Abo-Konto gehackt? So sicherst du Zugang und Zahlungen

Verdächtige Anmeldungen, plötzlich geänderte Zugangsdaten oder unbekannte Abo-Abbuchungen verlangen schnelles Handeln. Sichere zuerst dein E-Mail- oder Hauptkonto, melde fremde Sitzungen ab und aktiviere die Zwei-Faktor-Authentisierung. Prüfe anschließend Zahlungen und melde unbekannte Belastungen unverzüglich dem zuständigen Zahlungsdienstleister.

Eine App zu deinstallieren oder ein Profil zu löschen, stoppt ein Abo nicht automatisch. Entscheidend ist, wer das Abo abrechnet: der Anbieter selbst, Apple, Google Play oder beispielsweise PayPal.

Sofortmaßnahmen in der richtigen Reihenfolge

1. Betroffene Konten eingrenzen

Prüfe Sicherheitsmeldungen, Bestätigungs-E-Mails und die Anmeldehistorie, sofern der Dienst sie anzeigt. Kläre, ob nur ein Streaming- oder App-Konto betroffen ist oder auch das zugehörige E-Mail-Konto.

Das E-Mail-Konto hat Vorrang: Wer darauf zugreifen kann, kann bei vielen Diensten Passwörter zurücksetzen. Änderst du dort das Passwort, verwende ein starkes, einzigartiges Kennwort.

2. Weitere gefährdete Zugänge absichern

Ändere anschließend die Passwörter aller Konten, bei denen du dasselbe Kennwort oder dieselbe kompromittierte Wiederherstellungsadresse verwendet hast. Prüfe außerdem:

• hinterlegte E-Mail-Adressen und Telefonnummern,
• automatische E-Mail-Weiterleitungen,
• Wiederherstellungsoptionen,
• verknüpfte Anwendungen und Single-Sign-On-Zugänge,
• unbekannte Geräte und aktive Sitzungen.

Beende alle aktiven Sitzungen, wenn diese Funktion verfügbar ist. Dadurch verlieren bereits angemeldete fremde Geräte ihren Zugang.

3. Zwei-Faktor-Authentisierung einschalten

Aktiviere die Zwei-Faktor-Authentisierung, wenn der Dienst sie anbietet. Dann genügt das Passwort allein nicht für eine Anmeldung. Das BSI empfiehlt, diese Schutzfunktion nicht zu deaktivieren.

Bewahre Wiederherstellungscodes sicher und getrennt vom Konto auf. Prüfe zugleich, ob Angreifer bereits eine fremde Telefonnummer oder Authentisierungsmethode eingetragen haben.

Unbekannte Abbuchungen richtig melden

Kontrolliere Bankkonto, Kreditkarte, PayPal sowie die Kaufverläufe deiner App Stores. Eine unbekannte Belastung kann von einem übernommenen Konto stammen, aber auch zu einem früher eingerichteten Abo oder Einzugsverfahren gehören.

Informiere bei einem unbekannten Zahlungsvorgang unverzüglich deinen Zahlungsdienstleister. Sichere vorher oder parallel die wichtigsten Nachweise:

• Betrag, Datum und Buchungstext,
• Screenshots der Belastung und verdächtiger Kontoaktivitäten,
• E-Mails über Anmeldungen, Käufe oder geänderte Zugangsdaten,
• Zeitpunkt deiner Meldung an Anbieter und Zahlungsdienstleister.

Direktes Abo, Apple, Google Play oder PayPal?

Der Rechnungssteller bestimmt den Melde-, Kündigungs- und Erstattungsweg:

Abrechnung	Was du tun solltest
Direkt beim Dienst	Informiere den Anbieter, sichere das Konto und kündige das Abo über dessen vorgesehenen Weg. Melde die unbekannte Zahlung zusätzlich deiner Bank oder deinem Kartenzahlungsdienstleister.
Apple	Kündige von Apple abgerechnete Abos in den Abonnementeinstellungen oder über account.apple.com. Erstattungen beantragst du über reportaproblem.apple.com. Rechnet ein anderes Unternehmen ab, ist dieses zuständig.
Google Play	Verwalte und kündige das Abo in Google Play. Nicht autorisierte Google-Play-Belastungen kannst du innerhalb von 120 Tagen melden.
PayPal	Melde eine nicht genehmigte Transaktion sofort über die Konfliktlösungen. Wiederkehrende Einzugsverfahren stoppst du separat in den PayPal-Einstellungen unter „Zahlungen“.

Welche Erstattungs- und Haftungsregeln gelten in Deutschland?

Bei einem nicht autorisierten Zahlungsvorgang muss der Zahlungsdienstleister den Betrag grundsätzlich unverzüglich erstatten und ein belastetes Zahlungskonto wieder auf den Stand ohne die unberechtigte Buchung bringen. Das muss spätestens bis zum Ende des folgenden Geschäftstags nach deiner Anzeige geschehen.

Du musst den Zahlungsdienstleister unverzüglich informieren, sobald du den Vorgang feststellst. Ansprüche sind grundsätzlich ausgeschlossen, wenn du die Belastung nicht spätestens innerhalb von 13 Monaten meldest.

Bei missbräuchlicher Verwendung eines Zahlungsinstruments kann deine Haftung vor der Meldung grundsätzlich bis zu 50 Euro betragen. Bei betrügerischem Handeln sowie vorsätzlicher oder grob fahrlässiger Pflichtverletzung kann eine vollständige Haftung entstehen. Nach der Verlust- oder Missbrauchsanzeige haftest du grundsätzlich nicht für spätere Schäden, außer du handelst betrügerisch.

Diese gesetzlichen Angaben beziehen sich auf Deutschland. Für Österreich und die Schweiz sowie für Sonderregeln einzelner Banken oder Kartennetzwerke können andere Verfahren maßgeblich sein.

Warum Profil löschen oder App deinstallieren nicht reicht

Kontozugang, Abonnement und Zahlungsfreigabe sind getrennte Ebenen. Wenn du nur eine App löschst, bleibt ein Google-Play-Abo bestehen. Von Apple abgerechnete Abos musst du in den Apple-Abonnementeinstellungen kündigen. Ein PayPal-Einzugsverfahren stoppst du separat in den Zahlungseinstellungen.

Auch das Ändern oder Entfernen eines Profils beendet deshalb nicht automatisch den zugrunde liegenden Vertrag oder die wiederkehrende Zahlung. Kündige immer beim tatsächlichen Rechnungssteller und hebe gegebenenfalls die Zahlungsfreigabe gesondert auf.

Anbieter und Behörden informieren

Melde den Vorfall dem betroffenen Dienst. Bei einer Anmeldung über Apple, Google oder einen anderen Single-Sign-On-Anbieter solltest du zusätzlich die damit verbundenen Anwendungen prüfen und gegebenenfalls informieren.

Warne Kontakte, falls über dein Konto betrügerische Nachrichten verschickt worden sein könnten. Bei einer Straftat kannst du Anzeige bei der zuständigen Strafverfolgungsbehörde erstatten. Sichere dafür Screenshots und andere Nachweise, bevor Nachrichten oder Kontodaten verschwinden.

Kontrolle nach dem Notfall

Prüfe in den folgenden Tagen erneut Anmeldeaktivitäten, Wiederherstellungsdaten und Umsätze. Nutze für jedes Konto ein eigenes Passwort und lasse die Zwei-Faktor-Authentisierung eingeschaltet. So begrenzt ein einzelnes kompromittiertes Kennwort nicht sofort den Schutz aller weiteren Abos und Konten.