Unbekannte 2FA-Anfrage auf dem Handy: So reagierst du richtig

Du schaust aufs Handy und siehst eine Login-Anfrage für dein E-Mail-Konto, deinen Cloud-Speicher oder ein Arbeitskonto. Du hast dich aber gar nicht angemeldet. Kurz darauf kommt die nächste Anfrage, dann noch eine. Jetzt ist wichtig: Nicht aus Versehen auf „Zustimmen“ tippen, nur damit die Meldungen aufhören.

Hinter solchen Anfragen kann Push-Bombing stecken. Dabei versucht jemand, sich mit deinem Benutzernamen und Passwort anzumelden und löst wiederholt die zweite Sicherheitsabfrage aus. Die Hoffnung der Angreifer: Irgendwann bestätigst du genervt, gestresst oder im falschen Moment eine Anfrage.

Das ist kein Grund zur Panik. Es ist aber ein klares Signal, dein Konto sofort zu prüfen.

Sofort richtig reagieren

Eine 2FA-Anfrage darfst du nur bestätigen, wenn du den Login selbst unmittelbar gestartet hast. Nicht vor fünf Minuten, nicht auf einem anderen Gerät und nicht, weil jemand am Telefon dich dazu auffordert.

Wenn die Anfrage unbekannt ist, geh in dieser Reihenfolge vor:

Tippe nicht auf „Zustimmen“ und gib keinen angezeigten Zahlencode ein.
Wähle „Ablehnen“, falls die App diese Möglichkeit bietet.
Öffne keine Links aus der Benachrichtigung und rufe keine dort angegebene Telefonnummer an.
Öffne die offizielle App oder gib die bekannte Adresse des Dienstes selbst im Browser ein.
Ändere dein Passwort, wenn du es nicht gerade erst geändert hast oder wenn du es möglicherweise auch an anderer Stelle verwendet hast.
Melde unbekannte Geräte und aktive Sitzungen aus dem Konto ab.
Prüfe hinterlegte E-Mail-Adressen, Telefonnummern und Wiederherstellungsoptionen.
Informiere bei einem Arbeitskonto sofort die zuständige IT oder den Sicherheitskontakt.

Wichtig: Schalte die Zwei-Faktor-Authentifizierung nicht einfach ab. Sie hat dich gerade gewarnt, dass jemand möglicherweise dein Passwort kennt. Sichere das Konto lieber und stelle danach auf eine robustere Anmeldemethode um.

Was Push-Bombing über dein Konto verrät

Eine unbekannte Freigabeanfrage bedeutet nicht automatisch, dass jemand bereits Zugriff hat. Für die Anfrage braucht die andere Person meist zumindest deinen Benutzernamen und das zugehörige Passwort. Das Passwort kann durch ein Datenleck, eine Phishing-Seite, Schadsoftware oder ein wiederverwendetes Passwort in fremde Hände gelangt sein.

Deshalb solltest du die Meldung ernst nehmen, auch wenn du jede Anfrage abgelehnt hast. Besonders kritisch wird es, wenn du dieselbe Kombination aus E-Mail-Adresse und Passwort bei mehreren Diensten genutzt hast. Dann kann ein Angreifer sie automatisiert bei vielen bekannten Diensten ausprobieren.

Wie du nach einem bekannt gewordenen Passwortdiebstahl vorgehst, liest du auch im Beitrag Dein Konto in einem Datenleck? Diese Schritte helfen sofort. Für die Zukunft gilt: Jedes wichtige Konto braucht ein eigenes, langes Passwort. Ein Passwort-Manager nimmt dir das Merken ab. Praktische Hilfe findest du unter Sichere Passwörter erstellen, ohne sie dir merken zu müssen.

Wenn du versehentlich zugestimmt hast

Vielleicht hast du eine Anfrage doch bestätigt, etwa weil sie während eines Meetings auftauchte oder weil du dachtest, sie gehöre zu einer Anmeldung auf dem Laptop. Dann handle zügig, aber ohne hektisch auf weitere Nachrichten zu reagieren.

Was passiert ist	Was du jetzt tun solltest
Du hast eine unbekannte Anfrage bestätigt	Passwort sofort über die offizielle Website oder App ändern, alle Sitzungen abmelden und hinterlegte Sicherheitsdaten prüfen
Du hast einen Zahlencode in einer App eingegeben	Wie bei einer bestätigten Anfrage vorgehen, denn der Code kann die Anmeldung freigegeben haben
Du hast nur Benachrichtigungen gesehen	Anfragen ablehnen, Passwort ändern und die Kontoaktivität kontrollieren
Du hast auf einen Link aus einer Nachricht getippt	Kein Passwort mehr eingeben, die Seite schließen und Passwort direkt beim echten Dienst ändern
Es geht um ein Arbeitskonto	IT oder Sicherheitskontakt informieren und keine eigenmächtigen Freigaben bestätigen

Prüfe im Sicherheitsbereich des Kontos insbesondere diese Punkte:

Welche Geräte sind angemeldet?
Welche Browser oder Apps haben Zugriff?
Wurden kürzlich E-Mail-Adresse, Telefonnummer oder Wiederherstellungsdaten geändert?
Gibt es neue Weiterleitungsregeln im E-Mail-Postfach?
Sind unbekannte Apps mit deinem Konto verbunden?

Bei einem E-Mail-Konto ist diese Kontrolle besonders wichtig. Wer Zugriff auf dein Postfach bekommt, kann oft Passwörter anderer Dienste zurücksetzen.

Zahlencodes statt einfachem Antippen

Viele Anbieter können Push-Anfragen mit Zahlencodes absichern. Dabei siehst du beim Anmeldeversuch eine Zahl auf dem Gerät, auf dem du dich anmelden möchtest. In der Authenticator-App musst du genau diese Zahl auswählen oder eingeben.

Das schützt vor einem typischen Fehler bei Push-Bombing: dem schnellen, gedankenlosen Antippen von „Zustimmen“. Wenn du keinen Login begonnen hast, kennst du auch keinen passenden Zahlencode. Dann brichst du die Anfrage ab.

Aktiviere Zahlencodes, wenn dein Anbieter diese Einstellung anbietet. Oft findest du sie im Bereich Sicherheit, Anmeldemethoden oder Zwei-Faktor-Authentifizierung. Achte außerdem darauf, dass die App möglichst Informationen zur Anfrage zeigt, etwa den verwendeten Browser oder das Gerät. Standortangaben können ungenau sein, sind aber manchmal ein zusätzlicher Hinweis.

Ein Zahlencode ist besser als eine reine Bestätigungsanfrage. Er ersetzt aber keine Aufmerksamkeit: Wenn du gerade auf einer gefälschten Website bist, kann ein Angreifer dich auch dort dazu verleiten, einen angezeigten Code zu bestätigen. Prüfe deshalb immer die Adresse der Website, bevor du dich anmeldest. Typische Warnzeichen erklärt unser Beitrag Phishing erkennen: die häufigsten Maschen und wie du sie durchschaust.

Passkeys vermeiden viele Push-Anfragen

Noch besser sind Passkeys, wenn ein Dienst sie unterstützt. Statt ein Passwort einzutippen und anschließend eine Push-Anfrage zu bestätigen, meldest du dich mit der Gerätesperre an: etwa per Fingerabdruck, Gesichtserkennung oder Geräte-PIN.

Dabei bestätigst du keinen Login, den jemand anders angestoßen hat. Der Passkey funktioniert nur bei der echten Website oder App des jeweiligen Dienstes. Das macht gefälschte Login-Seiten deutlich weniger erfolgreich als bei klassischen Passwörtern und Einmalcodes.

Passkeys sind trotzdem keine magische Lösung für alles. Dein Handy braucht eine sichere Bildschirmsperre, und du solltest wissen, wie du bei Verlust wieder Zugriff auf deine Konten bekommst. Lege Wiederherstellungscodes getrennt vom Handy ab. Warum das wichtig ist und wie du sie sicher aufbewahrst, zeigt Wiederherstellungscodes sicher aufbewahren: So kommst du nach Handyverlust wieder ins Konto.

Wenn du ein neues Smartphone einrichtest, prüfe vorher, wie der jeweilige Dienst Passkeys überträgt. Hilfreiche Schritte findest du in Passkeys auf ein neues Handy übertragen: Sicher wechseln ohne Kontosperre.

So stellst du dein Konto dauerhaft robuster auf

Nimm eine unbekannte Anfrage zum Anlass für einen kurzen Sicherheitscheck. Das dauert meist nur wenige Minuten und verhindert viele spätere Probleme.

Verwende für jedes Konto ein eigenes Passwort, am besten aus einem Passwort-Manager.
Aktiviere Zwei-Faktor-Authentifizierung überall dort, wo sie verfügbar ist.
Bevorzuge Passkeys oder mindestens Push-Freigaben mit Zahlencodes.
Nutze SMS nur dann, wenn keine bessere Methode verfügbar ist. SMS können etwa bei einem Angriff auf deine Mobilfunknummer riskanter sein.
Sichere Wiederherstellungscodes offline, zum Beispiel ausgedruckt an einem geschützten Ort.
Halte Handy, Browser und Authenticator-App aktuell.
Kontrolliere regelmäßig angemeldete Geräte und verknüpfte Apps.
Trenne bei kleinen Unternehmen normale Benutzerkonten und Konten mit Verwaltungsrechten.

Für Teams lohnt sich außerdem eine klare Regel: Niemand fordert per Chat, E-Mail oder Telefon eine spontane 2FA-Freigabe an. Wer das Thema strukturiert vertiefen möchte, findet passende Seminare bei cmt.de.

Eine unbekannte 2FA-Anfrage ist letztlich ein einfacher Prüfstein: Hast du diesen Login selbst gestartet? Wenn die Antwort nicht eindeutig „ja“ lautet, lehnst du ab, öffnest den Dienst direkt und prüfst dein Konto. Genau dafür ist die zweite Sicherheitsstufe da.