So sicherst du dein Instagram-Konto: 9-Schritte-Checkliste

Übernahmen von Instagram-Konten sind selten exotisch. Sie laufen hinaus auf ein Passwort, das schwach war oder woanders schon geleakt wurde, eine Anmeldung von einem Gerät, das dir nie aufgefallen ist, eine Nachricht, die offiziell aussah, es aber nicht war, oder eine App, der du deine Zugangsdaten gegeben hast und die du längst vergessen hast.

Die neun Schritte unten schließen jeweils eine dieser Türen – sortiert nach Risikoreduktion, die größte zuerst.

Über die Quellen auf dieser Seite. Die Einstellungen, Pfade und Regeln unten stammen aus dem Hilfezentrum von Instagram und aus Metas eigenem Newsroom; jeder Abschnitt verlinkt die genaue Seite, aus der er stammt. Zwei Aussagen kommen von Quellen außerhalb von Meta und sind dort gekennzeichnet: Check Point Research, dazu, wie oft Instagram imitiert wird, und das Cybersicherheitsteam der Masaryk-Universität, dazu, was ein Passwortmanager tatsächlich tut. SocialGuardian ist unser eigenes Produkt – wo es vorkommt, ist es als Werbung gekennzeichnet, und das Einzige, was es laut eigener Aussage tut, ist, deine Inhalte zu sichern.

Die 30-Sekunden-Version

• Aktiviere die Zwei-Faktor-Authentifizierung und speichere deine Backup-Codes.
• Mach dein Instagram-Passwort lang, einzigartig und nicht dasselbe wie anderswo.
• Sieh dir alle aktuell angemeldeten Geräte an und entferne die unbekannten.
• Führe den Security Checkup aus, wenn etwas verdächtig aussieht.
• Betrachte jede DM über dein Konto als Betrugsversuch – Instagram schickt solche Nachrichten nicht.
• Entzieh Drittanbieter-Apps den Zugriff, denen du nicht vertraust.
• Bewahre eine Kopie deiner Inhalte an einem Ort auf, von dem Instagram dich nicht aussperren kann.

Wie Instagram-Konten tatsächlich übernommen werden

Instagram selbst markiert ein Konto in drei Situationen als gefährdet: dein Passwort ist schwach, dein Passwort wurde möglicherweise durch eine externe Quelle offengelegt oder kompromittiert, oder dein Konto ist mit einer nicht autorisierten Drittanbieter-App synchronisiert. Der häufige Fall ist die Passwort-Wiederverwendung – du hast dasselbe Passwort auf einer anderen Website verwendet, und diese Website hatte den Datenleak, laut Instagram.

Der andere große Vektor ist Phishing: eine verdächtige Nachricht oder ein Link, die nach persönlichen Daten fragen, oft mit der Behauptung, dein Konto werde gesperrt oder gelöscht, wenn du nicht handelst, wie Instagram es beschreibt.

Das ist keine graue Theorie. Im Brand-Phishing-Report Q2 2024 von Check Point Research schaffte es Instagram zum ersten Mal seit 2022 wieder in die Top 10 der meistimitierten Marken bei Phishing-Angriffen – Platz 10, 0,7 % der Brand-Phishing-Ereignisse –, mit gefälschten Instagram-Loginseiten, die gezielt Zugangsdaten abgreifen.

Schritt 1 – Zwei-Faktor-Authentifizierung aktivieren

Instagram nennt die Zwei-Faktor-Authentifizierung „den wirksamsten Schritt, um dein Konto vor Hackern zu schützen“ und sagt, es habe 2FA für Creator-Konten standardmäßig aktiviert. Wenn du also ein Creator-Konto hast, prüfe, ob du es irgendwann deaktiviert hast, laut Instagrams Sicherheitshinweisen.

Hier ist der Punkt, an dem viele stolpern: 2FA fragt nicht bei jedem Öffnen der App nach einem Code. Es verlangt einen Code, wenn ein Anmeldeversuch von einem Gerät erfolgt, das Instagram nicht erkennt, laut Instagrams Hilfezentrum. Im Alltag auf dem eigenen Telefon merkst du nichts davon.

So richtest du es ein: Mehr → Einstellungen → Mehr im Accounts Center → Passwort und Sicherheit → Zwei-Faktor-Authentifizierung.

Es gibt einen zweiten Vorteil, der auf dem Einstellungsbildschirm nicht offensichtlich ist. Bei aktivierter 2FA erhältst du eine Warnung, sobald jemand versucht, sich von einem Gerät oder Browser anzumelden, den Instagram nicht erkennt. Die Warnung zeigt dir, welches Gerät es war und wo es sich befindet, und du kannst die Anfrage sofort von einem Gerät, auf dem du bereits angemeldet bist, genehmigen oder ablehnen, wie Meta erklärt. Das macht aus einem Übernahmeversuch eine Benachrichtigung, die du mit einem Tippen beendest.

Welche 2FA-Methode solltest du wählen?

Wenn du die Zwei-Faktor-Authentifizierung einrichtest, fragt Instagram, welche von drei Sicherheitsmethoden du nutzen möchtest – E-Mail gehört nicht dazu, laut Instagram.

Wenn du keine starke Präferenz hast, folge Instagrams eigener Empfehlung und nutze eine Authentifizierungs-App.

Schritt 2 – Backup-Codes speichern

Wenn du keinen Zugriff mehr auf dein Telefon oder deine E-Mail-Adresse hast und keine Anmeldecodes erhältst, bringt dich ein Backup-Code zurück ins Konto, sagt Instagram. Erzeuge die Codes, wenn du 2FA aktivierst, und speichere sie an einem Ort, der nicht das Telefon ist, das sie schützt.

Schritt 3 – Passwort festlegen

Instagrams veröffentlichte Passwortregeln sind konkret, also hier ungeschönt. Dein Passwort muss mindestens sechs Zeichen lang sein, Instagram empfiehlt für höhere Sicherheit aber mindestens acht Zeichen, mit einer Kombination aus Zahlen, Buchstaben und Sonderzeichen. Es sollte sich von den Passwörtern unterscheiden, die du für andere Konten verwendest, etwa für E-Mail oder Bankkonto, und du solltest leicht zu erratende Angaben wie dein Geburtsdatum oder deine Telefonnummer vermeiden – das ist Instagrams eigene Anleitung.

Instagrams Sicherheitsseite ergänzt zwei weitere Regeln: Verwende eine Kombination aus mindestens sechs Zeichen – Zahlen, Buchstaben und Sonderzeichen (wie !$@%) – und versuche, Wiederholungen zu vermeiden; gib dein Passwort niemals jemandem, den du nicht kennst und dem du nicht vertraust. Außerdem empfiehlt sie die Nutzung eines Passwortmanagers von Drittanbietern und nennt dabei LastPass und 1Password, im selben Hilfeartikel.

Falls du dir nicht sicher bist, warum ein Passwortmanager hilft: Er speichert und verschlüsselt deine Anmeldedaten, sodass du dir nur noch ein starkes Master-Passwort merken musst, er generiert sichere Passwörter und füllt sie bei der Anmeldung automatisch aus – laut dem Cybersicherheitsteam der Masaryk-Universität, einer Quelle außerhalb von Instagram. Das ist das praktische Gegenmittel gegen die Passwort-Wiederverwendung, durch die Konten überhaupt erst als gefährdet markiert werden.

Schritt 4 – Prüfen, wo du angemeldet bist

Du kannst jederzeit eine Liste der Geräte aufrufen, die sich kürzlich bei deinem Instagram-Konto angemeldet haben. Wenn du eine kürzliche Anmeldung nicht erkennst, kannst du dich von diesem Ort oder Gerät abmelden und Instagram mitteilen, dass die Anmeldung nicht von dir war, wie das Hilfezentrum beschreibt.

Zwei Wege zu derselben Liste:

• Einstellungen → Accounts Center → Passwort und Sicherheit → „Wo du angemeldet bist“
• Einstellungen → Anmeldeaktivität

Bei jeder Anmeldung kannst du Das war ich bestätigen oder Das war ich nicht markieren – und wenn du eine Anmeldung als „Das war ich nicht“ markierst, wird ein Passwort-Reset ausgelöst. Du kannst jedes Gerät auch aus der Ferne abmelden. Mach das, bevor du dein Passwort änderst, damit du weißt, worauf du schaust.

Schritt 5 – Instagrams Security Checkup ausführen

Der Security Checkup ist ein eigener Ablauf für Konten, die möglicherweise gehackt wurden. Er wurde im Juli 2021 eingeführt und führt dich durch die Prüfung der Anmeldeaktivität, die Überprüfung der Profilinformationen, die Bestätigung der Konten, die Anmeldedaten teilen, und die Aktualisierung der Kontaktinformationen zur Wiederherstellung wie Telefonnummer oder E-Mail – laut Metas Newsroom.

Es ist der schnellste Weg, die Schritte 1, 4 und 6 in einem Durchgang abzudecken, wenn du vermutest, dass bereits etwas passiert ist.

Schritt 6 – Erkennen, wie eine echte Instagram-Nachricht aussieht

Das ist das Nützlichste auf dieser Seite, denn damit erkennst du die meisten Phishing-Versuche auf den ersten Blick:

Instagram wird dir niemals eine DM über dein Konto schicken. Nachrichten, die behaupten, dein Konto sei von einer Sperrung bedroht oder verstoße gegen Richtlinien, sind Betrug. Wenn Instagram dich wegen deines Kontos kontaktieren will, tut es das über den Tab „E-Mails von Instagram“ in deinen Einstellungen – der einzige Ort in der App, an dem du direkte und authentische Kommunikation von Instagram findest, laut Meta.

Das ergibt eine Prüfung in einem Schritt für jede alarmierende Nachricht: Öffne die Einstellungen, schau in den Tab „E-Mails von Instagram“ und prüfe, ob die Nachricht dort steht. Wenn nicht, ist sie nicht von Instagram.

Bei E-Mails kannst du bestätigen, dass der Absender zu Meta gehört, indem du die Adresse prüfst – sie kann [email protected], [email protected], @fb.com, @meta.com oder @account.meta.com enthalten. Vertraue keinen Nachrichten, die Geld verlangen, Geschenke anbieten oder mit der Löschung oder Sperrung deines Kontos drohen, und klicke niemals auf verdächtige Links oder antworte mit deinem Passwort, deiner Sozialversicherungsnummer oder Kreditkarteninformationen – Instagrams Phishing-Leitfaden behandelt das alles.

Wenn du bereits auf Phishing hereingefallen bist: Setze dein Passwort zurück, melde dich auf Geräten ab, die dir nicht gehören, und melde die verdächtige E-Mail an [email protected].

Schritt 7 – Drittanbieter-Apps widerrufen, denen du nicht vertraust

Sei vorsichtig, wenn du eine Drittanbieter-App autorisierst, und gib deine Anmeldedaten niemals an eine App weiter, der du nicht vertraust. Wenn du einer App deine Anmeldedaten gibst – per Zugriffstoken oder indem du Benutzername und Passwort herausgibst –, kann sie vollständigen Zugriff auf dein Konto erhalten, warnt Instagram.

Um die unsicheren zu entfernen, entzieh verdächtigen Drittanbieter-Apps den Zugriff auf instagram.com/accounts/manage_access – das ist der Weg, den Instagram für gehackte und gefährdete Konten angibt.

Schritt 8 – Auf gemeinsam genutzten Geräten abmelden

Melde dich bei Instagram ab, wenn du einen Computer oder ein Telefon benutzt, das du mit anderen teilst, und aktiviere das Kontrollkästchen „Angemeldet bleiben“ nicht, wenn du dich an einem öffentlichen Computer anmeldest – es hält dich angemeldet, auch nachdem du das Browserfenster geschlossen hast, sagt Instagram.

Schritt 9 – Eine Kopie deiner Inhalte außerhalb von Instagram aufbewahren

Die Schritte 1 bis 8 schützen den Zugriff auf das Konto. Keiner davon schützt das, woran du vielleicht jahrelang gearbeitet hast.

Instagram erlaubt es dir, deine Daten mitzunehmen: Gehe zu Accounts Center → Deine Informationen und Berechtigungen → Deine Informationen exportieren und exportiere sie auf dein Gerät oder einen externen Dienst. Der Export ist passwortgeschützt – und es kann bis zu 30 Tage dauern, bis Instagram dir den Export-Link per E-Mail schickt, laut Instagram.

Bis zu 30 Tage sind für ein geplantes Archiv in Ordnung. Als Wiederherstellungsplan für den Tag, an dem du ausgesperrt wirst, taugt das nicht, denn du musst den Export nach dem Verlust des Zugriffs anfordern – genau dann, wenn du es nicht kannst.

Wenn dein Konto bereits gehackt wurde

Beginne auf instagram.com/hacked in deinem Desktop- oder Mobilbrowser, um das Konto zu sichern, und stelle sicher, dass auch dein E-Mail-Konto sicher ist – jeder, der deine E-Mails lesen kann, kann wahrscheinlich auch auf dein Instagram-Konto zugreifen, laut Instagram.

Von dort aus gibt dir Instagrams Anleitung zur Wiederherstellung mehrere Wege, und es lohnt sich, alle zu kennen, bevor du sie brauchst:

• Prüfe deine E-Mails auf eine Nachricht von [email protected]. Wenn der Angreifer die E-Mail-Adresse deines Kontos geändert hat, kannst du die Änderung über diese Nachricht möglicherweise rückgängig machen.
• Fordere einen Anmelde-Link an deine E-Mail-Adresse oder Telefonnummer über „Passwort vergessen“ an, damit Instagram bestätigen kann, dass dir das Konto gehört.
• Fordere einen Sicherheitscode oder Support an, falls der Anmelde-Link nicht bei dir ankommt.
• Bestätige deine Identität mit einem Video-Selfie. Wenn du Support für ein Konto mit Fotos von dir anforderst, wirst du gebeten, ein Video-Selfie aufzunehmen, bei dem du deinen Kopf in verschiedene Richtungen drehst. Das Video ist auf Instagram nie sichtbar und wird innerhalb von 30 Tagen gelöscht.

Wenn du dich noch anmelden kannst, arbeite stattdessen diese Liste ab – gleiche Quelle:

• Ändere dein Passwort oder sende dir selbst eine E-Mail zum Zurücksetzen des Passworts (instagram.com/accounts/password/change/).
• Aktiviere die Zwei-Faktor-Authentifizierung.
• Bestätige, dass deine Telefonnummer und E-Mail-Adresse in den Kontoeinstellungen korrekt sind.
• Prüfe das Accounts Center und entferne alle verknüpften Konten, die du nicht erkennst.
• Entzieh verdächtigen Drittanbieter-Apps den Zugriff.

Konten mit hohem Risiko: Instagrams Advanced Protection

Einige Instagram-Konten gelten als besonders anfällig für Betrug und Hacking-Versuche – Meta-Verified-Abonnenten, Geschäftsinhaber, Politiker, Journalisten und Werbetreibende. Für diese ist die Zwei-Faktor-Authentifizierung keine Option: Instagrams Advanced Protection macht sie zur Pflicht. Wenn du dich nicht innerhalb der festgelegten Schonfrist angemeldet hast, wird dein Konto gesperrt, bis du die Anmeldung abgeschlossen hast, laut Instagram. Die verfügbaren Methoden sind dieselben drei: Authentifizierungs-App (empfohlen), SMS oder WhatsApp.

Wenn du in eine dieser Kategorien fällst, melde dich an, bevor die Schonfrist abläuft, statt die Sperrung selbst zu entdecken.

Schnellübersicht: Wo jede Einstellung zu finden ist

Die eine Gewohnheit, die sich lohnt

Sicherheitseinstellungen sind eine einmalige Aufgabe, die du zweimal im Jahr überprüfen solltest: 2FA ist noch aktiv, keine unbekannten Geräte in der Anmeldeliste, keine Drittanbieter-Apps, die du nicht erkennst, und das Passwort ist weiterhin nur bei Instagram im Einsatz.

Das Backup ist der Teil, der von allein weiterlaufen muss, denn der Tag, an dem du es brauchst, ist der Tag, an dem du es nicht mehr einrichten kannst.