Teilen Sie Ihren Bestätigungscode niemals: So funktioniert OTP-Betrug

Teilen Sie Ihren Bestätigungscode niemals: Dieser eine Satz ist die wichtigste Verteidigung gegen OTP-Betrug (Einmalpasswort-Betrug). Ein sechsstelliger Code, der per SMS eintrifft, ist der Schlüssel zur Anmeldung bei einem Konto oder zur Freigabe einer Transaktion. Deshalb versuchen Betrüger gar nicht erst, Ihr Passwort zu knacken; sie versuchen, Sie dazu zu bringen, ihnen den Code vorzulesen. In diesem Artikel erklären wir, wie OTP-Betrug funktioniert und wie Sie sich schützen.

Was ist ein OTP und warum ist er so wertvoll?

Ein OTP, also ein Einmalpasswort, ist ein kurzlebiger Code, der bei einer Anmeldung oder Transaktion gesendet wird, um zu bestätigen, dass das Konto wirklich Ihnen gehört. Er erreicht Sie per SMS, E-Mail oder App-Benachrichtigung.

Der Code ist wertvoll, weil er der zweite Schritt ist: Selbst wer Ihr Passwort kennt, kommt ohne ihn nicht hinein. Wird der Code aber an jemand anderen weitergegeben, fällt dieser Schutz weg. Deshalb wird Sie kein seriöses Unternehmen, kein Mitarbeiter und kein Freund am Telefon, in einer Nachricht oder über einen anderen Kanal bitten, einen Code vorzulesen.

Die goldene Regel lautet: Ein Code kommt nur für eine Aktion, die Sie selbst gestartet haben, und wird nur auf dem Bildschirm der betreffenden App oder Seite eingegeben. Er wird niemandem, niemals und nirgendwo sonst mitgeteilt.

Wie funktioniert ein OTP-Betrug?

Der Betrüger versucht, sich bei einem Konto anzumelden oder eine Transaktion zu starten, und in genau diesem Moment schickt der Dienst einen Code an Ihre Nummer. Dann versucht der Betrüger, Sie zu überreden, ihm diesen Code zu nennen. Dazu erfindet er einen „Grund“. Typische Muster sind:

• Ein angeblicher Anruf von der Bank oder einer Behörde: „Auf Ihrem Konto gibt es verdächtige Aktivitäten; lesen Sie den Code vor, der auf Ihr Telefon gekommen ist, um sich zu verifizieren.“
• Ein Käufer auf einem Gebrauchtmarkt: „Ich habe die Zahlung gesendet; leiten Sie mir den Code weiter, den Sie erhalten haben, zur Bestätigung.“
• Eine Nachricht, die sich als jemand aus Ihrem Bekanntenkreis ausgibt: „Ich habe versehentlich Ihre Nummer eingegeben, könnten Sie mir den Code schicken, den Sie bekommen haben?“
• Ein Paketbote oder Lieferdienst: „Nennen Sie mir den Code für die Zustellung.“
• Ein gefälschter technischer Support: „Teilen Sie den Code mit uns, damit wir Ihr Konto wiederherstellen können.“
• Ein Gewinnspiel oder Preis: „Wir müssen Ihre Identität für Ihr Geschenk bestätigen.“

Alle diese Wege führen zum selben Punkt: Der Code steht stellvertretend für Ihre Zustimmung. Indem Sie ihn vorlesen, bestätigen Sie die Aktion des Betrügers mit Ihrer eigenen Hand.

Warnzeichen: So erkennen Sie den Betrüger

1. Zeitdruck und Druck: „Sagen Sie es mir jetzt, sonst wird Ihr Konto geschlossen oder Ihr Geld ist weg.“
2. Ein Code, den Sie nicht erwartet haben: Kommt ein Code ohne eine Aktion Ihrerseits, versucht womöglich jemand, in Ihr Konto zu gelangen. Geben Sie ihn niemandem weiter.
3. Wer Sie um einen Code bittet: Egal aus welchem Grund – wer nach einem Code fragt, ist nicht echt.
4. Scheinbar Bescheid wissen: Ein Betrüger kennt womöglich Ihren Namen, Ihre Bank oder Ihre letzte Transaktion; das beweist nicht, dass er echt ist.
5. Man lässt Sie nicht auflegen: Wenn Sie in der Leitung gehalten werden oder man Ihnen sagt, Sie sollen „niemanden fragen“, ist das eine ernste Warnung.
6. Vertrauen erzeugen: Ein freundlicher oder sehr professioneller Ton ist kein Beweis für Ehrlichkeit.

Codes in Nachrichten enthalten meist den Hinweis „Teilen Sie diesen Code mit niemandem“. Nehmen Sie ihn ernst.

Was tun, wenn Sie den Code weitergegeben haben?

Handeln Sie schnell, aber ohne in Panik zu geraten:

1. Beenden Sie das Gespräch sofort und hören Sie auf, mit der anderen Person zu sprechen.
2. Ändern Sie von einem sicheren Gerät aus das Passwort des betroffenen Kontos und melden Sie alle Sitzungen ab.
3. Prüfen Sie Ihre Einstellungen zur Zwei-Schritt-Verifizierung und Ihre Wiederherstellungsdaten (E-Mail, Telefon) und entfernen Sie unbekannte Geräte.
4. Wenn Sie einen Bank- oder Zahlungscode weitergegeben haben, rufen Sie sofort Ihre Bank an und lassen Sie Ihre Karte oder Ihr Konto absichern.
5. Haben Sie dasselbe Passwort auch anderswo verwendet, ändern Sie es dort ebenfalls.
6. Melden Sie den Vorfall dem Dienst, Ihrer Bank und den zuständigen Stellen und bewahren Sie Nachrichten- und Anrufprotokolle auf.

Schämen Sie sich nicht: Diese Methoden sind darauf ausgelegt, sehr überzeugend zu wirken, und selbst vorsichtige Nutzer fallen darauf herein. Entscheidend ist, schnell zu melden.

Schutzgewohnheiten

• Verankern Sie die Regel im Kopf: „Code = wird niemandem mitgeteilt.“ Sprechen Sie auch mit Ihrer Familie darüber.
• Vertrauen Sie keinen Anrufen, die Sie nicht selbst angestoßen haben. Auch wenn der Anrufer behauptet, von einer Organisation zu sein, legen Sie auf und rufen Sie selbst die offizielle Nummer an.
• Prüfen Sie, wofür der Code gedacht ist. Die Nachricht nennt meist den Dienst; haben Sie dort nichts angestoßen, geben Sie den Code nicht ein.
• Nutzen Sie ein stärkeres Verfahren als SMS. Authenticator-Apps und Passkeys verringern das Risiko, einen Code vorzulesen. Einen Vergleich finden Sie in unserem Artikel zur Zwei-Schritt-Verifizierung.
• Lassen Sie Kontobenachrichtigungen eingeschaltet. Reagieren Sie sofort, wenn eine Warnung über eine Anmeldung von einem neuen Gerät eintrifft.
• Blenden Sie Nachrichtenvorschauen auf dem Sperrbildschirm aus. Ein Code, der auf einem gesperrten Bildschirm sichtbar ist, ist ein Risiko, wenn jemand in der Nähe steht.

Die andere Seite: die Stellen begrenzen, an denen Ihre Codes erreichbar sind

Ein weiterer Weg, sich vor Code-Betrug zu schützen, ist, die Stellen zu begrenzen, die Ihre Nummer speichern. Wenn Sie Ihre echte Nummer jeder Website geben, steigt die Wahrscheinlichkeit, dass die Seite und ihre Partner Sie per Anruf oder SMS erreichen, und ebenso die Chance, Betrugsnachrichten zu erhalten. Wir haben das in Warum Sie Ihre Telefonnummer nicht überall angeben sollten behandelt.

Für unwichtige oder vorübergehende Anmeldungen können Sie statt Ihrer echten Nummer eine Einmal-Nummer verwenden. Der Code landet nur in Ihrem eigenen Panel, und es gibt niemanden, dem Sie ihn mitteilen müssen. Die Optionen finden Sie auf der Preisseite. Virtuelle Nummern sind nicht dauerhaft und manche Plattformen schränken sie ein; verwenden Sie für wertvolle Konten daher Ihre eigene Nummer und starke Verifizierungsverfahren.

Wenn ein Code nicht ankommt, bleiben Sie ruhig und bitten Sie niemanden um ihn; mögliche Ursachen erklären wir in Warum Ihr SMS-Code nicht ankommt.

Häufige Fehler

Einige Gewohnheiten erleichtern Betrügern die Arbeit:

• Den Code gedankenlos eingeben oder vorlesen, mit dem Gedanken „Ich erledige das schnell“.
• Eine Freigabe bestätigen, ohne zu lesen, wofür der Code gedacht ist.
• Die Nummer aus der Nachricht oder vom Anrufer zurückrufen, um „zu prüfen“.
• Aus Scham spät melden; frühe Meldungen verringern den Schaden oft deutlich.
• Familienmitgliedern gar nichts davon erzählen.

Wenn eine Codeanfrage eingeht, reicht es oft schon, sich eine Minute Zeit zu nehmen und zu fragen: „Habe ich das gestartet?“, um die meisten Angriffe zu stoppen.

Häufig gestellte Fragen

Darf meine Bank mich bitten, am Telefon einen Code vorzulesen?

Nein. Ein echter Bankmitarbeiter fragt Sie nie nach einem OTP, Passwort oder Kartenprüfcode. Kommt eine solche Anfrage, legen Sie auf und rufen Sie selbst die offizielle Nummer der Bank an.

Ein Code ist eingetroffen, obwohl ich nichts getan habe. Was soll ich tun?

Teilen oder geben Sie den Code niemandem weiter. Womöglich versucht jemand, in Ihr Konto zu gelangen. Ändern Sie Ihr Passwort und prüfen Sie Ihre Zwei-Schritt-Verifizierung.

Kann ich einen Code weitergeben, wenn jemand, den ich kenne, darum bittet?

Nein, denn die Person, die Ihnen schreibt, könnte das Konto Ihres Bekannten übernommen haben und Ihren Code für eine andere Aktion nutzen. Erreichen Sie die Person über einen anderen Kanal, etwa einen Anruf, um nachzufragen, und geben Sie den Code trotzdem nicht weiter.

Ich habe versehentlich einen Code vorgelesen, aber am Konto ist nichts passiert. Kann ich mich beruhigen?

Nein, treffen Sie trotzdem Vorsichtsmaßnahmen. Ändern Sie das Passwort, melden Sie die Sitzungen ab und achten Sie auf Warnungen. Weitere Informationen finden Sie auf unserer Seite mit den häufig gestellten Fragen.