Microsoft hat das Konto meines Sohnes zurückgegeben. Es hätte keine 60.000 Aufrufe brauchen dürfen.

Der Zeitverlauf erzählt die Geschichte

Ich kontaktierte Microsoft wegen der Kontoübernahme zum ersten Mal am 13. August 2026.

Am 14. August schickte mir das ursprüngliche Supportteam dies:

Wenn Sie innerhalb der nächsten 7 Tage mit zusätzlichen Informationen auf diese E-Mail antworten, setze ich meine Untersuchung gerne fort.

Also tat ich genau das. Am 15. August, nur einen Tag später, antwortete ich mit einem Berg zusätzlicher Informationen und Beweise. Danach hörte ich nichts mehr: keine Rückfragen, keine Erklärung, keine Bestätigung, dass die Untersuchung weitergegangen war. Das Team hörte einfach auf, mit mir zu kommunizieren.

Dieses Schweigen dauerte bis zum 4. September, als ich endlich diese Antwort erhielt:

Diese Serviceanfrage wurde bereits gelöst und geschlossen. Wir helfen Ihnen gerne bei Ihrer neuen Anfrage; ich kann diese geschlossene Serviceanfrage jedoch nicht wieder öffnen. Sie müssen eine neue Serviceanfrage erstellen, indem Sie den Microsoft-Support kontaktieren, und jemand hilft Ihnen gerne weiter.

Das war erstaunlich. Mir war ausdrücklich gesagt worden, dass die Untersuchung fortgesetzt würde, wenn ich innerhalb von sieben Tagen mit weiteren Informationen antworte. Ich antwortete innerhalb eines Tages. Stattdessen wurde der Fall offenbar ohne mein Wissen geschlossen, und ich wurde fast drei Wochen lang ignoriert, bevor man mir sagte, ich solle von vorn anfangen.

Ich antwortete und wies auf den Widerspruch hin. Microsoft hatte mich um weitere Beweise gebeten, versprochen, weiter zu ermitteln, wenn ich sie innerhalb von sieben Tagen liefere, sie innerhalb eines Tages erhalten und das Ticket trotzdem stillschweigend geschlossen. Ich fragte nach dem Grund und bekam nie eine Antwort.

Dieser Teil der Geschichte bleibt völlig inakzeptabel. Menschen, die mit einer Kontoübernahme zu tun haben, sind ohnehin in einer belastenden Lage. Eine Untersuchung stillschweigend zu schließen, nachdem man jemandem ausdrücklich ein Zeitfenster für weitere Beweise eingeräumt hat, und dann nicht zu erklären, was passiert ist, ist nicht die Art, wie ein Sicherheits- oder Kundensupportprozess funktionieren sollte.

Unterdessen funktionierte LinkedIn besser als der Microsoft-Support

Während das ursprüngliche Supportteam noch schwieg, bemerkte ich am 1. September, dass ein Microsoft-Mitarbeiter ziemlich weit oben in der Organisation mein LinkedIn-Profil angesehen hatte. Angesichts des Zeitpunkts und der Aufmerksamkeit, die der ursprüngliche Blogbeitrag erhalten hatte, konnte ich mir den Grund ziemlich gut denken. Ich schrieb ihm direkt und fragte, ob er sich mein Profil wegen des Blogbeitrags ansehe. Er antwortete noch am selben Tag: ja.

Wir begannen, über LinkedIn zu kommunizieren, und er war außerordentlich hilfsbereit. Er brachte mich mit einem Eskalationsteam innerhalb von Microsoft in Kontakt, und der Wiederherstellungsprozess begann von Neuem. Strukturell unterschied sich der Eskalationsprozess nicht dramatisch von dem, was ich bereits durchgemacht hatte. Sie stellten Fragen, ich lieferte Beweise, und sie prüften Kontoinformationen, um den rechtmäßigen Eigentümer zu ermitteln.

Aber es gab einen gewaltigen Unterschied: Diesmal fühlte es sich an, als würde tatsächlich jemand die Beweise auswerten, die ich lieferte. Sie reagierten schnell, kommunizierten mit mir, stellten Rückfragen und schienen die Geschichte des Kontos und die von mir gelieferten Informationen zu berücksichtigen, statt den Fall wie eine binäre Checkliste zu behandeln.

Und am 7. September 2026 wurde das Konto wiederhergestellt. Sechs Tage, nachdem ich den Microsoft-Mitarbeiter auf LinkedIn kontaktiert hatte. Fünfundzwanzig Tage nach meinem ersten Kontakt mit dem Microsoft-Support. Juhu!

Das Eskalationsteam war hervorragend

Ich möchte in diesem Punkt deutlich sein, denn es wäre unfair, alle bei Microsoft über einen Kamm zu scheren. Die Menschen, die mir schließlich halfen, waren großartig. Der Microsoft-Mitarbeiter, mit dem ich über LinkedIn in Kontakt kam, war freundlich, reagierte schnell und wollte wirklich herausfinden, was passiert war. Das Eskalationsteam nahm die Situation ernst und kam am Ende zum richtigen Ergebnis.

Wir verbrachten sogar Zeit damit zu verstehen, wie das Konto überhaupt kompromittiert wurde. Das bleibt die größte unbeantwortete Frage. Da ich hauptsächlich Mac-Nutzer bin und bei weitem nicht so viel Zeit mit der Verwaltung von Windows-Rechnern verbringe, gab mir der Microsoft-Kontakt einige Vorschläge, wie ich den Computer meines Sohnes untersuchen könnte. Von dort aus nutzte ich ChatGPT, um deutlich tiefer zu gehen: den Windows-Rechner untersuchen, Sicherheitseinstellungen prüfen, nach Persistenzmechanismen suchen, verdächtige Software kontrollieren und nach Hinweisen suchen, dass der Computer selbst kompromittiert worden war.

Bisher habe ich nichts gefunden: keine offensichtliche Malware, kein eindeutiges Fernzugriffstool, keine Hinweise darauf, dass jemand dauerhaft Kontrolle über den Rechner hatte, und nichts, was die Übernahme sauber erklärt. Das macht irgendeine Form von Social Engineering immer wahrscheinlicher, auch wenn ich immer noch nicht beweisen kann, was genau passiert ist. Mein Sohn erinnert sich an nichts, was es offensichtlich erklären würde, und die verfügbaren Kontodaten haben mir nicht genug Informationen geliefert, um den Angriff schlüssig zu rekonstruieren. Ich grabe weiter.

Das Konto ist zurück. Und es ist jetzt viel schwerer zu stehlen.

Sobald wir wieder Zugriff hatten, habe ich das Konto erheblich abgesichert. Noch wichtiger: Mein Sohn und ich hatten ein langes und sehr direktes Gespräch über moderne Betrugsmaschen. Das ist etwas, das Eltern technisch versierter Kinder meiner Meinung nach unterschätzen können: Zu wissen, wie man Computer benutzt, ist nicht dasselbe wie feindseliges Verhalten im Internet zu verstehen.

Kinder verbringen enorm viel Zeit in Umgebungen, in denen Fremde sie routinemäßig auffordern:

• Sich auf Websites anzumelden.
• Discord-Servern beizutreten.
• Mods oder Hilfsprogramme zu installieren.
• QR-Codes zu scannen.
• Spielkonten zu authentifizieren.
• Bestätigungscodes einzugeben.
• Links zu folgen, die per Chat geschickt werden.
• Microsoft-, Google-, Steam-, Xbox-, Roblox- oder andere Identitäten mit Drittanbieterdiensten zu verknüpfen.

Die meisten dieser Interaktionen sind völlig legitim. Ein Angreifer braucht nur eine, die es nicht ist. Deshalb ändern wir, wie Authentifizierung bei uns zu Hause funktioniert. Mein Sohn wird für seine Zugangsdaten jetzt ausschließlich einen Passwortmanager verwenden. Wenn ein Passwort nicht im Passwortmanager ist, sollte er es nicht eintippen. Wenn der Passwortmanager eine Website nicht als zu den erwarteten Zugangsdaten gehörig erkennt, sollte das sofort ein Warnsignal sein, dass etwas nicht stimmt.

Das beseitigt Phishing oder Social Engineering nicht, aber es reduziert den manuellen Umgang mit Zugangsdaten drastisch und verkleinert unsere Angriffsfläche. Wir haben außerdem die Wiederherstellungsmechanismen und die Authentifizierung überall dort verschärft, wo es möglich war.

Aber es gibt hier ein größeres Problem

Natürlich bin ich mit dem Ergebnis zufrieden. Mein Sohn hat sein Konto zurück, die Leute im Eskalationsteam von Microsoft waren wirklich hilfreich, und jemand innerhalb von Microsoft hat sich genug um die Situation gekümmert, um sich persönlich einzuschalten. Aber ich komme immer wieder auf eine unbequeme Frage zurück: Was wäre passiert, wenn mein Blogbeitrag 60 Aufrufe statt 60.000 bekommen hätte?

Der normale Supportprozess:

• 13. August: Ich kontaktiere Microsoft.
• 14. August: Microsoft bittet mich um weitere Beweise und sagt ausdrücklich, dass weiter ermittelt wird, wenn ich innerhalb von sieben Tagen antworte.
• 15. August: Ich liefere umfangreiche zusätzliche Beweise.
• 15. August bis 4. September: Schweigen.
• 4. September: Microsoft teilt mir mit, dass der Fall bereits geschlossen wurde und ich von vorn anfangen muss.

Der Eskalationsprozess:

• 1. September: Ich bemerke, dass ein Microsoft-Mitarbeiter mein LinkedIn-Profil angesehen hat, und kontaktiere ihn.
• 1. September: Er antwortet und beginnt, mich mit den richtigen Leuten zu verbinden.
• 7. September: Microsoft stellt das Konto wieder her.

Der Eskalationsweg löste in sechs Tagen, was der gewöhnliche Supportprozess in mehr als drei Wochen nicht lösen konnte. Das ist die eigentliche Geschichte. Ich hatte zufällig eine Plattform. Die Geschichte verbreitete sich. Jemand bei Microsoft bemerkte sie, sah sich mein LinkedIn-Profil an, und ich bemerkte das zufällig. Ich kontaktierte ihn, er antwortete, er wusste, wen er intern ansprechen musste, und schließlich wurde das Konto wiederhergestellt.

Das ist eine bemerkenswert spezifische Kette von Ereignissen, und nichts davon hätte nötig sein dürfen. Die Beweise, die ich dem Eskalationsteam gab, waren nicht auf magische Weise anders, weil ein Microsoft-Mitarbeiter meinen Blogbeitrag gesehen hatte. Ich war immer noch derselbe Elternteil. Es war immer noch dasselbe Konto. Die Kontohistorie war immer noch dieselbe. Die Umstände der Übernahme waren immer noch dieselben. Was sich änderte, war, dass jemand bei Microsoft, der sich in der Organisation zurechtfindet, Interesse an dem Fall entwickelte.

Das beunruhigt mich weit mehr als die Frage, ob meine spezielle Geschichte ein Happy End hatte. Ein Sicherheits-Wiederherstellungssystem muss für die Person funktionieren, die keinen Blog hat, deren Geschichte nicht von 60.000 Menschen gelesen wird, die keinen Microsoft-Mitarbeiter auf LinkedIn finden kann und die nicht technisch versiert genug ist, Anmeldeverläufe und Sicherheitsereignisse zu rekonstruieren. Es muss funktionieren, wenn niemand Wichtiges zuschaut.

Kontowiederherstellung ist Teil des Sicherheitsmodells

Meine ursprüngliche Kritik an Microsofts Kontowiederherstellung hat sich im Kern nicht geändert. Kontowiederherstellung ist nicht bloß Kundensupport. Sie ist ein Sicherheitssystem. Unternehmen investieren enormen Entwicklungsaufwand, um die Eingangstür mit Passkeys, MFA, Verhaltensanalyse, Erkennung verdächtiger Anmeldungen, Geräte-Fingerprints, Risikobewertung und immer ausgefeilteren Authentifizierungssystemen zu schützen. Aber irgendwann verliert jemand den Zugang, und in diesem Moment wird der Kontowiederherstellungsprozess faktisch zum Authentifizierungssystem.

Er muss eine außerordentlich schwierige Frage beantworten: Wer sollte dieses Konto kontrollieren? Sie in die eine oder andere Richtung falsch zu beantworten, ist verheerend. Macht man die Wiederherstellung zu einfach, können Angreifer Konten über den Kundensupport stehlen. Macht man sie zu starr, können rechtmäßige Eigentümer Konten dauerhaft verlieren, die Jahre an Käufen, E-Mails, Dateien, Spielverläufen, Identitäten, Abonnements und Familiendaten enthalten können.

Das ist ein schwieriges technisches Problem. Aber „schwieriges Problem“ darf nicht zur Ausrede für ein System werden, in dem der beste Weg zu einer erfolgreichen Wiederherstellung darin besteht, genug öffentliche Aufmerksamkeit zu erzeugen, damit jemand Hochrangiges im Unternehmen auf einen aufmerksam wird.

Microsoft hat am Ende das Richtige getan

Ich möchte dieses Update anders beenden als das erste. Microsoft hat das Problem letztlich behoben. Die Menschen, die mir geholfen haben, waren professionell, einfühlsam und effektiv. Ich danke dem Microsoft-Mitarbeiter, der meinen Beitrag gesehen, einem Fremden auf LinkedIn geantwortet und persönlich geholfen hat, die Sache durch das Unternehmen zu lotsen. Ich danke dem Eskalationsteam, das die Beweise erneut geprüft und das Konto meines Sohnes wiederhergestellt hat. Dafür gebührt ihnen Anerkennung.

Aber die Tatsache, dass die Eskalation funktioniert hat, zeigt auch etwas Wichtiges: Das Konto war wiederherstellbar. Microsoft hatte genug Informationen, um festzustellen, dass mein Sohn der rechtmäßige Eigentümer ist. Das Problem war, den Fall vor einen Prozess zu bringen, der diese Feststellung treffen kann.

Das ist der Teil, den Microsoft noch beheben muss, denn der nächste Elternteil hat vielleicht keinen viralen Blogbeitrag. Und das Konto seines Kindes zurückzubekommen sollte keinen erfordern.