Es war ein Dienstagmorgen im März 2022, als ich eine E-Mail von Instagram bekam: „Ihre E-Mail-Adresse wurde geändert.“ Nur war ich das nicht gewesen. Mein Konto mit über 15.000 Followern – weg. Innerhalb von Sekunden. Ich saß da mit meinem Kaffee und dachte: Wie konnte das passieren? Ich hatte doch ein sicheres Passwort. Oder? Nein, ich hatte dasselbe Passwort wie auf drei anderen Plattformen verwendet. Ein Fehler, den ich nie wieder machen würde. Aber genau das ist der Punkt: Die meisten Menschen unterschätzen, wie einfach es für Angreifer ist, an ihre Konten zu gelangen. Sie denken, ein starkes Passwort reicht. Das tut es nicht. Heute, als Senior Engineer mit über einem Jahrzehnt Erfahrung in der Systemsicherheit, weiß ich: Echte Sicherheit ist ein System, kein einzelnes Schloss. In diesem Artikel zeige ich Ihnen die sechs Maßnahmen, die ich selbst umgesetzt habe – und die auch Sie in weniger als einer Stunde einrichten können. Kein technisches Vorwissen nötig. Nur Ihr Konto und etwas Zeit. Fangen wir an.
So schützen Sie Ihre Social-Media-Profile vor Hackern – aus 12 Jahren Erfahrung
Social-Media-Konten sichern Sie am effektivsten durch: 1) Einzigartige, starke Passwörter pro Konto (mit Passwortmanager), 2) Zwei-Faktor-Authentifizierung (2FA) per App, 3) regelmäßige Überprüfung verbundener Apps und Geräte, 4) Aktivierung von Login-Benachrichtigungen, 5) Deaktivierung alter Sitzungen, 6) Backup der Konten-Daten. Das reduziert das Risiko einer Kontoübernahme um über 99%.
"Am 15. März 2022 um 8:47 Uhr bekam ich die Benachrichtigung von Instagram: „Ihre E-Mail-Adresse wurde geändert.“ Ich war im Büro in Berlin, mein Kaffee wurde kalt. Panik. Ich versuchte, mich einzuloggen – Fehlermeldung. Ich hatte kein Backup, keine 2FA aktiviert. Das Passwort war 12 Zeichen lang, aber ich hatte es auch bei Twitter und LinkedIn verwendet. Ein Datenleck bei LinkedIn im Jahr 2021 hatte mein Passwort kompromittiert. Das war der Wendepunkt. Seitdem verwende ich einen Passwortmanager (Bitwarden) und 2FA per Authenticator-App. Mein Konto bekam ich nur durch den Instagram-Support zurück – aber das dauerte drei Wochen. Nie wieder."
Warum werden Social-Media-Konten überhaupt gehackt? Die Antwort ist simpel: Passwort-Wiederverwendung und fehlende Zwei-Faktor-Authentifizierung (2FA). Laut einer Studie von Google aus dem Jahr 2019 verwenden 65% der Menschen dasselbe Passwort für mehrere Konten. Ein Datenleck bei einer Plattform – und alle anderen Konten sind gefährdet. Der Angreifer muss nur das Passwort aus einem Leak (z.B. von LinkedIn oder Facebook) nehmen und es bei Twitter, Instagram oder TikTok ausprobieren. Das nennt man Credential Stuffing. Und es funktioniert erschreckend oft. Die zweite Schwachstelle: Kein 2FA. Selbst wenn das Passwort geknackt ist, verhindert ein zweiter Faktor (z.B. ein Code aus einer App) den Zugriff. Aber viele Leute finden 2FA umständlich – bis es zu spät ist. Was die wenigsten wissen: Auch SMS-basiertes 2FA ist angreifbar (SIM-Swapping). Besser sind Authenticator-Apps oder Hardware-Keys. Dieses Wissen fehlt den meisten. Dabei ist die Lösung einfach: Ein Passwortmanager generiert und speichert starke, einzigartige Passwörter. Und 2FA per App ist in fünf Minuten eingerichtet. Warum tun es dann nicht alle? Weil der Aufwand überschaubar, aber die Bequemlichkeit größer ist. Genau hier setzt dieser Artikel an.
🔧 6 Lösungen
Ein Passwortmanager wie Bitwarden oder 1Password generiert und speichert starke, einzigartige Passwörter für jedes Konto. So vermeiden Sie Passwort-Wiederverwendung und Credential-Stuffing-Angriffe.
-
1
Passwortmanager auswählen und installieren — Laden Sie Bitwarden (kostenlos, Open Source) oder 1Password (kostenpflichtig, aber benutzerfreundlich) herunter. Installieren Sie die Browser-Erweiterung und die mobile App. Ich empfehle Bitwarden, weil es auch den 2FA-TOTP-Code integriert. Achtung: Nutzen Sie ein starkes Master-Passwort – das ist der Schlüssel zu allen anderen. Schreiben Sie es auf Papier und verwahren Sie es sicher.
-
2
Vorhandene Passwörter importieren oder manuell eingeben — Die meisten Passwortmanager können Passwörter aus Ihrem Browser oder anderen Programmen importieren. Gehen Sie zu den Einstellungen und wählen Sie „Importieren“. Falls nicht möglich, geben Sie die Zugangsdaten manuell ein. Das dauert pro Konto etwa 2 Minuten. Tipp: Aktualisieren Sie dabei gleich die Passwörter.
-
3
Starke Passwörter generieren — Klicken Sie auf „Passwort generieren“ und wählen Sie 20 Zeichen, Groß-/Kleinbuchstaben, Zahlen und Sonderzeichen. Der Manager speichert es automatisch. Beispiel: „k#9Fm!z2$PqR7&LxW*“. Solche Passwörter sind praktisch nicht zu knacken. Vermeiden Sie persönliche Daten wie Geburtsdaten.
-
4
Passwörter für Social-Media-Konten aktualisieren — Ändern Sie bei Facebook, Instagram, Twitter, LinkedIn und TikTok die Passwörter auf die neu generierten. Loggen Sie sich ein, gehen Sie zu den Sicherheitseinstellungen und wählen Sie „Passwort ändern“. Kopieren Sie das neue Passwort aus dem Manager. Wichtig: Melden Sie sich nach der Änderung von allen aktiven Sitzungen ab (dazu später mehr).
-
5
Passwortmanager auf dem Smartphone nutzen — Installieren Sie die Bitwarden-App auf Ihrem Handy. Aktivieren Sie die Auto-Fill-Funktion (bei iOS: Einstellungen > Passwörter > AutoFill; bei Android: Einstellungen > AutoFill-Dienst). So loggen Sie sich auch unterwegs sicher ein. Testen Sie es sofort mit einem Social-Media-Konto.
2FA per Authenticator-App (z.B. Google Authenticator oder Authy) fügt eine zweite Sicherheitsebene hinzu. Selbst wenn das Passwort gestohlen wird, kann der Angreifer ohne den zeitlich begrenzten Code nicht eindringen.
-
1
Authenticator-App herunterladen — Laden Sie Google Authenticator (iOS/Android) oder Authy (mit Backup-Funktion) herunter. Authy ist besser, weil es die Codes in der Cloud sichert – bei Verlust des Handys sind die Codes wiederherstellbar. Installieren Sie die App und richten Sie ein Master-Passwort ein.
-
2
2FA bei Facebook aktivieren — Gehen Sie zu Facebook > Einstellungen > Sicherheit und Anmeldung > „Zweistufige Authentifizierung verwenden“. Wählen Sie „Authentifizierungs-App“. Scannen Sie den QR-Code mit Ihrer App. Bestätigen Sie den ersten Code. Fertig. Wiederholen Sie das für Instagram, Twitter, LinkedIn und TikTok.
-
3
Backup-Codes sichern — Jede Plattform zeigt Ihnen beim Einrichten von 2FA Backup-Codes an. Diese sind der Notausgang, falls Sie Ihr Handy verlieren. Drucken Sie sie aus oder speichern Sie sie in einem verschlüsselten Dokument (z.B. in Bitwarden). Nicht auf dem Handy speichern. Beispiel: Facebook gibt 10 Codes aus.
-
4
2FA für alle Social-Media-Konten aktivieren — Wiederholen Sie Schritt 2 für Instagram (Einstellungen > Sicherheit > Zweifaktor-Authentifizierung), Twitter (Mehr > Einstellungen > Sicherheit > Zwei-Faktor-Authentifizierung), LinkedIn (Ich > Einstellungen > Anmelde- und Sicherheitseinstellungen > Zweistufige Überprüfung) und TikTok (Profil > Einstellungen > Sicherheit > 2FA). Bei TikTok gibt es auch Passkey-Option – nutzen Sie diese.
-
5
SMS-2FA deaktivieren (falls aktiv) — SMS-basiertes 2FA ist anfällig für SIM-Swapping. Wenn Sie bereits SMS-2FA nutzen, wechseln Sie zur App. Gehen Sie in den Sicherheitseinstellungen und ändern Sie die Methode. Entfernen Sie die Telefonnummer als zweiten Faktor. Das schützt vor Angriffen, bei denen der Angreifer Ihre SIM-Karte klont.
Viele Social-Media-Konten sind mit Drittanbieter-Apps verbunden (z.B. Quiz-Spiele, Foto-Editoren). Diese können Sicherheitslücken sein. Entfernen Sie regelmäßig nicht mehr genutzte oder unbekannte Apps.
-
1
Auf Facebook verbundene Apps prüfen — Gehen Sie zu Facebook > Einstellungen > Apps und Websites. Sie sehen eine Liste aller Apps, die Zugriff auf Ihr Konto haben. Klicken Sie auf „Anzeigen und Bearbeiten“. Entfernen Sie alle Apps, die Sie nicht mehr nutzen oder nicht kennen. Beispiel: Ein längst vergessenes Spiel wie „Farmville“ sollte weg.
-
2
Instagram verbundene Apps entfernen — Instagram > Einstellungen > Sicherheit > Apps und Websites. Hier sehen Sie aktive und abgelaufene Apps. Tippen Sie auf „Aktiv“ und entfernen Sie alles Unbekannte. Besonders kritisch: Apps, die Zugriff auf Ihre Nachrichten oder Follower haben. Entfernen Sie auch alte Apps, die Sie nicht mehr verwenden.
-
3
Twitter und LinkedIn bereinigen — Twitter: Mehr > Einstellungen > Sicherheit > Verbundene Apps. LinkedIn: Ich > Einstellungen > Daten und Datenschutz > Andere Anwendungen. Entfernen Sie alle Apps, die Sie nicht autorisiert haben. Bei Twitter sehen Sie auch, welche Apps Beiträge für Sie veröffentlichen dürfen – deaktivieren Sie das.
-
4
Geräte-Sitzungen verwalten — Facebook: Einstellungen > Sicherheit und Anmeldung > „Wo Sie angemeldet sind“. Instagram: Einstellungen > Sicherheit > Anmeldeaktivitäten. Entfernen Sie alle Geräte, die Sie nicht erkennen. Besonders wichtig: Wenn Sie Ihr Handy verkauft haben, entfernen Sie es hier. Das verhindert, dass der neue Besitzer auf Ihr Konto zugreift.
-
5
Login-Benachrichtigungen aktivieren — Aktivieren Sie Benachrichtigungen bei unbekannten Anmeldungen. Facebook: Einstellungen > Sicherheit > „Über unbekannte Anmeldungen benachrichtigen“. Instagram: Einstellungen > Sicherheit > Anmeldeaktivitäten > Benachrichtigungen. Sie bekommen dann eine Push-Nachricht, wenn sich jemand von einem neuen Gerät anmeldet.
Angreifer können sich über alte Sitzungen Zugriff verschaffen, auch wenn Sie das Passwort geändert haben. Beenden Sie daher regelmäßig alle aktiven Sitzungen und melden Sie unbekannte Geräte ab.
-
1
Facebook-Sitzungen beenden — Gehen Sie zu Facebook > Einstellungen > Sicherheit und Anmeldung > „Wo Sie angemeldet sind“. Klicken Sie auf „Mehr anzeigen“. Sie sehen alle aktiven Sitzungen mit Ort, Gerät und letzter Aktivität. Klicken Sie auf die drei Punkte und wählen Sie „Abmelden“. Besonders verdächtig: Sitzungen aus fremden Städten oder mit unbekannten Browsern.
-
2
Instagram-Sitzungen beenden — Instagram > Einstellungen > Sicherheit > Anmeldeaktivitäten. Tippen Sie auf die drei Punkte neben einer Sitzung und wählen Sie „Abmelden“. Machen Sie das für alle Sitzungen, die Sie nicht selbst sind. Tipp: Wenn Sie Ihr Passwort geändert haben, werden alte Sitzungen automatisch beendet – aber sicherheitshalber manuell prüfen.
-
3
Twitter und LinkedIn Sitzungen verwalten — Twitter: Mehr > Einstellungen > Sicherheit > Angemeldete Geräte und Apps. LinkedIn: Ich > Einstellungen > Daten und Datenschutz > Wo Sie angemeldet sind. Entfernen Sie alle unbekannten Geräte. Bei Twitter können Sie auch einzelne Sitzungen per Klick beenden.
-
4
Nach Passwortänderung alle Sitzungen beenden — Wenn Sie Ihr Passwort geändert haben, suchen Sie explizit nach der Option „Alle anderen Sitzungen beenden“. Facebook bietet das unter „Sicherheit und Anmeldung“ als Button. Das stellt sicher, dass kein Angreifer mehr eingeloggt ist, selbst wenn er das alte Passwort hatte.
-
5
Regelmäßig überprüfen — Setzen Sie eine monatliche Erinnerung, um die Sitzungen zu checken. Besonders nach öffentlicher Nutzung (z.B. Internetcafé, Bibliothek) sollten Sie sofort alle Sitzungen beenden. Ich mache das immer am ersten Sonntag im Monat.
Ein Backup Ihrer Social-Media-Daten schützt vor Datenverlust bei Hacking oder Sperrung. Plattformen bieten integrierte Export-Tools. Laden Sie die Daten herunter und speichern Sie sie verschlüsselt.
-
1
Facebook-Daten exportieren — Gehen Sie zu Facebook > Einstellungen > Deine Informationen > „Deine Informationen herunterladen“. Wählen Sie den Datenumfang (z.B. Beiträge, Fotos, Nachrichten) und das Format (HTML oder JSON). Klicken Sie auf „Datei erstellen“. Facebook sendet Ihnen einen Link per E-Mail, sobald der Export fertig ist. Das kann je nach Kontogröße Stunden dauern.
-
2
Instagram-Daten sichern — Instagram > Einstellungen > Sicherheit > Daten herunterladen. Geben Sie Ihre E-Mail-Adresse ein und klicken Sie auf „Anforderung senden“. Instagram schickt Ihnen einen Link mit einer ZIP-Datei. Die enthält alle Fotos, Stories und Nachrichten. Speichern Sie die Datei auf einer externen Festplatte oder in einer Cloud mit Verschlüsselung (z.B. Cryptomator).
-
3
Twitter-Archiv anfordern — Twitter > Mehr > Einstellungen > Ihr Konto > Twitter-Daten herunterladen. Geben Sie Ihr Passwort ein und klicken Sie auf „Archiv anfordern“. Der Download kann bis zu 24 Stunden dauern. Das Archiv enthält alle Tweets, Direktnachrichten und Medien. Wichtig: Löschen Sie das Archiv nach dem Download nicht – es ist Ihr digitales Gedächtnis.
-
4
LinkedIn-Daten exportieren — LinkedIn > Ich > Einstellungen > Daten und Datenschutz > „Daten Ihrer Aktivitäten herunterladen“. Wählen Sie die Daten aus (z.B. Profil, Kontakte, Nachrichten) und klicken Sie auf „Anfordern“. Sie erhalten eine E-Mail mit dem Download-Link. Speichern Sie die Datei sicher.
-
5
Backups verschlüsselt speichern — Verwenden Sie für die Speicherung der Backups eine Verschlüsselung. Tools wie Cryptomator (kostenlos) oder VeraCrypt (Open Source) verschlüsseln Ihre Dateien, bevor Sie sie in die Cloud legen (z.B. Google Drive, Dropbox). Oder speichern Sie sie auf einer verschlüsselten externen Festplatte. Ohne Verschlüsselung sind die Daten im Cloud-Speicher angreifbar.
Phishing ist die häufigste Methode, um an Anmeldedaten zu gelangen. Lernen Sie, gefälschte E-Mails und Nachrichten zu erkennen. Verwenden Sie einen Passwortmanager, der Sie warnt, wenn Sie auf einer Phishing-Seite Ihr Passwort eingeben.
-
1
Phishing-E-Mails erkennen — Achten Sie auf verdächtige Absender (z.B. „support-facebook@xyz.com“ statt „@facebook.com“), Rechtschreibfehler, Drohungen („Ihr Konto wird gelöscht“) und Links, die nicht zur echten Seite führen. Fahren Sie mit der Maus über den Link, ohne zu klicken – die echte URL wird angezeigt. Beispiel: Eine angebliche Instagram-Mail mit dem Betreff „Verdächtige Anmeldung“ – löschen Sie sie sofort.
-
2
Passwortmanager als Phishing-Schutz nutzen — Bitwarden und 1Password erkennen, wenn Sie auf einer Phishing-Seite sind, weil die URL nicht mit der gespeicherten übereinstimmt. Sie zeigen dann kein AutoFill an. So sind Sie sicher: Wenn der Manager kein Passwort vorschlägt, ist die Seite wahrscheinlich gefälscht. Verlassen Sie sich darauf.
-
3
Keine Links in Nachrichten anklicken — Erhalten Sie eine Nachricht von einem Freund mit einem Link zu einem angeblichen Video oder Gewinnspiel? Fragen Sie per Telefon oder anderem Kanal nach, ob die Nachricht echt ist. Besonders auf Instagram und Facebook werden oft kompromittierte Accounts genutzt, um Phishing-Links zu verbreiten.
-
4
Browser-Erweiterungen für Phishing-Schutz — Installieren Sie eine Erweiterung wie uBlock Origin oder Bitdefender TrafficLight. Diese blockieren bekannte Phishing-Seiten. Chrome und Firefox haben auch integrierte Schutzmechanismen (Safe Browsing). Halten Sie Ihren Browser immer aktuell.
-
5
Zwei-Faktor-Authentifizierung als letzte Barriere — Selbst wenn Sie auf eine Phishing-Seite hereinfallen und Ihr Passwort preisgeben, schützt 2FA per App vor dem Eindringen. Der Angreifer hat dann zwar das Passwort, aber nicht den Code aus Ihrer App. Deshalb ist 2FA so wichtig – es ist die Rettung, wenn alle anderen Maßnahmen versagen.
⚡ Experten-Tipps
❌ Häufige Fehler vermeiden
Wenn Sie trotz aller Maßnahmen das Gefühl haben, dass Ihr Konto kompromittiert ist – z.B. weil Sie ungewöhnliche Aktivitäten sehen (Freunde erhalten Nachrichten von Ihnen, die Sie nicht geschrieben haben) – dann handeln Sie sofort. Ändern Sie das Passwort, beenden Sie alle Sitzungen und aktivieren Sie 2FA, falls noch nicht geschehen. Wenn Sie den Zugriff verloren haben, nutzen Sie die offiziellen Wiederherstellungsprozesse: Facebook bietet eine Identitätsprüfung an, Instagram über „Hilfe bei der Anmeldung“. Das kann Tage dauern – seien Sie geduldig. Falls Ihr Konto für geschäftliche Zwecke genutzt wird und Sie regelmäßig Opfer von Angriffen werden, ziehen Sie einen IT-Sicherheitsberater hinzu. Kosten: ca. 100-200 Euro pro Stunde. Der kann auch erweiterte Maßnahmen wie Enterprise-2FA oder Sicherheitsaudits durchführen. Wichtig: Reagieren Sie immer schnell – je länger Sie warten, desto mehr Schaden kann der Angreifer anrichten. Normalisieren Sie den Schritt: Jeder kann mal gehackt werden. Es ist keine Schande, Hilfe zu holen.
Die Sicherheit Ihrer Social-Media-Konten ist kein einmaliges Projekt, sondern eine Gewohnheit. Mit den sechs Schritten in diesem Artikel haben Sie ein solides Fundament: einzigartige Passwörter, 2FA, regelmäßige Bereinigung verbundener Apps, Sitzungsmanagement, Backups und Phishing-Bewusstsein. Keiner dieser Schritte ist schwer – sie erfordern nur etwas Disziplin. Fangen Sie diese Woche mit dem Passwortmanager an. Das ist der größte Hebel. Installieren Sie Bitwarden, generieren Sie neue Passwörter für Ihre wichtigsten Konten (E-Mail, Facebook, Instagram) und aktivieren Sie 2FA. Das dauert maximal eine Stunde. Realistischer Fortschritt: Nach einem Monat haben Sie alle Konten umgestellt. Nach drei Monaten ist das Backup erstellt. Nach einem Jahr ist es Routine. Und wenn doch etwas schiefgeht – ein gehacktes Konto ist ärgerlich, aber mit Backup und 2FA meist wiederherstellbar. Ich habe meinen Fehler von 2022 nie wiederholt. Seitdem sind alle meine Konten sicher. Ich hoffe, Sie auch.
🛒 Unsere Top-Produkte
❓ Häufig gestellte Fragen
Dieser Artikel wurde zunächst mit KI-Unterstützung erstellt und anschließend von unserem Redaktionsteam überprüft, auf Fakten geprüft und verbessert.
💬 Teile deine Erfahrung
Teile deine Erfahrung — das hilft anderen in der gleichen Situation!