E-Mail-Konto schützen: die vollständige Anleitung

Aktualisiert am 23. September 2026

Ihre E-Mail-Adresse ist der Schlüssel zu fast allen Ihren Konten: Wer sie kontrolliert, kann Ihre anderen Passwörter zurücksetzen. Sie zu schützen, ist die lohnendste Sicherheitsmaßnahme überhaupt.

Warum das Postfach Ziel Nummer eins ist

Der Link „Passwort vergessen“ der meisten Websites schickt eine Nachricht an Ihre E-Mail-Adresse. Wer in Ihr Postfach gelangt, kann also in wenigen Minuten Ihre sozialen Netzwerke, Ihre Onlineshops und manchmal noch sensiblere Dienste übernehmen. Dort findet er außerdem Rechnungen, eingescannte Ausweise und private Unterhaltungen.

1. Ein langes, einzigartiges Passwort

Einzigartig: nirgendwo sonst verwendet. Das ist die wichtigste Regel, denn Datenlecks anderer Websites werden genutzt, um dieselben Zugangsdaten bei Ihrem Postfach auszuprobieren.
Lang: mindestens 16 zufällige Zeichen oder ein Satz aus mehreren unzusammenhängenden Wörtern.
In einem Passwortmanager gespeichert, etwa dem des Browsers oder Telefons, statt in einer Datei oder einem Notizbuch.

2. Zwei-Faktor-Authentifizierung ist Pflicht

Die Zwei-Faktor-Authentifizierung fügt dem Passwort einen zweiten Nachweis hinzu. Selbst wenn Ihr Passwort gestohlen wird, reicht es nicht mehr.

Methode	Schutzniveau	Hinweis
Passkey	Sehr hoch	Phishing-resistent, an Ihr Gerät gebunden
Physischer Sicherheitsschlüssel	Sehr hoch	Phishing-resistent, ideal für kritische Konten
Authenticator-App	Hoch	Codes werden offline auf dem Telefon erzeugt
Bestätigung auf dem Telefon	Hoch	Lehnen Sie jede Anfrage ab, die Sie nicht ausgelöst haben
SMS-Code	Mittel	Besser als nichts, aber anfällig für SIM-Swapping

Passkeys, die große E-Mail-Anbieter inzwischen anbieten, ersetzen das Passwort durch eine Prüfung auf Ihrem Gerät (Fingerabdruck, Gesicht, Geräte-PIN) und lassen sich nicht auf einer gefälschten Website eintippen.

3. Aktuelle Wiederherstellungsoptionen

Prüfen Sie in den Sicherheitseinstellungen:

die Telefonnummer und die Wiederherstellungsadresse: Sie müssen aktuell sein und Ihnen gehören;
die Backup-Codes der Zwei-Faktor-Authentifizierung: ausdrucken oder im Passwortmanager ablegen;
die Sicherheitsfragen, falls der Dienst sie noch nutzt: Die Antworten dürfen nicht in Ihren sozialen Netzwerken zu finden sein.

4. Zugriffe regelmäßig kontrollieren

Einmal im Quartal gehen Sie diese Einstellungsseiten durch:

Verbundene Geräte und Sitzungen: Melden Sie alles ab, was Sie nicht kennen.
Apps von Drittanbietern mit Zugriff auf das Konto: Entfernen Sie die, die Sie nicht mehr nutzen.
Weiterleitungsregeln und Filter: entscheidend. Ein unauffälliger Angreifer legt oft eine Regel an, die Ihre Mails an seine Adresse weiterleitet oder Sicherheitswarnungen löscht. Löschen Sie jede Regel, die nicht von Ihnen stammt.
Letzte Aktivität: Die meisten E-Mail-Dienste listen die letzten Anmeldungen mit Land auf.

5. Gewohnheiten im Alltag

Geben Sie Ihr Passwort nie ein, nachdem Sie einen Link in einer E-Mail angeklickt haben: Öffnen Sie Website oder App selbst.
Lehnen Sie Bestätigungsanfragen ab, die Sie nicht ausgelöst haben: Wiederholen sie sich, kennt meist jemand Ihr Passwort.
Halten Sie Telefon, Computer und Browser aktuell.
Meiden Sie öffentliche Computer für Ihre E-Mails; wenn es sein muss, melden Sie sich ab und speichern Sie nichts.
Geben Sie Ihre Adresse seltener heraus: Eine Wegwerf-Adresse für einmalige Anmeldungen verringert Datenlecks und gezieltes Phishing.

Anzeichen für ein gehacktes Postfach

Ihre Kontakte erhalten Nachrichten, die Sie nicht gesendet haben.
Nachrichten sind gelesen, verschoben oder gelöscht, ohne dass Sie es waren.
Sie erhalten unerwartete Warnungen zu Anmeldungen oder Passwortänderungen.
Es kommen Passwort-Zurücksetzungen anderer Websites, die Sie nicht angefordert haben.

Was tun nach einem Hack

Ändern Sie das Passwort von einem sauberen Gerät aus und melden Sie alle anderen Sitzungen ab.
Aktivieren oder erneuern Sie die Zwei-Faktor-Authentifizierung und erzeugen Sie neue Backup-Codes.
Löschen Sie verdächtige Weiterleitungsregeln und Filter und prüfen Sie Wiederherstellungsadresse und -nummer.
Nutzen Sie das offizielle Wiederherstellungsverfahren Ihres Anbieters, wenn Sie sich nicht mehr anmelden können.
Ändern Sie die Passwörter wichtiger Konten, die mit dieser Adresse verknüpft sind, zuerst Bank und Onlineshopping.
Warnen Sie Ihre Kontakte, dass sie in Ihrem Namen betrügerische Nachrichten erhalten haben könnten.

Wegwerf-Adresse erhalten

Häufige Fragen

Reicht die Zwei-Faktor-Authentifizierung per SMS?

Sie stoppt bereits die große Mehrheit der Angriffe, aber ein Angreifer kann eine Telefonnummer übernehmen oder Sie dazu bringen, ihm den Code zu geben. Eine Authenticator-App oder ein Passkey schützen deutlich besser.

Sollte ich mein E-Mail-Passwort regelmäßig ändern?

Aktuelle Empfehlungen, auch vom BSI, setzen auf ein langes, einzigartiges Passwort mit Zwei-Faktor-Authentifizierung, das nur bei Verdacht auf Diebstahl oder Leck geändert wird. Häufige Wechsel führen oft zu schwächeren Passwörtern.

Wie erfahre ich, ob meine Adresse in einem Datenleck war?

Dienste wie Have I Been Pwned oder der Identity Leak Checker des Hasso-Plattner-Instituts zeigen, ob Ihre Adresse in bekannten Leaks vorkommt. Die Passwortmanager der Browser warnen außerdem vor kompromittierten Passwörtern.