Man kennt das Posting auswendig. „Ich verschicke keine Freundschaftsanfragen! Mein Konto wurde gehackt!“ Darunter dann dreißig Kommentare, halb Mitgefühl, halb Belehrung, und irgendwo dazwischen der Satz, der in diesen Threads nie fehlt: Selber schuld, wer auf jeden Blödsinn klickt.
Beides trifft häufig daneben. Manchmal stimmt das Wort haargenau, weil tatsächlich jemand Fremder im Konto sitzt – meistens, weil vorher eine gefälschte Anmeldeseite im Spiel war. Manchmal wurde überhaupt nichts gehackt, weil nur das Profil abgeschrieben wurde. Und der Klick, den der Oberlehrer im Kommentarfeld unterstellt, ist in beiden Fällen die falsche Erklärung. Das klingt nach Wortklauberei, ist aber der Unterschied zwischen einer sinnvollen Reaktion und einer, die gar nichts bringt. Wer sein Passwort ändert, obwohl sein Konto nie fremd betreten wurde, hat einen Nachmittag verloren und das Problem noch immer.
Eine Vorbemerkung, weil in solchen Postings gern alles durcheinandergerät: Hier geht es um Facebook. Das mittlere Beispiel oben betrifft WhatsApp, und das ist technisch ein völlig anderer Vorgang – dazu weiter unten ein eigener Abschnitt. „Gehackt“ ist in diesen Texten ein Sammelwort für mindestens drei verschiedene Ereignisse, und jedes davon verlangt eine andere Reaktion.
Zwei völlig verschiedene Vorfälle, ein einziger Satz
Wenn Bekannte plötzlich Freundschaftsanfragen oder seltsame Nachrichten von einem bekommen, gibt es dafür zwei grundverschiedene Erklärungen. Die eine ist die Kopie: Jemand legt ein neues Konto an, nimmt den öffentlich sichtbaren Namen, das Profilbild, oft auch das Titelbild, und schreibt anschließend die Leute an, die in der Freundesliste standen. Das eigene Konto bleibt dabei völlig unberührt – kein fremder Login, kein geändertes Passwort, kein Zugriff. Es wurde nur abgeschrieben, was ohnehin jeder sehen konnte.
Die andere Erklärung ist die Übernahme. Da sitzt tatsächlich jemand Fremder im echten Konto, verschickt von dort Nachrichten, ändert vielleicht die hinterlegte Mailadresse und sperrt den Besitzer irgendwann aus. Welcher der beiden Fälle insgesamt häufiger vorkommt, lässt sich seriös nicht beziffern; öffentliche Zahlen dazu gibt es nicht. Für den einzelnen Betroffenen ist die Frage trotzdem die erste, die er beantworten muss.
Kopiert oder übernommen?
Zwei Vorfälle auf Facebook, die von außen gleich aussehen – und für die betroffene Person das Gegenteil bedeuten.
Die Kopie
Ein zweites Profil mit deinem Namen.
- Dein eigenes Konto funktioniert normal
- Im Aktivitätsprotokoll steht nichts Fremdes
- Anfragen kommen von einer anderen Profil-Adresse
- Oft nur wenige Fotos, neu angelegt
Passwort ändern hilft hier nicht.
Die Übernahme
Jemand Fremder ist in deinem Konto.
- Nachrichten und Beiträge, die du nie geschrieben hast
- Aktive Anmeldungen auf Geräten, die dir nichts sagen
- Geänderte Mailadresse, Telefonnummer oder Name
- Meist ging eine gefälschte Anmeldeseite voraus
- Im schlimmsten Fall kommst du selbst nicht mehr hinein
Ein Fremdprofil melden hilft hier nicht.
Ein und dasselbe Warn-Posting steht über beiden Fällen. Die richtige Reaktion ist jeweils die falsche für den anderen.
Der echte Fall beginnt fast immer mit einer Nachricht, die Panik macht
Bleiben wir beim zweiten Fall, denn den gibt es oft genug, und er läuft nach einem eingespielten Muster ab. Eine Mail oder Nachricht behauptet, das Konto habe gegen Richtlinien verstoßen, es liege eine Urheberrechtsbeschwerde vor, die Seite werde in 24 Stunden deaktiviert, die Identität sei binnen 48 Stunden zu bestätigen. Logo, Farben und Aufbau stimmen, der Ton ist offiziell und dringlich. Der Link führt auf eine Seite, die aussieht wie die Anmeldemaske und keine ist. Wir haben diese Deaktivierungs-Warnungen und die gefälschten Meta-Mails mehrfach dokumentiert; in einer Variante beginnt der Link sogar mit einer echten facebook.com-Adresse, weil Facebooks eigene Weiterleitungswarnung missbraucht wird.
Der entscheidende Schritt ist dabei nicht der Klick, sondern die Eingabe. Und wer dort tippt, ist selten leichtsinnig, sondern erschrocken – exakt das ist der Zweck der Frist in der Nachricht. Wer glaubt, sein Konto stehe kurz vor der Löschung, prüft die Adresszeile im Browser nicht mehr in Ruhe.
Daneben gibt es Passwörter aus alten Datenlecks, die anderswo weiterverwendet wurden. Wenn dasselbe Passwort vor Jahren bei irgendeinem Onlineshop lag, der gehackt wurde, probieren Angreifer es automatisiert bei den großen Plattformen durch. Schadsoftware auf dem Gerät ist ein weiterer Weg: Manche Programme greifen nicht nur Passwörter ab, sondern auch die Sitzungsdaten des Browsers – damit lässt sich die Zwei-Faktor-Abfrage unter Umständen umgehen, weil die Anmeldung bereits erledigt scheint. Und schließlich sind da Zugriffsrechte, die man selbst einmal vergeben hat, sowie Konten, deren Zugangsdaten im Familien- oder Bekanntenkreis kursieren.
Auffällig ist, was in dieser Aufzählung fehlt: der einsame Klick auf ein Quiz. Ein Klick allein öffnet ein Konto selten. Er ist der Anfang der Kette, nicht ihr Ende. Wer jemandem also „einmal blöd geklickt“ vorwirft, beschreibt den Vorgang nicht nur unfreundlich, sondern auch ungenau.
Was danach passiert, geht sehr schnell
Hat jemand die Zugangsdaten, bleibt wenig Zeit. Dokumentiert sind Fälle, in denen die hinterlegte Mailadresse getauscht, eine eigene Zwei-Faktor-Absicherung eingerichtet und anschließend der Kontoname geändert wird – aus dem Profil einer Privatperson wird eine angebliche Meta-Benachrichtigung, die von dort aus neue Phishing-Nachrichten an die Kontakte verschickt. Der Kreislauf beginnt von vorn, mit dem Vertrauensbonus einer echten Person.
Wertvoll ist dabei nicht das Profilbild, sondern alles, was daran hängt: Kontakte, Nachrichten, verwaltete Seiten und Gruppen, verknüpfte Werbekonten. Solche Konten werden auch weiterverkauft.
Das erklärt die Frage, die bei diesen Postings naheliegt: Wieso kann jemand noch im eigenen Profil schreiben, obwohl er seine Daten längst auf einer gefälschten Seite eingetippt hat? Weil zwischen Eingabe und Aussperrung ein Zeitfenster liegt, manchmal Tage – und weil ein fremder Login den Besitzer nicht automatisch abmeldet. Beide sind dann gleichzeitig drin.
Warum die Häme das Gegenteil von Aufklärung ist
Es gibt einen berechtigten Kern in der Ungeduld. Nicht jede Aussage „ich wurde gehackt“ stimmt, und wer die dritte Kettenbriefwarnung dieser Woche weiterleitet, hat sich das Augenrollen ein Stück weit verdient. Nur ändert Spott nichts an der Ursache und verschlechtert alles, was danach passiert. Wer ausgelacht wird, schreibt seinen Kontakten nicht, dass da gerade jemand in seinem Namen um Geld bittet, und geht nicht zur Polizei, wenn aus dem Vorfall Betrug wird.
Genau davon lebt das Geschäft: nicht vom Leichtsinn, sondern vom Schweigen und vom Vertrauen zwischen Leuten, die einander kennen. Dazu kommt, dass „die Blöden fallen rein, ich nicht“ der schlechteste Schutz überhaupt ist. Phishing-Seiten werden besser, gefälschte Sprachnachrichten kommen dazu. Sicherheit entsteht durch Gewohnheiten, nicht durch das Gefühl, zu clever für so etwas zu sein.
Was in den ersten Minuten wirklich zu tun ist
Die gute Nachricht: Der Unterschied zwischen Kopie und Übernahme lässt sich in ein, zwei Minuten klären, und zwar ohne Fachwissen. Man braucht dafür nur den Link des Profils, von dem die Anfragen kommen, und einen Blick in die eigenen Sicherheitseinstellungen.
Vier Schritte · Facebook
Wenn Kontakte merkwürdige Nachrichten von dir bekommen
Profil-Link vergleichen
Bitte einen Kontakt um die Adresse des Profils, von dem die Anfrage kam. Ist es eine andere als deine eigene, ist es eine Kopie.
Eigene Anmeldungen prüfen
In den Einstellungen unter „Passwort und Sicherheit“ zeigt Facebook, wo du überall angemeldet bist. Unbekannte Geräte lassen sich dort abmelden.
Je nach Befund handeln
Kopie: melden, blockieren, Kontakte informieren. Übernahme: Passwort ändern, fremde Sitzungen beenden, Mailadresse und Telefonnummer kontrollieren.
Zweiten Faktor einschalten
Und nachsehen, wo dasselbe Passwort sonst noch im Einsatz ist. Genau dort geht es sonst weiter.
Wenn du gerade mittendrin bist
Der Mimikama-Notfall-Check sortiert den Fall mit dir
Unter sos.mimikama.org führt ein kurzer Ablauf durch die Fragen, die jetzt zählen: Worum geht es – Geld, Daten oder ein Konto? Welches Konto ist betroffen? Hatte jemand Zugriff auf dein Gerät, etwa über eine Fernwartung? Am Ende steht der nächste sinnvolle Schritt statt einer Liste allgemeiner Ratschläge. Anonym, ohne Speicherung, mit Anlaufstellen für Österreich, Deutschland und die Schweiz.
Das Warn-Posting ist nicht sinnlos, aber meistens falsch gebaut
„Ich verschicke keine Freundschaftsanfragen“ ist als Hinweis brauchbar, nur fehlt darin das Nützliche. Ein gutes Posting nennt die Adresse des falschen Profils, damit andere es melden können, und sagt, was das fremde Konto will – erst eine Nachricht, dann eine Notlage, dann Geld oder einen Bestätigungscode. Die verbreitete Variante macht das Gegenteil: Sie warnt vor „Anfragen“, ohne zu sagen von wem, und fordert auf, den Text zu kopieren. Damit wird aus einer konkreten Warnung ein Kettenbrief, der noch läuft, wenn das Fake-Profil längst gelöscht ist.
Und wenn du gar nicht mehr hineinkommst?
Dann hört es beim Passwort nicht auf. Fremde Zugriffe betreffen oft mehr als ein paar Nachrichten: hinterlegte Zahlungsdaten, verwaltete Seiten und Gruppen, Dienste, bei denen man sich über Facebook anmeldet. Für diesen Fall führt der Mimikama-Notfall-Check der Reihe nach durch das, was jetzt zählt. Wurde in deinem Namen Geld gefordert, gehört das angezeigt – nicht wegen der einen Anzeige, sondern weil sich Muster erst zeigen, wenn genug Fälle gemeldet sind.
Kurz zu WhatsApp, weil das ständig vermischt wird
Das mittlere Posting im Screenshot beschreibt etwas anderes. Bei WhatsApp gibt es keine öffentliche Freundesliste zum Abschreiben; dort läuft es über den sechsstelligen Code, um den jemand im Chat bittet, oder über eine gefälschte Abstimmungsseite, die ein fremdes Gerät mit dem Konto verknüpft. Der Prüfpunkt heißt „Verknüpfte Geräte“, und was dort nicht hingehört, gehört sofort entfernt. Details stehen im Leitfaden zu WhatsApp-Betrug und in unserer aktuellen Dokumentation, die auch erklärt, warum die Verifizierung in zwei Schritten gegen die Geräteverknüpfung nicht schützt. Ein „verifiziertes Konto“ für Privatpersonen, wie es das Posting nennt, gibt es dort übrigens nicht.
Der eigentliche Punkt
Am Anfang steht meistens nicht Dummheit, sondern ein normaler Reflex. Eine Nachricht von einer bekannten Person, eine Frage in vertrautem Ton, eine Seite, die aussieht wie immer. Genau darauf ist das Ganze gebaut. Die Frage „Wie konntest du nur?“ bringt niemanden weiter, die Frage „War es überhaupt dein Konto?“ schon.
