Datenleck: Was Tun als Betroffener - Vollständiger Leitfaden 2026

Ein Datenleck kann jeden treffen – vom Online-Shopper bis zum Bankkunden. Wenn Ihre persönlichen Daten in falsche Hände geraten, zählt jede Minute. Dieser Leitfaden zeigt Ihnen strukturiert, welche Sofortmaßnahmen Sie ergreifen sollten, welche Rechte Sie nach der DSGVO haben und wie Sie sich langfristig vor den Folgen eines Datenlecks schützen können.

Was ist ein Datenleck? Definition und Abgrenzung

Ein Datenleck (auch Datenpanne oder Data Breach genannt) bezeichnet den unbefugten Zugriff auf, die Offenlegung oder den Verlust personenbezogener Daten. Nach Artikel 4 Nr. 12 DSGVO liegt eine „Verletzung des Schutzes personenbezogener Daten" vor, wenn die Sicherheit von Daten beeinträchtigt wurde.

Typische Formen eines Datenlecks sind:

Hacking-Angriffe auf Unternehmensdatenbanken
Phishing-Attacken, bei denen Zugangsdaten abgegriffen werden
Fehlkonfigurierte Server, die Daten öffentlich zugänglich machen
Verlorene oder gestohlene Geräte mit unverschlüsselten Daten
Interne Datenschutzverletzungen durch Mitarbeitende

Welche Daten sind besonders gefährdet?

Nicht alle Datenlecks haben die gleichen Auswirkungen. Besonders sensibel sind:

Passwörter und Zugangsdaten
Zahlungsinformationen (Kreditkartennummern, IBAN)
Personalausweis- und Passdaten
Gesundheitsdaten
Steuer- und Sozialversicherungsnummern

Datenleck – was tun? Die 7 wichtigsten Sofortmaßnahmen

Wenn Sie erfahren, dass Ihre Daten von einem Leck betroffen sind, sollten Sie folgende Schritte in genau dieser Reihenfolge durchführen:

Ruhe bewahren und Informationen sammeln: Klären Sie, welche Daten konkret betroffen sind. Prüfen Sie die offizielle Mitteilung des Unternehmens.
Passwörter ändern: Ändern Sie sofort das Passwort des betroffenen Dienstes – und aller Konten, bei denen Sie dasselbe Passwort verwendet haben.
Zwei-Faktor-Authentifizierung (2FA) aktivieren: Sichern Sie alle wichtigen Konten mit einem zweiten Faktor ab.
Konten überwachen: Kontrollieren Sie Bankkonten, Kreditkartenabrechnungen und E-Mail-Postfächer auf verdächtige Aktivitäten.
Bank und Kreditkartenanbieter informieren: Bei Finanzdaten sofort die Bank kontaktieren und ggf. Karten sperren lassen.
Anzeige bei der Polizei erstatten: Bei Identitätsdiebstahl oder finanziellem Schaden ist eine Strafanzeige wichtig.
Beschwerde bei der Datenschutzbehörde: Reichen Sie eine Beschwerde beim zuständigen Landesdatenschutzbeauftragten oder beim BfDI ein.

Zeitlicher Ablauf: Was in den ersten 24 Stunden zählt

Die ersten Stunden nach Bekanntwerden eines Datenlecks sind entscheidend. Kriminelle nutzen erbeutete Daten oft binnen Minuten. Priorisieren Sie daher:

0–1 Stunde: Passwörter ändern, 2FA aktivieren
1–6 Stunden: Banken informieren, verdächtige Transaktionen prüfen
6–24 Stunden: Weitere Konten sichern, betroffene Dienste kontaktieren

Woher weiß ich, ob ich von einem Datenleck betroffen bin?

Es gibt mehrere zuverlässige Wege, um zu prüfen, ob Ihre Daten kompromittiert wurden:

1. Offizielle Benachrichtigung des Unternehmens

Nach Artikel 34 DSGVO sind Unternehmen verpflichtet, Betroffene bei einem hohen Risiko unverzüglich zu informieren. Diese Benachrichtigungen erfolgen meist per E-Mail oder Brief.

2. Prüfdienste für E-Mail-Adressen

Nutzen Sie kostenlose Prüfdienste wie:

Have I Been Pwned (haveibeenpwned.com)
HPI Identity Leak Checker des Hasso-Plattner-Instituts
Firefox Monitor von Mozilla

Diese Dienste zeigen an, in welchen bekannten Datenlecks Ihre E-Mail-Adresse aufgetaucht ist.

3. Warnhinweise Ihres Browsers oder Passwort-Managers

Moderne Browser wie Chrome, Firefox und Safari warnen inzwischen automatisch, wenn ein gespeichertes Passwort in einem Datenleck aufgetaucht ist.

Ihre Rechte nach der DSGVO bei einem Datenleck

Die Datenschutz-Grundverordnung gibt Betroffenen umfangreiche Rechte. Diese sollten Sie kennen und aktiv wahrnehmen.

Recht	DSGVO-Artikel	Was es bedeutet
Auskunftsrecht	Art. 15	Sie können erfahren, welche Daten über Sie gespeichert wurden
Recht auf Berichtigung	Art. 16	Falsche Daten müssen korrigiert werden
Recht auf Löschung	Art. 17	„Recht auf Vergessenwerden"
Recht auf Benachrichtigung	Art. 34	Bei hohem Risiko muss das Unternehmen Sie informieren
Beschwerderecht	Art. 77	Beschwerde bei der Aufsichtsbehörde
Schadensersatz	Art. 82	Anspruch auf materiellen und immateriellen Schadensersatz

Schadensersatz nach Artikel 82 DSGVO

Ein oft übersehener Punkt: Sie haben nach Art. 82 DSGVO Anspruch auf Schadensersatz – nicht nur für finanzielle Schäden, sondern auch für immaterielle Schäden wie Kontrollverlust, Ängste oder Rufschädigung. Deutsche Gerichte sprechen mittlerweile regelmäßig Schadensersatzsummen zwischen 100 und 5.000 Euro zu.

Beschwerde bei der Datenschutzbehörde einreichen

Wenn ein Unternehmen fahrlässig mit Ihren Daten umgegangen ist, können Sie eine Beschwerde bei der zuständigen Datenschutzbehörde einreichen. Bei bundesweit tätigen Unternehmen oder Telekommunikationsanbietern ist der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) zuständig, bei Unternehmen mit Sitz in einem Bundesland die jeweilige Landesbehörde.

Eine detaillierte Anleitung finden Sie in unserem Artikel zur BfDI-Beschwerde Schritt für Schritt. Einen Überblick über weitere Rechte bietet der Beitrag Datenschutz in Deutschland: Ihre Rechte im Überblick.

Identitätsdiebstahl nach einem Datenleck: So handeln Sie

Identitätsdiebstahl ist die schwerwiegendste Folge eines Datenlecks. Kriminelle nutzen Ihre Daten, um in Ihrem Namen Verträge abzuschließen, Waren zu bestellen oder Konten zu eröffnen.

Warnzeichen für Identitätsdiebstahl

Unbekannte Rechnungen oder Mahnungen
Inkassoschreiben für nicht getätigte Käufe
Ablehnung von Kreditanträgen (SCHUFA-Auffälligkeiten)
Post von Behörden oder Vertragspartnern, die Sie nicht kennen
Bestellbestätigungen für nicht getätigte Käufe

Sofortmaßnahmen bei Identitätsdiebstahl

Strafanzeige erstatten: Bei jeder Polizeidienststelle oder online
SCHUFA-Selbstauskunft anfordern: Kostenlose Datenkopie nach Art. 15 DSGVO
SCHUFA-Betrugsmerkmal eintragen lassen: Warnt Vertragspartner vor Missbrauch
Vertragspartner informieren: Widerrufen Sie erschlichene Verträge schriftlich
Verdächtige Rufnummern melden: Details finden Sie in unserer Anleitung Betrugsnummer melden

Langfristiger Schutz vor Datenlecks

Datenlecks lassen sich nicht vollständig verhindern – aber Sie können Ihre Angriffsfläche deutlich reduzieren.

1. Passwort-Hygiene

Verwenden Sie für jeden Dienst ein einzigartiges Passwort
Nutzen Sie einen Passwort-Manager (Bitwarden, KeePass, 1Password)
Wählen Sie mindestens 16 Zeichen lange Passphrasen
Aktivieren Sie überall Zwei-Faktor-Authentifizierung

2. Datensparsamkeit

Je weniger Daten Sie preisgeben, desto weniger kann verloren gehen. Praktische Tipps:

Verwenden Sie Wegwerf-E-Mail-Adressen für Newsletter
Geben Sie in Formularen nur Pflichtfelder aus
Prüfen Sie regelmäßig, welche Konten Sie noch nutzen – und löschen Sie ungenutzte

3. Sichere Kommunikation und Links

Beim Teilen von Links im geschäftlichen oder privaten Kontext sollten Sie auf datenschutzkonforme Werkzeuge setzen. Ein DSGVO-konformer URL-Shortener wie Lunyb hilft, Links sicher zu kürzen, ohne dass Nutzerdaten an Drittanbieter außerhalb der EU übermittelt werden. Mehr dazu in unserer Anleitung URL kürzen: So funktioniert es richtig.

4. Netzwerkschutz

Auf Netzwerkebene können Sie sich zusätzlich schützen durch:

Verschlüsseltes DNS (DoH/DoT) im Browser oder Betriebssystem
Datenschutzfreundliche Browser wie Firefox mit erweiterten Schutzeinstellungen
Aktuelle Betriebssystem- und App-Updates ohne Verzögerung installieren
Firewall und Endpoint-Schutz auf allen Geräten

Datenleck bei Unternehmen: Meldepflichten für Verantwortliche

Falls Sie selbst als Unternehmer betroffen sind, gelten strikte Meldepflichten nach DSGVO:

Frist	Adressat	Rechtsgrundlage
72 Stunden	Aufsichtsbehörde	Art. 33 DSGVO
Unverzüglich	Betroffene Personen (bei hohem Risiko)	Art. 34 DSGVO
Dauerhaft	Internes Dokumentationsregister	Art. 33 Abs. 5 DSGVO

Verstöße gegen die Meldepflicht können mit Bußgeldern von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden.

Bekannte Datenlecks der letzten Jahre

Um das Ausmaß der Problematik zu verdeutlichen, hier einige der größten Datenlecks mit deutschem Bezug:

Facebook (2021): Über 533 Millionen Nutzerdaten weltweit, darunter 6 Millionen deutsche
Deezer (2022): 228 Millionen Nutzerdatensätze mit E-Mail-Adressen
Deutsche Kfz-Versicherer (2023): Mehrere Fälle mit Kundendaten
ChatGPT (2023): Sichtbarkeit von Chat-Verläufen und Zahlungsdaten

Diese Beispiele zeigen: Auch große, etablierte Unternehmen sind nicht sicher.

Checkliste: Datenleck – was tun?

Zum Abschluss eine kompakte Checkliste, die Sie ausdrucken oder speichern können:

☐ Betroffenheit geprüft (offizielle Info, Leak-Checker)
☐ Alle betroffenen Passwörter geändert
☐ 2FA auf wichtigen Konten aktiviert
☐ Bank und Kreditkartenanbieter informiert
☐ Kontobewegungen der letzten 30 Tage geprüft
☐ SCHUFA-Selbstauskunft angefordert
☐ Bei Bedarf Strafanzeige erstattet
☐ Beschwerde bei Datenschutzbehörde eingereicht
☐ Schadensersatzansprüche geprüft
☐ Passwort-Manager eingerichtet

FAQ: Häufige Fragen zum Datenleck

Muss ich als Betroffener über ein Datenleck informiert werden?

Ja, nach Artikel 34 DSGVO müssen Sie unverzüglich informiert werden, sofern das Datenleck ein hohes Risiko für Ihre Rechte und Freiheiten darstellt. Bei geringerem Risiko genügt eine Meldung bei der Aufsichtsbehörde. In der Praxis werden Betroffene meist per E-Mail benachrichtigt.

Kann ich nach einem Datenleck Schadensersatz verlangen?

Ja. Nach Art. 82 DSGVO haben Sie Anspruch auf Ersatz materieller und immaterieller Schäden. Deutsche Gerichte sprechen mittlerweile auch für den bloßen Kontrollverlust über die eigenen Daten Beträge zwischen 100 und 5.000 Euro zu. Ein Nachweis konkreter finanzieller Schäden ist nicht zwingend erforderlich, erhöht aber die Erfolgsaussichten.

Wie lange dauert es, bis ein Datenleck negative Folgen hat?

Das ist sehr unterschiedlich. Erbeutete Zugangsdaten werden oft binnen Minuten in automatisierten Angriffen (Credential Stuffing) getestet. Identitätsdiebstahl kann dagegen erst Monate oder Jahre später auffällig werden, wenn Kriminelle Ihre Daten weiterverkaufen. Daher ist eine dauerhafte Wachsamkeit wichtig.

Ist ein Datenleck bei einem Cloud-Dienst besonders gefährlich?

Cloud-Datenlecks können besonders weitreichend sein, weil dort oft eine große Menge sensibler Daten konzentriert wird. Achten Sie bei Cloud-Diensten auf Ende-zu-Ende-Verschlüsselung, europäische Serverstandorte und ein Impressum mit klarer Rechtslage im EU-Raum. Für sensible Dokumente ist eine clientseitige Verschlüsselung vor dem Upload empfehlenswert.

Was kostet mich der Schutz vor Datenlecks?

Ein Grundschutz ist kostenlos oder sehr günstig. Passwort-Manager wie Bitwarden oder KeePass gibt es gratis, 2FA-Apps ebenfalls. Kostenpflichtige Identitätsschutz-Dienste (10–20 Euro pro Monat) überwachen zusätzlich das Darknet nach Ihren Daten. Die wichtigste Investition ist jedoch Ihre Zeit: 30 Minuten für die Grundabsicherung erspart Ihnen im Ernstfall wochenlangen Ärger.

Fazit

Ein Datenleck ist kein Grund zur Panik, aber ein Weckruf zum Handeln. Mit den richtigen Sofortmaßnahmen – schnelle Passwortänderung, 2FA, Kontoüberwachung – begrenzen Sie den Schaden erheblich. Nutzen Sie zudem konsequent Ihre Rechte aus der DSGVO: Auskunft, Löschung, Beschwerde und Schadensersatz. Und denken Sie langfristig: Datensparsamkeit, gute Passwort-Hygiene und der Einsatz datenschutzfreundlicher Werkzeuge sind der beste Schutz vor der nächsten Datenpanne.