Konto gehackt: Checkliste für die ersten Stunden

Das Wichtigste in Kürze

Wenn ein Online-Konto gehackt wurde, zählt die Reihenfolge. Prüfen Sie zuerst, ob das Gerät, mit dem Sie arbeiten, sauber ist. Sichern Sie dann Ihr E-Mail-Konto, denn darüber lassen sich die meisten anderen Konten zurücksetzen. Danach ändern Sie die übrigen Passwörter, beenden fremde Sitzungen, prüfen die Einstellungen und warnen Ihre Kontakte. Das BSI und die Verbraucherzentrale empfehlen außerdem, Anzeige zu erstatten.

Woran Sie einen gehackten Account erkennen

• Sie können sich nicht mehr anmelden, obwohl Sie das richtige Passwort verwenden.
• Sie erhalten Mitteilungen über Anmeldungen oder Passwortänderungen, die Sie nicht vorgenommen haben.
• Ihre Kontakte bekommen Nachrichten von Ihnen, die Sie nicht geschrieben haben.
• Im Konto tauchen Bestellungen, Beiträge oder Einstellungen auf, die nicht von Ihnen stammen.

Die Verbraucherzentrale rät, zunächst Ruhe zu bewahren und die Anmeldung noch einmal zu versuchen. Schlägt sie wiederholt fehl, ist eine Übernahme wahrscheinlich.

Die Checkliste

1. Gerät prüfen und wechseln

Wenn Schadsoftware auf Ihrem Gerät die Zugangsdaten mitgelesen hat, nützt ein neues Passwort wenig. Das BSI empfiehlt, vorhandene Schadprogramme zuerst zu entfernen, weil Angreifer sonst weiter Zugriff behalten können. Die Verbraucherzentrale rät, einen Virenscan durchzuführen und die weiteren Schritte möglichst von einem anderen, sauberen Gerät aus zu erledigen.

2. Überblick verschaffen

Notieren Sie, welche Konten betroffen sind oder sein könnten und bei welchen Diensten die betroffene E-Mail-Adresse hinterlegt ist. Diese Liste brauchen Sie für die nächsten Schritte.

3. Das E-Mail-Konto zuerst sichern

Über das E-Mail-Postfach lassen sich die Passwörter fast aller anderen Konten zurücksetzen. Deshalb kommt es zuerst:

• Wenn Sie noch hineinkommen: Ändern Sie sofort das Passwort und beenden Sie alle aktiven Sitzungen, damit fremde Geräte abgemeldet werden.
• Wenn Sie nicht mehr hineinkommen: Nutzen Sie die Funktion „Passwort vergessen“ oder wenden Sie sich direkt an den Anbieter und folgen Sie dessen Anweisungen. Die Verbraucherzentrale weist darauf hin, dass Angreifer in diesem Fall womöglich eine eigene Zwei-Faktor-Absicherung eingerichtet haben. Dann hilft nur der Anbieter weiter, der Ihre Identität prüft.

4. Einstellungen auf Manipulationen prüfen

Angreifer hinterlassen gern Hintertüren. Das BSI nennt ausdrücklich:

• automatische Weiterleitungen und Filterregeln im Postfach,
• geänderte Telefonnummern oder Ersatz-E-Mail-Adressen für die Wiederherstellung,
• unbekannte Apps und Dienste, die Sie über dieses Konto angemeldet haben („Mit Google anmelden“, „Mit Apple anmelden“ und Ähnliches).

Machen Sie alle Änderungen rückgängig, die Sie nicht selbst vorgenommen haben.

5. Weitere Passwörter ändern

Ändern Sie die Passwörter aller Konten, die dasselbe Passwort verwenden oder bei denen die betroffene E-Mail-Adresse hinterlegt ist. Das BSI rät, dies zügig in einem Durchgang zu erledigen und für jedes Konto ein eigenes Passwort zu verwenden. Ein Passwort-Manager hilft dabei, den Überblick zu behalten.

6. Konten mit Zahlungsfunktion prüfen

Kontrollieren Sie Online-Shops, Bezahldienste und Ihr Bankkonto auf Bestellungen und Abbuchungen, die nicht von Ihnen stammen. Die Verbraucherzentrale empfiehlt, betrügerische Bestellungen beim Shop zu melden und das Kundenkonto vorübergehend sperren zu lassen. Sind Bank- oder Kartendaten betroffen, wenden Sie sich an Ihre Bank. Karten und Online-Banking lassen sich rund um die Uhr über den Sperr-Notruf 116 116 sperren.

7. Kontakte warnen

Wenn über Ihr Konto Nachrichten verschickt wurden, warnen Sie Ihre Kontakte vor gefälschten Nachrichten in Ihrem Namen. Das BSI empfiehlt außerdem, Bekannte zu warnen, die auf Links aus dem gehackten Konto geklickt haben könnten, damit sie ihre eigenen Konten sichern.

8. Anzeige erstatten und dokumentieren

Das BSI und die Verbraucherzentrale raten zur Strafanzeige bei der Polizei, möglichst mit Screenshots und anderen Belegen. Laut BSI kann eine Anzeige auch für Versicherungen nötig sein. Dokumentieren Sie den Vorfall, auch wenn das Konto verloren bleibt, denn ein Missbrauch Ihrer Identität kann später auffallen. Erhalten Sie Mahnungen per Post für Bestellungen, die Sie nicht getätigt haben, kann laut BSI anwaltliche Hilfe sinnvoll sein. Unterstützung für Betroffene bietet zum Beispiel das Opfer-Telefon des WEISSEN RINGS unter 116 006.

9. Weiter beobachten

Behalten Sie Ihre Konten in den folgenden Wochen im Blick. Ungewöhnliche Anmeldungen, neue Weiterleitungen oder unerklärliche Bestellungen sind Hinweise, dass der Zugriff noch nicht vollständig beendet ist.

Damit es nicht wieder passiert

Das BSI empfiehlt, die Zwei-Faktor-Authentisierung überall dort zu nutzen, wo ein Dienst sie anbietet, besonders bei E-Mail, Online-Banking, Online-Shopping und sozialen Netzwerken. Dabei braucht es neben dem Passwort einen zweiten Nachweis, etwa einen Code aus einer App oder einen Hardware-Schlüssel. Laut BSI-Vergleich sind Passkeys gegen übliche Phishing-Angriffe widerstandsfähig, während Codes per SMS, E-Mail oder App gegen Phishing in Echtzeit nicht schützen.

Richten Sie beim Einschalten gleich die Wiederherstellung mit ein, zum Beispiel durch Ersatzcodes, die Sie sicher aufbewahren. Das BSI rät, wenn möglich mehrere zweite Faktoren zu hinterlegen, damit ein verlorenes Smartphone Sie nicht aussperrt.

Wann Sie aufhören sollten

Klicken Sie während der Wiederherstellung nicht auf Links in E-Mails oder SMS, die angeblich vom Anbieter kommen. Rufen Sie die Seite des Dienstes immer selbst auf. Geben Sie niemandem am Telefon Passwörter, Codes oder TANs weiter, auch nicht vermeintlichen Mitarbeitern des Anbieters. Wenn Sie den Verdacht haben, dass Ihr Rechner oder Smartphone weiterhin befallen ist, arbeiten Sie nicht weiter damit.

Wenn mehrere Konten betroffen sind, das Gerät selbst befallen sein könnte oder Sie den Zugang über den Anbieter nicht zurückbekommen, lohnt sich ein Fachbetrieb, der Gerät und Konten prüft und die Absicherung mit Ihnen einrichtet.