Der abgefragte Zwei-Faktor-Code
Ein Bestätigungscode ist ein Schlüssel, kein Nachweis. Wer dich bittet, den Code vorzulesen, der dir gerade per SMS kam, will sich damit anmelden — bei deinem Portalkonto, deinem Messenger oder deiner Bank. Codes gehören ausschließlich in das Feld, das du selbst geöffnet hast.
Wie die Bitte begründet wird
Es gibt drei Standardbegründungen, und alle drei drehen die Bedeutung des Codes um. Erstens die Echtheitsprüfung: „Ich schicke dir einen Code, damit ich weiß, dass du kein Bot bist — lies ihn mir vor.“ Zweitens die Zahlungsfreigabe: „Der Betrag ist reserviert, mit dem Code wird er ausgezahlt.“ Drittens der Support: „Zur Verifizierung Ihres Kontos nennen Sie bitte die sechsstellige Nummer, die wir Ihnen soeben gesendet haben.“ In allen Fällen wird der Code als Beweis oder als Freischaltung dargestellt. Er ist weder das eine noch das andere. Ein Code entsteht, weil jemand gerade versucht, sich anzumelden oder eine Zahlung auszulösen. Kommt ein Code, den du nicht angefordert hast, sitzt jemand an genau diesem Vorgang — in dem Moment, in dem du die Nachricht liest.
Warum der Code niemals zu jemand anderem gehört
Die SMS selbst sagt es meist im Text: Weitergabe an Dritte ist ausgeschlossen, kein Mitarbeiter fragt danach. Das ist keine Floskel, sondern die Funktionsbeschreibung. Der Code ist der zweite Faktor neben dem Passwort, also der Teil, den nur du hast. Gibst du ihn weiter, ist die Zwei-Faktor-Anmeldung nicht überwunden, sondern von dir ausgeschaltet worden. Genauso verhält es sich mit Push-Freigaben in der Banking-App: Was du dort bestätigst, ist eine Zahlung mit Empfänger und Betrag, keine Bestätigung deiner Identität. Lies immer, was in der Meldung steht, statt zu tippen, weil jemand im Chat wartet. Ein Käufer, der eine Auszahlung will, braucht keinen Code von dir; er braucht deine IBAN, und die steht in deiner Nachricht.
Verkaufen funktioniert vollständig ohne Codes und ohne Telefonnummer — beim Erstellen einer Anzeige reicht eine Mailadresse. Anzeige aufgeben
Die Haftungsfrage
Bei Zahlungen wird das teuer. § 675v Absatz 3 BGB sieht vor, dass der Zahler den vollen Schaden trägt, wenn er ihn in betrügerischer Absicht herbeigeführt oder seine Pflichten vorsätzlich oder grob fahrlässig verletzt hat — dazu zählt die Weitergabe personalisierter Sicherheitsmerkmale wie TAN oder Freigabecode an Dritte. Die Haftungsgrenze von 50 Euro, die sonst greift, entfällt dann. Deine Bank wird genau prüfen, ob der Code auf deine Veranlassung genannt wurde. Was hilft: eine sofortige Meldung, die Sperrung des Zugangs, die genaue Schilderung des Ablaufs und Screenshots, aus denen die Täuschung hervorgeht. Was nicht hilft: abwarten. Halte den Ablauf außerdem schriftlich fest, solange du ihn noch genau erinnerst. Das ist eine Beschreibung der üblichen Rechtslage und keine Rechtsberatung.
Sofortmaßnahmen nach der Weitergabe
Innerhalb der ersten Minuten entscheidet sich viel. Bei einem Bankcode: Zugang sperren lassen, über deine Bank oder den Sperr-Notruf, danach Konto prüfen und jede fremde Buchung schriftlich beanstanden. Bei einem Portalkonto: Passwort ändern, aktive Sitzungen beenden, hinterlegte Mailadresse und Telefonnummer kontrollieren. Bei einem Messenger: Konto erneut mit dem eigenen Code registrieren, dadurch fliegt der Angreifer heraus, und anschließend die Zwei-Schritt-Verifizierung mit selbst gewählter PIN einschalten. Danach informierst du Kontakte, damit sie nicht in deinem Namen angeschrieben werden, und sicherst den Chatverlauf. Zum Schluss Anzeige erstatten und, falls Geld betroffen ist, das Aktenzeichen an die Bank nachreichen. Ändere anschließend das Passwort deines Mailkontos, weil sich über die Mailadresse fast jeder andere Zugang zurücksetzen lässt. Der ganze Ablauf dauert keine Viertelstunde.
Häufige Fragen
Ich habe den Code weitergegeben — zahlt meine Bank?
Das hängt davon ab, wie der Ablauf bewertet wird. Bei grober Fahrlässigkeit kann die Haftungsgrenze entfallen und der Schaden bei dir bleiben. Melde trotzdem sofort und schriftlich, schildere die Täuschung genau und lege Screenshots bei. Eine Ablehnung lässt du dir begründen und kannst sie über die Schlichtungsstelle prüfen lassen.
Warum braucht ein Käufer einen Code von mir?
Er braucht keinen. Für eine Zahlung an dich reicht deine IBAN oder deine Mailadresse beim Zahlungsdienst. Ein Code entsteht nur bei einer Anmeldung oder einer Zahlungsfreigabe auf deiner Seite. Wird trotzdem danach gefragt, läuft in diesem Moment ein Vorgang, den du nicht gestartet hast.
Was ist die Zwei-Schritt-Verifizierung im Messenger?
Eine zusätzliche, selbst gewählte PIN, die beim Registrieren der Nummer auf einem neuen Gerät abgefragt wird. Sie verhindert eine Übernahme, bei der jemand nur an den SMS-Code kommt. Einschalten dauert eine Minute und ist die wirksamste Einzelmaßnahme gegen Kontoübernahmen per Messenger.
Kann ich einen Code nachträglich ungültig machen?
Direkt nicht, Codes laufen aber meist nach wenigen Minuten ab. Wirksam ist stattdessen, den dahinterliegenden Vorgang zu blockieren: Passwort ändern, Sitzungen beenden, Karte oder Zugang sperren. Wer sich schnell erneut anmeldet, wirft einen Angreifer aus dem Konto, bevor er die Einstellungen ändern kann.