Passwort nicht zurücksetzenInstagram: Nutzer sollen E-Mails zur Kontosicherheit ignorieren
Wochenlang versendet Instagram E-Mails an Nutzer und fordert sie zum Zurücksetzen des Passworts auf. Jetzt sagt die Plattform, die Schreiben können ignoriert werden. Das hat es damit auf sich.
Instagram hat Tausende Nutzer mit unangeforderten E-Mails zum Passwort-Zurücksetzen verunsichert. "Es gab keine Sicherheitslücke in unseren Systemen", beteuerte das soziale Netzwerk am Sonntag auf X. Doch die Anzeichen verdichten sich, dass womöglich doch eine technische Schwachstelle zum Versand führte.
Nutzer gaben auf X und in Foren auf Facebook sowie Reddit an, eine E-Mail erhalten zu haben, die sie zum Zurücksetzen des Passworts aufforderte. Anders als bei Phishingversuchen, bei denen Betrüger an die Passwörter und somit die Konten der Betroffenen kommen wollen, handelte es sich dieses Mal um offizielle E-Mails, die von Instagram selbst abgesendet worden waren. Ganz am Ende des Schreibens befand sich ein Link, über den sich die Empfänger melden konnten, wenn sie ihr Passwort nicht zurücksetzen wollten. Der Link führte genauso zu Instagram wie der blaue Button, um sich ein neues Passwort zu vergeben.
Die Empfänger der E-Mails waren entsprechend verwirrt. Und die Verunsicherung wurde noch gesteigert, da Instagram es im Nutzerkonto anzeigt, ob in den vergangenen 14 Tagen eine offizielle E-Mail an die Betreiber eines Kontos versendet wurde. Dort wurde dieses Schreiben zum Passwort-Zurücksetzen allerdings nicht aufgelistet.
Hunderte Nutzer teilten in den vergangenen Tagen und Wochen in sozialen Netzwerken ihre Fragen zu den mysteriösen E-Mails, die sie nicht angefordert hatten. Zum Teil sammelten diese Wort- und Bildbeiträge Tausende Kommentare von weiteren Betroffenen. Nun endlich erklärte Instagram schwammig, wie es dazu kommen konnte.
Instagram will Problem behoben haben
"Wir haben ein Problem behoben, das es Dritten ermöglichte, für einige Nutzer E-Mails zum Zurücksetzen von Passwörtern anzufordern", teilte die Foto- und Kurzvideoplattform am Sonntag auf X mit. Instagram betonte, dass keine Sicherheitslücke vorliege. Nutzer "können diese E-Mails ignorieren", hieß es. Die Plattform aus dem Meta-Netzwerk von Mark Zuckerberg entschuldigte sich "für die entstandene Verwirrung".
In der Formulierung fiel auf, dass unbekannte Fremde die E-Mails für andere Konten bestellen konnten. Dafür reichte es aus, den Nutzernamen eines Kontos zu kennen, der ohnehin öffentlich einsehbar ist. Auch über Handynummern ließen sich die E-Mails anfordern, wenn ein Account mit einer solchen verknüpft ist. Dies ist beispielsweise bei einer aktiven Zwei-Faktor-Authentifizierung der Fall. Die Schwachstelle sei jetzt behoben worden - inwiefern Fremde nun keine Passwörter mehr zurücksetzen lassen können, erklärte Instagram jedoch nicht.
Die Plattform empfiehlt generell, die Zwei-Faktor-Authentifizierung einzurichten. So ist es Betrügern, wenn sie einmal an solch eine E-Mail gelangen sollten, nicht möglich, das Passwort des betroffenen Kontos zu ändern. Der Kontoeigentümer muss die Änderung mittels eines Codes bestätigen, der per SMS oder Whatsapp-Nachricht zugestellt wird.