Wenn Sie vermuten, dass jemand Ihr Microsoft- oder Outlook-Konto übernommen hat, handeln Sie sofort – aber vollständig. Ein neues Passwort allein reicht oft nicht. Angreifer hinterlassen häufig Weiterleitungen, versteckte Posteingangsregeln oder eigene Anmeldemethoden, die auch nach dem Passwortwechsel weiter funktionieren. Dieser Ratgeber zeigt, woran Sie eine Übernahme erkennen, was Sie mit und ohne Zugriff auf das Konto tun und was Betriebe mit Microsoft 365 zusätzlich prüfen müssen.
Woran Sie ein gehacktes Konto erkennen
Microsoft und das Bundesamt für Sicherheit in der Informationstechnik (BSI) nennen ähnliche Warnzeichen (Microsoft Learn, BSI/ProPK-Checkliste):
| Anzeichen | Was dahinterstecken kann |
|---|---|
| Ihr Passwort funktioniert nicht mehr | Jemand hat es geändert |
| Kontakte erhalten Mails von Ihnen, die Sie nicht geschrieben haben | Das Konto wird für Betrug oder Spam genutzt |
| Im Ordner „Gesendete Elemente“ oder „Gelöschte Elemente“ liegen fremde Nachrichten | Angreifer haben gesendet und Spuren gelöscht |
| Mails fehlen oder landen in ungewohnten Ordnern | Eine fremde Posteingangsregel sortiert sie weg |
| Eine Weiterleitung an eine unbekannte Adresse ist eingerichtet | Ihre Post wird mitgelesen |
| Anmeldungen von unbekannten Orten oder Geräten | Fremdzugriff |
| Das Senden von Mails ist plötzlich gesperrt | Der Anbieter hat Spam aus Ihrem Konto bemerkt |
Eine Posteingangsregel ist eine automatische Sortieranweisung in Outlook, etwa „Mails von X in Ordner Y verschieben“. Angreifer nutzen solche Regeln, damit Sie Antworten auf ihre Betrugsmails nicht sehen.
Warum ein neues Passwort allein nicht reicht
Viele Angriffe zielen heute nicht mehr nur auf das Passwort. Der Sicherheitsanbieter Huntress hat im Oktober 2026 eine Kampagne gegen 79 Organisationen mit Microsoft 365 beschrieben. Die Angreifer stahlen dort Sitzungstoken – eine Art digitaler Eintrittskarte, die nach einer erfolgreichen Anmeldung ausgestellt wird. Damit waren sie angemeldet, obwohl die Opfer die Zwei-Faktor-Abfrage korrekt bestätigt hatten.
Danach richteten sie sich dauerhaft ein: Sie registrierten eigene Geräte, ersetzten Anmeldemethoden und legten versteckte Posteingangsregeln mit unauffälligen Namen wie „.“ oder „s“ an, die Mails in selten genutzte Ordner wie „RSS-Feeds“ verschoben. Huntress betont: Ein Passwort-Reset allein entfernt weder Geräte noch Anmeldemethoden.
Für Sie heißt das: Sitzungen beenden, Einstellungen prüfen, Zugänge aufräumen – nicht nur das Passwort ändern.
Fall 1: Sie kommen noch in Ihr Konto (privates Microsoft- oder Outlook.com-Konto)
Gehen Sie in dieser Reihenfolge vor. Die Schritte folgen den Empfehlungen von Microsoft und der BSI/ProPK-Checkliste.
- Gerät auf Schadsoftware prüfen. Microsoft rät, zuerst einen vollständigen Virenscan durchzuführen, etwa mit der Windows-Sicherheit (Viren- und Bedrohungsschutz → Scanoptionen → Vollständige Überprüfung → Jetzt überprüfen). Sonst könnte ein Schadprogramm auch das neue Passwort mitlesen.
- Passwort ändern. Wählen Sie ein neues, langes Passwort, das Sie nirgends sonst verwenden. Melden Sie sich dafür direkt über account.microsoft.com an – nie über einen Link aus einer E-Mail.
- Überall abmelden. In den erweiterten Sicherheitsoptionen Ihres Microsoft-Kontos gibt es den Bereich „Überall abmelden“. Damit beenden Sie alle Sitzungen in Browsern und Apps. Laut Microsoft kann das bis zu 24 Stunden dauern; Xbox-Konsolen müssen Sie separat abmelden.
- Letzte Aktivitäten ansehen. Unter account.live.com/Activity sehen Sie, wann und wo Ihr Konto in den letzten 30 Tagen verwendet wurde. Bei ungewöhnlichen Aktivitäten, die nicht von Ihnen stammen, wählen Sie „Das war ich nicht“ (Microsoft).
- Sicherheitsinformationen prüfen. Entfernen Sie Telefonnummern, E-Mail-Adressen und Authenticator-Apps, die Sie nicht selbst hinterlegt haben.
- Postfach-Einstellungen prüfen. Microsoft nennt ausdrücklich verbundene Konten, Weiterleitungen und automatische Antworten. Prüfen Sie zusätzlich die Regeln. Löschen Sie alles, was Sie nicht selbst eingerichtet haben.
- Zwei-Faktor-Anmeldung aktivieren (bei Microsoft „zweistufige Überprüfung“), falls noch nicht geschehen. Noch besser schützen Passkeys, die das BSI ausdrücklich empfiehlt.
- Kontakte warnen. Teilen Sie Ihren Kontakten über einen anderen Weg mit, dass Mails aus Ihrem Konto gefälscht sein könnten.
Fall 2: Sie kommen nicht mehr in Ihr Konto
Hat der Angreifer Passwort oder Wiederherstellungsadresse geändert, helfen nur die offiziellen Wege:
- Passwort zurücksetzen über die Microsoft-Anmeldeseite, sofern Ihre Telefonnummer oder Ersatzadresse noch hinterlegt ist.
- Anmelde-Hilfe von Microsoft nutzen: Der Sign-in-Helper führt Sie durch die Optionen.
- Wiederherstellungsformular ausfüllen, wenn nichts anderes greift. Microsoft fragt dort Details ab, die nur Sie kennen – etwa alte Kennwörter und bei Outlook.com-Konten exakte Betreffzeilen von E-Mails. Füllen Sie es möglichst auf einem Gerät aus, mit dem Sie sich schon angemeldet haben, und an einem gewohnten Ort wie Zuhause oder Büro (Hilfe zum Formular).
Vorsicht bei „Microsoft-Hotlines“: Suchen Sie keine Telefonnummer über Suchanzeigen. Betrüger geben sich gezielt als Microsoft-Support aus. Microsoft führt nach eigenen Angaben keine unaufgeforderten Anrufe durch, um Geräte zu reparieren (Verbraucherzentrale). Nutzen Sie nur Kontaktwege, die auf support.microsoft.com verlinkt sind.
In jedem Fall: die Folgeschäden begrenzen
Ein E-Mail-Konto ist oft der Generalschlüssel zu weiteren Diensten. Über „Passwort vergessen“ kann ein Angreifer damit auch Online-Shops, PayPal oder soziale Netzwerke übernehmen. Das BSI empfiehlt deshalb:
- Passwörter anderer Konten ändern, die dasselbe Passwort nutzen oder bei denen die gehackte Adresse hinterlegt ist.
- Bankkonto und Zahlungsdienste im Blick behalten und bei Auffälligkeiten sofort die Bank informieren.
- Beweise sichern: Screenshots von fremden Mails, Regeln und Anmeldungen. Damit können Sie Anzeige bei der Polizei erstatten.
Für Praxen, Büros und Unternehmen mit Microsoft 365
Bei einem geschäftlichen Konto sollte immer die IT-Verantwortliche oder der Administrator eingreifen. Microsoft beschreibt dafür sechs Schritte:
| Schritt laut Microsoft | Warum |
|---|---|
| 1. Konto vorübergehend deaktivieren, sonst Passwort zurücksetzen | Angreifer sofort aussperren |
| 2. Alle Sitzungen widerrufen | Gestohlene Sitzungstoken werden ungültig |
| 3. Registrierte Geräte und MFA-Methoden prüfen | Vom Angreifer hinzugefügte Zugänge entfernen |
| 4. App-Berechtigungen prüfen | Fremde Apps mit Postfachzugriff entziehen |
| 5. Administratorrollen prüfen | Ausgeweitete Rechte zurücknehmen |
| 6. Weiterleitungen und Posteingangsregeln prüfen, auch versteckte | Mitlesen und Wegsortieren stoppen |
Zwei Details übersehen Betriebe häufig: App-Kennwörter werden bei einem Passwort-Reset laut Microsoft nicht automatisch widerrufen. Und das neue Passwort darf nicht per E-Mail an den Betroffenen gehen – das Postfach könnte noch mitgelesen werden.
Wurden personenbezogene Daten wie Patienten- oder Kundendaten eingesehen oder weitergeleitet, prüfen Sie zusätzlich die Meldepflicht an die Datenschutzaufsicht nach Art. 33 DSGVO (in der Regel binnen 72 Stunden). Weitere Hilfe bietet unsere Seite zu Microsoft 365 für KMU.
Checkliste: Konto wirklich sauber?
- Gerät gescannt, bevor das Passwort geändert wurde
- Neues, einzigartiges Passwort
- Überall abgemeldet bzw. Sitzungen widerrufen
- Unbekannte Telefonnummern, Adressen, Authenticator-Apps entfernt
- Weiterleitungen, Regeln, automatische Antworten geprüft
- Zwei-Faktor-Anmeldung oder Passkey aktiv
- Andere Konten mit gleichem Passwort oder gleicher Adresse geändert
- Kontakte gewarnt, Beweise gesichert
Konto gehackt – und unsicher, ob alles bereinigt ist? Wir prüfen Microsoft-365-Konten auf Weiterleitungen, Regeln, fremde Geräte und Anmeldemethoden und richten einen Schutz ein, der zu Ihrem Betrieb passt – von der Zwei-Faktor-Anmeldung bis zur IT-Sicherheit für das ganze Team. Mit einer Awareness-Schulung erkennen Ihre Mitarbeitenden gefälschte Anmeldeseiten früher.
Häufige Fragen
Microsoft-Konto gehackt und E-Mail-Adresse geändert – was tun?
Hat der Angreifer Ihre Wiederherstellungsadresse ausgetauscht, hilft „Passwort vergessen“ meist nicht weiter. Nutzen Sie dann das offizielle Wiederherstellungsformular von Microsoft – möglichst auf einem gewohnten Gerät und an einem gewohnten Ort – und geben Sie so viele Details an, die nur Sie kennen, wie möglich, etwa alte Kennwörter.
Muss ich ein gehacktes Konto bei der Polizei melden?
Eine Pflicht für Privatpersonen besteht nicht. Eine Anzeige ist aber sinnvoll, wenn Geld abgeflossen ist, in Ihrem Namen bestellt oder betrogen wurde. Das BSI rät, alle Hinweise zu notieren, damit Sie dafür vorbereitet sind.
Bringt die Zwei-Faktor-Anmeldung noch etwas, wenn Angreifer Sitzungen stehlen?
Ja. Sie stoppt weiterhin den Großteil einfacher Angriffe mit gestohlenen Passwörtern. Gegen gefälschte Anmeldeseiten, die die Anmeldung „durchreichen“, schützen Passkeys besser, weil sie nur auf der echten Microsoft-Seite funktionieren. Entscheidend bleibt: Melden Sie sich nie über Links aus E-Mails an.
Stand: 29. Oktober 2026. Allgemeine Information, keine Rechtsberatung.