Bestätigungscode erhalten, den Sie nicht angefordert haben? Was jetzt zu prüfen ist

Ein Code trifft für etwas ein, das Sie nicht getan haben. Die Nachricht selbst sagt Ihnen nicht, warum sie gesendet wurde, und genau darin liegt die Schwierigkeit: Dieselbe SMS verträgt sich mit mehreren sehr verschiedenen Situationen.

Kurz gefasst: Geben Sie den Code an niemanden weiter, der Sie deswegen kontaktiert, und folgen Sie keinen Links oder Nummern innerhalb der Nachricht. Googles Empfehlung für einen nicht angeforderten Code lautet, ihn zu ignorieren und zu löschen und ihn nicht zu teilen. Darüber hinaus hängt das Sinnvolle davon ab, was Sie sonst beobachten können — ob der Code einen Dienst nennt, den Sie tatsächlich nutzen, ob weitere Codes folgen, ob an diesem Konto etwas anders aussieht und ob Ihr Mobilfunk normal funktioniert.

Die drei Dinge, die zuerst zu tun sind

Geben Sie den Code nicht weiter. Wenn jemand Sie kontaktiert und nach einem Anmelde-, Registrierungs- oder Wiederherstellungscode fragt — per Anruf, Chat oder Nachricht —, geben Sie ihn nicht heraus. Nutzen Sie ausschließlich einen Ablauf, den Sie selbst gestartet haben, in der offiziellen App oder auf der offiziellen Website des Dienstes.
Folgen Sie nicht den Links oder Telefonnummern in der Nachricht selbst. Dass ein Code eintrifft, macht den umgebenden Text nicht echt.
Nennt der Code einen Dienst, den Sie nutzen, öffnen Sie diesen Dienst selbst — dessen offizielle App oder die von Ihnen selbst getippte Adresse — und sehen Sie sich das Konto von dort aus an.

Googles Hilfe zu nicht angeforderten Bestätigungscodes hält fest, dass Sie die Nachricht ignorieren und löschen können und den Code nicht teilen sollten, und verweist für eine umfassendere Prüfung auf den Sicherheitscheck.

Was es bedeuten könnte

Die Nachricht allein unterscheidet diese Fälle nicht. Microsofts Seite zur Fehlerbehebung bei nicht angeforderten Codes nennt drei Möglichkeiten direkt:

Jemand versucht, auf ein Konto zuzugreifen.
Jemand hat beim Anmelden die falsche Telefonnummer oder E-Mail-Adresse eingegeben.
Ein Code, den Sie früher angefordert haben, hat sich verzögert und ist erst jetzt angekommen. Wenn Sie nicht sicher sind, welchen Kanal eine frühere Anfrage genommen hat, behandelt wohin Bestätigungscodes tatsächlich gehen das Lesen des Ziels.

Zwei weitere gehören mitgedacht:

Die Nachricht kann ein Köder sein. Eine Nachricht in Codeform kann den Versuch begleiten, Sie dazu zu bringen, eine Nummer anzurufen, einem Link zu folgen oder jemandem den Code vorzulesen.
Die Nummer kann die Vorgeschichte eines früheren Inhabers tragen. Nummern werden neu vergeben — derselbe Mechanismus steckt hinter einer Nummer, die bereits bei WhatsApp registriert ankommt.

Das sind Möglichkeiten, keine Diagnose. Zwischen ihnen zu entscheiden braucht etwas jenseits der SMS, etwa das Konto selbst.

Worauf zu sehen ist, je nachdem was Sie beobachten können

Was Sie beobachten können	Womit es vereinbar ist	Angemessene Reaktion
Ein Code, für einen Dienst, den Sie nicht nutzen	Falsch eingegebene Nummer, eine verzögerte Nachricht oder ein Versuch an einem Konto, das nicht Ihres ist	Ignorieren und löschen; nirgends eingeben
Ein Code, für einen Dienst, den Sie nutzen	Jede der obigen Möglichkeiten, einschließlich eines Versuchs	Diesen Dienst selbst öffnen und dessen Sicherheitsseite durchsehen
Weitere Codes treffen ein	Wiederholte Versuche, oder ein Dienst, der es erneut versucht	Die Sicherheitseinstellungen des genannten Kontos prüfen und dessen Anmeldung stärken
Jemand kontaktiert Sie und fragt nach dem Code	Ein Versuch, ihn von Ihnen zu bekommen	Nicht weitergeben; den Kontakt beenden; über den offiziellen Kanal des Dienstes melden
Etwas Unbekanntes am Konto — eine Sitzung, ein Gerät oder eine geänderte Wiederherstellungsmethode	Möglicher Zugriff	Die Bedienelemente des Dienstes nutzen, beginnend bei den Wiederherstellungsmethoden
Der Mobilfunk fällt unerwartet aus	Eine Störung, ein Geräte- oder SIM-Fehler, oder eine Änderung an der Leitung	Ihren Mobilfunkanbieter kontaktieren — siehe unten

Die Wiederherstellungsmethoden verdienen den genauesten Blick

Wenn Sie nach einem unerwarteten Code nur einen Teil eines Kontos prüfen, dann diesen.

Zugriff auf ein Konto lässt sich dauerhaft machen, indem dessen Wiederherstellungsmethoden geändert werden — die Backup-E-Mail, die Wiederherstellungsnummer, vertrauenswürdige Geräte, verknüpfte Sitzungen. Ein Passwort wiederherzustellen macht das nicht zwingend rückgängig, weil der Weg zurück hinein umgeleitet wurde.

Suchen Sie auf der Sicherheitsseite des Kontos also gezielt nach:

einer Wiederherstellungs-E-Mail, die Sie nicht mehr wiedererkennen oder nicht öffnen können;
einer Wiederherstellungsnummer, die nicht Ihnen gehört;
verknüpften Geräten oder aktiven Sitzungen, die Sie nicht wiedererkennen;
verbundenen Apps oder App-Passwörtern, deren Verhalten nach einer Passwortänderung sich je nach Dienst unterscheidet — prüfen Sie die Dokumentation des Dienstes, statt anzunehmen, sie seien widerrufen.

Google dokumentiert das Durchsehen von Kontoaktivitäten und Geräten für seine eigenen Konten.

Wenn Ihr Telefon den Empfang verliert

Der Verlust des Mobilfunkempfangs hat gewöhnliche Ursachen: eine Netzstörung, eine beschädigte oder verrutschte SIM, ein Gerätefehler, ein Abrechnungsproblem.

Er kann auch eine Änderung an der Leitung selbst begleiten. Was einen zügigen Anruf beim Mobilfunkanbieter rechtfertigt, ist die Kombination — der Empfang bricht ohne gewöhnliche Erklärung weg, besonders zusammen mit Nachrichten über Kontoänderungen, Rufnummernmitnahmen oder Portierungsanfragen, die Sie nicht veranlasst haben.

Kontaktieren Sie Ihren Anbieter über eine Nummer, die Sie selbst heraussuchen, nicht über eine aus einer Nachricht. Als Beispiel eines einzelnen Anbieters: Die Hinweise von AT&T in den Vereinigten Staaten fordern Kundinnen und Kunden, die eine unrechtmäßige Rufnummernmitnahme vermuten, zu einer umgehenden Kontaktaufnahme auf; andere Anbieter haben eigene Verfahren und Kontaktwege, nutzen Sie also die Ihres eigenen Anbieters. Ein Empfangsverlust allein belegt nicht, dass eine Nummer umgezogen ist; er ist ein Grund, schnell nachzusehen, weil die Kontrolle über eine Leitung SMS-basierte Anmeldung und Wiederherstellung bestimmt.

Zwei Situationen, die sich lohnen durchzugehen

Erläuternde Beispiele, keine Berichte über reale Konten.

Ein Code von einem Dienst, den Sie nie genutzt haben. Er nennt einen Marktplatz, bei dem Sie kein Konto haben. Es gibt nichts von Ihnen zu sichern. Ignorieren und löschen — und legen Sie dort kein Konto an, um nachzuforschen; das macht aus einer verirrten Nachricht eine echte Spur. Treffen weitere vom selben Dienst ein, ist dessen eigener Sicherheits- oder Hilfekanal der Ort für eine Meldung; Marktplätze veröffentlichen Hinweise, zum Beispiel Shopees Hilfe zur Kontosicherheit. WhatsApp veröffentlicht ebenso Hinweise zu einem Code, den Sie nicht angefordert haben.

Ein Code von einem Dienst, den Sie nutzen, zweimal in zehn Minuten. Hier gibt es etwas zu prüfen. Öffnen Sie die eigene App des Dienstes, gehen Sie auf dessen Sicherheitsseite und lesen Sie in dieser Reihenfolge die Anmeldeaktivität, die Geräte und die Wiederherstellungsmethoden. Stimmt alles mit Ihren Erwartungen überein, ist es eine vernünftige Reaktion, die Anmeldung zu stärken. Lehnt das Konto stattdessen eine Nummer ab, die Sie hinzufügen wollen, ist das ein anderes Problem — siehe was Googles Ablehnung einer Telefonnummer bedeutet. Ist eine Wiederherstellungsmethode darunter, die Sie nicht wiedererkennen, ist das der Befund, und die Wiederherstellungs- und Sicherheitseinstellungen des Dienstes sind der Ort, an dem er behandelt wird.

Wenn Sie den Code bereits jemandem gegeben haben

Das kommt vor, und der ausgeübte Druck ist darauf angelegt, zu wirken. Was zu tun ist, hängt davon ab, ob Sie noch in das Konto kommen.

Wenn Sie noch Zugriff haben:

Öffnen Sie den Dienst direkt — dessen App oder die von Ihnen selbst getippte Adresse.
Sehen Sie zuerst die Wiederherstellungsmethoden durch und stellen Sie geänderte wieder her.
Sehen Sie verknüpfte Geräte und aktive Sitzungen durch. Melden Sie unbekannte ab; seien Sie vorsichtig damit, alles auf einmal abzumelden, wenn eine Sitzung, die Sie noch halten, Ihr einziger Weg hinein ist.
Ändern Sie das Passwort, die PIN oder das sonstige Authentifizierungsgeheimnis, das der Dienst tatsächlich verwendet. Nicht jeder Dienst nutzt ein herkömmliches Passwort — WhatsApp etwa ist um die Registrierungsnummer und die von der App angebotene PIN bzw. das Passwort der Verifizierung in zwei Schritten herum aufgebaut —, nutzen Sie also das, was die Sicherheitsseite dieses Dienstes anbietet.
Aktivieren Sie den stärksten verfügbaren zweiten Faktor, im Bewusstsein, dass ein Anmeldefaktor nicht automatisch eine Wiederherstellungsmethode ist.

Wenn Sie bereits ausgesperrt sind: Gehen Sie direkt zum offiziellen Kontowiederherstellungsprozess des Dienstes. Versuchen Sie nicht weiter alternative Anmeldungen, und lassen Sie sich nicht auf denjenigen ein, der Sie kontaktiert hat.

Wenn Geld bewegt oder Handlungen ausgeführt wurden, melden Sie das direkt beim offiziellen Meldekanal des jeweiligen Dienstes — ein Zahlungsdienstleister, eine Bank oder ein Marktplatz hat dafür ein eigenes Verfahren.

Keine Abfolge garantiert, dass jede Folge rückgängig gemacht wird. Das Ziel ist, die Wege zurück hinein zu schließen.

Wenn Sie es melden möchten

Melden Sie über den offiziellen Kanal des Dienstes, von dem die Nachricht zu stammen behauptet. Nützlich sind dabei:

dass Sie einen Bestätigungscode erhalten haben, den Sie nicht angefordert haben;
das ungefähre Datum und die ungefähre Uhrzeit;
der angezeigte Dienst- oder Absendername;
Ihre maskierte Nummer, gekürzt auf die letzten Ziffern.

Halten Sie aus jeder Meldung heraus: den Code selbst, Passwörter und Wiederherstellungscodes. Geschwärzte Nachweise — etwa ein Screenshot, in dem der Code unkenntlich gemacht ist — sind etwas anderes als der Code selbst. Folgen Sie den Nachweisanforderungen des Formulars, das Sie verwenden, und halten Sie dabei Codes, Passwörter und Wiederherstellungscodes heraus.

Wenn Sie einen Posteingang bei uns mieten, denken Sie daran, dass eine gemietete Nummer frühere Verknüpfungen tragen und danach neu vergeben werden kann; eine Nachricht, die nichts mit Ihnen zu tun hat, ist deshalb ein unauffälliges Ergebnis und kein Signal über Ihr Konto. Eine unerwartete Nachricht allein belegt nicht, dass etwas von Ihnen betroffen ist. Nennt der Code aber einen Dienst, den Sie tatsächlich nutzen, behandeln Sie ihn wie jedes andere Ihrer Konten und sehen Sie es normal durch. Wenn Sie meinen, dass eine Bestellung fehlerhaft ist, ist ein Support-Ticket mit der Order-ID der Weg, und die FAQ legt dar, was eine Bestellung belegt und was nicht.

Grenzen dieses Ratgebers

Eine einzelne Nachricht belegt nicht, wer einen Code angefordert hat oder warum. Wir können die auslösende Person aus einer empfangenen SMS nicht bestimmen; der Zieldienst hält womöglich Aktivitätsaufzeichnungen, und selbst diese belegen nicht die Identität einer Person.
Die aufgeführten Möglichkeiten sind Möglichkeiten. Sie zu unterscheiden braucht das Konto, nicht die Nachricht.
Sicherheitseinstellungen und ihre Bezeichnungen unterscheiden sich je Dienst und ändern sich mit der Zeit. Maßgeblich ist die Sicherheitsseite des Dienstes selbst.
Keine Abfolge von Schritten garantiert, dass eine Kompromittierung vollständig rückgängig gemacht wird.

FAQ

Bedeutet ein unerwarteter Code, dass auf mein Konto zugegriffen wurde?

Nein — er verträgt sich mit mehreren Situationen, darunter eine falsch eingegebene Nummer, eine verzögerte frühere Anfrage und ein Versuch, der nicht erfolgreich war. Für einen einzelnen Code lautet Googles Empfehlung, ihn zu ignorieren und zu löschen, ohne ihn zu teilen.

Jemand sagt, er habe ihn versehentlich geschickt, und bittet mich, ihn weiterzuleiten. Soll ich?

Nein. Geben Sie einen Anmelde-, Registrierungs- oder Wiederherstellungscode an niemanden weiter, der Sie kontaktiert. Ist die Bitte echt, kann diese Person den Ablauf selbst erneut starten.

Können Sie herausfinden, wer den Code angefordert hat?

Das können wir nicht. Eine empfangene SMS trägt das nicht, und wir haben keinen Einblick in den anfordernden Dienst. Der Dienst selbst hält womöglich Aktivitätsaufzeichnungen, aber die zeigen Anfragen und Geräte, statt die Identität einer Person zu belegen.

Ich bekomme immer wieder Codes vom selben Dienst. Was jetzt?

Ist es ein Konto, das Sie nutzen, öffnen Sie es direkt und sehen Sie Anmeldeaktivität, Geräte und Wiederherstellungsmethoden durch, und stärken Sie dann die Anmeldung. Ist es nicht Ihr Konto, gibt es nichts von Ihnen zu sichern; melden Sie es über den offiziellen Kanal dieses Dienstes, statt sich zum Nachforschen anzumelden.

Mein Telefon hat etwa zur selben Zeit den Empfang verloren. Hängt das zusammen?

Möglicherweise — es kann aber auch eine Störung oder ein SIM- oder Gerätefehler sein. Die Kombination, bei der zügiges Handeln angebracht ist, ist ein unerklärter Empfangsverlust zusammen mit Benachrichtigungen über Kontoänderungen oder Rufnummernmitnahmen, die Sie nicht angestoßen haben. Rufen Sie Ihren Mobilfunkanbieter über eine Nummer an, die Sie selbst heraussuchen.

Würde eine andere Telefonnummer das beenden?

Nicht als allgemeine Antwort — jede Nummer kann einen verirrten Code empfangen, und der Schutz eines Kontos liegt in dessen eigenen Einstellungen. Ein Nummernwechsel ist eine Entscheidung für bestimmte Umstände, etwa anhaltende unerwünschte Kontaktaufnahme, und keine Routinereaktion auf eine einzelne Nachricht.

Ich habe einen Code auf einer gemieteten Nummer bekommen. Heißt das, dass etwas nicht stimmt?

Nicht für sich genommen. Eine gemietete Nummer kann frühere Verknüpfungen tragen und später neu vergeben werden, unzusammenhängende Nachrichten sind also unauffällig. Geben Sie sie nirgends ein. Nennt der Code einen Dienst, den Sie persönlich nutzen, sehen Sie dieses Konto wie gewohnt durch.