Du meldest dich bei einem Konto an, setzt den Haken bei „Angemeldet bleiben" und denkst nicht weiter darüber nach. Beim nächsten Besuch bist du sofort drin, ohne Passwort, ohne zweiten Faktor. Genau das ist der Sinn der Funktion. Sie hat aber eine Kehrseite, die den meisten erst auffällt, wenn etwas passiert ist: Diese Anmeldung lebt weiter. Sie überlebt das Schließen des Tabs, das Herunterfahren des Rechners und in vielen Fällen auch Wochen der Untätigkeit. Bei einem Nachrichtenportal ist das egal. Bei einem Konto, auf dem Geld liegt, ist es das nicht.
Dieser Ratgeber zeigt dir, was beim Anmelden technisch passiert, warum das Abmelden bei Guthaben-Konten eine echte Funktion hat und wo du in den wichtigsten Diensten nachsiehst, welche Geräte gerade in deinem Namen eingeloggt sind.
Was hinter „Angemeldet bleiben" steckt
Wenn du dich anmeldest, prüft der Dienst einmal dein Passwort und stellt dir danach einen Ausweis aus. Dieser Ausweis ist eine lange Zeichenkette, die im Browser gespeichert wird, meist in einem Cookie. Bei jedem weiteren Klick schickt dein Browser diese Zeichenkette mit, und der Dienst weiß: Das bist du. Dein Passwort wird dabei nie wieder übertragen. Genau deshalb ist der Ausweis so wertvoll. Wer ihn hat, braucht dein Passwort nicht mehr.
Der Unterschied zwischen einer normalen und einer dauerhaften Anmeldung liegt allein in der Haltbarkeit dieses Ausweises. Ohne den Haken bekommst du ein reines Sitzungs-Cookie. Es lebt nur, solange der Browser läuft, und verschwindet beim Beenden. Mit dem Haken bekommst du ein Cookie mit Ablaufdatum, das auf der Festplatte landet und dort oft über Monate bleibt. Das ist kein Fehler und keine Nachlässigkeit der Anbieter, sondern eine bewusste Abwägung zwischen Bequemlichkeit und Sicherheit. Nur triffst du diese Abwägung mit einem einzigen Klick, ohne dass dir jemand sagt, wie lange sie gilt.
Dazu kommt ein zweiter Punkt, der oft übersehen wird: Auch die Zwei-Faktor-Abfrage hängt an diesem Ausweis. Viele Dienste fragen den zweiten Faktor nur beim Anlegen einer neuen Sitzung ab. Solange die alte Sitzung gilt, wird nichts mehr abgefragt. Ein gestohlener Ausweis hängt die Zwei-Faktor-Anmeldung damit einfach ab. Das ist der Grund, warum Angreifer heute lieber Sitzungs-Cookies stehlen als Passwörter.
Wie lange eine Sitzung wirklich gilt
Eine feste Regel gibt es nicht, die Spanne ist groß. Grob lassen sich drei Gruppen unterscheiden.
- Minuten: Online-Banking und Zahlungsdienste. Wer fünf bis fünfzehn Minuten nichts tut, fliegt raus. Das ist aufsichtsrechtlich so gewollt.
- Stunden bis Tage: Shops, Verwaltungsportale, Buchungsseiten. Meist bleibt die Anmeldung über den Tag bestehen, danach wird neu gefragt.
- Monate: soziale Netzwerke, E-Mail-Dienste, Streaming. Hier ist die dauerhafte Anmeldung der Normalfall, oft ohne sichtbares Ablaufdatum.
Praktisch heißt das: Der Dienst, bei dem du dir am wenigsten Gedanken machst, ist derjenige, der dich am längsten eingeloggt lässt. Und der längst vergessene Login auf dem Rechner der Eltern, im Hotel oder in der Bibliothek ist mit hoher Wahrscheinlichkeit immer noch aktiv.
Warum das bei Guthaben-Konten anders wiegt
Bei einem Konto mit Guthaben ändert sich die Rechnung. Wer eine offene Sitzung übernimmt, muss weder dein Passwort knacken noch eine Zahlung auslösen. Das Geld liegt bereits dort. Ein paar Klicks genügen, um es zu bewegen, und die Spur führt zunächst auf dich zurück, weil aus Sicht des Anbieters alles korrekt angemeldet war. Betroffen sind Zahlungsdienste und Wallets ebenso wie Shop-Konten mit hinterlegtem Guthaben, Prepaid-Karten, Kundenkonten mit Bonuspunkten und Spielerkonten.
Bei erlaubten Glücksspielanbietern kommt eine Besonderheit dazu, die es in kaum einem anderen Bereich gibt: Dort ist die Anmeldung nicht nur eine Sache zwischen dir und dem Anbieter, sondern wird staatlich mitgeführt. Wer in Deutschland virtuelle Automatenspiele anbieten will, braucht eine Erlaubnis der Gemeinsamen Glücksspielbehörde der Länder und muss sein System an die sogenannte Aktivitätsdatei anschließen. BingBong ist zum Beispiel ein lizenziertes Online Casino für virtuelle Automatenspiele, also eine Spielothek mit Automatenspiel-Erlaubnis. Welche Anbieter zugelassen sind, kannst du jederzeit in der offiziellen Whitelist der GGL nachsehen. Diese Anbindung ist der Grund, warum das Abmelden dort eine sichtbare Wirkung hat.
Denn die Aktivitätsdatei sorgt dafür, dass du immer nur bei einem einzigen Anbieter gleichzeitig aktiv sein kannst. Wie das abläuft, steht in § 6h Absatz 4 des Glücksspielstaatsvertrags, und die Reihenfolge lohnt einen genauen Blick. Meldest du dich ab, meldet der Anbieter das unverzüglich weiter, und fünf Minuten später ist dein Eintrag aus der Datei gelöscht. Meldest du dich nicht ab, muss der Anbieter erst abwarten, bis du 30 Minuten lang nichts getan hast, und meldet dann. Die fünf Minuten kommen anschließend obendrauf.
Aus einem ausgelassenen Klick werden also nicht fünf, sondern rund 35 Minuten, in denen du für das System noch im Spiel bist. In dieser Zeit wird ein Wechsel zu einem anderen erlaubten Anbieter schlicht abgelehnt. Wer die Meldung „Du bist bereits woanders aktiv" schon einmal gesehen hat, hat genau das erlebt: keinen Fehler des Anbieters, sondern eine Schutzfunktion, die nur dann zügig greift, wenn Sitzungen sauber beendet werden.
Der Panikknopf ist etwas anderes als das Abmelden
Weil beides nach „raus hier" aussieht, wird es häufig verwechselt. Erlaubte Anbieter müssen einen jederzeit erreichbaren Panikknopf anbieten. Ein Klick darauf sperrt dich anbieterübergreifend für 24 Stunden, und das lässt sich nicht widerrufen.
Das Abmelden ist dagegen eine Sicherheitsfunktion. Es beendet die Sitzung auf diesem Gerät und gibt dein Konto sofort wieder frei. Beide haben ihre Berechtigung, aber sie lösen unterschiedliche Probleme. Wer nur den Rechner verlassen will, meldet sich ab. Wer eine Pause vom Spiel braucht, nimmt den Panikknopf. Und wer dauerhaft aussteigen möchte, nutzt die Sperrdatei OASIS, in die man sich selbst eintragen kann.
Fremde und geteilte Geräte
Die klassische Lücke sitzt nicht zu Hause, sondern auf Geräten, die dir nicht gehören. Der Rechner im Hotel, das Tablet der Familie, der Arbeitslaptop, der Computer bei Freunden. Drei Regeln reichen dort aus.
- Setze auf fremden Geräten nie den Haken bei „Angemeldet bleiben". Er ist oft vorausgewählt, sieh also hin.
- Melde dich aktiv ab, bevor du aufstehst. Verlass dich nicht darauf, dass jemand das Fenster schließt.
- Nutze ein privates Fenster. Es hält Cookies vom restlichen Browser getrennt und räumt auf, sobald alle privaten Fenster geschlossen sind.
Ein privates Fenster ist allerdings kein Schutzschild. Solange es offen ist, bist du angemeldet, und wer sich in der Zwischenzeit an den Rechner setzt, ist es auch. Der Schutz beginnt erst beim Schließen.
Beim Arbeitsrechner kommt ein weiterer Punkt dazu: Dort laufen oft Verwaltungswerkzeuge, Sicherungen und Erweiterungen, die die Administration einsehen kann. Private Konten mit Guthaben haben auf einem verwalteten Gerät schlicht nichts zu suchen.
Wo du deine aktiven Sitzungen findest
Fast jeder größere Dienst führt inzwischen eine Liste der Geräte, die gerade angemeldet sind, meist mit Ort, Zeitpunkt und Browser. Diese Liste ist das wirksamste Werkzeug überhaupt, weil du dort fremde Sitzungen einzeln beenden kannst, ohne dein Konto anzufassen.
- Google: im Google-Konto unter Sicherheit, Abschnitt „Ihre Geräte". Dort siehst du jedes angemeldete Gerät und kannst es abmelden.
- Microsoft: im Microsoft-Konto unter Geräte und in den Sicherheitseinstellungen bei den Anmeldeaktivitäten.
- Amazon: unter „Mein Konto", dann Anmeldung und Sicherheit sowie in der Geräteverwaltung.
- PayPal: in den Einstellungen unter Sicherheit, dort verwaltest du die automatische Anmeldung und verknüpfte Geräte.
- Instagram, Facebook, WhatsApp: unter Passwort und Sicherheit, bei WhatsApp unter „Verknüpfte Geräte".
- Spieler- und Wettkonten: meist im Kontobereich unter Sicherheit oder Sitzungen, bei erlaubten Anbietern zusätzlich mit einer Übersicht der letzten Anmeldungen.
Sieh diese Listen einmal im Quartal durch. Was du dort nicht zuordnen kannst, wirfst du hinaus. Das kostet nichts und dauert Sekunden. Taucht ein Gerät oder ein Ort auf, den du sicher nie benutzt hast, beendest du alle Sitzungen und änderst danach das Passwort, genau in dieser Reihenfolge.
Abmelden, Tab schließen, Cookies löschen
Diese drei Dinge werden oft in einen Topf geworfen, wirken aber völlig unterschiedlich.
- Tab oder Fenster schließen: ändert nichts. Die Sitzung bleibt auf dem Server gültig, das Cookie bleibt auf der Festplatte.
- Cookies löschen: wirft dich lokal hinaus, der Ausweis ist weg. Auf dem Server bleibt die Sitzung aber oft noch eine Weile gültig. Wer den Ausweis vorher kopiert hat, kann ihn weiter benutzen.
- Abmelden: der einzige Weg, der die Sitzung auf der Serverseite beendet. Erst danach ist der Ausweis wertlos, egal wer ihn hat.
Deshalb ist „überall abmelden" auch der richtige erste Schritt, wenn ein Gerät verloren geht oder gestohlen wird. Ein neues Passwort allein beendet bestehende Sitzungen bei vielen Diensten nämlich nicht automatisch. Der Angreifer bliebe eingeloggt, während du dich mit dem neuen Passwort sicher fühlst. Also erst alle Sitzungen beenden, dann das Passwort ändern, dann die Geräteliste noch einmal prüfen.
Was du dauerhaft besser machen kannst
Der Haken bei „Angemeldet bleiben" gehört auf Geräte, die nur dir gehören und die mit PIN, Passwort oder Fingerabdruck gesperrt sind. Auf allem anderen hat er nichts verloren. Sperre dein Gerät, wenn du aufstehst, unter Windows geht das mit der Tastenkombination Windows und L. Nimm für die Konten, an denen Geld hängt, einen Passwort-Manager statt der Browser-Speicherung und stelle wo möglich auf einen Passkey um, weil der an das Gerät gebunden ist und sich nicht abphishen lässt. Und trenne die Dinge sauber: ein Browser-Profil für Alltag und Unterhaltung, ein zweites für alles mit Geldbezug. Das kostet einmal fünf Minuten Einrichtung und sorgt dafür, dass eine übernommene Sitzung im Zweifel nur die harmlose Hälfte trifft.
Wenn Glücksspiel für dich mehr ist als gelegentliche Unterhaltung, findest du bei Check dein Spiel der BZgA einen kostenlosen Selbsttest und anonyme Beratung.
Häufige Fragen
Reicht es, den Browser zu schließen?
Nur wenn du beim Anmelden keinen Haken bei „Angemeldet bleiben" gesetzt hast. Dann verschwindet das Sitzungs-Cookie beim Beenden. Mit Haken überlebt die Anmeldung das Schließen und oft auch einen Neustart.
Ich habe mein Passwort geändert. Bin ich damit überall abgemeldet?
Nicht zwangsläufig. Manche Dienste beenden dabei alle Sitzungen, andere nicht. Verlass dich nicht darauf, sondern beende die Sitzungen zusätzlich von Hand in der Geräteliste.
Warum sagt mir ein Anbieter, ich sei bereits woanders aktiv?
Erlaubte Glücksspiel- und Wettanbieter sind an die staatliche Aktivitätsdatei angeschlossen, die paralleles Spielen bei mehreren Anbietern verhindert. Deine vorherige Sitzung gilt dann noch. Meldest du dich dort ab, dauert es fünf Minuten. Lässt du die Sitzung offen liegen, kommen die 30 Minuten Inaktivität davor noch dazu.
Schützt der private Modus vor offenen Sitzungen?
Beim Schließen ja, denn die Cookies des privaten Fensters werden verworfen. Solange das Fenster offen ist, bist du ganz normal angemeldet.
Ist die dauerhafte Anmeldung generell gefährlich?
Nein. Auf einem gesperrten Gerät, das nur dir gehört, ist sie vertretbar. Kritisch wird sie auf geteilten Geräten und bei Konten, auf denen Guthaben liegt.
Fazit
Angemeldet bleiben ist eine Abwägung, keine Einstellung. Auf dem eigenen, gesperrten Gerät ist sie bequem und vertretbar. Auf fremden Rechnern und bei Konten mit Guthaben kehrt sich das Verhältnis um, denn eine offene Sitzung ist ein gültiger Ausweis, der weder Passwort noch zweiten Faktor braucht. Nimm dir einmal im Quartal die Gerätelisten deiner wichtigsten Konten vor, wirf hinaus, was du nicht kennst, und melde dich überall dort aktiv ab, wo Geld im Spiel ist. Bei erlaubten Glücksspielanbietern lässt sich der Nutzen dieses Klicks sogar in Minuten beziffern: Er gibt deinen Eintrag in der staatlichen Aktivitätsdatei nach fünf Minuten frei statt nach rund 35.