Digitaler Selbstschutz – Konten, Daten und Identität schützen

Digitaler Selbstschutz umfasst Maßnahmen, mit denen Privatpersonen ihre Onlinekonten, Geräte, Identitätsdaten und vertrauliche Kommunikation gegen unberechtigte Zugriffe oder missbräuchliche Veröffentlichungen absichern. Dazu gehören die Kontrolle von Kontoberechtigungen, sichere Anmeldemethoden, sparsame Datenfreigaben und ein abgestimmtes Vorgehen nach einem Vorfall. Der Begriff bezeichnet keine einzelne Software und keine gesetzlich festgelegte Schutzstufe.

Je nach Lebenssituation unterscheiden sich die Gefahren. Wer ein öffentliches Profil betreibt, muss andere Angriffsflächen prüfen als eine Person, deren früherer Partner den Smartphone-Code kennt. Ein gestohlenes Passwort, ein gefälschtes Datingprofil und die unerlaubte Weitergabe eines privaten Fotos verlangen unterschiedliche Maßnahmen. Digitaler Selbstschutz beginnt deshalb mit der Frage, welche Informationen oder Zugänge einer konkreten Person schaden könnten, wenn sie in fremde Hände gelangen.

Welche Angriffsflächen sollten Privatpersonen kennen?

Zu einer persönlichen digitalen Identität gehören häufig E-Mail-Postfächer, Messenger, Konten bei Onlinehändlern, soziale Netzwerke, Cloudspeicher und die Geräte, auf denen sie angemeldet sind. Hinzu kommen öffentliche Angaben, etwa ein Profilfoto, berufliche Kontaktdaten, Kommentare, Vereinsmitgliedschaften oder ältere Einträge in Verzeichnissen. Nicht jede dieser Angaben ist geheim oder schutzbedürftig. Durch die Verknüpfung können jedoch zusätzliche Informationen über Gewohnheiten, Kontakte oder Aufenthaltsorte entstehen.

Für eine erste Übersicht ist es hilfreich, zwischen privaten Zugangsdaten, öffentlich auffindbaren Informationen, freigegebenen Daten und bereits erfolgten Veröffentlichungen durch Dritte zu unterscheiden. Die Schutzmöglichkeiten unterscheiden sich: Ein Passwort kann ersetzt werden; ein einmal an Dritte verschicktes Bild lässt sich auf deren Geräten nicht durch eine neue Kontoeinstellung zurückholen.

Eine persönliche Bestandsaufnahme kann bei den Diensten beginnen, über die weitere Zugänge wiederhergestellt werden. Meist ist das wichtigste E-Mail-Postfach betroffen. Wer dieses Konto übernehmen kann, kann möglicherweise Passwortzurücksetzungen für andere Dienste auslösen. Daher verdient die E-Mail-Anmeldung besondere Aufmerksamkeit.

Onlinekonten mit Passwörtern, Passkeys und zusätzlichen Faktoren absichern

Unterschiedliche Passwörter für unterschiedliche Dienste

Wird dasselbe Passwort bei mehreren Diensten verwendet, kann eine Datenpanne bei einem einzelnen Anbieter weitere Konten gefährden. Angreifer testen bekannt gewordene Kombinationen aus E-Mail-Adresse und Passwort auf anderen Anmeldeseiten; dieses Vorgehen heißt Credential Stuffing. Ein eigenes langes Passwort pro Dienst begrenzt diesen Effekt.

Ein Passwortmanager kann einzigartige Passwörter erzeugen und verwalten. Er muss selbst mit einem starken Hauptpasswort und, soweit angeboten, einem zusätzlichen Anmeldefaktor geschützt werden. Die Sicherung und Wiederherstellung des Passwortspeichers sollten vorab geklärt sein. Die Verbraucherzentrale erklärt die Unterschiede zwischen lokal gespeicherten und über eine Cloud synchronisierten Passwortdatenbanken.

Passkeys als Alternative zur Passworteingabe

Passkeys verwenden ein kryptografisches Schlüsselpaar. Der private Teil bleibt auf einem geeigneten Gerät oder in einem dafür vorgesehenen geschützten Speicher. Bei der Anmeldung wird die Berechtigung kryptografisch nachgewiesen. Das Verfahren ist an den jeweiligen Dienst gebunden und erschwert klassische Phishing-Angriffe mit nachgebauten Passwortformularen. Es schützt jedoch nicht gegen jeden Missbrauch, etwa bei einem bereits entsperrten, von Dritten kontrollierten Gerät.

Ob ein Konto Passkeys unterstützt und wie sie wiederhergestellt werden, hängt vom Anbieter ab. Beim Wechsel des Smartphones oder bei Verlust eines Geräts müssen die hinterlegten Wiederherstellungswege erreichbar bleiben. Ein Passkey ersetzt nicht die Prüfung fremder Geräteverknüpfungen und laufender Sitzungen.

Zwei-Faktor-Authentisierung und Wiederherstellungscodes

Bei der Zwei-Faktor-Authentisierung wird neben dem Passwort eine weitere Bestätigung verlangt. Authenticator-Apps, Sicherheitsschlüssel oder gerätegebundene Verfahren können dafür eingesetzt werden. SMS-Codes sind weiterhin verbreitet, können aber bei bestimmten Angriffen auf die Mobilfunknummer problematisch sein. Die eingesetzten Zwei-Faktor-Verfahren bieten einen unterschiedlich starken Schutz gegen Phishing.

Wiederherstellungscodes gehören an einen Ort, der nicht ausschließlich über das geschützte Konto erreichbar ist. Eine Person, die das Smartphone verliert und zugleich nur dort ihren zweiten Faktor gespeichert hat, kann sich sonst selbst aussperren. Es ist sinnvoll, vor einem Notfall einen legitimen Ersatzweg für wichtige Konten zu kennen.

Warum die Sicherheit des E-Mail-Kontos zuerst geprüft werden sollte

Viele Dienste versenden Links zur Passwortzurücksetzung an eine Hauptadresse. Auch Vertragsbestätigungen, Rechnungen, private Nachrichten und Benachrichtigungen über neue Anmeldungen treffen dort ein. Wer Zugriff auf dieses Postfach erhält, kann unter Umständen andere Zugänge verändern oder vertrauliche Informationen einsehen.

Eine Überprüfung betrifft das Passwort, die zusätzlichen Anmeldefaktoren und die Liste aktiver Sitzungen. Bei derselben Prüfung können unbekannte Weiterleitungsregeln, App-Berechtigungen, hinterlegte Wiederherstellungsadressen und gekoppelte Geräte untersucht werden. Eine Änderung des Passworts beendet nicht bei jedem Anbieter automatisch sämtliche bereits autorisierten Zugänge.

Bei einem begründeten Verdacht auf Kontoübernahme sollten Einstellungen möglichst von einem vertrauenswürdigen Gerät aus bearbeitet werden. Die Verbraucherzentrale beschreibt die ersten Schritte bei gehackten Onlinekonten. Welche Sitzung gesperrt und welcher Nachweis zur Wiederherstellung benötigt wird, unterscheidet sich zwischen den Anbietern.

Smartphone und Computer gegen unberechtigten Zugriff schützen

Ein aktuelles Betriebssystem und Sicherheitsupdates können bekannte Schwachstellen schließen. Geräte sollten mit einer sicheren Bildschirmsperre versehen sein. Kurze, leicht erratbare Codes oder gemeinsam verwendete Entsperrnummern erleichtern unerwünschte Zugriffe. Wer das Smartphone regelmäßig unbeaufsichtigt lässt, sollte auch die Vorschau vertraulicher Nachrichten auf dem Sperrbildschirm prüfen.

Installierte Apps benötigen nicht dauerhaft jede Berechtigung. Ein Taschenrechner benötigt gewöhnlich keinen Zugriff auf Kontakte oder Standort. Für Karten- und Navigationsdienste kann die Ortung zur angefragten Funktion gehören. Die Berechtigungen sollten deshalb einzeln nach dem tatsächlichen Nutzungszweck beurteilt werden. Eine unbekannte Berechtigung ist zunächst ein Prüfhinweis und kein Beweis für Schadsoftware.

Bei Smartphones, Tablets und Laptops können verschlüsselte Datensicherungen den Verlust wichtiger Dateien begrenzen. Dabei ist zu prüfen, ob die Wiederherstellung auch ohne das verlorene Gerät funktioniert und ob die Sicherung unberechtigten Personen zugänglich ist. Wer sensible Fotos oder persönliche Dokumente speichert, muss die Zugriffsrechte des gewählten Backup-Dienstes berücksichtigen.

Ein gestohlenes Gerät kann über Herstellerfunktionen unter bestimmten Voraussetzungen gesperrt oder aus der Ferne gelöscht werden. Eine solche Maßnahme kann bei einem laufenden Ermittlungsverfahren Daten und technische Spuren verändern. Bei einem tatsächlichen Sicherheitsvorfall sind daher die Wiederherstellung, die Schadensbegrenzung und eine mögliche Beweissicherung aufeinander abzustimmen.

Private Informationen in sozialen Netzwerken begrenzen

Ein öffentlich sichtbares Profil kann Informationen über Arbeitsplatz, Familienmitglieder, Aufenthaltsorte oder persönliche Beziehungen enthalten. Eine einzelne Angabe wirkt häufig harmlos. Werden Angaben aus mehreren Profilen miteinander verbunden, lässt sich möglicherweise ein genaueres Bild der Lebensumstände erstellen.

Bei sozialen Netzwerken lohnt sich eine Prüfung der Sichtbarkeit von Freundeslisten, Beiträgen, Fotos, Markierungen und alten Posts. Auch die Freigabe des Standorts in Bildern oder Live-Beiträgen sollte bewusst erfolgen. Private Kontoeinstellungen schützen nicht vor der Weitergabe eines Screenshots durch jemanden, dem ein Inhalt bereits gezeigt wurde.

Gefälschte Profile können bekannte Namen und Fotos verwenden. Die Übernahme des echten Accounts ist dafür nicht erforderlich. Wer eine Kopie entdeckt, kann die genaue URL, das Datum und die Täuschungsmerkmale dokumentieren und den vorgesehenen Meldeweg des jeweiligen Dienstes verwenden. Das Verfahren wird im Wiki unter Fake Profile erklärt.

Besondere Vorsicht ist bei Kontoanforderungen vermeintlicher Freunde geboten. Eine Nachricht von einem bekannten Namen beweist nicht, dass tatsächlich die bekannte Person schreibt. Bei ungewöhnlichen Bitten um Geld, Codes oder private Dateien kann eine Nachfrage über einen schon zuvor bekannten zweiten Kommunikationsweg helfen.

Standortfreigaben, geteilte Konten und frühere Beziehungen prüfen

Familienkonten, gemeinsame Fotoalben, Standortdienste und verbundene Smart-Home-Geräte werden oft über längere Zeit genutzt. Nach einer Trennung oder dem Ende einer Wohngemeinschaft können frühere Zugriffsrechte bestehen bleiben. Eine Person kann dadurch Informationen erhalten, obwohl kein unbefugtes Programm auf dem Smartphone installiert ist.

Die passenden Schritte hängen von der persönlichen Situation ab. Eine gewöhnliche, versehentlich vergessene Standortfreigabe lässt sich über die jeweilige Anwendung überprüfen. Bei möglicher Gewalt oder Nachstellung kann das Ausschalten der Freigabe jedoch eine gefährliche Reaktion auslösen. In solchen Fällen sollte die Hilfesuche möglichst über ein sicheres, nicht mitkontrolliertes Gerät erfolgen und mit einer spezialisierten Beratungsstelle abgestimmt werden.

Der Beitrag Stalkerware erklärt technische Untersuchungsmöglichkeiten und die Gefahren einer unvorbereiteten Entfernung von Überwachungssoftware. Digitale Partnerschaftsgewalt behandelt die persönlichen Schutzfragen bei Kontrolle in gegenwärtigen oder früheren Beziehungen.

Phishing, täuschende Anrufe und missbräuchliche Links erkennen

Gefälschte Anmeldeseiten können Passwörter oder Einmalcodes abgreifen. Der Link steht möglicherweise in einer E-Mail, SMS, Direktnachricht oder in einem QR-Code. Der angezeigte Absendername und das Firmenlogo können nachgeahmt sein. Eine korrekte Rechtschreibung ist kein zuverlässiger Echtheitsbeweis.

Bei ungewöhnlichen Sicherheitswarnungen sollte die betreffende Anwendung über ein selbst geöffnetes Lesezeichen oder die bekannte App aufgerufen werden. Dort kann geprüft werden, ob die behauptete Sperre oder Zahlung tatsächlich vorliegt. Wer eine fremde Website über eine Nachricht öffnet, sollte dort keine Zugangsdaten oder Bestätigungscodes eingeben, bevor die Echtheit geklärt ist.

Auch Anrufe mit scheinbar vertrauter Nummer können täuschend sein. Werden Zugangsdaten, TANs oder die Installation einer Fernwartungssoftware gefordert, sollte das Gespräch beendet und die Institution über einen unabhängig ermittelten Kontaktweg angesprochen werden. Das Wiki erläutert die technischen Muster unter Phishing, Vishing und Quishing.

Digitaler Selbstschutz bei öffentlich bekannten Personen

Führungskräfte, Selbstständige, Journalisten oder Personen mit viel öffentlicher Aufmerksamkeit haben mitunter viele beruflich sichtbare Kontaktdaten. Die Trennung zwischen beruflichen und privaten Identitäten kann eine unberechtigte Kontaktaufnahme erschweren. Eine ausschließlich privat verwendete E-Mail-Adresse sollte beispielsweise nicht unbedacht in öffentlichen Autorenprofilen erscheinen.

Öffentlich bekannte Personen können auch von Identitätsnachahmung oder falschen Aussagen betroffen sein. Ein Schutzkonzept sollte deshalb öffentlich auffindbare Profile, häufig genutzte Namensvarianten, vorhandene Verzeichniseinträge und mögliche gefälschte Konten berücksichtigen. Es darf nicht voraussetzen, dass jede negative Berichterstattung ein Angriff ist.

Wer auf Konferenzen spricht oder eigene Inhalte veröffentlicht, kann die Weitergabe von Porträtfotos und beruflichen Daten vertraglich oder durch klare Hinweise eingrenzen. Diese Maßnahmen sind keine absolute Kontrolle über Kopien. Rechtmäßige Presseberichterstattung und öffentliche Informationsinteressen bleiben bei einer späteren Entfernungsprüfung zu beachten.

Eine eigene digitale Bestandsaufnahme durchführen

Bei einer Untersuchung der eigenen Auffindbarkeit lassen sich der Name, frühere Nutzernamen und öffentlich bekannte Kontaktangaben in einer Suchmaschine eingeben. Dabei sollte zwischen eigenen Profilen, fremden Veröffentlichungen und bloß ähnlichen Namen unterschieden werden. Ein Treffer über eine gleichnamige andere Person darf nicht als eigener Datenabfluss gewertet werden.

Wenn private Anschriften oder Telefonnummern auftauchen, kommen Anträge an den Websitebetreiber und unter bestimmten Voraussetzungen an Suchmaschinen infrage. Der Google-Dienst „Suchergebnisse über dich“ kann bei persönlichen Kontaktdaten helfen. Eine Auslistung aus Google löscht die Quelle nicht automatisch.

Bei der Prüfung alter Nutzerkonten können nicht mehr benötigte Freigaben und Dienste identifiziert werden. Eine vollständige Kontolöschung sollte jedoch nicht vorgenommen werden, solange dort wichtige Vertragsunterlagen, Nachweise oder Informationen für einen laufenden Sicherheitsvorfall benötigt werden.

Was bei einer Kontoübernahme zuerst zu tun ist

Wurde ein fremder Zugriff tatsächlich festgestellt, ist der Zugang über einen sicheren Weg wiederherzustellen. Die Reihenfolge kann vom Angriff abhängen: Ein kontrolliertes E-Mail-Postfach hat Auswirkungen auf andere Konten, ein missbrauchter Zahlungsdienst erfordert möglicherweise eine sofortige Meldung beim Zahlungsanbieter.

Hilfreich ist eine Dokumentation der verdächtigen Anmeldungen, automatischen Sicherheitsmeldungen, Veränderungen an Kontoeinstellungen und bereits erkennbaren Handlungen. Danach können Sitzungen beendet, Kennwörter geändert, fremde Wiederherstellungskontakte entfernt und zusätzliche Anmeldeverfahren eingerichtet werden. Bei manchen Diensten muss die Kontowiederherstellung direkt beim Betreiber beantragt werden.

Ist eine tatsächliche Straftat zu vermuten, kann eine Anzeige bei der Polizei sinnvoll sein. Eigenmächtige Versuche, sich in die vermuteten Täterkonten einzuloggen, sind keine rechtmäßige Beweissicherung. Der Beitrag Account-Übernahme behandelt die Untersuchung eines konkreten Vorfalls genauer.

Was tun bei intimen Bildern, Drohungen oder Cyberstalking?

Bei der unbefugten Verbreitung privater Bilder oder bei wiederholten Drohungen kann digitaler Selbstschutz allein nicht genügen. Das weitere Vorgehen umfasst gegebenenfalls Beweissicherung, Meldungen an Plattformen, Maßnahmen gegen den Zugriff auf Konten und Unterstützung durch Polizei oder Beratungsstellen.

Eine drohende Veröffentlichung ist nicht dasselbe wie eine bestätigte Veröffentlichung. Die Dokumentation sollte genau benennen, was tatsächlich geschehen ist. Bei sexualisierten Aufnahmen Minderjähriger dürfen Dateien nicht eigenständig heruntergeladen oder zur Beweissicherung vervielfältigt werden. Für solche Hinweise sind zuständige Stellen einzubeziehen.

Die Polizeiliche Kriminalprävention empfiehlt bei digitaler Gewalt die Sicherung zulässiger Belege, eine Meldung beim jeweiligen Anbieter und gegebenenfalls eine Strafanzeige. In einer akuten Gefahrensituation gilt der Notruf 110. Unterstützungsmöglichkeiten sind im Wiki unter Digitale Opferhilfe erläutert.

Welche rechtlichen Schutzmöglichkeiten ergänzen die Technik?

Die Datenschutz-Grundverordnung gewährt bei Verarbeitung personenbezogener Daten durch einen Verantwortlichen unter bestimmten Voraussetzungen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung und Widerspruch. Sie erteilt jedoch kein allgemeines Recht, jede unangenehme Veröffentlichung zu verbieten. Bei einer Löschung sind die Voraussetzungen und Ausnahmen des Artikels 17 DSGVO zu prüfen.

Das Recht am eigenen Bild richtet sich in Deutschland unter anderem nach § 22 und § 23 KunstUrhG. Für einzelne Formen von Nachstellung oder das unbefugte Ausspähen besonders gesicherter Daten können strafrechtliche Vorschriften einschlägig sein. Die Bewertung verlangt den jeweiligen Sachverhalt; eine auffällige App oder eine negative Nachricht erfüllt für sich keine bestimmte Strafnorm.

Wer eine konkrete rechtswidrige Veröffentlichung entdeckt, kann den jeweiligen Hostingdienst über das Takedown-Verfahren kontaktieren. Die Entfernungsentscheidung ist nicht garantiert. Bei schwerwiegenden Persönlichkeitsrechtsverletzungen kann anwaltliche Beratung erforderlich sein.

Häufige Fragen zum digitalen Selbstschutz

Reicht ein Antivirenprogramm zum Schutz meiner digitalen Identität?

Nein. Eine Sicherheitssoftware kann bestimmte Schadprogramme erkennen. Sie schützt nicht automatisch vor fremd verwendeten Cloudkonten, öffentlich sichtbaren Privatdaten, gefälschten Profilen oder der Weitergabe bereits versendeter Fotos.

Ist ein Passkey sicherer als ein gewöhnliches Passwort?

Ein korrekt eingesetzter Passkey erschwert typische Phishing-Angriffe auf Anmeldedaten, weil die kryptografische Anmeldung an den Dienst gebunden ist. Der Schutz hängt weiterhin vom Gerät, der Wiederherstellung und der Sicherheit bestehender Sitzungen ab.

Wie oft sollte ich meine Passwörter wechseln?

Ein regelmäßiger Wechsel ohne Anlass ist nicht für jedes Konto erforderlich. Wichtig sind eigene starke Passwörter, sichere Anmeldemethoden und ein sofortiger Wechsel bei begründetem Verdacht auf Kompromittierung.

Was mache ich, wenn jemand meinen Standort kennt?

Die Ursache kann eine Standortfreigabe, ein öffentliches Foto, ein verknüpftes Konto oder technische Überwachung sein. Bei möglicher Gewalt sollte zuerst ein sicherer Kommunikationsweg und gegebenenfalls fachkundige Hilfe organisiert werden, bevor Einstellungen verändert werden.

Kann ich private Informationen vollständig aus dem Internet entfernen?

Für einzelne Veröffentlichungen können Lösch- oder Auslistungsverfahren bestehen. Bereits privat weitergeleitete Kopien lassen sich jedoch nicht sicher erfassen. Maßnahmen müssen zwischen der ursprünglichen Fundstelle und Suchmaschinen unterscheiden.

Wo können betroffene Personen Unterstützung erhalten?

Bei einem konkreten digitalen Angriff können sich Betroffene an die Polizei, spezialisierte Beratungsstellen oder qualifizierte IT-Fachkräfte wenden. BRANDPROTECTIONNOW unterstützt im vereinbarten Leistungsumfang bei der Einordnung von Angriffsspuren, der Untersuchung öffentlicher Fundstellen, der Dokumentation von Identitätsmissbrauch und der Koordination passender Schutzschritte. Ein bestimmtes forensisches Ergebnis oder vollständige Verhinderung aller künftigen Angriffe kann nicht zugesagt werden.

Fachquellen