Aktuell

Wenn der Firmen-Account plötzlich fremd postet

LinkedIn, Instagram, Facebook: Unternehmens-Accounts haben oft mehr Follower und mehr Vertrauen als jeder einzelne Mitarbeitende — und werden trotzdem seltener abgesichert als ein x-beliebiger Server.

16. September 2026

Ein Angreifer muss dafür keine Firewall überwinden und keine Schwachstelle in einem Server finden. Er braucht nur ein einziges Passwort — oder eine Mitarbeiterin, die auf einen gut gemachten Phishing-Link klickt. Ist der Firmen-Account auf LinkedIn, Instagram oder Facebook erst einmal übernommen, kann der Angreifer im Namen des Unternehmens posten, Kunden über den Kanal direkt anschreiben und die gesamte Reichweite und das aufgebaute Vertrauen der Marke für eigene Zwecke missbrauchen — oft für weiteres Phishing an genau die Kontakte, die dem Unternehmen am meisten vertrauen.

Der Schaden ist dabei selten technischer Natur. Es ist der Vertrauensverlust: Kunden, Partner und Follower, die plötzlich fragwürdige Links oder Nachrichten von einem Absender erhalten, dem sie bislang vertraut haben. Bis ein übernommener Account zurückerlangt, bereinigt und die Community informiert ist, vergehen oft Tage — manchmal Wochen.

Warum Firmen-Accounts ein lohnenderes Ziel sind als private

Ein privater Account hat meist einen Besitzer, ein Passwort und einen klaren Verantwortlichen. Ein Unternehmens-Account dagegen wird oft von mehreren Personen genutzt — Marketing, Geschäftsführung, manchmal eine externe Agentur — häufig über ein einziges, geteiltes Passwort, das seit Jahren nicht geändert wurde. Zugriffe werden selten zentral dokumentiert, noch seltener regelmäßig überprüft. Für Angreifer ist das ein attraktives Ziel: hohe Reichweite, hohes Vertrauen, aber kaum zentrale Kontrolle darüber, wer eigentlich noch Zugriff hat.

Die drei wichtigsten technischen Hebel

Die gute Nachricht: Die wirksamsten Maßnahmen sind nicht kompliziert, sondern werden in der Praxis schlicht zu selten konsequent umgesetzt.

Zwei-Faktor-Authentifizierung

Für jeden Account mit Zugriff auf Firmenprofile Pflicht, nicht optional — ein gestohlenes Passwort allein reicht damit nicht mehr für die Übernahme.

Rollenbasierte Zugriffe

Eigene Zugänge mit passender Rolle (Redakteur, Admin) statt eines einzigen, geteilten Logins, das jeder kennt und niemand ändert.

Passwortmanager

Lange, einzigartige Passwörter je Plattform statt wiederverwendeter oder in Notiz-Apps abgelegter Zugangsdaten.

Wie wirksam allein der erste Punkt ist, zeigt aktuell die Betrugswelle rund um Payback: Angreifer testen dort massenhaft Zugangsdaten aus fremden, älteren Datenlecks gegen Payback-Logins (Credential Stuffing) und plündern erfolgreich übernommene Konten. Nach Angaben von Payback selbst sind davon ausschließlich Konten ohne aktivierte Zwei-Faktor-Authentifizierung betroffen — Accounts mit aktivierter 2FA bleiben verschont. Ein Kundenkonto ist zwar kein Firmen-Social-Media-Account, das Prinzip dahinter ist aber identisch: Wo 2FA fehlt und Passwörter wiederverwendet werden, reicht ein einziger fremder Datenleak, um ein Konto vollständig zu übernehmen.

Der blinde Fleck: Offboarding

Ein Mitarbeiter, eine Werkstudentin oder eine externe Marketing-Agentur verlässt das Unternehmen — und der Zugriff auf den Instagram- oder LinkedIn-Account bleibt bestehen, weil niemand daran denkt, ihn zu entziehen. Genau dieser Punkt wird bei der IT-Offboarding-Checkliste am häufigsten vergessen, weil Social-Media-Zugänge selten als „IT-System“ wahrgenommen werden. Ein sauberer Offboarding-Prozess gehört deshalb genauso zur IT-Sicherheit wie das Deaktivieren eines Windows-Benutzerkontos — und ist ein Punkt, den wir bei jedem Kunden als festen Bestandteil des Onboardings/Offboardings mit aufnehmen.

Verknüpfte Apps: alte Zugänge aufräumen

Scheduling-Tools, Analyse-Dashboards, Kampagnen-Apps aus einer Aktion vor zwei Jahren — jede verknüpfte Drittanbieter-App ist ein zusätzlicher Zugriffspunkt auf den Firmen-Account, unabhängig vom eigentlichen Passwort. Ein regelmäßiger Blick in die Liste der verbundenen Apps (bei den meisten Plattformen unter den Sicherheitseinstellungen zu finden) und das Entfernen längst nicht mehr genutzter Verbindungen gehört ebenso zur Routine wie ein Software-Update.

Was das für Ihre IT bedeutet

Social-Media-Zugänge werden in der Praxis selten als Teil der IT-Sicherheit behandelt — dabei gelten für sie dieselben Grundregeln wie für jeden anderen Unternehmens-Account: klare Zuständigkeiten, Zwei-Faktor-Authentifizierung, regelmäßige Zugriffskontrolle und ein Offboarding-Prozess, der auch diese Zugänge mit erfasst.

Im Ernstfall: die ersten Schritte nach einer Account-Übernahme

Ist ein Account bereits übernommen, zählt jede Minute: Zugriff über die Meldewege der jeweiligen Plattform sperren lassen, Passwort und alle aktiven Sitzungen zurücksetzen, verknüpfte Apps neu prüfen — und Kunden sowie Follower aktiv über den Vorfall informieren, bevor sie selbst auf einen der übernommenen Beiträge hereinfallen. Wer diese Schritte vorab dokumentiert und den Zugriff auf die Wiederherstellungsoptionen (hinterlegte Telefonnummer, E-Mail-Adresse) regelmäßig prüft, gewinnt im Ernstfall wertvolle Zeit.

Fazit

Social-Media-Accounts sind für viele Unternehmen die öffentlichste Visitenkarte — und werden trotzdem oft stiefmütterlicher abgesichert als jedes interne System. Wer Zugriffe, Zwei-Faktor-Authentifizierung und Offboarding für diese Kanäle genauso konsequent handhabt wie für die restliche IT, schließt eine Lücke, die in der Praxis viel zu oft offen bleibt. Im Rahmen unserer Managed Services beziehen wir Zugriffs- und Offboarding-Prozesse standardmäßig auch auf Unternehmens-Accounts außerhalb der klassischen IT-Infrastruktur mit ein — inklusive regelmäßigem IT-Sicherheitscheck.

Quellen & weiterführende Links

Recherche-Stand: 16. September 2026 — Empfehlungen beziehen sich auf die zum Redaktionsschluss aktuellen Sicherheitsfunktionen der jeweiligen Plattformen.