Das Symptom
Ein Bekannter meldet sich: Von deiner Adresse sei eine seltsame Mail gekommen.
Oder im Postfach liegt eine Benachrichtigung über eine Anmeldung aus einer Stadt,
in der man nie war. Oder das eigene Passwort funktioniert plötzlich nicht mehr.
Manchmal ist es auch nur ein Gefühl: Im Ordner „Gesendet“ steht etwas, das man
nicht geschrieben hat, und ein paar Mails, die eigentlich kommen müssten, sind nie
angekommen. Der erste Impuls ist immer derselbe – schnell das Passwort ändern und
hoffen, dass es das war.
Die „Layer 8“-Wahrheit
Der erste Impuls ist richtig, aber er ist nur der erste von acht. Ein
E-Mail-Konto ist kein Konto unter vielen, sondern die Stelle, an der alle anderen
zurückgesetzt werden. Das BSI beschreibt das nüchtern: Cyberkriminelle können
mitunter die Passwörter weiterer Onlinekonten zurücksetzen und gewinnen damit die
Kontrolle über gleich mehrere Accounts. Solange das Postfach offen ist, ist jede
Aufräumarbeit an anderer Stelle vergeblich – man schließt Türen in einem Haus, zu
dem die Gegenseite den Hauptschlüssel hat.
Deshalb liegt der ganze Unterschied in der Reihenfolge, und die stammt nicht aus
dem Bauch, sondern steht beim BSI ausgeschrieben: erst das Passwort des
E-Mail-Kontos, dann alle aktiven Sitzungen beenden, dann die mitbetroffenen
Konten, dann die Einstellungen kontrollieren, dann die per Single-Sign-On
verbundenen Anwendungen, dann die Kontakte informieren. Jeder dieser Schritte
schließt einen Weg, den die vorherigen offen lassen. Ein Passwortwechsel allein
beendet keine laufende Sitzung. Ein Sitzungsende allein hindert niemanden am
erneuten Anmelden mit dem alten Passwort. Und beides zusammen entfernt keine
Weiterleitungsregel und keine fremde Rückfallnummer, denn die hängen nicht an der
Anmeldung, sondern am Konto.
Zwei Dinge, die viele in der Aufregung überspringen: Das BSI stellt den ganzen
Plan unter den Vorbehalt, dass kein Schadprogramm auf dem Gerät läuft – findet ein
Virenscanner etwas, muss das zuerst weg, sonst tippt man die neuen Passwörter
direkt in fremde Hände. Und der langweiligste Schritt, die Liste der betroffenen
Konten, entscheidet darüber, ob man am Ende fertig ist oder nur das erledigt hat,
was einem gerade einfiel.
Die echte, verifizierte Lösung
1000 % faktenbasiert. Jeder Befehl ist real, jeder Pfad existiert. Schritt für Schritt:
1.Erst das Gerät klären, dann das Konto
Bevor neue Passwörter gesetzt werden, muss klar sein, dass niemand beim Tippen zusieht. Das BSI stellt seinen Notfallplan unter genau diesen Vorbehalt: Findet ein Virenscanner Schadprogramme, müssen diese zuerst beseitigt werden, denn nur dann verlieren Cyberkriminelle den Zugang zum Account. Wer unsicher ist, benutzt für die folgenden Schritte ein zweites, vertrauenswürdiges Gerät.
2.Aufschreiben, was überhaupt betroffen sein kann
Das BSI setzt diesen Schritt vor die Rettungsmaßnahmen und formuliert die beiden Fragen selbst: Welche der eigenen Online-Konten sind betroffen oder könnten betroffen sein, und wo ist die E-Mail-Adresse hinterlegt, um dort ein Passwort zurücksetzen zu können? Die Liste ist keine Fleißaufgabe. Sie ist die Reihenfolge für alles Weitere – und laut BSI/ProPK-Checkliste zugleich die Grundlage, falls man später Anzeige erstatten will.
3.Mit dem Passwort des E-Mail-Kontos anfangen
Das BSI nennt Grund und Reihenfolge in einem Satz: mit den Login-Daten des betroffenen E-Mail-Kontos beginnen, dann können Unbefugte es nicht länger nutzen, um die Passwörter anderer Accounts zurückzusetzen. Und es rät, in einem Zug vorzugehen, um die Zeit zu minimieren, in der Unbefugte einem zuvorkommen. Das neue Passwort muss neu sein, nicht eine Variante des alten.
4.Alle aktiven Sitzungen beenden – nach dem Passwortwechsel
Das BSI: Alle aktiven Sitzungen beenden; diese können bestehen, wenn man von mehreren Geräten auf das Konto zugreift, und meist lassen sie sich in den Einstellungen mit einem Klick beenden. Der entscheidende Halbsatz steht direkt dahinter: Beim erneuten Öffnen muss dann auf jedem Gerät das neue Passwort eingegeben werden. Genau deshalb ist die Reihenfolge nicht beliebig – ein Rauswurf ohne neues Passwort lädt die Gegenseite nur zum erneuten Anmelden ein.
5.Die Kontoeinstellungen auf fremde Änderungen prüfen
Hier steckt der stille Fortbestand des Zugriffs. Das BSI benennt zwei Stellen ausdrücklich als kritisch: automatische Weiterleitungen von Nachrichten an fremde E-Mail-Adressen und Änderungen an Rückfalloptionen wie einer hinterlegten Telefonnummer. Beides überlebt einen Passwortwechsel unbeschadet, weil beides zum Konto gehört und nicht zur Anmeldung.
6.Angemeldete Anwendungen und Single-Sign-On durchsehen
Das BSI rät, auch die Anwendungen zu prüfen, bei denen man sich über das gehackte E-Mail-Konto per Single-Sign-On anmeldet: In den Einstellungen des E-Mail-Kontos lässt sich erfahren, für welche Anwendungen das der Fall ist und ob neue hinzugefügt wurden. Microsoft weist für sein eigenes Umfeld zusätzlich darauf hin, dass App-Kennwörter beim Zurücksetzen des Kennworts nicht automatisch widerrufen werden.
7.Die Passwörter der mitbetroffenen Konten nachziehen
Betroffen sind laut BSI zwei Gruppen: Konten mit demselben Passwort und Konten, bei denen die gehackte Adresse zum Zurücksetzen hinterlegt ist. Ab jetzt für jeden Dienst ein eigenes Passwort – das ist der Punkt, an dem ein Passwortmanager keine Bequemlichkeit mehr ist, sondern die Voraussetzung dafür, dass ein einzelner Vorfall ein einzelner Vorfall bleibt.
8.Kontakte informieren und danach weiter hinsehen
Das BSI empfiehlt, die eigenen Kontakte zu informieren und darum zu bitten, weiterhin über mögliche Spam-Mails aus dem Konto informiert zu werden – und dann mit Bedacht zu prüfen, ob solche Mails noch auf diesen oder schon auf einen neuen Vorfall zurückgehen. Als Entwarnungskriterium nennt das BSI: Fallen keine seltsamen Informationen mehr auf, ist davon auszugehen, dass der Fremdzugriff aufgehört hat.