Account gehackt? Erst durchatmen, dann rausschmeißen

Sonntagmorgen, halb neun in Niederbayern. Murat sitzt im Bademantel am Küchentisch, der Kaffee dampft. Dann vibriert das Handy. Und nochmal. Und nochmal. Seine Schwester: "Seit wann machst du in Bitcoin?" Ein Spezl vom Stammtisch: "400 Prozent Rendite in einer Woche, ernsthaft?" Und die Nachbarin will wissen, warum er ihr um sechs Uhr früh einen Link zu einer "exklusiven Krypto-Gruppe" geschickt hat.

Murat weiß nicht mal, wie man Wallet buchstabiert. Sein Instagram-Profil dafür umso besser: Es postet Storys mit Kurscharts, verschickt Direktnachrichten im Minutentakt und zeigt Murat mit Sonnenbrille vor einem Lamborghini. Den Lamborghini hat er nicht. Die Sonnenbrille schon, das Foto ist vom Gardasee. Jemand anderes hält gerade die Schlüssel zu seinem digitalen Leben, und Murat hat zwei Möglichkeiten: panisch auf alles drücken, was nach "Hilfe" aussieht, oder einem Plan folgen. Spoiler: Der Plan gewinnt.

Der Oktober ist der Europäische Monat der Cybersicherheit, ein guter Anlass, sich diesen Plan anzuschauen, bevor man ihn braucht. Kleiner Trost vorab: Laut einer repräsentativen Umfrage der Verbraucherzentrale NRW wurde schon fast jeder Dritte einmal gehackt. Du bist also in großer Gesellschaft.

Woran du merkst, dass es dich erwischt hat

Ein Hack kommt selten mit Trommelwirbel. Meist sind es kleine Merkwürdigkeiten, die man gern wegwischt:

• Eine Login-Benachrichtigung von einem fremden Gerät oder Ort. "Neue Anmeldung in Rumänien" beim Frühstück in Niederbayern ist eher kein gutes Zeichen.
• Mails über ein geändertes Passwort, eine neue E-Mail-Adresse oder Telefonnummer. Von dir war's nicht.
• Dein Passwort funktioniert plötzlich nicht mehr, obwohl du es ganz sicher richtig eintippst.
• Im Ordner "Gesendet" liegen Mails, die du nie geschrieben hast, oder es kommen auffällig wenige Mails an. Hallo, heimliche Weiterleitung.
• Freunde melden sich wegen komischer Nachrichten, Links oder Geldbitten von dir.
• Bestellbestätigungen oder Mahnungen für Dinge, die du nie gekauft hast.

Bevor du in Panik verfällst: Tipp das Passwort einmal in Ruhe ein, Feststelltaste aus. Klappt es nicht und passt noch ein Warnzeichen, ist das kein Bug, sondern ein Einbruch. Dann zählt Zeit, denn mit deinem Postfach kann ein Angreifer weitere Passwörter zurücksetzen und deine Kontakte anschreiben.

Der Notfallplan: Die Reihenfolge macht's

Nicht wild drauflos klicken. Die Reihenfolge ist kein Selbstzweck, sie verhindert, dass hinten die Tür offen bleibt, während du vorne mühsam zusperrst.

Schritt 1: Erst das Gerät, dann der Rest

Hast du kürzlich eine dubiose App installiert oder einen komischen Anhang geöffnet, kann Schadsoftware (Malware) mitlesen, was du tippst. Dann bekommt der Angreifer dein neues Passwort gleich mitgeliefert. Wie praktisch. Für ihn. Nimm für die Rettung also ein Gerät, dem du vertraust, und lass auf dem verdächtigen einen vollständigen Virenscan laufen. Unter Windows geht das in der App "Windows-Sicherheit" über "Viren- und Bedrohungsschutz", "Scanoptionen" und "Vollständige Überprüfung".

Schritt 2: Das E-Mail-Konto zuerst

Dein Postfach ist der Generalschlüssel: Fast jeder Dienst schickt seinen "Passwort vergessen"-Link dorthin. Selbst wenn nur Instagram betroffen scheint, sicherst du deshalb zuerst die Mail-Adresse, die dort hinterlegt ist. Bei Murat war das ein uraltes Gmail-Konto für Newsletter. Genau die Sorte Postfach, die keiner im Blick hat.

1. Passwort ändern: lang, einzigartig, noch nie benutzt. Eine Passphrase aus vier, fünf zufälligen Wörtern ist leichter zu merken als "Xk7!pQ" und trotzdem stärker.
2. Wiederherstellungs-Telefonnummer und Ersatz-E-Mail-Adresse prüfen. Angreifer tragen dort gern ihre eigenen Daten ein, um sich später wieder reinzuholen.
3. Sicherheitsereignisse durchgehen: Bei Google stehen die letzten Aktivitäten im Bereich "Sicherheit". Alles, was du nicht warst, bekommt ein "Nein, das war ich nicht".

Kommst du gar nicht mehr rein? Dann spring zum Abschnitt "Ausgesperrt?" weiter unten.

Schritt 3: Alle Sitzungen beenden

Wer schon drin ist, bleibt nach einem Passwortwechsel oft erst mal drin. Eine Sitzung ist wie das Bandl im Festzelt: Einmal am Einlass vorbei, fragt keiner mehr nach der Karte. Also schmeißt du alle raus:

• Google: Geräteübersicht unter google.com/devices öffnen und jedes Gerät abmelden, das du nicht kennst.
• Microsoft (Outlook, Hotmail): "Erweiterte Sicherheitsoptionen", ganz unten "Überall abmelden". Das kann bis zu 24 Stunden dauern, Xbox-Konsolen musst du separat abmelden.
• Instagram und Facebook: Kontozentrum, "Passwort und Sicherheit", "Wo du angemeldet bist", fremde Geräte auswählen und abmelden.
• WhatsApp: "Einstellungen", "Verknüpfte Geräte", alles entfernen, was nicht dir gehört. Sonst liest ein fremdes WhatsApp Web munter mit.

Schritt 4: MFA einschalten, aber richtig

MFA (Mehr-Faktor-Authentifizierung) heißt: Neben dem Passwort brauchst du einen zweiten Nachweis, meist dein Handy. Ein geklautes Passwort allein reicht dann nicht mehr. Aber MFA ist nicht gleich MFA:

• Passkey: die Königsklasse. Ein digitaler Schlüssel auf deinem Gerät, freigegeben per Fingerabdruck, Gesicht oder PIN und fest an die echte Webadresse gebunden. Auf einer Phishing-Seite funktioniert er schlicht nicht. Das BSI zählt Passkeys zu den Verfahren, die auch vor Echtzeit-Phishing schützen.
• Authenticator-App: solide Wahl, wenn ein Dienst noch keine Passkeys kann. Sie erzeugt alle 30 Sekunden einen neuen Code, ganz ohne Mobilfunknetz.
• SMS-Code: besser als nichts, aber am schwächsten. Beim SIM-Swapping lassen sich Betrüger eine Ersatz-SIM mit deiner Nummer ausstellen und bekommen so deine Codes.

Und ganz wichtig: Ein Code, der per SMS bei dir ankommt, gehört nur dir. Genau so hat es Murat erwischt. Am Dienstag davor hatte ihn "die Petra aus dem Fitnessstudio" angeschrieben: Sie sei ausgesperrt, ob er ihr kurz den Code weiterleiten könne, der gleich auf seinem Handy ankommt. Es war nicht die Petra. Es war der Code für Murats eigenen Instagram-Reset.

Schritt 5: Hintertüren schließen

Gewiefte Angreifer bauen sich ein Hintertürl, das jeden Passwortwechsel überlebt. In Gmail findest du die wichtigsten Stellen über "Alle Einstellungen aufrufen":

• "Weiterleitung & POP/IMAP": Eine fremde Adresse hier bekommt jede deiner Mails in Kopie. Inklusive jedes neuen Passwort-Links. Bei Outlook steckt die Weiterleitung in den Mail-Einstellungen.
• "Filter und blockierte Adressen": Ein beliebter Trick ist ein Filter, der Sicherheitswarnungen direkt in den Papierkorb schiebt. Damit du ja nichts merkst.
• "Konten & Import": Hier siehst du, wer sonst noch Zugriff auf dein Postfach hat.
• Verbundene Apps: Wer über "Mit Google anmelden" Zugriff bekommen hat (das Verfahren heißt OAuth), behält ihn auch nach dem Passwortwechsel. Im Google-Konto findest du die Liste unter "Drittanbieter-Apps und -Dienste", bei Meta im Kontozentrum. Alles raus, was du nicht kennst.

Profi-Tipp: Vor dem Löschen einen Screenshot machen. Das sind Beweise für die Anzeige.

Schritt 6: Passwort-Recycling stoppen

Wo hast du dieses Passwort sonst noch benutzt? Angreifer probieren erbeutete Zugangsdaten automatisiert bei Hunderten Diensten durch. Das heißt Credential Stuffing, auf gut Deutsch: Passwort-Roulette mit deinen Daten. Überall, wo das gleiche oder ein ähnliches Passwort im Einsatz war, wird es jetzt geändert. "Murat1974!" statt "Murat1974" zählt übrigens nicht, gell Murat.

Ausgesperrt? Die offiziellen Wege zurück

Hat der Angreifer Passwort, Nummer und Mail-Adresse geändert, hilft nur die offizielle Kontowiederherstellung. Die dauert manchmal, ist aber kostenlos und der einzige seriöse Weg. Erst ein Blick ins Postfach: Viele Anbieter schicken bei Änderungen eine Mail mit einem Link wie "Diese Änderung rückgängig machen". Schnell klicken spart viel Ärger.

Google

Über "Passwort vergessen?" startest du die Wiederherstellung und beantwortest die Fragen, so gut es geht. Falsche Antworten brechen nichts ab, du kannst es beliebig oft probieren. Telefonsupport für Anmeldeprobleme gibt es nicht, und mit angeblichen Hilfsdiensten arbeitet Google ausdrücklich nicht zusammen. Nach Änderungen an den Wiederherstellungsdaten kann es bis zu sieben Tage dauern, bis sie greifen.

Microsoft

Erst die Anmeldehilfe, als letzte Instanz das Wiederherstellungsformular. Füll es auf einem Gerät und an einem Ort aus, wo du das Konto sonst nutzt, und nenn alte Passwörter, Betreffzeilen und Kontakte. Die Antwort kommt innerhalb von 24 Stunden, bis zu zwei Versuche pro Tag sind möglich. Die bittere Pille: Ist die zweistufige Überprüfung aktiv und du hast keine Nachweismethode mehr, kann auch der Support nicht helfen.

Apple

Die Kontowiederherstellung startet über iforgot.apple.com, und die Geduldsprobe ist Absicht: Meist innerhalb von 72 Stunden bekommst du eine Bestätigung mit Datum und Uhrzeit, ab wann es weitergeht. Der Support kann das nicht beschleunigen, mehrfache Anfragen verlängern eher. Bist du auf einem anderen Gerät noch angemeldet, änderst du das Passwort am schnellsten direkt dort.

Instagram und Facebook

Die Einstiegsseiten heißen instagram.com/hacked und facebook.com/hacked. Dort forderst du einen Anmeldelink oder Sicherheitscode an. Hat der Angreifer alles umgebogen, kann Instagram ein Video-Selfie zur Identitätsprüfung verlangen. Pro Weg nur eine Anfrage stellen, zehn hintereinander beschleunigen nichts. Laut Verbraucherzentrale dauern Antworten mal Stunden, mal Wochen. In dringenden Fällen hilft zusätzlich eine Nachricht an die Adresse aus dem Impressum.

WhatsApp

Melde dich in der App mit deiner Nummer neu an und bestätige mit dem sechsstelligen SMS-Code. Damit fliegt der Eindringling raus. Fragt WhatsApp nach einer PIN, die du nie gesetzt hast, war das der Angreifer: Nach sieben Tagen Wartezeit kommst du ohne sie rein, der Dieb bleibt bis dahin trotzdem draußen. Danach unter "Einstellungen", "Konto" die "Verifizierung in zwei Schritten" mit eigener PIN aktivieren.

Finger weg von Recovery-Services

Kaum postest du "Hilfe, Insta gehackt", melden sich in den Kommentaren erstaunlich hilfsbereite Fremde: "Schreib @recovery_profi an, ging bei mir in zehn Minuten!" Ist Betrug. Die wollen Geld vorab, deine Zugangsdaten oder beides, und am Ende bist du doppelt abgezockt. Echte Wiederherstellung läuft nur über den Anbieter und kostet nichts. Instagram hat für private Konten keine Hotline, und Google bespricht Anmeldeprobleme nicht am Telefon. Wer dich als "Support" anruft, ist keiner.

Schaden begrenzen: Freunde, Geld, Shopping

Kontakte warnen

Deine Kontakte sind jetzt das eigentliche Ziel. Warne sie über einen anderen Kanal: Alles, was gerade von deinem Konto kommt, ist nicht von dir. Keine Links, keine Codes, kein Geld. Bitte sie, das Profil bei der Plattform zu melden. Und wenn du wieder drin bist: kurze Entwarnung posten.

Zahlungsmittel sperren

Waren Zahlungsdaten hinterlegt oder hängt dein Online-Banking an der betroffenen Adresse? Bank informieren, im Zweifel sperren. Der Sperr-Notruf 116 116 ist rund um die Uhr erreichbar, aus dem deutschen Festnetz gebührenfrei und sperrt Girocards, die meisten Kreditkarten, Online-Banking-Zugänge und SIM-Karten, sofern der Herausgeber teilnimmt. Aus dem Ausland wählst du +49 116 116. Speicher die Nummer am besten jetzt gleich ein, nicht erst, wenn das Handy spinnt.

Shopping-Konten

• Bestellhistorie prüfen, fremde Bestellungen stornieren, Shop informieren.
• Lieferadressen kontrollieren: Eine unbekannte Packstation ist ein Klassiker.
• Gespeicherte Karten löschen, die du nicht brauchst. Was nicht gespeichert ist, kann keiner ausgeben.
• Kontoauszüge auch in den nächsten Wochen im Blick behalten.

Beweise sichern und Anzeige erstatten

Unbefugter Zugriff auf fremde Konten ist strafbar, und eine Anzeige hilft dir später, falls jemand in deinem Namen Verträge abschließt. Sichere deshalb vor dem Aufräumen:

• Screenshots von Nachrichten, Posts und geänderten Einstellungen, möglichst mit sichtbarem Datum.
• Sicherheitsmails des Anbieters ("Neue Anmeldung", "Passwort geändert") in einen eigenen Ordner verschieben statt löschen.
• Den Mail-Header verdächtiger Mails, also den technischen Briefkopf mit Absenderserver und Zeitstempeln. In Gmail über die drei Punkte und "Original anzeigen".
• Eine kurze Zeitleiste: Wann ist dir was aufgefallen, was hast du wann geändert?

Anzeige erstatten kannst du in den meisten Bundesländern über die Onlinewache der Polizei. Zuständig ist das Land, in dem die Tat passiert ist. Laut Verbraucherzentrale ist der Gang zur Dienststelle oft sogar hilfreicher, weil du die Beweise direkt vorlegen kannst. Und wenn dich das Ganze mehr mitnimmt, als du zugeben magst: Das Opfer-Telefon des Weißen Rings ist unter 116 006 täglich von 7 bis 22 Uhr erreichbar.

Bin ich auch in einem Datenleck?

Oft stammt das Passwort aus einem alten Leak bei einem längst vergessenen Dienst. Kostenlos prüfen kannst du das beim HPI Identity Leak Checker (sec.hpi.de/ilc) des Hasso-Plattner-Instituts, bei Have I Been Pwned (haveibeenpwned.com) von Sicherheitsforscher Troy Hunt oder beim Leak-Checker der Uni Bonn (leakchecker.uni-bonn.de). Ein Treffer heißt: Dieses Passwort ist verbrannt. Weg damit, überall.

Danach: vier Dinge für ein ruhiges Leben

Hack überstanden? Jetzt sorgst du dafür, dass es bei einer Folge bleibt und keine ganze Staffel draus wird.

1. Ein Passwortmanager

Ein digitaler Tresor, der sich alle Passwörter merkt und neue, zufällige erzeugt. Du brauchst nur noch ein starkes Master-Passwort. Bonus: Er füllt nur auf der echten Seite aus. Bietet er dir auf "lnstagram-security.com" (kleines L statt großem i) nichts an, ist genau das dein Warnsignal.

2. Für jeden Dienst ein eigenes Passwort

Keine Ausnahmen, keine Varianten mit Ausrufezeichen hinten dran. Dann ist ein Leak bei einem Bastelforum genau das: ein Leak bei einem Bastelforum. Und nicht der Generalschlüssel zu deinem Leben.

3. Passkeys, wo immer es geht

Viele große Dienste bieten sie inzwischen an, such in den Sicherheitseinstellungen nach "Passkey". Danach meldest du dich per Fingerabdruck oder Gesicht an. Kein Passwort zum Abphishen, kein Code, den dir eine falsche Petra abschwatzen kann.

4. Notfallcodes offline aufbewahren

Die Backup-Codes, die du beim Einrichten von MFA bekommst, sind dein Ersatzschlüssel, falls das Handy mal ins Spülbecken fällt. Ausdrucken und zu den wichtigen Unterlagen legen, nicht als Foto in die Galerie. Und Wiederherstellungsdaten aktuell halten: Die Handynummer von vor zehn Jahren rettet dich nicht.

Checkliste zum Abhaken

• Sauberes Gerät genommen, verdächtiges Gerät gescannt
• E-Mail-Passwort geändert, Wiederherstellungsnummer und -adresse geprüft
• Alle fremden Sitzungen und verknüpften Geräte abgemeldet
• MFA aktiv, am besten per Passkey oder Authenticator-App
• Weiterleitungen, Filter und verbundene Apps geprüft
• Wiederverwendete Passwörter überall geändert
• Kontakte über einen anderen Kanal gewarnt
• Zahlungsmittel und Shopping-Konten geprüft, im Zweifel über 116 116 gesperrt
• Beweise gesichert, Anzeige erstattet
• Leak-Check gemacht
• Backup-Codes ausgedruckt und sicher verstaut

Und Murat?

Murats Kaffee wurde kalt, aber sonst hat er alles richtig gemacht: Laptop statt Handy, erst das alte Gmail-Konto, dann Instagram über die offizielle Hilfeseite. Zwei Tage und ein Video-Selfie mit Fahndungsfoto-Charme später war das Konto wieder seins. Die Petra aus dem Fitnessstudio hat er übrigens angerufen. Die echte. Ihr Konto war genauso gekapert. Jetzt hat sie diesen Artikel.

Du musst nicht warten, bis dein Sonntag ruiniert ist. Nimm dir heute zehn Minuten, prüf deine Wiederherstellungsdaten und schalt den zweiten Faktor ein. Mach MFA an. Think purple.