E-Mail-Konto gehackt: Was Sie jetzt in welcher Reihenfolge tun

Woran Sie es merken

• Bekannte fragen nach Mails, die Sie nicht geschrieben haben.
• Sie können sich nicht mehr anmelden, obwohl das Passwort stimmt.
• Im Postfach gibt es Weiterleitungen oder Regeln, die Sie nicht angelegt haben.
• Sie bekommen Warnungen über Anmeldungen aus fremden Ländern.

1. Das Gerät prüfen, von dem Sie sich anmelden

Wenn Ihr Rechner mit Schadsoftware befallen ist, liest der Angreifer auch das neue Passwort mit. Führen Sie also zuerst einen vollständigen Virenscan durch. Im Zweifel ändern Sie das Passwort von einem anderen, sauberen Gerät aus.

2. Passwort ändern — und zwar ein neues

Ein neues, langes Passwort, das Sie nirgends sonst verwenden. Kein altes mit einer Zahl mehr am Ende. Wenn Sie sich nicht mehr anmelden können: Den Wiederherstellungsweg Ihres Anbieters nutzen, meist über Handynummer oder Ersatzadresse.

3. Alle anderen Sitzungen abmelden

Die meisten Anbieter haben in den Sicherheitseinstellungen eine Übersicht der angemeldeten Geräte und einen Knopf „Überall abmelden“. Sonst bleibt der Angreifer trotz neuem Passwort eingeloggt.

4. Hintertüren schließen

Das ist der Schritt, der am häufigsten vergessen wird. Prüfen Sie:

• Weiterleitungen an fremde Adressen
• Regeln, die Mails automatisch löschen oder verschieben
• Wiederherstellungsdaten: Stimmen Telefonnummer und Ersatzadresse noch?
• Verknüpfte Apps, die Zugriff auf das Konto haben

5. Zwei-Faktor-Anmeldung einschalten

Damit reicht das Passwort allein nicht mehr. Selbst wenn es wieder abhandenkommt, braucht der Angreifer zusätzlich Ihr Handy. Das ist der wirksamste einzelne Schutz, den es für E-Mail-Konten gibt.

6. Die anderen Konten

Das E-Mail-Postfach ist der Generalschlüssel: Über „Passwort vergessen“ kommt man damit an fast jedes andere Konto. Ändern Sie deshalb auch die Passwörter von Onlinebanking, Shops, Social Media und überall, wo Sie dasselbe Passwort verwendet haben.

7. Bescheid geben

Warnen Sie Ihre Kontakte kurz, dass Mails von Ihnen in den letzten Tagen nicht echt sein könnten. Wurden Zahlungsdaten oder Geld missbraucht: Bank informieren und Anzeige bei der Polizei erstatten, das geht auch online.

Im Betrieb ist es dringender

Ist ein Firmenpostfach betroffen, kann der Angreifer im Namen Ihrer Firma Rechnungen mit falscher Bankverbindung verschicken. Dann gehört sofort Ihr IT-Dienstleister informiert, und es gibt je nach Fall Meldepflichten nach der DSGVO.

Was wir empfehlen

Wenn Sie unsicher sind, ob der Angreifer wirklich draußen ist: Rufen Sie an. Wir gehen die Punkte mit Ihnen durch, prüfen die Geräte und richten die Zwei-Faktor-Anmeldung so ein, dass sie im Alltag nicht nervt.