen Erlass Nr. M/19 vom 9/2/1443H erlassen, und seine im Umm Al-Qura veröffentlichte Durchführungsverordnung regelt in Artikel 7 das Recht der betroffenen Person, eine Berichtigung zu verlangen. Artikel 22 unterscheidet drei Arten der Berichtigung: falsche Daten korrigieren, unvollständige Daten vervollständigen oder veraltete Daten aktualisieren. Eine neue Handynummer ist die dritte Art. Bei der Berichtigung muss der Verantwortliche, also Ihr Unternehmen, vier Dinge tun:

  • Sicherstellen, dass die Daten richtig und zutreffend sind, indem bei Bedarf Belege geprüft werden.
  • Unverzüglich die Stellen benachrichtigen, denen die Daten offengelegt wurden, etwa ein Lieferunternehmen, mit dem Sie Kundendaten teilen.
  • Die betroffene Person benachrichtigen, wenn die Berichtigung abgeschlossen ist.
  • Jede an den Daten vorgenommene Aktualisierung dokumentieren.

Derselbe Artikel ergänzt: Stellt das Unternehmen fest, dass die Daten falsch sind und dies der betroffenen Person schaden könnte, muss es die Verarbeitung einstellen, bis die Daten aktualisiert sind; es muss die Daten unverzüglich berichtigen, sobald es erfährt, dass sie veraltet sind; und es muss Richtigkeit und Aktualität der Daten regelmäßig überprüfen.

Artikel 1 der Verordnung definiert eine Verletzung des Schutzes personenbezogener Daten als jeden Vorfall, der zur Offenlegung, Beschädigung oder zum unrechtmäßigen Zugriff auf personenbezogene Daten führt, ob absichtlich oder nicht. Artikel 24 verlangt, die zuständige Behörde innerhalb von 72 Stunden nach Kenntnis einer Verletzung zu benachrichtigen, wenn diese den Daten oder der betroffenen Person schaden könnte. Ein Kontoauszug, der an eine an jemand anderen übergegangene Leitung geschickt wird, kann unter diese Definition fallen; er ist nicht nur eine verlorene Nachricht.

Wie ändern Sie die Nummer eines Kunden, ohne sein Konto zu übergeben?

  • Akzeptieren Sie die Änderung nie allein von der neuen Nummer. Eine Nachricht von einem unbekannten Telefon, die behauptet, von Herrn Soundso zu sein, beweist nichts. Verlangen Sie etwas, das belegt, dass der Anfragende der Kunde ist.
  • Passen Sie die Prüfung an das an, was das Konto enthält. Bei einem Kunden ohne Guthaben und ohne Kredit kann ein Code an die alte Nummer genügen, falls er sie noch hat. Bei einem Konto mit Guthaben, Kreditkonditionen oder sensiblen Daten verifizieren Sie über Nafath, wenn Ihr System daran angebunden ist, oder persönlich mit Ausweis in einer Filiale, so wie Absher Menschen, deren neue Leitung nicht auf ihren Namen läuft, an seine Automaten und Büros verweist. Die Integration haben wir in Nafath-Integration als nationales SSO behandelt.
  • Benachrichtigen Sie beide Nummern. Senden Sie eine Bestätigung an die neue Nummer und eine Nachricht an die alte, dass die Kontaktdaten geändert wurden und wen man anrufen soll, falls man dies nicht angefordert hat. Das erfüllt die von Artikel 22 verlangte Benachrichtigung der betroffenen Person und warnt den echten Kunden, falls die Änderung Betrug war.
  • Halten Sie sensible Aktionen nach einer Änderung zurück. Eine Guthabenauszahlung, eine neue Lieferadresse oder eine große Bestellung auf Kredit in den ersten Stunden nach einer solchen Änderung verdient eine menschliche Prüfung, bevor sie durchgeht.
  • Protokollieren Sie jede Änderung. Wer sie angefordert hat, wer sie vorgenommen hat, die alte und die neue Handynummer, die Uhrzeit und die Verifizierungsmethode. Genau das meint Artikel 22 mit der Dokumentation von Aktualisierungen, und es ist das Erste, was Sie brauchen, wenn sich ein Kunde beschwert.
  • Überprüfen Sie Nummern regelmäßig. Bei Nachrichten, die nicht zugestellt werden, und bei Kunden, die lange inaktiv waren, bitten Sie bei der nächsten Interaktion um Bestätigung der Nummer, statt sie einfach vorauszusetzen.
  • Machen Sie die Handynummer nicht zur Identität des Kunden in Ihrem System. Geben Sie jedem Kunden eine feste interne ID und machen Sie die Handynummer zu einem änderbaren Feld. Ist die Handynummer der Identifikator, bedeutet eine Änderung, das Konto samt Historie neu aufzubauen, und ein Fehler kostet mehr.

Die Sicht von Origami

Wir lesen diesen Dienst eher als Designlektion denn als Nachricht. Absher hat die Änderung nicht erschwert; es hat sie in die App verlagert, sie aber an die Verifizierung der Person geknüpft, nicht des Telefons. Komfort und Sicherheit stehen hier nicht im Widerspruch: wenige Schritte, mit der Prüfung an der richtigen Stelle.

Wenn wir ein System für ein Unternehmen bauen, behandeln wir die Änderung einer Handynummer als Vorgang mit Berechtigungen, Protokoll und Benachrichtigungen, nicht als Bearbeitung eines Feldes in der Kundenmaske. Wir geben jedem Kunden eine feste interne ID, staffeln die Verifizierung nach dem, was das Konto enthält, und benachrichtigen beide Nummern automatisch. Das ist Teil dessen, was wir über unsere Leistungen anbieten.

Fazit

  • Absher ändert eine Handynummer in der App in 5 Schritten, die mit einer biometrischen Verifizierung enden, und verweist Menschen ohne eine auf ihren Namen registrierte Nummer an Selbstbedienungsautomaten oder Büros.
  • In Ihrem System ist die Handynummer der Schlüssel zum Konto: Anmeldecodes, Guthaben und Rechnungen.
  • Eine gekündigte portierte Nummer wird nach den Vorschriften der Kommission für Kommunikation, Raumfahrt und Technologie nur 90 Tage für ihren Inhaber zurückgehalten, gehen Sie also nicht davon aus, dass die alte Nummer noch Ihrem Kunden gehört.
  • Artikel 22 der Durchführungsverordnung verlangt Verifizierung, Aufzeichnungen und die Benachrichtigung sowohl des Kunden als auch der Stellen, mit denen Sie Daten geteilt haben; Artikel 24 setzt 72 Stunden, um die zuständige Behörde über eine schädliche Verletzung zu informieren.
  • Passen Sie die Prüfung an das an, was das Konto enthält, benachrichtigen Sie beide Nummern, protokollieren Sie jede Änderung und geben Sie jedem Kunden eine interne ID, die sich nie ändert.

Das vollständige Bild Ihrer Pflichten finden Sie in unserem Praxisleitfaden zum Gesetz zum Schutz personenbezogener Daten.

Quellen