Kurz zusammengefasst
Wenn ein E-Mail-Konto gehackt wurde, zählt die Reihenfolge: zuerst Konto sperren oder Passwort zurücksetzen, alle Sitzungen widerrufen und MFA-Methoden prüfen, dann Weiterleitungen, Posteingangsregeln und App-Berechtigungen bereinigen und die Protokolle sichern. Danach Geschäftspartner vor gefälschten Rechnungen warnen, den Vorfall freiwillig beim BACS melden (für kritische Infrastrukturen seit April 2025 Pflicht innert 24 Stunden) und prüfen, ob nach Art. 24 DSG eine Meldung an den EDÖB nötig ist. Ein neues Passwort allein reicht nie.
Woran Sie erkennen, dass ein E-Mail-Konto gehackt wurde
Die meisten gehackten Firmenpostfächer gehen auf Phishing zurück: eine gefälschte Anmeldeseite, ein «geteiltes Dokument», ein falscher Support-Anruf. Moderne Phishing-Kits fangen dabei nicht nur das Passwort ab, sondern auch das Sitzungs-Token – klassische MFA per App-Bestätigung oder SMS schützt dann nicht mehr. Umso wichtiger ist es, die Warnsignale früh zu erkennen:
- Unbekannte Posteingangsregeln: Mails werden automatisch weitergeleitet, gelöscht oder in selten genutzte Ordner wie «RSS-Abonnements», «Notizen» oder «Junk-E-Mail» verschoben.
- Neue Weiterleitung an eine externe Adresse, die niemand eingerichtet hat.
- Nachrichten in «Gesendete Elemente» oder «Gelöschte Elemente», die niemand geschrieben hat – oft Phishing an alle Kontakte oder Mails zu Zahlungen.
- Kontakte fragen nach seltsamen Mails, geänderten Bankverbindungen oder dringenden Zahlungsaufträgen.
- Unerwartete MFA-Anfragen, Passwort-Reset-Mails oder unerklärliche Kontosperren.
- Anmeldungen aus fremden Ländern oder zu ungewöhnlichen Zeiten im Anmeldeprotokoll.
- Das Postfach darf plötzlich keine Mails mehr versenden – ein Hinweis, dass darüber Spam verschickt wurde.
- Geänderte Signatur oder geänderte Kontaktdaten im Firmenadressbuch.
Diese Signale decken sich mit der Liste, die Microsoft für kompromittierte Microsoft-365-Postfächer veröffentlicht. Schon ein einzelnes Anzeichen reicht, um die folgenden Schritte zu starten – lieber einmal zu viel prüfen als eine Woche zu spät.
E-Mail-Konto gehackt: die ersten 60 Minuten
Die folgende Reihenfolge orientiert sich an der offiziellen Microsoft-Anleitung für kompromittierte Konten und gilt sinngemäss auch für Google Workspace. Arbeiten Sie die Punkte vollständig ab – Angreifer hinterlassen fast immer eine Hintertür, um später wiederzukommen.
Konto isolieren
Am sichersten ist es, das betroffene Konto während der Untersuchung zu sperren. Geht das nicht, weil die Person dringend arbeiten muss, setzen Sie sofort ein neues, starkes Passwort – und übermitteln es nicht per Mail, sondern telefonisch oder persönlich.
Alle Sitzungen widerrufen
Ein neues Passwort beendet bestehende Anmeldungen nicht zwingend. Im Microsoft Entra Admin Center widerrufen Sie alle Sitzungen und Aktualisierungstoken des Kontos; in Google Workspace melden Sie den Benutzer überall ab und entziehen OAuth-Tokens.
MFA-Methoden prüfen
Angreifer registrieren gerne ein eigenes Handy oder eine eigene Authenticator-App als zweiten Faktor. Entfernen Sie alle Methoden, die die betroffene Person nicht eindeutig als ihre eigenen erkennt, und lassen Sie MFA neu einrichten.
Weiterleitungen und Regeln entfernen
Prüfen Sie Postfach-Weiterleitungen und alle Posteingangsregeln – auch versteckte. Typisch sind Regeln, die Antworten von Kunden ausblenden, damit der Betrug unbemerkt bleibt. Delegierte Zugriffe auf das Postfach gehören ebenfalls auf den Prüfstand.
App-Zustimmungen kontrollieren
Statt eines Passworts nutzen manche Angriffe eine bösartige App, der die Person «Zugriff auf Ihr Postfach» erteilt hat. Diese Berechtigung überlebt jeden Passwortwechsel. Entziehen Sie alle unbekannten App-Zustimmungen des Kontos.
Protokolle sichern
Exportieren Sie Anmeldeprotokolle, Audit-Protokoll und Nachrichtenverfolgung ab einem Zeitpunkt kurz vor dem ersten Verdacht. In Microsoft Entra bleiben Anmeldeprotokolle je nach Lizenz nur 7 bzw. 30 Tage verfügbar – wer zu lange wartet, verliert die Spur.
Gerät untersuchen
Wurde das Passwort über Schadsoftware statt über Phishing abgegriffen, ist der Rechner selbst kompromittiert. Lassen Sie das Gerät der betroffenen Person mit einer EDR-Lösung prüfen, bevor sie sich wieder anmeldet.
Konto kontrolliert freigeben
Erst wenn alle Punkte erledigt sind, wird das Konto mit neuem Passwort und frisch registrierter, möglichst phishing-resistenter MFA wieder freigegeben. Wurde über das Postfach Spam verschickt, muss es zudem aus der Liste der gesperrten Absender entfernt werden.
Wer diese Schritte nicht zum ersten Mal unter Zeitdruck erarbeiten will, hält sie im Incident-Response-Plan fest – mit Zuständigkeiten, Telefonnummern und Admin-Zugängen, die auch dann funktionieren, wenn das Mailsystem selbst betroffen ist.
Microsoft 365 und Google Workspace: Wo Sie was finden
| Massnahme | Microsoft 365 | Google Workspace |
|---|---|---|
| Konto sperren / Passwort | Microsoft 365 Admin Center oder Entra Admin Center | Admin-Konsole: Nutzer sperren, Passwort zurücksetzen |
| Sitzungen beenden | Entra: Sitzungen widerrufen (Revoke sessions) | Nutzer abmelden, OAuth-Tokens entziehen |
| Zweiter Faktor | Entra: Authentifizierungsmethoden des Nutzers | Bestätigung in zwei Schritten, Sicherungscodes |
| Regeln & Weiterleitung | Exchange Admin Center bzw. Exchange Online PowerShell | Gmail-Einstellungen des Kontos, Weiterleitung und Filter |
| App-Berechtigungen | Entra: Unternehmensanwendungen, Benutzerzustimmungen | Admin-Konsole: App-Zugriff und Drittanbieter-Apps |
| Protokolle | Entra-Anmeldeprotokolle, Audit-Protokoll, Nachrichtenverfolgung | Prüfprotokolle und Untersuchungstool |
Bezeichnungen und Menüpfade ändern sich bei beiden Anbietern regelmässig – massgebend ist die aktuelle Admin-Dokumentation. Für Microsoft-Umgebungen lohnt sich zusätzlich ein Blick in das Defender-Portal: Mit Microsoft Defender for Business sehen Sie, ob auch Endgeräte betroffen sind. Wer sein Postfach in der Cloud betreibt, findet die Grundlagen im Beitrag zu Exchange Online für KMU.
Hackerangriff – was tun bei Meldungen an BACS, EDÖB und Polizei?
Ist das Konto unter Kontrolle, folgt die Kommunikation. Welche Stelle Sie informieren müssen und welche Sie informieren sollten, hängt von Ihrer Branche und den betroffenen Daten ab:
| Stelle | Wann | Hinweis |
|---|---|---|
| Geschäftsleitung & Team | Sofort | Wer ist betroffen, wer entscheidet, welche Kanäle sind sicher? |
| Geschäftspartner & Kunden | Sobald Phishing oder Rechnungsmails verschickt wurden | Per Telefon oder über einen zweiten Kanal warnen |
| BACS (freiwillig) | Empfohlen für alle Unternehmen | Online-Meldeformular des Bundesamts für Cybersicherheit |
| BACS (Pflicht) | Kritische Infrastrukturen: innert 24 Stunden | Seit 1. April 2025; Ergänzungen innert 14 Tagen möglich |
| EDÖB | Bei voraussichtlich hohem Risiko für Betroffene | Art. 24 DSG: so rasch als möglich, über das Meldeportal |
| Polizei | Bei Betrug oder Erpressung | Strafanzeige bei der Kantonspolizei; die BACS-Meldung ersetzt sie nicht |
| Cyber-Versicherung | Gemäss Police, meist sofort | Meldefristen beachten, sonst droht Leistungskürzung |
BACS: Für Betreiber kritischer Infrastrukturen – etwa Energie, Wasser, Gesundheit, Finanzen oder öffentliche Verwaltungen – gilt seit dem 1. April 2025 eine gesetzliche Meldepflicht: Cyberangriffe sind dem Bundesamt für Cybersicherheit innert 24 Stunden nach Entdeckung zu melden, seit Oktober 2025 drohen bei Verstössen Bussen. Alle anderen Unternehmen melden freiwillig; das lohnt sich trotzdem, weil das BACS Hinweise zu laufenden Kampagnen geben kann und aus den Meldungen Warnungen für andere ableitet.
EDÖB: Lagen im Postfach Personendaten – Kundendossiers, Lohnabrechnungen, Gesundheitsdaten – kann eine Meldung nach Art. 24 DSG nötig sein. Massgebend ist, ob die Verletzung der Datensicherheit voraussichtlich zu einem hohen Risiko für die betroffenen Personen führt. Unabhängig von der Meldung müssen Sie den Vorfall dokumentieren. Die Grundlagen dazu finden Sie in unserer DSG-Checkliste für KMU; ob Ihre Police Kosten für Forensik und Wiederherstellung übernimmt, klärt der Beitrag zur Cyber-Versicherung.
Rechnungsbetrug verhindern: Partner richtig warnen
Der teuerste Teil eines gehackten E-Mail-Kontos ist oft nicht das Postfach selbst, sondern der sogenannte Business Email Compromise: Angreifer lesen wochenlang mit, warten auf eine laufende Rechnung und schicken dann aus Ihrem echten Konto eine «geänderte Bankverbindung». Weil die Mail tatsächlich von Ihnen kommt, schlagen klassische Spamfilter nicht an.
- Gesendete Elemente der letzten Wochen auf Rechnungen, IBAN-Änderungen und Zahlungsaufforderungen durchsuchen.
- Betroffene Kunden und Lieferanten telefonisch über eine bekannte Nummer warnen – nicht per Antwort auf die verdächtige Mail.
- Intern festhalten: Bankverbindungen werden nie allein auf Basis einer E-Mail geändert, sondern immer per Rückruf bestätigt.
- Bei bereits ausgelösten Zahlungen sofort die eigene Bank kontaktieren – je schneller, desto grösser die Chance auf einen Rückruf der Zahlung.
Die gleiche Rückruf-Regel schützt übrigens auch vor gefälschten Chef-Anweisungen per Telefon oder Video – mehr dazu im Ratgeber zu Deepfake und CEO-Fraud.
Beweise sichern und Ursache klären
Für Polizei, Versicherung und die eigene Lehre aus dem Vorfall brauchen Sie eine nachvollziehbare Zeitachse: Wann gab es die erste verdächtige Anmeldung, von wo, welche Regeln wurden wann angelegt, welche Mails gingen hinaus? Sichern Sie die Protokoll-Exporte, Screenshots der Regeln und die verdächtigen Mails mit Kopfzeilen, bevor Sie Spuren löschen.
Danach die Ursache klären: Phishing-Mail, gefälschter Support-Anruf mit Fernwartungstool, wiederverwendetes Passwort aus einem anderen Datenleck oder Schadsoftware auf dem Gerät. Gerade gefälschte Support-Anrufe sind verbreitet – wie Sie Fernwartung sicher aufstellen, erklären wir separat. Erst wenn die Ursache bekannt ist, wissen Sie, ob noch weitere Konten gefährdet sind.
Nach dem Vorfall: So wird das E-Mail-Konto nicht wieder gehackt
Phishing-resistente Anmeldung
Passkeys und FIDO2-Sicherheitsschlüssel lassen sich nicht über gefälschte Anmeldeseiten abgreifen. Für Admins sollten sie Pflicht sein, für alle anderen der Zielzustand.
Bedingter Zugriff
Regeln für bedingten Zugriff erlauben die Anmeldung nur von verwalteten Geräten oder aus erlaubten Ländern und verlangen bei Risiko eine erneute Prüfung. In Microsoft 365 ist das ab Business Premium enthalten.
Externe Weiterleitung sperren
Automatische Weiterleitung an externe Adressen ist ein Lieblingswerkzeug von Angreifern. Setzen Sie die Ausgangs-Spamrichtlinie ausdrücklich auf «Aus» und erlauben Sie Ausnahmen nur gezielt.
App-Zustimmung einschränken
Mitarbeitende sollten Drittanwendungen keinen Zugriff auf Postfach und Dateien geben können, ohne dass die IT zustimmt. Das schliesst die Tür für Angriffe über bösartige Apps.
E-Mail-Authentifizierung
Korrekt gesetzte SPF-, DKIM- und DMARC-Einträge verhindern, dass Dritte Mails im Namen Ihrer Domain fälschen – das schützt Partner auch nach einem Vorfall.
Warnungen und Schulung
Aktivieren Sie Warnmeldungen für verdächtige Anmeldungen und neue Weiterleitungsregeln und schulen Sie das Team regelmässig. Wer Phishing erkennt und früh meldet, verkürzt jeden Vorfall.
Vertiefung zu den einzelnen Punkten: MFA & 2FA im KMU einführen, Passkeys & FIDO2, DMARC, SPF & DKIM richtig setzen und Awareness-Training für Mitarbeitende.
Privates E-Mail-Konto gehackt (Gmail, Bluewin, GMX)?
Dieser Ratgeber richtet sich an Firmenkonten. Für private Postfächer gilt sinngemäss: über die offizielle Wiederherstellungsseite des Anbieters das Passwort ändern, alle Geräte abmelden, Weiterleitungen und Filter prüfen, zweiten Faktor einrichten und Kontakte warnen. Hilfe und ein Meldeformular für Cybervorfälle bietet das Bundesamt für Cybersicherheit BACS auch für Privatpersonen.
Typische Fehler nach einem Hack
- Nur das Passwort ändern: Sitzungen, App-Kennwörter, Regeln und App-Zustimmungen bleiben aktiv – der Angreifer ist weiter drin.
- Das neue Passwort per Mail verschicken: Das Postfach ist genau der Ort, den der Angreifer mitliest.
- Spuren löschen, bevor sie gesichert sind: Ohne Protokolle fehlen Beweise für Polizei und Versicherung.
- Partner nicht warnen: Gefälschte Rechnungen aus Ihrem echten Konto wirken glaubwürdig – der Schaden entsteht oft erst Tage später.
- Nur das eine Konto prüfen: Angreifer nutzen ein gehacktes Postfach, um intern weitere Phishing-Mails zu verschicken.
- Kein Lerneffekt: Ohne Ursachenanalyse und bessere Anmeldung wiederholt sich der Vorfall.
Fazit: Ruhe bewahren, Reihenfolge einhalten
Ein gehacktes E-Mail-Konto ist ärgerlich, aber beherrschbar – wenn Sie systematisch vorgehen. Zuerst den Zugriff kappen und alle Hintertüren schliessen, dann Spuren sichern, Partner warnen und die Meldepflichten prüfen. Wer dabei improvisieren muss, verliert wertvolle Zeit.
Der beste Zeitpunkt für den nächsten Schritt ist deshalb nach dem Vorfall: phishing-resistente Anmeldung, bedingter Zugriff, gesperrte Weiterleitungen und ein geübter Notfallablauf. Damit wird aus dem nächsten Phishing-Klick ein Ereignis ohne Folgen.
Postfach gehackt? Wir helfen beim Aufräumen
Wir bereinigen kompromittierte Microsoft-365-Konten, sichern die Spuren, prüfen die Ursache und härten Ihre Umgebung mit Passkeys, bedingtem Zugriff und klaren Regeln – als einmaliger Einsatz oder im Rahmen unserer Managed IT.
Jetzt Kontakt aufnehmen