Wer sich mit fremden Zugangsdaten in ein Konto einloggt, begeht in der Regel ein Ausspähen von Daten nach § 202a StGB (bis zu drei Jahre Freiheitsstrafe); ändert er Passwort oder Inhalte, kommt eine Datenveränderung nach § 303a StGB hinzu, und verlangt er Geld für die Rückgabe, eine Erpressung nach § 253 StGB. Ausspähen und Datenveränderung werden nur auf Strafantrag verfolgt, der innerhalb von drei Monaten gestellt werden muss, sofern die Staatsanwaltschaft kein besonderes öffentliches Interesse bejaht. Betroffene sollten deshalb das Konto sichern, Beweise festhalten und zeitnah Anzeige mit Strafantrag erstatten.
Fragen zu Ihrem Fall?+49 211 17179062Mo. bis Fr. 09:00 bis 18:00 UhrRückruf anfordern
Account-Hacking: die Vorschriften im Überblick
| Ausspähen von Daten (§ 202a StGB) | Freiheitsstrafe bis zu drei Jahren oder Geldstrafe |
|---|---|
| Datenveränderung (§ 303a StGB) | Freiheitsstrafe bis zu zwei Jahren oder Geldstrafe, Versuch strafbar |
| Strafantrag (§ 205, § 303c StGB) | relatives Antragsdelikt, Frist drei Monate ab Kenntnis von Tat und Täter (§ 77b StGB) |
| Erpressung (§ 253 StGB) | bis zu fünf Jahren, bandenmäßig nicht unter einem Jahr; Offizialdelikt |
| Fälschung beweiserheblicher Daten (§ 269 StGB) | bis zu fünf Jahren, wenn der Täter im Namen des Opfers rechtlich erhebliche Erklärungen abgibt |
| Computerbetrug (§ 263a StGB) | bis zu fünf Jahren, wenn mit dem Konto bezahlt oder Geld bewegt wird |
| Verjährung | §§ 202a, 303a, 253 StGB: fünf Jahre |
Welche Straftat begeht, wer einen fremden Account hackt?
Wer sich unbefugt Zugang zu einem fremden Konto verschafft und dabei eine Zugangssicherung überwindet, begeht ein Ausspähen von Daten nach § 202a StGB. Das Passwort ist eine solche Sicherung. Es kommt nicht darauf an, ob es durch Phishing, durch Ausprobieren, durch ein Datenleck oder durch einen Blick über die Schulter erlangt wurde. Schon der Zugriff ist strafbar, nicht erst das Herunterladen von Daten.
Was der Täter danach tut, bestimmt die weiteren Vorwürfe:
- Passwort, E-Mail-Adresse oder Telefonnummer ändern, Inhalte löschen: Datenveränderung (§ 303a StGB).
- Im Namen des Opfers Nachrichten schreiben oder Bestellungen aufgeben: möglicherweise Fälschung beweiserheblicher Daten (§ 269 StGB) und Betrug.
- Mit hinterlegten Zahlungsmitteln bezahlen: Computerbetrug (§ 263a StGB).
- Konto nur gegen Geld zurückgeben oder mit Veröffentlichung privater Nachrichten drohen: Erpressung (§ 253 StGB).
Die technischen Hintergründe und die Verteidigung bei Hacking-Vorwürfen erklärt die Seite Hacking und Datendelikte.
Was sollten Sie sofort tun, wenn Ihr Account gehackt wurde?
Sichern Sie zuerst alle verbliebenen Zugänge, dann die Beweise. Die Reihenfolge ist wichtig, weil Täter die Kontrolle oft innerhalb von Minuten vollständig übernehmen.
- Zugang sichern: Passwort ändern, wenn Sie noch eingeloggt sind, andere Sitzungen abmelden, Zwei-Faktor-Authentifizierung einschalten. Ändern Sie auch die Passwörter des zugehörigen E-Mail-Kontos und aller Dienste mit demselben Passwort.
- Wiederherstellung beantragen: Nutzen Sie die offiziellen Wiederherstellungswege der Plattform. Vorsicht vor angeblichen Helfern, die in Kommentaren oder Nachrichten Hilfe gegen Bezahlung anbieten.
- Beweise sichern: Benachrichtigungen der Plattform über Anmeldungen, geänderte E-Mail-Adressen und Passwörter, Phishing-Nachrichten, Erpressernachrichten, Screenshots von Beiträgen, die der Täter veröffentlicht hat.
- Kontakte warnen: Über einen anderen Kanal Freunde und Familie informieren, damit sie auf Geldbitten aus dem gehackten Konto nicht eingehen.
- Bank informieren, wenn Zahlungsmittel hinterlegt waren.
Warum ist die Frist für den Strafantrag so wichtig?
Weil Ausspähen von Daten und Datenveränderung relative Antragsdelikte sind (§ 205 Abs. 1, § 303c StGB). Ohne Strafantrag ermittelt die Staatsanwaltschaft nur, wenn sie ein besonderes öffentliches Interesse annimmt, und das tut sie bei einem einzelnen gehackten Privatkonto nicht immer. Der Antrag muss innerhalb von drei Monaten gestellt werden, nachdem Sie von der Tat und der Person des Täters erfahren haben (§ 77b StGB). Ist der Täter unbekannt, beginnt die Frist erst, wenn er bekannt wird. Sicherer ist es, den Antrag gleich mit der Anzeige zu stellen.
Formulieren Sie in der Anzeige ausdrücklich, dass Sie Strafantrag wegen aller in Betracht kommenden Delikte stellen. Ein Strafantrag kann heute auch elektronisch gestellt werden, wenn Identität und Verfolgungswille sichergestellt sind (§ 158 Abs. 2 StPO), etwa über die Internetwache der Polizei. Eine Erpressung wird dagegen von Amts wegen verfolgt.
Was gilt, wenn der Hacker Geld verlangt?
Verlangt der Täter Geld für die Rückgabe des Kontos oder droht er, private Nachrichten und Bilder zu veröffentlichen, liegt eine Erpressung nach § 253 StGB vor, schon im Versuch strafbar. Zahlen Sie nicht. Die Rückgabe ist nach einer Zahlung nicht gesichert, und Täter fordern häufig nach. Sichern Sie die Forderungen mit Zahlungsdaten und Krypto-Adressen und erstatten Sie Anzeige.
Geht es um intime Bilder, lesen Sie den Beitrag zu Sextortion. Wird im Namen Ihres Kontos ein neues Profil angelegt oder werden Sie im Netz nachgeahmt, hilft die Seite zum Fake-Profil weiter.
Wie ermittelt die Polizei den Täter eines Account-Hacks?
Die Polizei ermittelt vor allem über die Spuren, die jeder Login hinterlässt. Plattformen speichern, von welcher IP-Adresse, mit welchem Gerät und zu welcher Zeit sich jemand angemeldet hat, welche E-Mail-Adresse oder Telefonnummer neu hinterlegt wurde und wohin Nachrichten gingen. Diese Daten fragen die Ermittler beim Anbieter ab. Über die IP-Adresse lässt sich beim Internetanbieter der Anschlussinhaber feststellen (§ 100j Abs. 2 StPO), sofern die Daten noch vorhanden sind.
Deshalb ist Tempo wichtig. Viele Anbieter speichern Verbindungsdaten nur für begrenzte Zeit. Je früher Anzeige erstattet wird, desto größer ist die Chance, dass die Daten noch abgefragt werden können. Hilfreich sind für die Ermittler auch die Benachrichtigungen, die Plattformen bei neuen Anmeldungen oder Änderungen verschicken, und eventuelle Zahlungsdaten, wenn der Täter Geld verlangt oder über das Konto eingekauft hat.
Bei Tätern im Ausland stoßen die Ermittlungen oft an Grenzen. Trotzdem lohnt die Anzeige: Häufig führen Spuren zu Mittelsleuten im Inland, etwa zu Kontoinhabern, über die Geld geflossen ist, oder zu Käufern der übernommenen Konten. Wer gekaufte Zugänge nutzt, kann sich selbst strafbar machen; dazu mehr unter Datenhehlerei.
Das gilt auch innerhalb der Familie, etwa wenn Eltern die Konten volljähriger Kinder öffnen oder Partner die Konten des anderen übernehmen. Ob ein Zugriff berechtigt war, hängt vom Willen des Kontoinhabers ab, nicht von der Beziehung.
Was ist, wenn der Täter aus dem eigenen Umfeld kommt?
Viele Fälle spielen sich im persönlichen Umfeld ab, etwa wenn ein früherer Partner das Passwort kannte oder heimlich auf das Handy geschaut hat. Auch dann ist der Zugriff strafbar: Ein Passwort, das jemand früher einmal erfahren hat, berechtigt nicht zum späteren Zugriff gegen den Willen des Kontoinhabers. Wird zusätzlich überwacht, kontaktiert oder bloßgestellt, kann eine Nachstellung nach § 238 StGB vorliegen; § 238 Abs. 1 Nr. 5 StGB nennt ausdrücklich Taten nach §§ 202a bis 202c StGB gegen die Person. Mehr dazu unter Cyberstalking.
Wird Ihnen umgekehrt vorgeworfen, in das Konto eines anderen geschaut zu haben, machen Sie keine Angaben zur Sache. Ob der Vorwurf trägt, hängt etwa davon ab, ob Sie zum Zugriff berechtigt waren, ob tatsächlich eine Zugangssicherung überwunden wurde und ob ein wirksamer Strafantrag vorliegt.
Wie unterstützt Dr. Löw bei gehackten Accounts?
Dr. Löw war Staatsanwalt im Sonderdezernat für Datenschutz und Cybercrime der Staatsanwaltschaft Mönchengladbach. Er weiß, welche Angaben und Nachweise Ermittler brauchen, um bei einem Plattformbetreiber Daten abzufragen und den Täter zu ermitteln. Für Betroffene bereitet er die Anzeige so vor, dass die richtigen Anträge gestellt und die Beweise verwertbar übergeben werden.
Für Beschuldigte prüft er nach Akteneinsicht, wie die Ermittler den Zugriff zugeordnet haben, ob IP-Adressen und Login-Daten tatsächlich auf den Beschuldigten zeigen und ob der Tatbestand erfüllt ist. Allgemeine Hinweise zum Verhalten bei einer Vorladung finden Sie unter Vorladung der Polizei.
Häufige Fragen
Lohnt sich eine Anzeige, wenn mein Instagram-Konto gehackt wurde?
Ja. Die Anzeige ist Voraussetzung für eine Datenabfrage bei der Plattform. Sie hilft außerdem bei der Wiederherstellung und belegt gegenüber Dritten, dass Nachrichten aus dem Konto nicht von Ihnen stammen.
Ist es strafbar, das Handy meines Partners zu entsperren und Chats zu lesen?
Wenn Sie dafür eine Sperre überwinden, kann das ein Ausspähen von Daten nach § 202a StGB sein. Auf ein früheres Einverständnis können Sie sich nicht berufen, wenn der Partner den Zugriff nicht mehr will.
Bis wann muss ich Strafantrag stellen?
Innerhalb von drei Monaten, nachdem Sie von Tat und Täter erfahren haben (§ 77b StGB). Ist der Täter unbekannt, läuft die Frist erst ab seiner Ermittlung. Stellen Sie den Antrag trotzdem am besten gleich mit der Anzeige.
Was ist, wenn mein Konto für Betrug an meinen Freunden genutzt wurde?
Dann sind Ihre Freunde die Geschädigten eines Betrugs und sollten ebenfalls Anzeige erstatten. Ihre eigene Anzeige wegen des Hackings belegt, dass Sie nicht hinter den Nachrichten stehen.
Muss ich zahlen, um mein Konto zurückzubekommen?
Nein, zahlen Sie nicht. Das ist eine Erpressung. Nutzen Sie die offiziellen Wiederherstellungswege der Plattform und erstatten Sie Anzeige.
Quellen
Dieser Text erklärt die allgemeine Rechtslage (Stand Oktober 2026, zuletzt geprüft am 5. Oktober 2026) und ersetzt keine Beratung im Einzelfall. Fachbegriffe erklärt das Glossar. Fragen zur Zusammenarbeit beantworten die häufigen Fragen.
Rückruf oder Nachricht
Ihr Account wurde gehackt oder Ihnen wird ein unbefugter Zugriff vorgeworfen? Rufen Sie uns an.
Aus dem Blog
Auskunftsersuchen an Webmaildienste
Die Ermittlungsbehörden können ein großes Interesse daran haben, E-Mails von Tatverdächtigen mitzulesen oder die beim E-Mail-Provider hinterlegten …
E-Mail Beschlagnahme beim Provider
Welche Anforderungen müssen gerichtliche Beschlüsse erfüllen? Für die Ermittlungsbehörden sind E-Mails ein grundlegender Bestandteil umfassender …