Wurde Ihr Firmenkonto bei Instagram oder Facebook gehackt, suchen Sie zuerst in Ihrem Postfach nach der Sicherheits-Mail der Plattform: Damit lässt sich eine geänderte E-Mail-Adresse oft rückgängig machen. Klappt das nicht, gehen Sie nur über die offiziellen Hilfeseiten von Instagram und Facebook (beide haben eine eigene Seite für gehackte Konten) und warnen Sie parallel Ihre Kunden. Die Wiederherstellung ist kostenlos – wer dafür Geld verlangt, ist ein Betrüger.
Was muss ich tun, wenn mein Instagram- oder Facebook-Firmenkonto gehackt wurde?
Reihenfolge und Tempo zählen, denn die Täter schreiben häufig sofort Ihre Kontakte an. Laut Watchlist Internet bitten sie zum Beispiel um eine Stimme bei einer Abstimmung oder locken mit einem Gewinnspiel; der Link führt auf eine gefälschte Login-Seite, die Zugangsdaten abgreift. Ihr Notfallplan in sechs Schritten:
- Postfach prüfen und die Änderung der E-Mail-Adresse rückgängig machen.
- Über die offiziellen Seiten von Instagram bzw. Facebook einen Anmeldelink oder Code anfordern.
- Kunden warnen: auf der Website, per Mail oder über einen anderen Kanal.
- Bei Werbe- oder Business-Konto: Zahlungsmittel entfernen und Admins prüfen.
- Wieder drin? Passwort, Sitzungen, verknüpfte Konten und Apps prüfen, Zwei-Faktor einschalten.
- Anzeige bei der Polizei erstatten.
Wie mache ich die Änderung der E-Mail-Adresse rückgängig?
Bei Instagram sucht man nach einer Mail von security@mail.instagram.com, die über die Änderung der E-Mail-Adresse informiert. Darin wählen Sie „Mein Konto sichern“; so beschreibt es die Instagram-Hilfe zu gehackten Profilen (Stand 12. Oktober 2026). Bei Facebook geht die Nachricht mit einem speziellen Link an Ihre bisherige E-Mail-Adresse, über den Sie die Änderung rückgängig machen. Schauen Sie auch im Spam-Ordner nach.
Prüfen Sie vorher, ob die Mail wirklich von der Plattform stammt. Facebook rät ausdrücklich, bei jeder Mail zu prüfen, ob sie wirklich von der Plattform stammt, und gefälschte Nachrichten im Namen von Meta sind laut Watchlist Internet ein typischer Einstieg für Kontodiebstahl. Im Zweifel klicken Sie nicht auf den Link in der Mail, sondern gehen den Weg über die offizielle Hilfeseite im nächsten Abschnitt. Wurde zusätzlich das Passwort geändert und lässt sich die E-Mail-Änderung nicht rückgängig machen, fordern Sie laut Instagram einen Anmeldelink oder Sicherheitscode an.
Wie komme ich zurück in mein gehacktes Konto, und wann brauche ich ein Video-Selfie?
Nutzen Sie ausschließlich die offiziellen Seiten: instagram.com/hacked für Instagram und facebook.com/hacked für Facebook. Bei Facebook führt die Seite Schritt für Schritt durch die Wiederherstellung; am besten nutzen Sie dafür ein Gerät, mit dem Sie sich schon einmal bei Facebook angemeldet haben.
Instagram: Anmeldelink, Code und Support-Anfrage
Tippen Sie auf dem Anmeldebildschirm auf „Passwort vergessen?“, geben Sie Benutzername, E-Mail-Adresse oder Telefonnummer ein und lassen Sie sich einen Anmeldelink per Mail oder SMS schicken. Gelingt das nicht, können Sie über ein Mobilgerät eine Support-Anfrage senden. Geben Sie dort eine sichere E-Mail-Adresse an, auf die nur Sie Zugriff haben, also nicht die gehackte.
Bei einem Konto mit Fotos von Ihnen verlangt Instagram ein Video-Selfie, in dem Sie den Kopf in verschiedene Richtungen drehen. Das Video ist laut Instagram nie öffentlich sichtbar und wird innerhalb von 30 Tagen gelöscht; scheitert die Prüfung, können Sie ein neues Video schicken. Bei einem Konto ohne Fotos von Ihnen, etwa einem reinen Firmenprofil mit Logo, fragt Instagram per automatischer Mail nach der Anmelde-Mailadresse oder -Telefonnummer und dem Gerätetyp bei der Registrierung.
Facebook-Seite: Formular statt Login
Haben Hacker Sie von Ihrer Facebook-Seite ausgesperrt, reichen Sie das Wiederherstellungsformular aus der Facebook-Hilfe zu gehackten Seiten ein. Meta antwortet laut eigener Angabe normalerweise innerhalb eines Tages, manche Prüfungen dauern länger. Ein typischer Ablauf laut Facebook: Jemand fügt sich selbst als Admin hinzu und entfernt anschließend Ihren Zugriff.
Muss ich für die Wiederherstellung bezahlen? Wie erkenne ich falsche Helfer?
Nein. Plattformbetreiber wie Instagram oder Facebook verlangen niemals Geld für die Freischaltung eines Kontos, so die österreichische Plattform onlinesicherheit.gv.at gemeinsam mit Watchlist Internet. Seien Sie deshalb misstrauisch, wenn Ihnen in Kommentaren oder per Nachricht ein „Support“-Profil seine Hilfe gegen Gebühr anbietet oder Ihre Zugangsdaten haben will.
Es gibt auch Betrug ganz ohne Hack: Täter melden ein Profil so lange, bis es gesperrt wird, und fordern danach Geld fürs Entsperren. Ignorieren Sie solche Forderungen und wenden Sie sich nur an die offiziellen Support-Kanäle der Plattform. Ausweise, Codes und Passwörter gehören nie in einen Kommentar oder an ein Profil, das sich als Helfer anbietet.
Wie warne ich meine Kunden nach einem Hack?
Das BSI rät, Kontakte per Nachricht oder am besten persönlich über den Identitätsdiebstahl zu informieren. Für ein Firmenkonto heißt das: Warnen Sie über Kanäle, die Sie selbst kontrollieren, also Website, Newsletter oder Mail, Ihr Google-Unternehmensprofil oder das jeweils andere Social-Media-Konto. Posten Sie über das gehackte Konto selbst nichts, solange es nicht wieder sicher in Ihrer Hand ist. Wie Kunden gefälschte Nachrichten erkennen, erkläre ich ausführlich unter Phishing-Mail erkennen. Als Vorlage für den Warntext:
Achtung: Das Instagram-/Facebook-Konto von [Firmenname] wurde gehackt. Bitte öffnen Sie keine Links aus Nachrichten dieses Kontos, nehmen Sie an keinem Gewinnspiel und keiner Abstimmung teil und geben Sie dort keine Zugangs- oder Zahlungsdaten ein.
Wir arbeiten an der Wiederherstellung und melden uns hier, sobald das Konto wieder sicher ist. Bei Fragen erreichen Sie uns über die Kontaktdaten in unserem Impressum.
Was ist zu tun, wenn mein Business- oder Werbekonto betroffen ist?
Dann geht es auch ums Geld: Täter schalten über gehackte Meta-Werbekonten Anzeigen für ihre Betrugsmaschen, und die Kosten bleiben beim Konto-Inhaber hängen. Das schreibt Watchlist Internet und rät, wenn Sie noch Zugang haben:
- Zahlungsmittel entfernen, damit nichts mehr abgebucht wird.
- Laufende Kampagnen deaktivieren, aber nicht löschen, damit Facebook den Fall prüfen kann.
- Unternehmenseinstellungen, Zugriffsrechte und automatische Regeln im Kampagnenbereich auf Änderungen prüfen.
- Alle Personen mit Zugang zur Unternehmensseite informieren und ihre Passwörter ändern lassen.
Ohne Zugang melden Sie sich über die Facebook-Hilfeseite für gehackte Konten und lassen zusätzlich bei Ihrem Zahlungsdienstleister das hinterlegte Zahlungsmittel sperren. Prüfen Sie nach der Rückholung außerdem Seite und Business-Portfolio auf Änderungen, die Sie nicht zuordnen können.
Meine Faustregel: Jeder Zugang zu Ihrem Firmenkonto ist eine mögliche Hintertür – prüfen Sie deshalb einmal pro Quartal, wer Admin ist, und entfernen Sie jeden, der nicht aktiv damit arbeitet.
Was mache ich, sobald ich wieder im Konto bin?
Jetzt schließen Sie die Lücke, durch die die Täter hereingekommen sind:
- Neues, langes und einmaliges Passwort vergeben (mein Passwort-Generator hilft dabei). Verwenden Sie dasselbe Passwort noch woanders, etwa im E-Mail-Konto, ändern Sie es dort ebenfalls.
- Alle laufenden Sitzungen beenden. Bei Facebook sehen Sie unter „Hier bist du aktuell angemeldet“ unbekannte Geräte und können sie abmelden.
- E-Mail-Adresse und Telefonnummer im Konto prüfen: Täter tauschen sie oft aus, damit Sie keine Warnungen mehr erhalten.
- In der Kontenübersicht unbekannte verknüpfte Konten entfernen und den Zugriff verdächtiger Apps von Drittanbietern widerrufen.
- Admins und Rollen prüfen, unbekannte Personen entfernen.
- Zwei-Faktor-Authentifizierung einschalten. Sie erschwert es Angreifern deutlich, das Konto erneut zu übernehmen; die Anleitung steht unter Zwei-Faktor-Authentifizierung einrichten.
Beobachten Sie das Konto in den nächsten Wochen. Nutzen Sie es außerdem als Login bei anderen Diensten („Single Sign-on“), kontrollieren Sie auch diese Konten.
Wo erstatte ich Anzeige, und was gilt in Österreich?
In Deutschland können Sie den Vorfall online bei der Onlinewache der Polizei Ihres Bundeslands anzeigen. Sichern Sie vorher Screenshots der fremden Nachrichten, der Sicherheits-Mails und etwaiger Abbuchungen.
| Thema | Deutschland | Und in Österreich? |
|---|---|---|
| Anzeige erstatten | Online bei der Onlinewache der Landespolizei | In jeder Polizeidienststelle |
| Hinweise und Hilfe | Empfehlungen für Betroffene beim BSI | Meldestelle für Internetkriminalität im Bundeskriminalamt; sie nimmt laut BK derzeit keine Anzeigen entgegen |
Dieser Beitrag ist keine Rechtsberatung; Stand Oktober 2026.
Kann ich mir bei der Absicherung helfen lassen?
Das gehackte Konto zurückholen kann nur die Plattform selbst. Was ich für Sie übernehmen kann, ist das Drumherum: einen Warnhinweis auf Ihrer Website einrichten, Ihre Website und Ihre Mail-Adressen absichern und Ihren Online-Auftritt so aufstellen, dass ein gesperrter Social-Media-Kanal nicht Ihr einziger Draht zu Kunden ist. Ich arbeite ortsunabhängig. Einen Überblick finden Sie unter Leistungen, für eine Anfrage nutzen Sie den Kontakt.
Häufige Fragen
Wie lange dauert die Wiederherstellung?
Das lässt sich nicht pauschal sagen. Für gehackte Facebook-Seiten nennt Meta normalerweise einen Tag, manche Prüfungen dauern länger. Watchlist Internet warnt, dass der Prozess bei Meta bei Werbekonten lange dauern kann, und onlinesicherheit.gv.at betont, dass es keine Garantie auf Rückholung gibt.
Was passiert mit meinem Video-Selfie?
Laut Instagram ist das Video nie öffentlich sichtbar und wird innerhalb von 30 Tagen gelöscht. Es dient nur dazu, Ihre Identität zu bestätigen.
Was, wenn ich auf die E-Mail-Adresse im Konto keinen Zugriff mehr habe?
Dann hilft bei Instagram die Support-Anfrage über ein Mobilgerät: Sie geben darin eine neue, sichere E-Mail-Adresse an, auf die nur Sie Zugriff haben, und folgen den Schritten auf dem Bildschirm. Bei Facebook beginnen Sie ebenfalls auf der Seite für gehackte Konten.
Soll ich Kampagnen der Täter im Werbekonto löschen?
Nein. Deaktivieren Sie laufende Kampagnen, löschen Sie sie aber nicht. Hat das Täterkonto bereits Kampagnen erstellt, kann Facebook den Fall nur anhand dieser Kampagnen prüfen.
Muss ich Kunden warnen, auch wenn noch nichts passiert ist?
Ja. Gehackte Konten nutzen die Vertrautheit zu Ihnen: Nachrichten von einem bekannten Namen lösen keinen Alarm aus. Eine kurze Warnung kostet wenig und kann verhindern, dass Ihre Kunden Zugangsdaten verlieren.
Gunther Schoepf