Datenleck: Was Tun als Betroffener – Sofortmaßnahmen 2026

Ein Datenleck kann jeden treffen – vom Kunden eines großen Online-Shops bis zum Nutzer eines sozialen Netzwerks. Wenn Ihre persönlichen Daten in falsche Hände geraten, zählt jede Minute. Dieser Leitfaden zeigt Ihnen präzise, was Sie als Betroffener eines Datenlecks tun sollten – von den ersten Sofortmaßnahmen bis zu langfristigen Schutzstrategien und rechtlichen Ansprüchen nach der DSGVO.

Was ist ein Datenleck? Definition und Bedeutung

Ein Datenleck (auch: Datenpanne oder Data Breach) bezeichnet den unbefugten Zugriff, Verlust, die Offenlegung oder Zerstörung personenbezogener Daten. Nach Artikel 4 Nr. 12 DSGVO liegt eine „Verletzung des Schutzes personenbezogener Daten" bereits dann vor, wenn die Vertraulichkeit, Integrität oder Verfügbarkeit Ihrer Daten kompromittiert wurde.

Typische Beispiele für Datenlecks sind:

• Hackerangriffe auf Unternehmensdatenbanken
• Verlust oder Diebstahl von Laptops und USB-Sticks
• Fehlversand von E-Mails mit sensiblen Anhängen
• Fehlkonfigurierte Cloud-Server (z. B. offene AWS-Buckets)
• Insider-Angriffe durch unzufriedene Mitarbeiter
• Phishing-Kampagnen, die zur Kompromittierung führen

Betroffen sein können Namen, Adressen, E-Mail-Adressen, Passwörter, Kreditkartendaten, Sozialversicherungsnummern, Gesundheitsdaten oder Ausweiskopien. Je sensibler die Daten, desto höher das Risiko für Identitätsdiebstahl, Kontobetrug oder gezieltes Phishing.

Woher wissen Sie, dass Sie von einem Datenleck betroffen sind?

Die meisten Betroffenen erfahren aus einer von drei Quellen von einem Leak:

1. Direkte Benachrichtigung des Unternehmens: Nach Art. 34 DSGVO ist der Verantwortliche verpflichtet, Sie unverzüglich zu informieren, wenn ein hohes Risiko für Ihre Rechte und Freiheiten besteht.
2. Medienberichte: Große Datenlecks wie bei LinkedIn, Facebook oder Deezer werden öffentlich bekannt.
3. Prüfdienste: Kostenlose Dienste wie Have I Been Pwned (haveibeenpwned.com) oder der Identity Leak Checker des Hasso-Plattner-Instituts (sec.hpi.de) prüfen Ihre E-Mail-Adresse gegen bekannte Datenbanken.

Warnzeichen für einen unentdeckten Datenmissbrauch

• Ungewöhnliche Login-Benachrichtigungen aus fremden Ländern
• Passwort-Reset-E-Mails, die Sie nicht angefordert haben
• Verdächtige Abbuchungen auf Kreditkarte oder Konto
• Rechnungen für Bestellungen, die Sie nie getätigt haben
• Zunahme von Phishing-Mails oder Spam-Anrufen
• Freunde erhalten seltsame Nachrichten von Ihren Accounts

Datenleck – was tun? Die 7 Sofortmaßnahmen

Handeln Sie systematisch. Panik führt zu Fehlern. Folgen Sie dieser Checkliste in den ersten 24 Stunden nach Bekanntwerden:

1. Passwörter ändern: Beginnen Sie mit dem betroffenen Dienst, danach mit allen Konten, die dasselbe oder ein ähnliches Passwort verwenden. Nutzen Sie einzigartige, mindestens 16 Zeichen lange Passwörter.
2. Zwei-Faktor-Authentifizierung (2FA) aktivieren: Bevorzugen Sie Authenticator-Apps (z. B. Aegis, Authy) oder Hardware-Token (YubiKey) gegenüber SMS-Codes.
3. Bank und Kreditkarteninstitut informieren: Wenn Zahlungsdaten betroffen sind, lassen Sie Karten sperren und beobachten Sie Kontobewegungen mindestens 90 Tage.
4. SCHUFA-Selbstauskunft anfordern: Prüfen Sie unter meineschufa.de, ob Kredite oder Verträge in Ihrem Namen abgeschlossen wurden. Die Basisauskunft ist einmal jährlich kostenlos.
5. Beweise sichern: Speichern Sie die Benachrichtigung des Unternehmens, Screenshots verdächtiger Aktivitäten und alle relevanten E-Mails.
6. E-Mail-Weiterleitungen prüfen: Angreifer richten häufig heimliche Weiterleitungen ein, um Passwort-Resets abzufangen. Kontrollieren Sie die Einstellungen aller Ihrer Postfächer.
7. Betroffene Sitzungen abmelden: Nutzen Sie in jedem Dienst die Funktion „Von allen Geräten abmelden", um bestehende Session-Cookies zu invalidieren.

Rechtliche Schritte nach DSGVO: Ihre Rechte als Betroffener

Die DSGVO gibt Ihnen als Betroffener eines Datenlecks weitreichende Rechte. Diese sollten Sie kennen und aktiv einfordern.

Auskunftsrecht (Art. 15 DSGVO)

Sie können vom verantwortlichen Unternehmen eine kostenlose Auskunft verlangen über:

• Welche Ihrer Daten konkret betroffen waren
• Zeitpunkt und Umstände des Vorfalls
• An welche Empfänger die Daten übermittelt wurden
• Welche Schutzmaßnahmen ergriffen wurden

Das Unternehmen muss innerhalb eines Monats antworten.

Recht auf Löschung (Art. 17 DSGVO)

Sie können verlangen, dass Ihre Daten gelöscht werden, sofern keine gesetzlichen Aufbewahrungspflichten bestehen.

Schadensersatzanspruch (Art. 82 DSGVO)

Bei materiellen oder immateriellen Schäden – etwa Kontrollverlust über Ihre Daten, Angstzustände oder finanzielle Einbußen – steht Ihnen Schadensersatz zu. Deutsche Gerichte haben in den letzten Jahren zunehmend Summen zwischen 100 und 5.000 Euro pro Betroffenem zugesprochen. Das OLG Hamm sprach etwa in einem Facebook-Scraping-Fall 100 Euro pro Person zu.

Beschwerderecht bei der Aufsichtsbehörde (Art. 77 DSGVO)

Wenn ein Unternehmen nicht angemessen reagiert, können Sie eine Beschwerde bei der zuständigen Datenschutzbehörde einreichen. Eine detaillierte Anleitung finden Sie in unserem Artikel BfDI Beschwerde einreichen: Schritt für Schritt Anleitung 2026.

Vergleich: Datenleck-Prüfdienste im Überblick

Dienst	Anbieter	Kostenlos	Prüft	Besonderheit
Have I Been Pwned	Troy Hunt (privat)	Ja	E-Mail, Passwörter, Telefon	Größte Datenbank, API verfügbar
Identity Leak Checker	Hasso-Plattner-Institut	Ja	E-Mail-Adresse	Deutscher Anbieter, DSGVO-konform
Firefox Monitor	Mozilla	Ja	E-Mail-Adresse	Nutzt HIBP-Daten, Monitoring-Funktion
Google Password Checkup	Google	Ja	Gespeicherte Passwörter	Nur für Chrome-Nutzer
BSI-Sicherheitscheck	Bundesamt für Sicherheit	Ja	E-Mail-Adresse	Offizielle deutsche Behörde

Schutz vor Identitätsdiebstahl nach einem Datenleck

Sind Ihre Daten einmal im Umlauf, bleiben sie es meist dauerhaft. Umso wichtiger sind langfristige Schutzmaßnahmen.

Pros und Cons eines Passwort-Managers

Vorteile:

• Einzigartige Passwörter für jeden Dienst
• Automatische Generierung starker Passwörter
• Warnungen bei bekannten Leaks (Bitwarden, 1Password, KeePassXC)
• Verschlüsselte Speicherung

Nachteile:

• Single Point of Failure – das Master-Passwort muss extrem stark sein
• Cloud-basierte Lösungen bergen Restrisiken
• Einarbeitungszeit für weniger technikaffine Nutzer

Weitere technische Schutzmaßnahmen

• Aliase für E-Mail-Adressen: Nutzen Sie Dienste wie SimpleLogin oder AnonAddy, um für jeden Online-Dienst eine separate Adresse zu erstellen.
• Verschlüsseltes DNS: Aktivieren Sie DNS-over-HTTPS (DoH) in Ihrem Browser für zusätzlichen Schutz.
• Kurzlink-Dienste mit Datenschutz: Wenn Sie Links teilen möchten, ohne Tracker weiterzugeben, nutzen Sie einen datenschutzfreundlichen Dienst wie Lunyb, der Ihre Links kürzt, ohne aggressives Profiling zu betreiben.
• Privatsphäre-fokussierte Browser: Firefox mit strenger Tracking-Blockade oder Brave reduzieren die Datenerfassung im Alltag.
• Regelmäßige Backups: Schützen Sie sich zusätzlich gegen Ransomware, die häufig mit Datenlecks kombiniert wird.

Was tun bei Missbrauch der Daten?

Wenn Sie feststellen, dass Ihre Daten bereits missbraucht wurden – etwa durch Bestellungen in Ihrem Namen oder Kontenübernahmen – sollten Sie folgende Schritte einleiten:

1. Strafanzeige erstatten: Bei jeder Polizeidienststelle oder online über die Onlinewache Ihres Bundeslandes. Delikte: Computerbetrug (§ 263a StGB), Datenveränderung (§ 303a StGB), Ausspähen von Daten (§ 202a StGB).
2. Betroffene Unternehmen kontaktieren: Widersprechen Sie unrechtmäßigen Verträgen schriftlich und legen Sie die Anzeigenbestätigung bei.
3. Inkassoforderungen abwehren: Nutzen Sie den Musterbrief der Verbraucherzentrale zur „Nichtschuld".
4. SCHUFA-Eintrag korrigieren lassen: Unberechtigte Negativeinträge können Sie mit Verweis auf die Strafanzeige entfernen lassen.
5. Verdächtige Telefonnummern melden: Werden Sie mit Betrugsanrufen bombardiert, hilft unser Leitfaden zur Meldung von Betrugsnummern.

Datenleck bei Unternehmen: Pflichten des Verantwortlichen

Als Betroffener sollten Sie wissen, welche Pflichten das Unternehmen hat – so können Sie Verstöße erkennen und Ansprüche geltend machen.

Meldepflicht binnen 72 Stunden

Nach Art. 33 DSGVO muss der Verantwortliche eine Datenpanne innerhalb von 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde melden – sofern ein Risiko für die Rechte und Freiheiten natürlicher Personen besteht.

Benachrichtigungspflicht gegenüber Betroffenen

Bei hohem Risiko muss das Unternehmen Sie zusätzlich direkt informieren (Art. 34 DSGVO). Die Benachrichtigung muss enthalten:

• Beschreibung des Vorfalls in klarer, einfacher Sprache
• Kontaktdaten des Datenschutzbeauftragten
• Wahrscheinliche Folgen des Vorfalls
• Ergriffene und geplante Maßnahmen zur Schadensminderung

Bußgelder bei Verstößen

Verstößt ein Unternehmen gegen Melde- oder Benachrichtigungspflichten, drohen Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes. Kleinere Unternehmen, insbesondere KMU, sollten sich mit dem Thema Cybersicherheit gründlich befassen – siehe dazu unseren Leitfaden zur Cybersicherheit für KMU.

Prävention: So minimieren Sie das Risiko künftiger Datenlecks

Sie können sich zwar nicht vollständig vor Datenlecks bei Dritten schützen, aber das persönliche Angriffsrisiko deutlich reduzieren:

1. Datensparsamkeit: Geben Sie bei Online-Anmeldungen nur die absolut notwendigen Informationen an. Muss der Newsletter-Anbieter wirklich Ihr Geburtsdatum kennen?
2. Wegwerf-E-Mail-Adressen für unwichtige Registrierungen
3. Regelmäßige Kontobereinigung: Löschen Sie ungenutzte Accounts. Dienste wie JustDeleteMe helfen dabei.
4. Kreditkarte mit Einmalnummern: Viele Banken bieten virtuelle Karten mit Limit.
5. Kritische Prüfung von Anrufern: Lernen Sie, Betrugs-Telefonnummern zu erkennen, bevor Sie sensible Daten preisgeben.
6. Software aktuell halten: Betriebssystem, Browser und Apps zeitnah aktualisieren.
7. Verschlüsselte Kommunikation: Signal statt SMS, ProtonMail oder Tuta statt unverschlüsselter E-Mail-Dienste.

Wer in Österreich lebt, findet zusätzliche länderspezifische Tipps in unserem umfassenden Leitfaden zur Online-Privatsphäre in Österreich.

Häufig gestellte Fragen (FAQ)

Wie lange dauert es, bis ich nach einem Datenleck informiert werde?

Nach Art. 34 DSGVO muss das Unternehmen Sie „unverzüglich" benachrichtigen, wenn ein hohes Risiko besteht. In der Praxis vergehen häufig Wochen oder Monate, bis Unternehmen den Umfang eines Vorfalls verstehen. Verzögert sich die Information ohne triftigen Grund, kann dies einen eigenen DSGVO-Verstoß darstellen und Schadensersatzansprüche begründen.

Kann ich für einen fremden Datenverlust Schadensersatz verlangen?

Ja. Nach Art. 82 DSGVO haben Sie Anspruch auf Ersatz materieller und immaterieller Schäden. Der EuGH hat 2023 klargestellt, dass bereits der Kontrollverlust über die eigenen Daten einen ersatzfähigen Schaden darstellen kann. Die Beträge variieren stark – in Deutschland liegen typische Urteile zwischen 100 und 5.000 Euro pro betroffener Person.

Muss ich mein Passwort ändern, wenn nur mein Name geleakt wurde?

Wenn wirklich nur Ihr Name betroffen ist und kein Login-Bezug besteht, ist eine Passwortänderung nicht zwingend erforderlich. Vorsicht ist jedoch geboten: Häufig unterschätzen Unternehmen den Umfang eines Lecks. Zusätzlich können Angreifer geleakte Namen mit anderen Datenquellen kombinieren. Aktivieren Sie in jedem Fall 2FA für Ihre wichtigsten Konten.

An welche Aufsichtsbehörde wende ich mich bei einem Datenleck?

Zuständig ist die Landesdatenschutzbehörde am Sitz des Unternehmens. Für bundesweit tätige Telekommunikations- und Postdienstleister ist der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) zuständig. Sie können Ihre Beschwerde aber auch bei der Behörde Ihres Wohnorts einreichen – diese leitet den Fall weiter.

Wie lange kann ich nach einem Datenleck Ansprüche geltend machen?

Schadensersatzansprüche nach der DSGVO verjähren nach der regelmäßigen Verjährungsfrist von drei Jahren (§ 195 BGB). Die Frist beginnt am Ende des Jahres, in dem Sie vom Vorfall und der Person des Ersatzpflichtigen Kenntnis erlangt haben. Bei Straftaten wie Computerbetrug gelten separate strafrechtliche Verjährungsfristen von bis zu fünf Jahren.

Fazit: Handeln Sie ruhig, aber konsequent

Ein Datenleck ist kein Weltuntergang – aber auch kein Grund zur Untätigkeit. Wer die hier beschriebenen Sofortmaßnahmen umsetzt, seine DSGVO-Rechte kennt und langfristige Schutzstrategien implementiert, minimiert die Folgen eines Leaks erheblich. Betrachten Sie den Vorfall als Anlass, Ihre gesamte digitale Sicherheitsarchitektur zu überprüfen: einzigartige Passwörter, Zwei-Faktor-Authentifizierung, sparsame Datenweitergabe und regelmäßige Kontrollen mit Prüfdiensten bilden das Fundament. Wenn Sie zusätzlich Wert auf datenschutzfreundliche Werkzeuge wie sichere Kurzlink-Dienste legen, machen Sie es Angreifern noch schwerer, aus einem Leak echten Schaden zu machen.