Das Passwort funktioniert nicht mehr, die hinterlegte E-Mail-Adresse oder Telefonnummer ist geändert, ein zweiter Faktor, den Sie nie eingerichtet haben, ist aktiv, oder das Profil veröffentlicht Inhalte, die nicht von Ihnen stammen. Der erste Schritt ist der Wiederherstellungsweg von Instagram und Facebook; dieser Beitrag ersetzt die Hilfeseiten der Plattform nicht. Er sagt, was in den ersten Stunden zu tun ist und wann rechtliche Instrumente überhaupt ansetzen.
Was zählt in den ersten Stunden?
In den ersten Stunden sichern Sie das E-Mail-Konto, starten die Kontowiederherstellung der Plattform und halten Belege fest; rechtliche Schritte folgen danach. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat für den Fall eine eigene Seite: „Gehackter Account: Der Fremde im eigenen Social-Media-Profil“. Die folgenden Schritte fassen sie zusammen und stellen das E-Mail-Konto voran, weil darüber die Rücksetzung läuft.
- Sichern Sie zuerst das E-Mail-Konto, über das Instagram oder Facebook zurückgesetzt wird: Passwort ändern, alle laufenden Sitzungen beenden, andere Konten mit demselben Passwort ebenfalls ändern.
- Gehen Sie den Wiederherstellungsweg der Plattform — nicht zuerst den Weg zum Anwalt.
- Fertigen Sie Screenshots mit Datum und Uhrzeit von jeder Meldung, jedem automatisierten Hinweis und jedem Bildschirm; bewahren Sie Mails der Plattform mit ihren Kopfzeilen auf.
- Informieren Sie Ihre Kontakte, dass das Profil nicht mehr unter Ihrer Kontrolle steht, und prüfen Sie, ob Einstellungen verändert wurden.
- Melden Sie den Vorfall auch bei Diensten, bei denen Sie sich über das gehackte Konto per Single-Sign-On anmelden.
Das E-Mail-Konto ist der Schlüssel zur Rücksetzung. Wer ein Profil übernimmt, ändert meist zuerst die hinterlegte Adresse; Meta teilt mit, dass in diesem Fall ein Link zum Rückgängigmachen an die bisherige Adresse geht. Ohne die Belege aus Schritt 3 lässt sich später weder der vertragliche Anspruch auf Zugang führen noch eine Anzeige sinnvoll erstatten. Können Sie sich noch einloggen, empfiehlt das BSI, die Zugangsdaten sofort zu ändern und alle laufenden Sitzungen zu beenden. Ist das Passwort bereits geändert, bleibt der Weg über die Plattform.
Wie holen Sie das Konto über die Plattform zurück?
Den schnellsten Weg zum Konto eröffnet die Plattform selbst. Instagram stellt unter instagram.com/hacked die Seite „My Instagram was Hacked“ bereit, Facebook im Hilfebereich „Ein gehacktes Konto wiederherstellen“. Meta bündelt beides im Hub für die Kontowiederherstellung und auf der Seite „Mein Konto wurde gehackt oder jemand verwendet es ohne mein Einverständnis“. Von dort werden Facebook-Nutzer in den Facebook-Hilfebereich und Instagram-Nutzer in den Instagram-Hilfebereich geleitet. Die Plattform fordert in der Regel, das Passwort zu ändern und die letzte Anmeldeaktivität zu prüfen. Sie wird Sie bitten, nachzuweisen, wer Sie sind. Solange dieser Weg läuft, holt ein Anwalt das Konto nicht schneller zurück.
Was schuldet die Plattform aus dem Nutzungsvertrag?
Die Registrierung begründet einen Nutzungsvertrag; Zugang zum Konto ist die geschuldete Leistung — der Hack selbst ist keine Pflichtverletzung der Plattform. Die vertragliche Frage entsteht, sobald Sie sich ausgewiesen und den Zugang zurückverlangt haben: Nach § 241 Abs. 2 BGB kann das Schuldverhältnis jeden Teil „zur Rücksicht auf die Rechte, Rechtsgüter und Interessen des anderen Teils“ verpflichten, und beim Nutzungsvertrag über ein Konto spricht viel dafür, dass dazu die Mitwirkung bei der Rückgabe des Zugangs gehört. Verweigert die Plattform sie oder schweigt sie dauerhaft, kommt eine Pflichtverletzung in Betracht, an die § 280 Abs. 1 Satz 1 BGB den Schadensersatz knüpft.
Metas Nutzungsbedingungen bestimmen: „Dein Passwort nicht weitergeben, anderen keinen Zugriff auf dein Facebook-Konto gewähren und dein Konto nicht an jemand anderen übertragen (ohne unsere Genehmigung).“ Wer die Zugangsdaten für sich behalten hat, kann das bei der Rückforderung des Zugangs klar sagen.
Die Urteile des Bundesgerichtshofs vom 29.07.2021 – III ZR 179/20 und III ZR 192/20 betreffen Löschungen und Sperren durch die Plattform, nicht Hacks. Sie greifen, wenn der Angreifer das Konto missbraucht und die Automatisierung es anschließend sperrt. Dann gilt der vom BGH geforderte Standard, „den betreffenden Nutzer über die Entfernung eines Beitrags zumindest nachträglich und über eine beabsichtigte Sperrung seines Nutzerkontos vorab zu informieren, ihm den Grund dafür mitzuteilen und eine Möglichkeit zur Gegenäußerung einzuräumen, an die sich eine Neubescheidung anschließt.“ Das Landgericht Frankfurt (Oder) hat in einem Verfahren unserer Kanzlei eine Sperre an diesem Maßstab gemessen; es war ein Sperrfall, kein Hackfall.
Was gilt, wenn das gehackte Konto gesperrt wird?
Sobald die Plattform das Konto wegen der Beiträge des Angreifers sperrt oder schließt, liegt eine Plattformentscheidung vor — und damit ein Anspruch auf Begründung, ein kostenloses internes Beschwerdeverfahren für mindestens sechs Monate und der Weg zu einer zertifizierten außergerichtlichen Streitbeilegungsstelle. Der Digital Services Act (Verordnung (EU) 2022/2065) gibt niemandem ein gehacktes Konto zurück. Art. 17, 20 und 21 DSA setzen eine Entscheidung der Plattform voraus; für das lediglich übernommene, nicht beschränkte Konto geben sie nichts. Art. 16 DSA erlaubt unabhängig davon, rechtswidrige Inhalte oder ein nachgemachtes Profil zu melden.
Art. 17 Abs. 1 DSA verlangt eine klare, spezifische Begründung auch für die Aussetzung oder Schließung des Kontos. Art. 20 eröffnet für mindestens sechs Monate ein kostenloses internes Beschwerdeverfahren; Beschwerden sind zeitnah, diskriminierungsfrei und nicht allein automatisiert zu bescheiden. Art. 21 Abs. 1 eröffnet eine zertifizierte Streitbeilegungsstelle. Deren Befund bindet die Parteien nicht. Obsiegt die nutzende Person, trägt die Plattform die Kosten; obsiegt die Plattform, schuldet die nutzende Person nichts, es sei denn, sie hat bösgläubig gehandelt. Das Recht, den Rechtsweg zu beschreiten, bleibt unberührt.
In Deutschland sind nach Angaben des Digital Services Coordinators bei der Bundesnetzagentur zwei Stellen zertifiziert. Für Instagram und Facebook ist die User Rights GmbH (Berlin) die zuständige Stelle; Platform Control (KLN information services UG) nimmt derzeit andere Plattformen an. Auch eine in einem anderen Mitgliedstaat zertifizierte Stelle ist wählbar. Was nach einer Sperre verknüpfter Konten zu tun ist, beschreiben wir in einem eigenen Beitrag; dort gehört der Hack zu den häufigen Auslösern einer Kaskade.
Bringt eine Strafanzeige das Konto zurück?
Eine Strafanzeige richtet sich gegen den Angreifer, verpflichtet die Plattform zu nichts und bringt das Konto fast nie zurück. Die Übernahme erfüllt regelmäßig § 202a StGB (Ausspähen von Daten) und § 303a StGB (Datenveränderung); nutzt der Angreifer das Konto, um Geld von Followern zu erlangen, kommt § 263a Abs. 1 StGB (Computerbetrug) in Betracht.
Anzeigen können Sie über die Onlinewache erstatten. Die Übersicht auf polizei.de nennt Diebstahl, Betrug, Sachbeschädigung oder Hass im Netz und weist hin: „Der auf dieser Seite angebotene Link ist nicht für Notfälle geeignet. In dringenden Fällen wählen Sie bitte die Notrufnummer 110.“ Die Berliner Internetwache nimmt Anzeigen, Hinweise, Fragen, Beschwerden und Nachträge entgegen. Jedes Land hat eine eigene Onlinewache. Nehmen Sie Screenshots mit.
Was tun, wenn sich jemand als Sie ausgibt?
Ansprüche wegen unbefugten Namensgebrauchs richten sich gegen die Person, die sich als Sie ausgibt, nicht gegen die Plattform. Nach § 12 BGB kann der Berechtigte Beseitigung der Beeinträchtigung verlangen; sind weitere Beeinträchtigungen zu besorgen, kann er auf Unterlassung klagen. Schadensersatz kommt über § 823 Abs. 1 BGB in Betracht.
Müssen Unternehmen den Hack der Aufsicht melden?
Es gibt keine Regel, nach der ein gehacktes Konto automatisch der Datenschutzaufsicht zu melden wäre — die Frage müssen Sie anhand dessen beantworten, was in dem Konto lag, und die 72-Stunden-Frist ist der Grund, sie nicht auf nächste Woche zu schieben. Art. 33 Abs. 1 DSGVO verpflichtet den Verantwortlichen, eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden der Aufsichtsbehörde zu melden, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für Rechte und Freiheiten natürlicher Personen. Bei hohem Risiko tritt Art. 34 Abs. 1 DSGVO hinzu.
Verantwortlicher ist nach Art. 4 Nr. 7 DSGVO, wer über Zwecke und Mittel der Verarbeitung entscheidet. Ein rein privates Profil fällt nach Art. 2 Abs. 2 lit. c DSGVO aus der Verordnung. Ein Unternehmen mit Firmenseite oder Shop-Profil und Kundenunterhaltungen im Posteingang entscheidet regelmäßig über diese Verarbeitung.
Wann hilft anwaltliche Hilfe — und wann nicht?
Solange der Wiederherstellungsweg der Plattform läuft und keine Sperre hinzugekommen ist, brauchen die meisten Betroffenen noch keine anwaltliche Hilfe. Anders liegt es bei einem beruflich genutzten Konto mit messbarem Schaden, bei einer Sperre nach dem Hack oder bei Schweigen der Plattform nach der internen Beschwerde.
Ob Sie für das haften, was ein Angreifer von Ihrem Konto aus verschickt hat, beantwortet dieser Beitrag nicht. Deutsche Gerichte unterscheiden zwischen dem Kontoinhaber, der Zugangsdaten nicht hinreichend gesichert hat, und dem, dessen Konto wirklich aufgebrochen wurde; ein Vertrag, den ein Fremder in Ihrem Namen schließt, ist nicht automatisch Ihr Vertrag. Der Bundesgerichtshof hat das in den Urteilen vom 11.03.2009 – I ZR 114/06 („Halzband“) und vom 11.05.2011 – VIII ZR 289/09 für Mitgliedskonten eines Online-Marktplatzes entschieden.
Sollte es um den Gerichtsstand gehen, ist die frühere Annahme, man müsse ohne Weiteres nach Irland, in Bewegung geraten: Im Verfahren von M.M., an dem unsere Kanzlei mitgewirkt hat, hat das Kammergericht Berlin mit Hinweisbeschluss vom 4. März 2026 Metas irische Gerichtsstandsklausel als Konditionenmissbrauch nach Art. 102 AEUV bewertet; Meta hat die Berufung zurückgenommen. Einheitlich ist die Rechtsprechung damit aber nicht: Das Hanseatische Oberlandesgericht Hamburg hat mit Beschluss vom 5. Juni 2026 (15 W 13/26 Kart) einen beruflich genutzten Account auf die irische Klausel verwiesen und die deutschen Gerichte auch für kartellrechtliche Ansprüche für international unzuständig gehalten. Im Eilverfahren zählt daher die Rechtslage im jeweiligen Bezirk.
Häufige Fragen
Kann ein Anwalt das Konto schneller zurückholen als Instagram oder Facebook?
Nein. Der Wiederherstellungsweg der Plattform ist der erste und schnellste Schritt. Anwaltliche Hilfe setzt dort an, wo die Plattform den Zugang verweigert, schweigt oder das Konto zusätzlich sperrt.
Gilt der Digital Services Act schon beim Diebstahl des Kontos?
Nein. Art. 17, 20 und 21 DSA setzen eine Entscheidung der Plattform voraus. Erst wenn Instagram oder Facebook das Konto sperrt, löscht oder den Wiederherstellungsantrag beschieden hat, greifen Begründung, internes Beschwerdeverfahren und Streitbeilegung.
Hafte ich für das, was der Angreifer in meinem Namen geschrieben hat?
Das hängt vom Einzelfall ab und lässt sich hier nicht beantworten. Die Rechtsprechung unterscheidet, ob Zugangsdaten unzureichend gesichert waren oder das Konto wirklich aufgebrochen wurde.
Wohin gehört die Strafanzeige?
Zur Polizei, etwa über die Onlinewache Ihres Landes oder die Berliner Internetwache. Sie richtet sich gegen den Angreifer und holt das Konto in der Regel nicht zurück. Screenshots und Originalmails gehören dazu.
Dieser Beitrag informiert allgemein und ersetzt keine Beratung im Einzelfall. Stand: September 2026.
Wenn der Weg der Plattform nicht weiterführt, erreichen Sie Dr. Moritz Ott, Rechtsanwalt, bei Jüdemann Rechtsanwälte in Berlin.
