Mein Konto wurde gehackt: Ist das strafbar und welche Beweise sollte ich sichern?

"Mein Konto wurde gehackt" ist ein Satz, den man oft hört, der rechtlich aber nicht die ganze Geschichte erzählt. Er kann bedeuten, dass jemand Ihr Passwort gefunden und sich in Ihr E-Mail-Konto eingeloggt hat. Er kann bedeuten, dass die Wiederherstellungsnummer bei Instagram geändert wurde. Er kann bedeuten, dass persönliche Nachrichten gelesen, Betrugsnachrichten an Freunde versendet, Dateien aus der Cloud entnommen, Käufe getätigt, ein Darlehen eröffnet, Geld von einem Konto abgehoben oder Kundendaten offengelegt wurden.

Deshalb lautet die erste Frage nicht nur: "Ist das eine Straftat?" Die richtige Frage lautet: Was genau hat die andere Person im Konto getan? Ist sie ohne Erlaubnis eingedrungen? Hat sie Kommunikation gelesen? Daten kopiert? Passwörter geändert? Sie erpresst? Finanziellen Schaden verursacht? Ihr Konto genutzt, um Dritte zu täuschen?

Die Antwort ist aus zwei Gründen wichtig. Erstens können verschiedene Handlungen unterschiedliche Strafvorschriften auslösen. Zweitens gehen Beweise schnell verloren: Sitzungen werden geschlossen, IPs sind für Nutzer nicht sichtbar, Profile ändern Namen, Nachrichten werden gelöscht, Benachrichtigungen verschwinden. Wenn Sie in den ersten Stunden richtig handeln, wird die Akte viel klarer.

Die praktische Schlussfolgerung ist einfach: Sichern Sie zuerst das Konto, bewahren Sie Beweise auf, ohne sie zu verändern, und wenden Sie sich danach an die Plattform, an die Bank, wenn es ein finanzielles Thema gibt, an die Direktion für Cyberkriminalität oder an einen Anwalt, wenn Schaden oder Risiko ernst sind.

Wann "mein Konto wurde gehackt" eine Straftat sein kann

Im Alltag verwenden wir "Hacking" für viele verschiedene Dinge. Im Strafrecht wird aber nicht das Etikett bestraft, sondern die konkrete Handlung. Unbefugter Zugriff auf ein System oder Daten ist etwas anderes als die Verletzung des Kommunikationsgeheimnisses. Das Löschen von Dateien ist etwas anderes als Computerbetrug. Der Besitz oder Verkehr mit Zugangsdaten ist etwas anderes als die einfache Nutzung eines Kontos, das auf einem gemeinsam genutzten Computer offen geblieben ist.

Die folgende Tabelle ist kein Rechtsgutachten. Sie ist eine praktische Karte, um zu verstehen, wie man den Fall einordnet.

Wichtig ist, die technische Ursache nicht mit der rechtlichen Folge zu verwechseln. Es kann Phishing gewesen sein, also dass Sie selbst das Passwort auf einer falschen Seite eingegeben haben. Es kann ein Session-Cookie gestohlen worden sein. Es kann ein altes Passwort aus einem Datenleck genutzt worden sein. Es kann sein, dass das Konto auf einem fremden Gerät angemeldet blieb. Diese Details beeinflussen den Beweis, nicht zwingend die Frage, ob eine rechtswidrige Handlung vorlag.

Die ersten 30 Minuten

Wenn Sie merken, dass etwas nicht stimmt, ist Panik normal. Beginnen Sie aber nicht mit einem öffentlichen Post wie "ich wurde gehackt". Beginnen Sie mit Schadensbegrenzung.

Sichern Sie zuerst die zentrale E-Mail. Fast alle anderen Konten hängen daran. Wenn der Täter die Wiederherstellungs-E-Mail kontrolliert, kann er erneut Zugriff auf soziale Netzwerke, Cloud, Marktplätze und Bankbenachrichtigungen erhalten. Ändern Sie das Passwort von einem sicheren Gerät. Prüfen Sie, ob unbekannte Wiederherstellungs-E-Mails oder Telefonnummern hinzugefügt wurden. Sehen Sie sich aktive Sitzungen an und melden Sie alle unbekannten Geräte ab.

Aktivieren oder setzen Sie anschließend eine starke Zwei-Faktor-Authentifizierung neu auf. Bevorzugen Sie eine Authenticator-App oder Passkey, wo dies unterstützt wird. Wenn Sie SMS verwenden, prüfen Sie, ob eine Nummernänderung oder eine verdächtige SIM-Übertragung erfolgt ist. Laden Sie Backup-Codes herunter und bewahren Sie sie außerhalb des gerade kompromittierten Kontos auf.

Wenn es eine finanzielle Dimension gibt, rufen Sie sofort die Bank oder den Zahlungsanbieter an. Senden Sie nicht nur eine E-Mail. Verlangen Sie Kartensperre, Prüfung des E-Banking, Reklamation der Transaktion und eine Vorgangsnummer. Wenn Geld an ein Drittkonto gesendet wurde, verlangen Sie, dass unverzüglich ein Rückruf- oder Benachrichtigungsverfahren gegenüber der Bank des Empfängers eingeleitet wird, soweit möglich.

Informieren Sie schließlich nahestehende Personen, wenn der Täter Nachrichten von Ihrem Konto versendet. Schreiben Sie keine Details, die neue Sicherheitsinformationen offenlegen. Eine einfache Nachricht über einen anderen Kanal wie "antwortet nicht auf Nachrichten von meinem Konto und sendet kein Geld" reicht für die erste Stunde.

Bevor sie verloren gehen: Welche Beweise sichere ich?

Der häufigste Fehler ist, dass Betroffene sofort alles "bereinigen" wollen. Sie löschen Nachrichten, entfernen Posts, schließen Gespräche, ändern Daten, ohne den vorherigen Zustand zu dokumentieren. Das ist verständlich, kann aber den Beweis schwächen.

Sie müssen nicht schutzlos bleiben, um Beweise zu sichern. Sie müssen geordnet handeln. Bevor Sie große Änderungen vornehmen, sichern Sie von einem sicheren Gerät, was Sie können.

In Screenshots sollten, soweit möglich, Datum und Systemuhrzeit sichtbar sein. Schneiden Sie die URL der Seite nicht ab. Verdecken Sie nicht das ganze Profil oder den Usernamen des Täters. Wenn jedoch Bankdaten, Kartennummern, vollständige personenbezogene Daten Dritter oder sensible Dokumente sichtbar sind, bewahren Sie sie für Behörden oder Anwalt auf und veröffentlichen Sie sie nicht.

Bei E-Mails ist es nützlich, auch die ursprüngliche Nachricht aufzubewahren, nicht nur ein Foto davon. Die Header können technische Informationen zum Weg der E-Mail enthalten. Das bedeutet nicht, dass Bürger sie allein analysieren müssen, aber sie sollten nicht verloren gehen.

Was ich nicht tue

Versuchen Sie nicht, "zurückzuhacken". Selbst wenn Sie glauben zu wissen, wer es war, kann ein Gegenangriff Sie rechtlich und technisch gefährden. Kaufen Sie keine angeblichen Wiederherstellungsdienste von Unbekannten, die Ihnen in Kommentaren schreiben. Viele solcher Profile sind ein zweiter Betrug am selben Opfer.

Senden Sie niemandem Passwörter, OTP oder Backup-Codes. Keine seriöse Plattform, Bank oder Polizeidienststelle braucht Ihr Passwort, um Ihnen zu helfen. Zahlen Sie kein Lösegeld, um Zugang zu einem Social-Media-Konto zurückzubekommen, außer nach ernsthafter technischer und rechtlicher Bewertung. In der Regel gibt es keine Garantie, dass Sie das Konto zurückerhalten oder dass nicht mehr verlangt wird.

Nennen Sie öffentlich keine Person ohne Beweise. Dass ein Konto den Namen einer Person trug, bedeutet nicht, dass diese Person der Täter ist. Sie kann selbst Opfer sein. Eine öffentliche Beschuldigung ohne Dokumentation kann ein zweites Problem eröffnen, etwa Verleumdung oder Datenschutzverletzung.

Wann wende ich mich an die Direktion für Cyberkriminalität?

Bei einem bloßen Verdacht ohne Schaden beginnen Sie mit Kontowiederherstellung und Sicherheit. Wenn aber unbefugter Zugriff, Erpressung, finanzieller Schaden, Drohung, Offenlegung personenbezogener Daten, Nutzung des Kontos für Betrug oder Beteiligung eines Minderjährigen vorliegt, sollte die Sache nicht nur bei einem Plattform-Report bleiben.

In Griechenland gibt es die Möglichkeit einer Anzeige über gov.gr für Fälle von Computerbetrug und Cyberkriminalität. Das Nationale Register Verwaltungsverfahren führt auch ein Verfahren zur Anzeige von Cyberkriminalität. In öffentlichen Hinweisen erscheinen außerdem Kommunikationskanäle mit der Direktion für Cyberkriminalität, etwa Telefonlinie und E-Mail.

Die Anzeige muss nicht perfekt sein, um erstattet zu werden. Sie muss aber konkret sein. Statt "ich wurde gehackt" schreiben Sie:

• welches Konto kompromittiert wurde,
• wann Sie es bemerkt haben,
• was genau geändert wurde,
• ob Geld oder Daten verloren gingen,
• welche Links, Usernames, E-Mails, IBAN oder Wallet-Adressen erschienen,
• was Sie bereits mit Plattform und Bank getan haben,
• welche Beweisdateien Sie aufbewahren.

Wenn der Fall einen erheblichen finanziellen Schaden oder eine bekannte verdächtige Person betrifft, sprechen Sie mit einem Anwalt, bevor Sie öffentlich handeln. Bei bestimmten Straftaten und Ansprüchen gibt es Fristen, Formen und Optionen, die aus einem allgemeinen Online-Leitfaden nicht ersichtlich sind.

Wenn es ein berufliches Konto ist

Ein gehacktes persönliches Konto ist ernst. Ein gehacktes berufliches Konto kann noch komplexer sein. Wenn es um geschäftliche E-Mail, Buchhaltungsprogramm, CRM, E-Shop, Cloud mit Verträgen, Bestellungen oder Kundendaten geht, reicht es nicht, das Passwort zu ändern und weiterzumachen.

Praktische Fragen müssen beantwortet werden:

• Welche Daten waren zugänglich?
• Gab es personenbezogene Daten von Kunden, Mitarbeitern oder Partnern?
• Gibt es Hinweise, dass sie kopiert oder übermittelt wurden?
• Hat der Täter E-Mails von einer Unternehmensadresse gesendet?
• Gab es Business Email Compromise, also eine IBAN-Änderung auf einer Rechnung oder eine falsche Zahlungsanweisung?
• Wann begann und wann endete der Vorfall?

Nach der DSGVO besteht eine Pflicht zur HDPA - Meldung einer Verletzung personenbezogener Daten an die zuständige Aufsichtsbehörde, wenn die Verletzung voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen verursacht. In bestimmten Fällen besteht auch die Pflicht, die betroffenen Personen selbst zu informieren. Die griechische Datenschutzbehörde stellt hierzu einen Informationsbereich zur Meldung eines Datenschutzvorfalls bereit.

Das bedeutet nicht, dass jeder verdächtige Login automatisch gemeldet werden muss. Es bedeutet aber, dass das Unternehmen ihn bewerten, dokumentieren und sich nicht auf die Hoffnung verlassen darf, "es sei nichts passiert". Bei beruflichen Konten müssen technische Untersuchung und rechtliche Dokumentation zusammenlaufen.

Beispiele aus der Praxis

Checkliste für Bürgerinnen und Bürger

1. Ich ändere das Passwort der zentralen E-Mail von einem sicheren Gerät.
2. Ich melde unbekannte Geräte ab und prüfe aktive Sitzungen.
3. Ich aktiviere oder setze 2FA neu auf.
4. Ich prüfe Recovery-E-Mail/Telefon, Weiterleitungsregeln und verbundene Apps.
5. Ich sichere Screenshots, URLs, E-Mails, Alerts, Transaktionen und Chronologie.
6. Ich informiere die Bank, wenn Zahlungsdaten oder finanzieller Schaden betroffen sind.
7. Ich mache einen offiziellen Report bei der Plattform.
8. Ich informiere Freunde oder Kunden, wenn das Konto Betrugsnachrichten sendet.
9. Ich erstatte Anzeige bei den Behörden, wenn unbefugter Zugriff, Schaden, Erpressung oder ein schwerer Datenabfluss vorliegt.
10. Ich suche rechtliche/technische Hilfe, wenn der Fall beruflich, finanziell erheblich oder mit personenbezogenen Daten Dritter verbunden ist.

Häufige Fragen

Ist es immer eine Straftat, wenn jemand in mein Konto eingedrungen ist?

Oft kann eine strafrechtliche Dimension bestehen, aber man muss sehen, wie der Zugriff erfolgte, ob eine Berechtigung bestand, was danach getan wurde und ob Schaden oder Verletzung von Kommunikation/Daten entstand. Der Satz "er war in meinem Konto" braucht Tatsachen.

Wenn ich ihm früher einmal das Passwort gegeben hatte, er jetzt aber ohne Erlaubnis eingedrungen ist?

Eine frühere Zustimmung bedeutet keine dauerhafte Erlaubnis für jeden künftigen Zugriff. Wenn jemand ein altes Passwort nutzt, obwohl er weiß, dass er kein Recht mehr hat, kann der Fall anders bewertet werden. Sichern Sie Beweise, dass der Zugriff ohne aktuelle Erlaubnis erfolgte.

Reichen Screenshots aus?

Screenshots sind nützlich, aber nicht immer ausreichend. Besser ist, auch ursprüngliche E-Mails, URLs, Exportdateien, soweit möglich, Zahlungsbelege und Ticket-IDs aufzubewahren. Je näher der Beweis an der ursprünglichen Quelle ist, desto besser.

Kann ich von der Plattform die IP des Täters verlangen?

Plattformen geben solche Daten aus Sicherheits- und Datenschutzgründen gewöhnlich nicht direkt an Nutzer heraus. Sie können sie aber aufbewahren und im Rahmen eines rechtmäßigen Verfahrens herausgeben, wenn sie zuständig angefordert werden.

Soll ich zuerst Anzeige erstatten oder zuerst Passwörter ändern?

Zuerst begrenzen Sie den Schaden: Passwörter ändern, Zahlungen sperren und unbekannte Geräte abmelden. Parallel sichern Sie Beweise. Die Anzeige folgt mit einer klareren Akte.

Was passiert, wenn Betrugsnachrichten an meine Freunde gesendet wurden?

Informieren Sie sie sofort über einen anderen sicheren Kanal, damit sie kein Geld senden und keine Links anklicken. Bitten Sie um Screenshots der Nachrichten mit Uhrzeit und Profil. Wenn jemand Geld verloren hat, muss auch diese Person gegenüber Bank und Behörden handeln.

Was ändert sich, wenn eine geschäftliche E-Mail gehackt wurde?

Es kommen Unternehmenspflichten hinzu: Systemprüfung, Kundeninformation soweit nötig, Bewertung einer Verletzung personenbezogener Daten, mögliche Meldung an die HDPA und Risikomanagement für Rechnungen, Zahlungen und vertrauliche Informationen.

Hat eine Anzeige Sinn, wenn ich nicht weiß, wer es war?

Ja, insbesondere wenn finanzieller Schaden, Erpressung, Datenabfluss oder Nutzung des Kontos für Betrug vorliegt. Viele Fälle beginnen ohne bekannten Täter. Technische Daten und Zahlungswege können später Wert bekommen.

Praktisches Fazit

Ein gehacktes Konto ist nicht nur ein technisches Problem. Es ist ein Problem von Zugriff, Beweisen, Identität, Vermögen und personenbezogenen Daten. Wenn Sie es nur als "ich muss ein Passwort ändern" behandeln, können finanzieller Schaden, Betrug gegenüber Dritten oder rechtliche Pflichten unbemerkt bleiben.

Die richtige Reihenfolge lautet: Sicherheit, Beweise, Meldung, institutionelles Handeln. Ich sichere das Konto. Ich bewahre Daten auf, ohne sie zu verändern. Ich informiere Bank oder Plattform, wo nötig. Ich erstatte Anzeige, wenn eine Straftat oder schwerer Schaden vorliegt. Und ich suche spezialisierte Hilfe, wenn der Fall berufliche Daten, Geld, Minderjährige oder Erpressung berührt.

Der Artikel dient der allgemeinen Information. Er ersetzt keine individualisierte Rechtsberatung und kann nicht allein beurteilen, ob Ihr eigener Fall Strafantrag, Klage, einstweilige Maßnahmen, technische Begutachtung oder Meldung einer Datenschutzverletzung erfordert.

Quellen und nützliche Hinweise

• Justizministerium, Gesetzbücher und Strafgesetzbuch: Justizministerium - Gesetzbücher
• gov.gr, Anzeigen an die griechische Polizei wegen Computerbetrugs: gov.gr - Anzeige wegen Computerbetrugs
• Nationales Register Verwaltungsverfahren, Anzeige wegen Cyberkriminalität: https://mitos.gov.gr/index.php/ΔΔ:Καταγγελία_για_εγκλήματα_κυβερνοχώρου
• Nationale Cybersicherheitsbehörde, Empfehlungen für Bürger: https://cyber.gov.gr/antimetopisi-apeilon/systaseis-pros-polites/
• HDPA, Meldung eines Datenschutzvorfalls: HDPA - Meldung eines Datenschutzvorfalls
• DSGVO, Verordnung (EU) 2016/679: https://eur-lex.europa.eu/legal-content/EL/TXT/?uri=CELEX%3A32016R0679
• Google Account Help, secure a hacked or compromised account: Google - Wiederherstellung eines Kontos
• Microsoft Support, recover a hacked or compromised Microsoft account: https://support.microsoft.com/account-billing/how-to-recover-a-hacked-or-compromised-microsoft-account
• Facebook Help, hacked account flow: Facebook - Wiederherstellung eines gehackten Kontos
• Instagram Help, hacked account: Instagram - Kontowiederherstellung
• Pexels cover reference, cottonbro studio: https://www.pexels.com/photo/laptop-with-cyber-security-text-on-the-screen-5483240/