Firmen-E-Mail gehackt: die ersten Schritte in richtiger Reihenfolge

Die ersten Schritte in dieser Reihenfolge

Ist ein Firmenpostfach gehackt, ändern Sie zuerst das Kennwort, beenden dann alle aktiven Sitzungen und suchen im Postfach nach Weiterleitungen und Regeln, die der Angreifer angelegt hat. Danach richten Sie die Zwei-Faktor-Anmeldung ein oder prüfen, ob dort ein fremdes Gerät eingetragen wurde. Erst dann warnen Sie Kunden und Geschäftspartner, und zwar auf einem zweiten Weg, etwa per Telefon. Parallel klären Sie, ob eine Meldung an die Datenschutz-Aufsicht nötig ist und ob Sie Anzeige erstatten.

Solange der Angreifer angemeldet ist oder eine Weiterleitung läuft, liest er jede Warnung mit, die Sie aus dem Postfach verschicken. Deshalb kommen die Kunden erst an fünfter Stelle. Die Schritte stützen sich auf die Checkliste „Gehackter Account“ von BSI und Polizeilicher Kriminalprävention (PDF) und für Microsoft 365 auf die Microsoft-Anleitung zu kompromittierten E-Mail-Konten (Stand 03.07.2026, abgerufen am 14.10.2026).

Woran Sie einen Einbruch ins Postfach erkennen

Der erste Hinweis kann von außen kommen: Ein Kunde fragt nach einer seltsamen Mail, oder es treffen Antworten auf Mails ein, die niemand im Büro geschrieben hat. Microsoft nennt in seiner Anleitung unter anderem diese Anzeichen:

• Das Postfach darf plötzlich keine Mails mehr versenden.
• Mails fehlen oder sind gelöscht.
• Es gibt Regeln, die Mails an unbekannte Adressen weiterleiten oder in Ordner wie „Notizen“, „Junk-E-Mail“ oder „RSS-Abonnements“ verschieben.
• Unter „Gesendete Elemente“ oder „Gelöschte Elemente“ liegen Nachrichten, die niemand kennt.
• Die Signatur wurde verändert.

BSI und Polizei nennen zusätzlich Anmeldungen von neuen Geräten und den Fall, dass sich das Konto mit dem richtigen Kennwort nicht mehr öffnen lässt. Dann hat jemand das Kennwort geändert, oder der Anbieter hat das Konto wegen auffälliger Aktivität gesperrt.

Schritt 1 bis 3: Angreifer aussperren

1. Kennwort ändern

Setzen Sie ein neues, langes Kennwort, das nirgends sonst verwendet wird. Microsoft rät, das neue Kennwort dem Mitarbeiter nicht per Mail zu schicken, weil der Angreifer das Postfach womöglich noch mitliest. In Microsoft 365 empfiehlt Microsoft sogar, das Konto während der Prüfung ganz zu deaktivieren, und nennt das Zurücksetzen des Kennworts als nächstbeste Lösung. Kommen Sie selbst nicht mehr hinein, bitten Sie Ihren Administrator oder den Anbieter um Wiederherstellung.

Liegt das Postfach beim Webhoster, ändern Sie das Kennwort im Kundenkonto des Anbieters, nicht nur im Webmail. Teilen sich mehrere Kollegen dieses Postfach, bekommen alle das neue Kennwort über den Tresor, nicht über den Chat. Wie man ein solches gemeinsames Kennwort führt, steht unter Gemeinsames Postfach ohne geteiltes Passwort.

2. Alle Sitzungen beenden

Ein Angreifer, der schon angemeldet ist, bleibt es unter Umständen auch nach der Kennwortänderung. Laut BSI lassen sich alle aktiven Sitzungen meist mit einem Klick in den Kontoeinstellungen beenden. In Microsoft 365 widerruft der Administrator die Sitzungen des Benutzers, Microsoft zufolge werden damit alle aktiven Zugriffe mit den gestohlenen Anmeldedaten sofort ungültig. Microsoft weist außerdem darauf hin, dass App-Kennwörter beim Zurücksetzen nicht automatisch widerrufen werden: Der Benutzer muss vorhandene App-Kennwörter löschen und neue anlegen.

3. Weiterleitungen und Regeln prüfen

Über eine Weiterleitung bekommt der Angreifer auch nach der Kennwortänderung jede Mail. BSI und Microsoft nennen Weiterleitungen ausdrücklich als Punkt zum Prüfen. Sehen Sie an zwei Stellen nach: in der Weiterleitung des Postfachs selbst und in den Posteingangsregeln. Microsoft beschreibt für Administratoren, wie sie auch ausgeblendete Regeln anzeigen. Beim Webhoster können Weiterleitungen im Kundenkonto des Anbieters stehen und Filterregeln im Webmail, sehen Sie an beiden Stellen nach. Löschen Sie alles, was Sie nicht selbst eingerichtet haben, aber schreiben Sie vorher auf, an welche Adresse weitergeleitet wurde. Diese Angabe gehört in eine Anzeige und in die Dokumentation des Vorfalls.

Schritt 4: Zwei-Faktor-Anmeldung einrichten und prüfen

Hatte das Postfach noch keine Zwei-Faktor-Anmeldung, richten Sie sie jetzt ein. BSI und Polizei empfehlen für die Zukunft Passkeys oder, wo weiter ein Passwort genutzt wird, einen zweiten Faktor. Gab es schon einen zweiten Faktor, prüfen Sie, welche Geräte und Verfahren eingetragen sind. In Microsoft 365 rät Microsoft ausdrücklich, unbekannte Anmeldeverfahren und vom Angreifer hinzugefügte Geräte zu entfernen. Prüfen Sie dort auch, ob das Konto plötzlich Administratorrollen hat oder ob einer App der Zugriff erlaubt wurde, die niemand kennt.

Wie eine kleine Firma die globalen Administratoren in Microsoft 365 aufstellt, damit ein gehacktes Alltagskonto nicht gleich den ganzen Mandanten öffnet, behandelt die Seite Microsoft 365: Admin und Notfallkonto. Soll der Bestätigungscode für ein Konto mehreren Kollegen zur Verfügung stehen, hilft der Ratgeber Bestätigungscodes im Team teilen.

Schritt 5: Kunden und Kontakte warnen

Ein Angreifer im Firmenpostfach kennt die laufenden Gespräche, die Ansprechpartner und offene Rechnungen. Das macht seine Mails glaubwürdig. Das LKA Sachsen beschrieb schon 2016 die Masche, bei der Täter sich in den E-Mail-Server eines der Beteiligten hacken, Rechnungen abfangen und darin eine neue Bankverbindung angeben. Die Schadenssumme lag nach dieser Beschreibung fast immer im fünfstelligen Bereich.

• Rufen Sie zuerst die Kunden an, die in den letzten Wochen Rechnungen bekommen haben oder gerade eine Zahlung vorbereiten. Sagen Sie klar, dass Ihre Bankverbindung sich nicht geändert hat.
• Schreiben Sie danach eine kurze Warnung an alle Kontakte, aus dem gesicherten Postfach oder von einer anderen Adresse. BSI und Polizei raten, die Kontakte zu bitten, verdächtige Mails von Ihrer Adresse zu melden.
• Prüfen Sie die eigenen Zahlungen. Ist eine Überweisung schon auf ein falsches Konto gegangen, rufen Sie sofort Ihre Bank an.

Danach: andere Konten mit derselben Adresse oder demselben Kennwort

Das Postfach ist der Generalschlüssel für viele andere Zugänge. Wer es kontrolliert, kann bei Shop, Bank-Portal, Paketdienst oder Domain-Anbieter über „Passwort vergessen“ neue Kennwörter setzen. BSI und Polizei raten deshalb, auch die Kennwörter aller Konten zu ändern, bei denen dasselbe Passwort genutzt wird, bei denen die gehackte Adresse hinterlegt ist oder bei denen man sich über das gehackte Konto anmeldet. Wo nötig, hinterlegen Sie vorübergehend eine andere Adresse.

Dieser Teil dauert am längsten, wenn nirgends aufgeschrieben ist, wo die Adresse überall eingetragen ist. Wer seine Zugänge in einem Tresor führt, hat einen guten Anfang dieser Liste: Die Passwort-Berichte zeigen schwache und mehrfach verwendete Passwörter, und jeder Eintrag nennt den Benutzernamen, also meist die Adresse, mit der das Konto angemeldet ist. Welche Funktionen dafür im Einzelnen zur Verfügung stehen, steht auf der Seite Funktionen. Wer die Zugänge bisher in einer Liste führt, findet im Ratgeber Passwörter in Excel, warum diese Liste im Ernstfall selbst ein Risiko ist.

Ein Hinweis zur Ursache: Kam der Angreifer über Schadsoftware auf einem Rechner an das Kennwort, nützt ein neues Kennwort wenig, das auf demselben Rechner eingetippt wird. Ändern Sie es von einem anderen Gerät aus und lassen Sie den Rechner von Ihrem IT-Dienstleister prüfen. Ob eine Phishing-Seite der Weg hinein war, klärt die Seite Passwort auf einer Phishing-Seite eingegeben.

Datenschutz: Meldung an die Aufsicht prüfen

In einem Firmenpostfach stehen fast immer personenbezogene Daten: Namen, Adressen und Telefonnummern von Kunden, oft auch Angebote, Verträge oder Bewerbungen. Hatte ein Unbefugter darauf Zugriff, kann das eine Verletzung des Schutzes personenbezogener Daten im Sinne der DSGVO sein.

• Nach Art. 33 DSGVO meldet der Verantwortliche eine solche Verletzung unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihm bekannt wurde, an die zuständige Aufsichtsbehörde. Die Pflicht entfällt, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten der Betroffenen führt.
• Unabhängig von der Meldung verlangt Art. 33 Abs. 5 DSGVO, jede Verletzung mit Umständen, Auswirkungen und ergriffenen Maßnahmen zu dokumentieren.
• Besteht voraussichtlich ein hohes Risiko, sind nach Art. 34 DSGVO auch die betroffenen Personen zu benachrichtigen.

Für Unternehmen ist nach § 40 BDSG die nach Landesrecht zuständige Aufsichtsbehörde zuständig, in der Regel die des Bundeslands, in dem die Firma ihren Sitz hat. Bei mehreren Niederlassungen in Deutschland richtet sich das nach der Hauptniederlassung (§ 40 Abs. 2 BDSG). Mehrere Aufsichten bieten für Meldungen ein Formular auf ihrer Website an. Welche Behörde für Ihr Land zuständig ist, finden Sie in der Übersicht nach Bundesland. Hat Ihre Firma einen Datenschutzbeauftragten, beziehen Sie ihn sofort ein.

Polizei: Ansprechstellen für Unternehmen

Für Firmen hat die Polizei in jedem Bundesland eine Zentrale Ansprechstelle Cybercrime, kurz ZAC. Laut polizei.de wenden sich Wirtschaftsunternehmen dorthin, zuständig ist die Stelle am Firmensitz oder am Ort des Vorfalls. Die ZAC gibt eine erste Einschätzung, berät und leitet die Strafverfolgung ein. Privatpersonen nutzen stattdessen die Onlinewachen der Länder. Die Ansprechstelle Ihres Landes steht ebenfalls in der Übersicht nach Bundesland.

Für eine Anzeige brauchen Sie die Belege, die BSI und Polizei zu sammeln raten: alle Anzeichen des Einbruchs, die Adresse, an die weitergeleitet wurde, verdächtige Mails mit Datum und die Liste der Konten, die betroffen sein könnten. Machen Sie Bildschirmfotos, bevor Sie Regeln löschen.

Ein erfundenes Beispiel: In einer Tischlerei mit neun Leuten bemerkt die Bürokraft an einem Montag, dass im Postfach der Auftragsannahme eine Regel alle Mails mit „Rechnung“ im Betreff in den Ordner „RSS-Abonnements“ schiebt. Unter „Gesendete Elemente“ liegen zwei Rechnungen an Kunden, in denen eine fremde Bankverbindung steht. Sie ändert vom Laptop des Inhabers aus das Kennwort im Kundenkonto des Webhosters, meldet das Postfach auf allen Geräten ab, löscht die Regel nach einem Bildschirmfoto, ruft die beiden Kunden an und meldet den Fall bei der ZAC. Am selben Tag ändert der Inhaber die Zugänge zu Großhandel und Bank, die auf diese Adresse laufen. Welche Zugänge so ein Betrieb sonst noch hat, zeigt die Seite für Handwerksbetriebe.