Vom Datenleck betroffen: was tun

Deine Daten sind in einem Datenleck aufgetaucht: das tust du jetzt

Wenn deine Zugangsdaten in einem Datenleck gelandet sind, ändere umgehend das betroffene Passwort und alle Passwörter, die ihm gleichen, und schalte die Zwei-Faktor-Anmeldung ein. Ein Datenleck, auch Datenpanne genannt, bedeutet, dass Daten aus einem Dienst nach außen gelangt sind, meist durch einen Angriff auf das Unternehmen, das sie gespeichert hat. Das ist nicht dein Fehler. Aber wie du in den nächsten Stunden reagierst, entscheidet darüber, ob aus dem Leck ein echter Schaden wird.

Der Grund für die Eile: Kriminelle probieren geleakte Zugangsdaten automatisiert bei vielen anderen Diensten durch. Wer dasselbe Passwort für E-Mail, Shop und soziales Netzwerk nutzt, verliert mit einem Leck den Zugang zu allen dreien. Genau diesen Dominoeffekt stoppst du, indem du die betroffenen Passwörter austauschst und jedem Konto ein eigenes gibst.

Herausfinden, was von dir im Umlauf ist

Bevor du handelst, verschaffe dir einen Überblick. Zwei kostenlose Prüfdienste sind dafür etabliert. Der Identity Leak Checker des Hasso-Plattner-Instituts in Potsdam sammelt seit 2014 öffentlich zugängliche und geleakte Datensätze und hat darin Milliarden von Konten gefunden. Du gibst deine E-Mail-Adresse ein und bekommst das Ergebnis per Mail an genau diese Adresse geschickt, damit niemand die Adresse eines anderen abfragen kann. International bekannt ist außerdem der Dienst Have I Been Pwned.

Wichtig: Diese Dienste sagen dir, ob und in welchem Leck deine Adresse auftaucht und welche Datenarten betroffen waren, etwa Passwort, Name oder Telefonnummer. Sie sagen dir nicht, was Kriminelle damit schon getan haben. Behandle deshalb jeden Treffer so, als sei das Passwort öffentlich.

Nicht jedes Leck ist gleich gefährlich

Wie du reagierst, hängt davon ab, welche Daten betroffen sind. Eine reine E-Mail-Adresse bringt dir vor allem mehr Spam ein. Sind Adresse, Geburtsdatum oder Telefonnummer dabei, steigt die Gefahr für gezielte Betrugsversuche und Identitätsdiebstahl. Am heikelsten sind Zugangsdaten und Zahlungsinformationen.

Deine Schritte nach einem Datenleck

Geh der Reihe nach vor. Die ersten drei Schritte sichern deine Konten, die letzten schützen dich vor den Folgen.

1. Betroffenes Passwort sofort ändern. Ändere es zuerst bei dem Dienst, der geleakt hat, und dann überall, wo du dasselbe oder ein ähnliches Passwort verwendet hast.
2. Für jedes Konto ein eigenes Passwort. Ein langes, einzigartiges Passwort pro Dienst verhindert den Dominoeffekt. Ein Passwort-Manager merkt sie sich für dich, du musst dir nur noch ein einziges gutes Passwort merken.
3. Zwei-Faktor-Anmeldung einschalten. Wo es möglich ist, aktiviere die zweite Sicherheitsstufe, etwa per App oder Sicherheitsschlüssel. Dann reicht ein gestohlenes Passwort allein nicht mehr aus.
4. Auf Betrugsversuche achten. Nach einem Leck kommen oft Mails, die deine echten Daten nennen, um glaubwürdig zu wirken. Klicke keine Links aus solchen Nachrichten an und gib keine weiteren Daten preis.
5. Bei Zahlungsdaten die Bank einschalten. Waren Karten- oder Kontodaten dabei, informiere deine Bank, lass gegebenenfalls die Karte sperren und kontrolliere deine Umsätze in den nächsten Wochen genau.
6. Vorfall dokumentieren. Halte fest, welches Leck dich betrifft und was du unternommen hast. Das hilft dir später, wenn du deine Rechte geltend machen willst.

Deine Rechte, wenn ein Unternehmen deine Daten verliert

Ein Datenleck ist nicht nur Pech, es ist oft ein Rechtsverstoß des Unternehmens. Die Datenschutz-Grundverordnung (DSGVO) gibt dir dabei mehrere Werkzeuge in die Hand. Nach Artikel 34 muss dich das verantwortliche Unternehmen unverzüglich und in klarer Sprache benachrichtigen, wenn die Panne voraussichtlich ein hohes Risiko für deine Rechte bedeutet. Diese Nachricht muss dir sagen, was passiert ist, welche Folgen drohen und an wen du dich wenden kannst.

Nach Artikel 15 kannst du beim Unternehmen Auskunft verlangen, welche Daten es über dich gespeichert hat und was mit ihnen geschehen ist. Und nach Artikel 82 steht dir Schadensersatz zu, wenn dir durch den Verstoß ein Schaden entstanden ist. Der Bundesgerichtshof hat 2024 klargestellt, dass schon der bloße Verlust der Kontrolle über die eigenen Daten ein ersatzfähiger Schaden sein kann, ohne dass du einen konkreten Missbrauch nachweisen musst. Für diesen reinen Kontrollverlust hat das Gericht einen Betrag in der Größenordnung von 100 Euro als angemessen angesehen. Bist du mit dem Umgang eines Unternehmens unzufrieden, kannst du dich außerdem bei der zuständigen Datenschutzaufsicht beschweren.

Warum du auch nach Wochen noch wachsam bleiben solltest

Geleakte Daten verschwinden nicht wieder. Sie werden weiterverkauft, neu zusammengestellt und noch Jahre später verwendet. Deshalb ist ein Datenleck kein Ereignis, das nach dem Passwortwechsel erledigt ist, sondern ein Grund, dauerhaft aufmerksamer zu werden.

Besonders tückisch ist gezieltes Phishing. Wenn eine Mail deinen richtigen Namen, deine Adresse und vielleicht sogar eine frühere Bestellung nennt, wirkt sie echt. Genau dafür werden die Datensätze zusammengeführt. Die Regel bleibt trotzdem einfach: Kein seriöses Unternehmen und keine Bank fordert dich per Mail oder SMS auf, ein Passwort einzugeben oder eine Zahlung zu bestätigen. Im Zweifel rufst du selbst über die dir bekannte Nummer an, statt auf den Link in der Nachricht zu tippen.

Wer Adresse und Geburtsdatum verloren hat, sollte zusätzlich auf ungewöhnliche Post achten: Rechnungen für nie bestellte Ware, Mahnungen, Vertragsbestätigungen. Das können Anzeichen dafür sein, dass jemand mit deiner Identität einkauft. In diesem Fall widersprich schriftlich und erstatte Anzeige.

Woran du ein starkes Passwort erkennst

Weil nach einem Leck alles am Passwort hängt, lohnt ein kurzer Blick darauf, was ein gutes Passwort ausmacht. Entscheidend sind zwei Dinge: Länge und Einzigartigkeit. Als Faustregel gelten mindestens zwölf Zeichen, und das Passwort darf bei keinem anderen Dienst noch einmal vorkommen. Wichtiger als komplizierte Sonderzeichen ist die Länge.

Leichter zu merken als ein kryptisches Kürzel ist eine Passphrase aus drei oder vier zufälligen Wörtern, die nichts miteinander zu tun haben. Noch bequemer ist ein Passwort-Manager, der für jedes Konto ein langes Zufallspasswort erzeugt und speichert. Wo ein Dienst es anbietet, nutze zusätzlich einen Passkey oder die Anmeldung per App, die ganz ohne Passwort auskommt. Und tausch ein Passwort nicht aus Routine alle paar Wochen, sondern gezielt dann, wenn es in einem Leck aufgetaucht ist oder du ein anderes Warnzeichen bemerkst.

Häufige Fragen