E-Mail-Konto gehackt: was in der ersten Stunde zählt

Veröffentlicht am 14. Oktober 2026 · Von Marvin Mörsberger · So prüfen wir

Wenn ein Fremder im E-Mail-Postfach ist, geht es nicht um die Mails. Es geht um alles, was an dieser Adresse hängt: das Bankkonto, die Online-Shops mit gespeicherter Zahlungsart, die Cloud mit den Fotos, der Mobilfunkvertrag, die Netzwerke, in denen Sie unter Ihrem Namen auftreten. Für jeden dieser Zugänge kann man ein neues Passwort anfordern, und der Link dafür landet im Postfach.

Deshalb zählt die Reihenfolge. Die folgenden sieben Schritte sind so sortiert, dass jeder den nächsten möglich macht. Arbeiten Sie sie von oben nach unten ab, auch wenn ein Punkt überflüssig wirkt. Der dritte lässt sich leicht übersehen, weil im Postfach nichts darauf hinweist, und an ihm hängt, ob morgen noch jemand mitliest.

Die erste Stunde, Schritt für Schritt

1. Passwort ändern, von einem Gerät, dem Sie trauen. Benutzen Sie dafür nicht den Rechner, über den der Zugriff gelaufen sein könnte. Nehmen Sie ein Handy oder ein Tablet, auf dem Sie seit Wochen nichts Fremdes installiert haben. Das verdächtige Gerät bleibt außen vor, bis es geprüft ist, sonst ist auch das neue Passwort nach einer Stunde wieder bekannt. Das neue Passwort muss lang sein und darf an keiner anderen Stelle schon benutzt werden, denn ein verbreiteter Weg in ein Postfach ist ein Passwort, das bei einem anderen Dienst gestohlen wurde. Wie Sie das ohne Merkaufwand hinbekommen, steht im Ratgeber zu Passwort-Managern.

2. Alle angemeldeten Geräte abmelden. Ein neues Passwort beendet nicht zuverlässig jede laufende Sitzung, und Zugriffe von Apps überleben es erst recht. Bei Google steht die Liste im Konto unter „Sicherheit“ bei „Ihre Geräte“. Bei Outlook.com finden Sie unter account.microsoft.com im Bereich „Sicherheit“ bei den erweiterten Sicherheitsoptionen den Punkt „Überall abmelden“; Microsoft weist darauf hin, dass das bis zu 24 Stunden dauern kann, Spielekonsolen melden Sie zusätzlich einzeln ab. Beim Apple Account entfernen Sie die Geräte einzeln aus der Liste. Danach müssen Sie sich auf Ihren eigenen Geräten neu anmelden.

3. Weiterleitungen und Filterregeln prüfen. Das ist der Schritt, der übersehen wird, und er ist der wichtigste. Eine Weiterleitungsregel schickt eine Kopie jeder eingehenden Mail an eine fremde Adresse und überlebt jeden Passwortwechsel, ohne dass Sie etwas merken. Dazu passen Filter, die bestimmte Nachrichten verschwinden lassen, bevor Sie sie sehen: alles von Ihrer Bank in den Papierkorb, alles mit „Passwort zurücksetzen“ im Betreff in ein unbenutztes Verzeichnis. So bleibt ein Zugang monatelang offen.

Wo Sie nachsehen: In Gmail unter „Alle Einstellungen“ in den Reitern Weiterleitung und POP/IMAP sowie Filter und blockierte Adressen, Googles Anleitung zur Weiterleitung zeigt die Stelle. Bei Outlook.com in den Einstellungen unter „E-Mail“ bei Regeln und Weiterleitung. Im Reiter Weiterleitung und POP/IMAP schalten Sie POP und IMAP ab, wenn Sie beides nicht brauchen; aktives POP mit der Einstellung „Kopien löschen“ ist ein eigener Abflussweg. Unter Konten und Import stehen die Adressen, unter denen das Konto senden darf, und der Punkt „Zugriff auf Ihr Konto gewähren“: ein dort eingetragener fremder Zugriff überlebt Passwortwechsel und Geräteabmeldung genauso wie eine Weiterleitung. Die automatische Abwesenheitsantwort steht unter Allgemein. Bei Outlook.com heißt die Entsprechung Stellvertreterzugriff. Alles, was Sie nicht selbst eingerichtet haben, löschen Sie, und zwar bevor Sie weitermachen.

4. Wiederherstellungsadresse, Telefonnummer und verbundene Apps kontrollieren. Eine getauschte Wiederherstellungsadresse gibt das Konto jederzeit zurück an den Fremden, auch wenn er gerade ausgesperrt ist. Prüfen Sie beides, Zweitadresse und Mobilnummer, und tragen Sie etwas ein, das Sie erreichen. Bei Google liegen diese Angaben im Konto unter „Sicherheit“, die verbundenen Programme etwas weiter unten bei „Ihre Verbindungen zu Apps und Diensten“. Was Sie dort nicht zuordnen können, entziehen Sie. Ein alter Zugriff dieser Art liest weiter mit, auch nach dem Passwortwechsel.

5. Zwei Faktoren einschalten. Ein zweiter Faktor ist ein zweiter Nachweis neben dem Passwort, den nur Sie haben. Am besten ein Passkey, den Handy oder Rechner selbst speichert, oder eine Authenticator-App, die alle 30 Sekunden eine neue Zahl anzeigt. Eine SMS ist der schwächste dieser Wege, weil sich Rufnummern übernehmen lassen. Beim Einschalten bietet der Anbieter Wiederherstellungscodes an: rufen Sie sie dort ab, bewahren Sie sie außerhalb des Postfachs auf, und erzeugen Sie neue, falls alte existieren, denn die kennt der Fremde. Hier finden Sie bei Google auch die App-Passwörter, also gesonderte Passwörter für einzelne Programme, die ein Passwortwechsel nicht ungültig macht. Löschen Sie alle, die Sie nicht selbst angelegt haben. War eine SMS als zweiter Faktor im Spiel, sollten Sie beim Mobilfunkanbieter nachfragen, ob für Ihre Nummer eine Ersatz-SIM beantragt wurde.

6. Die Konten sichern, die an der Adresse hängen. Bank zuerst: Umsätze durchsehen, und zwar auch die kleinen Beträge, mit denen Karten getestet werden. Dann die Dienste mit gespeicherter Zahlungsart. Sehen Sie bei Amazon, PayPal und den übrigen Shops in die Bestellhistorie und in die Lieferadressen, denn eine neu eingetragene Adresse ist ein deutliches Zeichen. Welche Dienste überhaupt an der Adresse hängen, finden Sie am schnellsten über die Suche im Postfach nach „Willkommen“, „Ihre Registrierung“ und „Rechnung“, dazu über die gespeicherten Anmeldungen im Browser oder im Passwort-Manager.

7. Kontakte warnen. Kurz und sachlich, am besten über einen anderen Weg als die betroffene Adresse: Von meinem Konto wurden Mails verschickt, die nicht von mir sind, bitte in den letzten Tagen nichts anklicken und auf keine Geldbitte reagieren. Das verhindert den Teil des Schadens, der bei anderen entsteht. Eine Nachricht aus einem echten, bekannten Postfach wirkt besonders glaubwürdig, weil Absender und Verlauf stimmen, und genau dafür wird sie eingesetzt, wie der Beitrag über KI-Phishing zeigt.

Woran Sie merken, dass das Konto schon länger offen war

Die Frage ist nicht nur, wie Sie den Fremden loswerden, sondern seit wann er da war. Danach entscheidet sich, wie weit Sie zurück aufräumen müssen.

• Der Anmeldeverlauf. Bei Google steht er im Konto unter „Sicherheit“ bei „Sicherheitsrelevante Aktivitäten prüfen“, bei Microsoft unter account.microsoft.com im Bereich „Sicherheit“ als Anmeldeaktivität, mit Ort, Zeit und Art des Zugriffs. Beide zeigen etwa den letzten Monat. Was länger zurückliegt, lässt sich nur noch über alte Benachrichtigungsmails des Anbieters rekonstruieren.
• Mails mit falschem Lesestatus. Nachrichten, die gelesen sind, obwohl Sie sie nie geöffnet haben. Manche setzen den Lesestatus hinterher zurück, dann fällt das Gegenteil auf: eine Mail, die plötzlich wieder als ungelesen im Posteingang liegt.
• Leere Ordner. Ein aufgeräumter Papierkorb und ein leerer Ordner „Gesendet“ sind kein Zufall. Dort verschwinden die Mails, die der Zugriff erzeugt hat.
• Regeln, die Sie nie angelegt haben. Ein Datum steht dabei nicht, weder Gmail noch Outlook.com zeigt an, wann eine Regel entstanden ist. Wie lange sie schon läuft, verrät eher die älteste Mail im Zielordner.
• Bestätigungsmails für Dinge, die Sie nicht getan haben. Passwortänderungen, neue Geräte, Anmeldeversuche mitten in der Nacht, Rechnungen für Abonnements, die Sie nicht kennen.
• Hinweise von außen. Kontakte, die von seltsamen Nachrichten berichten, oder Mails, die als unzustellbar zurückkommen, ohne dass Sie etwas geschrieben haben. Letzteres heißt meist, dass über das Konto in Mengen verschickt wurde.

Wer eine eigene Domain für die Mailadresse nutzt, sollte zusätzlich prüfen, ob in seinem Namen von fremden Servern gemailt werden kann. Das zeigt der E-Mail-Check für SPF, DKIM und DMARC in wenigen Sekunden.

Wenn der Zugang schon weg ist

Hat der Angreifer Passwort und zweiten Faktor getauscht, kommen Sie über den normalen Weg nicht mehr hinein. Dann bleibt das Wiederherstellungsverfahren des Anbieters, und dessen Erfolg hängt an Kleinigkeiten.

Nutzen Sie dafür ein Gerät, mit dem Sie das Konto früher benutzt haben, und das eigene WLAN zuhause statt Mobilfunk oder ein fremdes Netz. Der Anbieter vergleicht beides. Geben Sie ein altes Passwort an, das Sie wirklich einmal verwendet haben, nennen Sie das Jahr, in dem das Konto entstand, und die Namen häufiger Kontakte, wenn danach gefragt wird. Bei Google führt der Weg über die Kontowiederherstellung unter accounts.google.com/signin/recovery, die dazugehörige Anleitung für ein manipuliertes Konto listet die Prüfpunkte danach auf. Bei Microsoft ist das Formular account.live.com/acsr. Ein abgelehnter Versuch ist kein Urteil, Sie dürfen es mit besseren Angaben erneut versuchen.

Zwei Dinge gehören dazu: Erstatten Sie Anzeige, bevor Sie Belege löschen, und sichern Sie vorher Bildschirmfotos der fremden Anmeldungen, der Regeln und der Zeiten. Und halten Sie sich von Anbietern fern, die gegen Geld „Konten zurückholen“. Über den Zugang entscheidet allein Google oder Microsoft, eine Rückholung kann deshalb niemand zusichern.

Parallel dazu retten Sie die Dienste einzeln. Bei Bank, Zahlungsdienst und wichtigen Shops lässt sich die hinterlegte Mailadresse über den Kundenservice austauschen, meist mit Ausweis. Das ist Arbeit, aber danach führt das Postfach nicht mehr zum nächsten Konto.

Damit es nicht wieder passiert

Dauerhaft hilft ein eigenes Passwort je Dienst aus einem Passwort-Manager, ein zweiter Faktor am Mailkonto und eine Wiederherstellungsadresse, die nirgends im Umlauf ist und ausschließlich diesem Zweck dient.

Dazu gehört, das Gerät im Blick zu behalten, von dem aus Sie Mails lesen. Ein erster Überblick über System und Browser gibt der PC-Sicherheitscheck im Browser, ohne Installation. Wer zuhause außerdem Router, WLAN und Netzwerkgeräte einmal sauber einrichten will, findet die Reihenfolge in IT-Sicherheit zuhause. Und wer wissen will, ob er eine gefälschte Nachricht erkennt, kann das im Phishing-Quiz an echten Beispielen ausprobieren.

Häufige Fragen

Reicht es, nur das Passwort zu ändern?

Nein. Ein Passwortwechsel beendet nicht jede offene Sitzung und löscht keine Weiterleitungsregel. Beides bleibt bestehen, und beides genügt, um weiter mitzulesen. Deshalb gehören zum Passwortwechsel immer zwei weitere Handgriffe: alle Geräte abmelden und die Regeln im Postfach prüfen.

Wie finde ich heraus, ob meine Adresse in einem Datenleck steht?

Beim Identity Leak Checker des Hasso-Plattner-Instituts unter sec.hpi.de/ilc. Sie geben die Adresse ein und bekommen die Antwort per Mail an genau diese Adresse, damit niemand fremde Konten abfragen kann. Der Bericht nennt, welche Datenarten betroffen sind, das kann auch die Anschrift oder das Geburtsdatum sein. Steht ein Passwort dabei, gilt es als bekannt und muss überall ausgetauscht werden, wo es noch im Einsatz ist.

Der Angreifer hat seine Telefonnummer als zweiten Faktor eingetragen. Was nun?

Solange Sie noch im Konto sind, tragen Sie Ihre eigene Nummer ein und entfernen die fremde, danach melden Sie alle Geräte ab. Kommen Sie nicht mehr hinein, bleibt nur das Wiederherstellungsformular des Anbieters, und zwar von einem Gerät, mit dem Sie das Konto früher benutzt haben. Wichtig ist, in dieser Zeit die Dienste zu sichern, die an der Adresse hängen, allen voran das Bankkonto.

Soll ich das Konto löschen und ein neues anlegen?

Nicht, solange Dienste daran hängen. Eine gelöschte Adresse kann keine Passwörter mehr zurücksetzen, und bei manchen Anbietern wird sie nach einer Sperrfrist wieder vergeben. Richtig ist der umgekehrte Weg: das Konto absichern, die hinterlegte Adresse bei den wichtigen Diensten in Ruhe austauschen und das alte Postfach erst danach aufgeben, wenn Sie es überhaupt noch wollen.

Wie lange sollte ich das Konto danach beobachten?

Sehen Sie nach einer Woche und nach einem Monat erneut in den Anmeldeverlauf und in die Filterregeln. Wer einmal Zugang hatte, versucht es oft ein zweites Mal, gern mit einer Regel, die beim ersten Aufräumen übersehen wurde. Auffällige Anmeldungen aus dem Ausland oder neue Regeln sind das Signal, den Durchgang komplett zu wiederholen.