Das Symptom
Das Passwort wurde geändert, die Sitzungen beendet, der Schreck lässt nach. Zwei
Tage später kommt eine Mail: Dein Passwort wurde zurückgesetzt. Man hat nichts
zurückgesetzt. Beim Blick in die Kontoübersicht steht dort eine zweite
E-Mail-Adresse, die man noch nie gesehen hat, oder eine Rufnummer mit einer Vorwahl,
die nicht die eigene ist. Manchmal ist der einzige Hinweis ein Bestätigungscode, den
niemand angefordert hat – und der auf einem Gerät auftaucht, das man selbst nie
hinzugefügt hat.
Die „Layer 8“-Wahrheit
Jedes Konto hat zwei Türen. Die eine ist das Passwort. Die andere ist die Frage
„Und was, wenn ich mein Passwort vergesse?“ – beantwortet durch eine hinterlegte
Zweitadresse, eine Rufnummer, ein vertrauenswürdiges Gerät. Diese zweite Tür ist
absichtlich so gebaut, dass sie die erste ersetzt, denn sonst wäre sie nutzlos.
Genau deshalb ist sie das erste, was ein Angreifer umbaut, sobald er drin ist: Wer
den Rückfallweg besitzt, braucht das Passwort nie wieder. Er lässt es sich schicken.
Das ist der Grund, warum ein sauber durchgeführter Passwortwechsel manchmal nur
zwei Tage hält, und es ist auch der Grund, warum die Prüfung der Rückfalloptionen
kein Aufräumen im Nachhinein ist, sondern Teil des Aussperrens. Das BSI stellt sie
deshalb direkt hinter Passwortwechsel und Sitzungsende und nennt Änderungen an
Rückfalloptionen wie einer hinterlegten Telefonnummer ausdrücklich kritisch. Apple
formuliert denselben Auftrag von der anderen Seite: alle Sicherheitsdaten
aktualisieren, die man nicht wiedererkennt.
Es gibt dabei eine Variante, die man in den Einstellungen nicht sieht, weil dort
alles richtig aussieht. Die Rufnummer stimmt, sie gehört einem – aber beim
Mobilfunkanbieter ist eine SMS-Weiterleitung eingerichtet, und die Kopie geht
mit. Apple nennt genau diesen Prüfschritt und verweist dafür an den Mobilfunk- und
den E-Mail-Anbieter. Das ist unbequem, weil es einen Anruf bedeutet statt eines
Klicks, aber es ist die einzige Stelle, an der sich diese Umleitung überhaupt
zeigt.
Und wenn der Rückbau zu spät kommt, wenn also alle Wege zurück ins Konto bereits
der Gegenseite gehören, gilt der langweiligste und tragfähigste Rat: den Anbieter
einschalten und dessen Verfahren durchlaufen. Bei Apple heißt es Accountwiederherstellung,
beginnt auf iforgot.apple.com und braucht Wartezeit – wie viel, sagt Apple bewusst
nicht als feste Zahl. Wer diese Wartezeit abkürzen möchte, richtet vorher einen
Wiederherstellungskontakt ein. Danach ist es dafür zu spät.
Die echte, verifizierte Lösung
1000 % faktenbasiert. Jeder Befehl ist real, jeder Pfad existiert. Schritt für Schritt:
1.Die Rückfalloptionen nicht als Nacharbeit behandeln
Das BSI führt die Prüfung der Kontoeinstellungen unmittelbar hinter Passwortwechsel und Sitzungsende auf und nennt Änderungen an Rückfalloptionen wie einer hinterlegten Telefonnummer als kritischen Fall. Der Grund ist einfach: Solange eine fremde Adresse als Rückfallweg eingetragen ist, ist jeder Passwortwechsel eine Ansage und keine Sperre.
2.Jede hinterlegte Adresse und Nummer einzeln ansehen
Nicht nur die primäre. Konten führen häufig mehrere Kontaktwege: eine zweite E-Mail-Adresse, eine Rufnummer für Codes, manchmal eine dritte für Benachrichtigungen. Apples Anweisung deckt alle ab – auf der Kontoseite alle persönlichen Informationen und Sicherheitsdaten aktualisieren, die nicht korrekt sind oder die man nicht wiedererkennt.
3.Fremde Einträge entfernen, eigene wieder eintragen
Erst löschen, dann ergänzen, nicht überschreiben: Bei manchen Anbietern bleibt ein alter Eintrag als weitere Option bestehen, wenn man nur eine neue hinzufügt. Danach lohnt eine Probe – Passwortrücksetzung anfordern und prüfen, wo der Code wirklich ankommt. Das ist die einzige Kontrolle, die nicht auf die Anzeige in den Einstellungen vertraut.
4.Die registrierten Zweitfaktor-Methoden mitprüfen
Microsoft führt diesen Schritt eigens auf: die für den betroffenen Benutzer registrierten MFA-Geräte überprüfen, verdächtige von einem Angreifer hinzugefügte Geräte identifizieren und entfernen und sicherstellen, dass alle nicht erkannten MFA-Methoden entfernt werden. Eine fremde Authenticator-App ist funktional dasselbe wie eine fremde Rückfallnummer: ein zweiter Schlüssel, den der Passwortwechsel nicht berührt.
5.Beim Mobilfunkanbieter nach einer SMS-Weiterleitung fragen
Apple nennt diesen Schritt wörtlich: sich beim Mobilfunkanbieter vergewissern, dass für eine mit dem Konto verknüpfte Telefonnummer keine SMS-Weiterleitung eingerichtet wurde. Apple rät im selben Zug, sich auch an den E-Mail-Anbieter zu wenden, um die Kontrolle über alle mit dem Konto verknüpften Adressen und Nummern sicherzustellen. Bei der Gelegenheit lohnt die Frage, welche Auskünfte und Änderungen am Telefon ohne Kundenkennwort überhaupt möglich sind.
6.Die eigenen Geräte gegenprüfen
Apple beschreibt, wie man sicherstellt, mit welchem Konto ein Gerät überhaupt angemeldet ist: in den Einstellungen beziehungsweise Systemeinstellungen den eigenen Namen antippen und die verknüpfte E-Mail-Adresse verifizieren, und das für alle Dienste durchgehen, bei denen man mit dem Konto angemeldet ist. Der Sinn dahinter steht dort ebenfalls: Man sollte die einzige Person sein, die sich beim eigenen Konto anmelden kann.
7.Wenn nichts mehr geht: den Anbieterweg gehen, nicht raten
Das BSI nennt für den Fall ohne Zugriff als ersten Schritt, den Anbieter zu informieren und dessen Hinweisen zu folgen. Bei Apple heißt dieser Weg Accountwiederherstellung und beginnt auf iforgot.apple.com; Apple sagt dazu, dass der Zugriff nach der damit verbundenen Wartezeit zurückkommt. Wiederholte Rücksetzversuche über Formulare Dritter beschleunigen nichts und sind der Boden, auf dem Nachahmer-Angebote wachsen.
8.Für das nächste Mal einen Wiederherstellungskontakt einrichten
Apple beschreibt das Verfahren: Ein Kontakt für die Accountwiederherstellung kann die Identität verifizieren und einen sechsstelligen Wiederherstellungscode erzeugen, mit dem sich das Passwort zurücksetzen lässt. Zugriff auf das Konto hat diese Person nicht. Apple weist darauf hin, dass die vollständige Accountwiederherstellung ohne einen solchen Kontakt länger dauern kann – das ist der Aufwand, den man sich vorher spart.