Twitter/X-Passwort ändern: der Reflex stimmt, die Reihenfolge meistens nicht

Der meistgesuchte deutsche Satz zu diesem Thema lautet nicht „x passwort ändern“ und nicht „twitter passwort ändern“, sondern beides zusammen: „twitter x passwort ändern“. Das hat einen praktischen Grund. Sucht man nur nach dem Buchstaben, liefert die Suche Sky X, das iPhone X, die Xbox Series X, Mac OS X und den Ledger Nano X. Sechs von zehn Vorschlägen betreffen ein anderes Produkt. Deshalb steht auf dieser Seite durchgehend beides.

Der Reflex, und woher er kommt

Im deutschsprachigen Raum gibt es eine feste Gewohnheit beim Kauf von Konten, und man sieht sie in den Suchvorschlägen: „gekaufter account passwort ändern“ steht direkt neben „gekaufter account gesperrt“. Wer im Spielebereich etwas kauft, ändert als Erstes das Passwort. Das ist auch richtig gedacht, denn genau das entwertet die Kopien, die der Verkäufer behalten haben könnte.

Bei Twitter und X ist der Gedanke derselbe und der Ablauf ein anderer. Eine Passwortänderung ist hier kein Formular, sondern ein sicherheitsrelevanter Vorgang, den die Plattform bewertet: von welchem Gerät, von welcher Adresse, wie lange nach der letzten Anmeldung. Wird sie als ungewöhnlich eingestuft, kommt eine Bestätigung, und die geht an das hinterlegte Postfach oder die hinterlegte Nummer. Genau darauf haben Sie bei einem frisch übernommenen Konto möglicherweise keinen Zugriff.

Ergebnis: Der Schritt, der Sie schützen sollte, sperrt Sie aus. Und zwar in dem Moment, in dem das Garantiefenster noch läuft, aber Sie nicht mehr nachweisen können, dass das Konto vorher funktioniert hat.

Die Reihenfolge, die funktioniert

1. Zuerst das Postfach. Melden Sie sich an der hinterlegten E-Mail-Adresse an und prüfen Sie, dass Sie dort Mail empfangen können. Ohne das ist alles Weitere ein Blindflug. Auf unserem Regal nennen 591 von 915 aktiven Angeboten ein mitgeliefertes Postfach, und der Aufschlag dafür ist klein; wenn Sie zwischen zwei ähnlichen Angeboten wählen, ist das der Punkt, der die Entscheidung trägt.
2. Dann eine ruhige Anmeldung. Melden Sie sich ganz normal an und tun Sie zwanzig Minuten lang nichts als lesen. Von einem Anschluss, den Sie auch danach benutzen werden, nicht von einem Testaufbau, den Sie gleich wieder abbauen.
3. Dann die Kontaktdaten. Prüfen Sie, welche Adresse und welche Nummer hinterlegt sind, und tauschen Sie sie gegen Ihre eigenen. Das ist der Schritt, der tatsächlich die Kontrolle überträgt, und er ist wichtiger als das Passwort.
4. Erst dann das Passwort. Jetzt ist eine Bestätigungsabfrage kein Problem mehr, weil sie bei Ihnen ankommt.
5. Zum Schluss die Werkzeuge. Alles, was am Konto hängt, neu verbinden.

Der Punkt, an dem die meisten die Reihenfolge kippen, ist Schritt drei. Ein Passwort schützt gegen künftige Anmeldungen. Die hinterlegte Adresse entscheidet darüber, wer das Konto zurückholen kann. Wer das Passwort ändert und die fremde Adresse stehen lässt, hat die Tür verriegelt und den Schlüssel draußen liegen gelassen.

Was mit der Passwortänderung kaputtgeht

Das ist der Zweck der Sache und trotzdem eine Überraschung, wenn es passiert. Eine Anmeldung, die mit dem alten Passwort zustande kam, hört auf zu gelten. Betroffen sind:

• Kopierte Sitzungswerte. Ein auth_token, den Sie oder jemand anderes vorher aus dem Browser geholt hat, ist danach wertlos. Das ist genau der gewünschte Effekt und der eigentliche Grund für den Schritt; was diese Werte sind, steht im Beitrag zu auth_token und ct0.
• Angemeldete Geräte. Das Telefon, der zweite Browser, der Rechner im Büro. Rechnen Sie damit, dass Sie sich überall neu anmelden müssen, und dass dabei jeweils der zweite Faktor fällig wird.
• Werkzeuge, die über kopierte Werte laufen. Planungsdienste, Automatisierungen, Auswertungen. Sie melden meistens keinen Fehler, sondern hören einfach auf zu veröffentlichen, und das fällt erst am nächsten Tag auf.

Nicht betroffen sind Anwendungen, die Sie über den offiziellen Weg mit einer ausdrücklichen Freigabe verbunden haben. Deren Berechtigung hängt nicht am Passwort, sondern an einer eigenständigen Zustimmung, und die überlebt die Änderung. Das ist der beste Grund, für alles Dauerhafte diesen Weg zu wählen: Sie können das Passwort wechseln, ohne Ihren gesamten Aufbau anzuhalten, und Sie können umgekehrt eine einzelne Anwendung abschalten, ohne das Passwort anzufassen.

Wenn das Ändern gar nicht erst geht

„geht nicht“ ist der zweithäufigste deutsche Vorschlag, und dahinter stecken meist drei unterschiedliche Zustände, die man auseinanderhalten muss:

Die Änderung wird angenommen und gilt nicht. Fast immer eine noch offene Bestätigung im Postfach. Sehen Sie auch im Spam nach, und rechnen Sie mit einer Verzögerung von einigen Minuten, bevor Sie es erneut versuchen.

Es kommt eine Aufgabe oder eine Bestätigung, die Sie nicht lösen können. Dann bewertet die Plattform Ihren Zugang als ungewöhnlich. Was hier hilft, ist Geduld statt Wiederholung: derselbe Anschluss, dasselbe Gerät, und ein neuer Versuch später. Was nicht hilft, ist der Wechsel auf einen anderen Anschluss, weil genau das die Einstufung verschlechtert.

Das Konto ist eingeschränkt oder gesperrt. Dann ist das Passwort nicht das Problem, sondern ein Symptom. Was in dem Fall zu tun ist, steht im Beitrag zu eingeschränkten und gesperrten Konten.

Zurücksetzen ohne Benutzername oder ohne Telefonnummer

Beides steht in den deutschen Vorschlägen, und beide Fälle sind lösbar, aber unterschiedlich.

Ohne Benutzername ist der einfachere. Das Zurücksetzen nimmt auch die hinterlegte E-Mail-Adresse oder die Telefonnummer als Kennung an. Wer den Namen vergessen hat, aber weiß, welche Adresse hinterlegt ist, kommt weiter. Und der Name steht ohnehin in jeder Benachrichtigungsmail, die die Plattform Ihnen je geschickt hat; die Suche im eigenen Postfach ist meist schneller als jeder Wiederherstellungsweg.

Ohne Telefonnummer ist der ernstere Fall, und er hat eine unangenehme Wendung. Wenn die hinterlegte Nummer nicht mehr Ihnen gehört, sondern neu vergeben wurde, kann sie an eine fremde Person zugestellt werden. Deshalb gehört eine nicht mehr genutzte Nummer aus dem Konto entfernt, solange Sie noch hineinkommen, und nicht erst, wenn Sie sie brauchen.

Bleibt gar nichts übrig, führt der Weg über das Kontaktformular der Plattform, und dafür gilt die nüchterne Auskunft: Es gibt keine veröffentlichte Bearbeitungszeit, keine Telefonnummer und keine Möglichkeit, den Vorgang zu beschleunigen. Angebote, die eine Wiederherstellung gegen Bezahlung zusichern, können das nicht halten, weil sie denselben Weg benutzen wie Sie.

Und die einzige Vorsorge, die wirklich trägt: Bringen Sie Adresse und Nummer in Ordnung, solange Sie angemeldet sind. Angebote mit mitgeliefertem Postfach stehen unter Twitter- und X-Konten.