Datenleck: Was Tun als Betroffener? (Leitfaden 2026)

Ein Datenleck trifft Millionen Menschen jedes Jahr – vom gehackten E-Mail-Anbieter über kompromittierte Online-Shops bis hin zu Datenpannen bei Krankenkassen oder Behörden. Wenn Sie betroffen sind, zählt jede Stunde. Dieser Leitfaden zeigt Ihnen Schritt für Schritt, was Sie als Betroffener tun müssen, welche Rechte Ihnen nach der DSGVO zustehen und wie Sie sich dauerhaft vor den Folgen eines Datenlecks schützen.

Was ist ein Datenleck überhaupt?

Ein Datenleck (auch Datenpanne oder Data Breach genannt) liegt vor, wenn personenbezogene Daten unbefugt offengelegt, verändert, zerstört oder gestohlen werden. Dies kann durch Hackerangriffe, Fehlkonfigurationen, Insider-Bedrohungen oder schlicht menschliches Versagen geschehen.

Nach Art. 4 Nr. 12 DSGVO ist eine Verletzung des Schutzes personenbezogener Daten jede Sicherheitsverletzung, die zur Vernichtung, zum Verlust oder zur unbefugten Offenlegung von Daten führt. Unternehmen sind nach Art. 33 DSGVO verpflichtet, solche Vorfälle innerhalb von 72 Stunden an die zuständige Aufsichtsbehörde (in Deutschland den BfDI oder die Landesdatenschutzbeauftragten) zu melden.

Typische Arten von Datenlecks

• Credential Stuffing: Gestohlene Login-Daten werden bei anderen Diensten durchprobiert.
• Phishing-Beute: Durch Täuschung erlangte Zugangsdaten tauchen in Darknet-Foren auf.
• Datenbank-Kompromittierung: Ein Unternehmen wird gehackt und komplette Nutzerdatenbanken werden geleakt.
• Fehlkonfigurierte Cloud-Speicher: Öffentlich zugängliche S3-Buckets oder ungeschützte Datenbanken.
• Insider-Leaks: Mitarbeiter geben Daten absichtlich oder versehentlich preis.

Woran erkenne ich, dass ich von einem Datenleck betroffen bin?

Oft erfahren Betroffene erst Wochen oder Monate nach einem Vorfall davon. Es gibt jedoch mehrere zuverlässige Wege, dies zu überprüfen:

1. Benachrichtigung durch das Unternehmen: Nach Art. 34 DSGVO müssen Verantwortliche Sie unverzüglich informieren, wenn ein hohes Risiko für Ihre Rechte besteht.
2. Have I Been Pwned (haveibeenpwned.com): Die weltweit bekannteste Datenbank für Leaks, betrieben von Troy Hunt. Geben Sie Ihre E-Mail-Adresse ein, um Treffer zu sehen.
3. HPI Identity Leak Checker: Vom Hasso-Plattner-Institut betriebener Dienst, der auch Passwortfragmente prüft.
4. Firefox Monitor / Google Password Checkup: Integriert in moderne Browser.
5. Verdächtige Aktivitäten: Unbekannte Logins, Spam-Welle, abgebuchte Beträge, SMS mit Zwei-Faktor-Codes, die Sie nicht angefordert haben.

Sofortmaßnahmen: Die ersten 24 Stunden

Nach einer bestätigten Datenpanne gilt: schnell und systematisch handeln. Je länger Angreifer Zugriff auf Ihre Daten haben, desto größer der Schaden.

Schritt 1: Passwörter sofort ändern

Beginnen Sie mit dem betroffenen Dienst und arbeiten Sie sich zu allen Konten vor, die dasselbe oder ein ähnliches Passwort verwenden. Nutzen Sie:

• Einen Passwort-Manager (Bitwarden, 1Password, KeePassXC)
• Mindestens 16 Zeichen, zufällig generiert
• Pro Dienst ein einzigartiges Passwort

Schritt 2: Zwei-Faktor-Authentifizierung aktivieren

2FA ist der wirksamste Schutz gegen Credential Stuffing. Bevorzugen Sie:

• Hardware-Keys: YubiKey, Nitrokey (höchste Sicherheit)
• Authenticator-Apps: Aegis, 2FAS, Ente Auth
• SMS-TAN nur als Notlösung – wegen SIM-Swapping-Risiko

Schritt 3: Bank und Kreditkarte prüfen

Wenn Zahlungsdaten betroffen sein könnten, kontaktieren Sie umgehend Ihre Bank. Sperren Sie Karten über die zentrale Sperrnummer 116 116. Prüfen Sie Umsätze der letzten 90 Tage.

Schritt 4: Dokumentation beginnen

Legen Sie eine Datei an mit: Zeitpunkt der Benachrichtigung, Screenshot der Mitteilung, betroffene Datenkategorien, von Ihnen ergriffene Maßnahmen. Diese Dokumentation benötigen Sie später für Beschwerden oder Schadensersatzforderungen.

Die zweite Welle: Was in den ersten 7 Tagen zu tun ist

SCHUFA- und Bonitätsauskunft einholen

Nach § 15 DSGVO haben Sie Anspruch auf eine kostenlose Datenkopie – auch von der SCHUFA (einmal jährlich kostenlos). Prüfen Sie, ob fremde Verträge oder Anfragen auftauchen. Alternativen: CRIF, Creditreform Boniversum, Infoscore.

Strafanzeige erstatten

Bei Identitätsdiebstahl, finanziellem Schaden oder begründetem Missbrauchsverdacht erstatten Sie Anzeige bei der Polizei. Viele Bundesländer bieten eine Online-Wache. Das Aktenzeichen benötigen Sie für Versicherungen und zur Entlastung bei falschen Forderungen.

Betroffene Dienste identifizieren

Nutzen Sie Ihren Passwort-Manager oder E-Mail-Postfach-Suche nach "Willkommen", "Bestätigen Sie", "Registrierung", um alle Konten zu finden, bei denen Ihre kompromittierte E-Mail hinterlegt ist. Löschen Sie ungenutzte Konten vollständig.

Phishing-Welle erwarten

Nach einem Leck steigen gezielte Phishing-Mails sprunghaft an – Angreifer kennen jetzt Ihren Namen, Anbieter und teilweise Vertragsdetails. Seien Sie besonders misstrauisch bei:

• E-Mails mit angeblichen "Sicherheitswarnungen"
• Angeblichen Rechnungen oder Mahnungen
• Links in SMS (Smishing)
• Anrufen von "Microsoft-Support" oder "Bankmitarbeitern"

Ihre Rechte nach der DSGVO

Als Betroffener eines Datenlecks stehen Ihnen konkrete, einklagbare Rechte zu. Die DSGVO und ergänzend das BDSG bilden einen starken Schutzrahmen.

Recht	Rechtsgrundlage	Was es bedeutet
Benachrichtigung	Art. 34 DSGVO	Unverzügliche Information bei hohem Risiko
Auskunft	Art. 15 DSGVO	Komplette Kopie Ihrer Daten binnen 30 Tagen
Löschung	Art. 17 DSGVO	Recht auf Vergessenwerden
Beschwerde	Art. 77 DSGVO	Beschwerde bei der Aufsichtsbehörde
Schadensersatz	Art. 82 DSGVO	Materieller und immaterieller Schadensersatz

Schadensersatz nach Art. 82 DSGVO

Der Europäische Gerichtshof hat mehrfach klargestellt (u.a. C-300/21, C-340/21), dass auch der bloße Kontrollverlust über Daten einen immateriellen Schaden begründen kann. Deutsche Gerichte sprechen Beträge zwischen 100 € und mehreren tausend Euro zu – abhängig von der Sensibilität der Daten und dem Verschulden des Unternehmens.

Beschwerde beim BfDI oder Landesbeauftragten

Wenn ein Unternehmen seine Meldepflicht verletzt, Sie nicht informiert oder Ihre Anfragen ignoriert, können Sie formlos Beschwerde einlegen. Zuständig ist die Behörde am Sitz des Unternehmens. Eine Übersicht finden Sie auf bfdi.bund.de. In der Schweiz ist der EDÖB zuständig – mehr dazu in unserem Artikel zum Schweizer Datenschutzgesetz und zum Vergleich DSG vs. DSGVO.

Spezialfall: Welche Datenkategorien erfordern welche Reaktion?

Betroffene Daten	Risiko	Priorität	Empfohlene Maßnahme
E-Mail + Passwort	Account-Übernahme, Credential Stuffing	Sehr hoch	Alle Passwörter ändern, 2FA
Zahlungsdaten (IBAN, Kreditkarte)	Finanzieller Betrug	Kritisch	Bank kontaktieren, Karten sperren
Ausweiskopie	Identitätsdiebstahl	Kritisch	Anzeige, Sperrdatei-Abfrage
Gesundheitsdaten	Erpressung, Diskriminierung	Sehr hoch	Krankenkasse, BfDI-Beschwerde
Telefonnummer	SIM-Swapping, Spam-Anrufe	Mittel	SIM-PIN beim Anbieter aktivieren
Adresse	Doxing, Paket-Betrug	Mittel	Melderegister-Auskunftssperre

Besondere Vorsicht bei Ausweisdaten

Wenn eine Kopie Ihres Personalausweises oder Reisepasses geleakt wurde, informieren Sie die Bürgerämter. In schweren Fällen kann ein neuer Ausweis beantragt werden. Richten Sie zudem einen Eintrag bei der SCHUFA-IdentCheck oder dem Bundesamt für Sicherheit in der Informationstechnik (BSI) ein.

Langfristiger Schutz: Nachhaltige Sicherheitshygiene

Nach einem Datenleck ist die beste Reaktion, Ihre gesamte digitale Hygiene zu überdenken. Diese Maßnahmen reduzieren das Risiko künftiger Vorfälle erheblich.

E-Mail-Aliase nutzen

Dienste wie SimpleLogin, AnonAddy oder Apple Hide My Email erzeugen für jeden Online-Dienst eine eigene Weiterleitungsadresse. Wird ein Dienst gehackt, ist nur dieser eine Alias kompromittiert – nicht Ihre Haupt-Mail.

Datensparsamkeit praktizieren

Geben Sie nie mehr Daten preis als unbedingt nötig. Fiktive Geburtsdaten (sofern rechtlich zulässig), separate Rufnummern für Online-Dienste und Prepaid-Kreditkarten reduzieren die Angriffsfläche. Für geteilte Links lohnt sich zudem ein datenschutzfreundlicher URL-Shortener wie Lunyb, der ohne personalisiertes Tracking auskommt und so weniger Spuren hinterlässt.

Browser und DNS absichern

Nutzen Sie einen datenschutzfreundlichen Browser mit integriertem Tracking-Schutz und aktivieren Sie verschlüsseltes DNS (DNS-over-HTTPS). Einen aktuellen Überblick finden Sie in unserem Vergleich der besten datenschutzfreundlichen Browser 2026.

Regelmäßige Sicherheits-Audits

1. Monatlich: Have-I-Been-Pwned-Check Ihrer E-Mail-Adressen
2. Quartalsweise: SCHUFA- oder Bonitätsabfrage
3. Halbjährlich: Aktive Sessions in allen Diensten überprüfen und Fremdgeräte abmelden
4. Jährlich: Komplette Passwort-Rotation für kritische Accounts

KI und Datenlecks: Neue Risikodimension

Mit dem Aufkommen generativer KI-Systeme verschärft sich die Datenleck-Problematik. Angreifer nutzen Sprachmodelle, um aus geleakten Fragmenten vollständige Profile zu rekonstruieren, personalisierte Phishing-Mails in perfektem Deutsch zu erzeugen oder Stimmen für Vishing-Angriffe zu klonen.

Der europäische Gesetzgeber reagiert hierauf unter anderem mit dem AI Act. Welche Pflichten dadurch für Anbieter entstehen und wie sich das auf den Umgang mit personenbezogenen Daten auswirkt, lesen Sie in unserem Leitfaden zum KI-Gesetz der EU.

Checkliste: Datenleck – Sofortmaßnahmen auf einen Blick

1. ☐ Betroffenheit über Have I Been Pwned prüfen
2. ☐ Passwort beim betroffenen Dienst sofort ändern
3. ☐ Alle Accounts mit identischem Passwort aktualisieren
4. ☐ 2FA überall aktivieren, wo möglich
5. ☐ Bank informieren bei Zahlungsdaten-Leck
6. ☐ SCHUFA-Auskunft einholen
7. ☐ Dokumentation anlegen (Screenshots, Zeitstempel)
8. ☐ Auskunftsersuchen nach Art. 15 DSGVO stellen
9. ☐ Bei Identitätsdiebstahl: Strafanzeige erstatten
10. ☐ Beschwerde beim BfDI prüfen
11. ☐ Schadensersatzanspruch nach Art. 82 DSGVO prüfen (ggf. Fachanwalt)
12. ☐ Phishing-Erwartung: Erhöhte Wachsamkeit für 3-6 Monate

Häufig gestellte Fragen (FAQ)

Muss mich ein Unternehmen über ein Datenleck informieren?

Ja, nach Art. 34 DSGVO besteht eine Benachrichtigungspflicht, wenn durch die Datenpanne ein hohes Risiko für Ihre Rechte und Freiheiten entsteht. Die Information muss "in klarer und einfacher Sprache" erfolgen. Zusätzlich muss das Unternehmen die Aufsichtsbehörde innerhalb von 72 Stunden informieren (Art. 33 DSGVO). Verstößt ein Unternehmen gegen diese Pflicht, drohen Bußgelder bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes.

Wie viel Schadensersatz steht mir nach einem Datenleck zu?

Die Höhe hängt vom Einzelfall ab. Deutsche Gerichte haben in den letzten Jahren Beträge zwischen 100 € (einfacher Kontrollverlust) und 5.000 € oder mehr (sensible Gesundheitsdaten, konkreter Identitätsdiebstahl) zugesprochen. Der EuGH hat bestätigt, dass auch der bloße Kontrollverlust bereits einen immateriellen Schaden darstellen kann. Ein Fachanwalt für IT-Recht hilft bei der realistischen Einschätzung.

Wie lange nach einem Datenleck kann ich noch Ansprüche geltend machen?

Die regelmäßige Verjährungsfrist für Schadensersatzansprüche beträgt drei Jahre, beginnend mit dem Schluss des Jahres, in dem Sie Kenntnis vom Schaden und dem Verantwortlichen erlangt haben (§ 195, § 199 BGB). Erfahren Sie also 2026 von einem Leck aus 2024, läuft die Frist bis Ende 2029.

Kann ich mein geleaktes Passwort einfach wiederverwenden, wenn ich es ändere?

Nein, keinesfalls. Sobald ein Passwort in einer Leak-Datenbank aufgetaucht ist, wird es dauerhaft in Wörterbuchangriffen und Credential-Stuffing-Tools verwendet. Nutzen Sie es nie wieder – auch nicht in Varianten (z. B. "Passwort123!" statt "Passwort123"). Angreifer kennen diese Muster.

Was ist, wenn das Unternehmen seinen Sitz außerhalb der EU hat?

Die DSGVO gilt extraterritorial (Art. 3 DSGVO): Sobald ein Unternehmen Waren oder Dienstleistungen in der EU anbietet oder das Verhalten von EU-Bürgern beobachtet, muss es sich an die DSGVO halten. Beschwerden können Sie beim BfDI oder bei der Behörde einreichen, bei der das Unternehmen seinen EU-Vertreter benannt hat. In der Praxis ist die Durchsetzung gegen US- oder asiatische Anbieter jedoch oft langwierig.

Fazit

Ein Datenleck ist kein Grund zur Panik, aber ein klarer Handlungsauftrag. Mit systematischem Vorgehen – Passwörter wechseln, 2FA aktivieren, Finanzkonten überwachen, Rechte nach DSGVO geltend machen – minimieren Sie den Schaden erheblich. Nutzen Sie den Vorfall als Anlass, Ihre gesamte digitale Sicherheitshygiene zu überdenken: Passwort-Manager, E-Mail-Aliase, datenschutzfreundliche Tools und regelmäßige Audits machen Sie langfristig widerstandsfähiger. Je besser Sie informiert sind, desto schneller und wirksamer können Sie reagieren – und desto weniger Macht haben Angreifer über Ihre digitale Identität.