Warum habe ich einen Verifizierungscode bekommen, den ich nicht angefordert habe?

Warum du möglicherweise einen Verifizierungscode erhältst, den du nicht angefordert hast

Ein unerwarteter Verifizierungscode kann durch einen Tippfehler, einen Anmelde- oder Passwort-Zurücksetzungsversuch oder eine Betrugsnachricht entstehen, die dich zu einer Reaktion verleiten soll. Ein Code, den du nicht angefordert hast, beweist für sich genommen nicht, dass auf dein Konto zugegriffen wurde oder dass jemand dein Passwort kennt. Gib den Code nicht weiter, bestätige keine unerwartete Aufforderung und verwende keine Links aus der Nachricht. Öffne den genannten Dienst direkt und prüfe deine Kontoaktivitäten.

Was der Code schützt, hängt vom jeweiligen Dienst ab. Er kann eine neue Registrierung, eine Anmeldung, ein Zurücksetzen des Passworts, einen Wiederherstellungsversuch, eine Telefonnummer oder eine sensible Aktion wie eine Zahlung bestätigen. Deshalb hängt die richtige Reaktion vom Muster ab, nicht vom Code selbst.

• Ein Code, keine weitere Warnung: Es kann sich um einen Tippfehler, eine Registrierung, einen Anmelde- oder Zurücksetzungsversuch oder eine gefälschte Nachricht handeln. Verwende den Code nicht; prüfe das genannte Konto direkt, falls du eines hast.
• Codes, die immer wieder eintreffen: Möglicherweise versucht jemand wiederholt, sich anzumelden oder den Zugriff zurückzusetzen. Überprüfe dieses Konto jetzt.
• Ein Code plus eine Kontowarnung: Eine Anmeldung von einem neuen Gerät, eine Passwortänderung oder eine Änderung der Wiederherstellungsdaten erfordert noch heute eine Reaktion.
• Wer dich nach dem Code fragt: Behandle es als Betrug, wer auch immer sich als Absender ausgibt.

Jemand hat versehentlich deine E-Mail-Adresse oder Telefonnummer eingegeben

Menschen vertippen sich ständig bei ihren eigenen Kontaktdaten, und dann landet ein Code bei dir statt bei ihnen. Die Hilfeseite von Login.gov „I'm receiving one-time codes that I didn't request“ nennt dies als wahrscheinliche Ursache, ebenso wie jemand, der dein Telefon mitnutzt, etwa ein Ehepartner, Elternteil oder Kind, der sich in seinem eigenen Konto anmeldet. Ein einzelner Code ohne weitere Folgenachrichten ist das typische Zeichen für eine solche Verwechslung.

Jemand hat versucht, sich anzumelden oder dein Passwort zurückzusetzen

Viele Dienste senden einen Code, wenn eine Anmeldung von einem neuen Gerät oder Ort erfolgt oder wenn jemand ein Zurücksetzen des Passworts startet. Diese Person könntest du selbst auf einem anderen Gerät sein, jemand, der dein Konto mit seinem verwechselt hat, oder ein automatisierter Anmeldeversuch mit einem Passwort, das von einer anderen Seite geleakt wurde. Je nach Dienst kann der Code ein zweiter Schritt nach einem Passwort oder das Haupt-Anmeldeelement für eine passwortlose Anmeldung sein, und allein anhand des Codes lässt sich das nicht erkennen. Gib ihn nicht weiter und gib ihn nirgendwo ein, sondern prüfe das Konto über die offizielle App oder Website.

Jemand hat deine Kontaktdaten zur Registrierung genutzt

Ein Registrierungscode kann für einen Dienst eintreffen, den du nie genutzt hast, weil jemand bei der Erstellung eines Kontos deine E-Mail-Adresse oder Telefonnummer eingegeben hat. Die meisten Dienste schließen die Registrierung erst ab, wenn der Code oder der Bestätigungslink verwendet wurde, daher reicht es meist, die Nachricht zu ignorieren. Erstelle kein Konto nur zur Recherche.

Die Nachricht ist Phishing, kein echter Code

Eine Nachricht kann eine Verifizierungsbenachrichtigung nachahmen und einen Link, eine Telefonnummer oder eine Anweisung wie „Antworte zum Abbrechen“ enthalten, selbst wenn keine tatsächliche Kontoaktion stattgefunden hat. Das Ziel ist, dich dazu zu bringen, anzurufen, zu klicken oder etwas in eine gefälschte Seite einzutippen. Probiere den Link nicht aus. Öffne die offizielle App oder gib selbst die bekannte Webadresse des Dienstes ein.

Ein Problem auf Seiten des Dienstes löste eine Welle von Nachrichten aus

Manchmal liegt die Ursache beim Unternehmen. Im Januar 2026 führte Instagram eine Welle unerwarteter Passwort-Zurücksetzungs-E-Mails laut der Verbraucherorganisation Which? auf „ein Problem zurück, das es einer externen Partei ermöglichte, Passwort-Zurücksetzungs-E-Mails für einige Instagram-Nutzer anzufordern“, und Instagram bestritt, dass seine Systeme kompromittiert wurden. Selbst in einem solchen Fall ist die sichere Reaktion dieselbe: Ignoriere die Links und prüfe das Konto in der App.

Was du jetzt tun solltest

Die sicherste Reaktion auf einen nicht angeforderten Code dauert nur wenige Minuten und bezieht die Nachricht selbst nie mit ein. Gehe diese Schritte der Reihe nach durch und höre auf, sobald das Konto in Ordnung ist.

1. Gib den Code nicht weiter, leite ihn nicht weiter und lies ihn nicht laut vor. Gib ihn nirgendwo ein und bestätige keine Anmeldeaufforderung, die du nicht selbst ausgelöst hast. Auf der Hilfeseite von Google „When Google might send you a text“ heißt es, dass du einen Textcode, den du nicht angefordert hast, ignorieren und löschen kannst und keine erhaltenen Codes weitergeben solltest.
2. Verwende nichts aus der Nachricht. Ignoriere die Links, die Telefonnummern und alle Antwortanweisungen, auch wenn der Absender vertraut erscheint.
3. Öffne den Dienst selbst. Nutze die offizielle App oder gib die Adresse ein, die du bereits kennst, und sieh dir dann die letzten Anmeldeaktivitäten, angemeldeten Geräte und Sicherheitswarnungen an. Auf der Microsoft-Seite „What is the Recent activity page?“ wird erklärt, dass sie die Aktivität des Microsoft-Kontos der letzten 30 Tage anzeigt und es dir ermöglicht, für alles, was als ungewöhnlich markiert wurde, „Das war nicht ich“ auszuwählen.
4. Ändere das Passwort, wenn die Fakten es erfordern. Tu dies über den offiziellen Dienst, wenn die Aktivität unbekannt wirkt, der Dienst einen Anmeldeversuch bestätigt, du den Code geteilt hast oder das Passwort auf anderen Seiten wiederverwendet wird. Verwende ein einzigartiges Passwort für dieses Konto.
5. Aktiviere eine stärkere Multifaktor-Authentifizierung. Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) stuft einen Sicherheitsschlüssel als stärkste Option ein, gefolgt von einer Authenticator-App, und Text- oder E-Mail-Codes als die schwächste. CISA empfiehlt, Text- oder E-Mail-Codes nur dann zu verwenden, wenn das Konto nichts Stärkeres bietet.
6. Kontaktiere den Dienst, wenn die Codes weiterhin eintreffen. Nutze das Hilfezentrum in der App oder auf der offiziellen Website, nicht eine Nummer aus der Nachricht.

Wenn du kein Konto bei dem genannten Dienst hast, kann es sein, dass sich jemand mit deiner E-Mail-Adresse oder Telefonnummer registriert, oder die Nachricht ist gefälscht. Ignoriere sie. Wenn derselbe Dienst dich weiterhin kontaktiert, wende dich über die offizielle Website an dessen Support-Team.

Ein Code, wiederholte Codes oder eine Kontowarnung: Was jedes Muster bedeutet

Die Begleitumstände sind wichtiger als die Anzahl der Codes. Ein Code kann von einem Tippfehler, einer Registrierung, einem Anmelde- oder Zurücksetzungsversuch oder einer gefälschten Nachricht stammen. Wiederholte Codes rechtfertigen eine zeitnahe Überprüfung des Kontos, während ein Code zusammen mit einer unbekannten Anmeldung oder einer Warnung zu einer Kontoänderung sofortiges Handeln über den offiziellen Dienst erfordert.

Codes allein erzählen selten die ganze Geschichte. Anzeichen dafür, dass tatsächlich auf ein Konto zugegriffen wurde, sind eindeutiger:

• Du kannst dich nicht mehr anmelden, oder der Dienst bestätigt, dass dein Passwort oder deine Wiederherstellungsdaten geändert wurden.
• Dein Konto zeigt Geräte, Sitzungen oder Orte an, die du nicht kennst.
• Nachrichten, Beiträge oder Käufe erscheinen, die du nicht getätigt hast.
• Dein E-Mail-Konto hat neue Weiterleitungsregeln oder Filter, die du nicht eingerichtet hast.

Wenn du eines davon siehst, nutze sofort den offiziellen Kontowiederherstellungsprozess des Anbieters.

E-Mail-Codes, SMS-Codes und Anmeldeaufforderungen

Der Kanal bestimmt, was sich zu prüfen lohnt. Ein E-Mail-Code weist dich auf das E-Mail-Konto und den genannten Dienst hin, eine SMS auf deine Telefonnummer, und eine Genehmigungsaufforderung bedeutet, dass eine Anmeldung auf deine Bestätigung wartet.

Wenn du eine unerwartete E-Mail mit einem Verifizierungscode erhalten hast

Eine unerwartete E-Mail mit einem Verifizierungscode kann von einer Registrierung, einem Anmelde- oder Zurücksetzungsversuch, einem Tippfehler oder einer gefälschten Nachricht stammen. Prüfen Sie das genannte Konto über die offizielle Website oder App. Gibt es weitere Anzeichen dafür, dass jemand auf Ihr Postfach zugegriffen hat, sehen Sie sich auch die letzten Sitzungen, die Wiederherstellungs-E-Mail-Adresse und -Telefonnummer, den gesendeten Posteingang sowie etwaige Weiterleitungsregeln oder Filter an. Eine Weiterleitungsregel, die Sie nicht eingerichtet haben, könnte künftige Nachrichten einschließlich Codes kopieren – entfernen Sie sie daher und sichern Sie das Postfach.

Wenn Sie einen Verifizierungscode per SMS erhalten haben

Antworten Sie nicht, rufen Sie keine in der Nachricht genannte Nummer an und gehen Sie nicht davon aus, dass ein vertrauter Nachrichtenverlauf beweist, dass die SMS echt ist. Bei Texten, die wie Spam aussehen, empfiehlt der FTC-Leitfaden „How To Recognize and Report Spam Text Messages“, diese an 7726 (SPAM) weiterzuleiten. Seien Sie vorsichtig, wenn Sie die Nummer eines echten Dienstes blockieren, denn Sie benötigen dessen Codes möglicherweise später. Wenn Ihr Handy plötzlich den Mobilfunkempfang verliert, während Codes oder Kontobenachrichtigungen eintreffen, wenden Sie sich über einen Kanal, dem Sie bereits vertrauen, an Ihren Mobilfunkanbieter; Netzausfälle haben oft alltägliche Ursachen, doch die Kombination verdient eine schnelle Überprüfung.

Wenn Sie eine Anmeldebestätigung erhalten haben

Lehnen Sie jede Anmeldung ab, die Sie nicht selbst gestartet haben. Laut Apples Personal Safety User Guide sollten Sie „Nicht erlauben“ auswählen, wenn Sie eine Benachrichtigung über eine Anmeldung auf einem neuen, unbekannten Gerät erhalten. Wiederholte Aufforderungen können ein Versuch sein, Sie mürbe zu machen – bestätigen Sie daher niemals eine Anmeldung, nur damit die Benachrichtigungen aufhören.

Betrug mit Verifizierungscodes: wenn jemand nach dem Code fragt

Eine Anfrage nach Ihrem Code ist das deutlichste Warnsignal von allen. Die Verbraucherwarnung der FTC vom März 2024 „What's a verification code and why would someone ask me for it?“ bringt es klar auf den Punkt: „Wer Sie nach Ihrem Konto-Verifizierungscode fragt, ist ein Betrüger.“ Echte Unternehmen senden Codes, damit Sie sie selbst auf einem Bildschirm eingeben, den Sie geöffnet haben.

Das Drehbuch ändert sich, doch die Bitte ist immer der Code:

• Der Anruf der „Betrugsabteilung“. Ein Anrufer gibt sich als Ihre Bank, ein Support-Team oder eine Behörde aus und behauptet, er benötige den Code, um Ihr Konto zu schützen oder zu verifizieren.
• Der Freund, der einen Code „versehentlich“ geschickt hat. Eine Nachricht von einem bekannten Kontakt behauptet, ein Code sei versehentlich bei Ihnen gelandet, und bittet Sie, ihn zurückzugeben. Kontaktieren Sie diese Person über einen anderen, vertrauenswürdigen Kanal. Das Konto kann kompromittiert oder nachgeahmt worden sein, und der Code könnte es jemandem ermöglichen, Ihre Telefonnummer zu registrieren oder ein Konto zu übernehmen.
• Der Käufer auf dem Marktplatz. Die FTC-Warnung vom Oktober 2021 zum Betrug mit Google-Voice-Verifizierungscodes beschreibt, dass Personen, die online Artikel verkaufen, aufgefordert werden, einen Code vorzulesen, um zu „beweisen“, dass sie echt sind. Der Rat der FTC: Geben Sie niemandem einen Verifizierungscode, wenn Sie nicht selbst zuerst Kontakt aufgenommen haben.

Geben Sie niemals einen Code als Reaktion auf eine unerwartete Kontaktaufnahme an. Wenn Sie selbst ein Support-Gespräch begonnen haben, folgen Sie nur den Anweisungen in der offiziellen App oder Website der Organisation und lesen Sie den Warnhinweis in der Code-Nachricht. Um ein Konto zu überprüfen, wenden Sie sich an das Unternehmen über eine Nummer, der Sie bereits vertrauen, etwa die auf Ihrer Karte oder in dessen App, und melden Sie Betrugsversuche unter ReportFraud.ftc.gov.

Wenn Sie bereits einen Code weitergegeben oder eine Aufforderung bestätigt haben

Handeln Sie schnell und bleiben Sie ruhig. Einen Code weiterzugeben bedeutet nicht immer, dass jemand Zugriff erlangt hat, aber Sie sollten davon ausgehen und das Konto sofort sichern.

1. Öffnen Sie den Dienst direkt und ändern Sie das Passwort. Melden Sie sich anschließend von anderen Sitzungen oder Geräten ab, falls der Dienst diese Option bietet.
2. Überprüfen Sie die Sicherheitseinstellungen, einschließlich Wiederherstellungs-E-Mail-Adresse, Wiederherstellungstelefonnummer, Multifaktor-Methoden und etwaiger Backup-Codes. Login.gov etwa rät Personen, die unerwartete Codes erhalten, ihr Passwort zu ändern, ihre Authentifizierungsmethoden zu bestätigen und Backup-Codes neu zu generieren, falls sie solche verwenden.
3. Rufen Sie Ihre Bank oder Ihren Kartenanbieter an unter der Nummer auf Ihrer Karte oder Ihrem Kontoauszug, falls der Code für ein Finanzkonto war.
4. Überprüfen Sie Ihr E-Mail-Konto auf Weiterleitungsregeln, Filter oder gesendete Nachrichten, die Sie nicht erstellt haben, falls der weitergegebene Code für Ihr Postfach war.
5. Nutzen Sie die offiziellen Wiederherstellungsschritte des Dienstes, wenn eine Messaging-App oder ein Telefonnummerndienst beteiligt war und Sie den Zugriff verloren haben.
6. Melden Sie den Vorfall unter ReportFraud.ftc.gov und rechnen Sie mit Folgenachrichten, die Ihnen bei der „Wiederherstellung“ zu „helfen“ versuchen. Behandeln Sie diese mit derselben Vorsicht.

Anmeldungen mit geringem Risiko aus deinem Hauptposteingang heraushalten

Deine Haupt-E-Mail-Adresse ist der Wiederherstellungsweg für viele wichtige Konten, daher solltest du sie sorgfältig weitergeben. Eine separate Adresse für Anmeldungen mit geringem Risiko kann Anmeldecodes und Marketingnachrichten aus deinem Hauptposteingang heraushalten. Sie kann jedoch nicht verhindern, dass jemand deine echte E-Mail-Adresse falsch eingibt oder missbraucht, und sie ersetzt weder ein starkes Passwort noch eine Mehrfaktor-Authentifizierung.

Für Newsletter, einmalige Downloads oder kostenlose Testversionen, die du vielleicht nicht behalten willst, gibt eine temporäre E-Mail-Adresse diesen Nachrichten einen eigenen Posteingang. Das kann den Hauptposteingang übersichtlicher halten, aber ein unerwarteter Code, der dort landet, verrät trotzdem nicht, wer ihn angefordert hat oder warum.

Temporäre E-Mail hat echte Grenzen, und diese sind vor allem für die Sicherheit wichtig. Tmailor ist nur zum Empfangen gedacht, Nachrichten verschwinden etwa 24 Stunden nach ihrem Eintreffen, und eine Adresse kann nur mit ihrem Access Token wieder geöffnet werden. Ein verlorener Access Token kann nicht wiederhergestellt werden, weshalb der Wiederverwendungsseite des Access Tokens der einzige Weg zurück zu einer gespeicherten Adresse ist.

Codes von manchen Diensten kommen bei Wegwerfadressen möglicherweise gar nicht an, wie der Leitfaden zu was bei temporären Mail-OTPs funktioniert und scheitert erklärt. Behalte deine Bank-, Haupt-E-Mail-, Mobilfunk-, Arbeits- und Gerätekonten auf einer dauerhaften Adresse, die du kontrollierst; die Übersicht zu temporäre Postlimits und Risiken zeigt, wo ein Wegwerf-Postfach nicht hingehört.

Wenn die erhaltene Nachricht ein „temporärer ChatGPT-Login-Code“ war, beschreibt der ChatGPT-Login-Code-Guide die konkreten Schritte von OpenAI. Wenn du bereit bist, deine nächste Anmeldung mit geringem Risiko abzutrennen, kannst du in Sekunden eine kostenlose temporäre E-Mail-Adresse erstellen.

Die Regel, die jeden Fall abdeckt

Was auch immer die Nachricht verursacht hat: Gib keinen Code weiter und verwende keinen Code, den du nicht angefordert hast. Prüfe das genannte Konto über seine offizielle App oder Website. Sichere es umgehend, wenn weiterhin Codes eintreffen, du ungewöhnliche Aktivitäten siehst, du den Code weitergegeben hast oder du eine Bestätigungsanfrage genehmigt hast, die du nicht selbst ausgelöst hast. Wenn dein Problem umgekehrt ist und ein von dir angeforderter Code nie ankommt, siehe schau dir an, warum OTP-Codes nicht ankommen.