Zum Schutz vor Hackern sollten alle Möglichkeiten genutzt werden. Zum Beispiel die Zwei-Faktor-Authentifizierung, also eine externe Bestätigung des gewählten Zugangs verlange. © Christin Klose, dpa
Wenn das eigene Passwort nicht mehr funktioniert, der Streamingdienst streikt oder Benachrichtigungen eintreffen, dass jemand versuche, sich in China in das eigene E-Mail-Konto einzuloggen – dann liegt zumindest der Verdacht sehr nahe, dass man Opfer einer Hackerattacke geworden ist.
„Manchmal bekommt man auch böse Mails über Kleinanzeigen, wo denn die Ware bleibe“, sagt Christopher Kunz, Sicherheitsexperte beim IT-Fachportal „heise online“. Oder ein Dienstanbieter meldet sich, weil Unbekannte ein Datenleck entdeckt und Zugangsdaten erbeutet haben, nennt Rainer Schuldt von der „Computer Bild“ ein weiteres Szenario. Dann gilt vor allem: Sofort das Passwort von allen betroffenen Konten ändern, um den Angreifern den weiteren Zugang unmöglich zu machen.
Aber wie passiert das eigentlich, dass Zugangsdaten in falsche Hände geraten? Es ist nicht so, dass irgendwo jemand vor dem Computer sitzt und so lange versucht, ein Mailkonto zu übernehmen, bis das richtige Passwort erraten ist. In der Realität probieren Rechenprogramme alle möglichen Kombinationen durch – oder die Täter kaufen die Zugangsdaten gleich en gros, die im Darknet, angeboten werden und die zum Beispiel aus Hackerangriffen auf Dienstanbieter stammen. Am schlechten eigenen Passwort kann es auch liegen – das ist aber eher selten.
■ Erster Schritt: Passwörter ändern
Was also tun, wenn mit dem eigenen Mailkonto Schindluder getrieben wird oder man gar nicht mehr hineinkommt? Es kommt ein wenig darauf an, wie schlimm der Fall ist. Besonders ernst ist es dann, wenn man dasselbe Passwort für mehrere Konten nutzt. Also das Mailkonto zum Beispiel mit der ohnehin eher unsicheren Kombination „passwortXYZ“ geschützt hat, und dieses Passwort zu allem Überfluss auch für Online-Banking, Datingprofil, Kleinanzeigen-App und Soziale Medien verwendet.
In diesem Fall raten Christopher Kunz und Rainer Schuldt: sofort sämtliche Passwörter neu vergeben. Besonders wichtig ist das bei Diensten, wo auch Bezahldaten hinterlegt sind. Sonst droht nicht nur Ärger, sondern auch Geldverlust. Höchste Priorität muss dabei das Mailkonto haben. Das hat zwei Gründe: Die Mailadresse ist häufig Benutzername für andere Dienste und über das Mailkonto lassen sich die Passwörter für andere Dienste leicht zurücksetzen und man verliert den Zugriff.
Hat man keinen Zugriff mehr auf das Mailkonto, weil die Angreifer eventuell schon das Passwort geändert haben, hilft nur noch der Weg über den Dienstanbieter. Nur dieser kann die Adresse im besten Fall wiederherstellen. „Mit eigenen Bordmitteln ist das nicht möglich“, sagt Rainer Schuldt. Bei den großen Anbietern wie Google oder Microsoft gibt es entsprechende Hilfe-Seiten mit Handreichungen und Formularen zum Ausfüllen. Mail-Anbieter GMX führt im Fall des Falles eine Identitätsprüfung durch.
Wichtig dafür: Man muss nachweisen können, auch wirklich Kontoinhaber zu sein. Die persönlichen Daten müssen also halbwegs korrekt sein. Wer vor 30 Jahren eine anonyme Mailadresse bei einem Gratisprovider angelegt hat, kommt hier womöglich nicht weiter.
■ Zweiter Schritt: Anzeige
Sind die Passwörter geändert und im besten Fall alle Konten wieder unter Kontrolle, heißt es: Anzeige muss raus! Die Polizei Brandenburg rät etwa dann dazu, wenn:
Die Anzeige mit einer Dokumentation des Falles bei der Polizei kann auch dabei helfen, eventuelle Regressforderungen von Opfern der Identitätsdiebe abzuwehren.
■ Dritter Schritt: Mehr Sicherheit für die Zukunft
Sind die Passwörter schnell geändert, ist es Zeit für eine Analyse. Zunächst einmal lohnt ein Blick, ob und wo die eigenen Zugangsdaten möglicherweise schon überall unterwegs sind. Dabei helfen Dienste wie der Identity Leak Checker des Hasso-Plattner-Instituts – eine kostenlos abrufbare Datenbank, die zahllose abgefischte Identitätsdaten enthält.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat auf seiner Bürgerseite umfassende Beratungsangebote zusammengestellt (https://dpaq.de/5GNcDB6). So bekommt man auch einen Überblick, welche Konten vielleicht noch betroffen sein könnten.
Dann gilt: noch einmal neue und wirklich sichere Passwörter vergeben. Hierbei helfen zum Beispiel die Passwortgeneratoren, die in immer mehr Webbrowsern stecken. Firefox, Chrome und Safari etwa können sichere Passwörter erzeugen und diese auch im eigenen Passwortmanager abspeichern. Dann entfällt das lästige Ausdenken und Erinnern von Passwörtern für jedes einzelne Konto. Passwortmanager sind zum Beispiel auch Teil von Apples iCloud oder kommen von Anbietern wie KeePass, Bitwarden, LastPass oder 1Password. Zum Teil sind sie kostenpflichtig. Das Passwort ist aber nicht der einzige Schutz für ein Konto. Bei manchen Anbietern kann man eine zweite Adresse als Rettungsmailadresse, eine Telefonnummer oder Antworten auf Sicherheitsfragen hinterlegen, um das Passwort zurückzusetzen, falls man es vergessen hat oder es zu einem Hacking-Fall kommt. Wer auf Sicherheitsfragen setzt, sollte die Antworten gut notieren und verwahren, rät Christopher Kunz. Auch Einmal-Codes für den passwortlosen Zugriff auf ein Konto können ausgedruckt und abgelegt werden.
Sowohl Rainer Schuldt als auch Christopher Kunz empfehlen: sämtliche Sicherungsangebote nutzen, die es gibt. Das gilt besonders für die Zwei-Faktor-Authentifizierung. Ist sie aktiviert, muss eine Anmeldung noch mithilfe eines Codes (kommt per SMS oder App) oder über ein zweites Gerät bestätigt werden. So kommt ein Angreifer auch dann nicht in ein Konto hinein, wenn er das Passwort erbeutet hat.
Wer noch einen Schritt weiter gehen will, kann bei vielen Onlinediensten die Passwörter auch ganz abschaffen und durch einen Passkey ersetzen. Das ist ein auf dem eigenen Gerät hinterlegter geheimer Schlüssel. Zusammen mit dem beim jeweiligen Dienst gespeicherten Schlüssel kann nach einmaliger Einrichtung eine Anmeldung ohne Eingabe von Benutzername und Passwort erfolgen. Mehr Informationen zu Passkeys und wie sie im Detail funktionieren, hat das BSI verständlich auf seiner Bürgerseite zusammengefasst (https://dpaq.de/ySuLeXm):