Was die anderen sagen. gmx-Konto unbedingt erstmal schnellstmöglich für den Fremden sperren lassen. Dafür notfalls in Warteschleifen hängen, um es telefonisch zu regeln, oder über Chatbots, was auch immer, alles, was schnell geht. Anschließend über welche Identifizierung auch immer beweisen, dass man der eigentliche Kontobesitzer ist.
Falls deine Bekannte evtl. eine Handy-App hat, über die sie noch in ihren Mails eingeloggt ist (manche Anbieter lassen zu, dass verschiedene Geräte angemeldet bleiben können), sollte sie versuchen, darin das Passwort wieder zu ändern (wenn der Hacker vergessen hat, "alle Geräte auszuloggen" oder das System das nicht automatisch tut).
Zeitgleich aber auch sehr wichtig:
Wenn sie dasselbe (oder ein sehr ähnliches) Passwort wie für ihren Emailaccount auch bei anderen Seiten benutzt (Amazon oder andere Onlinegeschäfte vor allem, aber auch Steam oder andere Spieleplattformen, oder sowas wie Tinder usw.): Unbedingt auch dort die Konten kontrollieren, ob man noch Zugriff hat, und sofort das Passwort ändern!
Denn da Zugang zum Emailpostfach bestand und der Hacker damit auch Passwörter bei vielen anderen Seiten ändern kann (über die Funktion "Passwort vergessen", bei der man dann einen Link auf die Emailadresse kriegt), kann der Hacker deine Bekannte von all diesen Seiten aussperren und dann gehen die Missbrauchsmöglichkeiten erst so richtig los.
Denn gerade wenn z.B. Zahlungsmittel bei Amazon etc. hinterlegt sind, kann der Hacker anschließend einfach vom Konto Zeug bestellen und sich liefern lassen, auf Kosten des Gehackten. Sollte das deiner Bekannten schon passiert sein: Keine Panik, aber möglich direkt Amazon benachrichtigen. Dann Lastschrift von der Bank rückbuchen lassen. Geht, sodass man das Geld nicht los ist - aber man sollte nicht zu lang damit warten.
Evtl ändert der Fiesling auch nicht die Passwörter auf den anderen Konten, daher auch in den folgenden Wochen vorsichtshalber die Kontobewegungen bzw. Aktivitäten auf den Plattformen immer mal wieder prüfen bzw. besser noch besser prophylaktisch die Passwörter ändern. Man hat ja nicht unbedingt Überblick über sämtliche Accounts, die man irgendwo vielleicht mal mit diesem gmx-Passwort auch noch angelegt hatte.
Sollte sie das Passwort NUR für den Mailaccount genutzt haben und sonst ganz andere, dürfte die Gefahr deutlich geringer sein. Bin aber auch kein Profi...