Outlook-Mails werden heimlich weitergeleitet: Regel entfernen und Konto absichern

Am Montagmorgen fehlt plötzlich die Antwort eines Kunden im Posteingang. Später findest du die Nachricht im Ordner „Gelöschte Elemente“ oder merkst, dass Kolleginnen und Kollegen E-Mails kennen, die nur an dich gerichtet waren. Wenn dein Outlook-Konto nach einem Phishing-Angriff oder Passwortdiebstahl betroffen war, kann eine heimlich angelegte Regel dahinterstecken. Sie leitet neue Mails weiter, verschiebt sie oder löscht sie direkt nach dem Eingang.

Ein Passwortwechsel ist wichtig, aber allein nicht immer genug. Angreifer legen oft Regeln an, solange sie noch Zugriff haben. Diese Regeln bleiben bestehen, auch nachdem du dein Passwort geändert hast. Du musst deshalb die Regeln entfernen, die Anmeldung absichern und prüfen, ob noch fremde Zugriffe aktiv sind.

Symptom: Mails fehlen, werden weitergeleitet oder als gelesen angezeigt

Typische Anzeichen für eine unerlaubte Outlook-Regel sind:

• E-Mails erscheinen nicht im Posteingang, obwohl Absender sie nachweislich geschickt haben.
• Nachrichten landen ohne dein Zutun in „Gelöschte Elemente“, „Archiv“ oder einem unbekannten Ordner.
• E-Mails werden als gelesen markiert, obwohl du sie nicht geöffnet hast.
• Geschäftspartner erhalten Antworten, die nicht von dir stammen.
• Du bekommst Hinweise auf Anmeldungen von unbekannten Geräten oder Orten.
• In den Kontoeinstellungen ist eine Weiterleitungsadresse eingetragen, die du nicht kennst.

Behandle diese Hinweise ernst, besonders wenn du kurz zuvor auf eine verdächtige Mail reagiert oder dein Passwort auf einer gefälschten Anmeldeseite eingegeben hast. Wie du solche Nachrichten künftig erkennst, liest du in Ist diese E-Mail echt? Phishing sicher erkennen.

Ursache: Eine Regel kann Mails unauffällig umleiten

Outlook kennt zwei ähnliche Funktionen:

• Eine Weiterleitung schickt grundsätzlich neue E-Mails an eine andere Adresse.
• Eine Regel führt festgelegte Aktionen aus, etwa „Wenn eine Nachricht von einem bestimmten Absender kommt, weiterleiten, verschieben oder löschen“.

Angreifer wählen häufig Regeln, die nicht sofort auffallen. Zum Beispiel können sie nur Mails mit Begriffen wie „Rechnung“, „Bank“, „Angebot“ oder „Passwort“ weiterleiten. Andere Regeln verschieben die ursprüngliche Nachricht anschließend in den Papierkorb. Du bemerkst dann oft erst spät, dass vertrauliche Inhalte mitgelesen wurden.

Wichtig: Eine Regel liegt im Postfach auf dem Mailserver, nicht nur auf deinem PC. Deshalb kann sie auch dann weiterarbeiten, wenn Outlook geschlossen ist und dein Rechner ausgeschaltet bleibt.

Lösung: Zuerst Passwort ändern und alle Sitzungen beenden

Ändere das Passwort sofort, bevor du in Ruhe Regeln prüfst. Nutze dafür ein Gerät, dem du vertraust. Wenn du befürchtest, dass dein PC mit Schadsoftware infiziert sein könnte, verwende vorübergehend ein anderes Gerät.

Wähle ein neues, langes Passwort, das du nirgendwo sonst verwendest. Speichere es am besten in einem Passwortmanager. Wenn du dasselbe Passwort bei anderen Diensten genutzt hast, ändere es dort ebenfalls.

Melde dich danach auf möglichst vielen Geräten ab. Bei privaten Microsoft-Konten findest du die Sicherheitsoptionen in deinem Microsoft-Konto. Bei einem Firmenkonto mit Microsoft 365 kann die IT-Verwaltung aktive Anmeldungen zentral beenden. Informiere in diesem Fall frühzeitig die zuständige Person oder den IT-Support.

Aktiviere oder prüfe außerdem die Zwei-Faktor-Anmeldung. Damit reicht ein gestohlenes Passwort allein nicht mehr für die Anmeldung. Falls Bestätigungen in der App nicht ankommen, hilft dir Microsoft Authenticator: Anmeldebestätigung kommt nicht an , so lösen Sie das Problem.

Lösung: Weiterleitung in Outlook im Browser prüfen

Die Weboberfläche ist für diese Prüfung meist der zuverlässigste Weg, weil sie direkt die Einstellungen auf dem Mailserver zeigt. Öffne Outlook im Browser und melde dich mit deinem gerade geänderten Passwort an.

Bei Outlook.com oder einem privaten Microsoft-Konto gehst du so vor:

1. Klicke oben rechts auf das Zahnrad.
2. Wähle unten „Alle Outlook-Einstellungen anzeigen“.
3. Öffne „E-Mail“ und danach „Weiterleitung“.
4. Prüfe, ob die Weiterleitung aktiviert ist.
5. Ist dort eine unbekannte Adresse eingetragen, entferne sie.
6. Deaktiviere die Weiterleitung vollständig, wenn du sie nicht bewusst benötigst.
7. Speichere die Änderung.

Bei einem Microsoft-365-Arbeitskonto heißen die Menüpunkte meist sehr ähnlich. Falls du die Einstellung nicht findest, kann dein Unternehmen die Weiterleitung eingeschränkt oder zentral verwaltet haben. Melde den Verdacht trotzdem der IT. Sie kann zusätzlich prüfen, ob auf Verwaltungsebene eine Weiterleitung eingerichtet wurde.

Notiere dir verdächtige E-Mail-Adressen nicht nur, sondern mache wenn möglich einen Screenshot für die IT oder für eine spätere Dokumentation. Antworte aber nicht an diese Adresse.

Lösung: Posteingangsregeln einzeln kontrollieren und löschen

Als Nächstes prüfst du alle Regeln. Öffne in Outlook im Browser erneut die Einstellungen und gehe zu „E-Mail“ und „Regeln“.

Sieh jede Regel einzeln an. Besonders verdächtig sind Regeln mit diesen Aktionen:

• Weiterleiten oder umleiten an eine fremde Adresse
• Verschieben in „Gelöschte Elemente“, „RSS-Feeds“, „Archiv“ oder unbekannte Ordner
• Als gelesen markieren
• Dauerhaft löschen
• Regeln mit Bedingungen zu Rechnungen, Bankdaten, Angeboten, Zahlungen oder bestimmten Personen

Lösche Regeln, die du nicht selbst angelegt hast oder deren Zweck du nicht sicher erklären kannst. Deaktiviere sie nicht nur. Eine deaktivierte Regel kann später wieder eingeschaltet werden, wenn noch jemand Zugriff auf dein Konto erhält.

Prüfe auch Regeln, die zunächst harmlos wirken. Eine Bezeichnung wie „Archiv“, „Wichtig“ oder „Spamfilter“ kann frei gewählt werden. Entscheidend ist nicht der Name, sondern was die Regel tatsächlich macht.

Wenn du Outlook als Programm auf Windows verwendest, kontrolliere zusätzlich die dort sichtbaren Regeln:

1. Öffne Outlook.
2. Wähle „Datei“.
3. Öffne „Regeln und Benachrichtigungen verwalten“.
4. Kontrolliere die aufgeführten Regeln.
5. Lösche unbekannte Regeln und bestätige die Änderung.

Die Browserprüfung bleibt dennoch wichtig, weil nicht jede serverseitige Einstellung in jeder Outlook-Version gleich sichtbar ist.

Ursache: Ein Angreifer kann weitere Zugänge hinterlassen

Nach einem erfolgreichen Login können Angreifer mehr verändern als nur Regeln. Prüfe deshalb auch diese Bereiche:

• Wiederherstellungs-E-Mail-Adresse und hinterlegte Telefonnummer
• Sicherheitsinformationen für die Zwei-Faktor-Anmeldung
• Unbekannte Geräte oder kürzlich erfolgte Anmeldungen
• Verbundene Apps und erteilte Zugriffsrechte
• Gesendete Elemente auf unbekannte Antworten oder Weiterleitungen
• Gelöschte Elemente und Archiv auf verschwundene Nachrichten

Bei einem privaten Microsoft-Konto findest du viele dieser Punkte im Bereich Sicherheit des Kontos. Bei Firmenkonten kann die IT Anmeldeprotokolle und verbundene Anwendungen genauer auswerten.

Wenn du E-Mails nur noch am PC vermisst, aber im Browser vorhanden sind, kann zusätzlich ein lokales Outlook-Problem vorliegen. Wenn Outlook dagegen ständig erneut nach Zugangsdaten fragt, lies Outlook fragt ständig nach dem Passwort: so hört es auf.

Lösung: Schäden begrenzen und betroffene Personen informieren

Prüfe den Zeitraum, in dem der unbefugte Zugriff möglich war. Schau besonders auf Mails mit Rechnungen, Kontodaten, Verträgen, Adressen oder Zugangsdaten. Gehe davon aus, dass weitergeleitete Nachrichten gelesen worden sein können.

Informiere bei einem Arbeitskonto zeitnah die IT und, falls nötig, zuständige Kolleginnen, Kollegen oder Kunden. Formuliere knapp und sachlich: Das Konto war möglicherweise kompromittiert, verdächtige Nachrichten oder Zahlungsanweisungen sollen besonders geprüft werden.

Das ist wichtig, weil Angreifer oft E-Mails abfangen, um gefälschte Rechnungen oder geänderte Bankverbindungen glaubwürdig wirken zu lassen. Kontrolliere deshalb auch, ob aus deinem Konto verdächtige Mails versendet wurden.

Falls nach dem Aufräumen weiterhin Nachrichten fehlen, prüfe die Ordnerstruktur und die Synchronisierung. Eine rote Markierung bei OneDrive betrifft zwar nicht direkt Outlook, kann aber ebenfalls auf Anmelde- oder Synchronisationsprobleme hindeuten. Hilfe dazu findest du in OneDrive synchronisiert nicht und zeigt ein rotes X: Dateien wieder abgleichen.

Checkliste: Konto nach heimlicher Weiterleitung absichern

• Passwort geändert und kein altes Passwort wiederverwendet
• Alle aktiven Sitzungen und unbekannten Geräte geprüft
• Zwei-Faktor-Anmeldung aktiviert oder kontrolliert
• Weiterleitungsadresse in Outlook entfernt
• Alle Posteingangsregeln geprüft und unbekannte Regeln gelöscht
• Wiederherstellungsdaten und Sicherheitsmethoden kontrolliert
• Gesendete, gelöschte und archivierte Mails auf Auffälligkeiten geprüft
• IT, Kolleginnen, Kollegen oder Kunden bei einem Arbeitskonto informiert
• Verdächtige E-Mails und Einstellungen dokumentiert

Wer das Thema Kontoschutz und sichere Anmeldung systematisch lernen will, findet passende Seminare bei cmt.de.

Wenn du die Regel entfernt, das Passwort geändert und alle Sicherheitsdaten geprüft hast, ist der wichtigste Teil erledigt. Beobachte dein Postfach in den nächsten Tagen trotzdem aufmerksam. Taucht erneut eine unbekannte Regel auf, hat möglicherweise noch jemand Zugriff oder ein Gerät speichert alte Zugangsdaten. Dann sollte die IT das Konto und die angemeldeten Geräte genauer untersuchen.