Ein Anruf an einem Nachmittag: Das E-Mail-Konto einer Familie aus dem Rhein-Erft-Kreis wurde gehackt. Über ihre eigene Adresse werden Drohungen und Lösegeldforderungen verschickt. Absender ist die Adresse, die seit Jahren für Bankgeschäfte, Onlineshops und den Kontakt mit Ämtern genutzt wird. Die Familie hatte das Konto beim Provider vorsorglich bereits am Morgen sperren lassen und das Passwort geändert.
Die Frage, die im Raum stand, ist immer dieselbe: Sitzt der Angreifer auf unseren Geräten?
Der Fall ist hier anonymisiert wiedergegeben. Namen, Anschrift, Datum und Anbieter habe ich weggelassen oder verallgemeinert. Er zeigt gut, wie ich bei so etwas vorgehe – und dass am Ende einer systematischen Prüfung auch eine gute Nachricht stehen kann.
Erst zuhören, dann scannen
Bevor ich irgendein Gerät anfasse, frage ich nach den Symptomen. Nicht aus Höflichkeit, sondern weil die Antworten den halben Fall entscheiden.
Hier war die Auskunft eindeutig: Es waren ausschließlich E-Mails. Keine Fenster, die sich nicht mehr schließen ließen. Keine Erpresserbanner. Keine Dateien, die plötzlich unlesbar waren. Und andere E-Mail-Konten der Familie waren unauffällig.
Das ist bereits ein starkes Signal. Ein Verschlüsselungstrojaner will gesehen werden – er blockiert den Bildschirm und macht Krach, sonst würde niemand zahlen. Ein Schädling, der still Passwörter abgreift, hätte umgekehrt kaum Grund, ausgerechnet ein einziges Konto zu betreffen und die anderen in Ruhe zu lassen.
Trotzdem prüft man das. Eine Vermutung ist kein Befund.
Alle Geräte auf den Tisch
Ich lasse mir jedes Gerät zeigen, das Zugriff auf das betroffene Konto hat oder einmal hatte. In diesem Haushalt waren das ein Windows-11-Notebook, ein MacBook und ein iPhone. Später kam noch ein älteres Windows-10-Notebook zum Vorschein, das in Vergessenheit geraten war – so etwas passiert häufig, deshalb frage ich am Ende immer noch einmal nach.
Angefangen habe ich beim Windows-Notebook. Nicht aus Vorliebe, sondern weil Windows das mit Abstand verbreitetste System und damit das häufigste Ziel ist. Man arbeitet vom Wahrscheinlichen zum Unwahrscheinlichen.
Geprüft wurde:
- Ein Offline-Scan mit tagesaktuellen Signaturen. Zum Einsatz kam der in Windows eingebaute Microsoft Defender. Der hat seinen Ruf als Notlösung längst hinter sich gelassen: Beim unabhängigen Magdeburger Institut AV-TEST erreicht er in der Schutzwirkung regelmäßig die volle Punktzahl – im Windows-11-Test vom Juni 2026 etwa 6 von 6 Punkten und damit dasselbe Ergebnis wie die kostenpflichtige Konkurrenz. Entscheidend war hier aber vor allem das Wort offline: Der Scan läuft, bevor Windows startet. Schadsoftware, die sich im laufenden Betrieb vor dem Virenschutz versteckt, hat dabei keine Gelegenheit dazu.
- Der Patchstand. System und Office waren aktuell, alle Sicherheitsupdates eingespielt.
- Autostart und Dienste. Hier nistet sich ein, was den Neustart überleben will.
- Die laufenden Prozesse. Nicht nur ein kurzer Blick, sondern eine Beobachtung über einige Zeit: ungewöhnliche CPU-Last, auffällige Festplattenzugriffe, unbekannte Programme. Alle Systemprozesse trugen eine gültige digitale Signatur.
Ergebnis: nichts. MacBook und iPhone ebenfalls unauffällig, beide auf aktuellem Stand. Das alte Windows-10-Notebook hatte nicht einmal ein E-Mail-Programm installiert und schied damit aus. (Zur Nutzung habe ich trotzdem abgeraten – Windows 10 bekommt keine Sicherheitsupdates mehr, so ein Gerät ist im Heimnetz ein Risiko, auch wenn es hier nichts mit dem Vorfall zu tun hatte.)
Auch die Smart-Home-Geräte und Streaming-Sticks im Haushalt habe ich abgeglichen. Keines hatte Kontakt zu der betroffenen Adresse.
Kein Befall. Kein Virus. Keine Ransomware.
Wenn es tiefer gehen muss
Damit ist mein Werkzeugkasten nicht am Ende. Bei einem konkreten Verdacht bleibt es nicht bei Bordmitteln – dann kommt ein Boot-Stick zum Einsatz.
Die Idee dahinter ist einfach und wirkungsvoll: Der Rechner startet gar nicht erst in sein eigenes Windows, sondern in ein unabhängiges Linux-System vom USB-Stick. Schadsoftware, die sich im laufenden Betrieb aktiv tarnt – Prozesse ausblendet, Dateien maskiert, den Virenscanner manipuliert – ist dann schlicht nicht aktiv. Sie liegt als ganz normale Datei auf der Festplatte und lässt sich von außen untersuchen, ohne sich wehren zu können.
Dafür gibt es gute Werkzeuge: Desinfec’t, das Sicherheitssystem der Fachzeitschrift c’t, das mehrere Scan-Engines parallel über das System laufen lässt, oder ein Linux-Livesystem mit ClamAV. Bei verschlüsselten Rechnern muss die Laufwerksverschlüsselung dafür vorübergehend ausgesetzt werden – das ist unkritisch, kostet aber zusätzlich Zeit.
In diesem Fall habe ich bewusst darauf verzichtet. Der Rechner zeigte keinerlei Symptome, der Offline-Scan war sauber, das System aktuell, Autostart und Prozesse unauffällig – und sämtliche Auffälligkeiten des Vorfalls zeigten sich ausschließlich im Konto, nicht auf dem Gerät. Ein zusätzlicher Tiefenscan hätte den Kunden ein bis zwei Stunden mehr gekostet, bei einem absehbar identischen Ergebnis.
Zu einer sauberen Diagnose gehört für mich, auch zu begründen, was man nicht tut. Nachholen lässt sich der Schritt jederzeit – und wenn die Anzeichen dafür sprechen, mache ich ihn ohne Zögern.
Der eigentliche Fund lag woanders
Erst nachdem die Geräte durch waren, haben wir das Konto beim Provider wieder freischalten lassen. Diese Reihenfolge ist wichtig: Erst wenn das Passwort geändert und das Gerät sauber ist, ergibt eine Entsperrung Sinn. Sonst holt man sich den Angreifer im selben Moment zurück.
Was sich nach dem ersten Login zeigte, war deutlich:
- Die Anzeigesprache des Webmailers war auf Französisch umgestellt. Das passiert nicht von allein und ist auch keine typische Nebenwirkung von Schadsoftware. Das macht ein Mensch, der eingeloggt ist.
- Über 2.500 Nachrichten waren aus dem Posteingang in den Papierkorb verschoben worden.
- Im Posteingang standen nur noch die Drohmails. Der leergeräumte Posteingang und die verbliebenen Erpressernachrichten – das war kein Nebeneffekt, das war Inszenierung. Die Familie sollte beim Öffnen nichts anderes sehen als die Forderung.
Damit war klar, was passiert war: eine Übernahme des E-Mail-Kontos, keine Infektion der Geräte. Alle diese Handlungen funktionieren über eine simple Anmeldung im Webmailer – von jedem Ort der Welt aus, ohne jeden Zugriff auf einen Rechner der Familie. Und dass die eigene Adresse als Absender erschien, ist dabei kein Trick: Wer im Konto sitzt, verschickt eben über dieses Konto.
Nach der Passwortänderung kam nichts mehr. Kein neuer Versand, keine weiteren Drohungen. Der Zugang war weg.
Wie kommen Fremde an so ein Passwort?
Den konkreten Weg konnte ich vor Ort nicht abschließend klären – das können in der Regel nur die Anmeldeprotokolle des Providers, und die fordert die Polizei an. Die üblichen Wege sind aber überschaubar:
- Zugangsdaten aus einem Datenleck bei irgendeinem anderen Anbieter, bei dem dieselbe Adresse mit demselben Passwort genutzt wurde.
- Phishing – eine gefälschte Anmeldeseite, auf der man sein Passwort selbst einträgt.
- Ein zu schwaches oder mehrfach verwendetes Passwort.
Punkt 1 und 3 hängen zusammen und sind mit Abstand die häufigste Ursache. Ein einziges Leck bei einem Onlineshop reicht, wenn dasselbe Passwort auch das Postfach schützt.
Was Sie daraus mitnehmen können
Fünf Dinge, die diesen Fall verhindert hätten oder ihn deutlich harmloser gemacht hätten:
Zwei-Faktor-Authentifizierung aktivieren. Der wirksamste Einzelschritt überhaupt. Wer nur das Passwort kennt, kommt damit nicht mehr hinein. Das hätte hier mit hoher Wahrscheinlichkeit gereicht.
Für jedes Konto ein eigenes Passwort. Die Mehrfachverwendung ist der Grund, warum aus einem Datenleck bei Anbieter A eine Übernahme bei Anbieter B wird.
Einen Passwortmanager nutzen. Anders sind unterschiedliche, lange Passwörter im Alltag nicht zu schaffen. Ein starkes Hauptpasswort, alles andere erledigt das Programm.
Das E-Mail-Konto ist das wichtigste Konto. Über die Adresse laufen die Passwort-Zurücksetzen-Funktionen aller anderen Dienste. Wer das Postfach hat, hat mittelfristig alles. Es verdient den besten Schutz, nicht denselben wie das Forum, in dem man dreimal im Jahr etwas liest.
Bei einem Verdacht zuerst sperren lassen, dann prüfen. Die Familie hier hat genau richtig reagiert: morgens beim Provider anrufen, Konto sperren, Passwort ändern. Das hat den Schaden begrenzt, bevor ich überhaupt vor der Tür stand.
Und wenn es schon passiert ist?
Löschen Sie nichts. Die Drohnachrichten, der Papierkorb, die Kontoeinstellungen – all das ist Beweismaterial. Erstatten Sie Anzeige, und zwar zügig: Die Anmeldeprotokolle beim Provider, aus denen sich die Zugriffe nachvollziehen lassen, werden nur kurze Zeit gespeichert.
Und lassen Sie die Geräte prüfen, bevor Sie das Konto wieder in Betrieb nehmen. Nicht, weil dort in jedem Fall etwas zu finden wäre – in diesem Fall war es ja nicht so. Sondern weil Sie hinterher wissen wollen, woran Sie sind.
Für den Fall habe ich der Familie einen schriftlichen Untersuchungsbericht mitgegeben: Vorgehen, geprüfte Geräte, Befunde, Grenzen der Untersuchung. Ein Dokument, das man bei der Polizei zur Akte reichen kann. Das gehört für mich zu einem solchen Einsatz dazu.
Sie haben einen ähnlichen Verdacht? Rufen Sie mich an: 02272 9774010. Ich schaue mir das an und sage Ihnen ehrlich, was Sache ist.
Tom Commander, IT-Service-Commander, Bedburg
Hinweis zur Erstellung: Dieser Beitrag beruht auf einem realen Einsatz und auf meinen eigenen Feststellungen vor Ort. Für die sprachliche Ausarbeitung habe ich KI-Unterstützung genutzt. Alle technischen Aussagen und Empfehlungen habe ich vor der Veröffentlichung geprüft.
