Kurze Antwort
Ein Bestätigungscode ist der Schlüssel zu Ihrem Konto: Wer ihn eintippt, beweist, dass er Sie ist. Betrüger fragen mit einer Geschichte danach — ein Freund, der „Ihnen versehentlich einen Code geschickt hat“, ein Kleinanzeigen-Käufer, der „prüfen will, ob Sie echt sind“, jemand, der „Ihr Haustier gefunden hat“, oder ein falscher Support. Die Regel der US-Verbraucherschutzbehörde FTC: Teilen Sie nie einen Bestätigungscode mit jemandem, den Sie nicht selbst kontaktiert haben — „das ist jedes Mal Betrug“. Haben Sie ihn schon geschickt: Bei WhatsApp registrieren Sie Ihre Nummer sofort mit einem neuen SMS-Code neu, das meldet das fremde Gerät ab; bei Google Voice holen Sie Ihre Nummer über Google zurück; bei E-Mail und sozialen Netzwerken ändern Sie das Passwort, beenden andere Sitzungen und prüfen die Wiederherstellungsdaten. Warnen Sie dann Ihre Kontakte — gekaperte Konten bitten die nächste Person um deren Code.
Warum ein Code nie „nur ein Code“ ist
Ein Code per SMS, E-Mail oder App ist ein einmaliger Nachweis, dass Sie Sie sind. Je nach Absender kann er Ihr WhatsApp auf einem fremden Handy registrieren, eine Google-Voice-Nummer mit Ihrer Telefonnummer verknüpfen, ein Passwort zurücksetzen, eine neue Anmeldung freigeben oder eine Zahlung bestätigen. Deshalb sagen WhatsApp, Google und Banken, dass Sie ihn nie weitergeben sollen — und deshalb bittet echter Support Sie nie, einen vorzulesen.
Die Maschen der Betrüger
| Was sie sagen | Was wirklich passiert |
|---|---|
| „Sorry, ich habe dir aus Versehen einen Code geschickt — leitest du ihn weiter?“ | Es ist Ihr eigener WhatsApp-Registrierungscode, oft vom gekaperten Konto eines Freundes angefragt. Wer ihn weiterleitet, verliert sein Konto an deren Handy |
| Ein Käufer oder jemand, der „Ihr Haustier gefunden hat“: „Ich muss prüfen, ob du echt bist“ | Er richtet eine Google-Voice-Nummer ein, die mit Ihrer Telefonnummer verknüpft ist, warnt die FTC |
| „Support“ oder ein „Sicherheitsteam“ will einen Code bestätigt haben | Echter Support fragt nicht nach Codes: Hier läuft eine Kontoübernahme |
| „Stimm für mich bei einem Wettbewerb — schick einfach den Code, den du bekommst“ | Die „Stimme“ ist ein Anmelde- oder Registrierungscode für Ihr Konto |
| Das „Betrugsteam“ Ihrer Bank will einen Code, um eine Zahlung zu stornieren | Der Code gibt eine Zahlung frei oder fügt Ihrem Banking ein Gerät hinzu. Auflegen und die Nummer auf Ihrer Karte anrufen |
Wenn Sie den Code schon weitergegeben haben
- WhatsApp: Öffnen Sie WhatsApp auf Ihrem Handy und registrieren Sie Ihre Nummer mit dem neuen sechsstelligen SMS-Code neu. Damit werden alle anderen Geräte abgemeldet. Hat der Betrüger eine Ihnen unbekannte PIN für die Verifizierung in zwei Schritten gesetzt, müssen Sie eventuell warten, bis Sie sich ohne sie registrieren können. Details in WhatsApp gehackt.
- Google Voice: Die FTC verweist auf Googles Schritte, die Nummer zurückzuholen; starten Sie auf der Rückforderungsseite von Google Voice.
- E-Mail, soziale Netzwerke und andere Konten: Ändern Sie von einem vertrauenswürdigen Gerät das Passwort, melden Sie andere Sitzungen ab und prüfen Sie Wiederherstellungs-E-Mail, Telefonnummer und Weiterleitungsregeln. Siehe wo Sie angemeldete Geräte prüfen.
- Ein Bank-Code: Rufen Sie sofort Ihre Bank unter der Nummer auf Ihrer Karte an und lassen Sie die Zahlung oder das neue Gerät sperren — in Deutschland hilft auch der Sperr-Notruf 116 116.
Andere warnen, die Kette stoppen
- Informieren Sie Ihre Kontakte über einen anderen Kanal, dass Nachrichten von Ihrem Konto womöglich nicht von Ihnen stammen — ein gekapertes WhatsApp bittet Ihre Freunde um deren Codes oder um Geld, das Muster hinter der „Hallo Mama“-Masche.
- Melden und blockieren Sie das Betrugskonto in der App, aus der es kam.
- Erstatten Sie Anzeige — in Deutschland bei der Polizei, auch über die Onlinewache.
- Achten Sie auf Nachfolgeversuche: Wer Ihre Nummer hat, probiert in den nächsten Tagen womöglich weitere Codes.
Codes schwerer stehlbar machen
- Aktivieren Sie bei WhatsApp die Verifizierung in zwei Schritten (Einstellungen → Account), damit ein Registrierungscode allein nicht reicht, und prüfen Sie regelmäßig die verknüpften Geräte.
- Nutzen Sie eine Authenticator-App oder Passkeys für E-Mail und wichtige Konten statt SMS-Codes.
- Schützen Sie Ihre Mailbox mit einer PIN — per Sprachanruf zugestellte Codes lassen sich aus einer ungeschützten Mailbox abhören.
- Fragen Sie Ihren Mobilfunkanbieter nach Schutz vor SIM-Swapping — siehe SIM-Swapping: was tun.
- Geben Sie einen Code nur dort ein, wo Sie die Anmeldung selbst gestartet haben, in der offiziellen App oder Website — und lesen Sie ihn nie einem Menschen vor.
Häufige Fragen
Ein Freund bittet mich, einen „versehentlich“ geschickten Code weiterzuleiten. Ist das sicher?
Nein. Der Code gehört zu Ihrem eigenen Konto, und das Konto Ihres Freundes wurde wahrscheinlich gekapert. Rufen Sie ihn unter einer bekannten Nummer an, bevor Sie etwas tun.
Was kann ein Betrüger mit meinem Google-Voice-Code anfangen?
Laut FTC eine Google-Voice-Nummer einrichten, die mit Ihrer Telefonnummer verknüpft ist, damit andere betrügen und die eigene Identität verbergen sowie versuchen, auf Ihre Konten zuzugreifen oder in Ihrem Namen neue zu eröffnen.
Ich habe meinen WhatsApp-Code weitergegeben. Wie bekomme ich mein Konto zurück?
Registrieren Sie Ihre Nummer in WhatsApp mit einem neuen SMS-Code neu; das meldet das fremde Gerät ab. Hat der Betrüger eine PIN für die Verifizierung in zwei Schritten gesetzt, müssen Sie eventuell warten.
Darf ich einen Bestätigungscode jemals weitergeben?
Nur, indem Sie ihn selbst in die offizielle App oder Website eintippen, in der Sie die Anmeldung gestartet haben. Geben Sie ihn nie einem Menschen — laut FTC ist das bei jemandem, den Sie nicht selbst kontaktiert haben, jedes Mal Betrug.
Quellen: FTC — Google-Voice-Betrug: so funktioniert die Bestätigungscode-Masche, Google Voice — Telefonnummer zurückfordern, WhatsApp-Hilfe — gestohlenes Konto wiederherstellen, WhatsApp-Hilfe — Verknüpfung eines Geräts aufheben, FTC — ReportFraud.ftc.gov