Was tun, wenn Sie gehackt wurden?

Bleiben Sie ruhig und denken Sie nach, bevor Sie handeln

Wenn Sie feststellen, dass Sie gehackt wurden, entsteht eine Panikreaktion. Der Drang, sofort alles zu ändern, alles zu trennen oder alles zu löschen, ist verständlich – und oft kontraproduktiv. Einige dieser Maßnahmen vernichten forensische Beweise. Andere warnen den Angreifer, dass er entdeckt wurde, und veranlassen ihn, schneller zu handeln.

Dieser Leitfaden bietet Ihnen eine strukturierte Reaktion. Die Phasen sind: Erkennen → Eindämmen → Beseitigen → Erholen → Lernen.

Phase 1: Erkennen – Den Vorfall bestätigen

Bevor Sie reagieren, bestätigen Sie, was tatsächlich passiert ist. Nicht jede Anomalie ist ein Einbruch.

Anzeichen, die auf einen echten Angriff hindeuten:

• Eine E-Mail über eine Anmeldung von einem unbekannten Ort oder Gerät, das Sie nicht erkennen
• Passwortzurücksetzungs-E-Mails, die Sie nicht angefordert haben
• Freunde oder Kollegen erhalten Nachrichten von Ihnen, die Sie nicht gesendet haben
• Unerwartete Abbuchungen bei Finanzkonten
• Mit einem Erpressungsschreiben verschlüsselte Dateien
• Antivirensoftware erkennt bekannte Malware
• Ihre Konten sind gesperrt und Sie können sie nicht per E-Mail zurücksetzen (weil die E-Mail ebenfalls kompromittiert wurde)

Fertigen Sie wenn möglich Screenshots an und speichern Sie Beweise. Notieren Sie die Uhrzeit und was Sie beobachtet haben. Dies hilft Ihnen, das Geschehene zu rekonstruieren, und wird für Versicherungsansprüche, rechtliche Schritte oder IT-Support benötigt.

Phase 2: Eindämmen – Die Blutung stoppen

Kompromittierte Geräte isolieren

Wenn Sie Malware auf einem Gerät vermuten, trennen Sie es vom Netzwerk (schalten Sie Wi-Fi aus und ziehen Sie das Ethernet-Kabel heraus), aber schalten Sie es nicht aus. Das Herunterfahren kann flüchtige Speicherbeweise vernichten und in einigen Ransomware-Fällen die Verschlüsselung abschließen. Isolieren Sie es physisch.

Wenn ein Unternehmensgerät kompromittiert ist, benachrichtigen Sie sofort Ihr IT-/Sicherheitsteam. Versuchen Sie keine Abhilfemaßnahmen selbst auf einem Arbeitsgerät.

Zugang von kompromittierten Sitzungen widerrufen

Bei Kontokompromittierungen (E-Mail, soziale Medien, Banking):

1. Melden Sie sich von einem sauberen, unkompromittierten Gerät (einem Telefon, dem Sie vertrauen, oder einem anderen Computer) bei Ihrem Konto an
2. Gehen Sie zu den Sicherheitseinstellungen und suchen Sie nach "aktive Sitzungen" oder "Geräte"
3. Melden Sie alle anderen Sitzungen ab
4. Ändern Sie sofort Ihr Passwort
5. Überprüfen Sie verbundene Drittanbieter-Apps und widerrufen Sie alle, die Sie nicht erkennen

Ihr Finanzinstitut benachrichtigen

Wenn Finanzkonten betroffen sind, rufen Sie Ihre Bank oder Kreditkartengesellschaft an. Sie können die Karte sperren, betrügerische Transaktionen anfechten und neue Kontonummern ausstellen – schneller als jeder Online-Prozess. Halten Sie Ihre Kontonummern bereit.

Stellen Sie einen Betrugsalarm oder eine Kreditsperre bei den drei großen Kreditauskunfteien (Equifax, Experian, TransUnion) ein, wenn persönliche Informationen offengelegt wurden. Eine Sperre verhindert, dass neue Kreditkonten in Ihrem Namen eröffnet werden.

Phase 3: Beseitigen – Den Angreifer entfernen

Anmeldedaten in der richtigen Reihenfolge ändern

Die Reihenfolge ist wichtig. Ändern Sie Anmeldedaten, beginnend mit den kritischsten Konten:

1. E-Mail zuerst – E-Mail ist der Hauptschlüssel. Wer Ihre E-Mail kontrolliert, kann alles andere zurücksetzen.
2. Passwort-Manager – damit neue Passwörter, die Sie erstellen, geschützt sind
3. Finanzkonten – Banking, Investitionen, Zahlungs-Apps
4. Andere wichtige Konten – Arbeitskonten, Gesundheitsportale, identitätsverknüpfte Konten

Verwenden Sie Ihren Passwort-Manager, um einzigartige, lange Passwörter für jedes Konto zu generieren. Verwenden Sie kein Passwort wieder, das zuvor kompromittiert wurde.

MFA überall aktivieren

Whrendes Sie Passwörter ändern, aktivieren Sie die Zwei-Faktor-Authentifizierung für jedes Konto, das dies unterstützt. Verwenden Sie eine Authentifikator-App (möglichst nicht SMS) für Ihre kritischsten Konten. SMS ist anfällig für SIM-Swapping-Angriffe.

Kompromittierte Geräte bereinigen oder neu aufbauen

Wenn ein Gerät bestätigte Malware hat:

• Mobiltelefone: Ein Werksreset ist für die meisten Malware-Typen normalerweise ausreichend. Aktivieren Sie den FRP (Factory Reset Protection) und stellen Sie von einem Backup vor dem Vorfall wieder her.
• Computer: Bei gewöhnlicher Malware (Adware, Ransomware ohne Ausbreitung) kann ein Scan mit Malwarebytes gefolgt von der Entfernung funktionieren. Bei ausgefeilter Malware oder Rootkits installieren Sie das Betriebssystem von einem sauberen Medium neu. Vertrauen Sie keinem kompromittierten System, selbst nach der Antivirenentfernung nicht.
• Sichern Sie wichtige Dateien zuerst, dann scannen Sie das Backup, bevor Sie es wiederherstellen.

Phase 4: Erholen – Sicher wiederherstellen

Von sauberen Backups wiederherstellen

Wenn Sie Backups haben (was Sie sollten), überprüfen Sie, ob sie vor der Kompromittierung erstellt wurden, bevor Sie sie wiederherstellen. Einige Ransomware lauert wochenlang, bevor sie ausgelöst wird, sodass ein "aktuelles" Backup möglicherweise bereits infiziert ist.

Auf anhaltende Aktivität überwachen

Nach dem Ändern von Anmeldedaten und der Bereinigung von Geräten achten Sie auf Anzeichen, dass der Angreifer noch Zugang hat:

• Anmeldebenachrichtigungen von unbekannten Standorten
• E-Mail-Regeln, die Sie nicht erstellt haben (Angreifer richten oft Weiterleitungsregeln ein)
• Apps oder Browser-Erweiterungen, die Sie nicht installiert haben
• Wiederkehrende unbefugte Abbuchungen

Richten Sie Anmeldebenachrichtigungen für jedes wichtige Konto ein, falls noch nicht geschehen.

Betroffene Parteien benachrichtigen

Wenn Ihre Kompromittierung die Daten anderer Personen offengelegt hat (z. B. ein Unternehmensverstoß), haben Sie wahrscheinlich gesetzliche Benachrichtigungspflichten. Überprüfen Sie die geltenden Gesetze (DSGVO, staatliche Benachrichtigungsgesetze bei Datenpannen, HIPAA). Benachrichtigen Sie betroffene Personen umgehend – eine verspätete Benachrichtigung verursacht mehr Schaden und birgt höhere rechtliche Risiken.

Phase 5: Lernen – Den nächsten Vorfall verhindern

Jeder Vorfall zeigt eine Lücke auf. Nach der Stabilisierung:

• Stellen Sie fest, wie der Angreifer eingedrungen ist: Phishing? Wiederverwendetes Passwort? Unzureichend gepatchte Software? Exponierter Dienst?
• Schließen Sie diese spezifische Lücke
• Überprüfen Sie, welche Daten offengelegt wurden und welches Risiko für Sie zukünftig besteht
• Aktualisieren Sie Ihre Backup-Strategie, wenn sie Sie im Stich gelassen hat
• Erwägen Sie, ob professionelle Hilfe bei der Incident Response für Geschäftsvorfälle sinnvoll ist

Wann Sie Hilfe rufen sollten

Nicht jeder Vorfall sollte alleine bewältigt werden:

• Ransomware in einem Unternehmensnetzwerk: Rufen Sie ein professionelles Incident-Response-Unternehmen an, bevor Sie ein Lösegeld zahlen
• Identitätsdiebstahl: Die FTC's IdentityTheft.gov bietet einen personalisierten Wiederherstellungsplan
• Vermutete Stalkerware auf Ihrem Gerät: Die Coalition Against Stalkerware bietet Ressourcen und Unterstützung
• Anvisierung durch Nationalstaaten: Kontaktieren Sie CISA (in den USA) oder Ihre nationale Cybersicherheitsbehörde

Einen Plan zu haben, bevor Sie ihn brauchen, macht den entscheidenden Unterschied. Dokumentieren Sie Ihre kritischen Kontoanmeldedaten noch heute in einem Passwort-Manager, aktivieren Sie MFA für Ihre E-Mail- und Finanzkonten und pflegen Sie Offline-Backups – damit Ihre Wiederherstellungsoptionen bereits vorhanden sind, wenn ein Vorfall eintritt.