Was tun, wenn ein Passwort gestohlen wurde: Anleitung zum sofortigen Schutz Ihrer Konten

Zu entdecken, dass ein Passwort gestohlen worden sein könnte, ist eine Situation, die man nicht unterschätzen sollte. Manchmal bemerken wir es, weil wir eine Warnung vom Browser, Passwortmanager oder dem Dienst erhalten, den wir nutzen. Manchmal entsteht der Verdacht durch einen ungewöhnlichen Zugriff, eine Sicherheits-E-Mail, eine Passwort-Wiederherstellungsnachricht, die wir nicht angefordert haben, oder durch seltsame Aktivitäten auf einem Konto. Das Wichtigste ist, nicht in Panik zu geraten, sondern geordnet vorzugehen. Ein kompromittiertes Passwort bedeutet nicht automatisch, dass alle deine Konten gehackt wurden, kann aber zu einem ernsthaften Problem werden, wenn dasselbe Passwort auf mehreren Diensten verwendet wurde.

In diesem Leitfaden sehen wir was zu tun ist, wenn ein Passwort gestohlen wurde, welche Überprüfungen sofort durchzuführen sind, wie man die Zugangsdaten korrekt ändert und welche Einstellungen zu aktivieren sind, um E-Mail, soziale Netzwerke, Cloud-Dienste, Bank-Apps und persönliche Konten besser zu schützen. Wichtiger Hinweis: Wenn ein Passwort gestohlen wurde, reicht es nicht, es nur aus dem Browser oder vom Telefon zu löschen. Du musst es auf der Website oder in der App des betreffenden Dienstes ändern und prüfen, ob bereits jemand Zugriff auf dein Konto hatte.

Wie man erkennt, ob ein Passwort gestohlen wurde

Nicht immer wird ein gestohlenes Passwort sofort verwendet. In vielen Fällen landen die Zugangsdaten in Datenbanken, die bei Datenlecks gestohlen wurden, werden online verkauft oder automatisch genutzt, um den Zugang zu anderen Diensten zu versuchen. Es gibt einige Hinweise, die dich schnell handeln lassen sollten:

• Du erhältst eine Warnung, dass das Passwort kompromittiert ist;
• Der Browser oder Passwortmanager meldet ein gestohlenes oder wiederverwendetes Passwort;
• Du erhältst Verifizierungscodes, die du nicht angefordert hast;
• E-Mails mit Zugriffsbenachrichtigungen von Geräten oder Orten, die du nicht erkennst, treffen ein;
• Jemand versucht, das Passwort eines deiner Konten zurückzusetzen;
• Du bemerkst Nachrichten, die ohne dein Zutun von deinem Profil gesendet wurden;
• Du findest Änderungen an E-Mail, Telefonnummer, Benutzernamen oder Sicherheitseinstellungen;
• Ein Dienst informiert dich, dass er Opfer eines Datenlecks wurde.

In all diesen Fällen solltest du sofort handeln, beginnend mit dem wichtigsten Konto: in der Regel dem Haupt-E-Mail-Konto. Wenn ein Angreifer in dein E-Mail-Postfach gelangt, kann er versuchen, Passwörter vieler anderer verbundener Dienste zurückzuholen.

Was sofort zu tun ist, wenn ein Passwort gestohlen wurde

Wenn du den Verdacht hast, dass ein Passwort gestohlen wurde, ist das Erste, das du tun solltest, das Passwort auf der offiziellen Website des Dienstes zu ändern. Nutze keine Links aus E-Mails oder Nachrichten, besonders wenn der Ton dringend oder bedrohlich ist. Öffne die Website direkt, indem du die Adresse im Browser eingibst oder die offizielle App verwendest. Der richtige Ablauf ist folgender:

1. Öffne die offizielle Website oder App des Dienstes;
2. Melde dich in deinem Konto an, falls du noch Zugriff hast;
3. Gehe zu den Sicherheitseinstellungen;
4. Ändere sofort das Passwort;
5. Wähle ein neues, langes und anderes Passwort als alle bisherigen;
6. Speichere das neue Passwort sicher ab;
7. Aktiviere die Zwei-Faktor-Authentifizierung, falls verfügbar;
8. Überprüfe verbundene Geräte, aktive Sitzungen und aktuelle Aktivitäten.

Wenn du keinen Zugang mehr hast, nutze das offizielle Konto-Wiederherstellungsverfahren. Auch hier vermeide verdächtige Links und starte immer von der offiziellen Seite des Dienstes.

Ändere zuerst das Passwort deiner Haupt-E-Mail

Die Haupt-E-Mail ist oft das Zentrum deiner digitalen Identität. Sie dient dazu, Verifizierungscodes, Zugangsbestätigungen, Passwort-Wiederherstellungslinks, Rechnungen, Dokumente, Bankmitteilungen und Benachrichtigungen von sozialen Netzwerken zu empfangen. Aus diesem Grund solltest du, wenn du einen Kompromittierungsverdacht hast, dem wichtigsten Postfach Priorität einräumen. Überprüfe sofort:

• ob das E-Mail-Passwort einzigartig ist und nicht anderswo verwendet wird;
• ob es kürzliche Zugriffe von unbekannten Geräten gab;
• ob automatische Weiterleitungsregeln eingerichtet wurden;
• ob es merkwürdige Filter gibt, die Nachrichten verschieben oder verbergen;
• ob die Wiederherstellungs-E-Mail und die Telefonnummer noch deine sind;
• ob die Zwei-Faktor-Authentifizierung aktiviert ist.

Ein Angreifer, der Zugriff auf deine E-Mail erhält, kann nach Nachrichten mit persönlichen Daten, alten Passwörtern, Dokumenten, Quittungen, Steuerdaten oder Hinweisen auf von dir genutzte Dienste suchen. Er kann auch versuchen, die Passwörter anderer verknüpfter Konten zurückzusetzen.

Verwende ein neues, von allen anderen unterschiedliches Passwort

Wenn du ein gestohlenes Passwort änderst, solltest du keine kleinen Variationen des alten machen. Einen Buchstaben ändern, eine Zahl hinzufügen oder ein Symbol ans Ende setzen ist keine sichere Lösung. Wenn das vorherige Passwort bekannt war, sind ähnliche Varianten leicht zu erraten. Ein gutes Passwort sollte:

• lang sein;
• einzigartig für dieses Konto sein;
• nicht mit deinem Namen, Geburtsdatum oder anderen persönlichen Informationen verbunden sein;
• nicht auf anderen Seiten wiederverwendet werden;
• auch für Personen, die dich kennen, schwer zu erraten sein.

Du kannst einen Passwort-Manager nutzen, um komplexe Zugangsdaten zu erstellen und zu speichern. Es ist viel besser, lange und unterschiedliche Passwörter sicher abgespeichert zu haben, als dasselbe einfache Passwort für viele Konten zu verwenden.

Wenn du zuerst die gespeicherten Zugangsdaten auf deinen Geräten überprüfen oder löschen möchtest, lies auch die Anleitung zu wie man gespeicherte Passwörter in Chrome, Android und iPhone entfernt.

Überprüfe, ob dasselbe Passwort anderswo verwendet wurde

Das größte Risiko besteht nicht immer im einzelnen gestohlenen Passwort, sondern in der Wiederverwendung desselben Passworts bei mehreren Konten. Denn viele automatische Angriffe testen bereits gestohlene E-Mail- und Passwortkombinationen auf anderen Seiten. Zum Beispiel, wenn du dieselbe Kombination aus E-Mail und Passwort in einem alten Forum, einem sozialen Netzwerk und einem E-Mail-Dienst nutzt, könnte die Kompromittierung des alten Forums auch die anderen Konten gefährden. Mache daher eine gedankliche und praktische Prüfung:

• wo hast du dasselbe Passwort verwendet?
• welche Konten verwenden dieselbe E-Mail für den Zugang?
• welche Dienste enthalten persönliche Daten oder Zahlungsinformationen?
• welche Konten erlauben die Wiederherstellung anderer Konten?
• welche Passwörter sind der gestohlenen ähnlich?

Beginne mit den sensibelsten Konten: E-Mail, Homebanking, Zahlungsdienste, soziale Netzwerke, Cloud, E-Commerce, Apple-Konten, Google-Konten, Arbeitswerkzeuge und Dienste mit persönlichen Daten.

Aktiviere die Zwei-Faktor-Authentifizierung

Die Zwei-Faktor-Authentifizierung fügt einen zweiten Schritt neben dem Passwort hinzu. Das kann ein von einer App generierter Code, eine Benachrichtigung aufs Telefon, ein physischer Sicherheitsschlüssel, ein per SMS empfangener Code oder eine andere vom Dienst vorgesehene Methode sein. Es ist ein wichtiger Schutz, weil es den Zugang erschwert, auch wenn jemand das Passwort kennt. Es ist keine absolute Garantie, reduziert aber das Risiko von unautorisierten Zugriffen erheblich. Wenn möglich, wähle bevorzugt:

• Authentifizierungs-Apps;
• Passkeys;
• physische Sicherheitsschlüssel;
• Bestätigungsbenachrichtigungen auf vertrauenswürdigem Gerät.

SMS sind besser als nichts, können aber weniger sicher sein als andere Methoden. In jedem Fall ist es fast immer besser, eine Zwei-Faktor-Authentifizierung zu aktivieren, als nur das Passwort zu verwenden.

Von allen verbundenen Geräten abmelden

Nachdem du ein kompromittiertes Passwort geändert hast, überprüfe die aktiven Sitzungen. Viele Dienste ermöglichen es, einzusehen, von welchen Geräten, Browsern oder Apps der Zugriff erfolgte. Suche nach Begriffen wie:

• verbundene Geräte;
• aktive Sitzungen;
• kürzliche Zugriffe;
• Sicherheitsaktivität;
• wo du dich angemeldet hast;
• Geräte verwalten.

Wenn du ein Gerät findest, das du nicht erkennst, trenne die Verbindung. Wenn der Dienst die Option Von allen Geräten abmelden anbietet, nutze sie nach dem Passwortwechsel. So werden alle eventuell von anderen Personen geöffneten Sitzungen beendet. Dieser Schritt ist besonders wichtig für E-Mail, soziale Netzwerke, Google-Konten, Apple-Accounts, Cloud-Dienste, Arbeitsplattformen und Apps mit Zahlungsanbindung.

Überprüfe E-Mail, Telefonnummer und Wiederherstellungsmethoden

Wenn jemand Zugriff auf ein Konto erhält, könnte er die Wiederherstellungsdaten ändern, um den Zugang auch nach einem Passwortwechsel zu behalten. Deshalb musst du sicherstellen, dass E-Mail, Telefonnummer und Wiederherstellungsmethoden noch korrekt sind. Überprüfe:

• Haupte-Mailadresse;
• Sekundär-Mailadresse;
• Telefonnummer;
• vertrauenswürdige Geräte;
• verbundene Authentifizierungs-Apps;
• Sicherheitsschlüssel;
• Backup-Codes;
• Sicherheitsfragen, sofern noch vorhanden.

Wenn du einen Eintrag findest, den du nicht erkennst, entferne ihn sofort. Ändere dann erneut das Passwort, da das Konto möglicherweise bereits manipuliert wurde.

Überprüfe verbundene Apps und Berechtigungen

Viele Konten erlauben es Apps, Erweiterungen oder externen Diensten, auf die Daten zuzugreifen. Das ist praktisch, kann aber ein Risiko werden, wenn du im Laufe der Zeit Tools autorisiert hast, die du nicht mehr benutzt oder nicht kennst. Nach einem möglichen Kompromiss solltest du den Bereich für verbundene Apps aufrufen und alles entfernen, was nicht nötig ist. Überprüfe besonders:

• Drittanbieter-Apps, die mit dem Konto verbunden sind;
• Browser-Erweiterungen;
• Dienste, die Zugriff auf E-Mails, Kalender, Dateien oder Kontakte haben;
• alte oder nicht mehr genutzte Integrationen;
• Apps, die außerhalb der offiziellen Stores installiert sind;
• Tools, die zu umfangreiche Berechtigungen verlangen.

Wenn du denkst, dass das Problem durch einen Anhang oder einen verdächtigen Download entstanden ist, kann dir auch die Anleitung helfen wie man herausfindet, ob eine Datei gefährlich ist, bevor man sie öffnet.

Überprüfe das Gerät: Es könnte Malware vorhanden sein

Ein Passwort kann auf viele Arten gestohlen werden: Verstoß gegen eine Website, Phishing, Malware, bösartige Erweiterungen, nicht vertrauenswürdige Apps, kompromittiertes WLAN oder gefälschte Seiten, die bekannte Dienste nachahmen. Wenn das Passwort nach der Installation von etwas, dem Öffnen eines Anhangs oder dem Klicken auf einen verdächtigen Link gestohlen wurde, beschränke dich nicht nur auf das Ändern des Passworts. Überprüfe auch das Gerät.

Du kannst folgende Schritte durchführen:

• Aktualisiere Betriebssystem, Browser und Apps;
• Entferne Programme oder Apps, die du nicht erkennst;
• Deinstalliere unnötige oder verdächtige Browser-Erweiterungen;
• Führe einen Scan mit einer vertrauenswürdigen Sicherheitssoftware durch;
• Überprüfe, ob der Browser seltsame Seiten öffnet oder verdächtige Benachrichtigungen anzeigt;
• Vermeide es, das Passwort von einem Gerät aus zu ändern, von dem du vermutest, dass es infiziert ist.

Wenn du ernsthafte Zweifel hast, ändere die wichtigsten Passwörter von einem anderen, vertrauenswürdigen Gerät aus. Die Änderung von einem kompromittierten Computer aus könnte auch sofort die neuen Zugangsdaten preisgeben.

Achtung vor gefälschten E-Mails über Datenverstöße

Nach einer tatsächlichen oder vermeintlichen Sicherheitsverletzung können betrügerische E-Mails eintreffen, die vorgeben, dich über ein Sicherheitsproblem zu informieren. Die Nachricht kann dich auffordern, auf einen Link zu klicken, eine Datei herunterzuladen oder das Passwort einzugeben, um das Konto „zu verifizieren“. Diese Nachrichten verwenden oft dringliche Formulierungen, Logos, die den Originalen ähneln, und alarmierende Töne. Der Rat ist einfach: Klicke nicht auf die in der E-Mail enthaltenen Links. Gehe direkt auf die offizielle Website oder öffne die offizielle App des Dienstes.

Achte auf die Nachricht, wenn sie:

• dich auffordert, das Passwort auf einer Seite einzugeben, die über einen Link erreicht wird;
• seltsame Fehler enthält oder eine ähnliche, aber nicht identische Domain zur offiziellen hat;
• die sofortige Schließung des Kontos androht;
• Verifizierungscodes oder Bankdaten verlangt;
• zum Herunterladen von Anhängen auffordert;
• von einem Absender stammt, der nicht mit dem echten Dienst übereinstimmt.

Eine nützliche Regel ist diese: Passwörter werden nicht per E-Mail, Chat oder Telefon kommuniziert. Wenn dich jemand danach fragt, ist es fast sicher ein Betrugsversuch.

Was tun, wenn du keinen Zugriff mehr hast

Wenn das Passwort von jemand anderem geändert wurde und du keinen Zugang mehr zum Account hast, musst du das offizielle Wiederherstellungsverfahren nutzen. Jeder Dienst hat einen anderen Weg, normalerweise wirst du gebeten, deine Identität per E-Mail, Telefonnummer, bereits erkanntem Gerät oder Dokumenten zu bestätigen. In dieser Situation:

• erstelle nicht sofort einen neuen Account, wenn du den alten wiederherstellen kannst;
• nutze nur die offizielle Wiederherstellungsseite;
• überprüfe auch den Spam- oder Junk-Ordner;
• halte Daten bereit, um nachzuweisen, dass der Account dir gehört;
• warnen Sie Ihre Kontakte, wenn das Konto verwendet wurde, um verdächtige Nachrichten zu senden;
• wenn Zahlungen verknüpft sind, überprüfen Sie Transaktionen und Zahlungsmethoden.

Wenn das kompromittierte Konto mit Arbeit, Zahlungen, Dokumenten oder sensiblen Daten verbunden ist, sollten Sie auch den Support des Dienstes kontaktieren und in schwerwiegenderen Fällen die Bank oder die zuständigen Behörden.

Wann Sie Bank, Kontakte oder Support benachrichtigen sollten

Nicht alle gestohlenen Passwörter haben das gleiche Risikoniveau. Wenn das Passwort für ein altes Forum oder ein zweites Konto verwendet wurde, kann es ausreichen, es zu ändern und mögliche Wiederverwendungen zu überprüfen. Handelt es sich aber um E-Mail, Bank, soziale Medien oder berufliche Dienste, ist mehr Vorsicht geboten. Benachrichtigen Sie die Bank oder den Zahlungsdienst, wenn:

• Sie Vorgänge bemerken, die Sie nicht erkennen;
• das gestohlene Passwort mit einem Konto mit gespeicherten Karten verknüpft war;
• Sie verdächtige Zahlungsbenachrichtigungen erhalten;
• Ihr Konto zum Einkaufen verwendet wurde;
• Sie Bankdaten auf einer verdächtigen Seite eingegeben haben.

Warnen Sie Ihre Kontakte, wenn:

• vom Ihrem Profil aus seltsame Nachrichten gesendet wurden;
• jemand Ihren Namen benutzt, um Geld oder Codes zu erfragen;
• das Social-Media-Konto verwendet wurde, um nicht von Ihnen stammende Inhalte zu veröffentlichen;
• Phishing-E-Mails von Ihrem Postfach verschickt wurden.

Es mag peinlich sein, aber es ist besser, sofort zu informieren. So verringern Sie das Risiko, dass andere Personen durch Betrug Vertrauen in Ihren Namen ausnutzen.

Wie Sie zukünftige Probleme vermeiden

Sie können nicht jede Datenverletzung im Internet kontrollieren, aber Sie können das Risiko deutlich reduzieren, indem Sie einige gute Praktiken beachten.

• verwenden Sie für jedes Konto ein anderes Passwort;
• aktivieren Sie die Zwei-Faktor-Authentifizierung bei wichtigen Diensten;
• verwenden Sie einen vertrauenswürdigen Passwortmanager;
• vermeiden Sie es, Passwörter auf gemeinsam genutzten Geräten zu speichern;
• halten Sie Betriebssystem, Browser und Apps aktuell;
• installieren Sie keine unnötigen oder unbekannten Erweiterungen;
• klicken Sie nicht auf verdächtige Links in E-Mails, SMS oder Chats;
• überprüfen Sie regelmäßig verbundene Geräte und letzte Zugriffe;
• entfernen Sie Konten, die Sie nicht mehr verwenden;
• bevorzugen Sie Passkeys, wenn der Dienst sie unterstützt.

Vor dem Eingreifen kann es nützlich sein, zu prüfen, welche Zugangsdaten noch im Browser oder Smartphone gespeichert sind: In dieser Anleitung erklären wir wie man gespeicherte Passwörter in Chrome, Android und iPhone anzeigen kann.

Gestohlenes Passwort und Passkey: Was ist der Unterschied?

Passkeys sind ein anderes Zugangssystem als herkömmliche Passwörter. Statt ein Passwort einzugeben, bestätigst du den Zugriff mit dem Gerät, deinem Gesicht, dem Fingerabdruck oder einem Entsperrcode. Dies reduziert das Risiko von Phishing, da es kein klassisches Passwort gibt, das kopiert und wiederverwendet werden kann. Nicht alle Dienste unterstützen Passkeys noch, aber wenn sie verfügbar sind, können sie eine gute Wahl sein, besonders für die wichtigsten Konten. Auch hier musst du jedoch dein Gerät gut schützen, die Wiederherstellungsmethoden aktiv halten und wissen, was zu tun ist, wenn du dein Telefon oder deinen Computer verlierst. Passkeys beseitigen nicht alle Risiken, reduzieren aber eines der häufigsten Probleme: die Wiederverwendung desselben Passworts auf mehreren Seiten.

Fehler, die Sie nach einem gestohlenen Passwort vermeiden sollten

Nach einer möglichen Kompromittierung können einige instinktive Reaktionen die Situation verschlimmern. Hier sind die häufigsten Fehler, die vermieden werden sollten.

• Nur ein Passwort ändern: wenn dieselben Zugangsdaten auch anderswo verwendet wurden, musst du sie auch in den anderen Konten ändern.
• Eine ähnliche Variante verwenden: eine Zahl oder ein Symbol zum alten Passwort hinzuzufügen, reicht nicht aus.
• Auf per E-Mail erhaltene Links klicken: gehe immer über die offizielle Website oder die offizielle App.
• Das Haupt-E-Mail-Konto vergessen: es ist oft das wichtigste Konto, das geschützt werden muss.
• Die verbundenen Geräte nicht überprüfen: jemand könnte noch eine offene Sitzung haben.
• Apps und Berechtigungen nicht überprüfen: eine verbundene App kann weiterhin auf die Daten zugreifen.
• Passwort von einem verdächtigen Gerät aus ändern: wenn das Gerät infiziert ist, kann das neue Passwort ebenfalls gestohlen werden.

Zusammenfassung

Wenn ein Passwort gestohlen wurde, musst du sofort, aber methodisch handeln. Ändere das Passwort auf der offiziellen Website, wähle neue und einzigartige Zugangsdaten, überprüfe, ob dasselbe Passwort anderswo verwendet wurde, und aktiviere die Zwei-Faktor-Authentifizierung. Unmittelbar danach überprüfe die letzten Zugriffe, verbundenen Geräte, Wiederherstellungsmethoden, autorisierte Apps und mögliche verdächtige Aktivitäten. Wenn es um E-Mail-, Bank-, Zahlungs- oder sensible Datenkonten geht, gib dem Schutz höchste Priorität und warte nicht.

Die wichtigste Regel ist einfach: Ein gestohlenes Passwort darf nie gültig bleiben und darf niemals auf mehreren Konten verwendet werden. Je einzigartiger deine Passwörter sind, desto schwieriger ist es, dass ein einzelnes Problem zu einer größeren Verletzung wird.

Häufig gestellte Fragen

Wie kann ich feststellen, ob ein Passwort gestohlen wurde?

Du kannst eine Warnung vom Browser, Passwortmanager oder dem Dienst erhalten, den du verwendest. Weitere Anzeichen sind verdächtige Zugriffe, unerwünschte Prüfcodes, ungewöhnliche Sicherheits-E-Mails oder Änderungen am Konto, die du nicht selbst vorgenommen hast.

Was muss ich als Erstes tun, wenn ein Passwort gestohlen wurde?

Du musst es sofort auf der offiziellen Website oder in der offiziellen App des Dienstes ändern. Benutze keine per E-Mail oder Nachricht erhaltenen Links. Nach der Änderung überprüfe die letzten Zugriffe, verbundenen Geräte und Wiederherstellungsmethoden.

Reicht es aus, das im Browser gespeicherte Passwort zu löschen?

Nein. Das Löschen eines gespeicherten Passworts im Browser oder auf dem Smartphone entfernt nur die gespeicherten Zugangsdaten. Wenn das Passwort gestohlen wurde, musst du es wirklich im zugehörigen Konto ändern.

Muss ich auch die Passwörter anderer Konten ändern?

Ja, wenn du dasselbe Passwort oder ein sehr ähnliches Passwort bei anderen Diensten verwendet hast. Die Wiederverwendung von Passwörtern ist einer der Hauptgründe, warum eine einzelne Verletzung mehrere Konten gefährden kann.

Ist es sinnvoll, die Zwei-Faktor-Authentifizierung zu aktivieren?

Ja. Die Zwei-Faktor-Authentifizierung fügt einen zweiten Schritt zusätzlich zum Passwort hinzu und erschwert unbefugten Zugriff, selbst wenn jemand dein Passwort kennt.

Was mache ich, wenn ich keinen Zugang mehr zum Konto habe?

Verwende das offizielle Kontowiederherstellungsverfahren des Dienstes. Vermeide verdächtige Links, bereite die notwendigen Daten vor, um zu beweisen, dass das Konto dir gehört, und überprüfe auch E-Mails, Telefon und verbundene Geräte.

Ist ein Passkey sicherer als ein Passwort?

In vielen Fällen ja, weil er nicht auf einem traditionellen Passwort basiert, das eingegeben und wiederverwendet wird. Passkeys verringern das Risiko von Phishing, erfordern jedoch trotzdem geschützte Geräte und gut konfigurierte Wiederherstellungsmethoden.

Wann muss ich die Bank informieren?

Du musst die Bank oder den Zahlungsdienst informieren, wenn du verdächtige Bewegungen bemerkst, wenn das kompromittierte Konto gespeicherte Karten hatte oder wenn du glaubst, Bankdaten auf einer falschen Seite eingegeben zu haben.