Account-Takeover (kurz ATO) bezeichnet die vollständige Übernahme eines fremden Nutzerkontos durch einen Angreifer – meist mit dem Ziel, das Konto finanziell auszuschlachten, weiterzuverkaufen oder für weitere Betrugsversuche zu missbrauchen. Anders als ein einzelner Datendiebstahl beschreibt Account-Takeover den Moment, in dem ein Angreifer die vollständige Kontrolle über ein Konto erlangt hat: Passwort, verknüpfte E-Mail-Adresse und in schweren Fällen sogar die Zwei-Faktor-Authentifizierung liegen dann in fremder Hand. Im Gaming-Bereich betrifft das vor allem Konten bei Steam, Epic Games, Riot Games, Battle.net oder den Konsolen-Netzwerken PlayStation Network und Xbox Live, die oft erheblichen materiellen und ideellen Wert enthalten.
Ein Account-Takeover ist selten das Ergebnis eines einzelnen Vorfalls, sondern meist der letzte Schritt einer Kette vorausgehender Ereignisse. Die häufigsten Einfallstore sind:
Phishing. Zugangsdaten werden über gefälschte Login-Seiten oder Nachrichten direkt vom Nutzer abgegriffen – näher beschrieben im Artikel Phishing erklärt.
Wiederverwendete Passwörter. Ein bei einem anderen, weniger sicheren Dienst kompromittiertes Passwort wird automatisiert bei zahlreichen weiteren Plattformen ausprobiert („Credential Stuffing“), in der Hoffnung, dass dasselbe Passwort auch dort funktioniert.
Schadsoftware auf dem eigenen Gerät. Keylogger oder andere Schadprogramme zeichnen Zugangsdaten direkt bei der Eingabe auf, etwa nach dem Download eines infizierten Cheat-Tools oder eines gefälschten Mods.
Social Engineering gegenüber dem Support. Angreifer geben sich gegenüber dem offiziellen Kundensupport als der eigentliche Kontoinhaber aus, um eine Passwort-Zurücksetzung oder eine Änderung der verknüpften E-Mail-Adresse zu erwirken.
Kompromittierte Drittanbieter-Verknüpfungen. Viele Spiele-Accounts sind mit externen Diensten verknüpft (etwa Social-Media-Logins); wird einer dieser verknüpften Dienste kompromittiert, kann der Zugriff auf den eigentlichen Gaming-Account darüber erfolgen.
In vielen dokumentierten Fällen liegt tatsächlich eine Kombination mehrerer dieser Faktoren vor – etwa ein durch Phishing erbeutetes Passwort, das anschließend zusätzlich bei anderen Diensten mit demselben Login funktioniert.
Rechtliche Einordnung in Deutschland
Account-Takeover berührt in Deutschland mehrere Straftatbestände gleichzeitig, abhängig vom genauen Vorgehen der Täter. Dazu zählen typischerweise das unbefugte Ausspähen und Abfangen von Daten, Computerbetrug bei anschließenden finanziellen Transaktionen sowie in bestimmten Konstellationen auch Urkundenfälschung, wenn gefälschte Identitätsnachweise gegenüber dem Support verwendet werden. Die genaue rechtliche Bewertung hängt vom Einzelfall ab, weshalb bei einem größeren finanziellen Schaden oder organisierten Vorgehen immer Anzeige bei der Polizei erstattet werden sollte, statt den Vorfall ausschließlich über den Plattform-Support zu klären.
Wie verbreitet ist Account-Takeover im Gaming?
Sicherheitsberichte großer Plattformbetreiber und spezialisierter Cybersicherheitsfirmen verzeichnen seit Jahren steigende Fallzahlen bei Kontenübernahmen im Gaming-Bereich, parallel zum wachsenden Wert digitaler Spielebibliotheken und Item-Märkte. Ein erheblicher Teil dieser Vorfälle lässt sich auf großangelegte, automatisierte Credential-Stuffing-Kampagnen zurückführen, bei denen Angreifer Listen aus früheren, bei anderen Diensten erbeuteten Zugangsdaten systematisch gegen Gaming-Plattformen testen. Da viele Nutzer Passwörter über mehrere Dienste hinweg wiederverwenden, reicht oft bereits ein einziges kompromittiertes Passwort bei einem unabhängigen, weniger sicheren Dienst aus, um Zugriff auf deutlich wertvollere Gaming-Konten zu erlangen.
Organisierte Wiederverkaufsstrukturen
Übernommene Accounts landen selten bei einem einzelnen, gelegentlich handelnden Angreifer, sondern häufig in arbeitsteilig organisierten Strukturen: Eine Gruppe spezialisiert sich auf das Erbeuten von Zugangsdaten, eine zweite auf das schnelle Leerräumen handelbarer Items, eine dritte auf den anschließenden Weiterverkauf des kompletten Kontos über einschlägige Marktplätze außerhalb der offiziellen Plattformen. Diese Arbeitsteilung erschwert die Rückverfolgung erheblich, da einzelne Beteiligte oft nur einen kleinen Ausschnitt der gesamten Angriffskette überblicken. Für Betroffene bedeutet das in der Praxis, dass ein einmal weiterverkauftes Konto nur selten vollständig zurückzuholen ist, wenn die Meldung an den Support zu spät erfolgt.
Was Angreifer nach einer erfolgreichen Übernahme tun
Sobald die Kontrolle über ein Konto etabliert ist, folgen typischerweise mehrere Schritte in kurzer Abfolge: Die mit dem Konto verknüpfte E-Mail-Adresse und das Passwort werden geändert, um den eigentlichen Besitzer auszusperren. Anschließend werden handelbare Items, Skins oder Ingame-Währung verkauft oder auf andere Konten transferiert, gefolgt vom Weiterverkauf des kompletten Kontos samt Spielebibliothek über einschlägige Marktplätze – ein Umfeld, das eng mit dem im Artikel Scalper & Reseller im Gaming beschriebenen Wiederverkaufsmarkt verwandt ist. In manchen Fällen nutzen Angreifer das übernommene Konto zusätzlich, um über die bestehende Freundesliste weitere Phishing- oder Betrugsnachrichten im Namen des eigentlichen Besitzers zu verschicken, was den entstandenen Schaden auf weitere Personen ausweitet.
Typische Warnsignale eines laufenden oder erfolgten Angriffs
Unerwartete Login-Benachrichtigungen von unbekannten Geräten oder Standorten.
Plötzliche Änderung der Kontodaten – E-Mail-Adresse, Passwort oder Sicherheitsfragen, die man selbst nicht geändert hat.
Fehlende Items, Skins oder Ingame-Währung, die zuvor im Konto vorhanden waren.
Käufe oder Trades, die man selbst nicht ausgelöst hat.
Nachrichten von Freunden, die auf verdächtige Links oder Nachrichten im eigenen Namen hinweisen.
Sofortmaßnahmen bei Verdacht auf Account-Takeover
Passwort umgehend über einen alternativen, sicheren Zugang ändern – etwa über die verknüpfte E-Mail-Adresse, sofern diese noch zugänglich ist.
Offiziellen Support der Plattform kontaktieren und den Vorfall mit Kaufnachweisen oder anderen Belegen für den ursprünglichen Besitz melden.
Verknüpfte Zahlungsmethoden prüfen und gegebenenfalls sperren lassen, um finanziellen Schaden zu begrenzen.
Alle anderen Dienste mit demselben oder einem ähnlichen Passwort ebenfalls absichern, da Angreifer bekannte Zugangsdaten häufig plattformübergreifend ausprobieren.
Freunde und Community vorwarnen, falls über das übernommene Konto bereits Nachrichten im eigenen Namen verschickt wurden.
Wichtig: Ein Account-Takeover kann in der Folge auch zu einem Account-Bann oder PSN-Bann führen, wenn die Plattform verdächtige Aktivitäten registriert und das Konto vorsorglich sperrt – selbst wenn der eigentliche Besitzer keine Schuld an der Kompromittierung trägt. Eine schnelle Meldung an den Support erhöht die Chance, dass eine solche Sperre wieder aufgehoben wird, sobald der rechtmäßige Besitz nachgewiesen ist.
Warum Gaming-Accounts ein besonders attraktives Ziel sind
Ein einzelner Steam- oder Epic-Games-Account kann über Jahre gekaufte Spiele im Wert mehrerer tausend Euro enthalten – ein Sachverhalt, der auch im Artikel Digitale Spielelizenzen erklärt beschrieben wird: Gekaufte Spiele sind rechtlich meist nur Lizenzen, nicht Eigentum, was die Wiederherstellung nach einem Diebstahl zusätzlich verkompliziert. Hinzu kommen seltene, handelbare Items und Skins mit eigenem Marktwert sowie ein oft über Jahre aufgebauter Spielfortschritt, der sich nicht einfach zurückkaufen lässt. Diese Kombination aus hohem materiellen und emotionalem Wert macht Gaming-Konten zu einem dauerhaft lohnenden Ziel, während gleichzeitig viele Spieler Sicherheitsmaßnahmen wie Zwei-Faktor-Authentifizierung als lästig empfinden und deshalb nicht aktivieren.
Besonderheiten bei Konsolen- und Familienkonten
Bei Konsolenplattformen wie PlayStation Network oder Xbox Live kommt eine zusätzliche Komplexität hinzu: Viele Haushalte nutzen ein zentrales Familienkonto, über das mehrere Unterkonten – häufig von Kindern – verwaltet werden. Wird das übergeordnete Familienkonto übernommen, sind potenziell alle verknüpften Unterkonten gleichzeitig betroffen, einschließlich hinterlegter Zahlungsmethoden. Eltern sollten deshalb besonders auf ein starkes, einzigartiges Passwort für das Hauptkonto sowie aktivierte Zwei-Faktor-Authentifizierung achten, da ein kompromittiertes Familienkonto den Schaden auf mehrere Personen gleichzeitig ausweitet. Zusätzlich empfiehlt es sich, für Kinderkonten separate, eingeschränkte Zahlungsberechtigungen zu hinterlegen, statt eine durchgehend hinterlegte Kreditkarte für alle Unterkonten freizugeben.
Prävention: Wie sich das Risiko senken lässt
Zwei-Faktor-Authentifizierung konsequent aktivieren, idealerweise über eine Authenticator-App statt per SMS, da SMS-Codes leichter abgefangen werden können.
Einzigartige Passwörter pro Plattform verwenden, am besten mit einem Passwort-Manager, um Credential Stuffing wirkungsvoll zu verhindern.
Login-Benachrichtigungen aktiv nutzen und bei unbekannten Anmeldungen sofort reagieren, statt Benachrichtigungen zu ignorieren.
Skepsis gegenüber Drittanbieter-Tools, die Zugangsdaten abfragen, insbesondere bei inoffiziellen Cheat-Programmen oder nicht verifizierten Mods.
Wiederherstellungsoptionen aktuell halten, also hinterlegte E-Mail-Adressen und Telefonnummern regelmäßig überprüfen, damit im Ernstfall ein schneller Zugriff auf die Kontowiederherstellung möglich ist.
Abgrenzung zu verwandten Begriffen
Account-Takeover wird häufig mit angrenzenden Themen verwechselt, lässt sich aber klar abgrenzen:
Phishing ist häufig die Methode, mit der ein Account-Takeover eingeleitet wird, beschreibt aber nur den Moment der Datenabgreifung, nicht die anschließende vollständige Kontenübernahme. Details im Artikel Phishing erklärt.
Account-Bann und PSN-Bann sind Sperren durch den Plattformbetreiber selbst, meist als Reaktion auf einen Regelverstoß oder verdächtige Aktivität – nicht der Angriff selbst, sondern häufig eine seiner Folgen. Näheres in den Artikeln Account-Bann erklärt und PSN-Bann erklärt.
Cybersicherheit ist der übergeordnete Rahmenbegriff, unter den sich Account-Takeover als eine spezifische Bedrohungsart einordnet, beschrieben im Artikel Cybersicherheit erklärt.
Häufig gestellte Fragen zu Account-Takeover
Wie schnell muss ich nach einem vermuteten Account-Takeover reagieren?
So schnell wie möglich. Je länger ein Angreifer Zugriff hat, desto größer die Chance, dass Items verkauft, Zahlungsmethoden missbraucht oder die Wiederherstellungsdaten so verändert werden, dass eine Rückgewinnung schwieriger wird.
Reicht ein Passwortwechsel allein aus?
Nicht unbedingt. Wenn ein Angreifer bereits die verknüpfte E-Mail-Adresse geändert hat oder Zugriff auf die Zwei-Faktor-Methode erlangt hat, reicht ein einfacher Passwortwechsel oft nicht aus – dann ist der direkte Kontakt zum offiziellen Support notwendig.
Bin ich für Käufe verantwortlich, die der Angreifer über mein Konto getätigt hat?
Das hängt von der jeweiligen Plattform und den Umständen ab. Eine schnelle Meldung mit lückenloser Dokumentation erhöht in der Regel die Chance, dass unautorisierte Käufe rückgängig gemacht oder erstattet werden.
Schützt Zwei-Faktor-Authentifizierung vollständig vor Account-Takeover?
Sie senkt das Risiko erheblich, ist aber kein absoluter Schutz, da manche Angriffsmethoden – etwa Social Engineering gegenüber dem Support oder kompromittierte Wiederherstellungswege – auch eine aktivierte Zwei-Faktor-Authentifizierung umgehen können.
Warum das Thema für Gaming-Communities relevant bleibt
Mit steigendem Wert von Spielebibliotheken, Skins und digitalen Sammlerstücken bleibt Account-Takeover ein dauerhaft attraktives Ziel für Angreifer. Da viele der zugrundeliegenden Angriffsmethoden – von Phishing bis Credential Stuffing – technisch einfach zu automatisieren sind, reicht plattformseitiger Schutz allein nicht aus. Ein Bewusstsein für die eigenen Sicherheitsgewohnheiten bleibt der wirksamste Baustein, um zu verhindern, dass jahrelang aufgebaute Spielebibliotheken und Spielfortschritte in fremde Hände geraten. Wer die eigenen Konten regelmäßig überprüft, Passwörter konsequent trennt und Warnsignale ernst nimmt, senkt das Risiko spürbar, selbst wenn ein hundertprozentiger Schutz technisch nicht erreichbar ist.
