Account-Uebernahme: was wirklich passiert, wenn jemand den Login eines Inserenten kapert

Ein Passwort, das mehr wert ist als das Konto, das es oeffnet

Die meisten Konten im Internet enthalten nichts, was ein Dieb direkt verwerten koennte. Ein gestohlener Zugang zu einem Forum oder einem Newsletter bringt auf einem kriminellen Marktplatz nur Cent-Betraege, weil dahinter nichts steckt. Das Konto eines Inserenten auf einer Kleinanzeigen-Plattform ist ein anderes Tier. Hinter diesem einen Login stehen ein bezahltes Abonnement mit hinterlegter Karte, monate- oder jahrelanger Ranking-Verlauf, den eine brandneue Anzeige niemals zurueckkaufen koennte, ein Abzeichen, fuer das echte Verifizierungsarbeit noetig war, und eine Telefonnummer oder ein Postfach, dem bestehende Kunden bereits vertrauen. Wer das Passwort besitzt, erbt all das sofort, ohne Wartezeit und ohne neue Pruefungen.

Genau das macht diese Konten auch dann lohnenswert zu stehlen, wenn kein Bargeldguthaben darin liegt. Ein Krimineller, der eine Anzeige uebernimmt, muss kein Konto leerraeumen. Er braucht das Abzeichen, die Position in den Suchergebnissen und das Vertrauen, das beides verkoerpert, und er bekommt alle drei in dem Moment, in dem das Passwort funktioniert. Die Anzeige selbst kann komplett ausgetauscht werden, andere Fotos, andere Nummer, andere Stadt, waehrend die Glaubwuerdigkeitssignale, an denen die Plattform monatelang gebaut hat, genau dort bleiben, wo sie waren.

Betreiber schuetzen diese Konten tendenziell zu wenig, gerade weil ihr Wert keine Zahl in einem Kontostandfeld ist. Eine Bank baut ihre Betrugskontrollen um eine konkrete Summe herum auf. Ein Anzeigenportal muss stattdessen Reputation und Suchposition verteidigen, Werte, die in keiner Bilanz auftauchen, auf die sich ein Kunde aber ebenso real verlaesst, wenn er entscheidet, ob er der Anzeige eines Fremden vertraut. Inserenten-Logins wie Konten mit geringem Risiko zu behandeln, nur weil kein Bargeld dahinter liegt, verkennt, was wirklich auf dem Spiel steht.

Die Luecke zeigt sich zuerst in Support-Tickets, nicht in Betrugs-Dashboards: Ein Inserent schreibt und beharrt darauf, nie veroeffentlicht zu haben, was jetzt unter seinem Namen online steht, oder ein Kunde beschwert sich ueber eine Anzeige, die nicht mehr so antwortet wie frueher. Wenn eine der beiden Nachrichten eintrifft, ist das Konto meist schon seit Tagen in fremder Hand.

Wie der Zugang wirklich gestohlen wird

Nur sehr wenige dieser Uebernahmen beinhalten einen Kriminellen, der gezielt einen bestimmten Inserenten angreift. Das weitaus haeufigere Muster ist Credential Stuffing: Ein Angreifer nimmt E-Mail-Passwort-Paare, die bei einem voellig fremden Datenleck aufgetaucht sind, etwa bei einem Shopping-Portal oder einem Forum, das nichts mit dem Verzeichnis zu tun hat, und testet sie automatisiert gegen das hiesige Login-Formular, in der Wette, dass ein erheblicher Teil der Menschen ueberall dasselbe Passwort wiederverwendet. Sicherheitsfachleute stufen dies als eigene Kategorie automatisierter Angriffe ein, getrennt vom simplen Erraten eines Passworts, gerade weil dabei nichts geraten wird. Jede ausprobierte Kombination hat sich bereits anderswo als funktionstuechtig erwiesen.

Phishing ist die andere grosse Quelle, und beide naehren sich gegenseitig. Eine gefaelschte E-Mail ueber eine gemeldete Anzeige oder ein auslaufendes Abonnement, gestaltet wie eine echte Nachricht der Plattform, schickt den Inserenten auf eine Login-Seite, die alles abgreift, was er eingibt. Diese gestohlenen Paare landen oft in denselben Listen, die spaeter fuer Stuffing-Angriffe gegen andere Seiten verwendet werden, sodass die beiden Vektoren nicht wirklich konkurrieren, sondern Stufen derselben Lieferkette sind.

Was Credential Stuffing schwer mit der naheliegenden Massnahme zu stoppen macht, sind Skalierung und Verteilung. Eine Handvoll fehlgeschlagener Logins von einer einzigen IP-Adresse faengt fast jede simple Sperre ab. Tausende Versuche, verteilt ueber einen rotierenden Pool von Residential-Proxys, jeweils nur wenige pro Adresse, sehen fuer eine Verteidigung, die darauf ausgelegt ist, eine Adresse nach wenigen Fehlversuchen zu blockieren, wie normaler Traffic aus. Deshalb sind Versuche gegen jedes Login-Formular, das etwas Wertvolles schuetzt, eher ein staendiges Hintergrundrauschen auf niedrigem Niveau als ein seltenes, dramatisches Ereignis, und deshalb kommt es schon zu spaet, erst nach der Meldung eines Vorfalls ueber Kontosicherheit nachzudenken.

Die praktische Konsequenz fuer einen Betreiber ist, dass das Login-Formular selbst die erste Verteidigungslinie ist, nicht die Support-Warteschlange, die die Nachwehen bearbeitet. Was auch immer gebaut wird, um das zu bremsen, muss gegen fortlaufende, verteilte Versuche funktionieren, nicht gegen eine einzelne offensichtlich verdaechtige Person, die fuenfzigmal hintereinander dasselbe Konto probiert.

Was es wirklich kostet, sobald jemand drin ist

Das Erste, was ein Angreifer mit funktionierendem Login meist tut, ist zu pruefen, was das Konto erreicht: Abrechnungsdaten, Auszahlungsinformationen, den Anzeigeninhalt selbst und alle Kontaktdaten, ueber die eingehendes Kundeninteresse laeuft. Die Kontaktnummer oder das verknuepfte Messaging-Konto zu aendern ist oft der allererste Schritt, weil er jede kuenftige Kundenanfrage still zum Angreifer statt zum echten Inserenten umleitet, der keine Ahnung hat, dass sich etwas geaendert hat, bis ein Kunde es erwaehnt oder das Geld ausbleibt.

Das Abzeichen ist das zweite Opfer, und es ist dasjenige, das fuer den Ruf der Plattform selbst am meisten zaehlt. Eine Anzeige als verifiziert zu bezeichnen ist eine Aussage ueber einen Prozess, der zu einem bestimmten Zeitpunkt zutraf, keine dauerhafte Tatsache ueber wer die Seite gerade betreibt, und ein gekapertes Konto widerlegt diese Aussage vollstaendig, waehrend das Abzeichen selbst unangetastet bleibt. Die Person, mit der ein Kunde jetzt zu tun hat, wurde nie geprueft. Das eigene Vertrauenssignal der Plattform buergt nun fuer jemanden, den sie nie gesehen hat.

Auch Geld bewegt sich, meist ueber die bereits hinterlegte Karte statt eine neue. Ein Angreifer, der die Gueltigkeit einer gestohlenen Karte testen oder einfach eine staerkere Bewerbung auf dem gerade uebernommenen Konto finanzieren will, kauft Werbeguthaben oder eine hervorgehobene Platzierung mit der Zahlungsmethode, die der echte Inserent gespeichert hatte. Wenn der tatsaechliche Karteninhaber es irgendwann bemerkt, bestreitet er die Buchung bei seiner Bank, und diese Rueckbuchung zaehlt genau gegen dieselben Betrugs- und Streitquoten-Schwellen, die ein Hochrisiko-Haendlerkonto ohnehin schon unter Beobachtung stellen, nur dass der Betreiber diesmal nicht einmal auf eine schiefgelaufene Kundenbeziehung verweisen kann. Die hinterlegte Karte gehoerte jemandem, der den konkreten Kauf, den ein Fremder mit dessen eigenem gestohlenem Login getaetigt hat, nie autorisiert hat.

Darunter liegt ein leicht zu unterschaetzender Support-Aufwand: Zwei Personen, der echte Inserent und wer auch immer der Angreifer nun vor ihnen vorgibt zu sein, glauben beide, es mit einem legitimen Konto zu tun zu haben, und jemand auf Seiten der Plattform muss herausfinden, welche Version echt ist, die richtige wiederherstellen und einem Kunden erklaeren, warum die Person, mit der er seit einer Woche schreibt, nicht war, wer er dachte.

Ob daraus eine rechtliche Meldung wird, nicht nur ein Support-Ticket

Ob eine Kontouebernahme eine gesetzliche Meldepflicht ausloest, haengt genau davon ab, was der Angreifer einsehen konnte, nicht nur davon, dass er sich eingeloggt hat. Kalifornien war der erste Bundesstaat, der kompromittierte Login-Daten, konkret einen Benutzernamen oder eine E-Mail-Adresse in Kombination mit einem Passwort oder der Antwort auf eine Sicherheitsfrage, bereits 2014 in das aufnahm, was nach seinem Meldegesetz fuer Datenschutzverletzungen als personenbezogene Daten gilt, und seither haben mehr als ein Dutzend weiterer Bundesstaaten aehnliche Formulierungen aus eigenem Antrieb ergaenzt. Wo diese Kategorie greift, kann eine Uebernahme, die sich auf den blossen Zugang beschraenkt, ohne offengelegte Sozialversicherungsnummer, amtlichen Ausweis oder Finanzkontonummer, allein eine Meldepflicht ausloesen.

Was diese Pflicht tatsaechlich verlangt, ist meist leichter als angenommen, und es lohnt sich, den Unterschied zu kennen, bevor man entscheidet, wie besorgt man sein sollte. Mehrere der Bundesstaaten, die kompromittierte Zugangsdaten auf diese Weise erfassen, erlauben dem Betreiber, die Anforderung mit einer schmaleren Mitteilung zu erfuellen, die die betroffene Person lediglich auffordert, Passwort und jede damit verbundene Sicherheitsfrage zurueckzusetzen, statt des vollstaendigeren Meldepakets, das eine gestohlene Sozialversicherungsnummer erfordert, inklusive Meldung an die Aufsichtsbehoerde und in manchen Staaten einem Angebot zur Bonitaetsueberwachung. Mehrere Staaten verlangen zudem ueberhaupt erst eine Meldung, wenn ein reales Risiko fuer Identitaetsdiebstahl oder finanziellen Schaden besteht, sodass eine reine Zugangs-Uebernahme ohne weitere offengelegte Daten dort ganz aus der Pflicht herausfallen kann.

Genau deshalb zaehlen die Details dessen, worauf der Angreifer tatsaechlich zugreifen konnte, mehr als die blosse Tatsache, dass er sich eingeloggt hat. Eine Sitzung, die nur den Anzeigen-Editor erreichte, ist rechtlich ein anderes Ereignis als eine, die die Seite mit der Bankkontonummer fuer Auszahlungen oder einem waehrend der Verifizierung hochgeladenen eingescannten Ausweis geoeffnet hat. Zu protokollieren, was eingesehen wurde, nicht nur wann der Login erfolgte, ist das, was eine schnelle Entscheidung ermoeglicht, welche Regel tatsaechlich greift, statt unter Druck zu raten, waehrend ein Kunde bereits Fragen stellt.

Nichts davon erfordert eine dauerhaft engagierte Rechtsabteilung, um es richtig zu machen. Es erfordert zu wissen, noch vor dem ersten Vorfall, in welche Kategorie eine Kontouebernahme auf dieser Plattform fallen wuerde, und diese Antwort bereits parat zu haben, statt sie zum ersten Mal zu recherchieren, waehrend ein Inserent bereits droht, einen Anwalt einzuschalten.

Was es wirklich stoppt, der Reihe nach

Multi-Faktor-Authentifizierung beim Inserenten-Login ist die wirksamste Einzelmassnahme, weil sie Credential Stuffing direkt aushebelt: Der Angreifer hat ein funktionierendes Passwort, aber nicht den zweiten Faktor, und der Versuch scheitert unabhaengig davon, wie viele gueltige Passwortkombinationen er durchprobiert. Die aktuellen Richtlinien des NIST zur digitalen Identitaet, 2025 fertiggestellt und fuer Bundessysteme geschrieben, aber vielerorts als Referenz genau fuer dieses Problem genutzt, beschreiben von der Verteidigerseite aus dieselbe Schlussfolgerung: Statt Nutzer zu zwingen, Passwoerter nach einem festen Zeitplan zu wechseln, was ihnen vor allem beibringt, schwaechere, aber leichter zu merkende Passwoerter zu waehlen, verlangt die Richtlinie, einen Wechsel nur bei tatsaechlichem Hinweis auf eine Kompromittierung zu erzwingen, jedes neue Passwort gegen Listen gaengiger oder bereits bekannt kompromittierter Werte zu pruefen und die Zahl aufeinanderfolgender fehlgeschlagener Loginversuche zu begrenzen, die ein einzelnes Konto toleriert, bevor es sich sperrt. Nichts davon ist exotische Technik. Es ist ein Login-Formular, das Widerstand leistet.

Alle aktiven Sitzungen in dem Moment zu beenden, in dem sich ein Passwort aendert, unterbindet den haeufigsten Folgeschritt, bei dem ein Angreifer, der durch ein Passwort-Reset ausgesperrt wird, einfach die Sitzung weiterbenutzt, die er schon vor dem Reset geoeffnet hatte. Ohne diesen Schritt schuetzt ein Passwort-Reset den naechsten Login, nicht den bereits laufenden.

Eine ploetzliche, grosse Aenderung an einer zuvor verifizierten Anzeige als Signal zu behandeln, das einen zweiten Blick verdient, statt nur eine Freigabe, die durchgewinkt wird, faengt ein bestimmtes Muster ab, das ein gekapertes Konto fast jedes Mal erzeugt: neue Fotos, eine neue Telefonnummer und ein Abzeichen, das von vorher uebernommen wird, alles in derselben Sitzung geaendert. Eine kurze manuelle Pruefung, bevor diese Kombination live geht, kostet einen Moment Personalzeit und verhindert genau das Szenario, in dem ein Monate zuvor verdientes Abzeichen am Ende fuer jemanden buergt, der nie verifiziert wurde.

Auszahlungs- und Bankdaten verdienen eine staerkere Sperre als alles andere im Konto, denn das ist das eine Feld, das ein Angreifer gezielt aendert, um echtes Geld umzuleiten, nicht nur Reputation. Eine Wartezeit, bevor ein geaendertes Auszahlungskonto aktiv wird, gekoppelt mit einer Benachrichtigung an die alten statt an die neuen Kontaktdaten, gibt dem echten Inserenten ein Zeitfenster, die Aenderung zu bemerken und zu widersprechen, bevor auch nur eine Zahlung an die falsche Stelle geht.

Nichts davon muss auf einmal geschehen. Multi-Faktor-Authentifizierung fuer Konten mit hinterlegter Zahlungsmethode zu aktivieren, eine Verzoegerung bei Aenderungen der Auszahlungsdaten einzubauen und in einem Absatz festzuhalten, was als Vorfall zaehlt und wer entscheidet, ob eine Meldepflicht ausgeloest wird, sind drei Nachmittage Arbeit, kein Sicherheitsprogramm. Die Alternative ist, herauszufinden, wie jede dieser Fragen beantwortet wird, waehrend ein Inserent bereits am Telefon ist und fragt, warum jemand anderes seine Fotos benutzt.