Plötzlich funktioniert das Passwort nicht mehr, Freunde melden seltsame Nachrichten von Ihrem Instagram-Profil, oder Ihr Postfach enthält Bestätigungen für Bestellungen, die Sie nie getätigt haben: Ihr Konto wurde gehackt. Das ist kein seltenes Pech. Laut dem Cybersicherheitsmonitor 2025 von BSI und Polizei erlebten 8 Prozent der Befragten, die im Vorjahr von Cyberkriminalität betroffen waren, einen unberechtigten Zugriff auf ein Online-Konto. Jetzt zählt jede Minute. Diese Anleitung folgt im Kern dem Notfallplan des Bundesamts für Sicherheit in der Informationstechnik (BSI) und zeigt Ihnen, in welcher Reihenfolge Sie vorgehen sollten.
Woran erkenne ich, dass mein Konto gehackt wurde?
Typische Anzeichen sind:
- Sie können sich mit Ihrem bekannten Passwort nicht mehr anmelden.
- Sie erhalten Benachrichtigungen über Anmeldungen, Passwortänderungen oder neue Geräte, die Sie nicht veranlasst haben.
- Ihre Wiederherstellungs-E-Mail-Adresse oder Telefonnummer wurde geändert.
- Kontakte erhalten Nachrichten, Links oder Geldforderungen, die nicht von Ihnen stammen.
- Im Postfach finden Sie gesendete E-Mails, die Sie nicht geschrieben haben, oder es fehlen Nachrichten.
- Auf Ihren Konten tauchen Bestellungen, Zahlungen oder Posts auf, die Sie nicht kennen.
Schritt 1: Gerät auf Schadsoftware prüfen
Bevor Sie Passwörter ändern, sollten Sie sicherstellen, dass Ihr Computer oder Smartphone nicht selbst infiziert ist. Das BSI weist ausdrücklich darauf hin: Hat ein Schadprogramm die Zugangsdaten abgegriffen, würden die Täter auch das neue Passwort sofort wieder mitlesen.
- Lassen Sie einen aktuellen Virenscanner vollständig laufen (unter Windows zum Beispiel Microsoft Defender).
- Entfernen Sie unbekannte Apps und Browser-Erweiterungen.
- Installieren Sie ausstehende Updates für Betriebssystem und Browser.
- Sind Sie unsicher, ändern Sie die Passwörter von einem anderen, sauberen Gerät aus.
Schritt 2: Zuerst das E-Mail-Konto sichern
Ihr E-Mail-Postfach ist der Generalschlüssel zu Ihrem digitalen Leben. Über die Funktion „Passwort vergessen“ lassen sich damit die Zugänge zu fast allen anderen Diensten zurücksetzen. Deshalb gilt: Erst das Postfach, dann alles andere.
Wenn Sie noch Zugriff haben
- Passwort sofort ändern – in ein starkes, einzigartiges Passwort, das Sie nirgendwo sonst verwenden.
- Alle aktiven Sitzungen beenden: In den Sicherheitseinstellungen der meisten Anbieter können Sie sich auf allen Geräten abmelden. Damit fliegen die Täter raus.
- Einstellungen kontrollieren: Prüfen Sie Weiterleitungsregeln, Filter, Abwesenheitsnotizen, Wiederherstellungsadresse und Telefonnummer. Täter richten häufig eine unauffällige Weiterleitung ein, um weiter mitzulesen.
- Verbundene Apps prüfen: Entfernen Sie Drittanbieter-Apps und Anmeldungen, die Sie nicht kennen.
- Zwei-Faktor-Authentifizierung einschalten, falls noch nicht geschehen.
Wenn Sie keinen Zugriff mehr haben
Wenden Sie sich über die offizielle Wiederherstellungsseite an Ihren Anbieter. Bei Google führt Sie die Kontowiederherstellung durch Sicherheitsfragen, etwa zu früheren Passwörtern oder Ihrer Wiederherstellungsnummer. Beantworten Sie die Fragen möglichst von einem Gerät und Ort aus, an dem Sie sich sonst auch anmelden. Bei deutschen Anbietern wie GMX, WEB.DE oder T-Online finden Sie die Wiederherstellung im Hilfebereich des jeweiligen Anbieters.
Wichtig: Reagieren Sie nicht auf Angebote in sozialen Netzwerken, die versprechen, gehackte Konten gegen Gebühr „wiederherzustellen“. Dahinter stecken fast immer weitere Betrüger.
Schritt 3: Weitere Konten absichern
Wenn Sie dasselbe Passwort auch bei anderen Diensten verwendet haben, sind diese ebenfalls gefährdet. Die Täter probieren gestohlene Zugangsdaten automatisiert bei vielen Anbietern aus.
Ändern Sie deshalb die Passwörter folgender Konten, und zwar jeweils in ein eigenes, einzigartiges Passwort:
- Online-Banking und Bezahldienste (z. B. PayPal),
- Online-Shops mit hinterlegten Zahlungsdaten (z. B. Amazon),
- soziale Netzwerke und Messenger,
- Cloud-Speicher und Passwortmanager,
- alle Dienste, bei denen Sie sich mit dem betroffenen Konto per „Mit Google anmelden“ oder „Mit Apple anmelden“ einloggen (Single Sign-on).
Ein Passwortmanager hilft Ihnen, für jedes Konto ein anderes starkes Passwort zu verwenden, ohne sich alle merken zu müssen.
Soziale Netzwerke und Messenger: So holen Sie sich Ihr Konto zurück
| Dienst | Was Sie tun sollten |
|---|---|
| Die Hilfeseite instagram.com/hacked aufrufen. Instagram schickt einen Anmeldelink oder Sicherheitscode an Ihre hinterlegte E-Mail-Adresse oder Telefonnummer. In manchen Fällen verlangt Instagram zur Identitätsprüfung ein Video-Selfie. | |
| Die Hilfeseite facebook.com/hacked nutzen und den Anweisungen folgen. | |
| WhatsApp mit Ihrer Telefonnummer neu einrichten und den per SMS erhaltenen Code eingeben. Dadurch wird die Sitzung auf dem fremden Gerät beendet. Anschließend die Verifizierung in zwei Schritten mit einer PIN aktivieren. | |
| Über die Kontowiederherstellung Zugriff zurückerlangen, danach unter „Sicherheit“ unbekannte Geräte entfernen und verdächtige Aktivitäten als „Nicht ich“ markieren. | |
| Apple Account | Über iforgot.apple.com das Passwort zurücksetzen oder die Accountwiederherstellung starten. |
Geben Sie den Bestätigungscode, den Sie per SMS erhalten, niemals an andere weiter – auch nicht an Freunde, die Sie angeblich per Messenger darum bitten. Genau so übernehmen Täter bei WhatsApp und Instagram viele Konten.
Schritt 4: Kontakte warnen und Beweise sichern
- Kontakte informieren: Warnen Sie Freunde, Familie und Kollegen, dass Nachrichten in Ihrem Namen nicht von Ihnen stammen. Bitten Sie sie, verdächtige Nachrichten zu melden und keinesfalls Geld zu überweisen.
- Screenshots anfertigen: Dokumentieren Sie verdächtige Nachrichten, Anmeldebenachrichtigungen, geänderte Einstellungen und unbekannte Transaktionen – mit Datum und Uhrzeit.
- Anzeige erstatten: Das BSI rät, Anzeige bei der Polizei zu erstatten und die gesammelten Belege beizufügen. Viele Bundesländer bieten eine Online-Wache an. Die Anzeige hilft auch, wenn Täter in Ihrem Namen Verträge abschließen oder Waren bestellen.
- Bank informieren: Wurden Zahlungsdaten missbraucht, kontaktieren Sie sofort Ihre Bank. Karten und Online-Banking lassen sich auch über den Sperr-Notruf 116 116 sperren.
Schritt 5: Prüfen, ob Ihre Daten in Leaks auftauchen
Viele Konten werden gehackt, weil Zugangsdaten bei einem Datenleck eines ganz anderen Dienstes gestohlen wurden. Mit dem kostenlosen Identity Leak Checker des Hasso-Plattner-Instituts (HPI) können Sie prüfen, ob Ihre E-Mail-Adresse in bekannten Leaks enthalten ist. Das Ergebnis erhalten Sie per E-Mail an die geprüfte Adresse. Taucht Ihre Adresse auf, ändern Sie die Passwörter der betroffenen Dienste.
Wie verhindere ich, dass es wieder passiert?
- Zwei-Faktor-Authentifizierung aktivieren – bei E-Mail, sozialen Netzwerken, Banking und Shops. Wie das bei WhatsApp, Google und Instagram geht, erklären wir in unserem Ratgeber zur Zwei-Faktor-Authentifizierung.
- Passkeys nutzen, wo sie angeboten werden. Das BSI nennt sie ausdrücklich als Alternative zu Passwörtern. Mehr dazu in unserem Ratgeber Passkeys einrichten.
- Für jeden Dienst ein eigenes Passwort verwenden, am besten mit einem Passwortmanager.
- Wiederherstellungsdaten aktuell halten: Eine Zweit-E-Mail-Adresse, Telefonnummer und ausgedruckte Backup-Codes sind im Ernstfall Ihr Weg zurück ins Konto.
- Phishing erkennen lernen: Die meisten Konten werden über gefälschte Login-Seiten oder abgefangene Codes übernommen. Die typischen Warnzeichen finden Sie in unserem Ratgeber Phishing erkennen.
- Geräte aktuell halten und Apps nur aus offiziellen Stores installieren.
Häufige Fragen
Soll ich ein gehacktes Konto einfach löschen?
Nicht voreilig. Zuerst sollten Sie das Konto zurückgewinnen und Beweise sichern. Ein gelöschtes E-Mail-Konto kann zum Problem werden, wenn es als Wiederherstellungsadresse für andere Dienste hinterlegt ist. Löschen Sie es erst, wenn Sie alle verknüpften Dienste auf eine neue Adresse umgestellt haben.
Der Anbieter reagiert nicht – was kann ich tun?
Nutzen Sie ausschließlich die offiziellen Hilfeseiten und Formulare und dokumentieren Sie Ihre Anfragen. Bei deutschen Anbietern hilft oft der telefonische Kundendienst. Unterstützung erhalten Sie außerdem bei der Verbraucherzentrale in Ihrem Bundesland.
Muss ich den Hack der Polizei melden?
Eine Pflicht gibt es für Privatpersonen nicht. Eine Anzeige ist aber sinnvoll, vor allem wenn Täter Geld erbeutet, in Ihrem Namen Bestellungen aufgegeben oder Kontakte betrogen haben. Sie dient außerdem als Nachweis gegenüber Banken und Händlern.
Wie erkenne ich, ob jemand noch Zugriff hat?
Prüfen Sie in den Sicherheitseinstellungen die Liste der angemeldeten Geräte und die letzten Aktivitäten. Tauchen dort nach dem Passwortwechsel und der Abmeldung aller Sitzungen erneut unbekannte Geräte auf, ist wahrscheinlich eines Ihrer Geräte infiziert oder die Täter haben noch Zugriff auf Ihr E-Mail-Postfach.
Fazit
Wer schnell und in der richtigen Reihenfolge handelt, bekommt ein gehacktes Konto in den meisten Fällen zurück: Gerät prüfen, E-Mail-Konto sichern, Passwörter ändern, fremde Sitzungen beenden, Kontakte warnen und Anzeige erstatten. Danach lohnt sich der wichtigste Schritt überhaupt – Zwei-Faktor-Authentifizierung oder Passkeys einzuschalten, damit ein gestohlenes Passwort allein künftig nicht mehr ausreicht.
