Wenn dein Profil seit über einem Monat gehackt ist und Instagram nichts dagegen tut

Es ist der Sonntag vor Ostern, der 10. April, als Carla (Name geändert) die Kontrolle über ihr Instagram-Profil verliert. Das Passwort wurde geändert. Sie hat keinen Zugriff mehr. Mehrfach melden sie selbst und Freund:innen das Problem.

„Dieser Account gibt vor, jemand anders zu sein“ – so lautet die Kategorie der Meldefunktion auf Insta, die am besten auf den Fall passt. Seitdem steht im Profil, dass Instagram sie über die Entscheidung benachrichtigen werde.

Allerdings: Bis heute ist das nicht passiert. Der Account ist immer noch online. Nach einem ganzen Monat.

Was machen die Hacker:innen mit dem Profil?

Sie nutzen es, um Werbung für einen zwielichtig wirkenden Finanzcoach zu machen. Carla, die in Wahrheit anders heißt, hat sich zwar nie für Investment-Coaching interessiert und ihre Freund:innen wissen das auch. Aber entfernteren Bekannte eben nicht.

Wenn sich Carla mal wieder in einer Insta-Story über die Invest-Tipps freut, dann denken solche Follower:innen, die Posts stammten von ihrer Bekannten. Sie warnt zwar ihr Umfeld. Aber dennoch könnten einige ihrer Follower:innen sensible Daten preisgeben: Weil sie annehmen, Carla habe den Coach empfohlen.

Außerdem versuchen die Hacker:innen über Carlas private Nachrichten an weitere Accounts zu kommen, um mit ihnen dasselbe zu machen. Wie bei einer Lawine. Am 16. April bekomme auch ich eine Nachricht.

Hello
How are you doing?

Obwohl ich seit fast einer Woche weiß, dass Carla nicht mehr hinter dem Account steht, schrecke ich kurz auf. Es ist schließlich immer noch das altbekannte Profil einer guten Freundin, die mir regelmäßig Posts auf Instagram zuschickte.

Wie funktioniert die Übernahme des Accounts?

Ich unterdrücke meinen Impuls, mit Flüchen zu antworten. Am anderen Ende sitzt wahrscheinlich eine Clickworker:in irgendwo auf der Welt. Ich tue also so, als sei ich ein geeignetes Opfer. Frage zurück, wie es ihr gehe. Die Person markiert alle Nachrichten mit einem Herz. Dann antwortet sie (die englischen Nachrichten aus dem Original sind hier übersetzt):

Mir gehts gut
Also, ich mache bei einem Wettbewerb mit, um in einem Botschafterprogramm für Online-Influencer mitzumachen. Kannst du pls für mich stimmen? 🥰

Ich tue interessiert und frage nach. Pseudo-Carla antwortet:

Es ist eine Online-Plattfrom
Und ich werde eine Menge Geld verdienen, wenn ich gewinne
Also bitte stimme für mich

Über diese Art von Betrug gab es in den letzten Monaten einige Berichte. Er ist als Screenshot-Scam bekannt. Auf Reddit haben sich etwa zahlreiche Betroffene gemeldet.

Vorsicht mit der Handynummer!

Im nächsten Schritt wollen die Scammer, dass die Kontakte ihnen ihre Handynummer geben („Mein Handy ging kaputt“, schreiben sie). Darüber soll dann ein Link geschickt werden, den man aber auf keinen Fall anklicken dürfe. Denn wer das tut, erkennt die böse Absicht. Stattdessen: Bitte einen Screenshot machen und an die Scammer senden. Beides auf keinen Fall tun! Denn das ist der Trick, über den der Scam funktioniert.

Der Link, der an das Handy gesendet wird, dient dazu, das Passwort zurückzusetzen. Über den Screenshot können die Betrüger:innen so weitere Accounts übernehmen. Deshalb wollen sie auch nicht, dass man darauf klickt, denn dann wäre der Zweck ja offensichtlich. Solange die Betroffenen dem Account vertrauen, überprüfen sie diese zwielichtige Erklärung häufig nicht.

Und solange der Account online bleibt, trotz mehrfacher Meldung, kann er weiter Schaden anrichten.

Was sagt das Mutterunternehmen Meta zu dem Fall?

Eine Meta-Sprecherin antwortet auf Anfrage mit einem allgemein gehaltenen Statement:

„Die Sicherheit unserer Community hat für uns höchste Priorität. Betrügerische Inhalte und Konten auf Instagram verstoßen gegen unsere Gemeinschaftsrichtlinien und werden entfernt. Wir investieren stetig in umfangreiche Kontrollen, Meldemöglichkeiten und Technologien, um gegen Missbrauch vorzugehen.“

In diesem Fall aber wurde das Konto nicht entfernt. Die Technologie und Kontrollen haben versagt.

Wie kann man sich schützen?

Eine effektive und schnell umgesetzte Maßnahme gegen solche Scams ist die Zwei-Faktor-Authentifizierung. Dabei wird bei jeder Anmeldung auf einem neuen Gerät eine zusätzlicher Sicherheitscode neben dem Passwort abgefragt. Die Einrichtung über die Profileinstellungen auf Instagram und anderen Netzwerken ist schnell und einfach.

Außerdem: Bei jeder Nachricht einmal extra überlegen, ob sie wirklich von einer vertrauenswürdigen Person stammt.