Warum Seiten gefährlich sind, die nach dem Passwort fragen

Seiten, die für Follower oder Likes nach deinem Passwort fragen, sind gefährlich, weil zum Liefern von Followern und Likes gar kein Passwort nötig ist. Wer dein Passwort hat, loggt sich ein, folgt in deinem Namen anderen Leuten, verschickt Nachrichten, übernimmt das Konto und kommt bis in dein E-Mail-Postfach, falls du dasselbe Passwort dort benutzt. Ein seriöser Dienst will nichts als deinen öffentlichen Link.

Was mit deinem Passwort geschieht

In dem Moment, in dem du dein Passwort auf einer fremden Seite oder in einer fremden App eintippst, liegt dein Konto nicht mehr in deiner Hand. Was die Gegenseite damit macht, entscheidest nicht mehr du. Die folgenden Abläufe kommen am häufigsten vor.

Übernahme des Kontos

Wer das Passwort bekommt, loggt sich ein, ändert zuerst Wiederherstellungsadresse und Telefonnummer auf eigene Angaben und setzt danach das Passwort neu. Du fliegst aus der App, und der Weg über “Passwort vergessen” schickt den Code nicht mehr an dich. Konten mit vielen Followern werden so weiterverkauft oder gegen Geld zurückgegeben; kleine Konten dienen als Absender für Werbung und Betrugsnachrichten.

Abgegriffene Sitzungen

Manche Seiten fragen gar nicht nach dem Passwort, sondern sagen “kopier diesen Code aus deinem Browser”. Gemeint ist das Sitzungscookie, der Schlüssel, den die Plattform in deinem Browser hinterlegt, um dich wiederzuerkennen. Er öffnet dieselbe Tür wie das Passwort, und er funktioniert sogar nach einer Passwortänderung weiter, solange die offene Sitzung nicht beendet wird. Der Satz “wir fragen nur nach einem Code” ist deshalb keine Beruhigung.

Spam in deinem Namen

Die meisten Systeme, die für Follower nach einem Passwort fragen, arbeiten mit einem Tauschprinzip: Während dir Follower zugeteilt werden, folgt dein Konto anderen aus demselben Pool, likt deren Beiträge und kommentiert. Ohne dein Wissen kann es Fremden Nachrichten schicken oder Werbung in deiner Story teilen. Sieht die Plattform dieses Verhalten, wertet sie es, als hättest du es selbst ausgelöst; Warnung, eingeschränkte Funktionen oder Sperre treffen dann dich.

Das Risiko der verbundenen Konten

Die meisten Menschen benutzen dasselbe Passwort an mehreren Stellen. Stimmt das deines sozialen Netzwerks mit dem deines Postfachs überein, kommt der Angreifer auch dort hinein. Die E-Mail ist der Generalschlüssel: Jeder Ablauf für vergessene Passwörter endet dort, von der Bank bis zum Onlineshop. Die Telefonnummer ist eine ähnliche Tür; ist die hinterlegte Nummer geändert, landen Bestätigungscodes auf einem fremden Gerät.

Dateien und angebliche Trick-Programme

Was als “Follower Programm” verteilt wird, ist eine APK oder eine Datei für den Rechner, die außerhalb der offiziellen Läden installiert wird. Weil sie keine Prüfung durchlaufen hat, kontrolliert niemand, was darin steckt. Die Berechtigungen, die bei der Installation verlangt werden, verraten den eigentlichen Zweck: Der Zugriff auf SMS dient dem Abfangen von Bestätigungscodes, die Bedienungshilfen dienen dem Mitlesen deiner Eingaben, und die Erlaubnis, über anderen Apps zu zeichnen, dient einer gefälschten Anmeldemaske.

Um Follower, Likes oder Aufrufe zu schicken, muss auf deinem Telefon nichts installiert werden. Das geschieht nicht in deinem Konto, sondern an deinem öffentlichen Inhalt, und dafür genügt ein Link. Jedes Angebot mit Installationszwang widerspricht dieser einfachen Tatsache.

Gefälschte Anmeldemasken

Die verbreitetste Masche ist eine Kopie der Anmeldeseite der Plattform. Logo, Farben und Schrift stimmen, der einzige Unterschied steht in der Adresszeile. Der Nutzername und das Passwort, die du dort eintippst, gehen direkt an den Betreiber der Seite; danach wirst du auf die echte Seite weitergeleitet und denkst, du hättest dich vertippt.

Wenn dir eine Anmeldemaske begegnet, schau in die Adresszeile. Die echte öffnet sich unter der Adresse der Plattform selbst: instagram.com für Instagram, tiktok.com für TikTok. Adressen mit vertauschten Buchstaben, angehängten Wörtern oder anderer Endung sind Kopien. Ein Fenster innerhalb einer App verdient dieselbe Prüfung; ist keine Adresse zu sehen, tipp dort kein Passwort ein.

Woran du eine gefährliche Seite erkennst

Eines der folgenden Zeichen reicht schon; treten zwei zusammen auf, schließ die Seite.

• Ein Passwortfeld. Steht im Formular neben dem Nutzernamen ein Feld für das Passwort, geht es nicht darum, dir Follower zu schicken, sondern dein Konto zu bekommen.
• Die Aufforderung, etwas zu installieren. Jede Seite, die “zum Fortfahren bitte die App installieren” sagt, will eine ungeprüfte Datei auf dein Telefon bringen.
• Die Frage nach dem SMS-Code. Wer den Code haben will, der gerade auf deinem Telefon eingeht, versucht in diesem Moment, sich in dein Konto einzuloggen. Der Code ist die Frage der Plattform, ob du das wirklich bist; weitergegeben lautet die Antwort ja.
• Ein Knopf zum Verbinden des Kontos. Verbinden ist oft nur ein anderes Wort dafür, das Passwort einzugeben. Selbst wenn es eine echte Freigabe der Plattform ist, erlaubst du einer unbekannten Seite damit Handlungen in deinem Konto.
• Erst Aufgaben, dann Belohnung. Ein System, das sagt “folge diesen Konten, dann bekommst du Follower”, benutzt dein Konto als Teil seines Tauschpools.
• Ein festes Ergebnis als Versprechen. Niemand steuert die Zähler der Plattform, deshalb kann auch niemand ein festes Ergebnis zusagen.

Stell dir im Zweifel nur eine Frage: Muss dieser Dienst in mein Konto hinein, um seine Arbeit zu tun? Für Aufrufe, Likes und Follower lautet die Antwort immer nein. All das geschieht von außen an deinem öffentlichen Inhalt. Ein Dienst, der ins Konto will, hat ein anderes Ziel als das, was er dir erzählt.

Was du tust, wenn es passiert ist

Hast du dein Passwort irgendwo eingegeben oder eine verdächtige App installiert, kommt es auf die Reihenfolge an.

Zuerst das Passwort ändern

Ändere erst das Passwort des sozialen Netzwerks, danach das aller Konten mit demselben Passwort. Das neue sollte lang sein und nirgendwo sonst vorkommen. Ändere es nicht von einem Telefon aus, auf dem die verdächtige App noch liegt; entferne sie vorher oder nimm ein anderes Gerät.

Alle Sitzungen beenden

Ein neues Passwort beendet offene Sitzungen nicht in jedem Fall. Bei Instagram zeigt dir die Anmeldeaktivität in den Sicherheitseinstellungen die offenen Sitzungen, bei TikTok die Geräteliste unter Sicherheit und Berechtigungen. Wirf dort jedes Gerät und jeden Ort hinaus, die du nicht kennst. Dieser Schritt entwertet auch ein abgegriffenes Sitzungscookie.

Bestätigung in zwei Schritten einschalten

Die Bestätigung in zwei Schritten hält selbst jemanden auf, der dein Passwort kennt. Wähl möglichst eine Authenticator-App statt der SMS; das hält dem Wechsel einer Nummer und dem Kopieren einer SIM besser stand. Leg die Ersatzcodes an einem sicheren Ort ab.

Verbundene Anwendungen entfernen

Bei Instagram findest du unter Apps und Websites, bei TikTok unter den App-Berechtigungen die Liste der fremden Dienste, denen du Zugriff gegeben hast. Entferne dort jeden Eintrag, den du nicht kennst oder nicht mehr brauchst. Lösch auf dem Telefon alle außerhalb der Läden installierten Trick-Apps und lass das Gerät bei Bedarf von einer Sicherheitsprüfung durchsehen.

E-Mail und Telefonnummer prüfen

Sieh nach, ob die hinterlegte Wiederherstellungsadresse und die Telefonnummer noch dir gehören. Wirf auch einen Blick in die Sicherheitseinstellungen deines Postfachs: Wer in ein Postfach gelangt, legt dort gern eine Weiterleitung an, die ihm Kopien deiner Nachrichten schickt. Entferne jede Weiterleitung, jeden Filter und jedes verbundene Gerät, die du nicht kennst, und erneuere auch das Passwort des Postfachs.

Den Support der Plattform einschalten

Kommst du gar nicht mehr hinein, nutz den Hilfelink auf der Anmeldemaske. Instagram und TikTok bieten für übernommene Konten einen Ablauf mit Identitätsprüfung an; mit Zugriff auf die hinterlegte Adresse oder Nummer geht es schneller. Sag deinen Followern derweil Bescheid, dass sie Links in deinem Namen nicht anklicken sollen.

Warum es hier anders läuft

Die Dienste auf dieser Seite verlangen nichts als einen öffentlichen Link oder einen Nutzernamen. Es gibt kein Passwortfeld, keine App, keinen Schritt zum Verbinden des Kontos, und auf dein Telefon kommt kein Code. Die Anfrage geht an einen Anbieter, und geliefert wird an deinen öffentlichen Inhalt; dein Konto wird zu keinem Zeitpunkt berührt. Das ist kein Programm, keine APK und keine Lücke, sondern eine gratis Probe. Den ganzen Ablauf findest du im Ratgeber über gratis SMM Dienste, alle weiteren Beiträge in der Ratgeber-Übersicht.

Ehrlicherweise hat dieser Weg auch Grenzen. Die Menge liegt fest, es gibt eine Wartezeit, was ankommt kann sich verändern, und dein Konto oder dein Inhalt muss öffentlich sein. Der Dienst lässt dein Konto nicht von allein wachsen, er gibt einem neuen Video oder einem frischen Konto einen kleinen Anschub. Dafür setzt du aber weder dein Passwort noch dein Telefon noch deine übrigen Konten aufs Spiel.

Bei TikTok Followern, Instagram Followern und TikTok Likes arbeitet das Formular nach derselben Logik; nach Plattform sortiert stehen alle Dienste auf den Seiten für TikTok und Instagram. Die Regel bleibt überall gleich: Wo nach deinem Passwort gefragt wird, werden keine Follower verschickt, sondern Konten eingesammelt.