Kurz und einfach erklärt
Ihr E-Mail-Postfach ist wie ein Schlüssel zu Ihren anderen Konten. Wer es hat, kann dort ein neues Passwort anfordern.
Der Beitrag zeigt, wie Sie Ihr Postfach besser schützen. Prüfen Sie, ob Ihre Ersatz-Adresse und Ihre Handynummer stimmen.
Ein extra Code beim Anmelden hilft. Dann reicht ein gestohlenes Passwort allein nicht mehr.
Schauen Sie auch, welche Geräte angemeldet sind. Fremde Weiterleitungen sind ein stilles Warnzeichen.
Zum Schluss räumen Sie den Eingang auf. Wir gehen das gern bei Ihnen zu Hause mit Ihnen durch.
Es gibt ein Konto, das über allen anderen steht, und die meisten Menschen behandeln es wie eines von vielen: das E-Mail-Postfach. Wer darauf Zugriff hat, muss kein einziges weiteres Passwort kennen. Er fordert bei der Bank, beim Versandhaus, beim Stromanbieter und beim sozialen Netzwerk einfach ein neues an, denn der Link dafür landet im Postfach. Das Postfach ist damit kein Konto unter vielen, sondern der Schlüsselbund für alle anderen. Wie oft daraus ein Schaden wird, zeigt der Cybersicherheitsmonitor 2026 von BSI und polizeilicher Kriminalprävention: 11 Prozent (Cybersicherheitsmonitor 2026) der Internetnutzerinnen und -nutzer waren allein im Vorjahr von einer Straftat im Internet betroffen. Dieser Beitrag geht den Kontocheck der Reihe nach durch: Wiederherstellungswege aktuell halten, Zwei-Faktor-Anmeldung einrichten, Ersatzcodes sichern, angemeldete Geräte und fremde Weiterleitungen prüfen, das Postfach aufräumen und die eigene Adresse behalten. Ohne Fachbegriffe, in einer Reihenfolge, die man an einem Nachmittag schafft.
Das Wichtigste in Kürze
- Das Postfach ist der Wiederherstellungsweg für fast alle anderen Konten. Wer es übernimmt, braucht die übrigen Passwörter nicht, sondern fordert sie der Reihe nach neu an.
- 11 Prozent (Cybersicherheitsmonitor 2026) der Internetnutzerinnen und -nutzer waren allein im Vorjahr von einer Straftat im Internet betroffen; 27 Prozent (Cybersicherheitsmonitor 2026) waren es bereits mindestens einmal.
- Unter den im letzten Jahr Betroffenen berichten 14 Prozent (Cybersicherheitsmonitor 2026) von Fremdzugriffen auf Online-Accounts und 12 Prozent (Cybersicherheitsmonitor 2026) von Phishing.
- Die Zwei-Faktor-Anmeldung nutzen 40 Prozent (Cybersicherheitsmonitor 2026) der Befragten. Sie greift auch dann noch, wenn das Passwort bereits in fremde Hände geraten ist, weil ein gestohlenes Passwort dann allein nicht mehr genügt.
- Fremde Weiterleitungsregeln sind das stille Zeichen eines übernommenen Kontos: Die Post läuft weiter wie gewohnt und wird zusätzlich kopiert. Diese Liste steht in keiner Warnmeldung, sondern in den Einstellungen.
Warum das Postfach der Hauptschlüssel ist
Fast jeder Dienst im Internet hat denselben Notausgang: "Passwort vergessen". Man tippt seine E-Mail-Adresse ein, bekommt einen Link zugeschickt und vergibt ein neues Passwort. Dieser Weg ist praktisch, solange nur die berechtigte Person in das Postfach sehen kann. Er kehrt sich um, sobald jemand anderes dort Zugriff hat. Dann ist die Reihenfolge nicht Bank, Versandhaus, soziales Netzwerk, sondern erst das Postfach und danach in aller Ruhe der Rest. Genau deshalb lohnt es sich, ein einziges Konto besser abzusichern als alle anderen.
Die Zahlen dazu stammen aus dem Cybersicherheitsmonitor, einer jährlichen Befragung von BSI und polizeilicher Kriminalprävention unter über 3.000 Internetnutzerinnen und -nutzern ab 16 Jahren in Deutschland. 27 Prozent (Cybersicherheitsmonitor 2026) der Befragten waren demnach bereits von Cyberkriminalität betroffen, 11 Prozent (Cybersicherheitsmonitor 2026) allein im Vorjahr. Von den im letzten Jahr Betroffenen berichten 88 Prozent (Cybersicherheitsmonitor 2026) von einem Schaden, 33 Prozent (Cybersicherheitsmonitor 2026) von einem finanziellen Verlust. Wichtig für die Einordnung: Die Prozentwerte zu den einzelnen Delikten beziehen sich auf die Gruppe der Betroffenen, nicht auf alle Befragten.
Das eine Konto, das alle anderen aufsperrt
Wiederherstellung: die Adresse und die Rufnummer, die zählen
Der erste Schritt kostet fünf Minuten und wird trotzdem selten gemacht: nachsehen, welche zweite Adresse und welche Rufnummer beim Postfachanbieter hinterlegt sind. In vielen Konten steht dort noch die Adresse des früheren Arbeitgebers, die Nummer eines alten Vertrags oder die Adresse eines Kindes, das inzwischen ausgezogen ist. Diese Angaben sind kein Beiwerk. Sie entscheiden, wer das Postfach zurückbekommt, wenn das Passwort verloren geht, und sie entscheiden ebenso, wer es übernehmen kann, wenn sie in falsche Hände geraten.
Sinnvoll ist eine Kombination aus zwei Wegen: eine zweite Adresse, auf die man tatsächlich Zugriff hat, und eine Mobilnummer, die auf dem eigenen Gerät liegt. Wer nur einen Weg hinterlegt, steht bei Verlust dieses einen Wegs vor einer verschlossenen Tür. Wer die zweite Adresse bei demselben Anbieter anlegt wie das Hauptpostfach, verliert bei einer Störung typischerweise beide gleichzeitig. Die Rufnummer sollte zudem einer Karte gehören, die noch aktiv ist; abgeschaltete Prepaid-Nummern werden nach einiger Zeit neu vergeben.
- Zweite Adresse eintragen, die bei einem anderen Anbieter liegt und auf die Sie regelmäßig zugreifen.
- Mobilnummer prüfen und, falls sie veraltet ist, austauschen; danach den Empfang einmal testen.
- Antwort auf eine Sicherheitsfrage, falls der Anbieter eine verlangt, wie ein Passwort behandeln und getrennt notieren.
- Adresse des Kontos bei den wichtigsten Diensten gegenprüfen: Bank, Behördenzugang, Versandhandel, Energieversorger.
- Termin im Kalender setzen, um die Angaben einmal im Jahr erneut anzusehen.
Zweite Adresse
Sie nimmt den Wiederherstellungslink auf, wenn das Hauptpostfach nicht erreichbar ist. Sie sollte bei einem anderen Anbieter liegen, damit eine Störung nicht beide Wege gleichzeitig trifft.
Aktuelle Rufnummer
Sie ist der zweite Rückweg und zugleich ein möglicher zweiter Faktor. Eine Nummer, die seit Jahren nicht mehr genutzt wird, kann neu vergeben worden sein und gehört ausgetauscht.
Wartezeit einplanen
Anbieter prüfen Wiederherstellungsanfragen und lassen bewusst Zeit vergehen. Wer den Zugang erst im Ernstfall herstellen will, wartet typischerweise mehrere Tage auf eine Antwort.
Zwei-Faktor-Anmeldung einrichten und Ersatzcodes sichern
Die Zwei-Faktor-Anmeldung verlangt neben dem Passwort einen zweiten Nachweis: einen Zahlencode aus einer App, eine Bestätigung auf dem Telefon oder einen kleinen Sicherheitsstick. Ein gestohlenes Passwort allein genügt dann nicht mehr. Verbreitet ist das Verfahren trotzdem nicht: 40 Prozent (Cybersicherheitsmonitor 2026) der Befragten nutzen es, im Vorjahr waren es 34 Prozent. Passwortloses Anmelden kommt auf 21 Prozent (Cybersicherheitsmonitor 2026). Sichere Passwörter setzen 46 Prozent (Cybersicherheitsmonitor 2026) ein, und im Schnitt nutzen die Befragten knapp 4 der 19 (Cybersicherheitsmonitor 2026) abgefragten Schutzmaßnahmen.
Beim Einrichten gilt eine Regel, die das BSI ausdrücklich nennt: Die beiden Faktoren sollen aus unterschiedlichen Kategorien stammen, also Wissen, Besitz und Biometrie. Ein Code, der auf demselben Telefon ankommt, auf dem auch die Anmeldung stattfindet, trennt die Faktoren nur unvollständig. Praktisch heißt das: Wer sich am Rechner anmeldet, nutzt das Telefon als zweiten Faktor, und wer sich am Telefon anmeldet, hat den Code idealerweise woanders. Für den Alltag zu Hause ist eine Authentifizierungs-App auf dem Telefon plus ausgedruckte Ersatzcodes eine Kombination, die sich gut einrichten und erklären lässt.
- In den Kontoeinstellungen des Postfachs den Bereich für Anmeldung und Sicherheit öffnen.
- Zwei-Faktor-Anmeldung aktivieren und als Verfahren eine Authentifizierungs-App wählen, wenn der Anbieter sie anbietet.
- Den angezeigten Code einmal testweise eingeben, solange die alte Anmeldung noch offen ist.
- Die Ersatzcodes anzeigen lassen, ausdrucken und zu den Papieren legen, an die auch Angehörige im Notfall kommen.
- Ein zweites Gerät als Faktor hinterlegen, damit ein verlorenes Telefon nicht den Zugang blockiert.
- Nach dem Einrichten einmal abmelden und die Anmeldung vollständig durchspielen.
Ersatzcodes gehören auf Papier
Fremdzugriff erkennen: Geräte, Sitzungen, Weiterleitungen
Ein übernommenes Postfach sieht in der Regel unauffällig aus. Wer sich Zugang verschafft hat, ändert selten das Passwort, denn das würde sofort auffallen. Stattdessen bleibt die Post, wie sie ist, und wird zusätzlich kopiert. Unter den im letzten Jahr Betroffenen nennen 14 Prozent (Cybersicherheitsmonitor 2026) Fremdzugriffe auf Online-Accounts und 12 Prozent (Cybersicherheitsmonitor 2026) Phishing als das, was ihnen widerfahren ist. Beide Wege enden häufig im selben Ergebnis: Jemand liest mit.
Die Spuren stehen in den Einstellungen, nicht in einer Warnmeldung. Drei Listen lohnen den Blick: die angemeldeten Geräte, die aktiven Sitzungen und die Weiterleitungs- oder Filterregeln. Besonders die letzte Liste wird selten geöffnet. Eine Regel, die Nachrichten mit bestimmten Stichwörtern automatisch weiterleitet und danach als gelesen markiert oder in den Papierkorb schiebt, ist von außen unsichtbar und läuft still weiter. Wer sie findet, sollte sie löschen, das Passwort ändern und anschließend die Zwei-Faktor-Anmeldung einschalten, damit die Änderung Bestand hat.
- Angemeldete Geräte durchsehen und alles abmelden, was Sie nicht zuordnen können.
- Aktive Sitzungen beenden und danach das Passwort ändern, damit alte Zugänge nicht bestehen bleiben.
- Weiterleitungsregeln und Filter einzeln öffnen; Regeln ohne erkennbaren Zweck löschen.
- Abwesenheitsnotiz und Signatur prüfen, ob dort fremde Adressen oder Links stehen.
- Verbundene Apps und Zugriffsrechte durchgehen und alles entfernen, was nicht mehr genutzt wird.
- Den Ordner für gesendete Nachrichten überfliegen: Was dort steht und nicht von Ihnen stammt, ist ein deutliches Zeichen.
Die stille Regel im Postfach
Passwörter: eines je Zugang, lang genug
Das BSI beschreibt zwei brauchbare Bauweisen für ein Passwort. Ein kurzes und komplexes Passwort sollte mindestens acht Zeichen (BSI) lang sein und aus vier Zeichenarten bestehen, ein langes und weniger komplexes mindestens 25 Zeichen (BSI). Die zweite Bauweise ist im Alltag oft die angenehmere, weil eine Folge aus vier oder fünf Wörtern leichter zu merken und schneller zu tippen ist als eine kurze Zeichenkette mit Sonderzeichen. Entscheidend ist daneben etwas anderes: Ein Passwort sollte nur für einen einzigen Zugang genutzt werden, denn veröffentlichte Zugangsdaten werden von Angreifern bei allen möglichen Diensten durchprobiert.
| Bauweise | Mindestlänge | Zeichenarten | Wofür sie sich eignet |
|---|---|---|---|
| Kurz und komplex | 8 Zeichen (BSI) | vier Arten: Groß, Klein, Zahlen, Sonderzeichen | Zugänge, bei denen häufig getippt wird und ein Manager nicht greift |
| Lang und einfacher | 25 Zeichen (BSI) | zwei Arten reichen, etwa eine Folge von Wörtern | Das Hauptpasswort des Managers und das Postfach selbst |
| Aus dem Passwort-Manager | vom Programm erzeugt | alle Arten, zufällig gemischt | Alle übrigen Konten, weil sie ohnehin nicht getippt werden |
| Mehrfach verwendet | ungeeignet | spielt keine Rolle | Kein Einsatzfeld: Ein Fund genügt für viele Konten gleichzeitig |
In der Praxis läuft es auf eine Arbeitsteilung hinaus: Zwei Passwörter merkt man sich selbst, das für das Postfach und das für den Passwort-Manager. Alle anderen erzeugt und verwahrt das Programm. Wie ein solcher Manager eingerichtet wird und wie die vorhandenen Zettel dorthin wandern, beschreibt der Beitrag zum Passwort-Manager Schritt für Schritt.
Zur Einordnung noch zwei Werte aus derselben Befragung: 8 Prozent (Cybersicherheitsmonitor 2026) der Befragten nutzen überhaupt keine Schutzmaßnahme, und bei den Aktualisierungen haben 26 Prozent (Cybersicherheitsmonitor 2026) die automatische Installation eingeschaltet, während 24 Prozent (Cybersicherheitsmonitor 2026) regelmäßig von Hand aktualisieren. Aktuelle Software gehört zum Postfachschutz dazu, weil ein veralteter Browser einen gut eingerichteten Zugangsschutz umgehen kann. Für das Heimnetz gilt dasselbe: Der Beitrag zum Router und Heimnetz zeigt, welche Einstellungen dort zählen.
Postfach aufräumen: Filter, Ordner, Newsletter
Sicherheit und Ordnung hängen im Postfach enger zusammen, als es zunächst wirkt. In einem Posteingang mit mehreren tausend ungelesenen Nachrichten fällt eine gefälschte Rechnung nicht auf, und eine echte Warnmeldung des Anbieters geht darin unter. Wer aufräumt, verbessert also nicht nur die Übersicht, sondern auch die Chance, das Ungewöhnliche zu bemerken. Die Reihenfolge dafür ist einfach: erst abbestellen, dann filtern, dann archivieren.
Abbestellen wirkt dauerhaft, weil es die Menge senkt, statt sie täglich zu verschieben. Seriöse Newsletter tragen unten einen Abmeldelink; ein Klick genügt in der Regel. Bei unerwünschter Werbung von unbekannten Absendern ist das anders: Dort bestätigt eine Abmeldung nur, dass die Adresse gelesen wird. Solche Nachrichten wandern besser über die Spam-Funktion des Anbieters, damit künftige Post desselben Absenders gleich aussortiert wird.
- Newsletter zwei Wochen lang beim Eintreffen abbestellen, statt sie zu löschen; danach ist die Liste kurz.
- Für wiederkehrende Absender wie Bank, Versicherung oder Verein je einen Ordner anlegen.
- Filterregeln setzen, die diese Absender direkt in den passenden Ordner legen und ungelesen lassen.
- Rechnungen und Verträge in einen Jahresordner archivieren und aus dem Posteingang nehmen.
- Den Posteingang auf die Nachrichten begrenzen, die noch eine Antwort brauchen.
- Einmal im Monat die Ordnerstruktur kurz durchsehen und Filter nachziehen, die nicht mehr passen.
Speicherplatz, Umzug und die eigene Adresse
Ein volles Postfach ist mehr als ein Schönheitsfehler: Ist der Speicher belegt, nimmt der Anbieter typischerweise keine neue Post mehr an, und der Absender bekommt eine Fehlermeldung. Den Platz belegen fast durchweg Anhänge, nicht Texte. Wer nach großen Nachrichten sortiert, findet die zwanzig Mails, die zusammen mehr Platz brauchen als zehn Jahre Schriftwechsel. Fotos und Dokumente daraus gehören ohnehin besser in eine geordnete Ablage als in den Posteingang; wie das aussieht, zeigt der Beitrag zur Datensicherung.
Beim Anbieterwechsel stellt sich eine zweite Frage: die Adresse selbst. Wer eine Adresse beim Internetanbieter nutzt, verliert sie bei einem Wechsel des Vertrags häufig mit. Deshalb ist eine Adresse, die unabhängig vom Vertrag besteht, auf lange Sicht ruhiger. Der Umzug selbst läuft in drei Schritten ab: neues Postfach anlegen, alte Post übernehmen, dann bei den wichtigen Diensten die hinterlegte Adresse ändern und das alte Postfach noch einige Monate als Weiterleitung mitlaufen lassen, bis nichts Wichtiges mehr eintrifft. Das neue Postfach bekommt dabei gleich ein eigenes, ausreichend langes Passwort, das an keiner anderen Stelle vorkommt. Wer währenddessen Verträge und Formulare digital bearbeiten möchte, findet die passenden Handgriffe im Beitrag zum Ausfüllen und Unterschreiben von PDF-Dateien.
Ein langes und weniger komplexes Passwort sollte mindestens 25 Zeichen lang sein.
Ein letzter Punkt betrifft die Erreichbarkeit ohne Strom und Netz. Zugangsdaten, Ersatzcodes und die zweite Adresse nützen wenig, wenn sie ausschließlich in einem Gerät liegen, das gerade keinen Akku hat. Ein Ausdruck an einem festen Ort löst dieses Problem ohne Technik. Welche Geräte im Haushalt bei einem Ausfall weiterlaufen und welche nicht, ist im Beitrag zum Stromausfall zu Hause beschrieben.
So läuft der Kontocheck bei Ihnen zu Hause
Zugang und zweiter Faktor
Wir sehen uns gemeinsam die Wiederherstellungswege an, richten die Zwei-Faktor-Anmeldung ein und drucken die Ersatzcodes aus. Sie legen fest, wo das Blatt liegt.
Geräte und Regeln
Angemeldete Geräte, aktive Sitzungen, Weiterleitungen und verbundene Apps gehen wir Liste für Liste durch und entfernen, was nicht dorthin gehört.
Ordnung im Postfach
Ordner, Filter und Abmeldungen richten wir so ein, dass der Posteingang übersichtlich bleibt. Auf einem Merkblatt steht danach, was wo eingestellt wurde.
Der Termin findet bei Ihnen zu Hause statt, an Ihrem Gerät und mit Ihren Zugängen, damit die Einstellungen danach auch dort stehen, wo Sie sie brauchen. Wer lieber in Ruhe und Schritt für Schritt üben möchte, ist im E-Mail-Kurs richtig; wer die Einstellungen rund um Daten und Werbung verstehen will, im Datenschutz-Kurs. Für ältere Menschen bieten wir das Ganze mit mehr Zeit und größerer Schrift unter Technik für Senioren an. Was ein Termin kostet, steht auf der Seite Preise, und wer im Raum Hildesheim wohnt, findet den Überblick unter Technikhilfe Hildesheim.
Quellen und Studien
Verwandte Artikel
Papierkram digitalisieren: scannen, ordnen, finden
Aktenordner leeren, Unterlagen scannen und wiederfinden: Auflösung, Dateinamen, Aufbewahrungsfristen und die Sicherung, ohne die nichts davon trägt.
Fotos ordnen: das Handy-Chaos in den Griff bekommen
Handy voller Fotos? So schaffen Sie Ordnung: sinnvolle Alben, Duplikate ausmisten, per Gesichts- und Ortssuche wiederfinden - eingerichtet im Raum Hildesheim.
Fake-Shops erkennen: sicher bestellen vor der Black Week
Fake-Shops erkennen vor dem Black Friday: fünf Warnzeichen, eine Prüfliste vor der Bestellung, sichere Zahlungsarten und was zu tun ist, wenn Geld weg ist.