Jemand hat sich in mein Konto eingeloggt: So erkennen Sie es und was zu tun ist

Die Benachrichtigung kommt zu einer seltsamen Stunde: ein neuer Anmeldeversuch aus einer Stadt, die Sie noch nie besucht haben. Oder es kommt überhaupt nichts, und Sie bemerken es nur, weil eine Nachricht, die Sie nie geschrieben haben, in einem Chat steht. So oder so ist die Frage die gleiche — ist jemand tatsächlich dort drin, und was liegt noch unter Ihrer Kontrolle.

[[answer]]Jeder große Dienst führt eine Liste aktiver Sitzungen mit Gerät, Standort und Zeit. Öffnen Sie sie, bevor Sie etwas ändern: Die Liste zeigt Ihnen, ob der Eindringling echt ist und wie lange das schon andauert. Schließen Sie dann die Sitzungen, ändern Sie dann das Passwort — in dieser Reihenfolge, oder der Eindringling behält einfach seine Sitzung.[[/answer]]

Warum die Reihenfolge wichtiger ist als das Passwort

Eine Passwortänderung wirft niemanden von sich aus hinaus. Die meisten Dienste halten bestehende Sitzungen am Leben: Die Person, die eine hat, bleibt angemeldet, manchmal wochenlang, während Sie dort sitzen und glauben, das Problem sei gelöst. Deshalb ist die Reihenfolge prüfen, dann widerrufen, dann ändern — und warum "Ich habe mein Passwort geändert" keine Antwort auf "Ist noch jemand drin?" ist.

Die Sitzungsliste ist auch der einzige ehrliche Beweis, den Sie haben. Benachrichtigungs-E-Mails können gefälscht werden — eine Nachricht, die behauptet "ungewöhnliche Anmeldung, klicken Sie hier", ist die älteste Phishing-Vorlage, die es gibt. Die Liste in Ihrem Konto kann nicht gefälscht werden, weil Sie sie selbst erreicht haben.

[[steps]] Öffnen Sie die Sitzungsliste :: Google, Apple, Meta, Telegram und WhatsApp führen alle eine in den Sicherheitseinstellungen. Schauen Sie sich Gerät, ungefähren Standort und letzte Aktivität an. Bewerten Sie, was Sie sehen :: Ihr eigenes Telefon im Ausland über ein VPN sieht alarmierend aus und ist es nicht. Ein unbekanntes Gerätemodell um 4 Uhr morgens ist eine andere Angelegenheit. Widerrufen Sie alles außer diesem Gerät :: Jeder Dienst hat eine Aktion "Von allen anderen Sitzungen abmelden". Nutzen Sie sie, bevor Sie das Passwort ändern. Ändern Sie das Passwort :: Ein neues, nicht eine Variation des alten. Wenn das alte Passwort anderswo wiederverwendet wurde, benötigen diese Konten es ebenfalls. Überprüfen Sie die Wiederherstellungseinstellungen erneut :: Der häufigste Trick besteht nicht darin, angemeldet zu bleiben — es ist das heimliche Hinzufügen einer Wiederherstellungs-E-Mail oder Telefonnummer, die jemand anderem gehört. Aktivieren Sie einen zweiten Faktor :: Eine App oder einen Hardware-Schlüssel, nicht SMS, aus den Gründen im folgenden Abschnitt. [[/steps]]

Wo die Sitzungsliste zu finden ist

Die Formulierung variiert, die Idee bleibt gleich. Google platziert es unter Ihre Geräte in der Kontosicherheit; Apple zeigt angemeldete Geräte in den Apple-ID-Einstellungen auf einem Ihrer Geräte; Meta nennt es "Wo Sie angemeldet sind" innerhalb von Passwort und Sicherheit. Telegram hat Geräte, WhatsApp hat Verknüpfte Geräte — beide ermöglichen es Ihnen, andere Sitzungen von dem Telefon in Ihrer Hand zu beenden.

Zwei davon verdienen einen zweiten Blick, selbst wenn nichts falsch zu sein scheint. Verknüpfte Geräte in Messengern ist der Ort, an dem eine vergessene Laptop-Sitzung jahrelang lebt. Und die Wiederherstellungseinstellungen sind der Ort, an dem ein Angreifer seinen Fuß in die Tür setzt, denn das Ändern eines Passworts entfernt nicht die Wiederherstellungsadresse, die jemand anderes hinzugefügt hat.

Was der Eindringling wahrscheinlich wollte

Entgegen dem mentalen Bild sind die meisten Kontoeinbrüche nicht persönlich. Das Konto ist ein Mittel: um an eine Zahlungskarte zu gelangen, um denselben Betrug an Ihre Kontaktliste zu senden oder um Bestätigungscodes für etwas anderes zu sammeln. Das ist wichtig zu wissen, denn es sagt Ihnen, was Sie als Nächstes überprüfen sollten.

• Gesendete Nachrichten und archivierte Chats. Betrügereien, die von Ihrem Konto gesendet werden, werden normalerweise sofort gelöscht, aber das Archiv bewahrt sie.
• Filter und Weiterleitungsregeln in der Mail. Eine Regel, die alles stillschweigend weiterleitet oder Nachrichten von Ihrer Bank löscht, überlebt eine Passwortänderung und ist unsichtbar, es sei denn, Sie suchen danach.
• Verbundene Apps und Drittanbieterzugriff. Eine vor Monaten autorisierte App behält ihr eigenes Token; das Widerrufen von Sitzungen widerruft es nicht.
• Zahlungsmethoden und Lieferadressen. Eine geänderte Adresse in einem Einkaufsaccount ist die stille Version von Diebstahl.

[[post:what-is-spyware-programs|Wenn das Gerät selbst möglicherweise kompromittiert ist]], ist das Bild anders: Ein Passwort, das auf einem infizierten Telefon geändert wurde, ist ein Passwort, das der Angreifer sieht, während Sie es eingeben.

SMS ist der schwächste zweite Faktor

Es ist besser als nichts und schlechter als alles andere. Ein per SMS gesendeter Code reist durch das Netzwerk des Anbieters, und dieses Netzwerk wurde in einer Ära entworfen, in der Vertrauen zwischen den Anbietern angenommen wurde. Es kann auch auf eine andere SIM-Karte übertragen werden — die Technik, die als SIM-Swap bekannt ist, bei der jemand einen Anbieter überzeugt, Ihre Nummer neu auszustellen.

[[compare]] Methode | Funktioniert offline | Widersteht Phishing | Widersteht SIM-Swap | Aufwand SMS-Code | nein | nein | nein | keiner Authentifizierungs-App | ja | nein | ja | einmalige Einrichtung Push-Zulassung | nein | teilweise | ja | keiner Hardware-Schlüssel | ja | ja | ja | Schlüssel kaufen Passkey | ja | ja | ja | einmalige Einrichtung [[/compare]]

Die praktische Lesart dieser Tabelle: Wechseln Sie von SMS, wo der Dienst es erlaubt, und ziehen Sie eine App für Push-Zulassungen vor, denn eine Push-Benachrichtigung, die um 3 Uhr morgens eintrifft, wird häufiger von einer halb schlafenden Person genehmigt, als es jemand gerne zugeben würde.

Wenn das Konto bereits weg ist

Alles oben genannte setzt voraus, dass Sie sich noch anmelden können. Wenn das Passwort geändert wurde und die Wiederherstellungsadresse ausgetauscht wurde, ist der offizielle Wiederherstellungsprozess der erste Halt — er funktioniert häufiger, als die Leute erwarten, insbesondere in den ersten Tagen, während der Dienst noch Ihre Gerätehistorie als Beweis hat. [[post:messenger-account-recovery-methods|Was zu tun ist, wenn die Nummer selbst weg ist]] ist eine separate Frage mit eigenen Antworten.

[[faq]] Eine Anmeldebenachrichtigung kam aus einem anderen Land — wurde ich gehackt? :: Nicht unbedingt. VPNs, Roaming und Anbieter-Routing verschieben alle den scheinbaren Standort. Überprüfen Sie die Sitzungsliste; ein Gerät, das Sie erkennen, ist bedeutungsvoller als die Stadt. Sollte ich auf den Link in der Sicherheits-E-Mail klicken? :: Nein. Öffnen Sie den Dienst selbst, indem Sie die Adresse eingeben. Sicherheitsbenachrichtigungen sind die am häufigsten imitierten E-Mail-Typen. Führt das Ändern des Passworts dazu, dass sich alle abmelden? :: Bei den meisten Diensten nein. Sitzungen überleben, es sei denn, Sie beenden sie ausdrücklich, weshalb das Widerrufen zuerst kommt. Wie lange leben alte Sitzungen? :: Oft unbegrenzt in Desktop-Apps. Ein Laptop, der vor drei Jahren angemeldet war, ist immer noch angemeldet, es sei denn, jemand hat ihn beendet. Lohnt es sich, das Konto zu löschen und neu zu beginnen? :: Selten. Sie verlieren die Historie und die Wiederherstellungsmöglichkeiten, die beweisen, dass das Konto Ihnen gehörte, und das zugrunde liegende Leck — normalerweise ein wiederverwendetes Passwort — reist mit Ihnen. [[/faq]]

Danach

Zwei Gewohnheiten verhindern die meisten Wiederholungen, und keine davon dauert lange. Schauen Sie sich die Sitzungsliste Ihres Hauptkontos von Zeit zu Zeit an — so wie Sie einen Kontoauszug überfliegen. Und hören Sie auf, das Passwort Ihres E-Mail-Kontos irgendwo anders wiederzuverwenden: Es ist der Schlüssel, der jeden Rücksetzlink für alles, was Sie besitzen, öffnet.