Unbefugter Zugriff auf Ihr E-Mail-Konto: Was zu tun ist, bevor die Beweise verschwinden

Jemand hat Ihre E-Mails gelesen, Ihre Wiederherstellungsadresse geändert oder eine Regel eingerichtet, die Nachrichten unbemerkt an eine fremde Adresse weiterleitet. Die naheliegende Reaktion ist, das Konto abzusichern und das Thema abzuhaken. Das ist verständlich, und die Absicherung des Kontos ist unverzichtbar. Doch genau in den Minuten, in denen Sie die Kontrolle zurückgewinnen, werden die Spuren des Eindringens oft überschrieben, entfernt oder schlicht dem Ablauf der Speicherfristen überlassen.

Dieser Leitfaden behandelt genau diesen Moment: was in den ersten Stunden nach der Entdeckung eines unbefugten Zugriffs auf ein E-Mail-Konto zu tun ist, wie Sie das Konto absichern, ohne zu zerstören, was später als Nachweis dienen kann, und was Zugriffsprotokolle belegen können und was nicht. Unsere Zertifizierungsdienste beschreibt er nicht im Einzelnen; diese finden Sie auf den am Ende verlinkten Seiten.

Inhalt

1. Anzeichen, dass jemand anderes Ihr Konto nutzt
2. Das Konto absichern, ohne Spuren zu löschen
3. Was gesichert werden sollte
4. Warum Zeit zählt: Aktivitätsprotokolle sind nicht von Dauer
5. Was Zugriffsprotokolle zeigen können und was nicht
6. Ein Praxisbeispiel
7. Forensische Sicherung, Rechtsberatung und Strafanzeige
8. So fordern Sie den Service an

Anzeichen, dass jemand anderes Ihr Konto nutzt

Ein unbefugter Zugriff auf ein E-Mail-Konto kündigt sich selten an. Meist fällt er durch kleine Unregelmäßigkeiten auf, zum Beispiel:

• Sicherheitsbenachrichtigungen des Anbieters über eine neue Anmeldung, ein neues Gerät oder eine Passwortänderung, die Sie nicht vorgenommen haben;
• als gelesen markierte Nachrichten, die Sie nie geöffnet haben, oder gesendete Nachrichten, die Sie nicht geschrieben haben;
• Kontakte, die von Ihrer Adresse ungewöhnliche Anfragen erhalten, etwa Zahlungsanweisungen oder Links;
• neue Weiterleitungsadressen, Filter, die Nachrichten verschieben oder löschen, oder geänderte Wiederherstellungsdaten;
• Drittanbieter-Apps oder App-Passwörter in den Sicherheitseinstellungen, die Sie nicht kennen;
• eine plötzliche Abmeldung oder ein Passwort, das nicht mehr funktioniert.

Keines dieser Anzeichen beweist für sich allein ein Eindringen. Manche haben harmlose Erklärungen, etwa ein vergessenes Gerät oder eine Kollegin mit delegiertem Zugriff. Sie sind aber Anlass, genauer hinzusehen, und zwar so, dass die Informationen unverändert bleiben.

Das Konto absichern, ohne Spuren zu löschen

In den ersten Stunden konkurrieren zwei Ziele: das Eindringen zu stoppen und seine Spuren zu bewahren. Keines davon lässt sich einfach aufschieben.

Richtet der Eindringling gerade Schaden an, etwa durch betrügerische E-Mails, geänderte Wiederherstellungsdaten, gelöschte Nachrichten oder indem er Sie aussperrt, hat der Schutz des Kontos und Ihrer Kontakte Vorrang. Ein laufender Schaden ist kein akzeptabler Preis für eine sauberere Beweislage.

Gibt es keine Anzeichen laufender Aktivität, lohnen sich meist einige Minuten Dokumentation, bevor Sie etwas ändern. Wer sofort einen forensischen Dienstleister kontaktiert, kann die Sicherung zusammen mit den Sicherheitsmaßnahmen planen statt erst danach.

In der Praxis sieht ein umsichtiger Ablauf häufig so aus:

1. Erst hinsehen, dann ändern. Öffnen Sie die Sicherheitsseiten des Kontos (letzte Aktivitäten, verbundene Geräte, Weiterleitungen, Filter, verbundene Apps) und erstellen Sie Screenshots oder Bildschirmaufnahmen mit Uhrzeit. Das ist keine forensische Sicherung, hält aber fest, was Sie gesehen haben.
2. Benachrichtigungen des Anbieters aufbewahren. Löschen Sie keine Warn-E-Mails oder SMS zu neuen Anmeldungen oder Passwortänderungen. Sie gehören oft zu den nützlichsten Informationen.
3. Das Konto bewusst absichern. Ändern Sie das Passwort von einem vertrauenswürdigen Gerät aus, aktivieren Sie die Bestätigung in zwei Schritten und prüfen Sie die Wiederherstellungsoptionen. Beachten Sie, dass manche Schritte, etwa das Abmelden aller Sitzungen oder das Entfernen eines Geräts, verändern können, was die Sicherheitsseiten danach anzeigen.
4. Schädliche Regeln erst dokumentieren, dann entfernen. Eine Weiterleitungsregel oder ein Filter, der Nachrichten löscht, muss gestoppt werden, sollte aber vorher festgehalten werden, einschließlich Zieladresse und Bedingungen.
5. Das Konto nicht löschen und keine Nachrichten massenhaft entfernen. Die Schließung des Kontos kann den Aktivitätsverlauf unzugänglich machen, und gelöschte Nachrichten können genau das zeigen, was der Eindringling getan hat.

Gehört das Konto zu einer Unternehmensdomain, zeigen die Sicherheitsseiten des Nutzers nur einen Teil des Bildes. Administratoren geschäftlicher E-Mail-Dienste haben je nach Konfiguration und Lizenz in der Regel Zugriff auf zusätzliche Audit- und Anmeldeprotokolle. Die IT-Administration sollte früh einbezogen und gebeten werden, nichts zu bereinigen oder zurückzusetzen, bevor die Protokolle gesichert sind.

Wenn Sie vermuten, dass das Eindringen von einem kompromittierten Computer oder Smartphone ausging, setzen Sie dieses Gerät nicht neu auf, bevor Sie sich beraten haben: Das Gerät selbst kann Informationen enthalten, die in den Kontoprotokollen fehlen.

Was gesichert werden sollte

Ziel ist es, genug zu bewahren, um zu rekonstruieren, was wann und von wo aus geschehen ist. Welche Daten verfügbar sind, hängt vom Anbieter und von der Art des Kontos ab.

Kontoaktivität

• Die letzten Anmelde- und Sicherheitsaktivitäten mit Datum, Uhrzeit und angezeigter Zeitzone.
• IP-Adressen, ungefähre Standorte sowie Geräte- oder Browserinformationen, die der Anbieter anzeigt.
• Listen verbundener Geräte und aktiver Sitzungen.

Konfigurationsänderungen

• Weiterleitungsadressen, Filter und automatische Regeln, einschließlich solcher, die Nachrichten löschen oder archivieren.
• Änderungen an Wiederherstellungs-E-Mail, Wiederherstellungs-Telefonnummer oder Bestätigung in zwei Schritten.
• Delegierte Zugriffe, verbundene Drittanbieter-Apps und App-Passwörter.

Nachrichten und Benachrichtigungen

• Sicherheitswarnungen des Anbieters zu Anmeldungen, Geräten oder Passwortänderungen.
• Vom Eindringling gesendete, gelesene, verschobene oder gelöschte Nachrichten, soweit sie sich feststellen lassen.
• Die vollständigen Kopfzeilen (Header) relevanter E-Mails, die Routing-Informationen enthalten, die in der normalen Ansicht nicht sichtbar sind.

Informationen außerhalb des Kontos

• Nachrichten von Kontakten, die verdächtige E-Mails von Ihrer Adresse erhalten haben.
• Bank- oder Zahlungsunterlagen, wenn das Eindringen zu einer betrügerischen Überweisung geführt hat.
• Ihre eigenen Notizen: wann Sie das Problem bemerkt haben, was Sie gesehen und was Sie geändert haben, in der richtigen Reihenfolge.

Bietet der Anbieter einen offiziellen Datenexport an, kann dieser die Sicherung der Sicherheitsseiten ergänzen. Für Konten der beiden größten Plattformen bieten wir auch die Google Takeout-Zertifizierung und die Microsoft-Konto-Exportzertifizierung an.

Warum Zeit zählt: Aktivitätsprotokolle sind nicht von Dauer

E-Mail-Anbieter bewahren den Aktivitätsverlauf, den sie Nutzern anzeigen, nicht unbegrenzt auf. Je nach Anbieter, Kontotyp und Seite reicht das sichtbare Zeitfenster von wenigen Wochen bis zu mehreren Monaten, und manche Ansichten zeigen nur die jüngsten Sitzungen. Geschäftliche Dienste können längere Auditprotokolle führen, allerdings nur, wenn diese aktiviert sind, und im Rahmen des jeweiligen Abonnements.

Daraus folgt zweierlei. Erstens hat Warten seinen Preis: Ein spät entdecktes Eindringen kann bereits teilweise außerhalb des sichtbaren Fensters liegen. Zweitens können heute sichtbare Informationen nächste Woche verschwunden sein, auch wenn niemand das Konto anrührt. Deshalb sollte die Sicherung der Protokolle sofort nach der Entdeckung beginnen, möglichst noch bevor die Strafanzeige verfasst wird.

Was Zugriffsprotokolle zeigen können und was nicht

Eine IP-Adresse im Aktivitätsprotokoll ist ein wertvoller Hinweis, wird aber oft überbewertet. Eine forensische Sicherung macht die Protokolle überprüfbar; sie ändert nichts daran, was sie belegen können.

Die technische Arbeit beantwortet also Fragen nach Existenz, Zeit und Integrität. Zuordnung und rechtliche Einordnung sind eigene Schritte, die darauf aufbauen.

Ein Praxisbeispiel

Das folgende Szenario ist fiktiv und vereinfacht.

Ein kleines Ingenieurbüro erfährt von einem Kunden, dass eine per E-Mail erhaltene Rechnung eine neue Bankverbindung enthielt. Das Büro hat diese Version nie verschickt. Der Administrator prüft das Postfach des Geschäftsführers und findet eine vor einigen Wochen angelegte Regel, die jede Nachricht mit dem Wort „Rechnung“ an eine externe Adresse weiterleitet und aus dem Posteingang löscht. Die Seite mit den letzten Aktivitäten zeigt Anmeldungen aus einem Netz in einem anderen Land.

1. Den laufenden Schaden stoppen

Da die Regel noch aktiv ist und Kunden auf das falsche Konto zahlen könnten, warnt das Büro seine Kunden sofort über einen anderen Kanal und bittet sie, die Bankverbindung telefonisch zu bestätigen.

2. Das Sichtbare festhalten

Bevor er etwas verändert, erstellt der Administrator Screenshots der Regel, ihrer Bedingungen und ihres Ziels sowie der Aktivitätsseite und notiert die Uhrzeit. Die Benachrichtigungs-E-Mails des Anbieters werden aufbewahrt.

3. Einen forensischen Dienstleister einbeziehen

Das Büro kontaktiert noch am selben Tag einen forensischen Dienstleister. Die Sicherung wird so geplant, dass die Sicherheitsseiten des Postfachs, die Regel, die dem Administrator zugänglichen Anmelde- und Auditprotokolle sowie die Kopfzeilen der relevanten Nachrichten erfasst, mit SHA-256-Hashwerten versehen und mit einem qualifizierten elektronischen Zeitstempel versiegelt werden.

4. Das Konto absichern

Nach der Sicherung wird die Regel entfernt, das Passwort geändert, die Bestätigung in zwei Schritten aktiviert und alle aktiven Sitzungen werden beendet.

5. Rechtliche Beurteilung und Strafanzeige

Eine Anwältin prüft den Bericht zusammen mit den Zahlungsunterlagen des Kunden und berät zur Strafanzeige, zur Information der Bank und zu etwaigen datenschutzrechtlichen Pflichten aus dem Vorfall.

Die Zertifizierung verrät nicht, wer die Regel eingerichtet hat, und garantiert nicht, dass das Geld zurückfließt. Sie liefert aber einen überprüfbaren Nachweis darüber, was sich im Konto befand, wie es konfiguriert war und über welche Verbindungen es genutzt wurde, gesichert, bevor die Protokolle ablaufen konnten.

Forensische Sicherung, Rechtsberatung und Strafanzeige

Drei unterschiedliche Tätigkeiten sind beteiligt, und es hilft, sie auseinanderzuhalten:

• Die forensische Sicherung bewahrt und dokumentiert Aktivität, Konfiguration und Nachrichten des Kontos in überprüfbarer Form. Das ist die Aufgabe eines Dienstleisters für IT-Forensik wie CertifyWebContent.
• Die rechtliche Beurteilung klärt, ob der Sachverhalt eine Straftat oder eine zivilrechtliche Rechtsverletzung darstellt, welches Recht gilt und welche Rechtsbehelfe bestehen. Das ist die Aufgabe der Anwaltschaft. In der Europäischen Union verpflichtet die Richtlinie 2013/40/EU die Mitgliedstaaten, den rechtswidrigen Zugang zu Informationssystemen unter Strafe zu stellen; wie und innerhalb welcher Fristen Anzeige oder Strafantrag zu stellen sind, richtet sich jedoch nach nationalem Recht.
• Die Strafanzeige und die Ermittlungen liegen bei der Polizei oder der zuständigen Behörde. In der Regel können nur die Behörden bei Anbietern und Netzbetreibern die Daten erlangen, die nötig sind, um eine Verbindung einem Anschlussinhaber zuzuordnen.

Gesichertes und dokumentiertes Material ist in jeder Phase nützlich: Es gibt der Anwaltschaft eine stabile Grundlage für ihre Beurteilung und erlaubt es, sich in der Anzeige auf konkrete Ereignisse statt auf eine allgemeine Beschreibung zu beziehen.

Die Sicherung sollte Konten und Daten betreffen, auf die der Auftraggeber zugreifen darf, und nur das, was für den Vorfall relevant ist. Ein Konto kann personenbezogene Daten Dritter enthalten, deren Verarbeitung dem Datenschutzrecht unterliegt, allen voran der DSGVO.

So fordern Sie den Service an

CertifyWebContent zertifiziert unbefugte Zugriffe auf E-Mail- und Online-Konten: Anmeldeaktivität, IP-Adressen und Geräte, Konfigurationsänderungen und zugehörige Nachrichten, gesichert mit einem dokumentierten Verfahren, mit SHA-256-Hashwerten geschützt, mit einem qualifizierten elektronischen Zeitstempel versiegelt und ergänzt durch einen technischen Bericht und unsere FEDIS-Erklärung. Der Service kann aus der Ferne erbracht werden.

Einzelheiten finden Sie auf der Seite zur Zertifizierung unbefugter Konto-Zugriffe mit IP. Für Fälle, die speziell Postfächer betreffen, etwa Weiterleitungsregeln, Business Email Compromise oder Phishing, beachten Sie auch unsere E-Mail-Konto-Sicherheitsbescheinigung.

Für ein Angebot nennen Sie uns den Anbieter und die Art des betroffenen Kontos, wann Sie das Eindringen bemerkt haben, ob Sie derzeit die Kontrolle über das Konto haben und was Sie bereits geändert haben. Wenn die Aktivitätsprotokolle bald aus dem sichtbaren Zeitfenster fallen könnten, teilen Sie uns dies bitte mit, damit wir den zeitlichen Rahmen unseres Eingreifens beurteilen können.

Angebot für die Zertifizierung eines unbefugten Zugriffs anfordern