Skip to content

Gehacktes E-Mail-Konto: versteckte Weiterleitungsregeln und Wiederherstellung

Die Notrufnummern unterscheiden sich je nach Land. Diese Seite verwendet 911, die Nummer für die Vereinigten Staaten und Kanada. Viele andere Länder verwenden 112, 999 oder eine andere Nummer. Finden Sie die Nummer für Ihr Land.

Your primary email account is the skeleton key to your entire digital, financial, and legal identity. Unlike a compromised social media profile or streaming login, a hacked Gmail, Microsoft Outlook / Microsoft 365, Yahoo, Apple iCloud Mail, or ProtonMail account gives an attacker the power to click "Forgot Password" on your bank accounts, cryptocurrency exchanges, retirement brokerages, tax portals, and cloud drives. Most dangerously, merely changing your email password and turning on Two-Factor Authentication (2FA) rarely kicks a sophisticated attacker out of a hacked inbox. Within 30 seconds of breaking into an email account, modern attackers plant five layers of silent persistence backdoors: hidden Inbox Sweep and Forwarding Rules (often named ., .., oder [Blank] that silently move password-reset emails straight to the Trash oder RSS Feeds folder so you never see them), Third-Party OAuth Application Grants (eM Client, Thunderbird, or fake Google Docs apps that retain full API read/write access without needing your password), Delegated Mailbox Permissions, App Passwords (IMAP/SMTP), and Recovery Email / Phone Number swaps.

If an email compromise involves immediate threats of physical violence, stalking, domestic abuse, or extortion against a minor, call your local emergency number (911 in den Vereinigten Staaten und Kanada, 112 in der gesamten Europäischen Union, 999 im Vereinigten Königreich) oder konsultieren Sie unser internationales Verzeichnis Notrufnummern right away. For all consumer and corporate inbox takeovers, execute the 6-step eradication sequence below in exact order.

Tun Sie dies jetzt

  1. Do NOT change your password from the same Windows PC or Mac if you suspect an Infostealer virus: If your email was hacked even though you already had Two-Factor Authentication (2FA) turned on, your computer likely has an Infostealer malware infection (such as Lumma Stealer, RedLine, or Atomic macOS Stealer) or a malicious Chrome/Edge extension that steals live authenticated browser session cookies (SAPISID/SID on Google or ESTSAUTH on Microsoft). Pick up a clean smartphone (iOS or Android) to perform your password change and security cleanup right now.
  2. Audit and revert your Account Recovery Email, Recovery Phone Number, and MFA Authenticator devices BEFORE changing your password (or within 30 seconds after): Attackers immediately add their own burner phone number, disposable email address, or rogue Authenticator app to your security settings. If you change your password without deleting the attacker's recovery phone or rogue passkey, the attacker will simply click "Forgot Password" 10 seconds later and lock you out permanently.
  3. Force-terminate all active login sessions, persistent browser cookies, and App Passwords globally: Changing a password does not always immediately kill existing mobile IMAP tokens or active web session cookies. Explicitly click "Sign out of all devices / Revoke all sessions" in your Google, Microsoft, Yahoo, or Apple security dashboard, and delete every 16-character App Password on the account.
  4. Open a desktop web browser (not a mobile mail app) and delete all hidden Inbox Rules, Filters, Auto-Forwarders, and Sweep Rules: Mobile mail apps (Gmail oder Outlook auf iOS/Android) verbergen häufig erweiterte serverseitige Routing-Regeln. Öffnen Sie Ihre Webmail-Einstellungen in einem Desktop-Browser und überprüfen Sie Filter und blockierte Adressen, Weiterleitung und POP/IMAP sowie Regeln/Sweep. Löschen Sie alle Regeln, die E-Mails extern weiterleiten oder E-Mails mit Wörtern wie „automatisch“ verschieben "bank", "code", "reset", "security", "wire", "invoice", oder "crypto" in die Trash, Archive, oder RSS Feeds Ordner.
  5. Widerrufen Sie alle OAuth Connected Apps und Mailbox-Delegierten von Drittanbietern: Navigieren Sie zu Apps und Dienste von Drittanbietern (Google) oder Apps und Dienste, denen Sie Zugriff gewährt haben (Microsoft/Yahoo) in Ihrem Konto und widerrufen Sie jede einzelne App Mail.Read, Mail.ReadWrite, oder Gmail API Berechtigungen und aktivieren Sie außerdem Zugriff auf Ihr Konto gewähren (Delegierung), damit der Angreifer Ihren Posteingang nicht über ein OAuth-Token lesen kann, das Passwortänderungen vollständig ignoriert.
  6. Überprüfen Sie Ihre Trash (Bin), Sent, Und Spam Ordner sofort, um zu sehen, welche Finanz- oder Kryptokonten der Angreifer bereits zurückgesetzt hat: Angreifer löschen Sekunden nach Erhalt des 6-stelligen Bestätigungscodes eingehende Sicherheitswarnungen von Ihrer Bank, Coinbase/Binance, Amazon, PayPal oder Steam. Öffnen Sie Ihr Trash und Sent Ordner im Moment: jede E-Mail zum Zurücksetzen des Passworts, die sich in Ihrem befindet Trash ist ein Konto, das der Angreifer bereits angegriffen hat oder zu verletzen versucht hat.

Danger

Warum haben Sie nicht bemerkt, dass Ihre Bank, PayPal oder Krypto-Börse Ihnen während des Raubüberfalls 10 E-Mails mit Sicherheitswarnungen geschickt hat? Denn das allererste, was ein Angreifer in einem gehackten Gmail- oder Outlook-Posteingang tut, ist die Erstellung einer Stillen Unterdrückungsregel (zum Beispiel: Wenn der Absender enthält @chase.com, @coinbase.com, @paypal.com, oder Betreff enthält Verification Code, Security Alert, Password, Login -> Als gelesen markieren UND Posteingang überspringen UND in den Papierkorb / Archiv / RSS-Feeds verschieben). Überprüfen Sie immer zuerst die Registerkarte Regeln/Filter und Ihre Ordner Papierkorb/Archiv, da Ihr Hauptposteingang vom Angreifer absichtlich zensiert wird.

Entscheidungsbaum: Kontrolle wiedererlangen und Persistenz-Hintertüren beseitigen

Folgen Sie diesem Schritt-für-Schritt-Triage-Baum, unabhängig davon, ob Sie noch Zugriff auf Ihren Posteingang haben oder vom Angreifer vollständig gesperrt wurden:

flowchart TD
    A["Vermutete oder bestätigte Kompromittierung des E-Mail-Kontos"] --> B{"Können Sie sich jetzt noch in Ihr E-Mail-Konto einloggen?"}
    B -->|"Ja: Ich habe noch Zugriff"| C["Wechseln Sie zu einem sauberen Smartphone (vermeiden Sie potenziell infizierte PCs)"]
    C --> D["1. Entfernen Sie das Wiederherstellungstelefon, die Wiederherstellungs-E-Mail-Adresse und die betrügerischen MFA-Passschlüssel des Angreifers"]
    D --> E["2. Ändern Sie das Passwort in eine eindeutige Passphrase mit mehr als 20 Zeichen und aktivieren Sie Phishing-resistentes 2FA"]
    E --> F["3. Klicken Sie auf „Von allen Geräten abmelden“ und löschen Sie alle 16-stelligen App-Passwörter"]
    F --> G["4. Desktop-Webmail öffnen: Versteckte Weiterleitungen, Filter, Sweep-Regeln und Delegierte löschen"]
    G --> H["5. Widerrufen Sie OAuth-Apps von Drittanbietern und überprüfen Sie den Papierkorb/gesendete Ordner auf gehackte externe Konten"]
    B -->|"Nein: Angreifer hat Passwort und Wiederherstellungstelefon/MFA geändert"| I{"Welche Art von E-Mail-Konto ist gesperrt?"}
    I -->|"Arbeit / Schule / Unternehmensdomäne (@company.com)"| J["Kontaktieren Sie sofort den IT-Administrator: Der Administrator kann MFA über die Admin-Konsole in 60 Sekunden zurücksetzen, Token widerrufen und den Zugriff wiederherstellen"]
    I -->|"Persönliches Gmail / Outlook.com / Yahoo / iCloud"| K["Führen Sie das automatische Kontowiederherstellungsformular über Ihre bisherige WLAN-IP-Adresse zu Hause und Ihren vertrauten Browser bzw. Ihr vertrautes Telefon aus"]
    K --> L["Rufen Sie sofort Ihre Banken, Mobilfunkanbieter und Krypto-Börsen an, um die mit dieser E-Mail verknüpften Konten einzufrieren"]

Phase 1: Tiefenbereinigte Persistenzprüfung durch E-Mail-Anbieter (Gmail, Outlook/M365, Yahoo, iCloud)

Jeder große E-Mail-Anbieter speichert Weiterleitungsregeln, Filter, OAuth-Tokens und Postfach-Delegaten in leicht unterschiedlichen Menüs. Selbst wenn Sie Apple Mail oder Outlook Desktop auf Ihrem Computer verwenden, müssen Sie sich in einem Desktop-Browser bei der offiziellen Webmail-Schnittstelle des Anbieters anmelden (oder die „Desktop-Site“ in Ihrem mobilen Browser anfordern), um diese serverseitigen Einstellungen anzuzeigen.

Persistenzmechanismus Google Gmail / Google Workspace Microsoft Outlook.com / Microsoft 365 Yahoo Mail / AOL Mail Apple iCloud Mail
1. Wiederherstellungsinformationen und MFA-Geräte myaccount.google.com/security -> Bestätigung in zwei Schritten, Passschlüssel, Telefon zur Wiederherstellung, E-Mail-Adresse zur Wiederherstellung. account.microsoft.com/security -> Verwalten, wie ich mich anmelde (Persönlich) oder mysignins.microsoft.com/security-info (Arbeit/Schule). login.yahoo.com/myaccount/security -> Bestätigung in zwei Schritten, Telefonnummern zur Wiederherstellung, E-Mail-Adressen zur Wiederherstellung. account.apple.com -> Anmeldung und Sicherheit -> Kontosicherheit (Vertrauenswürdige Telefonnummern und vertrauenswürdige Geräte).
2. Abmeldung von allen Sitzungen erzwingen myaccount.google.com/device-activity -> Klicken Sie auf jedes unbekannte Gerät -> Abmelden. account.microsoft.com/security -> Überall abmelden (dauert bei Verbrauchern bis zu 24 Stunden; bei Entra ID sofort Revoke sessions). login.yahoo.com/myaccount/activity -> Letzte Aktivität -> Abmelden von unbekannten Orten/Browsern. Settings -> [Your Name] auf dem iPhone -> Scrollen Sie nach unten zur Geräteliste -> Tippen Sie auf ein unbekanntes Gerät -> Aus Konto entfernen.
3. Versteckte Posteingangsregeln und Filter Gmail Web -> Einstellungen (Zahnrad) -> Alle Einstellungen anzeigen -> Registerkarte Filter und blockierte Adressen. Outlook Web -> Einstellungen (Zahnrad) -> Mail -> Regeln UND Mail -> Sweep UND Junk-E-Mail (Blockierte Absender). Yahoo Web -> Einstellungen (Zahnrad) -> Weitere Einstellungen -> Filter. icloud.com/mail -> Einstellungen (Zahnrad oben in der Mail-Liste) -> Einstellungen -> Regeln.
4. Automatische Weiterleitung und POP/IMAP Gmail Web -> Einstellungen -> Alle Einstellungen anzeigen -> Registerkarte Weiterleitung und POP/IMAP. Outlook Web -> Einstellungen (Zahnrad) -> Mail -> Weiterleitung (und Weiterleitung und IMAP). Yahoo Web -> Einstellungen -> Weitere Einstellungen -> Postfächer -> Klicken Sie auf Ihre E-Mail-Adresse -> Weiterleiten. icloud.com/mail -> Einstellungen (Gear) -> Einstellungen -> Weiterleitung (Forward my email to).
5. Postfachdelegierung und Aliase Gmail Web -> Einstellungen -> Alle Einstellungen anzeigen -> Konten und Importieren -> Aktivieren Sie Zugriff auf Ihr Konto gewähren und E-Mail senden als. Microsoft 365 Exchange Admin Center -> Postfächer -> Delegierung (Read and manage / Send as / Send on behalf). Yahoo Web -> Einstellungen -> Weitere Einstellungen -> Postfächer -> Nur Sende-E-Mail-Adresse und Einwegadressen. icloud.com/mail -> Einstellungen -> Adressen (Überprüfen Sie, ob nicht autorisierte iCloud-Aliase oder Reply-To-Überschreibungen vorhanden sind).
6. OAuth-Apps und App-Passwörter von Drittanbietern myaccount.google.com/connections (OAuth-Apps) & myaccount.google.com/apppasswords (16-stellige IMAP-Passwörter). account.live.com/consent/Manage (Persönliches OAuth) oder myapps.microsoft.com (Arbeit) + App-Passwörter unter Sicherheit. login.yahoo.com/myaccount/security -> App-Passwörter & Externe Verbindungen. account.apple.com -> Anmeldung und Sicherheit -> App-spezifische Passwörter -> Alle widerrufen.

Detaillierte Anleitung 1: Bereinigen eines gehackten Google-/Gmail-Kontos

Gehen Sie beim Bereinigen eines kompromittierten Gmail- oder Google Workspace-Kontos genau diese sieben Registerkarten durch, ohne eine einzige zu überspringen:

  1. Sicherheit und Passschlüssel prüfen (myaccount.google.com/security):
    • Klicken Sie auf Passkeys und Sicherheitsschlüssel: Angreifer registrieren sofort einen synchronisierten Passkey oder virtuellen Authentifikator in ihrem eigenen Browser, sodass sie sich ohne Passwort und ohne SMS-Aufforderung wieder anmelden können. Löschen Sie alle Kennwörter, die Sie nicht kennen, mit hundertprozentiger Sicherheit.
    • Klicken Sie auf Bestätigung in zwei Schritten -> überprüfen Sie Authenticator, Google Prompt-Geräte, Recovery Phone und Backup-Codes. Klicken Sie auf Neue Codes generieren, um alle 8-stelligen Backup-Codes, die der Angreifer per Screenshot erstellt hat, sofort ungültig zu machen.
  2. Aktive App-Passwörter zerstören (myaccount.google.com/apppasswords):
    • Ein App-Passwort ist ein 16-Buchstaben-Passcode, der es einem IMAP-Mail-Client (wie Thunderbird oder dem Python-Skript eines Hackers) ermöglicht, Ihren gesamten Posteingang für immer herunterzuladen, während die Bestätigung in zwei Schritten vollständig umgangen wird. Löschen Sie alle aufgeführten App-Passwörter.
  3. OAuth-Verbindungen von Drittanbietern widerrufen (myaccount.google.com/connections):
    • Suchen Sie nach Anwendungen, die Zugriff auf Gmail, Google Drive oder Google Kontakte gewähren (Angreifer verwenden häufig legitim aussehende E-Mail-Clients wie eM Client, Newton Mail, Cleanfoxoder benutzerdefinierte OAuth-Skripte). Klicken Sie auf die App -> Löschen Sie alle Verbindungen, die Sie mit [App-Name] haben.
  4. Überprüfen Sie Gmail Accounts and Import Registerkarte (Mail-Delegierung & Reply-To Entführung):
    • Klicken Sie in Gmail auf einem Desktop-Computer auf das Zahnradsymbol -> Alle Einstellungen anzeigen -> Konten und Import.
    • Überprüfen Sie unter Zugriff auf Ihr Konto gewähren, dass NULL E-Mail-Adressen aufgeführt sind. Ein delegierter Benutzer kann Ihre E-Mails lesen, senden und löschen, ohne Ihr Passwort zu kennen.
    • Klicken Sie unter E-Mail senden als neben Ihrem eigenen Namen auf Informationen bearbeiten und stellen Sie sicher, dass der Angreifer kein Geheimnis eingegeben hat Specify a different "reply-to" address (z. B. indem Sie Ihre Antwort auf festlegen yourname.company@gmail.com oder eine Angreifer-ähnliche Domain, sodass immer dann, wenn jemand auf Ihre legitimen E-Mails antwortet, die Antwort an den Hacker und nicht an Sie geht).
  5. Überprüfen Sie Gmail Filters and Blocked Addresses Tab:
    • Schauen Sie sich jeden Filter genau an. Angreifer erstellen häufig passende Filter from:(a|e|i|o|u) oder size > 0 oder has:attachment oder Schlüsselwörter wie invoice, wire, bank, security, alert, code mit der Aktion Skip the Inbox (Archive it), Mark as read, Delete it, oder Forward it to:. Löschen Sie jeden unbekannten Filter.
  6. Überprüfen Sie Gmail Forwarding and POP/IMAP Tab:
    • Stellen Sie sicher, dass Weiterleitung auf Weiterleitung deaktivieren eingestellt ist, entfernen Sie alle nicht erkannten Weiterleitungsadressen aus der Dropdown-Liste und stellen Sie IMAP-Zugriff auf IMAP deaktivieren ein (es sei denn, Sie verwenden ausdrücklich einen sicheren Desktop-Client).
  7. Überprüfen Sie den Google Drive-Papierkorb und den Google Takeout-Verlauf:
    • Angreifer lösen häufig einen Google Takeout (takeout.google.com) Archiv zum Herunterladen a .zip aller Ihrer E-Mails, Google Fotos und Google Drive-Dokumente, einschließlich Steuererklärungen und Passwortlisten. Besuchen Sie takeout.google.com im Moment: Wenn Sie einen aktiven oder abgeschlossenen Export sehen, den Sie nicht angefordert haben, klicken Sie auf Export abbrechen und sehen Sie genau, welche Datenkategorien gepackt wurden.

Detaillierte Anleitung 2: Bereinigen eines gehackten Microsoft Outlook.com-/Hotmail-/Microsoft 365-Kontos

Microsoft-Konten (@outlook.com, @hotmail.com, @live.com, @msn.comund Unternehmenspostfächer von Microsoft 365 Exchange Online) verfügen über mehrere einzigartige Verstecke, die Angreifer bei Business Email Compromise (BEC) und Verbraucher-Hacks ausnutzen:

  1. Das Verborgene RSS Feeds und Conversation History Ordnerfalle:
    • In Outlook leiten Angreifer selten unterdrückte E-Mails in den Hauptordner weiter Deleted Items Ordner, da Benutzer dies überprüfen Deleted Items. Stattdessen erstellen sie eine Outlook-Regel mit dem Namen . oder 1 das verschiebt eingehende E-Mails in den RSS Feeds, Archive, oder Conversation History Ordner und markiert sie als gelesen. Überprüfen Sie jeden Ordner in Ihrer linken Seitenleiste, insbesondere RSS Feeds, gerade jetzt.
  2. Beides prüfen Rules UND Sweep in Outlook Web (outlook.live.com oder outlook.office.com):
    • Klicken Sie auf das Zahnrad „Einstellungen“ (oben rechts) -> Mail -> Regeln. Löschen Sie alle Regeln, die Sie nicht erstellt haben.
    • Beachten Sie das Kontrollkästchen unten in der Regel eines Angreifers: Stop processing more rules. Angreifer aktivieren dieses Kontrollkästchen für ihre oberste Regel, damit keine Ihrer legitimen Regeln ausgeführt wird.
    • Klicken Sie anschließend auf Mail -> Sweep und Mail -> Junk-E-Mail -> Blockierte Absender und Domänen. Angreifer fügen routinemäßig hinzu @microsoft.com, @google.com, @apple.com, @chase.com, @bankofamerica.com, Und @coinbase.com in Ihre Liste Blockierte Absender und Domänen aufgenommen, damit Sicherheitswarnungen zurückgesendet oder stillschweigend im Junk-Ordner landen. Löschen Sie alle legitimen Unternehmen aus Ihrer Liste der blockierten Absender.
  3. Überprüfen Mail -> Forwarding and IMAP:
    • Stellen Sie sicher, dass Weiterleitung aktivieren deaktiviert ist. Wenn die E-Mail-Adresse eines Angreifers in der Box mit sitzt "Keep a copy of forwarded messages" Wenn das Kontrollkästchen nicht aktiviert ist, wurde jede an Sie gesendete E-Mail an den Hacker weitergeleitet und aus Ihrem Postfach gelöscht, bevor sie jemals Ihren Posteingang erreichte.
  4. Für Microsoft 365-Unternehmensadministratoren: Führen Sie PowerShell aus, um versteckte MAPI-/beschädigte Posteingangsregeln aufzudecken (MFCMAPI):
    • Hochentwickelte BEC-Bedrohungsakteure nutzen die Exchange Web Services (EWS) API oder MFCMAPI um versteckte beschädigte Posteingangsregeln zu erstellen (durch Entfernen der PR_RULE_MSG_NAME und PR_RULE_MSG_PROVIDER MAPI-Eigenschaften), die in der Outlook-Web-GUI oder im standardmäßigen Exchange Admin Center überhaupt nicht angezeigt werden.
    • Ein IT-Administrator sollte eine Verbindung zu Exchange Online PowerShell herstellen und Folgendes ausführen: 
      Get-InboxRule -Mailbox victim@yourdomain.com -IncludeHidden | Format-List Name,Enabled,Description,ForwardTo,ForwardAsAttachmentTo,RedirectTo,DeleteMessage,MoveToFolder
    • Hinzufügen des -IncludeHidden Flag macht Stealth-MAPI-Regeln sichtbar, die in der Tabelle „Zugeordnete Inhalte“ des Postfachs versteckt sind (FAI), die dann über gelöscht werden kann Remove-InboxRule -Mailbox victim@yourdomain.com -Identity "<RuleID>" oder durch Starten outlook.exe /cleanrules.
    • Überprüfen Sie auch Exchange-Transportregeln (Mail Flow Rules) auf Mandantenebene über Get-TransportRule: Wenn der Angreifer ein Exchange-Administratorkonto kompromittiert hat, hat er möglicherweise eine globale, organisationsweite E-Mail-Flussregel anstelle einer einzelnen Postfachregel erstellt.

Warning

Warum gelangte ein Angreifer immer noch in meine E-Mail, nachdem ich mein Passwort geändert UND die Zwei-Faktor-Authentifizierung aktiviert hatte? Wegen Stolen Session Cookie Replay (Infostealer Malware) oder Böswillige Browsererweiterungen. Wenn Sie ein Raubkopienprogramm, ein gefälschtes PDF-/Rechnungstool, einen gefälschten Videocodec oder eine bösartige Chrome-Erweiterung auf Ihren Windows-PC oder Mac heruntergeladen haben, kopiert diese Malware die entschlüsselte SQLite-Cookie-Datenbank aus Ihrem Browser (%LocalAppData%\Google\Chrome\User Data\Default\Network\Cookies). Durch das Importieren Ihres Cookies in einen Anti-Erkennungs-Browser geht der Angreifer direkt an Ihrem Passwort und 2FA vorbei. Wenn Sie Malware auf Ihrem Computer vermuten, lesen Sie unseren Leitfaden Malware-, Ransomware- und Spyware-Infektionen und installieren Sie Ihr Betriebssystem neu, bevor Sie sich wieder bei Ihrem E-Mail-Konto auf diesem Computer anmelden.

Phase 2: Was tun, wenn Sie vollständig ausgesperrt sind (Angreifer hat Passwort geändert und 2FA)

Wenn der Angreifer bereits Ihr Passwort geändert, Ihre Wiederherstellungstelefonnummer durch seine eigene ersetzt und seine eigene Authenticator-App oder seinen eigenen Hardwareschlüssel aktiviert hat, zählt jede Minute, da der Angreifer Ihre verknüpften Konten aktiv plündert, während Sie gesperrt sind.

Schritt 1: Unterbrechen Sie zuerst die finanzielle Hebelwirkung des Angreifers (erste 15 Minuten)

Verbringen Sie nicht drei Stunden damit, gegen ein automatisiertes E-Mail-Wiederherstellungsformular zu kämpfen, während der Hacker Ihr Bankkonto mithilfe Ihres gekaperten Posteingangs leersaugt:

  1. Rufen Sie Ihre Banken, Kreditkartenaussteller und Investmentmakler telefonisch an:
    • Teilen Sie der Betrugsabteilung mit: * „Meine primäre E-Mail-Adresse [your@email.com] wurde kompromittiert und ist derzeit für mich gesperrt. Verhängen Sie sofort eine verbale Passwort-/Sicherheitssperre für mein Profil, widerrufen Sie aktive Web-/Mobil-Sitzungen und entfernen Sie diese E-Mail-Adresse aus der Self-Service-Passwortzurücksetzung.“*
  2. Sperren Sie Ihr Mobilfunkanbieterkonto gegen einen späteren SIM-Tausch:
    • In Ihrem gehackten Posteingang kann der Angreifer Ihre monatlichen Rechnungen von AT&T, Verizon, T-Mobile, Rogers, Vodafone oder O2 lesen und ihm Ihre Mobilfunkkontonummer und Rechnungsadresse mitteilen. Rufen Sie sofort Ihren Mobilfunkanbieter an, um zu überprüfen, ob Ihre Nummernübertragungs-PIN / Portsperre und Ihr Kontopasscode gesperrt sind.
  3. Einfrieren Ihrer Kryptowährungs-Exchange-Konten (Coinbase, Binance, Kraken, Gemini):
    • Die meisten großen Börsen bieten eine Ein-Klick- oder Notfalltelefon-Kontosperre an, wenn Ihre E-Mail-Adresse kompromittiert ist (z. B. wenn Sie die automatische Notfallsperre von Coinbase unter anrufen). +1 (888) 908-7930 in den USA/International oder +44 808 168 4635 im Vereinigten Königreich).
  4. Ändern Sie die registrierte E-Mail-Adresse für jedes Konto, bei dem Sie sich noch anmelden können:
    • Sie sind wahrscheinlich gerade noch bei Amazon, PayPal, Venmo, Steam, Discord, Apple ID und Ihrem Passwort-Manager in Ihrer Smartphone-App angemeldet. Erstellen Sie ein brandneues, sauberes Notfall-E-Mail-Konto (z. B. bei ProtonMail oder ein neues Gmail-Konto, das mit einem Hardwareschlüssel gesichert ist) und gehen Sie sofort in die App-Einstellungen Ihrer noch angemeldeten Apps, um deren Kontakt-E-Mail-Adresse von der gehackten Adresse zu entfernen, bevor der Angreifer sie zurücksetzt.

Schritt 2: So übergeben Sie die automatisierten Kontowiederherstellungsalgorithmen (Google, Microsoft, Yahoo)

Für kostenlose E-Mail-Konten für Verbraucher (@gmail.com, @outlook.com, @hotmail.com, @yahoo.com), ist es menschlichen Supportmitarbeitern durch technische Kontrollen strengstens untersagt, Passwörter manuell zurückzusetzen oder 2FA über das Telefon zu umgehen (um Social Engineering zu verhindern). Stattdessen wird die Wiederherstellung durch eine automatisierte Risk & Identity Scoring Engine gesteuert. So maximieren Sie Ihren kryptografischen Vertrauenswert und lösen die versteckte „7-Tage-/30-Tage-Überbrückung der Sicherheitssperre“ aus:

  1. KRITISCHE REGEL: Senden Sie das Wiederherstellungsformular genau von Ihrem historischen Gerät, Browser und Ihrer Heim-WLAN-IP-Adresse aus:
    • Laufen Sie niemals accounts.google.com/signin/recovery oder account.live.com/acsr aus einem brandneuen Inkognito-Browserfenster über Mobilfunkdaten oder über ein VPN.
    • Verwenden Sie den genauen Laptop, Desktop oder Smartphone und den genauen Browser (mit intakten Cookies/lokalem Speicher), mit dem Sie sich im vergangenen Jahr jeden Tag bei diesem E-Mail-Konto angemeldet haben, während Sie mit Ihrem normalen WLAN-Router zu Hause oder im Büro verbunden sind (ASN und Geolokalisierungsübereinstimmung). Der Wiederherstellungsalgorithmus gewichtet die Fingerabdruck-Token des Geräts stark (DeviceID) und historische IP-Subnetze.
  2. Google/Gmail-Wiederherstellung (accounts.google.com/signin/recovery):
    • Selbst wenn der Angreifer Ihre Telefonnummer und E-Mail-Adresse für die Wiederherstellung vor Sekunden geändert hat, behält Google Ihre VORHERIGE Telefonnummer und E-Mail-Adresse für die Wiederherstellung genau sieben Kalendertage (168 Stunden) lang als gültige Wiederherstellungsfaktoren bei, nachdem ein Angreifer sie geändert hat.
    • Wenn Sie dazu aufgefordert werden signin/recovery, klicken Sie auf „Anderen Weg versuchen“, bis Sie aufgefordert werden, einen Code an Ihre ursprüngliche Telefonnummer oder ursprüngliche Wiederherstellungs-E-Mail-Adresse zu senden, oder Sie über die Google-Eingabeaufforderung dazu auffordern, Ihr zuvor registriertes Android-Telefon/iPhone aufzufordern.
    • Wenn Sie Google One (kostenpflichtiger Cloud-Speicher) oder YouTube Premium/YouTube-Kanal abonnieren:
      • Bezahlte Google One-Abonnenten haben Zugriff auf den Live-Support von Google One (one.google.com/support) wer gesperrte Konten intern eskalieren kann.
      • Wenn Ihr gehacktes Google-Konto einen YouTube-Kanal besitzt, wenden Sie sich an @TeamYouTube auf X (ehemals Twitter) sofort öffentlich veröffentlichen. Im Gegensatz zu Standard-Gmail @TeamYouTube Der Creator Support stellt ein spezielles Eskalationsformular für gehackte Konten zur Verfügung, das von menschlichen Google-Vertrauens- und Sicherheitsingenieuren gesteuert wird, die Ihr Original überprüfen Channel ID (UC..), AdSense-ID und Hochladen des IP-Verlaufs, um die Passkeys/MFA des Angreifers physisch zu entfernen und Ihr gesamtes Google-/Gmail-Konto innerhalb von 24 bis 72 Stunden wiederherzustellen.
  3. Microsoft Outlook-/Hotmail-/Xbox-Kontowiederherstellung (account.live.com/acsr):
    • Versuchen Sie zunächst, sich anzumelden und auf dem 2FA-Bildschirm auf „Ich habe nichts davon“ zu klicken: Wenn Sie bei der ursprünglichen Einrichtung Ihres Kontos einen 25-stelligen Microsoft-Wiederherstellungscode gespeichert haben, können Sie durch dessen Eingabe die Sicherheitsinformationen des Angreifers ersetzen (vorbehaltlich der obligatorischen 30-tägigen Wartezeit für den Ersatz von Sicherheitsinformationen von Microsoft, während der der Angreifer auch blockiert werden kann, wenn Sie das Konto markieren).
    • Beim Ausfüllen des Microsoft-Kontowiederherstellungsformulars (account.live.com/acsr) von Ihrer Heim-WLAN-IP:
      • Geben Sie die genauen Betreffzeilen von 3 bis 4 kürzlich gesendeten E-Mails an (bitten Sie Freunde oder Familie, in ihrem eigenen Posteingang nachzuschauen und Ihnen die genauen Betreffzeilen der E-Mails, die Sie ihnen kürzlich gesendet haben, Zeichen für Zeichen vorzulesen).
      • Geben Sie die genauen E-Mail-Adressen der Kontakte an, denen Sie kürzlich E-Mails gesendet haben.
      • Stellen Sie Ihre Xbox-Konsolenhardware bereit LiveDeviceID / Seriennummer, wenn Sie sich jemals mit diesem Microsoft-Konto bei einer Xbox angemeldet haben, sowie die letzten 4 Ziffern und das Ablaufdatum einer Kreditkarte, die jemals im Microsoft Store / Skype / Office 365 verwendet wurde.

Tip

Sobald Sie wieder Zugriff auf ein gehacktes E-Mail-Konto haben, überprüfen Sie Ihr Sent Ordner und Ihr Trash Ordner für Erpressungs- oder Betrugs-E-Mails, die der Angreifer an Ihre Kontakte gesendet hat. Angreifer durchsuchen häufig Ihren Posteingang nach vertraulichen Fotos, Steuerdokumenten oder Geschäftsrechnungen und senden gefälschte E-Mails mit der Aufschrift „dringende Geschenkkarte/Überweisung“ an Ihre Freunde, ältere Eltern oder Kunden. Senden Sie eine eindeutige Warn-E-Mail (und Textnachricht) an jeden, dem der Angreifer während des Sicherheitsfensters eine Nachricht geschickt hat.

Phase 3: Schadensbegrenzung für Geheimnisse, die in Ihren alten E-Mails offengelegt werden

Sobald Sie den Angreifer ausgesperrt und alle Regeln und OAuth-Tokens bereinigt haben, müssen Sie sich einer ernüchternden forensischen Realität stellen: Wenn der Angreifer auch nur 15 Minuten lang IMAP-, OAuth- oder Webzugriff auf Ihr Postfach hatte, gehen Sie davon aus, dass er eine automatisierte Stichwortsuche in Ihrem gesamten historischen E-Mail-Archiv durchgeführt hat.

Angreifer lesen Ihre 50.000 alten E-Mails nicht manuell. Ihre automatisierten Skripte durchsuchen Ihren Posteingang sofort nach genau diesen zehn hochwertigen Schlüsselwörtern und laden jede passende Nachricht und jeden PDF-Anhang herunter:

  1. "seed", "mnemonic", "recovery phrase", "24 words", "wallet", "Coinbase", "Binance", "Ledger": Wenn Sie sich jemals ein Foto, eine Textnotiz oder eine verschlüsselte Zip-Datei einer Kryptowährungs-Seed-Phrase oder eines 2FA-Backup-Codes per E-Mail zugeschickt haben, sollten Sie davon ausgehen, dass das Wallet sofort kompromittiert wurde, und alle Gelder auf ein brandneues Hardware-Wallet übertragen.
  2. "tax", "1040", "W-2", "1099", "SSN", "Social Security", "passport", "driver license", "mortgage", "closing": Kreditanträge, Wohnungsmietverträge und CPA-E-Mails in Ihrem Posteingang enthalten mit ziemlicher Sicherheit PDFs mit Ihrer ungeschwärzten Sozialversicherungsnummer (oder Ihrem Personalausweis), Ihrem Geburtsdatum und Ihrem Führerscheinfoto. Erteilen Sie einen sofortigen Kreditstopp bei Equifax, Experian und TransUnion (siehe unseren Leitfaden unter Reaktion auf Identitätsdiebstahl).
  3. "password", "login", "credentials", "welcome to", "backup codes": Durchsuchen Sie jetzt Ihren eigenen Posteingang nach den Wörtern password und backup code, löschen Sie diese gefährlichen Klartext-E-Mails, nachdem Sie jedes einzelne darin erwähnte Passwort ausgetauscht haben.
  4. "invoice", "ACH", "wire", "routing", "escrow", "closing costs", "docusign": Wenn Sie gerade dabei sind, ein Haus zu kaufen, einen Auftragnehmer zu bezahlen oder ein Unternehmen zu leiten, verfügt der Angreifer jetzt über Kopien Ihrer echten Rechnungen und Bankleitdaten und wird versuchen, sich als Sie oder Ihr Titelunternehmen auszugeben, um die Überweisung zu stehlen. Rufen Sie sofort Ihre Immobilienfirma, Ihren Treuhänder oder Ihre Kunden an, um sie zu warnen.

Häufig gestellte Fragen

I changed my email password and turned on 2FA, yet the hacker is STILL sending emails from my account. How is that possible?

There are four technical mechanisms that survive a password change and 2FA setup: **1. Active Third-Party OAuth Tokens**: The hacker connected an OAuth application (like `eM Client`, `Thunderbird`, or a malicious script) to your account; OAuth tokens authenticate via API refresh tokens and never check your password again until you explicitly revoke the app at `myaccount.google.com/connections` or `account.live.com/consent/Manage`. **2. 16-Character App Passwords**: The hacker generated an IMAP/SMTP App Password in your security settings, which bypasses 2FA completely. **3. Mailbox Delegation**: In Gmail (`Settings -> Accounts and Import -> Grant access to your account`) or Microsoft 365 Exchange Delegation, the hacker added their own account as a delegate. **4. Infostealer Malware on Your PC**: Your computer has a trojan stealing the live session cookie from your web browser every time you log in with your new password.

Why am I suddenly receiving 500 to 5,000 random newsletter sign-up emails per hour ("Email Bombing")?

If your inbox suddenly explodes with thousands of automated *"Confirm your newsletter subscription"* emails in every language from random websites around the world, **you are under an active "Subscription Bomb" (Email Bombing) attack.** Do NOT bulk-delete your entire inbox without looking closely. Attackers launch a Subscription Bomb to bury **one specific, critical email** that arrived right at the start of the flood, such as an **Apple Store / Best Buy $3,000 laptop order confirmation**, a **Bank Wire Transfer alert**, a **Zelle / PayPal transfer receipt**, or a **Mobile Carrier SIM Swap notification**. Use your email search bar immediately to filter for: `subject:(order OR receipt OR wire OR transfer OR password OR security OR alert OR SIM)` or check your bank, credit card, Amazon, Walmart, and mobile carrier accounts right now to find the single fraudulent transaction they are trying to hide in the noise.

Can an attacker hack my email just by me opening and reading an email without clicking any links or downloading attachments?

In modern webmail (Gmail, Outlook Web, Yahoo, Apple Mail on updated iOS/macOS), simply opening and reading a plain text or HTML email does **not** hand over your password or infect your device, provided your operating system and browser are up to date. The only thing opening an email can reveal to a sender is a **Tracking Pixel** (an invisible 1x1 pixel external image that tells a spammer your email address is active and reveals the rough IP address of the mail proxy, though Apple Mail Privacy Protection and Gmail image proxies now mask even your real IP). Almost 100 percent of email takeovers come from **1. Credential Reuse** (reusing a password leaked in another website's data breach), **2. Adversary-in-the-Middle (AitM) Phishing Links** (clicking a fake login link), or **3. Infostealer Malware** executed on a PC.

Why did I get an email from MY OWN email address saying a hacker recorded me through my webcam (`Pegasus` / Trojan extortion email)?

If you received an email that appears to be sent **`From: your_own_email@domain.com` `To: your_own_email@domain.com`** claiming a hacker installed "Pegasus spyware" or recorded you via your webcam while browsing adult websites and demanding $500 to $2,000 in Bitcoin, **your email and computer were NOT hacked.** This is a mass-automated **SMTP Header Spoofing scam**. Basic email protocols allow any spam server to type your address into the visual `From:` display header (just like writing a fake return address on a paper envelope). If you check your **`Sent`** folder, you will see that email is not in your `Sent` folder, and if you click **"Show Original" / "View Message Source"**, you will see `SPF: FAIL` or `DMARC: FAIL` from a foreign server IP. Delete the email and never pay.

What is the safest type of Two-Factor Authentication (2FA) to put on my email so it can never be phished or SIM-swapped?

Move away from **SMS Text Message 2FA** (which can be stolen via a SIM swap) and even standard 6-digit TOTP Authenticator codes (which can be intercepted in real time if you accidentally type them into an Adversary-in-the-Middle `Evilginx` phishing page). Instead, enable **FIDO2 / WebAuthn Passkeys or Physical Hardware Security Keys (such as a YubiKey 5 Series or Google Titan Key)**. Because FIDO2 cryptographic signatures are mathematically bound to the genuine browser domain (`google.com` or `login.live.com`), a FIDO2 hardware key or passkey makes it cryptographically impossible for an attacker to phish your login, even if you click a sophisticated fake login link. Enroll at least **two** hardware keys (one primary on your keychain, one backup in a fireproof safe) and enable **Google Advanced Protection Program (`landing.google.com/advancedprotection`)** if you are a high-risk target.

Should I permanently abandon my old email address after a hack and create a brand-new one?

If you thoroughly purge all 6 persistence points (Recovery info, Active sessions, App Passwords, OAuth grants, Filters/Forwarding rules, and Delegation) and lock the account with a strong unique password and FIDO2 MFA, **the technical security of the account is 100 percent restored.** However, you should still ** keep the old email account open and locked down forever** rather than deleting it. If you delete an old `@outlook.com`, `@yahoo.com`, or custom domain email address, an attacker may eventually re-register that recycled username and use it to reset forgotten accounts tied to it. Many security professionals keep their old address locked with a hardware key as a decoy/legacy inbox while migrating their **banking, brokerage, tax, and cryptocurrency logins** to a brand-new, private, unpublicized email address (`myname-vault@proton.me` or a dedicated Gmail) that is never given out on shopping sites, newsletters, or social media.

Sources checked

  • Cybersecurity and Infrastructure Security Agency (CISA, Vereinigte Staaten): Schutz vor Business Email Compromise (BEC), OAuth-Anwendungsmissbrauch und Phishing-resistenten MFA-Anleitungen (cisa.gov/MFA und cisa.gov).
  • Microsoft Security Response Center & Defender Threat Intelligence (USA): Reagieren auf ein kompromittiertes E-Mail-Konto in Microsoft Defender für Office 365 (Regeln für versteckte Posteingänge). -IncludeHidden, OAuth-Einwilligungsgewährung und Sitzungswiderruf) (learn.microsoft.com/en-us/defender-office-365/responding-to-a-compromised-email-account).
  • Google-Kontosicherheit und Workspace-Administratorhilfe (USA): Sichern Sie ein gehacktes oder kompromittiertes Google-Konto, OAuth-Drittanbieterverbindungen und ein erweitertes Schutzprogramm (support.google.com/accounts/answer/6294825).
  • National Cyber ​​Security Centre (NCSC, Vereinigtes Königreich): Wiederherstellung eines kompromittierten E-Mail-Kontos und Eindämmung der Persistenz von E-Mail-Weiterleitungsregeln (ncsc.gov.uk).
  • Federal Trade Commission (FTC, Vereinigte Staaten): Was tun, wenn Ihr E-Mail-Konto gehackt wird (consumer.ftc.gov).
  • Australian Cyber ​​Security Centre (ACSC / ASD, Australien): Schutz von E-Mail-Konten und Erkennung nicht autorisierter Posteingangsregeln (cyber.gov.au).

Verwandte Leitfäden