Die meisten von uns haben eine Art mentalen Stolperdraht für „mein Konto wurde gehackt“: eine Passwort-Reset-E-Mail, die wir nicht angefordert haben, eine SMS über eine Anmeldung aus einer unbekannten Stadt, ein plötzlich gesperrtes Konto. Dieser Stolperdraht ergab Sinn, solange die Hauptgefahr darin bestand, dass jemand Ihr Passwort erriet oder per Brute-Force knackte. Gegen die Zugriffsmethoden, die in aktuellen Vorfällen auftauchen, nützt er fast nichts – sie sind gezielt so gebaut, dass sie ihn nicht auslösen.

Zwei Beispiele aus den vergangenen Wochen veranschaulichen dieses Muster. Malwarebytes dokumentierte einen WhatsApp-Betrug (veröffentlicht am 3. August 2026), bei dem Opfer durch etwas geführt werden, das wie ein „WhatsApp-Web-Setup“ aussieht – manchmal sogar auf der echten Domain wa.me – und am Ende einen Code eingeben, der das Gerät des Angreifers mit ihrem Konto verknüpft. Nirgendwo wird ein Passwort eingegeben, also wird keine Passwort-Reset-E-Mail ausgelöst und kein Alarm für einen fehlgeschlagenen Login. Das Gerät des Angreifers wird einfach zu einem weiteren stillen Eintrag in der Liste der verknüpften Geräte des Kontos, mit vollem Lese- und Sendezugriff, den er anschließend nutzt, um denselben Betrug bei den Kontakten des Opfers durchzuziehen. Unabhängig davon warnte Microsoft vor einer Kampagne, die es „CaptiveCrunch“ nennt und die Reisende in Captive-Portalen von Hotel- und Konferenz-WLANs abfängt, sie auf gefälschte Login-Seiten umleitet und dort nicht nur Passwörter, sondern auch Gerätecodes und OAuth-Token abgreift – Anmeldedaten, die Zugriff gewähren, ohne je die Art von „neue Anmeldung“-Benachrichtigung auszulösen, die eine Passwortänderung erzeugen würde.

Der gemeinsame Nenner: Beide Angriffe zielen auf Sitzungs- und Autorisierungsmechanismen – verknüpfte Geräte, OAuth-Freigaben, Gerätecodes – statt auf das Passwort selbst. Die eingebaute Alarmierung Ihres Kontos wurde entwickelt, um die Haustür zu überwachen. Diese Methoden kommen durch eine Seitentür herein, die sie nicht im Blick hat.

Was man tatsächlich dagegen tun kann

Man kann nicht auf eine Benachrichtigung warten, die nie kommt. Betrachten Sie die Überprüfung Ihrer eigenen verknüpften Geräte und autorisierten Apps stattdessen als Routine, die Sie selbst durchführen – genau wie den Batteriecheck beim Rauchmelder. Hier ist ein konkreter Durchlauf, der Reihe nach:

1. Verknüpfte/aktive Geräte in Messaging-Apps prüfen

  • WhatsApp: Einstellungen → Verknüpfte Geräte. Alles, was Sie nicht erkennen, antippen und „Abmelden“ wählen.
  • Telegram: Einstellungen → Geräte. Gleiches Prinzip – jede Sitzung beenden, die nicht zu einem Gerät gehört, das Sie gerade physisch in der Hand halten.
  • Signal: Einstellungen → Verknüpfte Geräte, gleiche Prüfung.

2. Aktive Sitzungen und Zugriffsrechte von Drittanbieter-Apps bei Ihren wichtigsten Konten prüfen

  • Google: myaccount.google.com/security → „Ihre Geräte“ und „Drittanbieter-Apps mit Kontozugriff“. Widerrufen Sie alles Unbekannte, und achten Sie besonders auf Apps, denen Sie vor Monaten oder Jahren Zugriff gewährt und dann vergessen haben – eine alte Freigabe ist für einen Angreifer genauso nutzbar wie eine neue.
  • Microsoft: account.microsoft.com/security → „Anmeldeaktivität“ und „App-Berechtigungen“.
  • Apple-ID: Einstellungen → [Ihr Name] → die Geräteliste weiter unten prüfen.
  • Facebook/Instagram: Einstellungen → „Wo Sie angemeldet sind“ / „Aktive Sitzungen“ sowie „Apps und Websites“ für verbundene Drittanbieterzugriffe.

3. Misstrauen Sie jedem Ablauf, bei dem Sie einen Code statt eines Passworts eingeben sollen

Legitime Abläufe zum „Verknüpfen dieses Geräts“ verwenden durchaus Codes – das allein ist noch kein Warnsignal. Was Sie aufhorchen lassen sollte, ist der Auslöser: Taucht eine Aufforderung zur Code-Eingabe auf, weil ein Kontakt Ihnen eine Nachricht geschickt hat („stimm für mich ab“, „schau dir das an“), weil Sie sich in einem öffentlichen WLAN-Captive-Portal befinden, oder wegen eines Links, den Sie nicht selbst initiiert haben, behandeln Sie es als feindlich, bis das Gegenteil bewiesen ist. Schließen Sie es und navigieren Sie stattdessen direkt zur App oder zum Konto, statt über den Link fortzufahren.

4. Prüfen, ob Ihre E-Mail-Adresse in einem bekannten Datenleck aufgetaucht ist

Have I Been Pwned (haveibeenpwned.com), betrieben vom Sicherheitsforscher Troy Hunt, ist ein kostenloser, etablierter Dienst, um zu prüfen, ob Ihre E-Mail-Adresse in bekannten Datenlecks auftaucht – er gilt als so vertrauenswürdig, dass sogar nationale Regierungen ihn für ihre eigenen Domains nutzen (Nepals nationales Cyber-Sicherheitszentrum wurde laut Berichten dieser Woche die 47. Regierung, die sich anschloss). Eine Kompromittierung über verknüpfte Geräte erkennt er nicht, aber er ist eine schnelle, kostenlose Prüfung, die sich für Ihre primären E-Mail-Adressen lohnt, und der richtige erste Schritt, wenn Sie ein Kontoproblem vermuten und nicht wissen, wo Sie anfangen sollen.

5. In nicht vertrauenswürdigen Netzwerken – Hotel-WLAN, Konferenz-WLAN, Flughafen-WLAN – vermeiden Sie es, sich über die Captive-Portal-Seite selbst bei irgendetwas Sensiblem anzumelden

Wenn die Login-Seite eines Hotel- oder Veranstaltungs-WLANs zu einem Software-Update auffordert, einen „Sicherheitscheck“-Dialog anzeigt oder eine Microsoft-/Google-Anmeldung verlangt, bevor sie Internetzugang gewährt, seien Sie vorsichtig – verbinden Sie sich zuerst, und erledigen Sie Ihre eigentlichen Logins dann über die Mobilfunkverbindung Ihres Telefons oder ein VPN, statt über die Seite, die Ihnen das Netzwerk vorsetzt.

In den Kalender eintragen

Ein einmaliger Aufräumdurchlauf löst das Problem von heute, aber nicht das des nächsten Quartals. Legen Sie sich eine wiederkehrende Erinnerung zu – vierteljährlich ist ein vernünftiger Rhythmus, oder koppeln Sie es an etwas, das Sie ohnehin regelmäßig tun, etwa einen Jahreszeitenwechsel oder eine wiederkehrende Rechnung – und gehen Sie die obigen Schritte 1 und 2 für Ihre zwei oder drei wichtigsten Konten durch: Ihre primäre E-Mail-Adresse, die Messaging-App, die Sie am meisten nutzen, und jedes Konto, das mit Ihren Finanzen verknüpft ist. Sobald Sie wissen, wo die Menüs liegen, dauert es keine fünfzehn Minuten – und es ist der einzige zuverlässige Weg, Zugriffe zu erkennen, die gezielt so gestaltet wurden, dass sie Sie nicht alarmieren.