Was tun, wenn das Spielkonto gehackt wurde?

Zuerst das Gerät mit einem Virenscan prüfen und dann das E-Mail-Konto sichern, weil sich darüber Passwörter zurücksetzen lassen. Anschließend das Spielkonto über die offizielle Seite zurückholen, ein neues Passwort setzen und die Zwei-Faktor-Authentisierung aktivieren. Wurde die E-Mail-Adresse geändert, hilft in der Regel nur der Support des Anbieters. Außerdem Zahlungen prüfen, Freunde warnen und bei Schaden Anzeige erstatten – das ist auch online über die Onlinewachen der Polizei möglich.

Gibt es Generatoren für kostenlose V-Bucks oder Robux?

Nein. Seiten und Videos, die „Generatoren“ oder Gratis-Währung versprechen, wollen Zugangsdaten abgreifen, Schadsoftware verbreiten oder persönliche Daten sammeln. Die EU-Initiative klicksafe stuft Angebote für kostenlose Robux außerhalb der offiziellen Funktionen ausdrücklich als Betrugsversuch ein. Spielwährung gibt es seriös nur über das Spiel, den offiziellen Shop, offizielle Guthabenkarten oder Aktionen des Herstellers. Wer auf einer solchen Seite Daten eingegeben hat, sollte sofort das Passwort ändern und die Zwei-Faktor-Authentisierung aktivieren.

Sind Passkeys sicherer als Passwörter?

In der Regel ja. Bei Passkeys liegt ein geheimer Schlüssel auf dem eigenen Gerät, die Anmeldung wird etwa per Fingerabdruck oder Gesichtserkennung bestätigt. Laut BSI läuft Phishing damit ins Leere, weil der Schlüssel auch auf gefälschten Seiten nicht herausgegeben wird. Wichtig ist eine Absicherung für den Verlustfall: Passkeys sollten über ein Konto synchronisiert oder gesichert sein; wer Hardware-Sicherheitsschlüssel nutzt, sollte laut BSI einen zweiten als Reserve einrichten.

Können Cheats und Mods Viren enthalten?

Ja. Cheats, Cracks und Mods aus inoffiziellen Quellen sind ein naheliegendes Versteck für Schadsoftware. 2023 steckte die Schadsoftware „fractureiser“ in manipulierten Minecraft-Mods, auch auf bekannten Plattformen, und stahl unter anderem Browser-Logins und Discord-Tokens. Das Risiko senken aktuelle Software, ein aktiver Virenschutz, ein Benutzerkonto mit eingeschränkten Rechten und Aufmerksamkeit für Warnungen der Plattformen. Cheats in Onlinespielen bergen zusätzlich das Risiko einer dauerhaften Kontosperre.

Welche Daten speichern Spieleanbieter – und wie erhält man Auskunft?

Neben Konto- und Zahlungsdaten erfassen Spiele und Plattformen etwa Spielzeit, gespielte Titel, freigeschaltete Erfolge, Ausgaben und das genutzte Gerät. Nach Art. 15 DSGVO kann man kostenlos Auskunft und eine Kopie dieser Daten verlangen; der Anbieter muss grundsätzlich innerhalb eines Monats antworten. Manche Plattformen bieten dafür eigene Seiten im Hilfebereich. Bleibt die Antwort aus oder ist sie unvollständig, ist eine Beschwerde bei der zuständigen Datenschutzaufsichtsbehörde möglich.

Sicherheit und Datenschutz bei Onlinespielen

Spielkonten sind für Betrüger attraktiv, denn an ihnen hängen Zahlungsdaten, gekaufte Spiele und seltene Gegenstände. Dieser Ratgeber zeigt verbreitete Maschen rund um Spiele, erklärt Passwortmanager, Zwei-Faktor-Authentisierung und Passkeys, warnt vor Schadsoftware in Cheats und Mods und beschreibt Datenschutzrechte sowie die richtigen Schritte nach einem Hack.

Illustration: Eine Person mit Headset sitzt abends am Schreibtisch vor einem Bildschirm, über dem ein großes, leuchtendes Vorhängeschloss schwebt; aus einer Sprechblase ragt ein Angelhaken als Sinnbild für Phishing, daneben liegt ein Smartphone mit einem Fingerabdruck-Symbol

Warum Spielkonten ein lohnendes Ziel sind

Ein Spielkonto ist oft mehr wert, als man denkt: Daran hängen eine Bibliothek gekaufter Spiele, Premiumwährung, seltene Skins und teils hinterlegte Zahlungsdaten. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) weist darauf hin, dass Datendiebe es oft auf die Zugangsdaten von Gaming-Accounts abgesehen haben – um mit fremden Zahlungsdaten einzukaufen oder erspielte Gegenstände abzugreifen.

Wie verbreitet das Problem ist, zeigt der Cybersicherheitsmonitor 2026 von BSI und Polizeilicher Kriminalprävention (ProPK): 11 Prozent der befragten Internetnutzer ab 16 Jahren waren in den zwölf Monaten vor der Befragung Opfer von Cyberkriminalität. Von ihnen berichteten 14 Prozent von Fremdzugriffen auf Online-Accounts und 12 Prozent von Phishing. Gleichzeitig nutzen nur 40 Prozent aller Befragten die Zwei-Faktor-Authentisierung.

Gratis-Währung, Generatoren und falsche Gewinnspiele

Eine typische Masche verspricht etwas umsonst, das sonst Geld kostet: „kostenlose“ V-Bucks, Robux oder seltene Skins über einen „Generator“, ein Gewinnspiel oder einen angeblichen Fehler im Spiel. Statt Währung folgen Aufforderungen, sich mit den Zugangsdaten des Spielkontos anzumelden, Umfragen auszufüllen, eine App zu installieren oder Kontaktdaten preiszugeben. Die EU-Initiative klicksafe stellt für Roblox klar: Angebote für kostenlose Robux über Links oder Wege außerhalb der offiziellen Funktionen sind Betrugsversuche. Dasselbe Prinzip gilt für alle anderen Spielwährungen.

Ein einfacher Grundsatz schützt: Spielwährung gibt es seriös nur über das Spiel selbst, den offiziellen Shop, offizielle Guthabenkarten oder Aktionen, die der Hersteller auf seinen eigenen Kanälen ankündigt. Wie Premiumwährungen funktionieren und warum sie so begehrt sind, erklärt Kostenlos und Finanzierung.

Betrug beim Handel mit Skins und Konten

Wo sich virtuelle Gegenstände tauschen oder verkaufen lassen, entsteht ein Markt – und mit ihm Betrug. Typisch sind Tauschangebote, bei denen der Gegenstand in letzter Sekunde gegen einen wertlosen ausgetauscht wird, angebliche Mittelsleute, die Gegenstände „zur Sicherheit“ verwahren wollen, und externe Handels- oder Gewinnspielseiten, die eine Anmeldung mit dem Plattformkonto verlangen. Über ein nachgeahmtes Anmeldefenster landen Name und Passwort direkt bei den Tätern.

Steam rät, das Passwort nur auf den offiziellen Seiten steampowered.com und steamcommunity.com einzugeben, und betont, dass der Steam-Support niemals nach dem Passwort fragt. Riskant ist auch der Kauf fremder Konten, denn der frühere Inhaber kann ein verkauftes Konto später über den Support zurückholen lassen. Selbst das Teilen eines Kontos mit Freunden erhöht laut BSI die Gefahr, dass Zugangsdaten über einen Mitnutzer in falsche Hände geraten.

Fake-Seiten, Phishing und falsche Downloads

Phishing-Seiten kopieren das Aussehen bekannter Spieleplattformen bis ins Detail. Der wichtigste Prüfpunkt ist die Adresszeile: Weicht die Domain auch nur leicht ab, etwa durch vertauschte Buchstaben oder eine fremde Endung, gehört dort kein Passwort hinein. Ein Passwortmanager hilft, weil er laut BSI warnt, wenn eine Adresse nicht zur gespeicherten passt. Bei Shops mit Spielen, Schlüsseln oder Guthaben nennt das BSI unbekannte Herkunft, ungewöhnlich niedrige Preise und ein fehlendes Impressum als Warnzeichen; zudem können selbst seriöse Seiten über manipulierte Werbebanner Schadsoftware ausliefern.

Bei Browserspielen ist ein Download grundsätzlich unnötig. Verlangt eine Spieleseite trotzdem eine Installation, einen „Player“ oder eine Browsererweiterung, ist Misstrauen angebracht. Programme und Spiele sollten nur aus offiziellen Quellen stammen, also aus den App-Stores der Gerätehersteller oder großen Software-Shops – die erste der fünf Sicherheitsregeln, die das BSI für Gaming nennt. Welche Wege zum Spiel es gibt, vergleicht Browser, Download, App oder Cloud.

Kontodiebstahl über Discord und andere Chats

Eine Kontoübernahme kann mit einer Nachricht von einem bekannten Kontakt beginnen. Ist dessen Konto bereits gekapert, verschicken die Täter darüber Links oder Dateien: angebliche Gratis-Abos, Gewinnspiele, Abstimmungen oder Programme, die man „nur kurz ausprobieren“ soll. Andere geben sich als Mitarbeiter einer Plattform aus und drohen mit einer Sperre, falls nicht sofort Daten „bestätigt“ werden. Das BSI beschreibt solche Social-Engineering-Tricks, die Vertrauen, Hilfsbereitschaft und Respekt vor Autorität ausnutzen, und rät, ungewöhnliche Bitten über einen anderen Kanal zu überprüfen, etwa per Anruf.

Discord stellt klar, dass es niemals per E-Mail oder Direktnachricht nach dem Passwort fragt und keine Bots betreibt, die kostenlose Produkte verschenken. Ebenso wenig darf der sogenannte Token in fremde Hände geraten: Mit ihm lässt sich ein angemeldetes Konto nutzen, ohne das Passwort zu kennen. Ein Passwortwechsel erzeugt laut Discord einen neuen Token. Wie man in Spielen und Chats blockiert und meldet, beschreibt Mit Freunden online spielen.

Schadsoftware in Cheats, Mods und Spielen

Cheats, Cracks und inoffizielle Mods eignen sich gut als Versteck für Schadsoftware, weil sie aus inoffiziellen Quellen stammen und tief ins Spiel oder System eingreifen; das BSI warnt allgemein vor Trojanern in kostenlosen Software-Downloads. Wie real die Gefahr ist, zeigte im Juni 2023 die Schadsoftware „fractureiser“, die in manipulierten Minecraft-Mods und -Plugins auf den Plattformen CurseForge und BukkitDev steckte, teils auch in beliebten Modpacks. Laut der Analyse freiwilliger Ermittler stahl sie unter anderem Browser-Cookies und gespeicherte Logins, Discord-Tokens, Zugangsdaten zu Microsoft-Konten und Krypto-Wallets und infizierte weitere Mod-Dateien auf dem Rechner.

Selbst offizielle Stores sind nicht völlig sicher: Im Februar 2025 war bei Steam knapp eine Woche lang ein kostenloses Survival-Spiel erhältlich, das eine Schadsoftware zum Datendiebstahl enthielt. Steam warnte die betroffenen Spieler und riet zu einem vollständigen Virenscan oder einer Neuinstallation des Systems. Der Fall zeigt, warum zeitnahe Updates, ein aktiver Virenschutz und ein eigenes Benutzerkonto mit eingeschränkten Rechten fürs Spielen sinnvoll sind – alles Empfehlungen des BSI. Hinzu kommt: Cheat-Software und Bots können laut Europäischem Verbraucherzentrum eine sofortige, dauerhafte Sperre des Spielkontos rechtfertigen.

Kontoschutz: Passwortmanager, 2FA und Passkeys

Grundlage bleibt ein starkes Passwort, das nur für ein einziges Konto verwendet wird. Das BSI hält zwei Wege für sicher: mindestens acht Zeichen aus vier Zeichenarten oder ein langes Passwort mit mindestens 25 Zeichen, das mit zwei Zeichenarten auskommt, etwa eine Folge von Wörtern. Weil sich das für Dutzende Konten niemand merken kann, hält das BSI einen Passwortmanager in der Regel für lohnend; dessen Hauptpasswort muss dann besonders stark sein.

Verfahren	Was es leistet	Worauf man achten sollte
Passwort allein	schützt nur, solange es geheim bleibt	lang wählen, für jedes Konto ein anderes
2FA per SMS	zweiter Faktor über das Handy	laut BSI schwächer als App- oder Hardware-Verfahren
2FA per Authenticator-App	zeitlich begrenzte Einmalcodes	Backup-Codes sicher aufbewahren
Passkey	Anmeldung per Fingerabdruck oder Gesichtserkennung; gefälschte Seiten erhalten keinen Schlüssel	Synchronisierung oder Sicherung für den Verlustfall einrichten

Die Zwei-Faktor-Authentisierung sollte überall aktiviert sein, wo sie angeboten wird. Das BSI rät ausdrücklich davon ab, sie wieder abzuschalten, und empfiehlt, einen zweiten Faktor als Reserve zu hinterlegen. Bei den Konsolen heißt die Funktion je nach Hersteller „Zweistufen-Bestätigung“ (Nintendo), „zweistufige Überprüfung“ (Microsoft) oder „zweistufige Verifizierung“ (Sony). Eine Konsolen-PIN ersetzt sie nicht, denn die PIN schützt nur vor Zugriff am Gerät selbst, nicht vor Angreifern, die das Passwort kennen.

Passkeys gehen einen Schritt weiter: Statt eines Passworts liegt ein geheimer Schlüssel auf dem eigenen Gerät. Laut BSI läuft Phishing damit ins Leere, weil der Schlüssel auch auf einer gefälschten Seite nicht herausgegeben wird. Microsoft unterstützt Passkeys für seine Konten, die auch für Xbox genutzt werden, seit 2024 und legt neue Konten seit 2025 standardmäßig ohne Passwort an. Laut Cybersicherheitsmonitor 2026 nutzen erst 21 Prozent der Befragten passwortlose Anmeldeverfahren wie Passkeys. Besonders gut geschützt sein sollte das E-Mail-Konto, denn wer es kontrolliert, kann die Passwörter vieler anderer Dienste zurücksetzen. Dasselbe gilt für Konten bei Google, Apple oder Discord, mit denen man sich bei Spielen anmelden kann – siehe Onlinespiele ohne Anmeldung.

Datenschutz: welche Daten anfallen und welche Rechte gelten

Spiele und Plattformen erfassen mehr als Benutzername und E-Mail-Adresse. Das Europäische Verbraucherzentrum nennt etwa gespielte Titel und Spielzeit, freigeschaltete Erfolge, Ausgaben für Spiele und Zusatzinhalte sowie das genutzte Gerät; verwendet werden solche Daten vor allem für personalisierte Werbung und Nutzungsprofile. Sparsamkeit lohnt sich: Pseudonym statt Klarname, kein Profilfoto mit erkennbarem Gesicht, Berechtigungen von Spiele-Apps prüfen. Wie viel Voreinstellungen ausmachen, zeigt ein Fall aus den USA: Epic Games musste 2022 im Vergleich mit der Handelsbehörde FTC zusagen, Sprach- und Textchat in Fortnite für Kinder und Jugendliche nur noch nach ausdrücklicher Zustimmung einzuschalten. Unter iOS müssen Apps seit Version 14.5 fragen, bevor sie Nutzer über Apps und Websites anderer Anbieter hinweg verfolgen; unter Android lässt sich die Werbe-ID löschen. Mehr zu Apps auf Mobilgeräten steht unter Smartphone und Tablet.

Die Datenschutz-Grundverordnung (DSGVO) gibt Spielerinnen und Spielern in der EU durchsetzbare Rechte:

Auskunft (Art. 15): welche Daten gespeichert sind, wofür und an wen sie gehen – samt Kopie.
Berichtigung und Löschung (Art. 16 und 17): falsche Daten korrigieren, nicht mehr benötigte löschen lassen, etwa nach dem Schließen eines Kontos.
Datenübertragbarkeit (Art. 20): selbst bereitgestellte Daten in einem gängigen, maschinenlesbaren Format erhalten.
Widerspruch und Widerruf (Art. 21 und Art. 7): etwa der Nutzung für Direktwerbung widersprechen oder eine Einwilligung zurücknehmen.
Beschwerde (Art. 77): bei einer Datenschutzaufsichtsbehörde, in Deutschland etwa der des eigenen Bundeslandes.

Anbieter müssen grundsätzlich innerhalb eines Monats antworten; in komplexen Fällen kann die Frist um zwei Monate verlängert werden, die Auskunft ist in der Regel kostenlos. Manche Plattformen bieten dafür Selbstbedienungsseiten, Steam etwa eine Übersicht der zum Konto gespeicherten Daten. Beruht die Verarbeitung bei Online-Diensten auf einer Einwilligung, benötigen Kinder unter 16 Jahren dafür nach Art. 8 DSGVO grundsätzlich die Zustimmung der Eltern; EU-Staaten dürfen diese Grenze auf bis zu 13 Jahre senken.

Konto gehackt: was jetzt zu tun ist

Laut Cybersicherheitsmonitor 2026 wandten sich 35 Prozent der Betroffenen von Cyberkriminalität an den Betreiber des jeweiligen Dienstes, 32 Prozent erstatteten Anzeige bei der Polizei. Wer den Zugriff auf ein Spielkonto verliert oder verdächtige Käufe bemerkt, sollte schnell und möglichst in dieser Reihenfolge handeln:

Gerät prüfen: zuerst einen Virenscan durchführen; ist der Rechner möglicherweise infiziert, die folgenden Schritte von einem anderen Gerät aus erledigen.
E-Mail-Konto sichern: Passwort ändern und Weiterleitungen sowie Filterregeln prüfen, die Täter eingerichtet haben könnten.
Spielkonto zurückholen: Passwort über die offizielle Seite zurücksetzen, 2FA aktivieren und angemeldete Sitzungen beenden, sofern das möglich ist.
Support kontaktieren: nur über die offizielle Hilfeseite, nie über Kontakte aus Chats; wurde die E-Mail-Adresse geändert, kann meist nur noch der Anbieter helfen.
Weitere Konten absichern: überall dort das Passwort ändern, wo es ebenfalls verwendet wurde, und prüfen, ob die eigene Adresse in bekannten Datenlecks auftaucht, etwa mit dem Identity Leak Checker des Hasso-Plattner-Instituts.
Zahlungen prüfen: Käufe in der Kontohistorie und auf Kontoauszügen kontrollieren, Karten bei Bedarf über den Sperr-Notruf 116 116 sperren lassen.
Kontakte warnen und Anzeige erstatten: Freunde informieren, damit sie nicht auf Nachrichten aus dem gekaperten Konto hereinfallen, Beweise wie Screenshots sichern und Anzeige erstatten – auch online über die Onlinewachen der Länderpolizeien.

Praxistipp: Backup-Codes für die Zwei-Faktor-Authentisierung ausdrucken oder im Passwortmanager ablegen. Mit ihnen gelingt die Anmeldung auch dann, wenn das Handy oder die Authenticator-App einmal fehlt.

Bei Kindern und Jugendlichen kommt neben dem Konto oft das Risiko unerwünschter Kontakte hinzu – Hinweise zu Chats und Cybergrooming bietet Eltern und Jugendschutz.

Stand: Oktober 2026

Häufige Fragen

Was tun, wenn das Spielkonto gehackt wurde?: Zuerst das Gerät mit einem Virenscan prüfen und dann das E-Mail-Konto sichern, weil sich darüber Passwörter zurücksetzen lassen. Anschließend das Spielkonto über die offizielle Seite zurückholen, ein neues Passwort setzen und die Zwei-Faktor-Authentisierung aktivieren. Wurde die E-Mail-Adresse geändert, hilft in der Regel nur der Support des Anbieters. Außerdem Zahlungen prüfen, Freunde warnen und bei Schaden Anzeige erstatten – das ist auch online über die Onlinewachen der Polizei möglich.
Gibt es Generatoren für kostenlose V-Bucks oder Robux?: Nein. Seiten und Videos, die „Generatoren“ oder Gratis-Währung versprechen, wollen Zugangsdaten abgreifen, Schadsoftware verbreiten oder persönliche Daten sammeln. Die EU-Initiative klicksafe stuft Angebote für kostenlose Robux außerhalb der offiziellen Funktionen ausdrücklich als Betrugsversuch ein. Spielwährung gibt es seriös nur über das Spiel, den offiziellen Shop, offizielle Guthabenkarten oder Aktionen des Herstellers. Wer auf einer solchen Seite Daten eingegeben hat, sollte sofort das Passwort ändern und die Zwei-Faktor-Authentisierung aktivieren.
Sind Passkeys sicherer als Passwörter?: In der Regel ja. Bei Passkeys liegt ein geheimer Schlüssel auf dem eigenen Gerät, die Anmeldung wird etwa per Fingerabdruck oder Gesichtserkennung bestätigt. Laut BSI läuft Phishing damit ins Leere, weil der Schlüssel auch auf gefälschten Seiten nicht herausgegeben wird. Wichtig ist eine Absicherung für den Verlustfall: Passkeys sollten über ein Konto synchronisiert oder gesichert sein; wer Hardware-Sicherheitsschlüssel nutzt, sollte laut BSI einen zweiten als Reserve einrichten.
Können Cheats und Mods Viren enthalten?: Ja. Cheats, Cracks und Mods aus inoffiziellen Quellen sind ein naheliegendes Versteck für Schadsoftware. 2023 steckte die Schadsoftware „fractureiser“ in manipulierten Minecraft-Mods, auch auf bekannten Plattformen, und stahl unter anderem Browser-Logins und Discord-Tokens. Das Risiko senken aktuelle Software, ein aktiver Virenschutz, ein Benutzerkonto mit eingeschränkten Rechten und Aufmerksamkeit für Warnungen der Plattformen. Cheats in Onlinespielen bergen zusätzlich das Risiko einer dauerhaften Kontosperre.
Welche Daten speichern Spieleanbieter – und wie erhält man Auskunft?: Neben Konto- und Zahlungsdaten erfassen Spiele und Plattformen etwa Spielzeit, gespielte Titel, freigeschaltete Erfolge, Ausgaben und das genutzte Gerät. Nach Art. 15 DSGVO kann man kostenlos Auskunft und eine Kopie dieser Daten verlangen; der Anbieter muss grundsätzlich innerhalb eines Monats antworten. Manche Plattformen bieten dafür eigene Seiten im Hilfebereich. Bleibt die Antwort aus oder ist sie unvollständig, ist eine Beschwerde bei der zuständigen Datenschutzaufsichtsbehörde möglich.