Eine SMS trifft ein: sechs Ziffern, angeblich weil sich jemand in einem Ihrer Konten anmelden will. Kurz darauf folgt ein Anruf oder eine Nachricht mit der Bitte, den Code vorzulesen oder weiterzuleiten. Genau dieser eine Schritt steckt hinter einem Großteil der gemeldeten Kontoübernahmen: Allein in den USA gingen bei der Aufsichtsbehörde FTC über 2,6 Millionen Betrugsmeldungen von Verbrauchern im Jahr 2023 ein, und Betroffene meldeten Verluste von 10 Milliarden US-Dollar durch Betrug im selben Jahr. Nicht Schadsoftware richtet den Schaden an, nicht ein geknacktes Passwort – sondern der Code selbst.
Wie aus sechs Ziffern ein gekapertes Konto wird
Der Angriff beginnt mit etwas, das Sie oft unbemerkt preisgegeben haben: Ihre Telefonnummer, verknüpft mit einer E-Mail-Adresse aus einem geleakten Datensatz. Die betrügerische Person gibt Ihre Nummer und Ihre E-Mail-Adresse auf der Login-Seite einer Bank, eines Messengers oder eines Marktplatzes ein. Die Plattform schickt daraufhin, wie vorgesehen, einen Einmalcode an Ihr Telefon, um die Identität zu bestätigen. Sekunden später meldet sich die Person direkt bei Ihnen – per SMS, Anruf, manchmal als Paketdienst, Bankmitarbeiter oder Support getarnt – und bittet Sie, den Code vorzulesen oder weiterzuleiten, den Sie „aus Versehen“ erhalten hätten, oder der angeblich nötig sei, um ein Problem mit Ihrem Konto zu beheben. Sobald der Code die andere Seite erreicht, gibt sie ihn innerhalb weniger Sekunden auf der echten Login-Seite ein – das Zeitfenster ist so kurz, dass die meisten Plattformen keinen Anlass zum Misstrauen sehen, denn technisch handelt es sich um eine ganz normale, erfolgreiche Anmeldung. Aus Sicht des Systems hat sich schließlich genau die Person angemeldet, die den Code erhalten und eingegeben hat; dass es sich dabei um zwei verschiedene Menschen handelt, lässt sich aus den Server-Protokollen nicht ablesen. Diese Masche funktioniert deshalb so zuverlässig, weil sie keine Sicherheitslücke im technischen Sinn ausnutzt, sondern eine soziale: Sie verlässt sich darauf, dass Menschen in einer scheinbar dringenden Situation kooperativ reagieren, statt die Anfrage zu hinterfragen. Genau das macht diese Angriffsform so schwer allein mit Software zu stoppen – sie zielt nicht auf ein System, sondern auf eine Gewohnheit.
Ein alltäglicher Text
Das folgende Beispiel ist ein illustratives Szenario und kein realer Fall, es zeigt lediglich einen typischen Ablauf dieser Betrugsmasche.
Stellen Sie sich eine SMS eines Paketdienstes vor, die meldet, ein Paket habe nicht zugestellt werden können und ein Code werde für die Neuterminierung benötigt. Wenige Minuten vorher traf bereits ein anderer, scheinbar unabhängiger Verifizierungscode einer Shopping-App ein. Die beiden Nachrichten wirken unzusammenhängend, sind es aber nicht: Jemand versucht sich gerade in das Shopping-Konto einzuloggen, und die angebliche „Paket“-Nachricht ist derselbe Absender, der nach genau diesem Code fragt – nur unter anderem Namen. Wer den Code weiterleitet, in dem Glauben, damit ein Lieferproblem zu lösen, findet später die hinterlegte Zahlungsmethode für einen nie getätigten Einkauf belastet und das Passwort bereits geändert vor. Häufig sind bis dahin auch Wiederherstellungs-E-Mail und Telefonnummer im Konto ausgetauscht, sodass der eigentliche Kontoinhaber ausgesperrt bleibt und sich in einem langwierigen Streit mit dem Kundendienst oder der Bank wiederfindet. Gerade die Alltäglichkeit der Situation macht sie so wirksam: Man reagiert nicht auf eine offensichtliche Bedrohung, sondern auf ein banales Lieferproblem – und genau deshalb bleibt die Wachsamkeit aus, die man sonst bei verdächtigen Anfragen aufbringen würde. Diese Verkettung von zwei Nachrichten ist kein Zufall, sondern das eigentliche Kalkül hinter der Masche: Die erste Nachricht schafft einen plausiblen, harmlosen Kontext, die zweite liefert scheinbar den dazu passenden Code. Wer beide Nachrichten getrennt betrachtet, ohne den zeitlichen Zusammenhang zu hinterfragen, tappt fast automatisch in die Falle. Besonders tückisch: Solche Szenarien treten oft in stressigen Momenten auf, etwa kurz vor Feiertagen, wenn tatsächlich viele Pakete unterwegs sind, oder am Monatsanfang, wenn Kontobewegungen ohnehin erwartet werden. Der Betrug tarnt sich also nicht nur inhaltlich, sondern auch zeitlich als etwas völlig Normales.
Wie Sie das stoppen, bevor der Code Ihr Telefon verlässt
Die Lösung liegt weniger in Technik als in einer festen Regel: Ein Verifizierungscode wird niemals mit jemandem geteilt, ganz gleich unter welchem Vorwand. Seriöse Unternehmen bitten Sie nie, einen Einmalcode vorzulesen oder weiterzuleiten – sie erwarten, dass Sie ihn selbst dort eingeben, wo Sie sich gerade anmelden. Ein paar feste Gewohnheiten rund um Ihre Telefonnummer schließen die meisten Einfallstore, und keine davon erfordert technisches Vorwissen, sondern lediglich Konsequenz im Alltag.
Behandeln Sie jede Code-Anfrage grundsätzlich als verdächtig
Erscheint ein Code auf Ihrem Telefon, ohne dass Sie sich gerade aktiv irgendwo anmelden, ist das bereits das Warnsignal: Jemand anderes versucht mit Ihrer Nummer oder E-Mail-Adresse Zugriff zu bekommen. Lesen Sie den Code nicht vor, leiten Sie ihn nicht weiter, tippen Sie ihn in keinen Chat, auch nicht in einen angeblichen Support-Kanal. Löschen Sie die Nachricht, sobald klar ist, dass Sie sie nicht selbst ausgelöst haben, oder machen Sie vorher einen Screenshot für eine spätere Meldung. Notieren Sie sich im Zweifel auch, welche Plattform angeblich der Absender war – diese Information hilft später, den Vorfall gezielt zu melden.
Prüfen Sie die Anfrage über einen getrennten Kanal
Gibt sich ein Anruf oder eine Nachricht als Ihre Bank, ein Lieferdienst oder eine genutzte Plattform aus, legen Sie auf oder ignorieren Sie die Nachricht und kontaktieren Sie die Organisation direkt über die Nummer oder App, die Sie bereits kennen – niemals über eine in der verdächtigen Nachricht angegebene Nummer. Echte Support-Mitarbeiter können Ihr Konto einsehen, ohne einen soeben verschickten Code zu benötigen. Diese Regel der getrennten Kanäle gilt unabhängig davon, wie professionell die Nachricht formuliert ist oder ob der Absendername korrekt angezeigt wird, denn beides lässt sich leicht fälschen.
Trennen Sie Ihre Telefonnummer von Ihren wichtigsten Konten
Nutzen Sie wo möglich eine Authenticator-App statt SMS für die Zwei-Faktor-Authentifizierung, denn app-basierte Codes sind nicht an eine Nummer gebunden, die per Anruf oder SMS manipuliert werden kann. Für Anmeldungen, die Ihre echte Nummer gar nicht benötigen, hält eine zweite oder virtuelle Nummer Ihre Hauptnummer aus Datenbanken heraus, die früher oder später geleakt oder verkauft werden. Je weniger Dienste Ihre echte Nummer kennen, desto kleiner wird die Angriffsfläche für genau diese Art von Betrug, da die Ausgangsdaten für den ersten Schritt der Masche schlicht fehlen.
Verlangsamen Sie den Austausch bewusst
Betrüger setzen auf Zeitdruck, damit Sie nicht klar nachdenken – ein Paket, das gleich zurückgeschickt wird, ein Konto, das gleich gesperrt wird, eine Zahlung, die gleich scheitert. Sobald eine Nachricht Sie drängt, innerhalb weniger Minuten zu handeln, ist genau dieser Druck das eigentliche Warnsignal. Schon dreißig Sekunden Pause reichen oft aus, um das Drehbuch des Anrufers zu durchbrechen. Es hilft zusätzlich, die Anfrage laut einer vertrauten Person zu schildern; ausgesprochen klingt sie oft plötzlich sehr merkwürdig, sobald sie den Druck des Telefonbildschirms verlässt. Wer sich diese Pause zur Gewohnheit macht, gewinnt fast immer genug Abstand, um die Unstimmigkeiten in der Geschichte zu erkennen.
Warum eine zweite Nummer diese Angriffsfläche verkleinert
Betrugsversuche mit Verifizierungscodes funktionieren, weil Ihre Telefonnummer im Zentrum Ihrer digitalen Identität steht: verknüpft mit Bank, E-Mail-Wiederherstellung, Shopping-Konten – und oft landet sie schon nach einem einzigen Formular bei Datenhändlern. Eine App für Telefonprivatsphäre, die eine zweite, austauschbare Nummer bereitstellt, erlaubt es, die eigentliche Nummer nur für die wenigen Konten zu reservieren, die sie wirklich brauchen – Bank, enge Kontakte, offizielle Behördendienste – während alles andere, von Online-Shops bis zu einmaligen Verifizierungen, über eine Nummer läuft, die bei unerwünschten Nachrichten getauscht oder gelöscht werden kann. Das macht niemanden unsichtbar und befreit von keiner Verifizierungspflicht; es verringert lediglich, an wie vielen Stellen die echte Nummer überhaupt auftaucht – und damit auch, wie oft ein Betrüger sie mit einem gefälschten Code-Vorwand ins Visier nehmen kann. Weniger Berührungspunkte bedeuten weniger Gelegenheiten für die oben beschriebene Masche, die Hauptnummer überhaupt zu erreichen. Mit der Zeit sinkt dadurch auch die Menge unerwünschter SMS und Anrufe insgesamt, da eine Nummer, die in keiner Marketingdatenbank und keiner weiterverkauften Kontaktliste auftaucht, deutlich seltener in den Listen landet, die Betrüger massenhaft abtelefonieren. Wer zusätzlich für verschiedene Lebensbereiche unterschiedliche Nummern nutzt, kann bei Auffälligkeiten auch gezielt nachvollziehen, über welchen Kanal die eigenen Daten überhaupt in Umlauf geraten sind, statt vor einem einzigen, undurchsichtigen Sammelbecken aus Kontakten und Diensten zu stehen.
Numero eSIMAnzeige
Eine zweite Nummer ohne SIM-Karte, in über 80 Ländern