„Ich habe dir aus Versehen einen Code geschickt“: So wird dein WhatsApp gestohlen

Du bekommst eine SMS mit einem sechsstelligen Code, den du nicht angefordert hast, und fast gleichzeitig eine Nachricht von einem Freund, von jemandem aus der Elterngruppe der Schule oder von einem „WhatsApp-Techniker“: „Sorry, ich habe dir aus Versehen einen Code geschickt, kannst du ihn mir weiterleiten?“. Das wirkt wie ein harmloser Gefallen, aber dieser Code ist der Schlüssel zu deinem Konto. Schickst du ihn, registriert jemand anderes deine WhatsApp- oder Telegram-Nummer auf seinem eigenen Handy, du verlierst den Zugriff, und der Betrüger schreibt in deinem Namen an all deine Kontakte. Die Regel ist einfach und kennt keine Ausnahme: Einen Bestätigungscode gibt man niemals weiter, an niemanden.

Wie funktioniert die Kontoübernahme?

WhatsApp und Telegram erkennen dein Konto an deiner Telefonnummer. Wenn jemand die App auf einem neuen Handy installiert und eine Nummer eingibt, schickt der Dienst einen Code per SMS (oder per Anruf oder direkt in der App) an das Telefon des Inhabers, um zu prüfen, dass die Nummer ihm gehört. Der Betrüger braucht genau das, was gerade bei dir angekommen ist.

Das Drehbuch folgt meist diesen Schritten:

1. Der Betrüger gibt deine Nummer auf seinem Handy ein und startet die Registrierung. Du bekommst die offizielle SMS mit dem Code.
2. Er schreibt dir, um ihn zu bekommen. Oft vom Konto eines echten Kontakts, das bereits gestohlen wurde – deshalb kommt die Nachricht von jemandem, dem du vertraust. Manchmal gibt er sich als WhatsApp-Support aus, als Veranstalter eines Gewinnspiels oder einer Abstimmung oder als jemand, der sich „in der Nummer geirrt“ hat.
3. Er macht Druck. „Es ist dringend“, „mein Konto wird gesperrt“, „dauert nur eine Sekunde“.
4. Schickst du den Code, wandert das Konto auf sein Handy. Dein WhatsApp wird abgemeldet, und oft aktiviert er seine eigene Verifizierung in zwei Schritten, damit du es nicht so leicht zurückholen kannst.
5. Er benutzt deine Identität. Er schreibt deinen Kontakten und Gruppen und bittet um dringend benötigtes Geld, eine Überweisung oder eine Sofortzahlung (in Spanien oft über Bizum, den dortigen Handy-Bezahldienst) oder wieder um „den Code, den ich dir aus Versehen geschickt habe“. So läuft die Kette weiter.

Woran erkenne ich den Betrug?

• Du bekommst einen Code, den du nicht angefordert hast. Das ist das deutlichste Zeichen: Jemand versucht, in dein Konto zu kommen.
• In der SMS steht ausdrücklich, dass du ihn nicht teilen sollst. Die offiziellen Nachrichten von WhatsApp, Telegram, deiner Bank und fast jedem Dienst weisen darauf hin.
• Man fragt dich per Chat danach, selbst ein Freund. Niemand kann dir „aus Versehen“ einen Code für sein eigenes Konto schicken: Codes gehen immer an die Nummer, die gerade registriert wird.
• Der „technische Support“ schreibt dir. WhatsApp und Telegram fragen dich nicht per Chat, SMS oder Anruf nach einem Code.
• Es herrscht Eile oder es gibt eine seltsame Ausrede: ein Gewinnspiel, eine Abstimmung, ein Konto, das „gleich gesperrt wird“.

Was tue ich sofort, wenn jemand danach fragt?

1. Leite den Code nicht weiter und lies ihn auch nicht am Telefon vor. Nicht einmal einen Teil davon.
2. Prüfe über einen anderen Kanal. Kommt die Nachricht von einem Kontakt, ruf ihn unter seiner gewohnten Nummer an oder frag ihn persönlich. Sehr wahrscheinlich wurde sein Konto bereits gestohlen; sag ihm Bescheid.
3. Aktiviere jetzt die Verifizierung in zwei Schritten (wie das geht, steht weiter unten). Damit braucht jemand selbst mit einem Code zusätzlich eine PIN, die nur du kennst.
4. Blockiere und melde den Chat direkt in der App. Kam die Nachricht von einer unbekannten Nummer, kannst du sie auch im Spam-Nummern-Verzeichnis melden.
5. Warne die anderen: Wird das Konto eines Freundes missbraucht, sag es in eurer gemeinsamen Gruppe, damit niemand sonst darauf hereinfällt.

Wie aktiviere ich die Verifizierung in zwei Schritten?

Sie ist der wirksamste Schutz gegen diesen Betrug und in einer Minute eingerichtet:

• WhatsApp: Einstellungen Account Verifizierung in zwei Schritten Aktivieren. Wähle eine sechsstellige PIN, die du sonst nirgends verwendest, und hinterlege eine E-Mail-Adresse, damit du sie zurücksetzen kannst, falls du sie vergisst.
• Telegram: Einstellungen Privatsphäre und Sicherheit Zweistufige Bestätigung. Lege ein Passwort fest und füge eine Wiederherstellungs-E-Mail hinzu.

Gib auch diese PIN oder dieses Passwort niemals weiter. Die Menüs können je nach App-Version leicht abweichen, aber die Option heißt immer so. Prüfe bei der Gelegenheit die verknüpften Geräte (WhatsApp: Einstellungen Verknüpfte Geräte; Telegram: Einstellungen Geräte) und beende jede Sitzung, die du nicht kennst.

Und wenn ich den Code schon geschickt habe?

Handle schnell. Je früher, desto leichter holst du das Konto zurück:

1. Registriere deine Nummer erneut auf deinem Handy. Öffne WhatsApp, gib deine Nummer ein und bestätige sie mit dem neuen Code, den du per SMS bekommst. Dadurch wird die Sitzung des Betrügers beendet.
2. Wird eine PIN verlangt, die du nicht kennst, hat der Betrüger seine eigene Verifizierung in zwei Schritten aktiviert. Er kann dich nicht dauerhaft aussperren: Nach einer Wartezeit von mehreren Tagen lässt WhatsApp eine erneute Registrierung ohne diese PIN zu. Schreib in der Zwischenzeit über die App an den Support (Einstellungen Hilfe) und erkläre, dass dein Konto gestohlen wurde.
3. Bei Telegram meldest du dich mit deiner Nummer an, gehst zu Einstellungen Geräte und tippst auf „Alle anderen Sitzungen beenden“. Danach richtest du dein Passwort für die zweistufige Bestätigung ein.
4. Warne deine Kontakte auf anderem Weg (SMS, Anruf, soziale Netzwerke oder über Angehörige): „Mein WhatsApp wurde gestohlen, ignoriert jede Nachricht von mir, in der es um Geld oder Codes geht“.
5. Stammte der Code von deiner Bank oder einer Bezahl-App, ruf sofort die offizielle Nummer deiner Bank an (die auf der Rückseite deiner Karte oder auf ihrer Website steht), um Transaktionen zu sperren.
6. Sichere Beweise: Screenshots der Nachrichten, die Nummer, die dich kontaktiert hat, und die Uhrzeit.

Wo zeige ich das an und wer hilft mir?

• Polizei: in Spanien die Policía Nacional (091) oder die Guardia Civil (062); anderswo die Polizei deines Landes, in Deutschland und Österreich auch über die Online-Wache. Erstatte Anzeige mit den Screenshots, vor allem wenn deine Identität missbraucht wurde oder jemand Geld verloren hat. Dass du den Code geschickt hast, macht dich nicht schuldig: Du bist Opfer einer Täuschung.
• Hilfe zur Cybersicherheit: In Spanien ist die Nummer 017 des INCIBE eine kostenlose, vertrauliche Beratungsstelle, die dich Schritt für Schritt durch die Wiederherstellung des Kontos und die Absicherung deiner Geräte führt; das Büro für Internetsicherheit (OSI) des INCIBE bietet zudem Anleitungen zur sicheren Einrichtung von WhatsApp und Telegram. Anderswo wende dich an die nationale Behörde für Cybersicherheit.
• 112: nur bei einem Notfall oder einer unmittelbaren Bedrohung.

Wurden Kontakte in deinem Namen um Geld gebeten, lies auch, wie die WhatsApp-Masche „Kind in Not“ funktioniert: Sie ist die übliche Fortsetzung dieses Diebstahls.

Häufige Fragen

Ich habe einen Code bekommen, den ich nicht angefordert habe, aber niemandem gegeben. Bin ich in Gefahr? Nein. Ohne den Code kommen sie nicht hinein. Es bedeutet nur, dass jemand deine Nummer ausprobiert hat; ignoriere die SMS, antworte niemandem, der danach fragt, und aktiviere die Verifizierung in zwei Schritten.

Ein echter Freund hat mich danach gefragt – wie kann das Betrug sein? Weil wahrscheinlich nicht dein Freund schreibt, sondern derjenige, der sein Konto gestohlen hat. Ruf ihn an, bevor du irgendetwas tust.

Können sie meine alten Chats lesen? In der Regel werden deine alten Chats bei der Registrierung auf einem neuen Handy nicht heruntergeladen, wenn die Täter keinen Zugriff auf dein Backup haben. Sie können aber in deinem Namen schreiben und neue Nachrichten sehen, die eingehen, solange sie das Konto kontrollieren.

Bringt es etwas, die Nummer zu wechseln? Das ist nicht nötig. Es reicht, das Konto zurückzuholen und die Verifizierung in zwei Schritten zu aktivieren.

Kurz gesagt

Ein Code, der per SMS kommt, gehört dir und niemandem sonst: nicht Freunden, nicht dem „technischen Support“, nicht Gewinnspielen. Fragt jemand danach, schick ihn nicht, prüfe über einen anderen Kanal und aktiviere die Verifizierung in zwei Schritten. Hast du ihn schon geschickt, registriere deine Nummer neu, warne deine Kontakte und erstatte Anzeige. Und kam der Versuch von einer unbekannten Nummer, melde sie im Spam-Nummern-Verzeichnis von NoCall, damit andere sie rechtzeitig erkennen.