Die Nachricht steht direkt da auf dem Bildschirm. Sechs Ziffern, vor Sekunden gesendet. Doch das Feld auf der Website bleibt leer, über der Tastatur erscheint kein Vorschlag, und der Code, der ein paar Sekunden sparen sollte, muss nun gelesen, behalten und abgetippt werden — genau der Moment, in dem Menschen zwei Ziffern vertauschen und daraus schließen, irgendetwas sei kaputt.
Kurz gefasst: Wenn Sie den Code sehen können, wurde die Nachricht zugestellt, und gescheitert ist die Eingabe, nicht die Zustellung. Autofill ist eine Komfortfunktion, die Telefon oder Browser über eine bereits angekommene Nachricht legt, und sie erscheint nur, wenn mehrere voneinander unabhängige Dinge zusammenpassen. Unter Android fragt Chrome beim ersten Mal, wenn es ein Feld für einen Einmalcode erkennt, um Erlaubnis und füllt danach nur aus, wenn Sie auf eine Abfrage tippen. Ein fehlender Vorschlag ist kein Urteil über die Echtheit einer Website. Prüfen Sie Dienst, Konto und aktuelle Abfrage, bevor Sie den Code eingeben, und übergehen Sie keine Abweichung zwischen der in der Nachricht genannten Domain und der Seite, die Sie nutzen.
Autofill ist eine Komfortfunktion, nicht der Zustellweg
Es hilft, sich klarzumachen, welcher Teil der Kette tatsächlich versagt hat.
Ein Bestätigungscode erreicht Sie über eine Nachricht. Ob diese Nachricht überhaupt ankommt, hängt von der Nummer ab, an die sie gesendet wurde, und von der Leitung, der diese Nummer gehört — ein anderes Thema mit eigenen Ursachen, und eines, das zählt, wenn Sie etwa einen Code auf einem reinen Datentarif für die Reise erwarten.
Autofill sitzt darüber. Sobald eine Nachricht irgendwo gelandet ist, wo das Betriebssystem sie lesen kann, bietet das System möglicherweise an, den Code für Sie in ein Feld zu setzen. Bleibt dieses Angebot aus, hat sich an der Nachricht selbst nichts geändert — was aber nicht dasselbe ist wie die Aussage, der Code sei noch gültig. Eine sichtbare Nachricht kann eine alte sein, eine überholte, oder die Antwort auf eine andere Abfrage als die auf dem Bildschirm. Und wo ein Code an eine Domain gebunden ist, kann ein fehlender Vorschlag darauf beruhen, dass die Seite nicht zu der Domain passt, die der Code nennt — das ist etwas zum Prüfen, nicht zum Übergehen.
Als Erstes ist also schlicht zu klären, ob Sie einen Code sehen können. Wenn ja, wurde eine Nachricht zugestellt, und alles Folgende handelt von den letzten Zentimetern zwischen Nachricht und Eingabefeld — nachdem Sie geprüft haben, dass der Code vor Ihnen zu dem Dienst, dem Konto und der Abfrage gehört, die Sie tatsächlich gerade abschließen.
Was zusammenpassen muss, bevor ein Code angeboten wird
Mehrere voneinander unabhängige Bedingungen müssen gleichzeitig erfüllt sein, weshalb diese Funktion zerbrechlicher ist, als sie aussieht.
Das System muss das Feld als Feld für einen Einmalcode erkennen. Ein Feld, das für Sie offensichtlich aussieht, wird nicht zwingend als solches erkannt. Wie eine Website das signalisiert, gehört zur Umsetzung des Dienstes selbst, und es ist nichts, was Sie von Ihrer Seite aus liefern oder ändern können.
Es muss eine Erlaubnis vorliegen. Für Android dokumentiert Google, dass Chrome beim ersten Erkennen eines Feldes für einen SMS-Bestätigungscode um Erlaubnis fragt. Googles Seite behandelt auch den Fall, dass dieser Zugriff zuvor abgelehnt wurde — das lohnt eine Prüfung, bevor Sie schließen, die Funktion stehe nicht zur Verfügung.
Sie müssen handeln. Das Ausfüllen geschieht nicht still. Chromes dokumentiertes Verhalten ist, dass eine Abfrage angezeigt wird und der Code hineingeht, wenn Sie darauf tippen. Auf dem iPhone beschreibt Apples Anleitung zum automatischen Ausfüllen von SMS-Codes, wie ein erkannter Code über der Tastatur vorgeschlagen wird, damit Sie ihn antippen. In beiden Fällen wird der Code angeboten, nicht an Ihrer Stelle eingesetzt.
Die Nachricht muss dort liegen, wo die Funktion sucht. Diese Bedingung hat unten einen eigenen Abschnitt.
Bei domaingebundenen Codes muss die in der Nachricht genannte Domain übereinstimmen. Apple dokumentiert AutoFill für domaingebundene SMS-Codes: Dabei trägt ein Code die Domain, zu der er gehört, und AutoFill gleicht sie mit der aktuellen Domain in Safari oder der zugeordneten Domain einer App ab. Apple stellt das als Schutz vor Phishing dar. Stimmen sie nicht überein, wird kein Vorschlag angeboten.
Auch Android bietet Einstellungen dafür. Googles Seite beschreibt Optionen für das automatische Ausfüllen von Bestätigungscodes, die Codes in Apps und auf Websites sowie Codes in Ihrem Standardbrowser umfassen — das ist wissenswert, bevor Sie schließen, ein Telefon könne das schlicht nicht.
Wo der Code liegt und wo Autofill sucht
Diese Unterscheidung ist keine Frage von Einstellungen, und genau deshalb lohnt es sich, sie früh zu prüfen.
Die hier beschriebenen SMS-Funktionen lesen Nachrichten, die im Nachrichtensystem des Telefons selbst angekommen sind. Hat ein Code Sie anderswo erreicht, haben genau diese Funktionen nichts, woran sie ansetzen könnten. Das ist eine Aussage über das oben beschriebene SMS-Autofill und keine Behauptung über jede Integration: Apple dokumentiert etwa AutoFill von Bestätigungscodes aus Mail in Safari, andere Kanäle sind also nicht grundsätzlich ausgeschlossen, und die Fähigkeiten unterscheiden sich zwischen Browsern, Passwortmanagern und Geräten.
Der klarste Fall ist eine gemietete Bestätigungsnummer. Wenn Sie bei uns eine Nummer bestellen, erscheinen die Nachrichten zu dieser Bestellung im Posteingang der Bestellung in Ihrem Konto, auf welchem Bildschirm auch immer Sie gerade geöffnet haben. Das ist eine Webseite, die den Inhalt einer von einer gemieteten Nummer empfangenen Nachricht anzeigt, und keine Nachricht in der Nachrichten-App Ihres Geräts. Das hier beschriebene SMS-Autofill liest die Nachrichten des Telefons, hat dort also nichts, woran es ansetzen könnte, und den Code hinüberzubringen ist ein Kopiervorgang, den Sie selbst ausführen. Das ist eine Aussage über diese Funktion und nicht über jede Integration, die ein Browser oder Passwortmanager anbieten mag.
Ähnliches gilt, wenn ein Code in der eigenen App eines Dienstes oder auf einer Chat-Plattform ankommt statt als SMS. Die Funktion sucht an einer bestimmten Stelle, und wenn der Code nicht dort liegt, trägt ihr Schweigen keine Information über den Code selbst. E-Mail ist dafür kein sauberes Beispiel, da Apple AutoFill von Codes aus Mail in Safari dokumentiert; was ein davon unabhängiger Kanal unterstützt, hängt von der jeweiligen Kombination aus App, Browser und System ab.
Worauf das Symptom hindeutet
| Was Sie sehen | Womit das vereinbar ist | Was zuerst zu prüfen ist |
|---|---|---|
| Code in den Nachrichten des Telefons sichtbar, gar keine Abfrage | Erlaubnis nicht erteilt oder zuvor abgelehnt, oder das Feld wird nicht erkannt | Ob das automatische Ausfüllen von Bestätigungscodes für Apps und für Ihren Browser aktiviert ist |
| Abfrage erscheint, das Feld bleibt aber leer | Der Fokus liegt auf einem anderen Feld, oder die Seite hat sich beim Tippen geändert | Direkt in das Code-Feld tippen und dann dem folgen, was der Ablauf als Nächstes anbietet |
| Code liegt auf der Bestellseite einer gemieteten Nummer | Erwartbar — diese Nachricht kam nicht in der Nachrichten-App des Telefons an | Den Code selbst von der Bestellseite kopieren |
| Ein Vorschlag erscheint mit einem älteren Code | Es liegt mehr als ein Code vor, und der neueste ist möglicherweise nicht der angebotene | Den Code in der Nachricht selbst lesen und vor dem Antippen vergleichen |
| Kein Vorschlag auf einer Website, Vorschläge anderswo | Möglicherweise ein domaingebundener Code ohne passende Website, oder ein nicht ausgezeichnetes Feld | Ob Sie diese Website selbst aufgerufen haben und nicht über einen Link |
Die letzte Zeile ist die, bei der in beide Richtungen Vorsicht angebracht ist. Ein fehlender Vorschlag belegt nicht, dass eine Website betrügerisch ist, und ein vorhandener belegt nicht, dass sie sicher ist. Den Ablauf selbst gestartet zu haben, ist notwendig, klärt die Frage aber ebenfalls nicht. Die Domainbindung ist ein echter Schutz; wo also ein Code eine Domain nennt, die nicht zu der Seite passt, auf der Sie sind, ist diese Abweichung das, was ernst zu nehmen ist, statt sie zu umgehen.
Zwei Situationen, die einen Durchgang wert sind
Beide sind hypothetisch und dafür geschrieben, den Gedankengang zu zeigen, nicht einen Fall zu berichten.
Der Code, der das Telefon nie berührt hat. Jemand mietet eine Nummer, um sich bei einem Dienst zu registrieren, lässt die Bestellseite auf einem Laptop offen und arbeitet die Anmeldung auf demselben Laptop durch. Der Code kommt an und ist im Posteingang der Bestellung sichtbar. Danach wird eine Weile gesucht, warum das Telefon nicht anbietet, ihn auszufüllen. Das Gerät hat diese Nachricht nie empfangen: Sie wurde an eine gemietete Nummer zugestellt und auf einer Webseite angezeigt. Das hier beschriebene SMS-Autofill hat nichts zu lesen, den Code von der Bestellseite zu kopieren ist also die geradlinige Antwort. Ist der Code dort überhaupt nicht erschienen, ist das eine Zustellfrage und keine Autofill-Frage, und was eine temporäre Nummer bei einem zweiten Code leisten kann und was nicht ist dann die passende Lektüre.
Der ausbleibende Vorschlag, der als Warnung gelesen wurde. Jemand anderes öffnet einen vertrauten Dienst, fordert einen Code an, bekommt ihn und bemerkt, dass der sonst übliche Vorschlag über der Tastatur diesmal ausbleibt. Der erste Gedanke ist, die Seite könnte gefälscht sein. Dieser Schluss trägt nicht: Ein Vorschlag kann fehlen, weil das Feld nicht als Code-Feld ausgezeichnet ist, weil die Erlaubnis irgendwann abgelehnt wurde, oder weil der Code an eine Domain gebunden ist, die nicht zu der Seite passt, auf der die Person ist — und nichts davon unterscheidet eine echte von einer betrügerischen Website. Wie man dorthin gelangt ist, zählt weiterhin: Einem Link aus einer Nachricht oder E-Mail gefolgt zu sein, ist ein Grund innezuhalten, die Seite zu verlassen und den Dienst auf dem gewohnten Weg aufzurufen, bevor man neu beginnt. Aber eine Adresse einzutippen oder ein gespeichertes Lesezeichen zu öffnen, ist für sich genommen kein Beleg, dass ein Ziel echt ist, und klärt die Frage daher auch nicht. Vor der Eingabe des Codes ist zu bestätigen, dass er den erwarteten Dienst und das erwartete Konto nennt, dass er die Abfrage beantwortet, die vor einem liegt, und dass die Seite, auf der man ist, die ist, für die der Code ausgestellt wurde. Eine Domain-Abweichung ist nichts, was man umgeht, nur weil man den Ablauf selbst gestartet hat.
Einen Code von Hand eintippen, ohne ein neues Problem zu schaffen
Einen Code manuell einzugeben ist ein ganz normaler Vorgang, und die damit verbundene Vorsicht ist eng und konkret.
Tippen Sie ihn in einen Ablauf, den Sie selbst gestartet haben, nachdem Sie geprüft haben, dass der Code den erwarteten Dienst und das erwartete Konto nennt und die Abfrage auf dem Bildschirm beantwortet. Die Seite selbst aufgerufen zu haben, ist notwendig, für sich genommen aber nicht ausreichend. Lesen Sie einen Code niemandem vor, leiten Sie ihn nicht weiter, fügen Sie ihn nicht in einen Chat ein und geben Sie ihn nicht auf einer Seite ein, zu der jemand anderes Sie geschickt hat — ein Punkt, den was bei einem nicht angeforderten Bestätigungscode zu tun ist ausführlicher behandelt.
Lesen Sie den Code aus der Nachricht statt aus einer Benachrichtigungsvorschau, wenn mehr als eine angekommen ist, denn die jüngste Benachrichtigung trägt nicht immer den jüngsten Code.
Wird der Code nach sorgfältigem Abtippen abgelehnt, prüfen Sie, ob er zu dem Dienst und dem Konto gehört, bei dem Sie sich anmelden, ob er die gerade angezeigte Abfrage beantwortet, und ob er die vom Dienst angegebene Gültigkeit überschritten hat. Folgen Sie den Anweisungen, die der Ablauf selbst anzeigt; einen weiteren Code anzufordern ist nur dort möglich, wo dieser Ablauf es anbietet. Besteht die Möglichkeit, dass die Nummer an früherer Stelle falsch eingegeben wurde, ist die Prüfung von Nummernformat und Eingabe der richtige Ort dafür.
Eines sollten Sie nicht tun: Geben Sie einer fremden App keinen weitreichenden Zugriff auf Ihre Nachrichten in der Hoffnung, Autofill damit zum Laufen zu bringen. Die Funktion braucht das nicht, und der Tausch ist ein schlechter.
Grenzen dieses Leitfadens
Dieser Text beschreibt die Bedingungen, unter denen ein Telefon oder ein Browser einen Code anbietet, und stützt sich dabei auf Googles Dokumentation zu Chrome unter Android und Apples Material zum iPhone. Er deckt nicht jedes Gerät, jeden Launcher und jede Tastatur ab, und die Einstellungsbildschirme unterscheiden sich zwischen Herstellern, selbst wenn das zugrunde liegende Verhalten übereinstimmt.
Ob das Feld einer bestimmten Website erkannt wird, gehört zur Umsetzung des Dienstes selbst. Man kann es als Leser beobachten, aber nicht ändern, und Einstellungen auf dem eigenen Gerät treten nicht an seine Stelle.
Dieser Leitfaden ist auf die hier benannten SMS-Autofill-Funktionen beschränkt. Es gibt weitere Integrationen — Apple dokumentiert AutoFill von Codes aus Mail in Safari — und was eine bestimmte Kombination aus Browser, Passwortmanager und Gerät unterstützt, liegt außerhalb des hier Beschriebenen.
Das Verhalten von Autofill ist für sich genommen kein verlässliches Mittel, eine echte von einer betrügerischen Website zu unterscheiden, und dieser Leitfaden bietet es auch nicht als solches an. Die Domainbindung ist ein echter Schutz, eine Abweichung verdient also Aufmerksamkeit und keine Umgehung; was sie nicht liefert, ist ein Urteil, das sich an einer fehlenden Abfrage ablesen ließe.
Unsere Hilfe-Antworten decken die Bestellseite ab, und ein Support-Ticket ist der Weg für alles, was eine bei uns aufgegebene Bestellung betrifft.
FAQ
Der Code steht in meinen Nachrichten, aber es wird nichts angeboten. Ist der Code kaputt?
Das Ausbleiben einer Abfrage sagt nichts Entscheidendes über den Code. Eine sichtbare Nachricht wurde zugestellt, und dass die Komfortschicht versagt, ändert daran nichts. Es belegt allerdings auch nicht, dass der Code noch aktuell ist — er könnte ein früherer sein oder die Antwort auf eine andere Abfrage. Prüfen Sie, zu welchem Dienst, welchem Konto und welcher Abfrage er gehört, und tippen Sie ihn dann ein.
Warum funktioniert Autofill auf manchen Websites und auf anderen nicht?
Weil ein Teil der Voraussetzung zur Website gehört und nicht zu Ihrem Telefon. Das Feld muss als Feld für einen Einmalcode erkannt werden, und ein domaingebundener Code wird mit der in der Nachricht genannten Domain abgeglichen. Beides hängt von der Umsetzung des Dienstes selbst ab, weshalb sich dasselbe Telefon an verschiedenen Stellen unterschiedlich verhält.
Bedeutet ein fehlender Vorschlag, dass die Seite gefälscht ist?
Für sich genommen nicht, und der Umkehrschluss ist ebenso wenig sicher: Ein erscheinender Vorschlag ist keine Garantie. Eine Abfrage kann fehlen, weil die Erlaubnis abgelehnt wurde, weil das Feld nicht erkannt wird, oder weil der Code an eine Domain gebunden ist, die nicht zur Seite passt. Apple stellt den Domainabgleich als Schutz vor Phishing dar, eine Abweichung ist also ernst zu nehmen statt zu umgehen. Behandeln Sie das Ausbleiben als Anlass zu prüfen, für welchen Dienst und welches Konto der Code gilt und ob die Seite passt — nicht als Urteil in irgendeine Richtung.
Warum bietet mein Telefon nie Codes an, die auf einer gemieteten Nummer ankommen?
Weil diese Nachricht nicht in der Nachrichten-App Ihres Geräts ankommt. Ein an eine gemietete Nummer gesendeter Code wird von dieser Nummer empfangen und im Posteingang der Bestellung in Ihrem Konto angezeigt, und das ist eine Webseite. Die hier beschriebene SMS-Autofill-Funktion liest die Nachrichten des Telefons selbst, hat von dieser Seite also nichts anzubieten, und den Code hinüberzukopieren ist ein eigener Schritt, den Sie ausführen.
Ist es sicher, einen Bestätigungscode von Hand einzutippen?
Ja, innerhalb eines Ablaufs, den Sie selbst gestartet haben, sobald Sie geprüft haben, dass der Code den erwarteten Dienst und das erwartete Konto nennt und die Abfrage vor Ihnen beantwortet. Den Ablauf selbst zu starten ist notwendig, belegt aber für sich genommen nicht, dass ein Ziel echt ist. Geben Sie einen Code niemals an eine Person weiter, die Sie deswegen kontaktiert, wie plausibel der Grund auch klingt.
Soll ich einer App Zugriff auf alle meine Nachrichten geben, damit Autofill funktioniert?
Nein. Der Codevorschlag verlangt nicht, einer fremden App weitreichenden Zugriff auf Nachrichten zu geben, und damit legen Sie weit mehr offen als den einen Code, den Sie eingeben wollten. Bietet die eingebaute Funktion keinen Code an, ist die manuelle Eingabe der bessere Tausch.