Die ersten Schritte, bevor du etwas änderst
Bleib ruhig, aber handle zügig. Die Verbraucherzentrale empfiehlt, zunächst das Passwort noch einmal in Ruhe einzugeben und es danach auf einem anderen Gerät zu versuchen. Klappt der Login dort, hast du noch Zugriff, das erste Gerät könnte aber mit Schadsoftware befallen sein. Führe dann vor jeder Passwortänderung einen Virenscan durch und erledige die weiteren Schritte auf einem anderen Gerät, damit neue Zugangsdaten nicht abgefangen werden.
Typische Anzeichen laut BSI: Du kommst nicht mehr ins Konto, du bekommst Meldungen über Anmeldungen auf neuen Geräten, Bekannte erhalten Nachrichten in deinem Namen oder du bemerkst ähnliche Auffälligkeiten bei weiteren Konten.
Die richtige Reihenfolge: E-Mail, Zahlungskonten, Konto, Rest
Die Reihenfolge ist keine Formalie. Ein gehacktes E-Mail-Konto ist laut BSI besonders gefährlich, weil Angreifer darüber die Passwörter weiterer Onlinekonten zurücksetzen können. Wer das Postfach zuerst absichert, nimmt ihnen diesen Hebel. Das BSI rät außerdem, die Passwörter in einem Zug zu ändern, damit Unbefugte dir nicht zuvorkommen.
- 1E-Mail-PostfachDarüber laufen alle „Passwort vergessen“-Links. Wer das Postfach kontrolliert, kann jedes weitere Konto übernehmen.
- 2Banking und ZahlungsdiensteHier entsteht der finanzielle Schaden. Bank oder Zahlungsdienst informieren, Zugänge sperren lassen.
- 3Das gehackte KontoZurückholen, Passwort ändern, fremde Geräte und Sitzungen abmelden, Zwei-Faktor-Schutz einschalten.
- 4Konten mit demselben PasswortAngreifer probieren erbeutete Zugangsdaten bei anderen Diensten aus. Jedes betroffene Konto bekommt ein eigenes Passwort.
1. E-Mail-Konto. Neues, starkes und nur dort verwendetes Passwort setzen und alle aktiven Sitzungen beenden. Prüfe dann nach den Hinweisen von BSI und Verbraucherzentrale automatische Weiterleitungen, Filterregeln und Rückfalloptionen wie hinterlegte Telefonnummern oder Zweit-Adressen. Schau auch nach, welche Anwendungen per Single-Sign-On am Konto hängen. Hast du keinen Zugriff mehr, kontaktiere den E-Mail-Anbieter. Wurde auch die hinterlegte Adresse geändert, ist das laut Verbraucherzentrale ein Fall, in dem du den Anbieter unbedingt einschalten musst.
2. Bank- und Zahlungskonten. Prüfe Umsätze und Bestellhistorien. Bei Konten mit Bezahlfunktion informierst du den Betreiber, damit das Konto zeitweise gesperrt wird, und stornierst verdächtige Buchungen, soweit möglich. Ist ein Bankzugang, eine Kreditkarte oder ein Zahlungsdienst betroffen, melde dich bei der Bank oder dem Finanzdienstleister. Im Zweifel lässt du Karten sperren: Über die 116 116, die rund um die Uhr erreichbar ist, lassen sich laut Verbraucherzentrale unter anderem Girocard, Kreditkarten, Online-Banking und SIM-Karten sperren.
3. Das gehackte Konto. Passwort ändern, Sitzungen und unbekannte Geräte entfernen, Sicherheitseinstellungen prüfen, Zwei-Faktor-Authentifizierung einschalten. Die Polizei rät außerdem, Screenshots als Beweis für eine spätere Anzeige anzufertigen und zu prüfen, ob unbekannte Adressen, Telefonnummern, Geräte oder zusätzliche Passwörter hinterlegt wurden.
4. Alle Konten mit demselben Passwort oder derselben E-Mail-Adresse. Ändere auch dort das Passwort und vergib künftig für jedes Konto ein eigenes. Prüfe, wo die betroffene Adresse zur Passwort-Wiederherstellung hinterlegt ist, und tausche sie gegebenenfalls aus.
Für Unternehmen gilt dieselbe Logik, ergänzt um die Meldekette: Informiere sofort die IT oder den Administrator. Das BSI mahnt in seinem Arbeitspapier zu schweren IT-Sicherheitsvorfällen, an Meldepflichten zu denken und bei Bedarf früh externe Unterstützung zu holen.
Wenn das Passwort weg ist: Konto wiederherstellen
Wenn Angreifer das Passwort geändert haben, hilft nur der offizielle Weg des Anbieters. Nutze dafür ausschließlich die Seiten des Anbieters selbst, nie Links aus E-Mails oder Nachrichten. Was die jeweilige Hilfeseite beschreibt:
| Anbieter | Was die Hilfeseite sagt |
|---|---|
| Bei geändertem Passwort oder gelöschtem Konto die Seite zur Kontowiederherstellung aufrufen und die Fragen so gut wie möglich beantworten. Nach dem Zugriff Aktivitäten und Geräte prüfen, in Gmail unbekannte Filter und Weiterleitungen entfernen, die Bestätigung in zwei Schritten aktivieren. | |
| Microsoft | Ein Anmeldehilfstool führt zu passender Selbsthilfe oder zum Support. Empfohlen: zuerst den PC auf Schadsoftware prüfen, dann Kennwort ändern oder zurücksetzen und anschließend verbundene Konten, Weiterleitungen und automatische Antworten kontrollieren. |
| Apple Account | Passwort ändern oder zurücksetzen, auf account.apple.com unbekannte Geräte entfernen, beim Mobilfunkanbieter prüfen, ob eine SMS-Weiterleitung eingerichtet wurde. Ohne Zugriff startet iforgot.apple.com die Accountwiederherstellung mit Wartezeit. |
| Unter facebook.com/hacked führt ein geführter Ablauf durch Sicherheitsschritte. Facebook empfiehlt, ihn nach Möglichkeit auf dem Gerät zu starten, das du üblicherweise für Facebook nutzt. | |
| Die Hilfeseite nennt unter anderem einen Login-Link per E-Mail oder SMS über „Passwort vergessen?“ und eine Support-Anfrage per Smartphone. Bei Konten mit Fotos von dir kann ein Video-Selfie zur Identitätsprüfung verlangt werden. Wer noch Zugriff hat, ändert das Passwort, aktiviert Zwei-Faktor-Authentifizierung und widerruft verdächtige Drittanbieter-Apps. | |
| Konto mit dem sechsstelligen SMS-Code neu registrieren; dadurch werden alle anderen Geräte abgemeldet. Den Code gibst du niemandem. Ohne Zugriff auf die SIM-Karte mit deiner Nummer ist keine Wiederherstellung möglich. Warne Kontakte, weil sich jemand in Chats für dich ausgeben könnte. |
Für Dienste, die in der Tabelle fehlen, rät die Polizei, auf der Website des Anbieters nach „Hilfe“ oder „Sicherheit“ zu suchen oder den Kundensupport zu kontaktieren. Rechne damit, dass der Support die Inhaberschaft prüfen muss und ohne zuvor hinterlegte Daten wie eine alternative Adresse nicht immer helfen kann (Polizei-Prävention). Hat ein Angreifer eine Zwei-Faktor-Authentifizierung eingerichtet, ist laut Verbraucherzentrale der Kontakt zum Anbieter unumgänglich; im schlimmsten Fall bleibt der Zugriff verloren.
Datenleck: Prüfen und einordnen
Manchmal wird nicht dein Konto angegriffen, sondern ein Anbieter verliert Daten. Prüfen kannst du das mit dem Identity Leak Checker des Hasso-Plattner-Instituts oder mit Have I Been Pwned. Die Verbraucherzentrale nennt Dienste dieser Art; sie prüfen mit den Daten bereits bekannt gewordener Vorfälle. Ein fehlender Treffer heißt deshalb nicht, dass nie etwas abgeflossen ist.
Was ein Treffer bedeutet, erklärt das HPI in seinen häufigen Fragen:
- Die Datenbank zeigt nur, welche Art von Daten betroffen ist, keine Klartextpasswörter. E-Mail-Adressen werden dort verschleiert gespeichert.
- Wurde eine Kombination aus Adresse und Passwort gestohlen, kann es das Passwort eines beliebigen Kontos sein, bei dem du diese Adresse genutzt hast. Ändere deshalb alle Passwörter, die du dort wiederverwendet hast.
- Die Warnung bleibt auch nach einer Passwortänderung bestehen, weil das alte Passwort weiterhin im Leak steht. Sie sagt nichts darüber, ob es noch funktioniert.
Weitere Schritte laut Verbraucherzentrale: Passwörter umgehend ändern, auch bei ähnlichen Passwörtern an anderer Stelle, und bei E-Mails, SMS, Post oder Anrufen wachsam sein. Wer deine Daten hat, kann Nachrichten besonders überzeugend gestalten. Waren Zahlungsdaten betroffen, gehört die Bank dazu. Nach der Datenschutz-Grundverordnung hast du außerdem Rechte gegenüber dem betroffenen Unternehmen; die Verbraucherzentrale bietet dafür ein kostenloses Prüfwerkzeug mit Musterbriefen. Bei einem massiven Hack kümmert sich der Anbieter laut Polizei-Prävention selbst um die Anzeige.
Was du nicht tun solltest
- Nichts für eine „Wiederherstellung“ bezahlen. Die Verbraucherzentrale zählt Geldforderungen für die Rückgabe eines Kontos zu den Anzeichen eines Angriffs. Die Checkliste von BSI und Polizei sagt klar: Zahle kein Geld an Kriminelle.
- Kein Passwort mehrfach verwenden. Das BSI rät, für jedes Konto ein eigenes Passwort zu vergeben.
- Nichts auf einem möglicherweise infizierten Gerät ändern. Erst scannen oder das Gerät wechseln.
- Nicht auf Support-Nachrichten hereinfallen. Gib Passwörter, Bestätigungs- und SMS-Codes niemandem weiter. Apple betont, diese Angaben für den Support nie abzufragen, und WhatsApp warnt ausdrücklich davor, den Registrierungscode zu teilen. Vertraue auch Kontaktdaten in Mahnungen oder Mails nicht blind, so das BSI.
Anzeige erstatten und Kontakte warnen
Die Polizei rät bei gehackten Accounts grundsätzlich zur Anzeige, etwa über die Onlinewache, die „Missbrauch von Daten oder Kundenkonten“ ausdrücklich nennt. Die Verbraucherzentrale hält den Gang zur Dienststelle mit Beweisen für hilfreich; das BSI verweist darauf, dass eine Anzeige auch aus versicherungsrechtlichen Gründen nötig sein kann. Nimm Screenshots mit, dokumentiere den Vorgang und informiere deine Versicherung, falls du eine Cyberversicherung oder eine entsprechende Klausel hast.
Warne außerdem Familie, Freunde, Kolleginnen und Kollegen, damit sie nicht auf Nachrichten in deinem Namen hereinfallen. Kommen Mahnungen per Post, kann laut BSI ein Anwalt sinnvoll sein; die Verbraucherzentralen beraten ebenfalls. Als Opfer einer Straftat kannst du dich zudem an den Weißen Ring wenden (Opfer-Telefon 116 006, täglich 7 bis 22 Uhr, so die Verbraucherzentrale).
Danach: Vorbeugen
Überlege, wie es zum Hack kam: einfaches oder doppelt genutztes Passwort, fremdes Gerät, Schadsoftware oder Zugangsdaten auf einem Altgerät, so die Polizei. Eine Zwei-Faktor-Authentifizierung schützt laut Google auch dann, wenn das Passwort gestohlen wird. Wie das funktioniert und welche Variante sich eignet, erklärt der Artikel Multi-Faktor-Authentifizierung: Warum sie so wichtig ist. Wenn die Ursache eine Phishing-Mail war, hilft Phishing-Mail geöffnet: Was tun? weiter; den Verdacht auf ein kompromittiertes Smartphone klärt Handy gehackt erkennen.
Bei größeren Schäden oder im Unternehmen hole dir fachliche Hilfe.