Smartphone sicher machen — die komplette Schritt-für-Schritt-Anleitung für Einsteiger

Nicht dein Handy wird gehackt — du

Der wichtigste Gedanke vorweg: Die meisten Angriffe knacken keine Technik, sie knacken Menschen und Passwörter. Der Fall meiner Schwester ist der Normalfall, nicht die Ausnahme. Sie hatte überall dasselbe Passwort — und das ist, als hättest du einen einzigen Schlüssel für Haustür, Auto und Tresor. Geht der eine verloren, steht alles offen.

So läuft der typische Angriff ab: Irgendein Dienst, bei dem du ein Konto hast, wird gehackt und verliert seine Nutzerdaten — ein Datenleck. Deine Mail-Adresse und dein Passwort landen auf einer Liste. Ein Programm (ein Bot) nimmt diese Liste und probiert die Kombination vollautomatisch bei hunderten anderen Diensten durch. Überall, wo du dasselbe Passwort genutzt hast, ist der Bot drin. Dieser Mechanismus heisst Credential Stuffing — und genau ihn legen wir mit den nächsten Regeln trocken.

Du musst nicht alle acht Regeln auf einmal umsetzen. Aber jede einzelne nimmt einem Angreifer eine Tür weg. Lies sie als Baukasten — und fang mit der an, die bei dir noch fehlt.

Regel 1 & 2: Bildschirmsperre, SIM-PIN und Updates

Alles andere nützt nichts, wenn die Eingangstür offen steht. Regel 1 ist die Bildschirmsperre — das Türschloss deines Handys. Drei Dinge: kein Wischmuster (die Fettspuren auf dem Glas verraten es), nutze die Biometrie (Gesicht oder Fingerabdruck), und leg dahinter eine PIN mit mindestens 6 Ziffern. Der Unterschied ist gewaltig: Eine 4-stellige PIN hat 10'000 Kombinationen, eine 6-stellige eine Million. Stell die automatische Sperre auf ein bis zwei Minuten.

Was fast alle vergessen: die SIM-PIN, ein separater Code für die SIM-Karte selbst. Ohne sie nimmt ein Dieb deine SIM heraus, steckt sie in ein anderes Handy, telefoniert auf deine Kosten — und fängt damit die SMS-Codes ab, mit denen man Passwörter zurücksetzt. Einmal in den Einstellungen aktivieren, fertig.

Regel 2 sind die Updates. Ich weiss, sie nerven. Aber stell dir eine Mauer vor: Mit der Zeit entstehen Risse — Sicherheitslücken. Ein Update ist der Mörtel, der sie zumacht. Es ist also Reparatur, nicht Kosmetik. Schalt «Automatische Updates» für System UND Apps ein; sie laufen nachts am Ladekabel und im WLAN. Und beim nächsten Handy-Kauf: Schau, wie lange der Hersteller noch Updates verspricht. Ein Gerät, das keine Sicherheitsupdates mehr bekommt, gehört nicht mehr fürs Online-Banking benutzt.

Regel 3: Phishing und der eine Reflex, der fast alles stoppt

Das ist die wichtigste Regel im ganzen Artikel — denn hier werden die meisten Menschen wirklich erwischt. Phishing hackt nicht dein Handy, es hackt dich. Jemand verkleidet sich als Post, als Bank, als bekannter Dienst und bringt dich dazu, ihm freiwillig die Tür zu öffnen. Drei typische Schweizer Maschen:

• Die Post-SMS: «Ihr Paket hängt am Zoll, bitte zahlen Sie eine kleine Gebühr» — die gefälschte Seite greift deine Kreditkarte ab. Laut NCSC liefen 2023 rund 21 % aller gemeldeten Phishing-Angriffe über solche gefälschten Post-Nachrichten.
• TWINT-Tricks: ein gefälschter «Bitte Geld zurück»-Screenshot, eine Zahlungs-Forderung, bei der du reflexartig «Bestätigen» tippst und selbst zahlst, oder überklebte QR-Codes an Parkuhren.
• «Hallo Mama/Papa»: eine SMS von einer neuen Nummer, angebliche Notlage, sofort überweisen.

Und jetzt der eine Reflex, der dich gegen alle diese Maschen schützt — wenn du dir nur eine Sache merkst, dann diese: Echte Anbieter setzen dich NIE unter Zeitdruck. Diese künstliche Dringlichkeit («sofort», «nur heute», «sonst gesperrt») ist das deutlichste Warnsignal überhaupt.

Vier eiserne Grundsätze: 1) Spürst du Druck — halt an. 2) Tipp Links in SMS oder Mail nie an; öffne die offizielle App oder tipp die Adresse selbst ein (post.ch, postfinance.ch). 3) In Zahl-Apps prüfen: Eingang oder Forderung? Codes nie weitergeben. 4) Angeblich Bekannte auf der alten, bekannten Nummer zurückrufen.

Regel 4 & 5: Passwort-Manager, 2FA und der Leak-Check

Jetzt kommt das Herzstück — und damit zurück zur Geschichte meiner Schwester. Regel 4 ist der Passwort-Manager, ein digitaler Tresor. Niemand merkt sich 50 komplizierte Passwörter, also nimmt man eins und benutzt es überall — genau der Fehler. Ein Passwort-Manager erzeugt für jeden Dienst ein langes Zufallspasswort und merkt es sich; du brauchst nur noch ein Master-Passwort. Mach daraus eine Passphrase — einen langen, absurden, aber merkbaren Satz wie «Ich-trinke-meinen-Kaffee-am-liebsten-um-0730-Uhr». Bekannte Beispiele: Bitwarden (gratis, Open Source), 1Password, KeePassXC (offline), Dashlane. Schöner Nebeneffekt: Der Manager füllt auf einer Phishing-Fälschung nichts aus — eingebauter Schutz.

Regel 5 ist die Zwei-Faktor-Authentifizierung (2FA) — ein zweiter Faktor zusätzlich zum Passwort. Du kennst das vom Bankautomaten: Karte (Besitz) plus PIN (Wissen). Selbst mit gestohlenem Passwort kommt der Angreifer ohne den zweiten Faktor nicht rein. Von stark nach schwach: ein Hardware-Token, dann eine Authenticator-App (Google/Microsoft Authenticator, funktioniert offline), dann Biometrie, und zuletzt die SMS-TAN — die ist am schwächsten, aber immer noch besser als nichts. Der wichtigste Schritt: 2FA zuerst auf dein E-Mail-Postfach, denn über «Passwort vergessen» hängt fast alles daran. Notier dir die Wiederherstellungs-Codes auf Papier.

Mach jetzt etwas zum Mitmachen: Geh auf haveibeenpwned.com, gib eine deiner (älteren) Mail-Adressen ein, und die Seite zeigt dir, in welchen Datenlecks sie auftaucht. Genau aus solchen Lecks holt sich der Bot die Mail-Passwort-Kombination. Wenn deine Haupt-Mail in mehreren Lecks steckt, lös sie mit der Zeit ab — aber nicht hektisch alles auf einmal: 1) neue, saubere Haupt-Mail anlegen (mit 2FA, im Manager), 2) wichtigste Konten zuerst umstellen (Banking, Behörden, Shops mit Zahlungsdaten), 3) dabei je ein neues Passwort vergeben, 4) die alte Mail NICHT sofort löschen, sondern als Auffangnetz behalten und über Wochen nachziehen, 5) erst spät stilllegen.

Regel 6 bis 8: WLAN/VPN, App-Rechte, Backup & Fernsperre

Regel 6 — öffentliches WLAN. Das Gratis-WLAN im Café oder am Flughafen ist wie ein lautes Gespräch mit Megafon auf dem Marktplatz; der «Evil Twin» ist ein gefälschter Hotspot mit gleichem Namen. Für alles Sensible — Banking, Einkäufe — nimm lieber dein Mobilfunknetz (4G/5G). Wer oft auf offene Netze angewiesen ist, nutzt ein seriöses, kostenpflichtiges VPN (blickdichter Tunnel). Finger weg von Gratis-VPNs — die finanzieren sich oft über den Verkauf deines Surfverhaltens. Und schalt WLAN, Bluetooth und NFC aus, wenn du sie nicht brauchst.

Regel 7 — App-Berechtigungen, Prinzip minimale Rechte. Lade Apps nur aus dem offiziellen App Store oder Play Store. Und schau, was eine App darf: Wie ein Handwerker, den du ins Bad lässt, der aber im Schlafzimmer-Fotoalbum nichts zu suchen hat. Eine Taschenlampen-App, die Kontakte, Mikrofon und Standort will, ist ein Alarmsignal. Prüfe deine Rechte ab und zu in «Datenschutz»/«Berechtigungen» und lösch ungenutzte Apps — jede App weniger ist eine Tür weniger.

Regel 8 — Backup und Diebstahlschutz, für den Fall, dass doch etwas passiert. Schalt das automatische Cloud-Backup ein (iCloud / Google One) oder mach ein verschlüsseltes lokales Backup per Kabel. Das Gerät kannst du ersetzen — deine Fotos und Chats nicht. Und aktiviere VORHER den Diebstahlschutz: «Wo ist?» (Apple) bzw. «Mein Gerät finden» (Android) für Orten, Fernsperren und Remote Wipe (Fernlöschung). Die Aktivierungssperre macht ein gestohlenes Handy wertlos, weil es nach einem Reset dein Original-Konto verlangt. Notier dir einmal die IMEI-Nummer für Polizei und Netzsperre.

Wie das zusammenspielt, zeigt das Flughafen-Szenario: offenes WLAN, eine Phishing-SMS und ein kurz liegengelassenes Handy — drei Bedrohungen auf einmal. Und jede läuft ins Leere: WLAN nicht für Sensibles genutzt, Link nicht angetippt (und der Passwort-Manager füllt auf der Fake-Seite ohnehin nichts aus), Biometrie sperrt das Handy, «Wo ist?» löscht es aus der Ferne. Sicherheit ist kein einzelner Zaubertrick, sondern mehrere einfache Mechanismen, die sich überlappen.