E-Mail-Konto gehackt? Diese 9 Anzeichen verraten es

Warum Sie einen Angriff meist nicht sofort merken

Im Kino ändert der Hacker das Passwort und sperrt das Opfer aus. In der Realität passiert bei Firmenkonten das Gegenteil: Der Angreifer verhält sich so unauffällig wie möglich. Er richtet eine stille Weiterleitung ein und liest wochenlang mit – wer mit wem über welche Rechnungen spricht, wann Zahlungen freigegeben werden, wie der Buchhalter schreibt. Erst wenn eine größere Überweisung ansteht, greift er ein: Eine echte Lieferantenmail wird abgefangen und mit geänderter Kontonummer weitergeleitet. Der Schaden entsteht dann Wochen nach dem eigentlichen Einbruch.

Das bedeutet: Die Abwesenheit auffälliger Symptome ist kein Beweis dafür, dass alles in Ordnung ist. Sie müssen aktiv nachsehen.

Die 9 Anzeichen

1. Unbekannte Anmeldungen in der Sicherheitsübersicht

Jeder größere Anbieter führt eine Liste der letzten Anmeldungen mit Zeitpunkt, Gerät und ungefährem Standort. Anmeldungen aus Ländern, in denen niemand aus Ihrem Team war, oder zu Uhrzeiten, an denen niemand arbeitet, sind das deutlichste Signal überhaupt.

2. Neue Weiterleitungsregeln

Das ist das wichtigste Anzeichen und gleichzeitig das am häufigsten übersehene. Prüfen Sie, ob eine Regel existiert, die Kopien aller Nachrichten an eine fremde Adresse schickt. Angreifer wählen dafür oft unauffällige Namen oder legen die Regel ganz ohne Bezeichnung an.

3. Filterregeln, die Nachrichten verstecken

Eine beliebte Technik: Alle Mails, die Wörter wie „Rechnung“, „IBAN“, „Sicherheit“ oder den Namen der Bank enthalten, werden automatisch als gelesen markiert und in einen selten geöffneten Ordner verschoben. So bekommen Sie Warnungen und Rückfragen gar nicht erst zu Gesicht.

4. Nachrichten sind gelesen, obwohl Sie sie nicht geöffnet haben

Wenn Mails ohne Ihr Zutun ihren Ungelesen-Status verlieren, hat jemand anderes sie geöffnet – oder eine Filterregel hat sie automatisch markiert. Beides ist einen genaueren Blick wert.

5. Einträge im Ordner „Gesendet“, die nicht von Ihnen stammen

Aufmerksame Angreifer löschen ihre Spuren, aber nicht alle sind aufmerksam. Ein Blick in „Gesendet“ und in den Papierkorb kostet dreißig Sekunden.

6. Rückläufer von Mails, die Sie nie geschrieben haben

Unzustellbarkeitsmeldungen zu Nachrichten, die Sie nicht kennen, bedeuten: Über Ihr Konto wurde versendet. Das passiert häufig, wenn Ihr Postfach für Phishing gegen Ihre eigenen Kunden und Lieferanten missbraucht wird – besonders schädlich, weil diese Mails von einer echten, vertrauenswürdigen Adresse kommen.

7. Kunden oder Kollegen erhalten seltsame Nachrichten von Ihnen

Wenn ein Geschäftspartner nachfragt, ob eine merkwürdige Mail wirklich von Ihnen stammt, nehmen Sie das ernst – auch wenn Sie selbst nichts Auffälliges sehen. Oft merken Außenstehende den Angriff zuerst.

8. Geänderte Wiederherstellungsdaten

Prüfen Sie die hinterlegte Zweit-Adresse und Handynummer für die Passwort-Wiederherstellung. Wurde hier etwas ergänzt oder geändert, kann sich ein Angreifer jederzeit selbst wieder Zugang verschaffen – auch nach einem Passwortwechsel.

9. Unbekannte App-Verbindungen oder Gerätefreigaben

In den Kontoeinstellungen finden Sie eine Liste verbundener Anwendungen und Geräte. Alles, was Sie nicht zuordnen können, gehört entfernt. Solche Verbindungen laufen oft über eigene Zugriffstoken, die von einem neuen Passwort unberührt bleiben.

So prüfen Sie Ihr Konto in zehn Minuten

Unabhängig vom Anbieter finden Sie die relevanten Einstellungen an vergleichbaren Stellen. Gehen Sie diese fünf Punkte der Reihe nach durch:

• Anmeldeverlauf – meist unter „Sicherheit“ oder „Zuletzt verwendete Geräte“. Alles Unbekannte notieren.
• Regeln und Weiterleitungen – in den Postfacheinstellungen. Jede Regel einzeln öffnen und lesen, nicht nur die Namen überfliegen.
• Wiederherstellungsdaten – Zweit-Adresse und Telefonnummer kontrollieren.
• Verbundene Apps und Geräte – Unbekanntes entfernen.
• Alle Sitzungen beenden – die Funktion heißt je nach Anbieter „Überall abmelden“ oder ähnlich.

Wichtig: Prüfen Sie nicht nur Ihr eigenes Konto. Betroffen sind erfahrungsgemäß häufig Sammeladressen wie info@ oder buchhaltung@, für die sich niemand richtig zuständig fühlt.

Verdacht bestätigt – was jetzt?

Arbeiten Sie die Sofortmaßnahmen in dieser Reihenfolge ab: Passwort ändern, alle Sitzungen beenden, Zwei-Faktor-Authentifizierung aktivieren, sämtliche fremden Regeln und App-Verbindungen löschen, Wiederherstellungsdaten korrigieren. Prüfen Sie anschließend, ob dasselbe Passwort auch anderswo im Einsatz war, und informieren Sie Geschäftspartner, falls über Ihr Konto versendet wurde.

Kam es dabei zu einem Zugriff auf personenbezogene Daten Ihrer Kunden oder Mitarbeiter, kann eine Meldepflicht nach Art. 33 DSGVO greifen – mit einer Frist von 72 Stunden. Die Details und die vollständige Schrittfolge finden Sie im Ratgeber Firmen-E-Mail in einem Datenleck: Was tun?

Wie Angreifer überhaupt hineinkommen

In den allermeisten Fällen steht am Anfang kein technischer Einbruch, sondern ein Passwort, das bereits im Umlauf war. Ein Mitarbeiter hat sich vor Jahren mit der Firmenadresse bei einem Onlineshop registriert, der später gehackt wurde – und dasselbe Passwort auch fürs Postfach verwendet. Angreifer probieren solche Kombinationen automatisiert durch. Wer weiß, welche eigenen Adressen in Datenlecks stehen, kann handeln, bevor jemand die Kombination testet.

Häufige Fragen

Dieser Beitrag gibt allgemeine Hinweise und ersetzt keine individuelle Beratung. Bei einem konkreten Sicherheitsvorfall ziehen Sie Ihren IT-Dienstleister und – bei Betroffenheit personenbezogener Daten – Ihren Datenschutzbeauftragten hinzu.