Sie versuchen, sich mit Ihrem Passwort bei Ihrem E-Mail-Konto anzumelden und es funktioniert nicht? Der Streamingdienst der Wahl streikt auch? Noch dazu bekommen sie eine Benachrichtigung, dass sich jemand in China bei einem ihrer Konten einloggen will, obwohl Sie in München leben? Das können Zeichen dafür sein, dass etwas ganz gehörig nicht stimmt: Das E-Mail-Konto könnte gehackt worden sein.

«Manchmal bekommt man auch böse Mails über Kleinanzeigen, wo denn die Ware bleibe», sagt Christopher Kunz, Sicherheitsexperte beim IT-Fachportal «heise online». Oder ein Dienstanbieter meldet sich, weil Unbekannte ein Datenleck entdeckt und Zugangsdaten erbeutet haben, nennt Rainer Schuldt von der «Computer Bild» ein weiteres Szenario. Dann gilt vor allem: Sofort das Passwort von allen betroffenen Konten ändern, um den Angreifern den weiteren Zugang unmöglich zu machen.

Aber wie passiert das eigentlich, dass Zugangsdaten in falsche Hände geraten? Man muss sich das jetzt nicht so vorstellen, dass irgendwo jemand vor dem Computer sitzt und so lange versucht, ein Mailkonto zu übernehmen, bis das richtige Passwort erraten ist. 

In der Realität läuft das oft so: Rechenprogramme probieren fix alle möglichen Kombinationen durch - oder die Täter kaufen die Zugangsdaten gleich en gros. Die Daten können im nicht so ganz öffentlichen Teil des Internets, dem Darknet, angeboten worden sein und zum Beispiel aus Hackerangriffen auf Dienstanbieter stammen. Am schlechten eigenen Passwort kann es auch liegen - das ist aber eher selten. 

Erster Schritt: Passwörter ändern - manchmal brauchts Hilfe

Was also tun, wenn mit dem eigenen Mailkonto Schindluder getrieben wird oder man gar nicht mehr hereinkommt? Es kommt ein wenig darauf an, wie schlimm der Fall ist. Besonders fatal ist es vor allem dann, wenn man dasselbe Passwort für mehrere Konten nutzt. Also das Mailkonto zum Beispiel mit der ohnehin eher unsicheren Kombination «passwortXYZ» geschützt hat, und dieses Passwort zu allem Überfluss auch für Online-Banking, Datingprofil, Kleinanzeigen-App und soziale Medien verwendet. 

In diesem Fall raten Christopher Kunz und Rainer Schuldt dazu: sofort sämtliche Passwörter neu vergeben. Besonders wichtig ist das bei Diensten, wo auch Bezahldaten hinterlegt sind. Sonst droht nicht nur Ärger, sondern auch Geldverlust.

Höchste Priorität muss dabei das Mailkonto haben. Das hat zwei Gründe: 

• Die Mailadresse ist häufig Benutzername für andere Dienste
• Über das Mailkonto lassen sich die Passwörter für andere Dienste leicht zurücksetzen und man verliert den Zugriff

Hat man keinen Zugriff mehr auf das Mailkonto, weil die Angreifer eventuell schon das Passwort geändert haben, hilft nur noch der Weg über den Dienstanbieter. Nur dieser kann die Adresse im besten Fall wiederherstellen. «Mit eigenen Bordmitteln ist das nicht möglich», sagt Rainer Schuldt. Bei den großen Anbietern wie Google oder Microsoft gibt es entsprechende Hilfe-Seiten mit Handreichungen und Formularen zum Ausfüllen. Mail-Anbieter GMX führt im Fall des Falles eine Identitätsprüfung durch. 

Wichtig dafür: Man muss nachweisen können, auch wirklich Kontoinhaber zu sein. Die persönlichen Daten müssen also halbwegs korrekt sein. Wer vor 30 Jahren eine anonyme Mailadresse bei einem Gratisprovider angelegt hat, kommt hier womöglich nicht weiter. 

Zweiter Schritt: Identitätsdiebstahl anzeigen

Sind die Passwörter geändert und im besten Fall alle Konten wieder unter Kontrolle, heißt es: Anzeige muss raus! Die Polizei Brandenburg rät etwa dann dazu, wenn:

• das Mailkonto zum Spam-Versand genutzt wird
• mit geklauten Kreditkartendaten Einkäufe oder Bargeldabhebungen erfolgen
• Zugangskennungen zu sozialen Netzwerken genutzt werden, um beleidigende Nachrichten zu veröffentlichen
• privat geführte Konten zur unberechtigten Überweisung von Geld genutzt werden
• ebay-Konten oder ähnliche Dienste zum Angebot von Waren oder für Online-Shopping verwendet werden

Die Anzeige mit einer Dokumentation des Falles bei der Polizei kann auch dabei helfen, eventuelle Regressforderungen von Opfern der Identitätsdiebe abzuwehren.

Dritter Schritt: Mehr Sicherheit für die Zukunft

Sind die Passwörter schnell geändert, ist es Zeit für eine Analyse. Zunächst einmal lohnt ein Blick, ob und wo die eigenen Zugangsdaten möglicherweise schon überall unterwegs sind. Dabei helfen Dienste wie der Identity Leak Checker des Hasso-Plattner-Instituts - eine kostenlos abrufbare Datenbank, die zahllose abgefischte Identitätsdaten enthält.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat auf seiner Bürgerseite umfassende Beratungsangebote zusammengestellt (https://dpaq.de/5GNcDB6). So bekommt man auch einen Überblick, welche Konten vielleicht noch betroffen sein könnten.

Dann gilt: Noch einmal neue und wirklich sichere Passwörter vergeben. Hierbei helfen zum Beispiel die Passwortgeneratoren, die in immer mehr Webbrowsern stecken. Firefox, Chrome und Safari etwa können sichere Passwörter erzeugen und diese auch im eigenen Passwortmanager abspeichern. Dann entfällt das lästige Ausdenken und Erinnern von Passwörtern für jedes einzelne Konto. Passwortmanager sind zum Beispiel auch Teil von Apples iCloud oder kommen von Anbietern wie KeePass, Bitwarden, LastPass oder 1Password. Zum Teil sind sie kostenpflichtig. 

Das Passwort ist aber nicht der einzige Schutz für ein Konto. Bei manchen Anbietern kann man eine zweite Adresse als Rettungsmailadresse, eine Telefonnummer oder Antworten auf Sicherheitsfragen hinterlegen, um das Passwort zurückzusetzen, falls man es vergessen hat oder es zu einem Hacking-Fall kommt. Wer auf Sicherheitsfragen setzt, sollte die Antworten gut notieren und verwahren, rät Christopher Kunz. Auch Einmal-Codes für den passwortlosen Zugriff auf ein Konto können ausgedruckt und abgelegt werden.

Sowohl Rainer Schuldt als auch Christopher Kunz empfehlen: Sämtliche Sicherungsangebote nutzen, die es gibt. Das gilt besonders für die Zwei-Faktor-Authentifizierung. Ist sie aktiviert, muss eine Anmeldung noch mithilfe eines Codes (kommt per SMS oder App) oder über ein zweites Gerät bestätigt werden. So kommt ein Angreifer auch dann nicht in ein Konto hinein, wenn er das Passwort erbeutet hat.

Wer noch einen Schritt weiter gehen will, kann bei vielen Onlinediensten die Passwörter auch ganz abschaffen und durch einen Passkey ersetzen. Das ist ein auf dem eigenen Gerät hinterlegter geheimer Schlüssel. Zusammen mit dem beim jeweiligen Dienst gespeicherten Schlüssel kann nach einmaliger Einrichtung eine Anmeldung ohne Eingabe von Benutzername und Passwort erfolgen. Mehr Informationen zu Passkeys und wie sie im Detail funktionieren, hat das BSI verständlich auf seiner Bürgerseite zusammengefasst (https://dpaq.de/ySuLeXm).