Ein eigenes Passwort, nur hier
Die häufigste Kontoübernahme beruht nicht auf Raten, sondern auf Wiederverwendung: Ein Passwort taucht in einem Datenleck auf und wird automatisiert bei hunderten Diensten durchprobiert. Ein Passwort, das nur hier gilt, macht diesen Angriff wirkungslos.
Länge schlägt Komplexität. Vier zufällige Wörter sind sicherer und leichter zu merken als acht Zeichen mit Sonderzeichen. Wer viele Konten hat, kommt um einen Passwortmanager praktisch nicht herum.
Zwei-Faktor einschalten
Ein zweiter Faktor macht ein gestohlenes Passwort allein nutzlos. Eine App, die Codes erzeugt, ist dabei sicherer als der Versand per SMS – Mobilfunknummern lassen sich unter Vorwänden übernehmen.
Die Wiederherstellungscodes gehören ausgedruckt oder in den Passwortmanager. Wer sie nur auf dem Telefon hat, sperrt sich beim Verlust des Geräts selbst aus.
- Passwort nur für diesen Dienst, mindestens vier Wörter
- Zwei-Faktor per App statt per SMS
- Wiederherstellungscodes getrennt aufbewahren
- Passwortmanager mit einem starken Hauptpasswort
Der Wiederherstellungsweg
Das Zurücksetzen des Passworts läuft über die hinterlegte Mailadresse. Sie muss also erreichbar und selbst gut gesichert sein – sie ist der Generalschlüssel, und ein schwach gesichertes Postfach macht jedes starke Passwort wertlos.
Der Zurücksetzen-Link gilt hier eine Stunde und lässt sich einmal verwenden. Wer eine solche Mail bekommt, ohne sie angefordert zu haben, muss nichts tun – das Passwort bleibt unverändert, solange der Link nicht benutzt wird.
Anzeichen für eine Übernahme
Verdächtig sind gelesene Nachrichten, die man nicht geöffnet hat, Änderungen im Profil, unerwartete Mails über Anmeldungen. Im Zweifel Passwort ändern, überall abmelden und Zwei-Faktor einschalten.
Nach einer Trennung gehört zusätzlich ein Rundgang durch die Konten: Passwörter ändern, Sitzungen beenden, hinterlegte Wiederherstellungsadressen prüfen und vertraute Geräte aus fremden Konten entfernen.