Sicherheits-Check für deine Konten

Der Sicherheits-Check oben zeigt dir in ein paar Minuten, wie gut deine Konten und Daten geschützt sind. Du beantwortest zwölf Fragen mit Ja, Nein oder Weiß nicht und bekommst eine Punktzahl zwischen 0 und 100. Darunter steht eine Liste der offenen Punkte, jeweils mit einem Link auf den Ratgeber, der dir beim Umsetzen hilft. Der Check läuft lokal in deinem Browser, nichts wird gespeichert oder übertragen.

So funktioniert der Check

1. Fragen beantworten: Wähle bei jeder Frage Ja, Nein oder Weiß nicht. Sei ehrlich, es sieht niemand außer dir.
2. Punktzahl ansehen: Je mehr Schutzmaßnahmen du schon umgesetzt hast, desto höher die Zahl.
3. Offene Punkte abarbeiten: Die Liste unter dem Ergebnis nennt jeden Punkt, der noch fehlt, und verlinkt den passenden Ratgeber.
4. Später wiederholen: Hast du ein paar Punkte erledigt, mach den Check noch einmal.

„Weiß nicht“ ist eine ehrliche Antwort und meist ein Zeichen, dass sich ein genauer Blick lohnt. Wer nicht weiß, ob sein Backup funktioniert, sollte es testen.

Die zwölf Fragen und warum sie zählen

Passwörter

Das BSI rät, ein Passwort immer nur für einen Zugang zu nutzen. Der Grund: Werden Zugangsdaten eines Dienstes veröffentlicht, probieren Angreifer sie automatisiert bei anderen Diensten aus. Ein Passwortmanager macht das praktikabel, weil du dir nur noch ein Masterpasswort merken musst. Starke Passwörter erzeugst du mit unserem Passwort-Generator.

E-Mail-Postfach zuerst

Zwei der zwölf Fragen drehen sich um dein E-Mail-Konto, und das hat einen Grund. Das BSI weist in seinen Hinweisen zu Passwortmanagern darauf hin, dass Angreifer über ein E-Mail-Konto die Passwörter anderer Dienste zurücksetzen können. Wer dein Postfach hat, kommt über „Passwort vergessen“ an fast alles andere.

Zwei-Faktor und Passkeys

Das BSI empfiehlt, die Zwei-Faktor-Authentisierung zu nutzen, sobald ein Dienst sie anbietet, besonders beim Online-Banking, beim Online-Shopping sowie bei E-Mail- und Social-Media-Konten. Bei vielen Diensten ist sie standardmäßig ausgeschaltet. Wie du sie einschaltest, steht im Ratgeber Zwei-Faktor-Authentifizierung. Passkeys gehen einen Schritt weiter: Sie ersetzen das Passwort ganz und sind laut BSI gegen die breite Masse bekannter Phishing-Angriffe immun.

Wiederherstellungscodes

Wenn du den zweiten Faktor verlierst, etwa weil das Smartphone kaputtgeht, verlierst du laut BSI meist auch den Zugang zum Konto. Das BSI empfiehlt deshalb, nach Möglichkeit mehrere zweite Faktoren zu hinterlegen. Viele Dienste bieten zusätzlich Notfall- oder Backup-Codes an, Google zum Beispiel achtstellige Codes zum Ausdrucken. Bewahre sie getrennt vom Smartphone auf, etwa ausgedruckt in einem Ordner zu Hause oder im Passwortmanager.

Backup

Die Verbraucherzentrale beschreibt die 3-2-1-Regel: drei Kopien deiner Daten, zwei davon auf verbundenen Speichermedien und eine auf einem externen Medium, das getrennt vom Gerät aufbewahrt wird. Das BSI rät außerdem, gelegentlich zu prüfen, ob das Backup tatsächlich alle Daten enthält und lesbar ist.

Updates

Das BSI rät, Updates möglichst rasch zu installieren, weil Angreifer Sicherheitslücken oft schon wenige Tage nach deren Bekanntwerden ausnutzen. Bei den meisten Systemen lassen sich Updates automatisieren. So prüfst du es:

• iPhone und iPad: Einstellungen, Allgemein, Softwareupdate, „Automatische Updates“.
• Mac: Systemeinstellungen, Allgemein, Softwareupdate.
• Windows: Einstellungen, Windows Update.
• Android: in den Einstellungen unter System oder Sicherheit, je nach Hersteller unterschiedlich benannt.

Installiere Updates nur, wenn der Hinweis in der gewohnten Form erscheint. Warnungen per E-Mail oder als Pop-up im Browser können gefälscht sein.

Phishing und öffentliches WLAN

Phishing-Mails sind heute oft gut gemacht, mit echtem Logo und fehlerfreiem Deutsch. Das BSI nennt Zeitdruck, Drohungen und die Aufforderung, Daten einzugeben, als typische Merkmale. In öffentlichen WLAN-Hotspots senkt ein VPN laut BSI das Risiko, dass Daten ausgespäht werden.

Ein Beispiel

Beispiel: Ein Handwerksbetrieb mit drei Leuten und einer WordPress-Seite macht den Check. Ergebnis: Passwortmanager ja, Updates automatisch ja, aber das gemeinsame Firmenpostfach hat dasselbe Passwort wie das Hosting-Konto, Zwei-Faktor fehlt überall, und das Backup liegt auf einer Festplatte, die dauerhaft am Bürorechner hängt. Die Liste der offenen Punkte sortiert sich fast von selbst:

1. Neues, eigenes Passwort für das Postfach, erzeugt mit dem Generator.
2. Zwei-Faktor für Postfach, Bankkonto und Hosting einrichten, Backup-Codes ausdrucken und abheften.
3. Eine zweite Backup-Festplatte kaufen, die abwechselnd mit nach Hause genommen wird.
4. Einmal testweise eine Datei aus dem Backup zurückholen.

Zwei Nachmittage Arbeit, danach sind die größten Lücken geschlossen.

In welcher Reihenfolge du offene Punkte angehst

Nicht jeder offene Punkt ist gleich dringend. Wir empfehlen diese Reihenfolge, weil jeder Schritt den nächsten leichter macht:

1. E-Mail-Postfach: eigenes starkes Passwort und zweiter Faktor. Wer das Postfach kontrolliert, kann andere Passwörter zurücksetzen.
2. Passwortmanager: einrichten und mit den wichtigsten Konten befüllen.
3. Zweiter Faktor für Geld: Bank, PayPal, Shopping-Konten.
4. Wiederherstellungscodes: ausdrucken und sicher ablegen, bevor du sie brauchst.
5. Backup: einrichten und einmal testen.
6. Der Rest: Passkeys, Updates, öffentliches WLAN, nach und nach.

Du musst nicht alles an einem Abend schaffen. Schon die ersten drei Schritte schließen die größten Lücken für den Fall, dass ein Passwort in falsche Hände gerät.

Grenzen des Checks

Der Check ist eine Selbsteinschätzung, kein Audit. Er prüft nicht, ob dein Rechner frei von Schadsoftware ist oder ob deine Website Sicherheitslücken hat. Für die eigene Seite gibt es den Ratgeber WordPress absichern. Er ersetzt auch keine Beratung, wenn bereits etwas passiert ist. In dem Fall hilft der Abschnitt „Was tun nach dem Klick?“ im Ratgeber Phishing erkennen. Alle weiteren Ratgeber findest du im Bereich Sicherheit.