Gekapertes Firmenkonto auf Facebook: So holen Sie es zurück und sichern es ab

Sie wachen morgens auf, und auf der Facebook-Seite Ihrer Firma stehen fremde Beiträge, Werbeanzeigen auf Ihre Kosten, oder Sie können sich nicht mehr anmelden. So sieht eine typische Übernahme eines Firmenkontos aus. Je schneller Sie reagieren, desto größer ist die Chance, die Seite zurückzubekommen, und desto geringer der Schaden.

In diesem Ratgeber finden Sie einen Plan für die erste Stunde nach dem Angriff, die Beschreibung der häufigsten Betrugsmasche und eine Sicherheitsliste, die Sie in 10 Minuten umsetzen. Ich schreibe ihn für Menschen, die ein Unternehmen führen und sich nicht mit IT auskennen müssen. Die Namen der Optionen gebe ich nach dem Meta-Hilfebereich an, Stand 22. Oktober 2026. Meta ändert oft das Aussehen der Einstellungen, daher können sie bei Ihnen etwas abweichen.

So sieht ein typischer Angriff aus: der gefälschte „Meta Support“

Das häufigste Szenario beginnt mit einer Nachricht oder einem Kommentar unter einem Beitrag. Der Absender gibt sich als „Meta Support“ oder als „Team für Urheberrechte“ aus und schreibt, Ihre Seite habe das Urheberrecht verletzt oder werde innerhalb von 24 Stunden gesperrt. Dazu schickt er einen Link zu einem „Einspruchsformular“.

Der Link führt auf eine Seite, die wie die Facebook-Anmeldung aussieht. Geben Sie dort Ihr Passwort und den Code aus der App ein, erhält der Angreifer Zugriff. Danach fügt er sich als Administrator hinzu, entfernt Sie und ändert die Kontodaten.

Solche Nachrichten haben gemeinsame Merkmale:

• Zeitdruck: „Sie haben 24 Stunden“, „die Seite wird gelöscht“,
• Link zu einem Formular statt der Aufforderung, Facebook auf dem gewohnten Weg zu öffnen,
• seltsamer Absender: ein privates Profil, ein neues Konto oder eine E-Mail-Adresse außerhalb der Meta-Domains (laut Hilfebereich kommt Korrespondenz von Meta nur von den Domains fb.com, facebook.com, facebookmail.com, instagram.com, meta.com und metamail.com),
• Bitte um Passwort oder Code aus einer SMS oder der Authenticator-App.

Klicken Sie nie auf Links in solchen Nachrichten, selbst wenn sie von einer echten Meta-Adresse kamen. Meta warnt, dass Betrüger im Business Manager Einladungen zur Zusammenarbeit mit Links verschicken, die Daten abgreifen, und dass die Benachrichtigungen darüber von der echten Domain facebookmail.com kommen. Wenn Sie prüfen möchten, ob mit dem Konto etwas nicht stimmt, öffnen Sie Facebook selbst, ohne auf einen Link zu klicken, und sehen Sie in den Benachrichtigungen, im Bereich „Seitenstatus“ und in der Meta Business Suite nach.

Die erste Stunde nach der Übernahme: Plan Schritt für Schritt

Handeln Sie ruhig, aber sofort. Jede Minute bedeutet womöglich bezahlte Werbeanzeigen, Nachrichten an Ihre Kundschaft und Betrug im Namen Ihrer Firma.

1. Versuchen Sie, sich anzumelden, und zwar mit Ihrem privaten Konto, das Administrator der Seite war. Gelingt das, ändern Sie sofort das Passwort in ein neues, langes und einzigartiges.
2. Melden Sie fremde Geräte ab. Wählen Sie im Konten-Center „Passwort und Sicherheit“ und dann „Wo Sie angemeldet sind“. Dort sehen Sie aktive Sitzungen mit Datum, Ort und Gerätetyp. Beenden Sie über „Geräte zum Abmelden auswählen“ die Sitzungen, die Sie nicht erkennen, und markieren Sie im Zweifel „Alle auswählen“.
3. Prüfen Sie, wer Zugriff auf die Seite hat. Wechseln Sie zur Seite, gehen Sie in deren Einstellungen die Personen mit Facebook-Zugriff und mit Aufgabenzugriff durch und danach die Personenliste in der Meta Business Suite. Entfernen Sie Personen, die Sie nicht kennen. Das geht nur, solange Sie noch die volle Kontrolle über die Seite haben.
4. Prüfen Sie E-Mail-Adresse und Telefonnummer, die dem Konto zugeordnet sind. Angreifer ändern sie oft als Erstes.
5. Pausieren Sie Werbeanzeigen und Zahlungen, falls Sie Zugriff darauf haben. Sehen Sie bei den Zahlungsmethoden nach und entfernen Sie die Karte, die Sie nicht verwenden wollen. Bei fremden Abbuchungen wenden Sie sich an Ihre Bank.
6. Melden Sie die Übernahme an Meta. Melden Sie sich bei Ihrem Konto an, haben aber keinen Zugriff mehr auf die Seite, senden Sie das Formular aus dem Hilfeartikel „Gehackte Facebook-Seite, die Sie verwalten, wiederherstellen“ (facebook.com/help/738660629556925). Meta versucht, innerhalb eines Tages zu antworten. Das Formular funktioniert nur nach der Anmeldung und nur, wenn der Zugriff auf die Seite vor Kurzem verloren ging. Können Sie sich nicht anmelden, rufen Sie facebook.com/hacked auf einem Gerät auf, mit dem Sie sich üblicherweise bei Facebook anmelden.
7. Machen Sie Screenshots fremder Beiträge, von Nachrichten von „Meta Support“, von Änderungsbenachrichtigungen und fremden Anmeldungen. Sie helfen bei der Meldung.
8. Warnen Sie Ihre Kundschaft über einen anderen Kanal: über das Google-Unternehmensprofil, die Website, per SMS oder Newsletter. Schreiben Sie, dass das Facebook-Konto übernommen wurde und man keine verdächtigen Links anklicken soll.

Fertiger Text zum Kopieren:

Achtung: Unsere Facebook-Seite wurde von Personen übernommen, die nichts mit unserer Firma zu tun haben. Bitte klicken Sie keine Links an und antworten Sie nicht auf Nachrichten von dort, bis wir das Konto zurückhaben. Neue Informationen veröffentlichen wir hier und auf unserer Website.

Wenn Sie sich nicht anmelden können

Hat der Angreifer Passwort, E-Mail-Adresse und Telefonnummer geändert, rufen Sie die Seite facebook.com/hacked auf. Meta rät, das auf einem Gerät zu tun, mit dem Sie sich üblicherweise bei Facebook anmelden. Der Assistent fragt nach der im Konto hinterlegten Telefonnummer oder E-Mail-Adresse. Hat der Angreifer sie geändert, probieren Sie die früher hinterlegten. Meta kann auch die Bestätigung Ihrer Identität verlangen, zum Beispiel durch ein kurzes Selfie-Video (Meta beschreibt es als optional) oder das Foto eines Dokuments.

Bereiten Sie Nachweise vor, dass die Seite zu Ihrer Firma gehört:

• die Adresse der Website, auf der der Link zu Facebook steht,
• Firmendaten aus der CEIDG (Centralna Ewidencja i Informacja o Działalności Gospodarczej, dem polnischen Gewerberegister) oder dem KRS (Krajowy Rejestr Sądowy, dem polnischen Gerichtsregister) sowie das Google-Unternehmensprofil,
• Rechnungen für Meta-Werbung oder Zahlungsbestätigungen,
• alte Screenshots aus dem Administratorbereich.

Legen Sie keine neue Seite und kein „Ersatz“-Konto an, statt die alte zurückzuholen. Eine neue Seite beginnt bei null, ohne Follower und Bewertungen, während die übernommene weiterhin unter dem Namen Ihrer Firma läuft.

Und was ist mit Meta Verified?

Meta bietet für Unternehmen das kostenpflichtige Abonnement Meta Verified an. Auf der polnischen Seite von Meta for Business (Stand 22. Oktober 2026) kostet der günstigste Plan Business Standard 14,99 USD pro Monat für eine Facebook-Seite, ein Instagram-Konto oder eine WhatsApp-Nummer, die höheren Pläne kosten 49,99, 149,99 und 499,99 USD. Meta weist darauf hin, dass Pläne, Preise und Verfügbarkeit von Region und Konto abhängen, den Betrag für Ihre Seite sehen Sie also erst beim Kauf. Schon der günstigste Plan bietet das Verifizierungsabzeichen, Schutz vor Identitätsmissbrauch und rund um die Uhr Kontakt zu einer Ansprechperson per Chat oder E-Mail, wobei Meta einschränkt, dass dieser Support möglicherweise noch nicht allen Abonnierenden zur Verfügung steht. Seit September 2026 sind die Funktionen von Meta Verified auch im neuen Abonnement Meta One enthalten, das Meta als weiterhin in der Testphase und nicht überall verfügbar beschreibt.

Vor dem Kauf zwei Dinge: Das Abonnement schalten Sie von der Firmenseite aus frei, es ist also eher eine Vorsorge für die Zukunft als eine Rettung, wenn Sie den Zugriff schon verloren haben. Außerdem empfiehlt Meta selbst Abonnierenden von Meta Verified, das normale, kostenlose Formular zur Wiederherstellung der Seite zu senden, weil das der schnellste Weg ist. Betrachten Sie das Abonnement daher nicht als Garantie für die Rückgabe des Kontos und zahlen Sie nicht unter dem Einfluss von Emotionen.

Sicherheitsliste für 10 Minuten

Nach der Wiederherstellung des Kontos, am besten aber schon vor einem Angriff, erledigen Sie diese Dinge. Jedes dauert eine oder zwei Minuten.

• [ ] Aktivieren Sie die Zwei-Faktor-Authentifizierung im Konto jeder Person mit Zugriff auf die Seite (Konten-Center > Passwort und Sicherheit > Zwei-Faktor-Authentifizierung). Am besten per Authenticator-App oder Sicherheitsschlüssel, nicht per SMS.
• [ ] Speichern Sie die Wiederherstellungscodes (Facebook gibt 10 Einmalcodes für den Fall aus, dass das Telefon fehlt) an einem sicheren Ort, zum Beispiel in einem Passwortmanager.
• [ ] Geben Sie zwei Personen die volle Kontrolle über die Seite: sich selbst und einer vertrauenswürdigen Person. Jede soll ein eigenes, separates Konto haben.
• [ ] Verwenden Sie eine eigene E-Mail-Adresse für das Administratorkonto. Geben Sie sie nicht öffentlich an und verwenden Sie nicht dieselbe wie für die auf der Website sichtbare Firmenadresse.
• [ ] Legen Sie ein einzigartiges, langes Passwort fest und bewahren Sie es im Passwortmanager auf. Verwenden Sie nicht dasselbe Passwort wie für Ihre E-Mail.
• [ ] Prüfen Sie in der Meta Business Suite die Liste der Personen mit Zugriff und deren Berechtigungen. Beschäftigten, die nur Beiträge veröffentlichen, geben Sie Teilkontrolle oder Aufgabenzugriff, nicht die volle Kontrolle.
• [ ] Entfernen Sie ehemalige Zugänge: von früheren Beschäftigten, von der Agentur, von Bekannten, die einmal geholfen haben.
• [ ] Aktivieren Sie Anmeldewarnungen bei nicht erkannten Geräten (Konten-Center > Passwort und Sicherheit).
• [ ] Prüfen Sie die E-Mail-Adresse zur Kontowiederherstellung und die Telefonnummer. Sie sollen Ihnen gehören und aktuell sein.
• [ ] Halten Sie in der Firma fest, wer Zugriff auf die Seite und die Werbung hat und was im Angriffsfall zu tun ist.

Denken Sie daran: Das Passwort Ihres E-Mail-Kontos ist auch ein Schlüssel zu Facebook. Wer Ihre E-Mail übernimmt, kann das Passwort für alles zurücksetzen. Aktivieren Sie auch für die E-Mail die Zwei-Faktor-Authentifizierung.

Zwei Personen mit voller Kontrolle: warum das so wichtig ist

In vielen kleinen Firmen verwaltet nur eine Person die Seite: die Firmenleitung oder „jemand, der sich mit Facebook auskennt“. Wird dieses Konto übernommen, kann niemand dem Angreifer die Berechtigungen entziehen. Zwei Personen mit Administratorzugriff, in der Sprache von Facebook also zwei Personen mit Facebook-Zugriff und voller Kontrolle, sind die einfachste Versicherung. Eine solche Person hat dieselben Rechte wie Sie, einschließlich der Möglichkeit, Sie von der Seite zu entfernen, wählen Sie also jemanden, dem Sie vertrauen.

Regeln:

• beide Personen haben eigene Konten mit aktivierter Zwei-Faktor-Authentifizierung,
• niemand gibt das Passwort an andere weiter,
• für tägliche Aufgaben wie das Veröffentlichen von Beiträgen geben Sie anderen Teilkontrolle oder Aufgabenzugriff,
• alle paar Monate prüfen Sie die Liste der Personen mit Zugriff.

Was nach der Wiederherstellung der Seite zu tun ist

Haben Sie den Zugriff zurück, hören Sie nicht bei der Passwortänderung auf. Gehen Sie den gesamten Verlauf und die Spuren des Angriffs durch:

1. Entfernen Sie fremde Beiträge, Werbeanzeigen, Apps und Integrationen.
2. Prüfen Sie, ob der Angreifer Namen, Link, Kategorie oder Kontaktdaten der Seite geändert hat.
3. Sehen Sie im Werbekonto nach und prüfen Sie Ausgaben und Zahlungsmethoden.
4. Prüfen Sie, ob mit der Seite fremde Apps, Seiten oder Instagram-Konten verbunden wurden.
5. Informieren Sie Ihre Kundschaft, dass das Problem gelöst ist.
6. Waren in Nachrichten oder im Konto personenbezogene Daten der Kundschaft, prüfen Sie die Pflichten aus der DSGVO auf uodo.gov.pl (der Website der UODO, der polnischen Datenschutzbehörde) oder konsultieren Sie eine Rechtsberatung. Kann die Verletzung für die Betroffenen eine Gefahr darstellen, ist die Meldung an den Präsidenten der UODO innerhalb von 72 Stunden nach Feststellung zu senden (Art. 33 DSGVO). Dies ist eine allgemeine Information und keine Rechtsberatung.

Prüfen Sie auch andere Orte, an denen Sie dasselbe Passwort oder dieselbe E-Mail-Adresse verwenden: E-Mail, Website-Backend, Google-Unternehmensprofil, Shop. Wurde eines davon offengelegt, ändern Sie die Passwörter sofort.

So prüfen Sie, ob der Rest Ihrer Firma im Netz sicher ist

Ein übernommenes Facebook-Konto ist oft der Anfang einer längeren Geschichte: Dasselbe Passwort funktioniert im Website-Backend, bei der E-Mail oder im Shop. Es lohnt sich, einmal zu prüfen, ob der Rest gut abgesichert ist. Einen schnellen Überblick über Ihre Website erhalten Sie im kostenlosen Tool Website prüfen. Es prüft u. a. die Sicherheit sowie die E-Mail in der Domain (SPF, DMARC).

Wünschen Sie eine genauere Bewertung von Formularen, Anmeldung und Bot-Schutz, führe ich ein Sicherheitsaudit mit Bericht und konkreten Korrekturen durch. War das Firmenkonto in den sozialen Medien vernachlässigt, kann ich Profile und Gruppen neu anlegen und einrichten, mit klaren Rollen und Regeln. Zur Absicherung der E-Mail in der Domain schreibe ich im Ratgeber über Firmen-E-Mails im Spam (SPF, DKIM, DMARC).

Zusammenfassung

Wird ein Firmenkonto auf Facebook übernommen, zählt eine schnelle Reaktion: Passwörter ändern, Geräte abmelden, prüfen, wer Zugriff auf die Seite hat, und über das Formular zur Seitenwiederherstellung oder facebook.com/hacked melden. Die beste Abwehr sind Zwei-Faktor-Authentifizierung, zwei Personen mit voller Kontrolle über die Seite und eine eigene E-Mail-Adresse für das Konto.

Brauchen Sie Hilfe bei der Sicherheitsprüfung oder beim Ordnen Ihrer Firmenprofile, schreiben Sie mir. Ich antworte innerhalb von 24 Stunden, und wer zum ersten Mal mit mir arbeitet, erhält 20 % Rabatt auf den ersten Auftrag.