Umfrage der Initiative Sicher Handeln (ISH) entlarvt riskante Sicherheitslücken bei
E-Mail-Accounts

Berlin/Bonn/Hamburg/Stuttgart, XX. März 2026 – Dass persönliche Accounts bei
Online-Diensten vor Hackerangriffen geschützt sein sollten, ist den meisten
Internetnutzern klar. Schließlich zeigt sich nur jeder Zehnte (11 Prozent) laut einer
YouGov-Umfrage im Auftrag der Initiative Sicher Handeln (ISH) sorglos gegenüber
der Sicherheit seiner Nutzerkonten. Dennoch wird selten konsequent gehandelt.
Ein Trugschluss, denn gerade E-Mail-Accounts sind als zentrale Schnittstelle zur
digitalen Identität besonders sensibel – oft sogar mehr als das Online-Banking.

„123456“ – laut Hasso-Plattner-Institut (HPI) (1) war das auch 2025 das meistgenutzte
Passwort für Online-Dienste. Trotz ständiger Berichte über Cyberattacken und ihre
Folgen agieren viele Internetnutzer weiterhin sorglos – und das wider besseres Wissen.
Denn das Bewusstsein für die Gefahr ist eigentlich vorhanden: Laut einer Umfrage der
ISH beschäftigen sich knapp neun von zehn Befragten zumindest gelegentlich mit der
Sicherheit ihrer Konten – nur eine Minderheit (11 %) zeigt sich unbesorgt. Doch eine
Altersgruppe sticht bei der Umfrage heraus: Von den 18- bis 24-Jährigen geben 16
Prozent an, sich wenig Gedanken um dieses Thema zu machen, während es bei den
Über-55-Jährigen lediglich acht Prozent sind.

„Aus Sicht der Hacker ist jeder interessant“

Wie erklärt sich die anhaltende Beliebtheit von „123456“? Harald Schmidt von der
Stiftung Deutsches Forum für Kriminalprävention, Sprecher der ISH, hat darauf eine
klare Antwort: „Viele Menschen wissen durchaus, welche Risiken sie eingehen, wenn sie
ihre Konten nicht ausreichend absichern. Trotzdem glauben sie, selbst kein lohnendes
Ziel für Hacker zu sein. Doch das ist ein Irrtum – aus Sicht der Täter ist jedes Konto
interessant, da sich aus jedem gehackten Profil Profit schlagen lässt.“

Beim Online-Banking sind die Befragten immerhin vorsichtig: 37 Prozent halten dieses
Profil für sensibler als das E-Mail-Konto. Fast jeder Dritte (30 %) schützt den Zugang
zum Bankkonto daher mit einer Multi-Faktor-Authentifizierung (MFA). Kein anderes
Nutzerkonto wird besser geschützt. Doch die Prioritäten sind oft falsch gesetzt, warnt
Harald Schmidt: „Viele denken beim Thema Sicherheit zuerst an ihr Bankkonto. Doch
der Online-Banking-Zugang ist längst nicht das einzige Ziel der Kriminellen. Der
E-Mail-Account ist für Hacker der eigentliche Generalschlüssel. Wer darauf Zugriff hat,
kann Passwörter zurücksetzen und weitere Accounts übernehmen – vom
Online-Shopping bis hin zu Zahlungsdiensten.“

E-Mail-Account als Schlüssel zur digitalen Identität

Das E-Mail-Konto wird von Internetnutzern dagegen weit weniger gut geschützt. Laut
Umfrage nutzen 17 Prozent ihr E-Mail-Passwort mehrfach. Nur 15 Prozent verwenden
einen Passwortmanager, 13 Prozent eine Multi-Faktor-Authentifizierung und lediglich
acht Prozent setzen auf Passkeys. Bei Passkeys wird das Passwort durch
kryptografische Schlüssel, wie etwa per Fingerabdruck oder Gesichtsscan, ersetzt. Die
Nachlässigkeit vieler Nutzer im Umgang mit ihrem E-Mail-Konto macht es Angreifern
leicht, den Account zu knacken.

Dabei ist der potenzielle Schaden ungleich größer. Während Banken Hacks meist
schneller bemerken, etwa anhand untypischer oder erhöhter Überweisungsaufträge,
bleibt die Übernahme einer E-Mail-Adresse oft lange unentdeckt. Zumal Kriminelle viel
dafür tun, ihr Handeln zu verbergen: Nicht selten richten sie Weiterleitungen ein. E-Mails
werden an ein Drittkonto oder Unterordner weitergeleitet, noch bevor der arglose Nutzer
davon Kenntnis erlangt. Hacker können so auf Rechnung einkaufen oder Drittdienste
anderweitig missbrauchen, zu denen sie dank des gekaperten E-Mail-Accounts meistens
auch direkten Zugang haben.

Genau das ist das Tückische. „Mit dem E-Mail-Account können Kriminelle überall
Nutzerprofile anlegen oder auf bestehende Konten zugreifen“, erklärt Schmidt. „Sie
setzen Passwörter zurück, sperren den Besitzer aus und übernehmen so die komplette
digitale Identität. Die Betroffenen sind meistens machtlos.“

SHS-Regel für höhere Account-Sicherheit

Besonders perfide wird es, wenn Kriminelle die Social-Media-Accounts ihrer Opfer
übernehmen. Dann können sie in deren Namen ihr Unwesen treiben. Diese besondere
Form des Identitätsmissbrauchs ermöglicht es zum Beispiel, Freunden der Opfer eine
Notsituation vorzugaukeln, um Geld bitten und dieses dann abzufangen.

Die beste Möglichkeit, sich davor zu schützen, ist, die Account-Sicherheit zu erhöhen.
Zum Beispiel über sichere Passwörter, die nur einmal vergeben werden. Alternativ stellt
die Aktivierung einer Multi-Faktor-Authentifizierung ein kaum überwindbares zusätzliches
Hindernis für Kriminelle dar. Passwortmanager helfen Nutzern dabei, den Überblick über
die Vielzahl der Passwörter zu behalten. Viele Anbieter bauen diese und ähnliche
Mechanismen bereits in ihre Angebote ein. Kleinanzeigen etwa gleicht zum Schutz der
Nutzer jedes Passwort, das vergeben wird, automatisch mit einer Liste von
kompromittierten Passwörtern ab. Taucht ein Passwort dort auf, kann es nicht verwendet
werden.

Die Initiative Sicher Handeln setzt woanders an. „Wir möchten Internetnutzer von Anfang
an für eine höhere Account-Sicherheit sensibilisieren“, so Schmidt. Dafür gibt sie ihnen
Hilfestellung an die Hand. Eine davon: die SHS-Regel – Stoppen, Hinterfragen,
Schützen. Stoppen heißt, bei Auffälligkeiten kurz innezuhalten und das Risiko der
geforderten Aktion abzuwägen. Hinterfragen meint, die verlangte Aktion nicht ohne
Weiteres auszuführen. Und Schützen beinhaltet den eigenen, aber auch den Schutz
anderer Nutzer: Verdachtsmomente sollten der jeweiligen Plattform gemeldet werden.
Außerdem sollten Betroffene im Freundes- und Familienkreis über ihre Erfahrungen
sprechen.

Auch wenn Aufklärung weiterhin nötig ist, zeigt die Umfrage Fortschritte beim
Sicherheitsbewusstsein: Während 2025 noch 21 Prozent der Befragten unsicher waren,
welche Schutzmaßnahmen gegen die Übernahme von Benutzerkonten wirksam sind,
sind es in diesem Jahr nur noch 14 Prozent. Gleichzeitig zeigt sich jedoch, dass Wissen
nicht immer konsequent angewendet wird – etwa beim Schutz des E-Mail-Kontos.

Externe Quellen
(1) Hasso-Plattner-Institut (HPI) 2026:
https://hpi.de/artikel/hpi-veroeffentlcht-meist-geleakte-passwoerter-2025/

Über die Umfrage

Das Meinungsforschungsinstitut YouGov hat im Auftrag der Initiative Sicher Handeln
(ISH) im Zeitraum vom 25. bis 27.02.2026 insgesamt 2.126 Personen online befragt. Die
Erhebung wurde nach Alter, Geschlecht und Region quotiert und die Ergebnisse
anschließend entsprechend gewichtet. Sie sind repräsentativ für die Wohnbevölkerung
in Deutschland ab 18 Jahren.

Über die Initiative Sicher Handeln

Sicher Handeln ist eine gemeinsame Initiative der Polizeilichen Kriminalprävention der
Länder und des Bundes (ProPK), der Stiftung Deutsches Forum für Kriminalprävention
(DFK), Deutschland sicher im Netz e. V. (DsiN), RISK IDENT und Kleinanzeigen, die
2023 ins Leben gerufen wurde. Mit dem Ziel, der wachsenden digitalen Kriminalität
entgegenzuwirken, setzt sich die Initiative für mehr Aufklärung beim Thema
Online-Betrug ein. Ziel ist die Vermittlung digitaler Basiskompetenzen – unter anderem
mit der „SHS-Regel“ (Stoppen, Hinterfragen, Schützen). Weitere Informationen unter
www.stark-gegen-betrug.de