Was tun, wenn Sie gehackt wurden?
Gehackt zu werden ist stressig. Es fühlt sich oft persönlich, dringend und verwirrend zugleich an. Vielleicht bekommen Sie eine merkwürdige Login-Benachrichtigung, finden Nachrichten, die Sie nicht selbst verschickt haben, verlieren den Zugang zu einem Konto, bemerken fehlendes Geld oder hören von Freunden, dass sie verdächtige Links von Ihnen erhalten haben.
Das Wichtigste ist, panikgetriebene Entscheidungen zu vermeiden. Angreifer setzen oft auf Tempo, Verwirrung und Druck. Ihr Ziel ist es, die Situation zu entschleunigen, den Schaden einzudämmen, die Kontrolle zurückzugewinnen und schließlich die Schwachstellen zu beseitigen, die den Vorfall ermöglicht haben.
Dieser Leitfaden erklärt Schritt für Schritt, was zu tun ist, wenn ein persönliches Konto, Geschäftskonto, Gerät oder Online-Dienst gehackt wurde.
1. Informieren Sie sofort Ihren Arbeitgeber, wenn die Arbeit betroffen sein könnte
Falls Ihr Arbeitgeber, Kunde oder eine andere Organisation betroffen sein könnte, melden Sie den Vorfall sofort an das zuständige IT- oder Sicherheitsteam. Warten Sie nicht, bis Sie vollständigen Beweis haben. Dazu zählt auch, wenn das kompromittierte Gerät für die Arbeit genutzt wurde, als „Bring Your Own Device“ (BYOD) registriert ist, für Firmen-E-Mails, Single Sign-On, Passwortmanager, VPN, Admin-Panel, Quellcode-Repository, Cloud-Konsole oder Dateiaustauschdienste verwendet wurde.
Dies sollte geschehen, bevor Sie selbst versuchen, alles zu untersuchen. Die Organisation muss möglicherweise Sitzungen beenden, Zugangsdaten rotieren, Protokolle kontrollieren, Systeme isolieren oder Zugänge deaktivieren, solange der Vorfall noch läuft.
Eine verspätete Meldung kann den Schaden vergrößern und Sie unter Umständen Disziplinarmaßnahmen oder Haftung aussetzen, wenn der Organisation dadurch Verluste entstehen, die durch rechtzeitige Meldung hätten begrenzt werden können. Sind keine geschäftlichen Dienste, Geräte, Konten oder Daten betroffen, fahren Sie mit den unten stehenden persönlichen Schritten fort.
2. Beginnen Sie mit einem sauberen Gerät
Wenn Sie denken, Computer oder Handy könnten infiziert sein, sollten Sie dieses Gerät NICHT nutzen, um Passwörter zurückzusetzen oder sich in wichtige Konten einzuloggen. Schadsoftware kann neue Passwörter aufzeichnen, Session-Cookies stehlen, Bildschirmfotos machen oder Wiederherstellungscodes abfangen.
Nutzen Sie stattdessen ein vertrauenswürdiges Gerät, z.B.:
- Ein vollständig aktualisiertes Handy oder einen Computer, der keine Anzeichen einer Kompromittierung zeigt
- Ein Gerät eines vertrauten Familienmitglieds
- Ein von der IT verwaltetes Arbeitsgerät, wenn Ihr IT-Team bestätigt, dass es sicher ist
Falls Sie keinen Zugriff auf ein sauberes Gerät haben, trennen Sie das verdächtige Gerät vom Internet und holen Sie sich Unterstützung, bevor Sie neue Zugangsdaten eingeben.
3. Sichern Sie zuerst Ihr E-Mail-Konto
Ihr E-Mail-Konto ist oft der Schlüssel zu allem anderen. Hat ein Angreifer Zugriff auf Ihre E-Mail, kann er Passwörter für Banking, Shopping, Cloud-Speicher, soziale Medien, Entwicklerplattformen und Geschäftswerkzeuge zurücksetzen.
Beginnen Sie mit Ihrem Haupt-E-Mail-Konto und prüfen Sie Folgendes:
- Ändern Sie das Passwort in ein neues, einzigartiges und starkes Passwort
- Aktivieren Sie die Zwei-Faktor-Authentifizierung, falls noch nicht geschehen
- Prüfen Sie alternative E-Mail-Adressen und Telefonnummern für die Wiederherstellung
- Entfernen Sie Wiederherstellungsoptionen, die Sie nicht kennen
- Kontrollieren Sie Weiterleitungsregeln und Filter auf verdächtige Änderungen
- Überprüfen Sie aktuelle Login-Standorte und aktive Sitzungen
- Melden Sie sich auf allen anderen Geräten ab, sofern der Provider das anbietet
Achten Sie besonders auf Postfachregeln. Angreifer richten manchmal Filter ein, die Sicherheitswarnungen verstecken, Rechnungen weiterleiten oder Passwort-Reset-Nachrichten stillschweigend an eine andere Adresse kopieren.
4. Ändern Sie Passwörter in der richtigen Reihenfolge
Nachdem Sie Ihre E-Mail gesichert haben, wechseln Sie zu den Konten mit dem meisten Schadenspotenzial. Verschwenden Sie nicht die ersten kritischen Minuten mit weniger wichtigen Konten, während der Angreifer noch Zugriff auf Banking, Cloud-Speicher oder Administrator-Werkzeuge hat.
Reihenfolge der Priorität:
- E-Mail-Konten
- Bank-, Zahlungs- und Kryptowährungskonten
- Passwort-Manager, Identitätsprovider und Single Sign-On-Konten
- Cloud-Speicher, Backups und Dateifreigabedienste
- Geschäftskonten, Admin-Panels, Hoster und Entwicklerplattformen
- Soziale Netzwerke und Messenger-Konten
- Shopping, Gaming, Foren und andere Konten mit geringerem Risiko
Jedes neue Passwort sollte einzigartig sein. Verwenden Sie dasselbe neue Passwort bei mehreren Konten, kann eine verbliebene Schwachstelle erneut alles gefährden.
5. Sitzungen, Geräte, Apps und Tokens widerrufen
Passwortänderung ist wichtig, aber sie entfernt nicht unbedingt Angreifer, die bereits eingeloggt sind. Viele Dienste lassen aktive Sitzungen auch nach Passwortänderung bestehen, falls Sie sie nicht ausdrücklich beenden.
Suchen Sie nach Einstellungen wie:
- Abmelden auf allen Geräten
- Aktive Sitzungen
- Vertrauenswürdige Geräte
- Verbundene Apps
- App-Passwörter
- API-Schlüssel
- Browser-Erweiterungen
- OAuth-Zugänge
- SSH-Schlüssel
- Wiederherstellungscodes
Entfernen Sie alles, das Sie nicht erkennen. Für Geschäftskonten oder Entwicklerkonten sollten Sie API-Tokens, Deployment-Keys, SSH-Keys, Webhooks und Zugangsdaten für Service-Accounts erneuern, die betroffen sein könnten.
6. Stärkere Zwei-Faktor-Authentifizierung aktivieren
Zwei-Faktor-Authentifizierung (MFA/2FA) kann viele Kontenübernahmen auch dann verhindern, wenn ein Passwort gestohlen wurde. Falls MFA bisher nicht aktiviert war, holen Sie dies jetzt für Ihre wichtigsten Konten nach.
Nutzen Sie bevorzugt starke Methoden, wenn möglich:
- Hardware-Sicherheitsschlüssel
- Authenticator-Apps
- Sicher offline aufbewahrte Backup-Codes
SMS-basierte Codes sind besser als gar kein zweiter Faktor, aber schwächer als App-basierte oder hardwaregestützte Lösungen. Telefonnummern können durch SIM-Swapping übernommen, in bestimmten Situationen abgefangen oder durch unsichere Wiederherstellung missbraucht werden.
Beim Aktivieren von MFA: Erzeugen Sie Backup-Codes und bewahren Sie diese sicher auf. Sonst kann ein verlorenes Handy oder ein Sicherheitsschlüssel eine neue Notlage auslösen.
7. Überprüfen Sie Finanz- und Identitätsschäden
Falls das gehackte Konto mit Geld, Ausweisdokumenten, Rechnungen, Kundendaten oder Steuerinformationen in Berührung kommt, sollten Sie davon ausgehen, dass der Angreifer nützliche Informationen kopiert haben könnte – selbst wenn Sie den Zugang schnell wiedererlangen.
Überprüfen Sie Folgendes:
- Bank- und Kreditkartentransaktionen
- Zahlungs-Apps und gespeicherte Karten
- Kryptowährungs-Börsen, Auszahlungen und API-Keys
- Neue Lieferadressen in Shopping-Konten
- Neue Abos oder Einkäufe
- Schufa-Auskunft oder Identitätsmonitoring, sofern verfügbar
- Steuer-, Versicherungs- oder Behördenportale
Kontaktieren Sie unverzüglich Ihre Bank oder den Zahlungsanbieter bei verdächtigen Aktivitäten. Oft erhöht frühes Melden die Chance, betrügerische Transaktionen zu stornieren oder die Haftung zu begrenzen.
8. Beweise sichern, bevor Sie alles löschen
Es ist verständlich, schnell aufräumen zu wollen – aber zu frühes Löschen von Nachrichten, Logs oder Dateien erschwert die Untersuchung. Sichern Sie vor der Entfernung verdächtiger Inhalte grundlegende Beweise. Tun Sie das, bevor Sie ein Gerät löschen oder neu installieren, insbesondere wenn es um Geld, Firmendaten, Kundendaten, Ransomware oder rechtliche Verpflichtungen geht.
Nützliche Beweise sind z.B.:
- E-Mails mit Login-Warnungen
- Screenshots verdächtiger Aktivitäten
- Absenderadressen und Header von Phishing-Mails
- Transaktions-IDs und Rechnungsdaten
- Login-Standorte und Zeitstempel
- Namen unbekannter Geräte oder Apps
- Support-Ticket-Nummern
- Das originale Laufwerk/SSD, falls das Gerät forensisch untersucht werden muss
Diese Informationen unterstützen Support-Teams, Banken, Polizei, Versicherungen, interne IT oder Incident-Responder dabei, zu verstehen, was passiert ist.
Wenn vom Laptop oder PC möglich, bauen Sie die originale Festplatte aus und installieren Sie das frische Betriebssystem auf eine neue. So arbeiten Sie von einem sauberen System und bewahren das Original für eventuelle Untersuchungen. Bei geschäftlichen Vorfällen stimmen Sie dies ggf. mit IT oder Incident-Response ab, bevor Sie Platten wechseln oder das Gerät erneut einschalten.
9. Kompromittierte Geräte komplett neu aufsetzen
Ging die Kompromittierung eventuell von Malware, einem schädlichen Anhang, einer gefälschten Browser-Erweiterung, Raubkopien oder Remote-Access-Tools aus, reicht allein die Wiederherstellung von Konten nicht aus. Das Gerät selbst könnte nicht mehr vertrauenswürdig sein. Ein Angreifer könnte Persistenzmechanismen installiert, Systemeinstellungen manipuliert, Session-Cookies abgegriffen oder Tools zum erneuten Informationsdiebstahl hinterlassen haben.
In solchen Fällen sollten Sie das Gerät nicht manuell zu „säubern“ versuchen. Sicherer ist: Erst nötige Beweise sichern, dann nur wirklich benötigte Daten sichern, Gerät löschen und Betriebssystem frisch installieren.
Wichtige Hinweise:
- Erstellen Sie den Installations-USB-Stick von einem nicht kompromittierten Gerät
- Laden Sie Installationsmedien nur beim offiziellen Betriebssystemanbieter herunter
- Verwenden Sie keine alten Recovery-Images, falls Sie nicht wissen, wann die Kompromittierung begann
- Sichern Sie Dokumente, Fotos und wirklich nötige Dateien, aber vermeiden Sie die Mitnahme unbekannter Programme, Skripte oder Setups
- Installieren Sie Programme neu aus vertrauenswürdigen Quellen statt automatischer Komplettwiederherstellung
- Aktualisieren Sie das Betriebssystem und den Browser vollständig, bevor Sie sich bei wichtigen Konten einloggen
- Ändern Sie Passwörter erneut, falls Sie sie auf dem noch kompromittierten Gerät schon eingegeben haben
Bei hohem Risiko (z.B. Ransomware, kompromittierte geschäftliche E-Mails, Admin-Konten, mutmaßlicher Datendiebstahl) ziehen Sie professionelle Incident Response hinzu, bevor Sie Geräte löschen. Im Geschäftsumfeld werden Beweise oft für Ermittlungen, Versicherung, Rechtsfragen oder Benachrichtigungen benötigt.
10. Benachrichtigen Sie betroffene Personen
Falls Angreifer Ihr Konto genutzt haben, um Nachrichten, Rechnungen, Links oder Dateien zu senden, informieren Sie die Empfänger. Halten Sie die Warnung kurz und konkret.
Zum Beispiel:
Mein Konto wurde kompromittiert. Bitte öffnen Sie keine Links, Anhänge, Zahlungsanfragen oder geteilten Dateien von mir, die zwischen [Zeit] und [Zeit] gesendet wurden. Ich habe wieder Zugriff und untersuche den Vorfall.
Für Unternehmen kann die Benachrichtigung auch rechtlich oder vertraglich Pflicht sein. Sobald Kundendaten, Mitarbeiterdaten, Zahlungsdaten, Gesundheitsdaten oder vertrauliche Kundendaten betroffen sein könnten, binden Sie frühzeitig Rechts-, Compliance- und Sicherheitsteams ein.
11. Melden Sie den Vorfall, wo es angebracht ist
Nicht jeder gehackte Social-Media-Account braucht eine Anzeige. Einige Vorfälle sollten Sie jedoch melden, insbesondere bei Finanzbetrug, Identitätsdiebstahl, Ransomware, kompromittierten Geschäftsmails, gestohlenen Kundendaten oder Bedrohungen der persönlichen Sicherheit.
Geeignete Meldestellen sind z.B.:
- Der betroffene Dienste-Anbieter
- Ihre Bank oder der Zahlungsdienst
- Die IT- oder Sicherheitsabteilung Ihres Arbeitgebers
- Polizei oder staatliche Cybercrime-Portale
- Versicherung, falls Cyberversicherung besteht
- Kunden, Partner oder Aufsichtsbehörden bei bestätigten oder wahrscheinlichen Datenlecks
Eine Meldung schafft auch eine Dokumentation für den Fall, dass die betrügerische Aktivität weitergeht oder Sie belegen müssen, dass Sie zügig gehandelt haben.
Wenn Sie ein Unternehmen führen, behandeln Sie es als Incident
In Organisationen ist ein gehacktes Konto selten nur ein einzelnes Problem. Es kann das erste sichtbare Zeichen für einen umfassenderen Vorfall sein. Ein kompromittiertes Postfach kann Kundenkonversationen offenlegen. Ein gestohlenes Administrator-Passwort kann zu Datendiebstahl führen. Ein geleakter Deployment-Key kann Produktionssysteme gefährden.
Die Reaktion im Unternehmen sollte beinhalten:
- Betroffene Geräte und Konten isolieren
- Protokolle sichern, bevor sie überschrieben oder gelöscht werden
- Ermitteln, worauf der Angreifer Zugriff hatte, was geändert, kopiert oder erstellt wurde
- Passwörter, API-Schlüssel, Zertifikate, Tokens und Wiederherstellungscodes rotieren, die kompromittiert sein könnten
- Weiterleitungsregeln, OAuth-Apps, Admin-Rollen und neue Nutzerkonten prüfen
- Veraltete Zugänge ehemaliger Mitarbeiter, Dienstleister und Externe entfernen
- Betroffene Stakeholder klar informieren
- Dokumentieren, was passiert ist und was sich künftig ändern wird
Betreffen die Vorfälle regulierte Daten, Kundendaten, Ransomware, Produktionssysteme oder privilegierte Zugänge, holen Sie frühzeitig professionelle Unterstützung dazu. Zu langes Zögern erschwert Eindämmung und Beweissicherung.
Häufige Fehler, die Sie vermeiden sollten
Manche gut gemeinten Aktionen erschweren die Wiederherstellung oder vergrößern das Risiko.
Vermeiden Sie insbesondere:
- IT-Abteilung / Arbeitgeber nicht sofort zu informieren
- Passwörter von möglicherweise infizierten Geräten aus zu ändern
- Ein neues Passwort mehrfach zu verwenden
- E-Mail-Weiterleitungsregeln oder Wiederherstellungsoptionen zu ignorieren
- Aktive Sitzungen und verbundene Apps nicht zu widerrufen
- Verdächtige E-Mails zu löschen, bevor Sie Beweise sichern
- Zu glauben, MFA allein macht das Konto unangreifbar
- Banken oder Anbieter nach Finanzbetrug erst Tage später zu kontaktieren
Nach der Wiederherstellung: Das Risiko eines erneuten Vorfalls senken
Ist die akute Situation im Griff, investieren Sie Zeit in die Härtung Ihrer Systeme. Die meisten Kompromittierungen entstehen nicht durch ausgefeilte Hacks, sondern durch wiederverwendete Passwörter, Phishing, schwache Optionen zur Wiederherstellung, Malware, exponierte Geräte oder alten Zugang, der niemandem mehr auffällt.
Eine praktische Checkliste:
- Für jedes Konto ein eigenes, einzigartiges Passwort verwenden
- Passwörter in einem sicheren Passwortmanager speichern, nicht in Dokumenten, Notizen oder Chats
- MFA bei E-Mail, Banking, Cloud, Geschäftskonten und sozialen Netzwerken aktivieren
- SMS-basierte MFA wo möglich durch stärkere Verfahren ersetzen
- Geräte, Browser und Apps regelmäßig aktualisieren
- Nicht mehr benötigte Apps, Erweiterungen und Dienste entfernen
- Wiederherstellungsoptionen alle paar Monate prüfen
- Wichtige Daten so sichern, dass Ransomware sie nicht einfach überschreiben kann
- Familienmitglieder oder Mitarbeitende für Phishing und falsche Support-Anfragen sensibilisieren
Sicherheit muss nicht perfekt sein, um deutlich besser zu werden. Einige wenige verlässliche Gewohnheiten beseitigen die meisten Angriffswege und mindern den Schaden, falls doch wieder etwas passiert.
Abschließender Gedanke
Gehackt zu werden bedeutet nicht zwangsläufig, dass Sie etwas falsch gemacht haben. Angreifer attackieren ständig Menschen und Unternehmen – auch vorsichtige Nutzer können durch eine überzeugende Phishing-Seite, ein bei einer alten Datenpanne wiederverwendetes Passwort oder ein kompromittiertes Gerät hereingelegt werden.
Entscheidend ist, wie Sie reagieren: Sichern Sie zuerst Ihre E-Mail, ändern Sie Passwörter vom sauberen Gerät aus, widerrufen Sie Sitzungen, aktivieren Sie starke Zwei-Faktor-Authentifizierung, prüfen Sie finanzielle Risiken, sichern Sie Beweise und benachrichtigen Sie mögliche Betroffene. Danach: Optimieren Sie Systeme und Verhaltensweisen, damit ein nächster Angriff noch schwieriger gelingt.
