Mail von „Meta“: Dein Konto wird gelöscht? So erkennst du Phishing in 30 Sekunden

Warum sind Creatorinnen ein beliebtes Ziel?

Weil ihr Account Geld wert ist und eine Sperre für sie bedrohlich klingt. Wer von Instagram lebt, reagiert schneller auf „Dein Konto wird gelöscht“ als jemand, der dort nur Urlaubsfotos teilt. Genau mit dieser Angst arbeiten die Täter.

Phishing ist außerdem einer der häufigsten Wege in eine Kontoübernahme, und eine Übernahme kann zur Sperre führen. Eine Recherche der New York Times vom Juli 2026 zeigte: Von fünf gemeldeten „Fehlsperren“ betrafen laut Meta zwei gehackte Accounts, über die Täter verbotene Inhalte gepostet hatten (Quelle 1). Wer Phishing erkennt, schützt also nicht nur sein Passwort, sondern auch seinen Account vor einer Sperre.

Welche Phishing-Maschen gibt es 2026?

Fünf Vorlagen tauchen immer wieder auf. Wir beschreiben sie hier, statt sie nachzubauen, damit du das Muster erkennst, auch wenn sich der Wortlaut ändert.

1. Der angebliche Urheberrechtsverstoß. Eine Mail oder DM im Meta-Look behauptet, einer deiner Beiträge verletze Urheberrechte. Ohne Einspruch werde das Konto gelöscht. Der Link führt auf eine nachgebaute Hilfeseite, oft mit einem Fake-Chat, in dem ein „Support-Mitarbeiter“ nach Passwort und Code fragt (Quelle 2). Diese Masche ist so verbreitet, weil Creatorinnen tatsächlich Copyright-Meldungen bekommen können. Wie echte Erpressung mit falschen Meldungen abläuft, beschreibt Falsche Copyright-Strikes und Erpressung.

2. Die Löschung wegen Richtlinienverstoß. Dein Konto habe gegen die Community-Richtlinien verstoßen und werde in 24 oder 48 Stunden deaktiviert. Auch hier folgt ein Link zum „Einspruch“.

3. Der blaue Haken. Du seist für die Verifizierung ausgewählt worden, musst dafür aber deine Daten „bestätigen“. Manchmal wird eine Gebühr verlangt, manchmal nur der Login.

4. Der Sicherheitscheck vom Freundes-Account. Eine DM von einer Person, der du folgst, bittet dich, für sie abzustimmen, einen Link zu öffnen oder einen Code weiterzuleiten, den du gleich per SMS bekommst. Der Account deiner Bekannten ist in Wahrheit schon übernommen. Der Code ist dein eigener Login-Code.

5. Die Kooperationsanfrage. Eine bekannte Marke will mit dir zusammenarbeiten und schickt dich auf eine „Kooperationsplattform“, auf der du dich mit deinem Social-Media-Login anmelden sollst. Die Sicherheitsfirma ESET hat im Oktober 2026 eine solche Kampagne beschrieben: Die Login-Seite fing Passwort und Einmalcode ab. Bisher richtete sie sich gegen YouTube-Creator (Quelle 3). Manchmal kommt statt des Links ein „Media Kit“ als Datei, das Schadsoftware enthält.

Dazu kommt ein Sonderfall, der kein Phishing ist, aber so aussieht: die echte Reset-Mail (siehe unten).

Wie funktioniert der 30-Sekunden-Check?

Du stellst vier Fragen, bevor du irgendetwas anklickst. Eine einzige „Ja“-Antwort bei Frage 3 oder 4 reicht, um die Nachricht als Betrug einzustufen.

1. Wie kommt die Nachricht? Meta kommuniziert Verwarnungen über die App und per E-Mail, nicht über WhatsApp, Telegram oder eine DM von einem Account namens „Meta Support“. Kommt die Mail von einer Gmail-, Outlook- oder einer seltsam zusammengesetzten Adresse, ist sie nicht von Meta.

2. Wohin führt der Link? Halt den Finger auf den Link oder fahr mit der Maus darüber, ohne zu klicken, und lies die Adresse von rechts nach links bis zum ersten einzelnen Schrägstrich. Echte Links enden auf instagram.com, facebook.com oder meta.com. Achte auf Tippfehler, zusätzliche Wörter und Konstruktionen, bei denen „instagram“ nur vorne als Teil einer fremden Adresse steht.

3. Macht die Nachricht Druck? „Innerhalb von 24 Stunden“, „letzte Warnung“, „sonst wird dein Konto dauerhaft gelöscht“. Die Verbraucherzentrale nennt kurze Fristen und Drohungen als klassisches Warnzeichen (Quelle 4).

4. Will sie Passwort, Code oder Geld? Dein Passwort, einen 2FA-Code, einen Backup-Code, eine Zahlung oder ein Video-Selfie außerhalb der App. Das ist das sicherste Erkennungsmerkmal. Kein echter Support braucht deinen Login-Code, um dir zu helfen. Wer danach fragt, will sich selbst einloggen.

Absender lassen sich fälschen, ein Absendername wie „Instagram“ beweist deshalb nichts. Auch eine persönliche Anrede mit deinem Namen ist kein Echtheitsbeleg, denn Täter kennen Namen oft aus öffentlichen Profilen oder Datenlecks (Quelle 4).

Wie prüfst du in der App, ob eine Mail echt ist?

Du öffnest Instagram selbst und schaust nach, ob die Nachricht dort auch auftaucht. Was in der App nicht steht, ist nicht echt.

• E-Mails von Instagram: Instagram führt eine Liste der Sicherheits-Mails, die es dir in den letzten Tagen geschickt hat, etwa zu Passwortänderungen oder neuen Logins. Laut Berichten umfasst sie die letzten 14 Tage und trennt Sicherheits-Mails von anderen (Quelle 5). Steht die Mail, die dich gerade beunruhigt, dort nicht, kommt sie nicht von Instagram.
• Kontostatus: Echte Verwarnungen, entfernte Inhalte und Einschränkungen siehst du im Kontostatus deines Profils. Wie du ihn liest, steht in Shadowban auf Instagram.
• Benachrichtigungen in der App: Eine echte Löschdrohung würdest du auch in der App sehen, nicht nur per Mail.

Wichtig: Öffne dafür die Instagram-App direkt vom Startbildschirm oder tipp instagram.com selbst in den Browser. Nie über den Link in der verdächtigen Nachricht.

Was ist mit echten Reset-Mails, die du nicht angefordert hast?

Ignorieren. Jeder, der deinen Nutzernamen oder deine E-Mail-Adresse kennt, kann bei Instagram „Passwort vergessen“ anklicken. Dann bekommst du eine echte Mail von Instagram, obwohl du nichts getan hast.

Anfang 2026 kam es zu einer ganzen Welle solcher Mails. Gleichzeitig tauchte ein großer Datensatz mit Instagram-Profildaten in Hackerforen auf. Meta erklärte, das Problem behoben zu haben, und dass die eigenen Systeme nicht angegriffen worden seien. Die Verbraucherzentrale riet, nicht angeforderte Reset-Mails zu ignorieren und ein einmaliges Passwort zu nutzen (Quelle 6).

Eine solche Mail allein bedeutet nicht, dass jemand dein Passwort hat. Sie ist aber ein guter Anlass, deine Sicherheitseinstellungen zu prüfen. Wie das in 15 Minuten geht, steht in Instagram-Account absichern.

Was tust du, wenn du schon geklickt hast?

Kommt darauf an, wie weit du gegangen bist.

Nur geklickt, nichts eingegeben: Seite schließen. Hast du eine Datei heruntergeladen, öffne sie nicht und lösch sie. Die Verbraucherzentrale rät, das Gerät mit einem aktuellen Virenschutz zu prüfen und Updates einzuspielen (Quelle 4).

Passwort eingegeben:

1. Sofort das Passwort ändern, über die App, nicht über einen Link.
2. Alle anderen Sitzungen abmelden in der Login-Aktivität.
3. 2FA prüfen: Ist eine fremde Telefonnummer oder Authenticator-App hinterlegt? Entfernen und deine eigene einrichten.
4. E-Mail-Adresse und Telefonnummer prüfen, die im Account stehen.
5. Dasselbe Passwort überall ändern, wo du es sonst noch benutzt.

Code oder Backup-Code weitergegeben: Dann ist der Täter womöglich schon drin. Geh die Schritte oben durch und erzeug neue Backup-Codes.

Schon ausgesperrt: Dann bist du in Instagram gehackt: Die ersten 60 Minuten richtig. Dort beginnt alles mit deinem E-Mail-Postfach.

Melden: Leite Phishing-Mails nicht an Freundinnen weiter, sondern melde die DM oder den Account in Instagram. Die Verbraucherzentrale sammelt Phishing-Mails außerdem in ihrem Phishing-Radar. Verdächtige Mails, die du selbst bekommen hast, kannst du an phishing@verbraucherzentrale.nrw weiterleiten (Quelle 8).

Wie schützt du dich, auch wenn du doch einmal reinfällst?

Mit einem Passkey oder einer Authenticator-App, einem gesicherten Postfach und der Regel, Codes nie weiterzugeben.

Ein Passkey ist an die echte Meta-Seite gebunden und lässt sich auf einer nachgebauten Seite nicht verwenden. Meta unterstützt Passkeys seit April 2026 auch für Instagram (Quelle 7). Die Zwei-Faktor-Authentifizierung per App hilft, wenn nur dein Passwort abgegriffen wurde. Gegen eine Phishing-Seite, die zusätzlich deinen Einmalcode abfängt, hilft sie nur, wenn du den Code dort nicht eingibst.

Und eine Gewohnheit, die mehr bringt als jede Technik: Jede Nachricht, die Druck macht, prüfst du in der App, nicht im Link.

Checkliste: 30-Sekunden-Check

• [ ] Kommt die Nachricht per App oder Mail, nicht per WhatsApp, Telegram oder „Support“-DM?
• [ ] Endet der Link wirklich auf instagram.com, facebook.com oder meta.com?
• [ ] Macht die Nachricht Zeitdruck oder droht mit Löschung?
• [ ] Will sie Passwort, Code, Backup-Code, Geld oder ein Video-Selfie?
• [ ] Steht die Mail in der Liste der E-Mails von Instagram?
• [ ] Zeigt der Kontostatus eine echte Verwarnung?

Häufige Fragen

Unser Fazit

Phishing wirkt, weil es Angst macht. Wenn du dir eine Regel merkst, dann diese: Wer Druck macht und nach Passwort, Code oder Geld fragt, ist nicht Meta. Prüf alles in der App, und du bist den meisten Maschen voraus.

Wenn du dir für deine Kanäle Unterstützung wünschst, die Sicherheit mitdenkt, findest du hier unser Erstgespräch. Es ist unverbindlich. Woran du eine seriöse Agentur erkennst, liest du in Seriöse OnlyFans-Agentur erkennen.