Ist ein E-Mail-Postfach übernommen, ändern Sie als Erstes das Kennwort von einem sauberen Gerät aus, melden alle Sitzungen ab und löschen danach die Weiterleitungs- und Postfachregeln, mit denen sich Angreifer heimlich Kopien schicken lassen. Dann schalten Sie die Zwei-Faktor-Anmeldung ein und warnen Ihre Kontakte. Wurden personenbezogene Daten abgegriffen, ist die Datenschutzbehörde binnen 72 Stunden zu informieren. Bei einem gehackten Postfach hilft WVM-IT aus Lenzing in ganz Österreich per Fernwartung, Mo–Sa ab 7:30 Uhr, 95 € je Stunde ohne Vertrag.
Woran Sie erkennen, dass jemand im Postfach war
Die Anzeichen sind selten dramatisch. Häufig melden sich Kontakte, die seltsame Mails mit Ihrem Namen bekommen haben. Im Ordner „Gesendet“ stehen Nachrichten, die Sie nicht geschrieben haben, oder sie fehlen dort, weil der Angreifer sie gelöscht hat. Es gibt Anmeldungen aus fremden Ländern in der Kontoaktivität oder Warnmails des Anbieters. Und es treffen keine Rechnungen mehr ein, weil eine Regel sie umleitet. Schon einer dieser Hinweise reicht, um die folgenden Schritte durchzugehen; sie kosten wenig, und der Verdacht ist öfter berechtigt, als man hofft.
Die Reihenfolge der ersten Schritte
Erstens ändern Sie das Kennwort, an einem anderen, sauberen Gerät, und wählen ein neues, langes, das Sie sonst nirgends verwenden. Zweitens beenden Sie alle aktiven Sitzungen; sonst bleibt der Angreifer trotz neuem Kennwort angemeldet, denn bestehende Sitzungen laufen oft weiter. Drittens schalten Sie die Zwei-Faktor-Anmeldung ein (Zwei-Faktor-Authentifizierung). Viertens prüfen Sie, ob unbekannte Geräte oder Apps mit dem Konto verbunden sind, und entfernen diese. Erst danach lohnt sich das Aufräumen, denn davor kann der Angreifer es wieder zunichtemachen.
Weiterleitungsregeln: der Hinterausgang
Der häufigste übersehene Punkt sind Regeln im Postfach. Angreifer legen eine Weiterleitung an ein fremdes Konto an oder eine Regel, die bestimmte Mails sofort in einen versteckten Ordner schiebt, etwa alles mit „Rechnung“ im Betreff. So lesen sie mit, und so manipulieren sie Zahlungsaufforderungen, ohne dass Sie etwas bemerken. Prüfen Sie in den Einstellungen Ihres Postfachs die Regeln, die Weiterleitung und die Zugriffsrechte für andere. Löschen Sie alles, was Sie nicht selbst angelegt haben. Bei Microsoft 365 kann der Administrator das zusätzlich über das Verwaltungsportal für den ganzen Betrieb sehen.
Kontakte informieren und Folgen eingrenzen
Schreiben Sie eine kurze Warnung an Ihre Kontakte, am besten über einen anderen Weg als das betroffene Postfach: Von Ihrem Konto sind verdächtige Mails verschickt worden, bitte nichts öffnen, keine Kennwörter eingeben. Informieren Sie besonders jene, mit denen Sie zuletzt über Zahlungen geschrieben haben, denn ein häufiger Folgebetrug ist die gefälschte Rechnung mit geänderter Kontonummer. Ändern Sie weiters Kennwörter anderer Dienste, die an dieses Postfach gekoppelt sind (Bank, Lieferantenportale, Cloud), denn „Kennwort vergessen“ läuft meist über das Postfach. Wie es überhaupt dazu kommen konnte, zeigt Phishing-Mail geklickt.
Was hinterher Pflicht ist: Dokumentieren und gegebenenfalls melden
Notieren Sie, wann Sie den Vorfall bemerkt haben, was zu sehen war und was Sie getan haben. Waren im Postfach personenbezogene Daten von Kunden oder Mitarbeitern, und konnten Fremde sie einsehen, ist das nach Art. 33 DSGVO meldepflichtig, wenn dadurch voraussichtlich ein Risiko für diese Personen besteht, und zwar binnen 72 Stunden ab Kenntnis an die Datenschutzbehörde. Hat der Betrieb Geld an ein falsches Konto überwiesen, rufen Sie sofort Ihre Bank an und erstatten Anzeige bei der Polizei. Je früher die Bank informiert wird, desto größer die Chance, eine Überweisung noch zu stoppen.
Wie es dazu kommt
Meist liegt keine technische Meisterleistung dahinter. Das Kennwort stand in einem Datenleck, weil es bei einem anderen Dienst verwendet wurde, es wurde auf einer gefälschten Anmeldeseite eingegeben, oder es war schlicht erratbar. Ohne Zwei-Faktor-Anmeldung genügt dem Angreifer dann dieses eine Kennwort. Der Schutz besteht deshalb aus zwei Teilen: für jeden Dienst ein eigenes, langes Kennwort und für das Postfach den zweiten Faktor. Einen Überblick, wo ein Betrieb sonst steht, gibt IT-Sicherheit in der kleinen Firma.
Wenn das Postfach nicht mehr erreichbar ist
Hat der Angreifer das Kennwort geändert, kommen Sie nicht mehr hinein. Bei Microsoft 365 setzt der Administrator das Kennwort zurück; gibt es keinen mehr, ist das der Fall aus Microsoft-365-Konto gesperrt. Bei Postfächern anderer Anbieter bleibt der Weg über „Kennwort vergessen“ mit hinterlegter Telefonnummer oder zweiter Adresse, und wenn auch diese verändert wurde, der Support des Anbieters. Informieren Sie in der Zwischenzeit Ihre Kontakte telefonisch.
In Österreich: Wer hilft, und was ein Vorfall im Betrieb bedeutet
Für die Meldung zuständig ist die Datenschutzbehörde in Wien; sie nimmt Meldungen online entgegen. Betriebe, die für größere Auftraggeber arbeiten, sollten den Vorfall auch dort nachvollziehbar mitteilen können, denn Fragebögen aus dem Umfeld des NISG 2026 fragen nach dem Vorgehen bei Sicherheitsvorfällen (NIS2 für Zulieferer). Florin Feier aus Lenzing schaut sich das Konto und die Regeln per Fernwartung an und kommt bei Bedarf vor Ort, etwa nach Attersee, Mondsee, Gmunden, Vöcklabruck oder Salzburg. Einzelne Fälle ohne Vertrag laufen über IT-Hilfe, die Vorsorge über die IT-Sicherheit; dringend ist der IT-Notfall.
Häufige Folgefragen
- Reicht ein neues Kennwort?
- Nein, nicht allein. Bestehende Sitzungen müssen beendet werden, und Weiterleitungs- oder Postfachregeln können weiterlaufen, auch wenn das Kennwort längst neu ist. Erst alle drei Punkte zusammen schließen die Tür.
- Kann ich herausfinden, was der Angreifer gelesen hat?
- Teilweise. Die Anmeldeprotokolle des Anbieters zeigen Zeitpunkt, Land und Gerät der fremden Zugriffe; welche einzelnen Mails geöffnet wurden, zeigen sie meist nicht. Deshalb geht man vorsichtshalber davon aus, dass der gesamte Inhalt einsehbar war.
- Soll ich das Postfach löschen und neu anlegen?
- Meist nicht, denn das vernichtet Spuren und Daten. Besser ist, das bestehende Konto zu bereinigen und abzusichern; nur wenn die Kontrolle nicht zurückzugewinnen ist, hilft ein neues.
- Was kostet die Hilfe?
- Die Prüfung und Bereinigung eines Postfachs per Fernwartung läuft über den Stundensatz von 95 € ohne Vertrag. Meist dauert es ein bis zwei Stunden, mit mehreren betroffenen Konten länger.
- Wie lange sollte ich das Konto danach im Auge behalten?
- Mindestens einige Wochen. Schauen Sie wöchentlich in die Kontoaktivität und in die Regeln des Postfachs, weil Angreifer gelegentlich später zurückkehren, wenn eine Hintertür übersehen wurde.
Kurz gesagt: Kennwort, Sitzungen, Regeln, Zwei-Faktor: in dieser Reihenfolge. Die Weiterleitungsregel ist der Punkt, den man am ehesten übersieht und der am längsten schadet.
Wollen Sie das für Ihren Betrieb klären? Sie können Ihren Fall zu IT-Sicherheit besprechen oder ein Angebot für IT-Sicherheit zusammenstellen.
Zum Weiterlesen: Die Vergleiche zwischen IT-Lösungen helfen bei der Entscheidung, die Checklisten für den Betrieb beim Abarbeiten.
Von Florin Feier · · Aktualisiert:
Wir melden uns an Werktagen innerhalb von 24 Stunden.
So geht es weiter
- Wir lesen und ordnen ein
- Wir melden uns mit einer Einschätzung
- Erst danach entscheiden Sie
Wenn es eilt, rufen Sie an: +43 676 3808501
In Ihrer Nähe: IT-Sicherheit in Regau · IT-Sicherheit in Mondsee