Indien führt ab Januar 2027 SIM-Bindung für WhatsApp und Telegram ein und ändert Zugangsregeln

Dezember-Frist rückt registrierte SIM-Karten ins Zentrum des Nachrichtenzugangs

Indiens Telekommunikationsbehörde (Department of Telecommunications, DoT) hat den 31. Dezember 2026 als Frist für die Umsetzung von Vorschriften festgelegt, nach denen Nachrichtenkonten mit den registrierten, aktiven SIM-Karten verknüpft bleiben müssen. Die Umsetzung soll am 1. Januar 2027 beginnen. Die Änderung könnte Menschen betreffen, die WhatsApp oder Telegram auf Mobiltelefonen ohne die SIM-Karte nutzen, mit der sie ihr Konto registriert haben. Dazu gehören auch Personen, die auf WLAN angewiesen sind oder auf Reisen die SIM-Karte wechseln.

Eine separate Vorgabe hat die Behörde gelockert: Web- und Desktop-Sitzungen müssen künftig nicht mehr automatisch alle sechs Stunden beendet werden. Nach dem überarbeiteten Ansatz sollen Sitzungen sofort beendet werden, wenn ein Betrugsverdacht besteht. Ausschlaggebend für die Abmeldung ist damit verdächtige Aktivität statt eines festen Zeitintervalls.

Die Regelung betrifft ein großes Publikum. WhatsApp hat in Indien schätzungsweise 500 Millionen Nutzerinnen und Nutzer. Auch andere Dienste, die für die Registrierung indische Mobilfunknummern verwenden, fallen unter die Vorgaben. Praktisch bedeutet die Änderung, dass künftig nicht mehr nur bei der Kontoeröffnung eine Nummer geprüft wird, sondern während der weiteren Nutzung eine Verbindung zur aktiven SIM-Karte mit dieser Nummer bestehen muss.

Die Regierung erklärt, so verhindern zu wollen, dass Kriminelle indische Nummern für Betrug nutzen, nachdem die ursprüngliche SIM-Karte entfernt oder deaktiviert wurde. Technologieunternehmen und ein Branchenverband haben Bedenken wegen des technischen Aufwands, möglicher Beeinträchtigungen für Nutzerinnen und Nutzer sowie der rechtlichen Grundlage der Vorgabe geäußert.

Was ändert sich durch die SIM-Bindung?

Messaging-Apps überprüfen Telefonnummern üblicherweise, indem sie einen Code per SMS senden. Nach Eingabe des Codes kann das Konto oft weiterhin über das Internet genutzt werden, auch wenn die SIM-Karte entfernt wurde. Die SIM-Bindung ergänzt eine fortlaufende Prüfung, ob die registrierte SIM-Karte verfügbar und im Gerät aktiv ist.

Die am 18. Dezember 2025 veröffentlichte Zusammenfassung zur SIM-Bindung des Data Security Council of India beschreibt die Vorgabe als Zugang, der an eine bestimmte aktive SIM-Karte gebunden ist. Demnach soll die Richtlinie vom 28. November die Nachverfolgbarkeit und die Einhaltung nationaler Sicherheits- und Datenschutzanforderungen stärken.

KYC steht für „Know Your Customer“ und bezeichnet die Identitätsprüfungen, die ein Telekommunikationsanbieter bei der Vergabe eines Mobilfunkanschlusses durchführt. Mit dem Ansatz der Regierung wird das Messaging-Konto enger an diesen verifizierten Anschluss gekoppelt. Bisher genügte der Nachweis, dass jemand zu einem früheren Zeitpunkt einen Registrierungscode erhalten hatte.

Die Bindung wird über App-Software und Authentifizierungssysteme hergestellt. Änderungen an der physischen SIM-Karte sind dafür nicht erforderlich. Eine am 26. März 2026 veröffentlichte Analyse der International Bar Association von den JSA-Anwälten Tony Verghese, Radhika Gupta und Uddhav Gupta erläutert, dass Plattformen zulässige Softwareschnittstellen und Telekommunikationssignale zur Verifizierung nutzen können, um die Verbindung aufrechtzuerhalten.

Die Anwälte beschreiben eine Umsetzung, bei der das Entfernen, Deaktivieren oder Ersetzen der registrierten SIM-Karte sowie die Portierung der Nummer zunächst zu einer Sperrung und anschließend zu einer erneuten Verifizierung führen. Bei einer Portierung wird eine Nummer zu einem anderen Telekommunikationsanbieter übertragen. Für Nutzerinnen und Nutzer könnte damit ein gewöhnlicher Wechsel des Mobilfunkanschlusses eine zusätzliche Prüfung des Messaging-Kontos auslösen.

Wie sich der Zeitplan geändert hat

Ursprünglich räumte die DoT den Plattformen 90 Tage ein, um die Vorgaben vom 28. November 2025 umzusetzen, und 120 Tage, um einen Umsetzungsbericht vorzulegen. Bedenken der Branche hinsichtlich der technischen Umsetzbarkeit führten zu einer Fristverlängerung.

Plattformunternehmen schätzten, dass die technische Unterstützung für Android und Apples Systeme erst etwa im Oktober oder November 2026 bereitstehen würde. Die Frist bis zum 31. Dezember gibt ihnen mehr Zeit, die Änderungen abzuschließen.

• 28. November 2025: Die DoT veröffentlichte die Vorgaben zur SIM-Bindung und setzte zunächst eine Umsetzungsfrist von 90 Tagen.
• 18. Dezember 2025: Der Data Security Council of India veröffentlichte seine Zusammenfassung zur Vorgabe einer aktiven SIM-Karte.
• 26. März 2026: Die International Bar Association veröffentlichte eine Analyse, in der die frühere Frist vom 28. Februar 2026 und die ursprüngliche Sechs-Stunden-Regel für Sitzungen beschrieben werden.
• Oktober bis November 2026: Plattformunternehmen erwarteten, dass die technische Umsetzung für Android und Apple-Systeme bereitstehen würde.
• 31. Dezember 2026: Für die Plattformen endet die verlängerte Umsetzungsfrist.
• 1. Januar 2027: Die Regierung plant, die Vorgaben in Kraft zu setzen.

Im Beitrag der International Bar Association wird weiterhin die frühere Frist vom 28. Februar genannt. Der überarbeitete Zeitplan legt dagegen den 31. Dezember 2026 fest. Die Beschreibung des ursprünglichen Regelwerks hilft dabei, die Entstehung der Vorgaben nachzuvollziehen. Die Fristverlängerung und die überarbeitete Abmelderegelung verändern jedoch den praktischen Zeitplan und die Anforderungen an Sitzungen.

Welche Apps und Geräte sind betroffen?

WhatsApp und Telegram stehen bei der Umsetzung im Mittelpunkt, doch der ursprüngliche Geltungsbereich ist weiter gefasst. Der Data Security Council of India nennt neben ihnen auch Signal, Arattai, Snapchat, ShareChat, JioChat und Josh. Die Analyse der International Bar Association beschreibt den Geltungsbereich anhand von Diensten, die zur Registrierung und Authentifizierung indische Telekommunikationskennungen, darunter indische Mobilfunknummern, verwenden.

Snapchats Status ist in den öffentlich zugänglichen Beschreibungen nicht eindeutig: Die institutionellen Zusammenfassungen führen den Dienst auf, während spätere Informationen zur Umsetzung ihn als ausgenommen bezeichnen. Signal ist im Regelwerk aufgeführt und soll auf Anfragen der Regierung bislang nicht geantwortet haben. Endgültige Anweisungen an die Plattformen, Snapchats Behandlung, Verifizierungsverfahren für einzelne Gerätekonfigurationen und eine bestätigte Liste betroffener Telefonmodelle sind noch nicht bekannt.

Android-Smartphones und iPhones könnten betroffen sein, wenn die registrierte SIM-Karte fehlt oder inaktiv ist. Entscheidend ist, wie die App den Anschluss auf dem Gerät verifiziert, nicht allein die Marke des Telefons.

WhatsApp hat Berichten zufolge damit begonnen, die SIM-Bindung auf Android in einer Betaversion zu testen. Bei einem Betatest wird eine Funktion vor einer breiteren Veröffentlichung mit einer begrenzten Gruppe erprobt. Apple soll außerdem mit einem im September 2026 veröffentlichten iOS-Update unterstützende Änderungen eingeführt haben, die erkennen helfen, wenn ein iPhone ohne SIM-Karte betrieben wird. Anfragen an Apple, Google und Meta zum Stand der technischen Umsetzung waren zum Zeitpunkt der Berichterstattung über die Fristverlängerung unbeantwortet geblieben.

WLAN-Nutzer, Reisende und Familien müssen sich auf Änderungen einstellen

Ein Telefon kann über WLAN mit dem Internet verbunden sein, während sich die registrierte SIM-Karte in einem anderen Mobiltelefon befindet oder nicht mehr aktiv ist. Bei einer fortlaufenden SIM-Bindung müsste die App zusätzlich die vorgeschriebene SIM-Prüfung bestehen. Eine funktionierende Internetverbindung allein würde für den weiteren Zugang zum Messaging-Dienst nicht mehr ausreichen.

Reisende könnten dies bemerken, wenn sie eine indische SIM-Karte entfernen, um im Ausland einen lokalen Anschluss zu nutzen. Die Analyse der International Bar Association nennt Dual-SIM- und eSIM-Konfigurationen als relevant dafür, die registrierte Verbindung verfügbar zu halten. Eine eSIM ist ein digitales SIM-Profil, das auf einem kompatiblen Gerät gespeichert wird und keine herausnehmbare Plastikkarte ist.

Die Plattformen müssen verschiedene Alltagssituationen zuverlässig handhaben: ein Gerät mit zwei Anschlüssen, ein gewechseltes eSIM-Profil, eine Ersatz-SIM-Karte und eine Nummer, die zu einem anderen Anbieter übertragen wurde. Andernfalls könnten Nutzerinnen und Nutzer bei Änderungen, die sie wegen einer Reise, einer Reparatur oder eines Netzwechsels vornehmen, durch Verifizierungsprobleme unterbrochen werden.

Das Teilen von Geräten innerhalb der Familie bringt eine weitere Schwierigkeit mit sich. Einer Umfrage von CUTS International zufolge gaben 86 % der Befragten an, Familienmitgliedern die Nutzung ihres Telefons oder ihrer SIM-Karte für Nachrichten zu erlauben. Wird ein Konto enger an einen einzelnen aktiven Anschluss gebunden, könnten solche Vereinbarungen umständlicher werden, insbesondere wenn Familienmitglieder unterschiedliche Geräte nutzen.

Dieselbe Umfrage ergab, dass 80 % der Verbraucher und mehr als 60 % der Kleinunternehmen mit Beeinträchtigungen rechneten. Die Zahlen geben die Erwartungen vor der Umsetzung wieder. Sie zeigen, wie wichtig geregelte Zugangsmöglichkeiten für Menschen sind, die auf Messaging für die Kommunikation mit der Familie, Kundenanfragen und die tägliche Arbeit angewiesen sind.

Was passiert mit WhatsApp Web?

Die ursprünglichen Vorgaben sahen vor, dass Web- und Desktop-Sitzungen innerhalb von sechs Stunden ablaufen und anschließend über das Hauptgerät, in der Regel per QR-Code, erneut authentifiziert werden müssen. Nutzerinnen und Nutzer hätten sich dadurch auch an einem normalen Arbeitstag neu verbinden müssen, selbst wenn nichts Verdächtiges geschehen wäre.

Später ersetzte die DoT die pauschale Sechs-Stunden-Regel durch einen risikobasierten Ansatz. Nach der überarbeiteten Regelung müssen Sitzungen bei Betrugsverdacht sofort beendet werden. Einige Beschreibungen der Vorgaben nennen weiterhin die ursprüngliche Sechs-Stunden-Frist. Das überarbeitete Regelwerk schafft diesen routinemäßigen Zeitplan jedoch ab.

Die Behörde will außerdem, dass Nutzerinnen und Nutzer Web- und andere Geräte per QR-Code erneut verknüpfen können. So bleibt eine Möglichkeit zur erneuten Verbindung bestehen, während die Dienste bei mutmaßlich betrügerischen Aktivitäten eingreifen können.

Die SIM-Verifizierung bleibt eine separate Pflicht. Wer am Laptop nicht mehr in regelmäßigen Abständen abgemeldet wird, muss dennoch möglicherweise dafür sorgen, dass die registrierte SIM-Karte gültig und über das Hauptgerät verfügbar bleibt. Für Unternehmen, die den ganzen Tag über Messaging nutzen, wird die Gestaltung von Verifizierung und Kontowiederherstellung dadurch besonders wichtig.

Warum die Regierung auf einer durchgehenden Verbindung besteht

Das Kommunikationsministerium hat sich auf Cyberbetrugsverluste von mehr als 22.800 Crore Rupien, umgerechnet 228 Milliarden Rupien, im Vorjahr berufen. Die Regierung erklärt, Kriminelle nutzten Konten aus, die weiter betrieben werden, nachdem die zugehörige SIM-Karte entfernt, deaktiviert oder ins Ausland gebracht wurde.

Die DoT begründet ihre Vorgabe mit der Sorge, dass eine indische Nummer weiterhin mit einem aktiven Messaging-Konto verknüpft sein kann, obwohl sich die Person, die es betreibt, anderswo befindet. Eine aktive Verbindung zur registrierten SIM-Karte soll den Zeitraum verkürzen, in dem ein solches abgekoppeltes Konto missbraucht werden kann.

Zu den Betrugsformen, gegen die sich die Regelung richtet, zählen sogenannte „Digital Arrest“-Betrugsmaschen. Kriminelle geben sich als Polizisten oder andere Amtsträger aus und setzen ihre Opfer unter Druck, Geld zu überweisen. Häufig behaupten sie fälschlich, das Opfer werde untersucht oder müsse in einem Telefonat bleiben. Auch Phishing und andere Formen des Identitätsbetrugs gehören zur Begründung der Regierung.

Telekommunikationsminister Jyotiraditya Scindia hat erklärt, die Entscheidung zur SIM-Bindung werde sich nicht ändern, und dabei auf die nationale Sicherheit verwiesen. Der Cellular Operators Association of India unterstützt Maßnahmen, die auf die Sicherheit der Telekommunikation und die Integrität mobiler Kennungen abzielen.

Die DoT plant außerdem eine Plattform zur Überprüfung von Mobilfunknummern, die als MNV bekannt ist. Sie soll dabei helfen zu prüfen, ob Nummern zu rechtmäßig vergebenen, aktiven Anschlüssen gehören. Damit erhielten Plattformen neben den Änderungen innerhalb ihrer Apps auch einen Weg zur Verifizierung über Telekommunikationsanbieter.

Warum die Branche die rechtliche Grundlage anficht

Das Broadband India Forum (BIF), ein Branchenverband, dem große Technologieunternehmen wie Meta und Google angehören, focht die Vorgabe in einem Schreiben vom 23. Februar an den DoT-Sekretär Amit Agrawal an. Der Verband berief sich auf die Einschätzung eines führenden Anwalts, wonach die Telecommunications (Telecom Cyber Security) Amendment Rules, 2025, und die damit verbundenen Anweisungen über den Telecommunications Act, 2023, hinausgingen.

Das BIF erklärte, die rechtliche Einschätzung komme zu folgendem Schluss über die geänderten Regeln und Anweisungen:

ultra vires des zugrunde liegenden Gesetzes und zudem verfassungswidrig

Ultra vires bedeutet, dass eine Behörde mit einer Regel ihre gesetzlich eingeräumten Befugnisse überschreitet. Das BIF argumentiert, die Regierung nutze Vorschriften auf Grundlage eines bestehenden Gesetzes, um die Telekommunikationsregulierung auf eine Kategorie digitaler Unternehmen auszuweiten, die nicht in den vorgesehenen Geltungsbereich dieses Gesetzes falle.

Umstritten ist die Kategorie der Telecommunication Identifier User Entities, kurz TIUE. Einfach gesagt umfasst sie Unternehmen, die Kennungen wie Mobilfunknummern verwenden. Nach Ansicht des BIF ist es etwas anderes, wenn eine App auf die Nummer eines Kunden Bezug nimmt, als wenn ein Telekommunikationsanbieter die Befugnis erhält, Telekommunikationsdienste anzubieten.

Der Verband argumentiert außerdem, dass sich die Regelung mit dem Information Technology Act, Finanzvorschriften und dem Digital Personal Data Protection Act überschneide. Er befürchtet, dass Unternehmen dadurch mit widersprüchlichen Anforderungen aus verschiedenen Rechtsbereichen konfrontiert werden. Damit steht die rechtliche Anfechtung der Branche der Auffassung der Regierung gegenüber, eine fortlaufende SIM-Verifizierung sei nötig, um Telekommunikationskennungen zu schützen und Betrug zu bekämpfen.

Datenschutz und Zugang hängen von der Umsetzung ab

Die Analyse der International Bar Association ordnet die Datenschutzdebatte in das Urteil Puttaswamy des Obersten Gerichtshofs von 2017 ein. Der dabei entwickelte Maßstab fragt, ob eine Einschränkung gesetzlich begründet ist, einem legitimen Zweck dient, notwendig und verhältnismäßig ist und verfahrensrechtliche Schutzvorkehrungen umfasst.

Bei der SIM-Bindung geht es beim Datenschutz in der Praxis unter anderem darum, welche Informationen Plattformen während der Prüfungen erheben, wie lange sie diese speichern und welche Aufsicht gilt. Die Anwälte nennen eine Begrenzung der Datenerhebung, Rechenschaftspflicht und Schutz vor unverhältnismäßiger Überwachung als Punkte, die berücksichtigt werden müssen.

Mobile Betriebssysteme schränken Apps bereits beim direkten Zugriff auf bestimmte sensible Geräte- und Teilnehmerkennungen ein. Plattformen müssen daher Verifizierungsmethoden entwickeln, die diese Schutzvorkehrungen einhalten und zugleich den Anforderungen der DoT entsprechen. Das erklärt, warum die Umsetzung eine Abstimmung zwischen App-Unternehmen, Betriebssystemanbietern und Telekommunikationsdiensten erfordert.

Plattformen, die sich nicht an die Vorgaben halten, könnten nach dem Telecommunications Act, 2023, und den Telecom Cyber Security Rules, 2024, belangt werden. Für Nutzerinnen und Nutzer sind zunächst die Frist zur Umsetzung am 31. Dezember und der geplante Start am 1. Januar 2027 entscheidend. Die zentrale Änderung ist klar: Der weitere Zugang soll stärker von einer aktiven registrierten SIM-Karte abhängen, während sich die überarbeitete Regelung für Web-Sitzungen auf Betrugsverdacht konzentriert.

Die wichtigsten Punkte

• Die DoT hat den 31. Dezember 2026 als Umsetzungsfrist festgelegt; die Umsetzung soll am 1. Januar 2027 beginnen.
• Konten bei den erfassten Messaging-Diensten müssen mit ihren registrierten, aktiven SIM-Karten verknüpft bleiben.
• Die pauschale Vorgabe, Web- und Desktop-Sitzungen alle sechs Stunden zu beenden, wurde durch einen risikobasierten Ansatz ersetzt.
• Wer ein Telefon ohne die registrierte SIM-Karte nutzt, im Ausland den Anschluss wechselt oder Geräte mit anderen teilt, könnte beim Zugang Änderungen erleben.
• Die Regierung beruft sich auf Betrugsprävention und nationale Sicherheit; das BIF stellt die rechtliche Grundlage der Vorgabe infrage.
• Die Plattformen entwickeln Verifizierungssysteme für Android- und Apple-Geräte. WhatsApp testet die Funktion Berichten zufolge auf Android.