Dein verkauftes Handy steht noch in deinen Konten

Das Telefon von vorletztem Jahr liegt längst bei jemand anderem. Verkauft, verschenkt oder eingetauscht, vorher noch brav auf Werkseinstellungen zurückgesetzt. Damit ist die Sache erledigt, denkt man.

Google sieht das anders. In der eigenen Hilfe steht als Erklärung dafür, dass man ein Gerät in der Liste nicht wiedererkennt, unter anderem dieser Grund: "Sie haben Ihr Gerät vor Kurzem auf die Werkseinstellungen zurückgesetzt. Das Gerät könnte weiterhin angezeigt werden." Das Zurücksetzen räumt also das Gerät leer, den Eintrag in deinem Konto räumt es nicht weg. Dass alte Zugänge länger wirken als gedacht, kennst du vielleicht schon von deiner früheren Handynummer.

Bei den meisten Menschen steht in diesen Listen mehr, als sie erwarten. Alte Telefone, der Laptop vom früheren Arbeitgeber, ein Fernseher, der einmal für einen Abend eingerichtet wurde. Jeder dieser Einträge ist ein Zugang, der offen steht.

Ein neues Passwort räumt nicht auf, jedenfalls nicht überall

Die verbreitete Annahme lautet, ein Passwortwechsel werfe alle anderen raus. Wie wenig das im Ernstfall hilft, hat der gestohlene Sitzungs-Cookie gezeigt, der die Zwei-Faktor-Anmeldung schlicht übergeht. Das stimmt bei manchen Diensten, bei anderen nicht, und der eigentlich bemerkenswerte Teil ist, dass die meisten Anbieter dazu überhaupt nichts schreiben.

Google ist am deutlichsten, denn wer dort das Passwort ändert, wird laut Hilfe überall abgemeldet, mit drei Ausnahmen. Ausgenommen sind Geräte, die zur Bestätigung der Identität bei der Anmeldung dienen, einige Geräte mit Drittanbieter-Apps, denen du Kontozugriff gegeben hast, und Smart-Home-Geräte mit Kontozugriff. Der Lautsprecher im Regal fällt genau in die letzte Gruppe.

Amazon nennt die Wirkung ebenfalls, allerdings nur in der englischen Fassung der Hilfe: "Changing your password will sign you out of Amazon apps and websites on any non-Kindle device." Kindles bleiben also angemeldet. Auf der deutschen Seite zum Passwortwechsel steht dazu kein Wort.

Netflix macht daraus ein Kästchen zum Anhaken. Im Hilfe-Center heißt es, man solle den Haken bei "Aus allen Geräten ausloggen" stehen lassen, weil das für die Kontosicherheit besser sei. Wer ihn wegklickt, ändert das Passwort und lässt alle Sitzungen weiterlaufen.

Bei Microsoft, Apple und Instagram habe ich in den offiziellen Hilfeseiten keine Aussage dazu gefunden. Apple behandelt beides sogar ausdrücklich getrennt. In der Anleitung für ein möglicherweise übernommenes Konto ist das Passwort Schritt eins, das Entfernen fremder Geräte kommt vier Schritte später als eigene Aufgabe. Wie weit ein geändertes Passwort trägt, haben wir zuletzt am Beispiel der App-Passwörter gezeigt, die davon gar nicht berührt werden.

Für dich heißt das, du kannst dich auf den Passwortwechsel nicht verlassen. Die Geräteliste musst du ohnehin ansehen.

Wo die Listen stecken

Jeder Dienst versteckt sie woanders, und mehrere führen sogar mehr als eine Liste. Die Übersicht unten bringt dich direkt hin. Zwei Dienste bieten einen Sammelknopf, bei den anderen fünf klickst du jedes Gerät einzeln weg.

Was die Listen dir verschweigen

Eine leere oder kurze Liste ist kein Beweis für Ordnung. Netflix schreibt selbst, dass Geräte fehlen können. Was in den letzten 90 Tagen nicht aktiv war, taucht gar nicht erst auf, ebenso Geräte, die nur für Netflix-Spiele oder nur für Tudum genutzt wurden. Bis ein Gerät überhaupt erscheint, können 48 Stunden vergehen.

Microsoft nennt für die eigene Liste dieselbe Verzögerung von bis zu 24 Stunden und braucht auch fürs Abmelden so lange. Die Xbox ist davon ausgenommen, sie bleibt angemeldet.

Apple hat eine eigene Tücke. Entfernst du ein Gerät, das noch bei deinem Account angemeldet ist, kommt es zurück. In der Hilfe steht das so: "Wenn du auf dem Gerät noch bei deinem Apple Account angemeldet bist, wird es eventuell wieder auf deinem Apple Account-Bildschirm angezeigt, wenn sich das Gerät das nächste Mal mit dem Internet verbindet." Ein verkauftes Telefon verschwindet also erst dann dauerhaft, wenn es dort auch wirklich abgemeldet wurde.

Und die Zeitstempel taugen weniger, als sie aussehen. Google weist darauf hin, dass die angezeigte Zeit auch von der Hintergrundsynchronisierung stammen kann, nicht nur von echter Nutzung. Ein Eintrag von heute Morgen bedeutet nicht, dass jemand das Gerät heute Morgen in der Hand hatte.

WhatsApp räumt selbst auf, nach zwei verschiedenen Fristen

Bei den verknüpften Geräten in WhatsApp ist die Lage besser, weil der Dienst von sich aus aufräumt. Nur laufen dort zwei Fristen nebeneinander, die gern verwechselt werden. Bleibt dein Haupttelefon länger als 14 Tage ungenutzt, werden alle verknüpften Geräte abgemeldet. Ruht dagegen ein einzelnes verknüpftes Gerät, fliegt es nach 30 Tagen Inaktivität heraus. Mehr als vier Geräte gleichzeitig erlaubt WhatsApp ohnehin nicht.

WhatsApp bleibt damit die Ausnahme, denn bei allen anderen Diensten läuft nichts von selbst ab, jedenfalls nicht dokumentiert.

Zehn Minuten, einmal durch

Nimm dir die sieben Adressen aus der Übersicht der Reihe nach vor. Bei jedem Eintrag, den du nicht sofort zuordnen kannst, meldest du ab. Ein falsch abgemeldetes eigenes Gerät kostet dich eine neue Anmeldung, ein übersehener fremder Eintrag kostet mehr.

Drei Dinge dabei im Blick behalten. Mehrere Zeilen mit demselben Gerätenamen können zu einem Gerät gehören oder zu mehreren, Google rät im Zweifel, alle davon abzumelden. Bei Apple musst du das Gerät zusätzlich am Gerät selbst abmelden, sonst kommt der Eintrag zurück. Und bei Microsoft und Netflix wirkt das Abmelden erst nach Stunden, ein sofortiger Kontrollblick zeigt also noch den alten Stand.

Wenn dabei ein Gerät auftaucht, das dir gar nichts sagt, ist das Abmelden nur der erste Schritt. Dann gehören Passwort und Zwei-Faktor-Einstellungen ebenfalls auf den Tisch.