Die kurze Antwort
Ein Bestätigungscode ist ein Schlüssel, keine Passworterinnerung. Er existiert, damit die Person, die sich anmeldet, beweisen kann, dass sie die Kontoinhaberin oder der Kontoinhaber ist. Wenn jemand, den Sie nicht kontaktiert haben, Sie bittet, diesen Code weiterzugeben, zielt die Anfrage darauf ab, in Ihr Konto zu gelangen – so freundlich oder offiziell der Anrufer auch klingen mag.
Bestätigungscodes für Konten sind für den Authentifizierungsprozess der Kontoinhaberin oder des Kontoinhabers gedacht. Quelle
Diese eine Tatsache entscheidet den Großteil der Frage. Sie müssen einem Anrufer niemals einen Login-Code aushändigen, denn der Code ist nicht für den Anrufer. Er ist für den Anmeldebildschirm vor Ihnen.
Drei Situationen, die ähnlich aussehen, aber nicht gleich sind
Die Verwirrung entsteht meist durch die Vermischung von drei verschiedenen Momenten: eine Anmeldung, die Sie selbst gestartet haben, ein Code, den jemand anderes will, und eine Prüfung, wer wirklich anruft. Sie erfordern unterschiedliche Vorgehensweisen.
| Situation | Was passiert | Was zu tun ist |
|---|---|---|
| Sie haben eine Anmeldung oder App geöffnet und ein Code kommt an, um sie abzuschließen | Sie sind die Person, die sich anmeldet, und der Code schließt Ihre eigene Aktion ab | Geben Sie den Code in dem Bildschirm ein, den Sie geöffnet haben. Leiten Sie ihn nicht an andere weiter |
| Ein unaufgeforderter Anrufer bittet Sie, einen Code vorzulesen oder zu senden | Jemand anderes versucht, sich als Sie anzumelden | Geben Sie ihn nicht weiter. Beenden Sie den Kontakt |
| Sie möchten bestätigen, dass der Anrufer echt ist | Sie brauchen einen Kanal, dem Sie bereits vertrauen, nicht die Nummer des Anrufers | Legen Sie auf und kontaktieren Sie die Organisation über einen bekannten Kanal |
Die mittlere Zeile ist die wichtigste. Der Code ist nur für jemanden nützlich, der sich anmelden will, daher ist eine Anfrage danach eine Anfrage auf Zugriff.
Betrüger können sich als vertrauenswürdige Organisation ausgeben und den Code verlangen, um Zugriff auf das Konto zu erlangen. Quelle
Warum die Nummer des Anrufers selbst nichts klärt
Ein Anrufer kann behaupten, von einer Bank, vom Support einer Plattform oder von einer beliebigen Organisation zu sein, mit der Sie zu tun haben. Die Rufnummernanzeige, eine Referenznummer oder eine ruhige Art beweisen nicht, wer am Telefon ist. Der sichere Schritt ist, den Kanal des Anrufers zu verlassen und zu einem zu wechseln, den Sie selbst gewählt haben.
Die FTC empfiehlt, den unaufgeforderten Kontakt zu beenden und die Organisation selbstständig über eine vertrauenswürdige Abrechnung oder einen App-Kontakt anzurufen – nicht über die Nummer, die der Anrufer genannt hat. Quelle
Diesen Teil lassen die Leute oft aus. Auflegen reicht nicht, wenn Sie anschließend die Nummer zurückrufen, die der Anrufer Ihnen gegeben hat, denn damit landen Sie wieder bei derselben Person. Nutzen Sie einen Kontaktweg, den Sie schon hatten: eine Abrechnung, eine App, einen gespeicherten Kontakt oder eine offizielle Seite, die Sie selbst aufrufen.
Eine Checkliste für den Moment
- Unterbrechen Sie das Gespräch. Bestätigen, verneinen oder lesen Sie nichts vor, solange der Anrufer noch spricht.
- Fragen Sie sich, wer die Anmeldung gestartet hat. Wenn Sie keine Anmeldung geöffnet haben, sollte kein Code an irgendjemanden gehen.
- Beenden Sie den unaufgeforderten Kontakt. Sie schulden einem Fremden keine Erklärung.
- Nutzen Sie nicht die Nummer des Anrufers. Suchen Sie die Organisation über einen Kanal, dem Sie bereits vertrauen.
- Kontaktieren Sie die Organisation selbst und fragen Sie, ob es ein echtes Problem mit Ihrem Konto gibt.
- Wenn ein Code ankommt, den Sie nicht angefordert haben, behandeln Sie ihn als Hinweis, dass jemand versucht hat, sich anzumelden, und sprechen Sie das über den vertrauenswürdigen Kanal an.
Schritt 6 sollte man von den übrigen trennen. Ein Code, den Sie nicht angefordert haben, ist kein Beweis für einen Einbruch, aber ein Grund, über einen Weg nachzusehen, den Sie kontrollieren – nicht über den Anrufer.
Fehlwege, die Sie vermeiden sollten
- „Ich bestätige nur die ersten Ziffern.“ Ein Teilcode ist immer noch Teil des Schlüssels. Geben Sie nichts davon weiter.
- „Ich habe die Nummer angerufen, die sie mir gegeben haben, und sie haben bestätigt, dass es echt ist.“ Diese Nummer führt zum selben Anrufer zurück. Sie beweist nichts.
- „Der Anrufer kannte schon meinen Namen, also muss es echt sein.“ Details über Sie zu kennen ist kein Identitätsnachweis und kein Grund, einen Code weiterzugeben.
- „Ich gebe ihn jetzt weiter und ändere später mein Passwort.“ Sobald jemand anderes eine Anmeldung abschließt, hat sich die Lage bereits geändert. Hören Sie vor der Weitergabe auf, nicht danach.
Keiner dieser Wege erfordert, dass Sie wissen, wie die Menüs einer bestimmten Plattform funktionieren. Die Entscheidung fällt, bevor ein Menü relevant wird: Der Code ist für die Kontoinhaberin oder den Kontoinhaber, und ein unaufgeforderter Anrufer ist nicht die Kontoinhaberin oder der Kontoinhaber.
Was dieser Leitfaden nicht abdeckt
Manche Organisationen verwenden eigene Bestätigungsverfahren, wenn Sie sie zuerst kontaktieren. Diese sind nicht dasselbe wie ein Login-Code, der für eine Anmeldung eintrifft, die Sie nicht gestartet haben, und dieser Leitfaden behandelt nicht jeden Support-Bestätigungsschritt als Login-Code. Die Regel hier ist bewusst eng gefasst: Ein Code zur Anmeldung bleibt bei der Person, die sich anmeldet.
Diese Seite behandelt auch nicht die Bereinigung eines Kontos nach einem Schrecken, das Ändern von Einstellungen oder die Prüfung, ob ein Profil echt ist. Das sind separate Aufgaben.
Ein sinnvoller nächster Schritt
Der Anruf kommt oft mit einer Geschichte: eine Nachricht, ein Social-Media-Profil oder ein Support-Konto, das offiziell sein soll. Wenn Sie diese Behauptung prüfen wollen statt das Telefonat, ist die nächste Aufgabe zu klären, ob ein Support-Konto echt ist. Unser Leitfaden zum Prüfen gefälschter Social-Media-Konten von Kundensupport behandelt diese separate Frage.
Eine Benutzernamenssuche kann ein Ausgangspunkt sein, wenn Sie ein Profil betrachten, das Sie kontaktiert hat, aber ein öffentlicher Treffer ist ein Hinweis, kein Beweis dafür, wer dahintersteckt. Behandeln Sie ihn als etwas, das überprüft werden muss, nicht als Bestätigung.