Sicherheit im Internet: Was ab 60 wirklich schützt

Für den Alltag genügen fünf Maßnahmen: Systeme aktuell halten, für jedes Konto ein eigenes langes Passwort verwenden, E-Mail und Online-Banking mit Zwei-Faktor-Authentisierung absichern, das Gerät sperren und Links oder Nachrichten grundsätzlich misstrauisch prüfen. Wer Sicherheit im Internet auf diese Punkte konzentriert, schließt die häufigsten Einfallstore, und die Einrichtung lässt sich nach der Checkliste unten in etwa einer Viertelstunde angehen.

Der Text richtet sich an Menschen ab 60 und an Angehörige, die beim Einrichten helfen. Er stützt sich auf Empfehlungen des Bundesamts für Sicherheit in der Informationstechnik (BSI) und der Polizei und kommt ohne Fachbegriffe aus, die nicht erklärt werden.

Hinweis: Dieser Beitrag ersetzt keine Beratung im Einzelfall. Bei einem konkreten Schaden sind Bank, Polizei und gegebenenfalls eine Verbraucherberatung die richtigen Ansprechpartner.

Die 5 wichtigsten Regeln auf einen Blick

1. Updates einschalten. Automatische Updates für Smartphone, Computer und Apps schließen bekannte Sicherheitslücken, ohne dass dafür Wissen nötig ist.
2. Ein Konto, ein Passwort. Jedes Konto bekommt ein eigenes Passwort. Wird eines bei einem Anbieter gestohlen, bleiben die übrigen Konten geschützt.
3. Zweiten Faktor aktivieren. Besonders das E-Mail-Konto und das Online-Banking sollten zusätzlich zum Passwort einen zweiten Schutz haben.
4. Gerät sperren. Das BSI empfiehlt, mobile Geräte mit Sperrcode, PIN, Passwort, Fingerabdruck oder Gesichtserkennung zu sichern.
5. Nachrichten prüfen. Bei Druck, Drohungen oder Geldforderungen gilt: nicht klicken, nicht zurückrufen, über einen bekannten Kanal nachfragen.

Passwörter nach BSI: Warum lang besser ist als kompliziert

Lange Zeit galt der Rat, Passwörter möglichst wirr zu gestalten, mit Sonderzeichen, Zahlen und Großbuchstaben. Das BSI koppelt die Passwortgüte inzwischen an zwei Größen: die Länge und die Zahl der verwendeten Zeichenarten. Länge wiegt dabei schwerer. Ein langer Satz aus gewöhnlichen Wörtern ist sicherer und leichter zu merken als ein kurzes Zeichengewirr.

Die folgenden Werte geben die BSI-Empfehlung „Sichere Passwörter erstellen“ wieder. Wer sichergehen will, vergleicht mit der aktuellen Fassung auf sicherheit-im-internet.de.

Die Beispiele dürfen nicht übernommen werden, denn veröffentlichte Passwörter sind sofort wertlos. Das gilt auch für Namen, Geburtsdaten und Haustiere, die sich aus dem Umfeld erraten lassen. Das Modell mit nur 8 Zeichen und 3 Arten gilt nur, wenn zusätzlich ein zweiter Faktor aktiv ist.

Was an gängigen Ratschlägen überholt ist

Viele Ratgeber nennen „mindestens 8 bis 12 Zeichen mit Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen“. Das verkürzt die BSI-Logik, denn lange Passphrasen mit nur zwei Zeichenarten gelten ebenfalls als ausreichend. Ebenfalls überholt ist der Tipp, Passwörter regelmäßig zu ändern. Der Beirat Digitaler Verbraucherschutz beim BSI rät von erzwungenem regelmäßigem Wechsel ab. Ein Passwort wird nur geändert, wenn es unsicher geworden ist, etwa nach einem Datenleck bei einem Anbieter.

Passwörter aufschreiben: erlaubt, wenn sicher verwahrt

Nach BSI-Auslegung ist das Aufschreiben von Passwörtern zulässig, sofern der Zettel sicher aufbewahrt wird, etwa in einer Schublade der Wohnung und nicht am Monitor oder in der Handtasche. Für ältere Menschen ist das oft die praktikabelste Lösung. Das Notizbuch sollte nicht „Passwörter“ heißen, und zu jedem Eintrag gehört der Name des Kontos.

Passwortmanager: der digitale Tresor

Der Beirat Digitaler Verbraucherschutz empfiehlt ausdrücklich Passwortmanager. Das Prinzip ist einfach: Das Programm speichert alle Passwörter verschlüsselt und füllt sie auf Wunsch automatisch aus. Gemerkt werden muss nur noch ein einziges langes Passwort, das Masterpasswort. Dafür bietet sich eine Passphrase von 20 bis 25 Zeichen an.

• Das Masterpasswort wird nirgendwo digital abgelegt, aber auf Papier sicher verwahrt.
• Für den Notfall sollte eine Vertrauensperson wissen, wo dieser Zettel liegt. Manche Programme bieten außerdem einen Notfallzugriff für Angehörige an. Ob und wie das funktioniert, steht in der Hilfe des jeweiligen Anbieters.
• Das Einrichten gelingt am besten gemeinsam mit einem Angehörigen, der die ersten Konten mit überträgt.

Zwei-Faktor-Authentisierung Schritt für Schritt

Bei der Zwei-Faktor-Authentisierung (2FA) reicht das Passwort allein nicht mehr aus. Hinzu kommt ein zweiter Nachweis, den nur der rechtmäßige Inhaber besitzt, etwa das Smartphone. Wer das Passwort stiehlt, kommt trotzdem nicht ins Konto. Der Beirat Digitaler Verbraucherschutz empfiehlt 2FA ausdrücklich, und die Frage „Brauche ich das?“ lässt sich für E-Mail und Online-Banking mit Ja beantworten. Das E-Mail-Konto ist der wichtigste Zugang, weil darüber bei fast allen anderen Konten Passwörter zurückgesetzt werden.

Als zweiter Faktor kommen nach BSI Smartphone, Chipkarte, USB-Stick oder ein Einmalcode infrage. Der Beirat sieht SMS- und E-Mail-Codes als selbst anfällig und bevorzugt Authenticator-Apps. Eine SMS ist trotzdem besser als gar kein zweiter Faktor. Wer sich eine App zutraut, nimmt die App.

So wird 2FA aktiviert (allgemeiner Ablauf)

1. In das Konto einloggen und in den Einstellungen den Bereich „Sicherheit“ oder „Anmeldung“ öffnen.
2. Die Option „Zwei-Faktor-Authentisierung“, „Bestätigung in zwei Schritten“ oder ähnlich wählen. Die Bezeichnung unterscheidet sich je Anbieter.
3. Als Methode eine Authenticator-App wählen. Nur wenn das nicht möglich ist, den Code per SMS wählen.
4. Die App installieren, den angezeigten QR-Code mit der Kamera einlesen und den sechsstelligen Code zur Bestätigung eingeben.
5. Die angebotenen Wiederherstellungscodes ausdrucken und gemeinsam mit den Passwörtern sicher verwahren. Sie ersetzen den zweiten Faktor, falls das Handy verloren geht.

Für die Banking-App gilt: nur aus dem offiziellen Store des Geräts laden, also dem App Store von Apple oder dem Play Store von Google.

Phishing und gefälschte Nachrichten erkennen

Phishing bedeutet, dass Betrüger mit gefälschten Mails, SMS oder Nachrichten versuchen, an Zugangsdaten oder Geld zu kommen. Die Nachrichten geben sich als Bank, Paketdienst, Behörde oder Familienmitglied aus. Erkennbar sind sie weniger an der Aufmachung, die oft täuschend echt ist, als an typischen Mustern.

Warnzeichen

• Zeitdruck: „Ihr Konto wird in 24 Stunden gesperrt.“ Druck und Drohungen sind ein typisches Merkmal von Betrugsnachrichten.
• Aufforderung zur Dateneingabe: Wer per Link zur Eingabe von Passwörtern, PINs oder TANs aufgefordert wird, sollte nicht darauf eingehen, sondern die Bank über die bekannte Nummer fragen.
• Unpersönliche Anrede und ein Absender, der nicht zur Nachricht passt.
• Link-Ziel: Am Computer zeigt der Mauszeiger über dem Link die tatsächliche Adresse. Weicht sie vom angeblichen Absender ab, ist Vorsicht geboten.
• Unerwartete Anhänge von bekannten wie unbekannten Absendern.

Die sichere Reaktion lautet immer gleich: nicht auf den Link tippen, keinen Anhang öffnen, stattdessen die Website der Bank oder des Anbieters selbst eingeben oder die bekannte Telefonnummer wählen.

Sichere und unsichere Websites unterscheiden

Ein Schloss-Symbol in der Adresszeile zeigt nur, dass die Verbindung verschlüsselt ist. Es sagt nichts darüber aus, ob die Seite seriös ist, denn auch Betrugsseiten können es tragen. Genauer hinzusehen lohnt sich bei der Adresse: Stimmt der Name der Firma exakt, ohne Zusätze oder Buchstabendreher? Fehlen ein Impressum und Kontaktdaten, ist das ein Warnsignal. Bei Online-Shops hilft eine Gegenprobe: Was berichten Verbraucher unabhängig vom Shop über ihn?

Nachrichten von „Bekannten“ und Familie

Das BSI rät bei Kontaktanfragen von Bekannten, die Echtheit außerhalb des sozialen Netzwerks zu prüfen, weil Profile kopiert oder gekapert werden können. Dasselbe gilt für Messenger: Meldet sich ein Verwandter angeblich mit neuer Nummer, weil das alte Handy verloren ging, wird die Nummer nicht automatisch gespeichert. Stattdessen wird über die alte, bekannte Nummer nachgefragt. Überweisungswünsche werden ohne Zeitdruck geprüft. Die Polizei empfiehlt ein geheimes Familien-Kennwort, etwa den Namen eines Haustiers. Es schützt auch gegen Anrufe mit KI-generierten Stimmen.

Zu Telefonbetrug wie Schockanruf und falschem Polizisten: Nach BKA-Zahlen (Stand 08/2026) lag der Schaden 2025 beim „Falschen Polizisten“ bei 49,5 Mio. €, beim Enkeltrick und Schockanruf bei 49,0 Mio. €. Rechnerisch ergibt das rund 10.200 bis 10.700 € je erfasstem Fall; das ist ein Durchschnittswert, der nur eine grobe Größenordnung zeigt. Die Rufnummer im Display ist dabei keine Echtheitsgarantie, weil sie sich fälschen lässt.

Vorsicht bei „Support“-Anrufen und Fernzugriff

Eine verbreitete Masche: Ein angeblicher Microsoft-Mitarbeiter ruft an und will per Fernzugriff „ein Problem beheben“. Fernwartung ist legitim, wenn die Familie oder ein selbst beauftragter Dienst sie veranlasst. Auf Anruf eines Fremden darf nie Zugriff gewährt werden.

Smartphone und öffentliches WLAN absichern

Gerätesperre und Updates

Die Gerätesperre ist die einfachste Maßnahme: Wer das Handy verliert, schützt damit Fotos, Nachrichten und Banking-App. Die Sperre wird in den Einstellungen unter „Sicherheit“ oder „Display-Sperre“ aktiviert. Dazu gehören automatische Updates für das Betriebssystem und die Apps. Apps sollten ausschließlich aus dem offiziellen Store installiert werden.

Vereinfachte Bedienung bei iPhones

Wer ein iPhone für eine Person einrichtet, die wenig Technik nutzt, kann den „Unterstützenden Zugriff“ verwenden. Die Funktion gibt es seit iOS 17 (Herbst 2023). Sie reduziert das Gerät auf Kamera, Fotos, Telefon und Nachrichten sowie Musik, weitere Apps lassen sich auswählen. Gesichert wird sie mit einer vierstelligen PIN, beendet wird sie per dreifachem Druck auf die Seitentaste plus PIN. Screenshots sind darin nicht möglich. Weniger Apps bedeuten auch weniger Angriffsfläche.

Öffentliches WLAN

Im Café, Hotel oder Zug ist ein fremdes WLAN bequem, aber nicht kontrollierbar. Pauschale Zahlen zur Verbreitung unverschlüsselter Hotspots sind mit Vorsicht zu lesen: Eine oft zitierte Angabe, jeder vierte Hotspot sei ohne Verschlüsselung, stammt aus dem Jahr 2017 und ist als aktuelle Zahl nicht belastbar.

Als Redaktionsempfehlung, nicht als BSI-Aussage, gilt für den Alltag eine einfache Regel: In fremden WLANs keine Banking-Apps nutzen und keine Zugangsdaten eingeben. Dafür das Mobilfunknetz verwenden. Ein VPN wird in manchen Ratgebern genannt, das BSI-Dokument zur sicheren Nutzung sozialer Netzwerke erwähnt es jedoch nicht. Für Einsteiger ist der Verzicht auf sensible Vorgänge im fremden Netz die einfachere und verlässlichere Lösung.

15 Minuten Sicherheits-Check

Die folgenden Punkte lassen sich in einer Viertelstunde durchgehen, am besten gemeinsam mit einem Angehörigen.

1. Updates an: In den Einstellungen automatische Updates für System und Apps aktivieren.
2. E-Mail-Konto mit 2FA: Zweiten Faktor einrichten, Wiederherstellungscodes ausdrucken.
3. Banking-App nur aus dem offiziellen Store: Prüfen, ob die installierte App vom richtigen Herausgeber stammt.
4. Gerätesperre: PIN, Fingerabdruck oder Gesichtserkennung aktivieren.
5. Passwortmanager einrichten: Masterpasswort als Passphrase wählen, zunächst die wichtigsten Konten übertragen.

Wenn doch etwas passiert ist: Sofortmaßnahmen

Kein Schutz ist lückenlos, und wer auf einen Betrug hereingefallen ist, sollte sich nicht schämen. Wichtiger ist schnelles, ruhiges Handeln.

Konto gehackt oder Daten preisgegeben

1. Passwort des betroffenen Kontos sofort ändern, und zwar von einem Gerät, das nicht betroffen ist. Wo dasselbe Passwort noch anderswo genutzt wurde, auch dort ändern.
2. Zwei-Faktor-Schutz aktivieren, falls noch nicht geschehen.
3. Kontoauszüge und Anmeldeprotokolle auf fremde Aktivitäten prüfen.
4. Kontakte warnen, wenn von dem Konto Nachrichten verschickt wurden.

Geld überwiesen oder Zahlungsdaten weitergegeben

1. Sofort die Bank anrufen, über die Nummer von der Karte oder der offiziellen Website, und die Überweisung melden. Je früher die Bank informiert wird, desto eher kann sie reagieren; ob eine Zahlung noch gestoppt werden kann, hängt vom Einzelfall ab.
2. Karten und Online-Banking bei der Bank sperren lassen. Die Bank nennt dafür ihre Sperrnummer.
3. Anzeige bei der Polizei erstatten, auch bei einem bloßen Versuch. Die Polizei bittet ausdrücklich um Meldung von Versuchen, damit neue Maschen erkannt werden. Betrug nach § 263 StGB wird mit Freiheitsstrafe bis zu fünf Jahren oder Geldstrafe geahndet, der Versuch ist strafbar.
4. Alle Belege sichern: Screenshots, Nachrichten, Kontoauszüge, Telefonnummern.

Bei Telefonbetrug

Sofort auflegen und über eine selbst gewählte, bekannte Nummer zurückrufen, nicht über die Rückruftaste. Polizei und Rettungsdienst rufen nie von 110, 112 oder 19222 aus an, und die Polizei fordert am Telefon niemals Geld. Bei Handyanrufen halten Täter Betroffene teils bis zur Geldübergabe in der Leitung. Dann hilft nur, das Gespräch zu beenden.

Häufige Fragen

Wie verhalte ich mich sicher im Internet?

Mit den fünf Grundregeln vom Anfang: Updates, eigene lange Passwörter, Zwei-Faktor-Schutz für E-Mail und Bank, Gerätesperre und Misstrauen bei Links und Nachrichten. Wer unsicher ist, fragt über einen zweiten Kanal nach, etwa per Anruf bei der bekannten Nummer.

Wie kann man eine sichere Website von einer unsicheren unterscheiden?

Das Schloss-Symbol zeigt nur eine verschlüsselte Verbindung an, nicht Seriosität. Wichtiger sind die exakte Adresse, ein vollständiges Impressum und unabhängige Erfahrungsberichte. Bei Bank und Behörde wird die Adresse immer selbst eingegeben, nie über einen Link aus einer Nachricht.

Welche 10 Tipps gibt es zum Datenschutz?

Aus diesem Beitrag lassen sich zehn praktische Punkte ableiten: Updates aktivieren; je Konto ein eigenes Passwort; Passphrase mit 20–25 Zeichen; Passwortmanager nutzen; 2FA für E-Mail und Bank; Gerätesperre einschalten; Apps nur aus offiziellen Stores laden; keine Zugangsdaten in fremden WLANs eingeben; Nachrichten von Bekannten über einen anderen Kanal prüfen; im Schadensfall sofort Bank und Polizei informieren.

Was ist Zwei-Faktor-Authentifizierung und brauche ich sie?

Sie verlangt zusätzlich zum Passwort einen zweiten Nachweis, etwa einen Code aus einer App. Für das E-Mail-Konto und das Online-Banking ist sie empfehlenswert, weil damit ein gestohlenes Passwort allein nicht mehr genügt. Authenticator-Apps gelten als sicherer als SMS-Codes.

Muss ich meine Passwörter regelmäßig ändern?

Nein. Der Beirat Digitaler Verbraucherschutz beim BSI rät von erzwungenem regelmäßigem Wechsel ab. Ein Passwort wird geändert, wenn es unsicher geworden ist, zum Beispiel nach einem Datenleck.

Fazit

Wer jetzt nur eines tut, sichert zuerst das E-Mail-Konto mit einem langen, einzigartigen Passwort und Zwei-Faktor-Schutz, denn darüber lassen sich fast alle anderen Konten zurücksetzen. Danach folgen Gerätesperre, automatische Updates und ein Passwortmanager mit Masterpasswort auf Papier. Angehörige helfen am besten beim gemeinsamen Einrichten, statt Regeln vorzugeben. Die wichtigste Verhaltensregel gilt unabhängig von aller Technik: Bei Druck und Geldforderungen auflegen oder nicht antworten und über eine bekannte Nummer zurückfragen.

Quellen

• BSI · Tipps zum sicheren Umgang mit sozialen Netzwerken · Abruf 10/2026 · bsi.bund.de (Bereich Verbraucher, Soziale Netzwerke)
• BSI / Sicherheit im Internet e. V. · Passwörter sichern · Abruf 10/2026 · sicherheit-im-internet.de
• heise online · BSI-Beirat warnt vor überkomplexen Passwörtern und ständiger Erneuerung · Abruf 10/2026 · heise.de
• sec-auditor.com · Passwortrichtlinien nach BSI · Abruf 10/2026 · sec-auditor.com
• datenschutz-prinz.de · BSI-Empfehlungen 2025 zum Passwortwechsel · Abruf 10/2026 · datenschutz-prinz.de
• Polizei Bayern · Schockanrufe – Enkeltrick – WhatsApp · Abruf 10/2026 · polizei.bayern.de
• ProPK · Schockanruf: So schützen Sie sich vor Telefonbetrug · Abruf 10/2026 · polizei-beratung.de
• dpa/BKA über Pforzheimer Zeitung · Schaden durch Schockanrufe (PKS 2025) · Abruf 10/2026 · pz-news.de
• Bundesministerium der Justiz · § 263 StGB Betrug · Abruf 10/2026 · gesetze-im-internet.de
• Macwelt · iOS 17: Das ist neu in Bedienungshilfen · Abruf 10/2026 · macwelt.de
• iphone-ticker.de · Unterstützender Zugriff · Abruf 10/2026 · iphone-ticker.de