Seit zwei Jahrzehnten ist Ihre Telefonnummer Ihre Identität im Internet. Sie meldet Sie bei Apps an, empfängt Ihre Einmalpasswörter und wandert stillschweigend durch jeden Geschäfts-Chat, den Sie beginnen. Auf WhatsApp war sie schon immer das, was am anderen Ende des Gesprächs stand – die Nummer, die eine Marke sieht, sobald Sie „Hallo“ sagen.
Das wird sich ändern. Und die stille technische Entscheidung dahinter, eine neue Kennung namens Business-Scoped User ID, könnte sich als eine der bedeutendsten Datenschutzänderungen erweisen, die die Messaging-Welt seit Jahren erlebt hat.
Was ist eine Business-Scoped User ID?
Eine Business-Scoped User ID – kurz BSUID – ist ein eindeutiger Code, der einen WhatsApp-Nutzer für ein bestimmtes Unternehmen identifiziert, ohne die Telefonnummer dieses Nutzers preiszugeben. Laut der Entwicklerdokumentation von Meta „identifiziert eine BSUID einen WhatsApp-Nutzer eindeutig und ist an ein bestimmtes Unternehmen gebunden.“
Das Format ist bewusst einfach gehalten: ein ISO 3166 alpha-2 Ländercode, ein Punkt und bis zu 128 alphanumerische Zeichen. In der Praxis sieht es aus wie US.13491208655302741918 – eine Zeichenfolge ohne Bedeutung für einen Menschen und ohne Möglichkeit, sie anzurufen.
Hier kommt der wichtigste Teil, der leicht zu übersehen ist. Dieselbe Person erhält für jedes Unternehmen, mit dem sie spricht, eine andere BSUID. Ihre BSUID bei Ihrer Fluggesellschaft ist nicht Ihre BSUID bei Ihrer Bank, und keine der beiden kann mit der anderen abgeglichen werden. Wie Spotler erklärt, ist dies beabsichtigt: „Unternehmen A kann eine BSUID nicht verwenden, um die Aktivitäten oder Interaktionen eines Nutzers mit Unternehmen B zu verfolgen.“
Diese eine Designentscheidung trennt eine BSUID davon, einfach nur „die Nummer zu verbergen“. Eine Telefonnummer ist ein universeller Schlüssel – sobald ein Unternehmen sie besitzt, kann sie abgeglichen, verkauft, in die Datei eines Datenhändlers integriert und mit allem anderen verknüpft werden, was Sie tun. Eine geschäftsbereichsbezogene Kennung ist ein Schlüssel, der nur eine Tür öffnet.
Warum jetzt? Die Benutzernamen-Funktion
BSUIDs sind nicht aus dem Nichts aufgetaucht. Sie sind die Grundlage für eine Funktion, die WhatsApp-Nutzer schon lange wollten: Benutzernamen.
Ab 2026 wird WhatsApp optionale Benutzernamen einführen – Handles wie @IhrName, mit denen Sie Unternehmen schreiben und anrufen können, ohne überhaupt Ihre Telefonnummer herauszugeben. Die Dokumentation von Microsoft zu dieser Änderung beschreibt den Benutzernamen als die öffentliche Identität und die BSUID als den privaten Backend-Verweis, der es dem Unternehmen ermöglicht, das Gespräch fortzusetzen.
Die Regeln sind einfach. Laut Berichten von India TV News müssen Benutzernamen 3 bis 35 Zeichen lang sein, mindestens einen Buchstaben enthalten und nur Buchstaben, Zahlen, Punkte und Unterstriche verwenden. Ihre Telefonnummer bleibt für die Anmeldung, Authentifizierung und Wiederherstellung mit Ihrem Konto verbunden – sie wird nur für die Unternehmen, mit denen Sie über Ihren Benutzernamen Kontakt aufnehmen, nicht mehr sichtbar sein.
Zwei Details machen dies wirklich nutzerorientiert. Erstens ist es völlig optional: Wenn Sie die Funktionsweise von WhatsApp heute bevorzugen, ändern Sie nichts. Zweitens ist es kostenlos – es fallen keine Gebühren für die Erstellung, Änderung oder Entfernung eines Benutzernamens an.
WhatsApp fügt außerdem eine optionale Schutzmaßnahme namens „Benutzername-Schlüssel“ hinzu, eine kurze PIN, die jemand zusätzlich zu Ihrem Handle benötigt, bevor er Ihren Hauptposteingang erreichen kann. Es ist eine Kleinigkeit, die eine echte Lücke schließt: Ein öffentlicher Benutzername könnte ansonsten von jedem erraten oder angeschrieben werden.
Wie sich die Sicherheit für normale Menschen ändert
Um zu verstehen, warum dies eine große Sache ist, muss man sich daran erinnern, wie viel Schaden eine durchgesickerte Telefonnummer anrichten kann.
Ihre Nummer ist der Dreh- und Angelpunkt für SIM-Swapping-Betrug, bei dem ein Betrüger einen Anbieter davon überzeugt, Ihre Nummer auf seine SIM-Karte zu übertragen, und dann Ihre Sicherheitscodes abfängt. Sie ist der Ausgangspunkt für die Ernte von Metadaten, bei der Makler ein Profil rund um die eine Kennung erstellen, die Sie nie einfach ändern können. Und sie landet auf Spam-Listen, nachdem Sie eine einzige Transaktion mit einem sorglosen Händler getätigt haben.
Indem es den Menschen ermöglicht, über einen Benutzernamen und einen geschäftsbereichsbezogenen Code mit Unternehmen zu interagieren, eliminiert WhatsApp die Nummer vollständig aus diesem Austausch. Berichte des Mobile Ecosystem Forum rahmen die Maßnahme als direkte Reaktion auf langjährige Schwachstellen ein – die Art von strukturellen Korrekturen, die Menschen schützen, die niemals einen Sicherheitsleitfaden lesen werden.
Denken Sie darüber nach, wer am meisten profitiert. Eine Person, die häuslicher Gewalt ausgesetzt ist und bei einer Apotheke bestellen muss, ohne eine erreichbare Nummer preiszugeben. Ein Journalist, der sich an die Organisation einer Quelle wendet. Ein Teenager, der Konzertkarten bei einer Marke kauft, mit der er noch nie zuvor zu tun hatte. Für all diese Personen ist „diesem Unternehmen schreiben, ohne ihm meine Nummer zu geben“ keine Bequemlichkeit – es ist eine Sicherheitsfunktion.
Es gibt auch einen stilleren Vorteil. Wenn Ihre Nummer nicht in der Webhook-Payload enthalten ist, liegt sie nicht in der Datenbank eines Unternehmens und wartet darauf, kompromittiert zu werden. Man kann nicht preisgeben, was man nie gesammelt hat. Dieses Prinzip – Datenminimierung – ist seit Jahren der heilige Gral der Datenschutzregulierung. BSUIDs verankern es im Protokoll selbst.
Warum dies in verschiedenen Teilen der Welt unterschiedlich ankommt
WhatsApp ist nicht ein Markt; es sind Dutzende, und die BSUID wird in jedem etwas anderes bedeuten.
In Europa liest sich die Änderung fast wie ein Compliance-Geschenk. Das Prinzip der Datenminimierung der DSGVO verlangt, dass Unternehmen nur die personenbezogenen Daten erheben, die sie tatsächlich benötigen. Eine „für alle Fälle“ gesammelte Telefonnummer befand sich schon immer in einer Grauzone. Eine geschäftsbereichsbezogene Kennung, die es einem Unternehmen ermöglicht, einen Kunden zu bedienen, ohne jemals eine Telefonnummer zu speichern, ist im Wesentlichen die Absicht der Verordnung, ausgedrückt als technischer Standard. Unternehmen, die nach europäischen Regeln arbeiten, stellen möglicherweise fest, dass Benutzernamen ihre Compliance-Oberfläche leise verkleinern.
In Märkten wie Indien, Brasilien und Indonesien – wo WhatsApp nicht nur eine App, sondern der primäre Kanal für Handel, staatliche Dienstleistungen und alltägliche Geschäfte ist – sind die Einsätze anders. Dies sind Orte, an denen eine durchgesickerte Nummer eine unaufhörliche Flut von Spam-Anrufen, Belästigungen durch Kredit-Apps und Betrug bedeuten kann. Für Hunderte Millionen von Internetnutzern, die zum ersten Mal online sind, ist die Möglichkeit, Transaktionen durchzuführen, ohne eine dauerhafte, wählbare Kennung preiszugeben, eine sinnvolle Verbesserung der alltäglichen Sicherheit, keine Nischen-Datenschutzpräferenz.
Der gemeinsame Nenner ist, dass WhatsApp die private Wahl zur einfachen macht. Historisch gesehen bedeutete der Schutz Ihrer Nummer Reibung – eine zweite SIM-Karte, ein Wegwerfhandy, die Weigerung, sich zu engagieren. Benutzernamen und BSUIDs verlagern diesen Schutz in den Standardablauf, wo diejenigen, die ihn am meisten brauchen, ihn am ehesten tatsächlich nutzen werden.
Anerkennung, wo sie fällig ist: Dies ist schwer gut hinzubekommen
Es lohnt sich innezuhalten, um zu würdigen, was Meta hier tatsächlich gebaut hat, denn Datenschutzfunktionen sind leicht anzukündigen und schwer zu entwickeln.
Die naive Version von „meine Nummer verbergen“ zerstört alles. Unternehmen müssen immer noch eine stabile Möglichkeit haben, einen wiederkehrenden Kunden zu erkennen, ein Support-Ticket weiterzuleiten oder die Versandaktualisierung zu senden, die Sie angefordert haben. Wenn sich die Kennung bei jeder Sitzung ändern würde, würde der Handel auf WhatsApp einfach aufhören zu funktionieren. Wenn die Kennung überall die gleiche wäre, hätten Sie gerade eine neue universelle Tracking-Kennung erfunden – Theatralik des Datenschutzes mit zusätzlichen Schritten.
Der geschäftsbereichsbezogene Ansatz findet die richtige Balance. Die ID ist stabil genug, damit ein Unternehmen eine echte Beziehung zu Ihnen pflegen kann, und eng genug eingegrenzt, damit die Beziehung nicht zwischen Unternehmen verknüpft werden kann. Das ist ein sorgfältiges, prinzipiengeleitetes Design, und Meta verdient Anerkennung dafür, dass es als Standardarchitektur und nicht als versteckte Einstellung ausgeliefert wird.
Meta hat auch den Übergang durchdacht gehandhabt. Wie das Twilio-Changelog anmerkt, verlieren Unternehmen, die bereits die Telefonnummer eines Kunden aus früheren Gesprächen haben, diese nicht – sie können bekannte Kontakte weiterhin wie bisher anschreiben. Niemandes bestehende Beziehungen brechen am ersten Tag ab. Das neue Modell wird auf das alte aufgesetzt, nicht darauf fallen gelassen.
Was Unternehmen anpassen müssen
Für die Unternehmen, die Kunden auf WhatsApp anschreiben, sind BSUIDs weniger eine Bedrohung als eine Vorwarnung. Ein paar praktische Dinge ändern sich.
Die wichtigste: Telefonnummern können nicht mehr als selbstverständlich angesehen werden. Wenn ein Nutzer einen Benutzernamen annimmt, erscheint seine Nummer möglicherweise einfach nicht in dem Webhook, den Ihre Systeme erhalten. Stattdessen, wie die Wissensdatenbank von Vonage detailliert, erhalten Sie eine BSUID in den Feldern to und from. Jedes System, das die Telefonnummer als primären Kundenschlüssel verwendet – CRMs, Ticketing-Tools, Analysen – muss lernen, die BSUID ebenfalls als gültige Kennung zu behandeln.
Es gibt einen bemerkenswerten Ausnahmefall. Laut der Dokumentation von Meta erfordern Ein-Tipp-, Null-Tipp- und Kopiercode-Authentifizierungsvorlagen – die OTP-Nachrichten, die Sie beim Anmelden erhalten – weiterhin eine Telefonnummer und können nicht an eine BSUID gesendet werden. Das ist sinnvoll: Diese Abläufe dienen genau der Überprüfung einer Nummer. Standard-Marketing-, Dienstleistungs- und Servicegespräche funktionieren jedoch mit einer BSUID allein.
Es gibt auch eine Eingrenzung, die man kennen sollte. BSUIDs sind an ein Business Portfolio gebunden, sodass nur Telefonnummern innerhalb desselben Portfolios eine gegebene BSUID anschreiben können. Für die meisten Unternehmen ist dies unsichtbar; für große Organisationen, die mehrere Marken unter separaten Portfolios betreiben, ist es ein Detail, das eingeplant werden muss.
Die ehrliche Bilanz für Unternehmen ist, dass dies eine gute Datenhygiene belohnt und Abkürzungen bestraft. Unternehmen, die sich stillschweigend auf das Sammeln und Weiterverkaufen von Nummern verlassen haben, werden feststellen, dass diese Quelle versiegt. Unternehmen, die sich ein Gespräch verdienen und es gut bedienen, werden überhaupt nicht viel Unterschied bemerken.
Der Zeitplan
Dies ist keine „irgendwann“-Änderung – es ist eine Kalenderänderung. Basierend auf Leitlinien, die unter anderem von Twilio und der eigenen Dokumentation von Meta zusammengestellt wurden, läuft die Einführung ungefähr wie folgt ab:
- Anfang April 2026: BSUIDs beginnen in Webhook-Payloads aufzutauchen, und Benutzernamen treten in die begrenzte Beta-Phase ein.
- Mai 2026: API-Unterstützung für das Senden von Nachrichten an Nutzer nur mit ihrer BSUID kommt hinzu. Sie können Personen per BSUID, Telefonnummer oder beidem erreichen.
- Juni 2026: Die globale Einführung von WhatsApp-Benutzernamen beginnt.
Für eine Funktion, die stillschweigend neu gestaltet, wie sich über eine Milliarde Menschen gegenüber Unternehmen identifizieren, ist das ein bemerkenswert kurzer Vorlauf. Die Systeme, die dies elegant handhaben, sind diejenigen, die jetzt vorbereitet werden.
Das Gesamtbild
Wenn man einen Schritt zurücktritt, ist die BSUID Teil einer viel größeren Geschichte als nur eines Einstellungsmenüs einer App.
Seit dreißig Jahren besteht der Standard des Internets darin, Menschen durch etwas Dauerhaftes und Wiederverwendbares zu identifizieren – eine E-Mail-Adresse, eine Telefonnummer, eine nationale ID. Dieses Modell ist effizient und katastrophal undicht. Jede Wiederverwendung ist eine Chance, verfolgt, zusammengeführt und offengelegt zu werden. Die aufkommende Alternative, sichtbar in allem von Apples „Sign in with Apple“ mit privaten Relay-E-Mails bis hin zu Apples Hide My Email, ist die geschäftsbereichsbezogene Identität: Jeder Beziehung wird ein eigener Einwegschlüssel gegeben, und die Lecks häufen sich nicht mehr an.
Dass WhatsApp eine geschäftsbereichsbezogene Kennung in den Mittelpunkt stellt, wie ein Drittel der Welt mit Unternehmen kommuniziert, ist der bisher größte Einsatz dieser Idee. Wenn es funktioniert – wenn Benutzernamen angenommen werden und sich Unternehmen reibungslos anpassen –, normalisiert es die Erwartung, dass man mit einem Unternehmen Geschäfte machen können sollte, ohne einen dauerhaften Teil seiner selbst aufzugeben.
Die Telefonnummer wird nicht über Nacht verschwinden. Aber zum ersten Mal ist sie nicht mehr der Eintrittspreis für ein Gespräch. Das ist eine kleine Änderung in der Webhook-Payload eines Entwicklers und eine große Veränderung in der Welt.
