Account gehackt und gesperrt — was Sie jetzt tun können
Sie wollen sich einloggen, und es geht nicht mehr. Das Passwort stimmt nicht, die hinterlegte E-Mail-Adresse ist geändert, die Zwei-Faktor-Nummer gehört jemand anderem. Und während Sie noch versuchen, über die Wiederherstellungsfunktion zurückzukommen, postet jemand in Ihrem Namen — Krypto-Werbung, Gewinnspiele, Nachrichten an Ihre Kontakte mit der Bitte um Geld.
Wenige Tage später kommt oft der zweite Schlag: Die Plattform sperrt das Konto — nicht wegen des Hacks, sondern wegen der Inhalte, die der Angreifer hochgeladen hat. Aus Sicht des Systems hat Ihr Konto gegen die Gemeinschaftsstandards verstoßen. Aus Ihrer Sicht sind Sie doppelt bestraft: erst bestohlen, dann gesperrt.
Wenn Ihr Account gehackt und gesperrt wurde, ist die Lage unangenehm, aber nicht aussichtslos. Dieser Beitrag zeigt, welche Ansprüche Sie gegen die Plattform haben, in welcher Reihenfolge Sie vorgehen sollten und warum die ersten Tage über sehr viel entscheiden.
Warum aus einem Hack so oft eine Sperre wird
Die Moderationssysteme der großen Plattformen sehen nicht, wer tippt. Sie sehen ein Konto, das plötzlich in kurzer Zeit auffällige Inhalte verbreitet, massenhaft Nachrichten verschickt oder Anzeigen mit verdächtigen Zielseiten schaltet. Die Reaktion ist automatisiert: Einschränkung, Deaktivierung, in der letzten Stufe die Löschung.
Für Sie hat das eine unangenehme Folge: Sie stehen im Verfahren nicht als Opfer da, sondern als Verstoßender — und müssen das Gegenteil darlegen. Erschwerend kommt hinzu, dass die üblichen Wiederherstellungswege beim gesperrten Konto oft gar nicht mehr angeboten werden. Sie landen in einer Schleife, in der die Plattform Ihnen einen Bestätigungslink an genau die Adresse schickt, die der Angreifer ausgetauscht hat.
Der Reflex ist verständlich — und riskant. Plattformen behandeln neue Profile nach einer Sperre häufig als Umgehung und sperren auch verknüpfte Konten. Aus einem Problem werden so schnell mehrere. Klären Sie zuerst den Status des ursprünglichen Kontos.
Wenn die Lücke bei der Plattform lag
Nicht jede Kontoübernahme geht auf ein schwaches Passwort zurück. Im Frühjahr 2026 wurde bekannt, dass Angreifer ein Support-Werkzeug von Meta selbst zweckentfremdet hatten: Über das KI-gestützte „High Touch Support"-Tool, das eigentlich ausgesperrten Nutzern helfen soll, ließen sich Passwort-Zurücksetzungen für fremde Konten auslösen, weil die angegebene E-Mail-Adresse nicht mit der hinterlegten abgeglichen wurde. Nach Berichten von BleepingComputer und Help Net Security hat Meta den Vorfall bestätigt: rund 20.225 betroffene Instagram-Konten, erste Angriffe am 17. April 2026, Entdeckung am 31. Mai 2026, Benachrichtigung der Betroffenen ab dem 19. Juni 2026.
Warum das für Sie wichtig ist: Beruht die Übernahme auf einer Schwachstelle des Anbieters, geht es nicht mehr allein um die Frage, ob Sie Ihr Konto ausreichend gesichert hatten. Die Plattform muss nach Art. 32 DSGVO angemessene technische und organisatorische Maßnahmen zum Schutz Ihrer Daten treffen. Kommt es dennoch zu einer Datenschutzverletzung mit voraussichtlich hohem Risiko, muss sie die Betroffenen nach Art. 34 DSGVO unverzüglich benachrichtigen; die Aufsichtsbehörde ist nach Art. 33 DSGVO grundsätzlich binnen 72 Stunden zu informieren.
Fragen Sie deshalb aktiv nach, ob Ihr Konto im Rahmen eines gemeldeten Vorfalls kompromittiert wurde. Diese Auskunft dokumentiert zugleich, dass die auffälligen Beiträge nicht von Ihnen stammen.
Welche Ansprüche Sie gegen die Plattform haben
Zugang aus dem Nutzungsvertrag
Zwischen Ihnen und dem Anbieter besteht ein Nutzungsvertrag. Auch wenn er nichts kostet, verpflichtet er die Plattform, Ihnen den vereinbarten Dienst zur Verfügung zu stellen — also Ihnen Zugang zu Ihrem Profil zu geben. Der Bundesgerichtshof hat die Grenzen für Eingriffe in dieses Verhältnis deutlich gezogen:
Plattformbetreiber müssen über die Maßnahme informieren, sie begründen und dem Nutzer die Möglichkeit zur Stellungnahme mit anschließender Neubescheidung geben. Klauseln, die das nicht vorsehen, sind unwirksam.
Übertragen auf Ihren Fall heißt das: Sie können verlangen, dass Ihnen mitgeteilt wird, weshalb das Konto gesperrt wurde, und Sie können dem entgegenhalten, dass die beanstandeten Inhalte von einem Dritten stammen. Diese Stellungnahme muss in die erneute Entscheidung einfließen — sie darf nicht einfach im Automaten verschwinden.
Der DSA-Weg: Begründung und interne Beschwerde
Parallel dazu gilt der Digital Services Act unmittelbar. Nach Art. 17 DSA schulden Ihnen Plattformen eine klare und spezifische Begründung, wenn sie Inhalte entfernen oder den Zugang zum Konto sperren — mit Angabe der Tatsachen, auf die sich die Maßnahme stützt, der herangezogenen Klausel und der Frage, ob automatisiert entschieden wurde. Art. 20 DSA gibt Ihnen anschließend mindestens sechs Monate ab Kenntnis für eine interne Beschwerde, über die nicht allein ein Automat entscheiden darf.
Diesen Weg sollten Sie gehen, auch wenn Sie ihm wenig zutrauen: Er kostet nichts, erzeugt eine dokumentierte Vorgangsnummer und belegt später, dass Sie es zuerst im vorgesehenen Verfahren versucht haben. Schreiben Sie ausdrücklich, dass es sich um eine Kontoübernahme handelt, und nennen Sie den Zeitpunkt, ab dem Sie keinen Zugriff mehr hatten.
Ihre Daten: Auskunft und Kopie nach Art. 15 DSGVO
Unabhängig davon, ob Sie das Konto zurückbekommen, haben Sie nach Art. 15 DSGVO Anspruch auf Auskunft über die zu Ihrer Person verarbeiteten Daten und auf eine Kopie. Das umfasst in der Praxis auch Anmeldeprotokolle — Zeitpunkte, Geräte und IP-Adressen der Zugriffe. Genau daraus lässt sich häufig belegen, dass der Zugriff von einem fremden Gerät erfolgte. Verlangen Sie diese Auskunft früh: Sie ist zugleich die Grundlage dafür, Fotos, Nachrichten und Geschäftskontakte zu retten, falls das Konto am Ende nicht wiederhergestellt wird.
Schadensersatz kommt in Betracht
Ist Ihnen durch die Übernahme ein Schaden entstanden, ist auch Art. 82 DSGVO im Blick zu behalten. Der Bundesgerichtshof hat die Schwelle für den immateriellen Schaden präzisiert:
Bereits der bloße Verlust der Kontrolle über personenbezogene Daten kann einen immateriellen Schaden im Sinne von Art. 82 Abs. 1 DSGVO darstellen; besondere spürbare Beeinträchtigungen oder Ängste müssen dafür nicht zusätzlich nachgewiesen werden.
Das ist keine Garantie für hohe Summen — die dort als angemessen bezeichnete Größenordnung lag im unteren dreistelligen Bereich. Bei gewerblich genutzten Konten wiegt ohnehin der materielle Schaden schwerer: entgangene Aufträge, Wiederherstellungskosten, vom Angreifer verursachte Werbeausgaben.
Was die Gerichte zu gehackten Konten sagen
Es gibt Entscheidungen in beide Richtungen — und der Unterschied zwischen ihnen ist für Ihr Vorgehen die eigentlich wichtige Information.
Meta wurde im Eilverfahren verpflichtet, einem Nutzer wieder Zugang zu seinem übernommenen Facebook-Konto zu verschaffen. Der Angreifer hatte unter anderem die Verschlüsselung für Support-E-Mails aktiviert, sodass ein Zurücksetzen des Passworts nicht mehr möglich war, und kostenpflichtige Anzeigen geschaltet.
Auf der anderen Seite steht eine Entscheidung, die zeigt, woran solche Anträge scheitern können:
Bei einem privat genutzten Konto, das aus Sicherheitsgründen gesperrt wurde, besteht im Eilverfahren kein Anspruch auf Freischaltung, wenn der Plattform die endgültige Löschung bereits untersagt ist. Der besondere Dringlichkeitsgrund muss dargelegt werden und wird nicht vermutet.
Daraus folgt eine sehr praktische Reihenfolge: Die Sicherung gegen die Löschung ist leichter zu erreichen als die sofortige Freischaltung. Wer nur die Wiederherstellung beantragt und die Dringlichkeit nicht konkret begründet, riskiert, mit leeren Händen dazustehen. Wer das Konto zuerst vor der Löschung schützt, hält die Tür offen — auch für ein späteres Hauptsacheverfahren.
Bei beruflich genutzten Konten liegt die Sache anders, weil der drohende Schaden greifbarer ist:
Meta wurde im Wege der einstweiligen Verfügung verpflichtet, die Deaktivierung eines beruflich genutzten Instagram-Kanals zu unterlassen. Die Dringlichkeit wurde bejaht, weil bei andauernder Sperre der dauerhafte Verlust der Follower droht — ein Schaden, der auch durch späteres Obsiegen nicht mehr auszugleichen wäre.
Die ersten Tage: was Sie sofort tun sollten
- Alles dokumentieren. Screenshots von Fehlermeldungen, Sperrhinweisen, geänderten Profildaten und den Beiträgen des Angreifers — jeweils mit sichtbarem Datum und URL. Notieren Sie den letzten Zeitpunkt, zu dem Sie selbst eingeloggt waren.
- Verbundene Konten und Passwörter sichern. Zuerst das E-Mail-Postfach, dann alle Dienste, die dasselbe Passwort nutzen. Prüfen Sie im Postfach die Weiterleitungsregeln — Angreifer richten dort gern still Kopien ein.
- Zahlungsmittel und Werbekonto prüfen. Kreditkarte, PayPal, Lastschrift: Lassen Sie laufende Anzeigenkampagnen stoppen und widersprechen Sie unberechtigten Abbuchungen bei Ihrer Bank. Das ist oft der schnellste Weg, den finanziellen Schaden zu begrenzen.
- Löschungsstopp verlangen. Fordern Sie die Plattform schriftlich auf, das Konto nicht endgültig zu löschen, und begründen Sie das mit der Kontoübernahme. Setzen Sie eine kurze Frist.
- Meldung und Beschwerde einreichen. Den Vorfall über das Formular für kompromittierte Konten melden und zusätzlich die interne Beschwerde nach Art. 20 DSA gegen die Sperre einlegen. Beides mit Vorgangsnummer festhalten.
- Kontakte warnen. Ein kurzer Hinweis über einen anderen Kanal verhindert, dass Freunde oder Kunden auf Geldforderungen in Ihrem Namen hereinfallen — und begrenzt den Schaden, für den Sie sonst erklärungspflichtig werden.
- Strafanzeige erstatten. Das Ausspähen von Daten ist nach § 202a StGB strafbar; wurde in Ihrem Namen Geld gefordert, kommt zusätzlich Betrug in Betracht. Das Aktenzeichen ist zugleich ein nützlicher Beleg gegenüber der Plattform.
Für das Eilverfahren gilt eine ungeschriebene Regel: Wer wochenlang zuwartet, zeigt damit, dass die Sache nicht dringlich ist. Je nach Gericht kann schon ein Zuwarten von etwa einem Monat genügen, um den Antrag scheitern zu lassen. Wenn der Zugang wirtschaftlich wichtig ist, sollte die anwaltliche Prüfung nicht erst nach der dritten erfolglosen Supportanfrage beginnen.
Wenn der Angreifer weiter unter Ihrem Namen auftritt
Manche Fälle enden nicht mit der Sperre. Der Angreifer behält das Konto, tritt weiter als Sie auf und schreibt Ihre Kontakte an — oder er kopiert Profilbild und Namen für ein neues Profil. Rechtlich ist das mehr als eine Vertragsstörung: Es greift in Ihr Namensrecht (§ 12 BGB), Ihr Recht am eigenen Bild (§§ 22, 23 KUG) und Ihr allgemeines Persönlichkeitsrecht ein. Dann laufen zwei Verfahren parallel — der Streit mit der Plattform um Ihr Konto und das Vorgehen gegen das Profil, das in Ihrem Namen auftritt. Bleibt der Täter anonym, kann ein Auskunftsverfahren nach § 21 TDDDG in Betracht kommen.
Ausführlicher dazu: Identitätsmissbrauch im Netz, Fake-Accounts und Impersonation sowie Auskunft über anonyme Täter.
Wenn die Plattform nicht reagiert
Der übliche Verlauf ist bekannt: Formular ausgefüllt, Standardantwort erhalten, Vorgang geschlossen. Erfahrungsgemäß bewegt sich erst dann etwas, wenn ein Fall aus der automatisierten Bearbeitung herausgehoben wird — durch eine anwaltliche Aufforderung mit Fristsetzung und konkreter Rechtsgrundlage, notfalls durch ein Eilverfahren. Für die Erfolgsaussichten zählen dabei zwei nüchterne Punkte: Wie gut ist belegt, dass der Zugriff von außen kam, und wie konkret lässt sich der drohende Schaden beziffern? Beides entscheidet sich in den ersten Tagen, nicht vor Gericht.
Ausführlicher zum Vorgehen bei Sperren: Accountsperrung — Ihre Rechte, Instagram-Account gesperrt und Facebook-Konto gesperrt.
Häufige Fragen
Die Plattform sagt, mein Konto sei wegen Verstößen gesperrt. Was hilft dagegen?
Der entscheidende Punkt ist die zeitliche Zuordnung: Die beanstandeten Inhalte stammen aus einem Zeitraum, in dem Sie keinen Zugriff mehr hatten. Belegen lässt sich das über Anmeldeprotokolle, die Sie nach Art. 15 DSGVO anfordern können, über den Zeitpunkt der geänderten E-Mail-Adresse und über die Meldung des Vorfalls. Auf dieser Grundlage können Sie eine neue Entscheidung verlangen.
Kann ich verhindern, dass mein Konto gelöscht wird?
Das ist in der Praxis der realistischste erste Schritt. Gerichte haben Plattformen im Eilverfahren bereits untersagt, ein streitiges Konto endgültig zu löschen, auch wenn sie die sofortige Freischaltung ablehnten. Verlangen Sie den Löschungsstopp deshalb ausdrücklich und früh — nach einer endgültigen Löschung sind Inhalte und Kontakte in der Regel verloren.
Wer haftet für Anzeigen, die der Angreifer über mein Werbekonto geschaltet hat?
Für Abbuchungen, die auf einer unbefugten Nutzung beruhen, sind Sie grundsätzlich nicht einstandspflichtig; entscheidend ist, wie schnell Sie den Vorfall gemeldet und Ihr Zahlungsmittel gesperrt haben. Melden Sie den Fall parallel bei der Plattform und beim Zahlungsdienstleister und widersprechen Sie den Abbuchungen fristgerecht. Die endgültige Beurteilung hängt vom Einzelfall ab, insbesondere von der Absicherung Ihres Kontos.
Bekomme ich meine Fotos und Nachrichten, wenn das Konto gesperrt bleibt?
Das ist häufig möglich, auch ohne Wiederherstellung des Zugangs. Der Anspruch auf Auskunft und Kopie nach Art. 15 DSGVO und das Recht auf Datenübertragbarkeit nach Art. 20 DSGVO richten sich gegen den Anbieter unabhängig davon, ob das Konto aktiv ist. In der Praxis muss man diesen Anspruch allerdings oft mit Frist und Nachdruck geltend machen.
Lohnt sich das Ganze auch bei einem rein privaten Konto?
Es ist schwieriger, aber nicht aussichtslos. Bei privater Nutzung verneinen Gerichte im Eilverfahren die besondere Dringlichkeit eher, weil sich Kontakte auch anders pflegen lassen. Der Weg über den Löschungsstopp, die interne Beschwerde nach Art. 20 DSA und die Datenauskunft steht Ihnen trotzdem offen — und bei einem Konto mit jahrelangen Erinnerungen ist gerade der Schutz vor der Löschung viel wert.