Konto gehackt: was in der ersten Stunde zählt

Sobald ein Kumpel fragt, warum du ihm plötzlich billige Skins per DM verkaufst, läuft die Uhr. Die gute Nachricht: Die erste Stunde hat eine feste Reihenfolge, und Panik gehört nicht dazu.

Kurz gesagt

Was tust du in der ersten Stunde, nachdem ein Konto gehackt wurde? Wechsle auf ein Gerät, dem du vertraust, sichere zuerst dein E-Mail-Konto, beende alle aktiven Sitzungen, ändere dann deine Passwörter in einem Zug und prüfe Weiterleitungen, Wiederherstellungsdaten und verbundene Apps [1][2]. Bist du ausgesperrt, nimm den Wiederherstellungsweg des Anbieters statt irgendwelcher Abkürzungen [2][8][10]. Nach unserer Einschätzung zählt die Reihenfolge mehr als das Tempo, denn eine gestohlene Anmeldesitzung oder eine Weiterleitungsregel überlebt ein neues Passwort. Dieser Guide beschreibt die technische Erste Hilfe mit Stand 25. Okt. 2026. Er ist keine Rechtsberatung: Für Strafanzeige, strittige Rechnungen oder Haftungsfragen sind Polizei, Verbraucherzentrale oder eine Anwältin oder ein Anwalt die richtigen Stellen [1][2].

So funktioniert’s

1. Wechsle zuerst auf ein sauberes Gerät. Wer ein neues Passwort auf einem Rechner mit Schadsoftware eintippt, verschenkt es ein zweites Mal. Die Verbraucherzentrale rät, die Anmeldung von einem anderen Gerät aus zu testen und die weiteren Schritte dort zu erledigen, damit neue Benutzernamen und Passwörter nicht abgefangen werden [2]. Steam bittet darum, vor dem Zurücksetzen des Passworts Viren- und Spyware-Scanner laufen zu lassen [12], Microsoft verlangt vor der Passwortänderung einen vollständigen Scan [9]. Das BSI ist strenger: Findet ein Scanner Schadsoftware, muss sie zuerst weg, denn erst dann verlieren die Angreifer den Zugang [1]. Bei Verdacht auf einen Infostealer sollst du den Rechner laut BSI sofort vom Internet trennen [3]. Nach einer bestätigten Infektion empfiehlt es, das Betriebssystem neu zu installieren und danach die Passwörter aller Online-Zugänge zu ändern [5]. Seine Zehn-Schritte-Anleitung arbeitet mit einem Rettungsmedium, das du an einem anderen, sauberen Rechner herunterlädst [4]. In der Praxis ist das saubere Gerät oft dein Handy mit aktuellen Updates oder ein zweiter PC, auf dem niemand im Haushalt „kostenlose“ Downloads ausprobiert hat.
2. Sichere vor allem anderen dein E-Mail-Konto. Über dein Postfach lassen sich die meisten anderen Konten zurücksetzen. Das BSI rät, mit den Zugangsdaten des betroffenen E-Mail-Kontos zu beginnen, damit Unbefugte darüber keine weiteren Passwörter mehr zurücksetzen können [1]. Steam schreibt, dass Konten häufig übernommen werden, nachdem die verknüpfte E-Mail-Adresse kompromittiert wurde [12]. Hast du noch Zugriff: Ändere das Passwort, beende alle Sitzungen und prüfe dann Wiederherstellungsnummer und Wiederherstellungsadresse [1][8]. Prüfe auch Weiterleitungen und Filterregeln, denn eine versteckte Weiterleitung schickt deine Rücksetz-Mails weiter an die Angreifer [1][2]. Google nennt weitere Einstellungen, die du korrigieren sollst, darunter Postfach-Delegierung, automatische Weiterleitung, geplante E-Mails und Abwesenheitsnotiz [8]. Apple ergänzt einen Schritt, der leicht untergeht: Frag bei deinem E-Mail-Anbieter und deinem Mobilfunkanbieter nach, ob du noch jede verknüpfte Adresse und Nummer kontrollierst und ob eine SMS-Weiterleitung eingerichtet wurde [11]. Microsoft schreibt, dass es nach einer Übernahme einige Einstellungen zurücksetzt, und bittet dich, verbundene Konten, Weiterleitung und automatische Antworten zu prüfen [9].
3. Bist du ausgesperrt, nimm die Wiederherstellung des Anbieters. Google schickt dich auf seine Seite zur Kontowiederherstellung [8]. Microsoft bietet einen Anmeldehelfer und ein Wiederherstellungsformular; die Antwort kommt innerhalb von 24 Stunden, und du kannst es bis zu zweimal am Tag versuchen [10]. Microsoft sagt auch klar, dass es nicht helfen kann, wenn die zweistufige Überprüfung aktiv ist und du alle Ausweichmethoden verloren hast, und dass sein Support nie Links zum Zurücksetzen verschickt [10]. Apple startet die Wiederherstellung unter iforgot.apple.com, danach folgt eine Wartezeit [11]. Die Verbraucherzentrale nennt einen typischen Grund, wenn du ganz draußen bist: Sehr wahrscheinlich haben die Angreifer selbst eine Zwei-Faktor-Authentisierung eingerichtet. Dann kann nur das Unternehmen nach einer Identitätsprüfung den Zugang wiederherstellen, und klappt das nicht, ist das Konto endgültig verloren [2]. Vorsicht bei Helfern, die dich zuerst finden: Discord schreibt, dass sein Team Nutzer für Supportfragen nie direkt über die App kontaktiert [14].
4. Beende alle aktiven Sitzungen. Diesen Schritt lassen viele Anleitungen weg. Google beschreibt den Cookie-Diebstahl durch Schadsoftware: Er passiert nach der Anmeldung, umgeht damit die Zwei-Faktor-Authentisierung und andere Prüfungen beim Login, und gestohlene Cookies funktionieren weiter, auch nachdem die Schadsoftware gefunden und entfernt wurde [6]. Im April 2026 ergänzte Google, dass Infostealer-Familien wie LummaC2 Sitzungs-Cookies abgreifen und dass lange Cookie-Laufzeiten den Angreifern Zugang verschaffen, ohne dass sie je das Passwort brauchen [7]. Das BSI beschreibt den Infostealer StealC genauso: Er liest gespeicherte Passwörter, Cookies und Formulardaten aus Browsern aus und zielt auf E-Mail-Programme, Messenger und Gaming-Plattformen [3]. Ist das Gerät sauber, meldest du dich deshalb überall ab. Beim E-Mail-Konto lassen sich laut BSI meist alle Sitzungen mit einem Klick in den Einstellungen beenden [1]. Bei Google öffnest du die Geräteliste („Your devices“ in der englischen Hilfe) und entfernst unbekannte Einträge [8], bei Apple entfernst du unbekannte Geräte auf account.apple.com [11]. Google führt gerade eine Abwehr namens Device Bound Session Credentials ein, für Windows-Nutzer ab Chrome 146, die Sitzungen an das Gerät bindet [7]. Sie hilft aber nur dort, wo eine Website sie unterstützt. Das Beenden der Sitzungen bleibt also deine Aufgabe.
5. Ändere die Passwörter in einem Zug. Das BSI rät, in einem Durchgang vorzugehen, damit dir die Angreifer nicht zuvorkommen, und mit dem E-Mail-Konto anzufangen [1]. Danach folgen alle Konten mit demselben alten Passwort und alle, die über die gehackte Adresse zurückgesetzt werden können [1]. Googles Liste taugt als Vorlage: Dienste mit demselben Passwort, Dienste, die dich unter dieser Adresse anschreiben, Dienste, bei denen du dich damit anmeldest, und die im Google-Konto gespeicherten Passwörter [8]. Ab jetzt bekommt jedes Konto ein eigenes Passwort [1]. Ein Passwortmanager macht das realistisch.
6. Prüfe verbundene Apps, Schlüssel und Zahlungen. Angreifer hinterlassen gern eine Hintertür, die einen Passwortwechsel übersteht. Das BSI rät zu prüfen, welche Anwendungen dein E-Mail-Konto per Single-Sign-On nutzen und ob neue dazugekommen sind [1]. Discord sagt, du sollst unbekannte Einträge unter „Autorisierte Apps“ entfernen [14]. Google rät, unbekannte Chrome-Erweiterungen zu deinstallieren [8]. Valve dokumentiert, dass jede Nutzung der Steam-Web-API einen Schlüssel braucht, den du über ein Formular beantragst [13]. Unsere Einschätzung, keine Anweisung von Valve: Hast du nie einen Schlüssel beantragt und taucht trotzdem einer in deinem Konto auf, gehört er zur Übernahme und sollte widerrufen werden. Beim Geld rät die Verbraucherzentrale, den Bestellverlauf zu prüfen, den Shop um eine Sperre des Kontos zu bitten, die Bank zu informieren und Karten im Zweifel über den Sperr-Notruf 116 116 sperren zu lassen [2]. Discord warnt, dass eine Rückbuchung über deine Bank zu einer Sperre des Kontos während der Prüfung führen kann, und verweist für Erstattungen auf sein Abrechnungsteam [14].
7. Warnen, dokumentieren, melden. Sag deinen Kontakten, dass Nachrichten von deinem Konto womöglich nicht von dir stammen [1][2]. Mach Screenshots von geänderten Einstellungen, seltsamen Nachrichten und Abbuchungen, bevor du aufräumst. Die Onlinewache der Polizei nimmt Anzeigen wegen Missbrauchs von Daten oder Kundenkonten an; ist die Tat im Internet passiert, wählst du das Bundesland deines Wohnorts und kannst Screenshots hochladen [20]. Die Verbraucherzentrale nennt außerdem das Opfer-Telefon des WEISSER RING (116 006) [2]. Das BSI sagt, dass es keine rechtlichen Empfehlungen geben kann, und rät, bei Mahnungen per Briefpost eine anwaltliche Beratung in Betracht zu ziehen [1].

Wohin bei den großen Anbietern?

Nach der ersten Stunde: Lecks prüfen

Have I Been Pwned erfasst sogenannte Stealer-Logs, also die Beute von Schadsoftware, die E-Mail-Adressen, Passwörter und die Websites sammelt, auf denen sie eingegeben wurden [18]. Bestätigst du deine Adresse über den kostenlosen Benachrichtigungsdienst, siehst du, welche Website-Domains neben ihr auftauchen [19]. Der Betreiber nennt zwei Einschränkungen: Kriminelle erstellen diese Daten ohne jede Garantie für ihre Richtigkeit [19], und eine Adresse, die nicht gefunden wird, ist kein Beweis, dass sie sicher ist [18]. Das BSI verweist zusätzlich auf die Leak-Checker der Uni Bonn und des Hasso-Plattner-Instituts [1]. Ist wieder Ruhe eingekehrt, sicherst du die Konten richtig ab. Die Backup-Codes von Discord etwa gelten jeweils nur einmal, erzeuge also neue, sobald du wieder drin bist [15].

Praxisbeispiel

Der Fall ist erfunden und kein Bericht über eine echte Person. Jonas installiert einen „kostenlosen Cheat“ für einen Shooter. Zwei Tage später bekommen seine Freunde Discord-Nachrichten mit einem Link von seinem Konto, und Steam schreibt ihm, dass seine E-Mail-Adresse geändert wurde. Minute 0 bis 10: Er trennt den Gaming-PC vom Netz, wie es das BSI bei Infostealern rät [3], und macht auf seinem aktuellen Handy weiter. Minute 10 bis 25: Er ändert das Passwort seines Mailkontos, beendet dort alle Sitzungen, löscht eine Weiterleitungsregel, die er nie angelegt hat, und korrigiert die Wiederherstellungsnummer [1][8]. Minute 25 bis 40: Bei Discord setzt er das Passwort zurück, prüft MFA und entfernt zwei unbekannte autorisierte Apps; weil der Angreifer die Steam-Adresse geändert hat, stellt er eine Anfrage beim Steam-Support [12][14]. Minute 40 bis 60: Er ändert die Passwörter aller Konten, die dasselbe Passwort hatten, warnt seine Freunde und macht Screenshots für eine Anzeige bei der Onlinewache [1][20]. Der Gaming-PC wird am nächsten Tag neu aufgesetzt, und erst danach meldet er sich dort wieder an [4][5]. Alle Zeitangaben in diesem Beispiel sind ausgedacht. Deine erste Stunde darf länger dauern.

Prüfliste

• Wechsle auf ein Gerät, dem du vertraust, und trenne den verdächtigen PC vom Internet.
• Ändere zuerst das Passwort deines E-Mail-Kontos und beende dort alle Sitzungen.
• Prüfe Wiederherstellungsnummer, Wiederherstellungsadresse, Weiterleitungen und Filterregeln und korrigiere alles, was du nicht selbst eingerichtet hast.
• Nutze die Wiederherstellungsseite des Anbieters, wenn du ausgesperrt bist, und ignoriere alle, die dir ungefragt eine „Wiederherstellung“ anbieten.
• Melde dich überall ab, sobald das Gerät sauber ist, damit gestohlene Sitzungs-Cookies nicht mehr funktionieren.
• Ändere jedes Passwort, das dem alten glich oder an der gehackten Adresse hängt.
• Entferne unbekannte verbundene Apps, Browser-Erweiterungen und API-Schlüssel und prüfe deine Zahlungen.
• Warne deine Kontakte, bewahre Screenshots auf und erstatte bei der Onlinewache Anzeige, wenn du den Fall melden willst.
• Setze einen infizierten PC neu auf, bevor du dich dort wieder anmeldest.

Passt dazu: Passkeys und 2FA: Konten richtig absichern; Passwortmanager selbst hosten: 3 Optionen; TOTP-Einmalcodes; Passkey (FIDO2-Anmeldung); Router absichern: Checkliste fürs Heimnetz.