Warnung vor ungewöhnlicher Anmeldung: echt oder Phishing?

Die Antwort steht im Konto selbst

Ob eine Mail über eine „ungewöhnliche Anmeldeaktivität“ echt ist, klären Sie im Konto selbst. Lassen Sie den Link in der Mail unbenutzt und öffnen Sie die Seite des Dienstes über ein Lesezeichen oder die selbst getippte Adresse: bei Microsoft account.microsoft.com, Seite „Sicherheitsgrundlagen“, dort „Aktivität überprüfen“, bei Google myaccount.google.com unter „Sicherheit“, bei Apple account.apple.com, bei Amazon das Message Center im Kundenkonto. Steht die gemeldete Anmeldung dort, ist die Warnung echt. Bei Amazon gilt laut Hilfe ausdrücklich: Was nicht im Message Center auftaucht, stammt nicht von Amazon.

Ist die Warnung echt und niemand im Betrieb hat sich angemeldet, wählen Sie bei Microsoft im Konto „Das war ich nicht“, bei Google „Konto schützen“ und bei Apple in der Mitteilung auf dem Gerät „Nicht erlauben“. Danach setzen Sie ein neues Passwort und prüfen Telefonnummer, Ersatzadresse und angemeldete Geräte. Zeigt das Konto nur einen gescheiterten Versuch mit falschem Passwort, ist mit diesem Versuch niemand hineingekommen. Für Arbeitskonten schreibt Microsoft, dass Sie das Passwort in diesem Fall nicht ändern müssen, aber die zweistufige Überprüfung einrichten sollten. Stand der Hilfeseiten von Microsoft, Google, Apple und Amazon: 16.10.2026.

Wo die Anbieter echte Warnungen anzeigen

Auf den angezeigten Absender allein ist deshalb kein Verlass, auch wenn er genau der Adresse entspricht, die Microsoft nennt. Das BSI weist darauf hin, dass sich hinter dem sichtbaren Absender einer HTML-Mail oft eine ganz andere Adresse verbirgt, und dass „https://“ in der Adresszeile heute keine Entwarnung mehr ist. Wie Sie den echten Absender und das wahre Linkziel sehen, zeigt die BSI-Seite zum Erkennen von Phishing. Die Gegenprobe im Konto klappt auch bei einer gut gemachten Fälschung.

Was der Eintrag im Konto verrät

Auf der Seite „Letzte Aktivität“ des Microsoft-Kontos und unter „Meine Anmeldungen“ eines Arbeitskontos steht, woran eine Anmeldung gescheitert ist oder ob sie gelang. Davon hängt ab, was Sie tun:

• „Falsches Kennwort eingegeben“: Jemand hat es mit einem falschen Passwort versucht, Microsoft hat die Anmeldung nicht zugelassen. Das kann auch ein Kollege mit Tippfehler gewesen sein.
• „Ungewöhnliche Aktivität festgestellt“: Das Passwort war richtig, aber Ort oder Gerät waren unbekannt, und Microsoft hat einen weiteren Nachweis verlangt. War das niemand aus der Firma, kennt ein Fremder das Passwort.
• Gescheitert am zweiten Schritt: Bei Arbeitskonten nennt Microsoft den Hinweis „Fehler bei der zusätzlichen Überprüfung, ungültiger Code“. Dann stimmte das Passwort, nur der zweite Faktor hat gehalten. Microsoft empfiehlt, das Passwort trotzdem zu ändern.

Apple zählt einen Zwei-Faktor-Code, den niemand angefordert hat, ausdrücklich zu den Anzeichen für ein gefährdetes Konto. Geben Sie so einen Code nirgends ein und ändern Sie das Passwort, wie Apple es für diesen Fall rät.

Den Ort im Eintrag sollten Sie nicht überbewerten. Microsoft und Apple ermitteln ihn über die IP-Adresse, und Mobilfunknetze leiten Verbindungen laut Microsoft über andere Orte. Eine Anmeldung aus dem Firmenhandy kann deshalb in einer anderen Stadt erscheinen.

Die Warnung ist echt: diese Schritte

1. Im Konto antworten. Bei Microsoft im Abschnitt „Ungewöhnliche Aktivität“ den Eintrag aufklappen und „Das war ich nicht“ wählen, für einen verdächtigen Eintrag im Abschnitt „Letzte Aktivität“ „Konto sichern“. Bei Google in der Sicherheitswarnung „Nein, Konto sichern“, im Konto unter „Kürzlich aufgetretene Vorkommnisse“ „Konto schützen“. Kommt die Frage als Android-Mitteilung „Haben Sie sich gerade angemeldet?“ und Sie tippen „Nein, das bin ich nicht“, meldet Google das Konto laut Hilfe auf allen anderen Geräten ab.
2. Neues Passwort setzen. Lang, zufällig und nur für dieses eine Konto. Nach „Das war ich nicht“ fordert Microsoft Sie selbst auf, Kennwort und Sicherheitsinformationen zu ändern.
3. Geräte und Kontaktdaten prüfen. Entfernen Sie Geräte, die niemand kennt, bei Microsoft auch die vertrauenswürdigen Geräte. Das BSI rät, alle aktiven Sitzungen zu beenden, Apple, beim Mobilfunkanbieter nachzufragen, ob für die hinterlegte Nummer eine SMS-Weiterleitung eingerichtet wurde.
4. Gleiche Passwörter ändern. Die Checkliste „Gehackter Account“ von BSI und Polizei nennt dafür alle Konten mit demselben Passwort, alle Konten mit der betroffenen Adresse als Kontakt und alle, bei denen Sie sich über das betroffene Konto anmelden.
5. Festhalten, was im Eintrag steht. Datum, Uhrzeit, Ort, Gerät und Browser, falls doch mehr passiert ist.

Kommen Sie mit dem bekannten Passwort nicht mehr hinein, hat es womöglich schon jemand geändert, und das Konto ist übernommen. Microsoft nennt dafür auf der Anmeldeseite „Kennwort vergessen“ und dann „Ich denke, eine andere Person verwendet mein Microsoft-Konto“, Apple die Wiederherstellung über iforgot.apple.com mit Wartezeit. Für ein Firmenpostfach steht die Reihenfolge der Gegenmaßnahmen unter Firmen-E-Mail gehackt.

Geteilte Konten: Die Warnung landet oft bei der falschen Person

Microsoft kann die Benachrichtigung an alle hinterlegten Kontaktmöglichkeiten schicken, Google ohne Android-Gerät an das Postfach des Kontos oder an die Adresse zur Kontowiederherstellung, Apple auf die anderen vertrauenswürdigen Geräte. In einer Firma heißt das: Die SMS zum gemeinsamen Microsoft-Konto erreicht vielleicht nur die Kollegin, deren Handynummer vor drei Jahren als Sicherheitsinformation eingetragen wurde, und die Mitteilung zum Apple Account des Empfangs-iPads erscheint auf dem iPhone des Chefs, wenn dort derselbe Account angemeldet ist. Steht im Konto noch die Adresse eines früheren Mitarbeiters, erfährt die Firma von dem Versuch gar nichts.

Umgekehrt löst ein Kollege, der sich auf seinem neuen Laptop anmeldet, genau dieselbe Warnung aus wie ein Angreifer. Damit niemand vorschnell „Das war ich“ klickt oder im Gegenteil das Konto für alle sperrt, vereinbaren Sie im Team drei Dinge:

• Eine zuständige Person je Konto. Sie entscheidet über die Antwort auf eine Warnung. Ihr Name und die Kontaktdaten, an die Warnungen gehen, stehen in der Notiz des Eintrags im Tresor.
• Erst kurz fragen, dann antworten. Sie fragt im Team, wer sich zur genannten Uhrzeit angemeldet hat. Lässt sich das nicht schnell klären, wählt sie nach dem Rat von Microsoft „Das war ich nicht“, auch wenn sie unsicher ist.
• Firmenadresse als Kontakt. Als Ersatzadresse gehört ein Postfach der Firma ins Konto, das mehrere lesen, kein privates. Wie mehrere Leute ein solches Postfach nutzen, steht unter Gemeinsames Postfach ohne geteiltes Passwort.

Muss das Passwort neu, ändert es eine Person und trägt es im Eintrag des Tresors ein. Die Kollegen holen es dort ab und melden sich neu an. Liegt auch der Code für den zweiten Faktor im Tresor, bleibt er bei einem Personalwechsel greifbar, siehe Bestätigungscodes im Team teilen. Am saubersten ist es, wenn der Dienst eigene Benutzer erlaubt: Dann betrifft jede Warnung genau eine Person. Ob ein Anbieter das Teilen eines Logins überhaupt zulässt, klärt die Seite Darf man einen Account in der Firma teilen?, für Bestellkonten gibt es Amazon Business mit mehreren Benutzern.

Abgrenzung zu verwandten Fällen

• Jemand hat auf den Link geklickt und dort Daten eingegeben: Passwort auf einer Phishing-Seite eingegeben.
• Das Konto verschickt schon Mails oder lässt sich nicht mehr öffnen: Firmen-E-Mail gehackt.
• Die Warnung kommt von einem Prüfdienst und meldet die Adresse in einem Datenleck: Firmen-E-Mail in einem Datenleck.

Beispiel: zwei Warnungen in drei Wochen

Ein erfundener Fall: Ein Fotostudio mit zwei Ateliers und sechs Leuten führt sein Unternehmensprofil und den Videokanal über ein gemeinsames Google-Konto. An einem Dienstag bekommt die Inhaberin eine Mail über eine Anmeldung auf einem neuen Gerät. Sie öffnet myaccount.google.com über ihr Lesezeichen und findet unter „Kürzlich aufgetretene Vorkommnisse“ eine Anmeldung von einem Windows-Rechner um 7:50 Uhr. Auf ihre Frage im Team meldet sich die neue Auszubildende im zweiten Atelier, die gerade ihren Rechner eingerichtet hat.

Drei Wochen später kommt die nächste Warnung, diesmal meldet sich niemand. Sie wählt im Konto „Konto schützen“, ändert das Passwort und legt es in eine Sammlung, die nur sie und ihre Vertretung sehen. Die beiden Fotografen und die Auszubildende arbeiten im Unternehmensprofil und im Videokanal seitdem mit Rollen für ihre eigenen Google-Konten. Mit dem Konto des Studios meldet sich im Alltag niemand mehr an. Dabei fällt ihr auf, dass als Adresse zur Wiederherstellung noch das private Postfach des früheren Assistenten steht. Sie ersetzt es durch das Funktionspostfach des Studios. Welche Konten so ein Betrieb sonst noch auf eine Firmenadresse umstellen sollte, zeigt Google-Konto für die Firma.

Der Tresor als feste Adresse für die Anmeldung

Wer seine Firmenzugänge in einem Passwort-Tresor führt, braucht für die Gegenprobe keinen Link aus einer Mail. Jeder Eintrag enthält die Adresse der echten Anmeldeseite, und die Browser-Erweiterung schlägt die Zugangsdaten nur auf der Domain vor, die zum Eintrag passt. Bietet sie auf einer angeblichen Anmeldeseite nichts an, ist das ein Grund, die Adresse genau anzusehen. Eine Garantie ist das nicht: Wer Passwörter von Hand kopiert, umgeht die Prüfung.

Bei Passwortheld liegt der Tresor auf einem Server, den Ihre Firma selbst bei netcup mietet, und wir halten ihn aktuell. Für die Anmeldung am Tresor gilt die Zwei-Faktor-Pflicht für alle Mitarbeiter. Eigentümer und Administratoren richten den zweiten Faktor selbst ein. Die Passwort-Berichte zeigen den Verantwortlichen außerdem, welche Passwörter in den gemeinsamen Sammlungen mehrfach verwendet werden, also welche Konten nach einer echten Warnung mitbetroffen wären. Was sonst dazugehört, steht unter Funktionen, Fragen klären wir im kostenlosen Erstgespräch (15 Minuten).