Unerwartete Anmeldebestätigung auf dem Handy: Was tun?

Das Problem

Ihr Handy vibriert, mitten am Nachmittag. Auf dem Bildschirm steht: «Haben Sie sich gerade angemeldet? Genehmigen oder Ablehnen.» Oder es erscheint ein Zahlencode, den Sie eingeben sollen. Sie haben nichts gemacht, sitzen aber vielleicht gerade am Computer und fragen sich, ob das normal ist.

Solche Meldungen gehören zum zweiten Faktor vieler Dienste: Wer sich mit Ihrem Passwort anmelden will, muss zusätzlich Ihr Handy bestätigen. Eine Anfrage, die Sie nicht ausgelöst haben, bedeutet in aller Regel: Jemand anderes kennt Ihr Passwort und versucht gerade, sich bei Ihrem Konto anzumelden.

Das ist beunruhigend, aber auch ein Zeichen, dass Ihr Schutz wirkt. Solange Sie nicht bestätigen, kommt der Angreifer nicht hinein. Gefährlich wird es, wenn Sie in einem schwachen Moment doch auf «Genehmigen» tippen: aus Gewohnheit, aus Ärger über die ständigen Meldungen oder weil ein Anrufer Sie dazu drängt.

So lösen Sie es mit KI – Schritt für Schritt

1. Nicht bestätigen, ablehnen: Tippen Sie auf «Ablehnen», «Das war ich nicht» oder ignorieren Sie die Meldung. Geben Sie keinen Code ein, den Sie nicht selbst angefordert haben.
2. Überlegen, ob Sie es ausgelöst haben: Haben Sie sich eben angemeldet, ein neues Gerät eingerichtet oder ein Programm geöffnet, das sich automatisch anmeldet? Wenn ja, war es vielleicht echt. Wenn Sie unsicher sind, lehnen Sie ab und melden sich neu an.
3. Ruhe bei Anrufen: Ruft Sie jemand an, während die Anfrage erscheint, und bittet Sie zu bestätigen («Support», «Bank», «Sicherheitsabteilung»), legen Sie auf. Echte Dienste verlangen das nie.
4. Passwort ändern: Gehen Sie selbst auf die Webseite oder in die App des Dienstes, nicht über einen Link aus einer Nachricht, und ändern Sie das Passwort. Wählen Sie ein neues, nur dort genutztes Passwort. Siehe überall dasselbe Passwort.
5. Anmeldeaktivität prüfen: In den Sicherheitseinstellungen sehen die meisten Dienste «Letzte Anmeldungen» oder «Geräte». Beenden Sie unbekannte Sitzungen.
6. Zweiten Faktor verstärken: Wenn möglich, wechseln Sie auf eine Authenticator-App mit Zahlenvergleich oder auf Passkeys, siehe SMS oder Authenticator.
7. Weitere Konten prüfen: Haben Sie dasselbe Passwort anderswo verwendet, ändern Sie es auch dort, mit E-Mail zuerst. Bei Anzeichen, dass Ihr Konto schon übernommen wurde, folgen Sie E-Mail-Konto gehackt.
8. Bei Firmenkonten melden: Informieren Sie die IT-Verantwortlichen sofort, auch wenn nichts passiert ist. Ein Angriffsversuch ist für sie eine wichtige Information.

Vorlage zum Kopieren

Mit diesem Auftrag bereiten Sie eine kurze Meldung an Ihre IT oder eine Kontrollliste vor. Geben Sie keine Passwörter oder Codes ein:

Ich habe auf meinem Handy eine unerwartete Anmeldeanfrage für [Dienst, z. B. mein Microsoft-365-Konto] bekommen, am [Datum, Uhrzeit]. Ich habe [abgelehnt/nichts getan/leider bestätigt]. Es hat mich [niemand/jemand] angerufen.
Erstelle (1) eine kurze, sachliche Meldung an meine IT-Verantwortliche mit diesen Angaben, (2) eine Checkliste, was ich bei diesem Konto jetzt prüfen und ändern sollte, und (3) was ich tun muss, falls ich versehentlich bestätigt habe.
Verlange keine Passwörter, Codes oder Kontodaten von mir.

Ergänzen Sie weitere Beobachtungen, zum Beispiel mehrere Meldungen hintereinander. Senden Sie die Meldung selbst.

Worauf Sie achten müssen

• Ermüdungsangriff: Angreifer schicken wiederholt Anfragen, bis jemand genervt zustimmt. Dieses Vorgehen nennt man «MFA-Fatigue». Bestätigen Sie auch nach der zehnten Meldung nichts.
• Zahlenvergleich: Manche Apps zeigen am Computer eine Zahl, die Sie am Handy eingeben müssen. Das macht versehentliche Zustimmungen schwerer.
• Nicht nur Passwörter ändern: Ändern Sie auch Wiederherstellungsangaben, wenn Sie vermuten, dass das Konto schon offen war.
• Echte Warnmails: Dienste schicken manchmal Hinweise auf neue Anmeldungen. Rufen Sie das Konto dann direkt im Browser auf und klicken Sie nicht in der Mail.
• Vorfall melden: Bei Schaden oder Verdacht auf Betrug informieren Sie die Betreiber und gegebenenfalls die Polizei. Siehe Betrug melden in der Schweiz.
• Keine Codes an KI-Chats: Geben Sie niemals Anmeldecodes an eine KI weiter.

Ein Beispiel aus der Praxis

Ein Beispiel: Frau Steiner, 60, arbeitet im Empfang einer Zahnarztpraxis in Aarau. Ihr Handy meldet um 14 Uhr eine Anmeldung bei ihrem Cloud-Konto, kurz darauf noch eine.

Vorher: Ein Anrufer meldet sich als «Microsoft-Support» und bittet sie, die Anfrage zu bestätigen, damit der Angriff gestoppt werde. Sie ist nahe dran zuzustimmen.

Nachher: Sie erinnert sich an den Merksatz, lehnt ab und legt auf. Danach ändert sie das Passwort direkt auf der Webseite, beendet fremde Sitzungen und informiert den externen IT-Betreuer der Praxis. Es stellt sich heraus, dass ihr Passwort bei einem alten Dienst gestohlen worden war.

So hilft Ihnen Alpasana

Wer Betrugsversuche und Täuschungen im Alltag besser erkennen möchte, findet bei absofort Kurse zu KI und IT für konkrete Arbeitsaufgaben. Laut Beschreibung gehören dazu Phishing und Deepfakes, betriebliche KI-Richtlinien, Praxisaufgaben und ein KI-Lerncoach. Eine Analyse Ihres Kontos nimmt das Angebot nicht vor.

Häufige Fragen

Kann jemand mein Konto übernehmen, wenn ich nicht bestätige?

Das ist deutlich schwieriger. Er kennt Ihr Passwort, kommt aber ohne den zweiten Faktor nicht weiter, solange Sie nicht zustimmen und kein anderer Weg offen ist.

Soll ich das Passwort wirklich ändern, wenn nichts passiert ist?

Ja. Die Meldung zeigt, dass Ihr Passwort bekannt sein könnte. Ein neues Passwort beendet die Gefahr.

Was, wenn ich aus Versehen bestätigt habe?

Ändern Sie sofort das Passwort, beenden Sie alle Sitzungen, prüfen Sie Aktivitäten und Wiederherstellungsangaben und informieren Sie bei Firmenkonten die IT. Siehe auch Phishing: Passwort eingegeben.

Kann ich solche Meldungen verhindern?

Nicht ganz, aber ein einzigartiges Passwort pro Dienst und Passkeys senken das Risiko. Wenn Ihr Passwort nirgends gestohlen werden kann, bleiben Anfragen aus.