Microsoftkonto wurde gehackt - Liegt das Problem direkt bei Microsoft?

Guten Abend,

ich hatte ein wirklich "spaßiges" Wochenende. Als ich am Freitag auf dem Weg in den Kurzurlaub war, bekam ich vormittags eine Mail mit dem dezenten Hinweis "Ihr Passwort für .... wurde geändert".

So, da hatte also ein "Fremder" einfach so das Passwort meines Microsoft-Accounts geändert. Ich bekam totale Panik, habe das Kennwort sofort wieder geändert. Witzigerweise wurde es dann 10 Minuten später wieder geändert. Ich habe hin und her überlegt und dachte schon an ein verseuchtes Android-Handy. Ich habe es dann komplett zurückgesetzt in die Werkseinstellungen und dann wieder das Passwort geändert. Es verging wieder eine kurze Zeit, bis erneut die Meldung kam, dass das Kennwort geändert wurde.

"Verdammte Sch...." dachte ich mir und wurde langsam ratlos. Diesmal ging er einen Schritt weiter und hat einfach mal XBOX Premium für 10 Jahre bestellt (600 €) und da mein Paypal-Konto verlinkt war, konnte er es direkt ohne zusätzliche Absicherung in Auftrag geben.

So weit so gut/schlecht. Ich habe direkt bei Microsoft angerufen und mir wurde mitgeteilt, dass ich eine Anzeige bei der Polizei erstatten muss. Dies habe ich dann auf der Autobahn getan und wurde von dem zuständigen Polizisten nur müde belächelt (er hatte keine Ahnung davon).

In der Zwischenzeit hat wohl PayPal und Microsoft erkannt, dass es keine gewollte Bestellung war und der Vorgang wurde in beiden Portalen storniert. Ich dachte dann es wäre endlich Ruhe aber falsch gedacht: Am Samstag ging das Spielchen von vorne los, mittlerweile hatte ich die Xbox nicht mehr in meinem Konto aktiv und war bereits beim 5. Passwort angelangt. Um mein Handy als "Keylogger" ausschließen zu können, habe ich das Handy meiner Partnerin genommen und darüber alle Passwörter geändert.

Heute Morgen, kurz vor der Abreise dann schon wieder der Hinweis, dass das Passwort geändert wurde. Dann hat es mir endgültig gereicht und ich habe die 2-Faktor Authentifizierung aktiviert (ja ich hätte das von Anfang an machen sollen, kannte sie bis dato aber nicht). Seitdem ist Ruhe und er kann nichts mehr ändern.


Meine Frage: Wieso konnte er NUR mit der Mailadresse ohne Passwort einfach das Passwort ändern? Ich habe den Prozess versucht nachzustellen und wenn man diesen "Code", der in der E-Mail beigefügt ist, nicht hat, kann man komischerweise eine andere Methode nehmen und dort dann z.B. eine Rufnummer angeben oder eine alternative Adresse. So muss er sich dann den Code zugeschickt haben und konnte, ohne mein eigentliches PW zu kennen, es einfach ändern.

Ich finde die Möglichkeit wirklich extrem.

Jetzt warte ich auf die Rückmeldung der Staatsanwaltschaft und bin gespannt, was dabei rumkommt. Die Anmeldeaktivitäten in meinem Microsoftkonto waren eher ernüchternt. Zuerst eine IP Adresse aus Frankfurt und dann 2 Adressen aus Amerika.


Hatte von euch schon mal jemand diese Erfahrung machen dürfen/müssen? Wieso setzt Microsoft nicht SOFORT auf die 2-Faktor Authentifizierung?