Mir ist passiert, dass eine Freundin ihr Instagram-Konto gehackt bekommen hat und von dort aus haben sie alle ihre Follower kontaktiert und um Geld gebettelt. Ich möchte verstehen, welche Vorsichtsmaßnahmen ich treffen sollte, damit mir dasselbe nicht passiert, besonders weil ich dasselbe Telefon auch für die Arbeit nutze.
Ich stimme der Zwei-Faktor-Authentifizierung zu, aber das ist nur die Grundlage. Was fehlt, ist, den Rest zu schützen: Nutze ein starkes Passwort, das sich von denen deiner anderen Accounts unterscheidet (wenn Gmail dasselbe Passwort wie Instagram hat und jemand Gmail knackt, ist es vorbei), aktiviere Login-Warnungen in den Einstellungen und überprüfe regelmäßig, welche Apps Zugriff auf deinen Account haben. Vor allem, wenn du dasselbe Handy für die Arbeit nutzt: Installiere einen anständigen Passwort-Manager, damit dir nicht in den Sinn kommt, überall die gleiche Kombination zu verwenden, um es dir einfach zu machen - das ist der schnellste Weg, um alles auf einmal gehackt zu bekommen.
Das Wichtigste ist, die Zwei-Faktor-Authentifizierung direkt in den Sicherheitseinstellungen von Instagram zu aktivieren. So kann niemand auf dein Konto zugreifen, auch wenn er dein Passwort kennt, ohne den Code, den du aufs Handy bekommst. Ändere dein Passwort regelmäßig, nimm etwas Kompliziertes, das du nirgendwo anders verwendest (besonders nicht für die Arbeit), und verbinde dich nicht mit öffentlichen WLAN-Netzen, wenn du dich bei Instagram anmeldest. Noch wichtig ist, ab und zu die aktiven Sitzungen in den Einstellungen zu kontrollieren und diejenigen zu löschen, die du nicht erkennst - zum Beispiel wenn du einen Zugriff aus einer Stadt siehst, wo du nie warst. Da du das gleiche Handy für die Arbeit nutzt, halte auch das Betriebssystem aktuell und installiere einen anständigen Antivirus.
Wenn du das gleiche Telefon für Arbeit und Instagram nutzt, erhöht sich das Risiko erheblich, weil ein Angriff auf das Telefon beide gefährden könnte. Neben der Zwei-Faktor-Authentifizierung, die alle empfehlen, überprüfe in den Einstellungen, welche Apps Zugriff auf dein Instagram-Konto haben, und widerrufe den Zugriff von Apps, die du nicht mehr verwendest - oft sind genau da die Sicherheitslücken. Ändere dein Passwort von einem Computer aus, nicht vom Telefon, weil Hacker möglicherweise etwas darauf installiert haben. Und wenn du Gmail für die Kontowiederherstellung nutzt, stelle sicher, dass auch dieses Konto ausreichend geschützt ist, sonst bringt die Instagram-Sicherheit nicht viel.
Ein Aspekt, den noch niemand erwähnt hat, ist die Kontowiederherstellung: Speichere deine Wiederherstellungs-E-Mail und die mit Instagram verknüpfte Telefonnummer an einem sicheren Ort (etwa in einem Passwort-Manager), denn wenn dein Account gehackt wird, könnten die Angreifer diese ändern, um dich auszusperren. Außerdem solltest du regelmäßig unter Einstellungen > Zugang und Sicherheit überprüfen, welche Geräte Zugriff auf deinen Account haben, und diejenigen entfernen, die du nicht erkennst; das vergessen die Leute immer wieder, aber es ist absolut wichtig, besonders wenn dein Handy auch beruflich genutzt wird und daher größeren Risiken ausgesetzt sein könnte.
Wenn du dein Telefon sowohl für die Arbeit als auch für Social Media nutzt, hast du schon überlegt, wie du die Zugriffe trennen kannst? Das ist der kritische Punkt, den alle übersehen.
Was bisher nicht deutlich genug hervorgehoben wurde: Instagram zu schützen, wenn du das Gerät mit sensiblen Accounts teilst (Arbeit, E-Mail-Adresse des Unternehmens usw.), bedeutet auch, regelmäßig aufzuräumen. Überprüfe in den Einstellungen unter "Apps und Websites", welche Apps und Websites Zugriff auf dein Instagram-Profil haben - wenn eine Third-Party-App gehackt wurde, haben sie eine direkte Hintertür. Lösch alles, was du nicht mehr verwendest. Und wenn dein Telefon Android ist, aktivier ab und zu einen Malware-Scan - das ist keine Paranoia angesichts dessen, was deinen Freundinnen passiert ist.
Das andere Wichtige: Dein Wiederherstellungs-Account (normalerweise Gmail oder eine andere E-Mail) muss auch gut geschützt sein, denn wenn die gehackt wird, ist Instagram nebensächlich. Nutze eine Wiederherstellungs-E-Mail, die sich deutlich von der unterscheidet, die du sichtbar mit Social Media verknüpfst, und bewahr sie mit einem komplizierten Passwort in einem Passwort-Manager auf. Wenn du dich von einem neuen Gerät aus bei Instagram anmeldest, fragt dich Instagram zur Bestätigung auf - ignorier diese Benachrichtigungen nicht, überprüf immer, ob du es warst, der sich angemeldet hat. Ich hab mal eine Freundin gesehen, die diese Warnungen systematisch ignoriert hat, weil sie dachte, das wäre Spam - und kurz darauf war ihr Account tatsächlich weg.
Was fast niemand erwähnt, ist die Sache mit verbundenen Geräten und aktiven Sitzungen. Bei Instagram kannst du in die Sicherheitseinstellungen gehen und überprüfen, wo du angemeldet bist - wenn du seltsame Sitzungen aus Städten oder Ländern siehst, die du nicht kennst, kannst du sie sofort abmelden. Da du dasselbe Telefon für die Arbeit nutzt, schau ab und zu nach, ob dort etwas Verdächtiges vor sich geht, denn oft beginnen Angriffe genau mit einer Sitzung, die du nie schließt.
Abgesehen davon, was die anderen über Zwei-Faktor-Authentifizierung gesagt haben (das ist fundamental, da gibt's nichts zu diskutieren), ist der echte praktische Vorteil, die Möglichkeiten eines Hackers einzuschränken, selbst wenn er Zugang bekommt. Deaktiviere die Möglichkeit, E-Mail, Telefonnummer und Passwort ohne zusätzliche Verifizierung in den Einstellungen zu ändern. Dann - und das ist der Teil, den Leute vergessen - geh direkt auf die Website von Meta, nicht über die App, und verknüpfe dich mit einer Backup-E-Mail als Wiederherstellungskontakt. Nicht nur mit der, die du normalerweise verwendest, denn wenn dir die Haupt-E-Mail gehackt wird, bist du erledigt.
Wenn du dasselbe Telefon für die Arbeit nutzt, überleg dir auch, ob du nicht ständig bei Instagram angemeldet bleiben willst. Meld dich an, mach, was du musst, und meld dich ab. Ich weiß, dass das nervig ist, aber es ist ein zusätzlicher Schutz, falls jemand dein Gerät kompromittiert. Und ändere dein Passwort alle paar Monate - nicht, weil es ein Wunderwerk ist (die Leute machen das sowieso für nichts), sondern weil es in deinem speziellen Fall, wo das Telefon Multifunktionsgerät ist, Sinn macht.
Was mir dazu in den Sinn kommt, ist regelmäßig zu überprüfen, welche Apps und Geräte auf deinen Instagram-Account zugreifen können - in dem Bereich „Zugriff und Sicherheit". Manchmal bleiben alte Telefone oder Apps verbunden, die du gar nicht mehr nutzt, und die stellen ein Sicherheitsloch dar. Falls das Telefon, das du für die Arbeit benutzt, je in die falschen Hände geraten sollte oder sich mit Malware infizieren würde, weißt du wenigstens genau, was du abmelden musst, statt es zu spät herauszufinden. Es lohnt sich, dort ab und zu vorbeizuschauen, vor allem nachdem du dich von einem neuen Gerät aus angemeldet hast.
Was dir niemand erzählen wird: Zwei-Faktor-Authentifizierung löst nur die Hälfte des Problems. Die andere Hälfte ist, dass dein Telefon selbst kompromittiert sein könnte, und wenn du dasselbe Gerät für die Arbeit nutzt, kann der Schaden viel größer sein als nur ein gehacktes Instagram-Konto. Ich habe das bei jemandem erlebt, den ich kenne: Er hatte eine App aus einer dubiosen Quelle heruntergeladen, die Malware gab ihm Zugriff auf alles, vom Email bis zum Banking. Instagram war der kleinere Teil der Katastrophe.
Was du wirklich brauchst, ist eine mentale Trennung der Sicherheitsebenen. Du fängst mit Zwei-Faktor-Authentifizierung auf Instagram an, ja, aber dann verbindest du das Konto mit einer Email, die du nur dafür nutzt (nicht deine Arbeits-Email). Benutz einen anständigen Passwort-Manager (Bitwarden, 1Password, wie du willst) um ein langes, zufälliges Passwort zu generieren, das du dir nie merken musst. Der Passwort-Manager selbst muss mit einem starken Master-Passwort geschützt werden und auch das solltest du an einem sicheren physischen Ort aufbewahren.
Die dritte Ebene ist dein Telefon: Lade keine Apps aus fragwürdigen Quellen herunter, aktiviere automatische Updates, überprüfe ab und zu die Berechtigungen, die du Apps gibst (Instagram braucht keinen Zugriff auf dein Medizin-Archiv, zum Beispiel). Wenn du wirklich dasselbe Telefon für wichtige Arbeit nutzt, erwäge, die sensiblen Arbeitsdaten getrennt zu halten, vielleicht mit einem zweiten Account auf dem Gerät, falls dein OS das erlaubt. Und bewahr irgendwo (aufgeschrieben auf Papier, in einem Vault) die Email und die Wiederherstellungsnummer auf, die mit Instagram verknüpft sind, so dass du dein Konto zurückbekommen kannst, wenn es gehackt wird, ohne Meta erklären zu müssen, dass du wirklich du bist.
Das, was mich in deinem Fall am meisten beunruhigen würde, ist, dass jemand Zugriff auf deine Haupt-E-Mail-Adresse bekommt, denn von dort aus kann man das Instagram-Passwort zurücksetzen, ohne mal das Telefon zu haben. Überprüf, ob bei deiner Email die Zwei-Faktor-Authentifizierung aktiviert ist, und nutze wenn möglich eine App wie Google Authenticator oder Authy statt SMS-Codes (SMS sind anfälliger für Angriffe). Es ist eine Schutzschicht, die viele überspringen, aber die macht wirklich den Unterschied.
Ich selbst hatte Angst vor etwas Ähnlichem und musste eine Art Sicherheits-Audit machen, da ich mein Handy für alles nutze. Der Punkt, der mir am wenigsten behandelt wird, ist das Instagram-Passwort: es muss komplett anders sein als dein Gmail-Passwort, dein Work-Email-Passwort und jedes andere Service-Passwort. Wenn jemand Zugriff auf Gmail bekommt (vielleicht übers Handy), kann er von dort aus die Passwort-Wiederherstellung von Instagram kontrollieren und dann bist du dran. Nutze einen Password Manager wie Bitwarden oder 1Password, ehrlich gesagt, denn sich 50 starke Passwörter zu merken ist nicht machbar.
Dann ist da noch das Thema Handy, das zwischen Arbeit und Privatleben geteilt wird. Das echte Risiko ist nicht wirklich Instagram selbst, sondern dass eine Malware oder eine bösartige App deine SMS für die Zwei-Faktor-Authentifizierungscodes auslesen könnte. Wenn möglich, aktiviere die App-basierte Authentifizierung (Google Authenticator oder Authy) statt SMS: die Codes bleiben lokal in der App und gehen nicht über Nachrichten. Wenn du SMS nutzen musst, weil es die einzige Option ist, achte zumindest darauf, welchen Apps du Berechtigungen gibst, und lade nur vom offiziellen Play Store oder App Store herunter, nie APK-Dateien von irgendwelchen Random-Seiten.
Das letzte Detail: schau dir regelmäßig an, welche Geräte Zugriff auf deinen Instagram-Account haben (Einstellungen > Zugang und Sicherheit > Anmeldungen). Wenn du Sessions von Geräten siehst, die du nicht kennst, melde dich da sofort ab. Und Backups deiner Wiederherstellungsinformationen - ich hab das schon erwähnt bekommen, aber speicher sie wirklich offline oder in einem Password Manager, nicht als zufällige Screenshots auf deinem Handy.
Hast du schon mal überprüft, welche Apps Zugriff auf deinen Instagram-Account haben? Das ist ein Punkt, den niemand erwähnt, aber er ist wirklich wichtig: Geh in die Instagram-Einstellungen, suche nach „Apps und Websites" oder „Verbundene Anwendungen", und deaktiviere den Zugriff auf jede App, die du nicht mehr nutzt oder der du nicht traust. Eine bösartige oder kompromittierte App kann deine Zugangsdaten stehlen, ohne dass du es merkst, besonders wenn du dein Telefon für die Arbeit nutzt. Kombiniere das mit Zwei-Faktor-Authentifizierung und einem einzigartigen Passwort für Instagram (nicht dasselbe wie bei Gmail oder anderen Accounts), und du reduzierst das Risiko erheblich.
Anmeldenzum Beantworten.
