Warum habe ich einen Verifizierungscode bekommen, den ich nicht angefordert habe?

Warum du möglicherweise einen Verifizierungscode erhältst, den du nicht angefordert hast

Ein unerwarteter Verifizierungscode kann durch einen Tippfehler, einen Anmelde- oder Passwort-Zurücksetzungsversuch oder eine Betrugsnachricht entstehen, die dich zu einer Reaktion verleiten soll. Ein Code, den du nicht angefordert hast, beweist für sich genommen nicht, dass auf dein Konto zugegriffen wurde oder dass jemand dein Passwort kennt. Gib den Code nicht weiter, bestätige keine unerwartete Aufforderung und verwende keine Links aus der Nachricht. Öffne den genannten Dienst direkt und prüfe deine Kontoaktivität.

Was der Code schützt, hängt vom jeweiligen Dienst ab. Er kann eine neue Registrierung, eine Anmeldung, ein Passwort-Zurücksetzen, einen Wiederherstellungsversuch, eine Telefonnummer oder eine sensible Aktion wie eine Zahlung bestätigen. Deshalb hängt die richtige Reaktion vom Muster ab, nicht vom Code selbst.

• Ein Code, keine weitere Warnung: Er kann auf einem Tippfehler, einer Registrierung, einem Anmelde- oder Zurücksetzungsversuch oder einer gefälschten Nachricht beruhen. Verwende den Code nicht; prüfe das genannte Konto direkt, falls du eines hast.
• Codes, die immer wieder eintreffen: Möglicherweise versucht jemand wiederholt, sich anzumelden oder den Zugriff zurückzusetzen. Prüfe dieses Konto jetzt.
• Ein Code plus eine Kontowarnung: Eine Anmeldung von einem neuen Gerät, eine Passwortänderung oder eine Änderung der Wiederherstellungsdaten erfordert noch heute eine Reaktion.
• Wer dich nach dem Code fragt: Behandle es als Betrug, ganz gleich, als wer sich die Person ausgibt.

Jemand hat versehentlich deine E-Mail-Adresse oder Telefonnummer eingegeben

Menschen vertippen sich ständig bei ihren eigenen Kontaktdaten, und dann landet ein Code bei dir statt bei ihnen. Die Hilfeseite von Login.gov „I'm receiving one-time codes that I didn't request“ nennt dies als wahrscheinliche Ursache, ebenso wie jemand, der dein Telefon mitbenutzt, etwa ein Ehepartner, Elternteil oder Kind, der sich in seinem eigenen Konto anmeldet. Ein einzelner Code ohne weitere Folgenachrichten ist das typische Zeichen für eine solche Verwechslung.

Jemand hat versucht, sich anzumelden oder dein Passwort zurückzusetzen

Viele Dienste senden einen Code, wenn eine Anmeldung von einem neuen Gerät oder Ort erfolgt oder wenn jemand ein Passwort-Zurücksetzen startet. Diese Person könntest du selbst auf einem anderen Gerät sein, jemand, der dein Konto mit seinem verwechselt hat, oder ein automatisierter Anmeldeversuch mit einem Passwort, das von einer anderen Seite geleakt wurde. Je nach Dienst kann der Code ein zweiter Schritt nach einem Passwort oder das eigentliche Zugangsmittel für eine passwortlose Anmeldung sein, und allein anhand des Codes lässt sich das nicht erkennen. Gib ihn nicht weiter und gib ihn nirgendwo ein, sondern prüfe das Konto über die offizielle App oder Website.

Jemand hat deine Kontaktdaten zur Registrierung genutzt

Ein Registrierungscode kann für einen Dienst eintreffen, den du nie genutzt hast, weil jemand beim Erstellen eines Kontos deine E-Mail-Adresse oder Telefonnummer eingegeben hat. Die meisten Dienste schließen die Registrierung erst ab, wenn der Code oder der Bestätigungslink verwendet wurde, daher reicht es meist, die Nachricht zu ignorieren. Erstelle kein Konto, nur um der Sache nachzugehen.

Die Nachricht ist Phishing, kein echter Code

Eine Nachricht kann eine Verifizierungsbenachrichtigung nachahmen und einen Link, eine Telefonnummer oder eine Anweisung wie „Antworte zum Abbrechen“ enthalten, selbst wenn keine tatsächliche Kontoaktion stattgefunden hat. Das Ziel ist, dich zum Anrufen, Klicken oder Eintippen von etwas in eine gefälschte Seite zu bringen. Probiere den Link nicht aus. Öffne die offizielle App oder gib selbst die bekannte Webadresse des Dienstes ein.

Ein Problem auf Seiten des Dienstes löste eine Welle von Nachrichten aus

Manchmal liegt die Ursache beim Unternehmen. Im Januar 2026 führte Instagram eine Welle unerwarteter Passwort-Zurücksetzungs-E-Mails laut der Verbraucherorganisation Which? auf „ein Problem zurück, das es einer externen Partei ermöglichte, Passwort-Zurücksetzungs-E-Mails für einige Instagram-Nutzer anzufordern“, und Instagram bestritt, dass seine Systeme kompromittiert wurden. Selbst in einem solchen Fall ist die sichere Reaktion dieselbe: Ignoriere die Links und prüfe das Konto in der App.

Was du jetzt tun solltest

Die sicherste Reaktion auf einen nicht angeforderten Code dauert ein paar Minuten und bezieht die Nachricht selbst nie mit ein. Gehe diese Schritte der Reihe nach durch und höre auf, sobald das Konto in Ordnung ist.

1. Gib den Code nicht weiter, leite ihn nicht weiter und lies ihn nicht laut vor. Gib ihn nirgendwo ein und bestätige keine Anmeldeaufforderung, die du nicht selbst ausgelöst hast. Auf der Hilfeseite von Google „When Google might send you a text“ heißt es, dass du einen Textcode, den du nicht angefordert hast, ignorieren und löschen kannst und keine erhaltenen Codes weitergeben solltest.
2. Verwende nichts aus der Nachricht. Ignoriere die Links, die Telefonnummern und alle Antwortanweisungen, auch wenn der Absender vertraut wirkt.
3. Öffne den Dienst selbst. Nutze die offizielle App oder gib die Adresse ein, die du bereits kennst, und sieh dir dann die letzten Anmeldeaktivitäten, angemeldeten Geräte und Sicherheitswarnungen an. Auf der Seite von Microsoft „What is the Recent activity page?“ wird erklärt, dass sie die Aktivität des Microsoft-Kontos der letzten 30 Tage anzeigt und es dir ermöglicht, für alles, was als ungewöhnlich markiert wurde, „Das war nicht ich“ auszuwählen.
4. Ändere das Passwort, wenn die Fakten es erfordern. Mach dies über den offiziellen Service, wenn die Aktivität unbekannt wirkt, der Dienst einen Anmeldeversuch bestätigt, du den Code geteilt hast oder das Passwort auf anderen Seiten wiederverwendet wird. Verwenden Sie ein einzigartiges Passwort für dieses Konto.
5. Aktiviere eine stärkere Multifaktor-Authentifizierung. Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) stuft einen Sicherheitsschlüssel als stärkste Option ein, gefolgt von einer Authenticator-App, und Text- oder E-Mail-Codes als die schwächste. CISA empfiehlt, Text- oder E-Mail-Codes nur dann zu verwenden, wenn das Konto nichts Stärkeres bietet.
6. Kontaktiere den Dienst, wenn die Codes weiterhin eintreffen. Nutze das Hilfezentrum in der App oder auf der offiziellen Website, nicht eine Nummer aus der Nachricht.

Wenn du kein Konto bei dem genannten Dienst hast, kann es sein, dass sich jemand mit deiner E-Mail-Adresse oder Telefonnummer anmeldet, oder die Nachricht ist gefälscht. Ignoriere sie. Wenn derselbe Dienst dich weiterhin kontaktiert, wende dich über die offizielle Website an sein Support-Team.

Ein Code, wiederholte Codes oder eine Kontowarnung: Was jedes Muster bedeutet

Die Begleitumstände sind wichtiger als die Anzahl der Codes. Ein Code kann von einem Tippfehler, einer Registrierung, einem Anmelde- oder Zurücksetzungsversuch oder einer gefälschten Nachricht stammen. Wiederholte Codes rechtfertigen eine zeitnahe Überprüfung des Kontos, während ein Code zusammen mit einer unbekannten Anmeldung oder einer Warnung zu einer Kontoänderung sofortiges Handeln über den offiziellen Dienst erfordert.

Codes allein erzählen selten die ganze Geschichte. Anzeichen dafür, dass tatsächlich auf ein Konto zugegriffen wurde, sind eindeutiger:

• Du kannst dich nicht mehr anmelden, oder der Dienst bestätigt, dass sich dein Passwort oder deine Wiederherstellungsdaten geändert haben.
• Dein Konto zeigt Geräte, Sitzungen oder Orte, die du nicht kennst.
• Nachrichten, Beiträge oder Käufe erscheinen, die du nicht getätigt hast.
• Dein E-Mail-Konto hat neue Weiterleitungsregeln oder Filter, die du nicht eingerichtet hast.

Wenn du eines davon siehst, nutze sofort den offiziellen Kontowiederherstellungsprozess des Anbieters.

E-Mail-Codes, SMS-Codes und Anmeldeaufforderungen

Der Kanal bestimmt, was sich zu prüfen lohnt. Ein E-Mail-Code weist dich auf das E-Mail-Konto und den genannten Dienst hin, eine SMS auf deine Telefonnummer, und eine Genehmigungsaufforderung bedeutet, dass eine Anmeldung auf dich wartet.

Wenn du eine unerwartete E-Mail mit einem Verifizierungscode erhalten hast

Eine unerwartete E-Mail mit einem Verifizierungscode kann von einer Registrierung, einem Anmelde- oder Zurücksetzungsversuch, einem Tippfehler oder einer gefälschten Nachricht stammen. Prüfen Sie das genannte Konto über die offizielle Website oder App. Gibt es weitere Anzeichen dafür, dass jemand auf Ihr Postfach zugegriffen hat, sehen Sie sich auch die letzten Sitzungen, die Wiederherstellungs-E-Mail-Adresse und -Telefonnummer, gesendete Nachrichten sowie etwaige Weiterleitungsregeln oder Filter an. Eine Weiterleitungsregel, die Sie nicht selbst erstellt haben, könnte künftige Nachrichten samt Codes kopieren – entfernen Sie sie und sichern Sie das Postfach.

Wenn Sie einen Verifizierungscode per SMS erhalten haben

Antworten Sie nicht, rufen Sie keine in der Nachricht genannte Nummer an und gehen Sie nicht davon aus, dass ein vertrauter Nachrichtenverlauf beweist, dass die SMS echt ist. Bei Nachrichten, die wie Spam aussehen, empfiehlt der FTC-Leitfaden „How To Recognize and Report Spam Text Messages“, diese an 7726 (SPAM) weiterzuleiten. Seien Sie vorsichtig, wenn Sie die Nummer eines echten Dienstes blockieren, denn Sie brauchen dessen Codes möglicherweise später noch. Verliert Ihr Handy plötzlich den Mobilfunkempfang, während Codes oder Kontobenachrichtigungen eintreffen, wenden Sie sich über einen Kanal, dem Sie bereits vertrauen, an Ihren Mobilfunkanbieter; Netzausfälle haben oft alltägliche Ursachen, aber die Kombination verdient eine kurze Prüfung.

Wenn Sie eine Anmeldebestätigung erhalten haben

Lehnen Sie jede Anmeldung ab, die Sie nicht selbst gestartet haben. Apples Personal Safety User Guide rät: Wenn Sie eine Benachrichtigung über eine Anmeldung auf einem neuen, unbekannten Gerät erhalten, sollten Sie „Nicht erlauben“ wählen. Wiederholte Aufforderungen können der Versuch sein, Sie mürbe zu machen – bestätigen Sie niemals eine davon, nur damit die Benachrichtigungen aufhören.

Betrug mit Verifizierungscodes: wenn jemand nach dem Code fragt

Die Bitte um Ihren Code ist das deutlichste Warnsignal von allen. Die Verbraucherwarnung der FTC vom März 2024 „What's a verification code and why would someone ask me for it?“ bringt es klar auf den Punkt: „Jeder, der Sie nach Ihrem Konto-Verifizierungscode fragt, ist ein Betrüger.“ Echte Unternehmen senden Ihnen Codes, damit Sie sie selbst auf einem Bildschirm eingeben, den Sie geöffnet haben.

Das Drehbuch wechselt, doch gefragt wird immer nach dem Code:

• Der Anruf der „Betrugsabteilung“. Ein Anrufer gibt sich als Ihre Bank, ein Support-Team oder eine Behörde aus und behauptet, er brauche den Code, um Ihr Konto zu schützen oder zu verifizieren.
• Der Freund, der einen Code „versehentlich“ geschickt hat. Eine Nachricht von einem bekannten Kontakt behauptet, ein Code sei versehentlich bei Ihnen gelandet, und bittet Sie, ihn zurückzugeben. Kontaktieren Sie diese Person über einen anderen Kanal, dem Sie vertrauen. Das Konto könnte kompromittiert oder nachgeahmt worden sein, und der Code könnte es jemandem ermöglichen, Ihre Telefonnummer zu registrieren oder ein Konto zu übernehmen.
• Der Käufer auf dem Marktplatz. Die FTC-Warnung vom Oktober 2021 zum Betrug mit Google-Voice-Verifizierungscodes beschreibt, dass Personen, die online Artikel verkaufen, aufgefordert werden, einen Code vorzulesen, um zu „beweisen“, dass sie echt sind. Der Rat der FTC: Geben Sie niemandem einen Verifizierungscode, wenn Sie nicht selbst zuerst Kontakt aufgenommen haben.

Geben Sie niemals einen Code als Reaktion auf eine unerwartete Kontaktaufnahme heraus. Wenn Sie selbst ein Support-Gespräch begonnen haben, folgen Sie nur den Anweisungen in der offiziellen App oder Website der Organisation und lesen Sie die Warnung in der Code-Nachricht. Um ein Konto zu prüfen, wenden Sie sich an das Unternehmen über eine Nummer, der Sie bereits vertrauen, etwa die auf Ihrer Karte oder in dessen App, und melden Sie Betrugsversuche unter ReportFraud.ftc.gov.

Wenn Sie bereits einen Code weitergegeben oder eine Aufforderung bestätigt haben

Handeln Sie schnell und bleiben Sie ruhig. Einen Code weiterzugeben bedeutet nicht immer, dass jemand Zugriff erlangt hat, aber Sie sollten davon ausgehen und das Konto sofort sichern.

1. Öffnen Sie den Dienst direkt und ändern Sie das Passwort. Melden Sie anschließend andere Sitzungen oder Geräte ab, falls der Dienst diese Option bietet.
2. Prüfen Sie die Sicherheitseinstellungen, einschließlich Wiederherstellungs-E-Mail-Adresse, Wiederherstellungstelefonnummer, Multifaktor-Methoden und etwaiger Backup-Codes. Login.gov etwa rät Personen, die unerwartete Codes erhalten, ihr Passwort zu ändern, ihre Authentifizierungsmethoden zu überprüfen und Backup-Codes neu zu erzeugen, falls sie solche verwenden.
3. Rufen Sie Ihre Bank oder Ihren Kartenaussteller an – über die Nummer auf Ihrer Karte oder Ihrem Kontoauszug, falls der Code für ein Finanzkonto war.
4. Prüfen Sie Ihr E-Mail-Konto auf Weiterleitungsregeln, Filter oder gesendete Nachrichten, die Sie nicht erstellt haben, falls der weitergegebene Code für Ihr Postfach war.
5. Nutzen Sie die offiziellen Wiederherstellungsschritte des Dienstes,, wenn eine Messaging-App oder ein Telefonnummerndienst beteiligt war und Sie den Zugriff verloren haben.
6. Melden Sie den Vorfall unter ReportFraud.ftc.gov, und rechnen Sie mit Folgenachrichten, die Ihnen bei der „Wiederherstellung“ helfen wollen. Behandeln Sie diese mit derselben Vorsicht.

Niedrigrisiko-Anmeldungen aus deinem Hauptposteingang heraushalten

Deine Haupt-E-Mail-Adresse ist der Wiederherstellungsweg für viele wichtige Konten, deshalb solltest du sie sorgfältig weitergeben. Eine separate Adresse für Anmeldungen mit geringem Risiko kann Anmeldecodes und Marketingnachrichten aus deinem Hauptposteingang heraushalten. Sie kann jedoch nicht verhindern, dass jemand deine echte E-Mail-Adresse vertippt oder missbraucht, und sie ersetzt weder ein starkes Passwort noch eine Mehrfaktor-Authentifizierung.

Für Newsletter, einmalige Downloads oder kostenlose Testversionen, die du vielleicht nicht behalten willst, gibt eine temporäre E-Mail-Adresse diesen Nachrichten einen eigenen Posteingang. Das kann den Hauptposteingang übersichtlicher machen, aber ein unerwarteter Code, der dort landet, verrät trotzdem nicht, wer ihn angefordert hat oder warum.

Temporäre E-Mail hat echte Grenzen, und diese sind vor allem für die Sicherheit wichtig. Tmailor ist nur empfangsbereit, Nachrichten verschwinden etwa 24 Stunden nach ihrem Eintreffen, und eine Gastadresse lässt sich nur mit ihrem Access Token wieder öffnen. Ein verlorener Access Token für eine Gastadresse kann nicht wiederhergestellt werden, weshalb der Wiederverwendungsseite des Zugriffstokens der Weg zurück zu einer gespeicherten Adresse ohne Konto ist. Adressen, die du erstellst, während du bei einem kostenlosen Tmailor-Konto angemeldet bist, werden ebenfalls unter Erstellte E-Mails aufgeführt, sodass du sie ohne Token wieder öffnen kannst.

Codes von manchen Diensten erreichen Wegwerfadressen möglicherweise gar nicht, wie der Leitfaden zu was bei temporären Mail-OTPs funktioniert und scheitert. Behalten Sie Ihre Bank, Ihre Haupt-E-Mail-Adresse, Ihren Mobilfunkanbieter, Ihre Arbeits- und Gerätekonten auf einer dauerhaften Adresse, die Sie kontrollieren; Der Überblick über temporäre Postlimits und Risiken zeigt, wo ein Wegwerf-Postfach nicht hingehört.

Wenn die erhaltene Nachricht ein „temporärer ChatGPT-Login-Code“ war, beschreibt der ChatGPT-Login-Code-Guide die spezifischen Schritte von OpenAI. Wenn du bereit bist, deine nächste Anmeldung mit geringem Risiko abzutrennen, kannst du in Sekunden eine kostenlose temporäre E-Mail-Adresse erstellen.

Die Regel, die jeden Fall abdeckt

Was auch immer die Nachricht verursacht hat: Gib keinen Code weiter und verwende keinen Code, den du nicht angefordert hast. Prüfe das genannte Konto über die offizielle App oder Website. Sichere es umgehend, wenn weiterhin Codes eintreffen, du unbekannte Aktivitäten siehst, du den Code weitergegeben hast oder du eine Anmeldebestätigung genehmigt hast, die du nicht selbst ausgelöst hast. Wenn dein Problem umgekehrt ist und ein angeforderter Code nie ankommt, siehe schau dir an, warum OTP-Codes nicht ankommen.