Kurz gefasst: Für einen erwachsenen schwulen, bisexuellen oder sich fragenden Mann, der nicht geoutet ist, ist Kontosicherheit kein Nerd-Thema. Sie ist das Schloss, das ein Privatleben von einem Zwangsouting trennt. Ein Passwort, das 2019 in einem gehackten Forum wiederverwendet wurde, eine offen gebliebene Sitzung auf dem Rechner eines Mitbewohners, eine Telefonnummer, die noch mit einem alten Konto verknüpft ist, ein Postfach ohne zweiten Faktor: Das sind die vier Türen, durch die fast alle Einbrüche laufen. Ist das Postfach kompromittiert, fällt alles andere, denn über es lassen sich die übrigen Passwörter zurücksetzen. Dieser Leitfaden beschreibt die realen Wege eines Einbruchs, die Einstellungen, die im echten Leben halten, und das Vorgehen – in Frankreich und Belgien – wenn das Konto schon verloren ist.
Dieser Artikel beschreibt persönliche Sicherheitspraktiken, öffentliche Anlaufstellen und den allgemeinen Rechtsrahmen. Er stellt keine individuelle Rechtsberatung dar. In Frankreich: die staatliche Plattform Cybermalveillance.gouv.fr (Diagnose und Vermittlung); 17 Cyber für eine Online-Erstorientierung; die Meldeplattform PHAROS des Innenministeriums für rechtswidrige Inhalte; Beratungstelefon von SOS homophobie 01 48 06 42 41; CNIL (französische Datenschutzbehörde) für personenbezogene Daten; Notruf 17 oder 112, SMS an 114. In Belgien: Safeonweb (Zentrum für Cybersicherheit Belgien), Meldungen an suspect@safeonweb.be, Unia 0800 12 800, Lumi 0800 99 533. Alle hier erwähnten Personen sind Erwachsene.
Warum ein gehacktes Konto mehr kostet, wenn man nicht geoutet ist
Wenn eine große Tageszeitung über Konto-Hacks schreibt, geht es um Geld: Bankkarte, betrügerische Einkäufe, Lösegeld. Für einen Mann, der Videochat zwischen Männern nutzt, ohne dass seine Familie, sein Partner oder sein Arbeitgeber davon wissen, ist der Verlust nicht finanziell. Er ist informationell.
Ein offenes Postfach bedeutet:
- die Historie aller Anmeldungen (Newsletter von LGBTQ+-Organisationen, Kontobestätigungen, VPN-Rechnungen);
- die Möglichkeit, die Passwörter fast aller anderen Dienste zurückzusetzen, weil der Reset-Link genau dort landet;
- alte Anhänge, die man längst vergessen hat;
- und oft ein vollständiges Adressbuch – also exakt die Liste der Personen, die ein Erpresser anschreiben kann.
Diese letzte Zeile verwandelt einen technischen Vorfall in ein Outing-Risiko. Das klassische Szenario lautet nicht „Wir haben Ihr Konto", sondern „Wir haben Ihr Konto und schreiben Ihnen von Ihrer eigenen Adresse aus, was wir damit vorhaben".
Erinnern wir an die Rechtslage, denn sie steht auf Ihrer Seite. Die sexuelle Orientierung ist eine sensible Angabe im Sinne von Artikel 9 DSGVO: ihre Offenlegung ohne Einwilligung ist keine Indiskretion, sondern eine unrechtmäßige Verarbeitung besonderer Kategorien personenbezogener Daten. Erpressung wird in Frankreich nach Artikel 312-10 des Code pénal (Strafgesetzbuch) mit fünf Jahren Haft und 75 000 € Geldstrafe geahndet, der unbefugte Zugriff auf ein automatisiertes Datenverarbeitungssystem nach Artikel 323-1 mit drei Jahren und 100 000 €. In Belgien stellt Artikel 550bis des Strafgesetzbuchs Hacking unter Strafe. Keine dieser Vorschriften verlangt, dass Sie geoutet sind, um geschützt zu werden.
Die vier realen Einfallstore
1. Das wiederverwendete Passwort
Mit Abstand die Ursache Nummer eins. Sie haben vor acht Jahren auf irgendeiner Website ein Konto angelegt – mit der E-Mail-Adresse, die Sie noch heute nutzen, und einem Passwort, das Sie damals für „ziemlich sicher" hielten. Diese Website wurde gehackt, die Datenbank zirkulierte, und Ihre Kombination aus Adresse und Passwort steckt in einer weiterverkauften Datei. Die Angreifer müssen nichts knacken: Sie probieren die Kombination einfach anderswo aus. Das nennt man Credential Stuffing.
Der nützliche Reflex: nachsehen. Der Dienst Have I Been Pwned, betrieben vom Sicherheitsforscher Troy Hunt, zeigt, in welchen bekannten Datenlecks eine Adresse auftaucht. Firefox Monitor und moderne Passwortmanager führen dieselbe Prüfung laufend durch.
2. Die offen gebliebene Sitzung
Ein Browser auf dem Familienrechner, ein geteiltes Tablet, ein Arbeitsplatz im Büro, ein für einen Abend verliehenes Gerät. Die Sitzung fragt kein Passwort mehr ab: Man muss nur den Tab öffnen. Dafür braucht es keinerlei technische Kenntnisse – und genau deshalb kommt es so häufig vor in Situationen wie denen, die wir in unserem Leitfaden zum Wohnen bei den Eltern oder zur studentischen WG beschreiben.
3. Gezieltes Phishing
Eine Mail, die Ihren Mail-Anbieter, Ihre Bank oder eine Plattform imitiert. Die gefälschten Mails von 2026 sind sauber: korrektes Logo, fehlerfreie Sprache, fast stimmiger Domainname. Die einzige zuverlässige Kontrolle bleibt, nie ein Passwort über einen erhaltenen Link einzugeben, sondern die Adresse des Dienstes selbst einzutippen.
4. Der physische Zugriff auf das Gerät
Fünfzehn Sekunden mit einem entsperrten Handy genügen, um eine Überwachungs-App zu installieren oder Nachrichten zu lesen. ANSSI (französische Behörde für IT-Sicherheit) und CNIL betonen beide, dass die Bildschirmsperre die erste Sicherheitsmaßnahme ist – lange vor allen fortgeschrittenen Einstellungen. Ein Sicherheitskabel für Laptops ergibt in einem geteilten Büro Sinn; ein sechsstelliger statt eines vierstelligen Codes ebenso.
Die Basis: drei Einstellungen, die alles verändern
Ein Passwortmanager und nur noch ein Passwort im Kopf
Das Prinzip ist einfach: ein einzigartiges, langes Passwort pro Dienst, verschlüsselt gespeichert, geschützt durch eine einzige Passphrase, die Sie sich merken. Die CNIL empfiehlt seit 2022 Passwörter von mindestens 12 bis 15 Zeichen – oder eben einen Manager, damit man sie sich gar nicht mehr merken muss.
Zwei Punkte, die unser Thema direkt betreffen:
- Wählen Sie einen Manager, der seinen Inhalt nicht verrät. Viele zeigen beim Öffnen sofort eine Liste der Websites im Klartext. Wer Ihr Handy entsperrt, sieht die Namen. Besser ein Tool, das bei jedem Öffnen Biometrie oder einen Code verlangt, nicht nur beim ersten Start.
- Notieren Sie Ihre Master-Passphrase physisch und unauffällig. Ein Notizbuch mit Zahlenschloss, abgelegt bei Behördenunterlagen, ist weniger riskant als eine Datei „passwoerter.txt" auf dem Desktop. Verlieren Sie diese Passphrase, verlieren Sie alles.
Zwei-Faktor-Authentifizierung – aber nicht per SMS
Einen zweiten Faktor für das Postfach zu aktivieren, ist der lohnendste Handgriff dieses Artikels. Er verhindert, dass ein gestohlenes Passwort allein ausreicht. Aber nicht alle zweiten Faktoren sind gleich viel wert:
| Methode | Schützt vor Passwortdiebstahl | Schützt vor Phishing | Schützt bei physischem Zugriff aufs Handy |
|---|---|---|---|
| SMS | Ja | Nein | Nein |
| Authenticator-App (6-stellige Codes) | Ja | Teilweise | Hängt von der Bildschirmsperre ab |
| Physischer Sicherheitsschlüssel (FIDO2) | Ja | Ja | Ja (der Schlüssel bleibt bei Ihnen) |
Die SMS bleibt anfällig für SIM-Swapping: Ein Dritter lässt sich eine neue SIM-Karte mit Ihrer Nummer ausstellen und empfängt Ihre Codes. ANSSI und ENISA empfehlen seit Jahren, Authenticator-Apps oder – besser noch – Hardware-Schlüssel zu bevorzugen. Ein FIDO2-Sicherheitsschlüssel im USB-C-Format am Schlüsselbund blockiert zusätzlich Phishing: Selbst auf einer perfekt nachgebauten Fake-Seite verweigert der Schlüssel die Authentifizierung, weil der Domainname nicht übereinstimmt.
Wenn Sie sich für einen Schlüssel entscheiden, nehmen Sie zwei: einen bei sich, einen als Reserve registriert und anderswo verwahrt. Den einzigen Schlüssel zu verlieren, ohne ausgedruckte Notfallcodes, ist der schnellste Weg, sich selbst auszusperren.
Wiederherstellungsadressen, der blinde Fleck
Öffnen Sie die Wiederherstellungseinstellungen Ihres Haupt-Postfachs und schauen Sie nach, was dort steht. Sehr oft: eine alte Adresse, die Sie nicht mehr nutzen und deren Passwort schwach ist, oder eine Telefonnummer, die Ihnen nicht mehr gehört. Ein Angreifer greift nicht die Mauer an, sondern die Hintertür. Räumen Sie auf: eine einzige, aktive Wiederherstellungsadresse, die selbst durch einen zweiten Faktor geschützt ist.
Identitäten sauber trennen
Diskretion heißt nicht, alles hinter einem einzigen, sehr gut gesicherten Konto zu verstecken, sondern zu kompartimentieren. Wenn eine Tür nachgibt, darf sie nicht das ganze Haus öffnen.
Eine realistische Trennung hat drei Ebenen:
- Die administrative Identität: Bank, Steuern, Arbeitgeber, Gesundheit, Familie. Eine E-Mail-Adresse mit Ihrem Namen, eine allen bekannte Nummer, ein Passwortmanager, ein zweiter Faktor.
- Die gewöhnliche soziale Identität: Einkäufe, Newsletter, diverse Anmeldungen. Idealerweise Aliasse (die meisten Anbieter erlauben Wegwerfadressen, die an die Hauptadresse weiterleiten).
- Die intime Identität: alles rund um Ihr Gefühls- und Sexualleben, LGBTQ+-Organisationen, Dating- oder Videochat-Plattformen. Eine eigene Adresse, die Ihren Namen nicht enthält, die nicht als Wiederherstellung der ersten hinterlegt ist und deren Passwort nie anderswo verwendet wurde.
Die häufigste Falle: die Adresse der Ebene 3 für eine Lieferung nutzen oder die Nummer der Ebene 1 für die Anmeldung auf einer Plattform. Die Rückwärtssuche per Telefonnummer funktioniert sehr gut – einer der Mechanismen, die wir im Artikel darüber beschreiben, was schwule Dating-Apps und Videochats wirklich preisgeben.
Für das Gerät selbst hilft eine verschlüsselte microSD-Karte oder eine hardwareverschlüsselte externe Festplatte, um außerhalb des Handys zu behalten, was dort nicht dauerhaft leben muss. Die vollständige Speicherverschlüsselung ist auf neueren Handys standardmäßig aktiv; am Computer muss man sie oft von Hand einschalten (BitLocker, FileVault, LUKS).
Das Konto ist schon verloren: das Vorgehen
Die Reihenfolge zählt. Jede Minute, die Sie mit der Suche nach Hilfe verbringen, ist eine Minute, in der der Eindringling Ihre Nachrichten liest.
1. Zuerst das Postfach zurückholen. Nicht die sozialen Netzwerke, nicht die Plattform: die Mailbox, weil sie alles andere steuert. Starten Sie von einem Gerät aus, dem Sie vertrauen, die Wiederherstellung, ändern Sie das Passwort und gehen Sie dann – das vergisst fast jeder – in die Sicherheitseinstellungen und melden Sie alle aktiven Sitzungen ab.
2. Prüfen, was der Eindringling hinterlassen hat. Kontrollieren Sie in den Einstellungen der Mailbox systematisch:
- die automatischen Weiterleitungsregeln (ein Filter, der Ihre Mails unauffällig woanders hin kopiert, ist das Lieblingswerkzeug von Erpressern);
- die automatischen Antworten;
- die autorisierten Drittanbieter-Apps;
- die Wiederherstellungsadressen und -nummern, die oft geändert wurden;
- das Anmeldeprotokoll, das Sie als Screenshot sichern sollten.
3. Passwörter nach Sensibilität ändern, beginnend mit dem, was Ihnen schaden könnte: Social-Media-Konten, Online-Fotospeicher, Plattformen rund um Ihr Intimleben. Danach die Bank.
4. Dokumentieren, bevor Sie löschen. Die Versuchung, alles zu tilgen, ist groß. Aber ohne Spuren führt keine Anzeige zu etwas. Die vollständige Methode beschreiben wir unter melden, blockieren, Beweise sichern: Screenshots mit Zeitstempel und vollständiger URL, Export der Nachrichten, Aufbewahrung auf einem Datenträger, den nur Sie kontrollieren. Eine kleine verschlüsselte externe Festplatte, getrennt vom betroffenen Gerät aufbewahrt, erfüllt genau diesen Zweck.
5. Melden und Anzeige erstatten. In Frankreich bietet Cybermalveillance.gouv.fr einen Diagnosepfad und vermittelt weiter; über 17 Cyber ist ein erster Online-Kontakt zu den Sicherheitsbehörden möglich. Unbefugter Kontozugriff und Erpressung sind zwei verschiedene Straftaten: Beide in der Anzeige zu nennen, verhindert eine zu enge rechtliche Einordnung. Wurden personenbezogene Daten durch das Verschulden eines Dienstes offengelegt, kann die CNIL angerufen werden. In Belgien bündelt Safeonweb die Meldungen, und Unia bearbeitet Diskriminierungen aufgrund der sexuellen Orientierung.
6. Niemals zahlen. Ein bezahlter Erpresser kommt wieder. Das ist die durchgängige Erfahrung von Ermittlungsbehörden wie Beratungsstellen. Ist die Outing-Drohung ausdrücklich, beschreibt unser Leitfaden homophobe Falle und Erpressung nach einem Videochat den vollständigen Ablauf – einschließlich der Möglichkeit, den Menschen, die Ihnen wichtig sind, selbst zuvorzukommen.
Drei Gewohnheiten, die mehr wert sind als zehn Tools
Zweimal im Jahr ein Audit machen. Eine halbe Stunde, ein Kaffee und eine Liste: Welche Konten laufen noch auf meinen Namen, welche enthalten etwas Sensibles, welche haben keinen zweiten Faktor. Vergessene Konten sind die gefährlichsten, weil niemand ihre Warnmeldungen beobachtet.
Den Bildschirm konsequent sperren. Nicht „wenn ich den Raum verlasse", sondern jedes Mal, wenn das Gerät Ihre Hände verlässt. Das ist die wirksamste und günstigste Maßnahme, und sie hängt von keinem Kauf ab. Ein Blickschutzfilter für den Bildschirm ergänzt das im Zug oder im Großraumbüro sinnvoll, weil er den Bildschirm von der Seite unlesbar macht.
Vorher entscheiden, wen Sie anrufen. Der schlechteste Moment, um eine Nummer zu suchen, ist der, in dem man gerade einen Einbruch entdeckt hat. Bewahren Sie irgendwo außerhalb des Handys zwei oder drei Kontakte auf: eine Vertrauensperson, das Beratungstelefon von SOS homophobie (01 48 06 42 41) oder Lumi in Belgien (0800 99 533) und die Adresse von Cybermalveillance.gouv.fr. Wenn der Vorfall psychisch belastet – und das tut er oft –, listet unser Artikel nach einem homophoben Angriff im Netz die Anlaufstellen auf.
Was Sie mitnehmen sollten
Kontosicherheit ist keine endlose Disziplin. Sie beruht auf wenigen Entscheidungen, die man einmal trifft: ein Passwortmanager, ein zweiter Faktor für das Haupt-Postfach, der keine SMS ist, aufgeräumte Wiederherstellungsadressen, drei getrennte Identitäten und ein Bildschirm, der sich sperrt. Der Rest ist Wartung.
Und wenn der Einbruch schon passiert ist: zuerst das Postfach, dann die Weiterleitungsfilter, die Beweise vor dem Löschen, die Anzeige vor der Verhandlung – und niemals ein Euro. Die Seite Sicherheit dieser Website fasst die Grundregeln zusammen, und das Videochat-Lexikon erklärt die hier verwendeten Fachbegriffe.
Noch eine letzte Sache, die nichts mit Technik zu tun hat: Ein gehacktes Konto ist nicht Ihr Fehler. Datenlecks stammen von Unternehmen, die ihre Datenbanken schlecht geschützt haben, gefälschte Mails werden von Profis gebaut, und die überwältigende Mehrheit der Betroffenen hat genau das getan, was man ihr geraten hatte. Scham ist eine Waffe des Erpressers. Ihm diese Waffe zu nehmen, gehört zur Gegenwehr.
