Datenleck: Was Tun als Betroffener - Der Notfallplan 2026

Die Nachricht trifft viele Menschen mittlerweile mehrmals im Jahr: Ein Online-Dienst wurde gehackt, und Ihre Daten sind möglicherweise betroffen. Ob E-Mail-Adresse, Passwort, Bankverbindung oder gar Ausweisdaten – ein Datenleck kann weitreichende Folgen haben. Doch was sollten Sie als Betroffener konkret tun? In diesem umfassenden Leitfaden erfahren Sie Schritt für Schritt, wie Sie richtig reagieren, Schäden begrenzen und Ihre Rechte nach der DSGVO geltend machen.

Was ist ein Datenleck?

Ein Datenleck (auch Datenpanne oder Data Breach genannt) liegt vor, wenn personenbezogene Daten unbefugt offengelegt, verändert, vernichtet oder entwendet werden. Nach Art. 4 Nr. 12 DSGVO handelt es sich um eine "Verletzung des Schutzes personenbezogener Daten". Verantwortliche Unternehmen müssen solche Vorfälle innerhalb von 72 Stunden an die zuständige Aufsichtsbehörde (in Deutschland die jeweilige Landesdatenschutzbehörde oder den BfDI) melden.

Typische Beispiele für Datenlecks sind:

Hackerangriffe auf Online-Shops, soziale Netzwerke oder Cloud-Dienste
Verlorene oder gestohlene Firmenlaptops mit Kundendaten
Fehlkonfigurierte Datenbanken, die öffentlich zugänglich waren
Phishing-Angriffe, bei denen Zugangsdaten abgegriffen werden
Interne Fehler, etwa versehentlich versendete E-Mails mit sensiblen Informationen

Datenleck – was tun? Der 10-Schritte-Notfallplan

Wenn Sie von einem Datenleck betroffen sind, zählt jede Minute. Je schneller Sie handeln, desto geringer ist das Risiko eines Identitätsdiebstahls oder finanzieller Schäden. Folgen Sie diesem strukturierten Vorgehen:

Schritt 1: Informationen zum Vorfall einholen

Lesen Sie die Benachrichtigung des Unternehmens sorgfältig durch. Nach Art. 34 DSGVO muss der Verantwortliche Sie bei hohem Risiko unverzüglich informieren. Klären Sie folgende Fragen:

Welche Datenkategorien sind betroffen? (E-Mail, Passwort, Zahlungsdaten, Ausweisnummern)
Wann ist der Vorfall geschehen?
Wie wurde er entdeckt?
Welche Schutzmaßnahmen hat das Unternehmen getroffen?

Schritt 2: Passwort sofort ändern

Ändern Sie umgehend das Passwort des betroffenen Dienstes. Falls Sie dasselbe Passwort auch bei anderen Diensten verwenden – was ohnehin vermieden werden sollte – ändern Sie es dort ebenfalls. Nutzen Sie starke, einzigartige Passwörter mit mindestens 12 Zeichen, bestehend aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen.

Schritt 3: Zwei-Faktor-Authentifizierung aktivieren

Aktivieren Sie – sofern noch nicht geschehen – die Zwei-Faktor-Authentifizierung (2FA) für alle wichtigen Konten. Bevorzugen Sie Authenticator-Apps wie Aegis oder Hardware-Tokens gegenüber SMS-basierten Verfahren, da SIM-Swapping-Angriffe die SMS-Methode kompromittieren können.

Schritt 4: Prüfen, ob weitere Konten betroffen sind

Nutzen Sie Dienste wie "Have I Been Pwned" (haveibeenpwned.com) oder den HPI Identity Leak Checker des Hasso-Plattner-Instituts, um zu überprüfen, ob Ihre E-Mail-Adresse in weiteren bekannten Datenlecks aufgetaucht ist.

Schritt 5: Finanzkonten überwachen

Sind Zahlungsdaten betroffen, kontaktieren Sie umgehend Ihre Bank oder Ihren Kreditkartenanbieter. Lassen Sie – wenn nötig – Karten sperren und neu ausstellen. Überwachen Sie Kontoauszüge mehrere Monate lang auf ungewöhnliche Transaktionen, auch kleine Beträge (sog. "Testabbuchungen" von Betrügern).

Schritt 6: SCHUFA-Auskunft einholen

Fordern Sie nach § 34 BDSG eine kostenlose Datenkopie bei der SCHUFA (sowie bei anderen Auskunfteien wie CRIF Bürgel oder Creditreform Boniversum) an. Prüfen Sie, ob unter Ihrem Namen fremde Verträge, Konten oder Kredite abgeschlossen wurden.

Schritt 7: Anzeige bei der Polizei erstatten

Bei Hinweisen auf Identitätsdiebstahl, Betrug oder andere Straftaten sollten Sie Strafanzeige erstatten. Dies ist auch online über die Online-Wachen der jeweiligen Landespolizei möglich. Das Aktenzeichen benötigen Sie später für zivilrechtliche Ansprüche und ggf. gegenüber der SCHUFA.

Schritt 8: Datenschutzrechte geltend machen

Nach der DSGVO stehen Ihnen umfassende Rechte zu:

Auskunftsrecht (Art. 15 DSGVO): Was wurde über Sie gespeichert und an wen weitergegeben?
Recht auf Löschung (Art. 17 DSGVO): Verlangen Sie die Entfernung Ihrer Daten.
Schadensersatz (Art. 82 DSGVO): Sowohl materielle als auch immaterielle Schäden können ersetzt werden.

Schritt 9: Beschwerde bei der Aufsichtsbehörde einreichen

Sie haben das Recht, sich bei der zuständigen Datenschutzbehörde zu beschweren. In Deutschland ist dies entweder die Landesdatenschutzbehörde oder der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI). Ein ähnliches Verfahren gilt in Österreich – wie Sie dort vorgehen, erklärt unser Artikel zur Beschwerde bei der österreichischen Datenschutzbehörde.

Schritt 10: Phishing-Versuche erwarten und erkennen

Nach einem Datenleck versuchen Kriminelle oft, die erbeuteten Daten gezielt zu nutzen. Rechnen Sie mit Phishing-Mails, die Sie persönlich ansprechen und auf das Leck Bezug nehmen ("Spear Phishing"). Klicken Sie keine Links in verdächtigen E-Mails an und geben Sie niemals Zugangsdaten über E-Mail-Formulare preis.

Welche Datenkategorien sind besonders gefährlich?

Nicht alle geleakten Daten haben dasselbe Risiko. Die folgende Übersicht zeigt, welche Datenarten besonders kritisch sind und welche Sofortmaßnahmen jeweils angebracht sind:

Datenkategorie	Risikostufe	Sofortmaßnahme
E-Mail-Adresse	Niedrig bis mittel	Spam-Filter verstärken, auf Phishing achten
Passwort (Klartext)	Hoch	Sofort bei allen Diensten ändern
Passwort (gehasht)	Mittel bis hoch	Passwort ändern, 2FA aktivieren
Zahlungsdaten	Sehr hoch	Karte sperren, Bank informieren
Ausweis-/Passnummer	Sehr hoch	Anzeige, SCHUFA prüfen, Ausweis neu beantragen
Gesundheitsdaten	Sehr hoch	Krankenkasse informieren, Schadensersatz
Telefonnummer	Mittel	Auf SIM-Swapping achten, 2FA umstellen
Adresse	Mittel	Post überwachen, SCHUFA-Auskunft

Ihre DSGVO-Rechte nach einem Datenleck im Detail

Die Datenschutz-Grundverordnung stellt Betroffenen ein starkes Rechtsinstrumentarium zur Verfügung. Viele Menschen nutzen diese Möglichkeiten jedoch nicht, weil sie sie nicht kennen.

Anspruch auf Schadensersatz nach Art. 82 DSGVO

Betroffene können sowohl materielle (z. B. finanzielle Verluste, Kosten für Kreditüberwachung) als auch immaterielle Schäden (z. B. Kontrollverlust, Angst vor Missbrauch) geltend machen. Deutsche Gerichte haben Schadensersatzsummen zwischen 100 und mehreren tausend Euro zugesprochen, abhängig vom Einzelfall. Der Europäische Gerichtshof (EuGH) hat 2023 klargestellt, dass auch der bloße Kontrollverlust über personenbezogene Daten einen immateriellen Schaden darstellen kann.

Informationspflicht des Verantwortlichen

Nach Art. 34 DSGVO muss das betroffene Unternehmen Sie "in klarer und einfacher Sprache" informieren, sofern ein hohes Risiko für Ihre Rechte und Freiheiten besteht. Die Benachrichtigung muss mindestens enthalten:

Art der Verletzung des Datenschutzes
Name und Kontaktdaten des Datenschutzbeauftragten
Beschreibung der wahrscheinlichen Folgen
Beschreibung der ergriffenen Maßnahmen

Meldepflicht an die Aufsichtsbehörde

Unternehmen müssen Datenpannen innerhalb von 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde melden (Art. 33 DSGVO). Bei Verstößen drohen empfindliche Bußgelder von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes.

Präventive Maßnahmen: So schützen Sie sich vor zukünftigen Datenlecks

Ein Datenleck lässt sich nie vollständig verhindern – Sie sind auf die Sicherheitsvorkehrungen der Dienste angewiesen, die Sie nutzen. Dennoch können Sie das Risiko und die Auswirkungen erheblich reduzieren.

Passwort-Manager einsetzen

Verwenden Sie einen Passwort-Manager wie Bitwarden, KeePass oder 1Password. Diese generieren für jeden Dienst ein individuelles, komplexes Passwort. Selbst wenn ein Dienst kompromittiert wird, sind Ihre anderen Konten sicher.

Datensparsamkeit praktizieren

Geben Sie nur die Daten preis, die wirklich notwendig sind. Benötigt ein Online-Shop wirklich Ihr Geburtsdatum? Muss die App auf alle Kontakte zugreifen? Je weniger Daten im Umlauf sind, desto geringer das Risiko.

Alias-E-Mail-Adressen nutzen

Dienste wie SimpleLogin oder Addy.io ermöglichen die Erstellung von Alias-Adressen. So können Sie für jeden Dienst eine eigene E-Mail-Adresse angeben und bei einem Leck gezielt den betroffenen Alias deaktivieren.

Sichere Kurzlinks für geteilte Informationen

Beim Teilen von Links – etwa in Marketing-Kampagnen oder sozialen Netzwerken – sollten Sie auf datenschutzkonforme Dienste setzen. Lunyb bietet DSGVO-konforme URL-Verkürzung mit transparentem Tracking, ohne persönliche Daten unnötig zu sammeln. Mehr Informationen finden Sie in unserem Vergleich zwischen Lunyb und Bitly. Auch beim Einsatz von QR-Codes ist Datenschutz entscheidend – lesen Sie dazu unsere Anleitung zum sicheren Erstellen von QR-Codes.

Regelmäßige Sicherheitsprüfungen

Setzen Sie sich einen vierteljährlichen Termin im Kalender, um:

Ihre Passwörter bei kritischen Diensten zu überprüfen
Haveibeenpwned-Checks durchzuführen
Berechtigungen von Apps und Diensten zu prüfen
Alte, ungenutzte Konten zu löschen

Besondere Herausforderungen durch KI-gestützte Angriffe

Mit dem Aufkommen generativer KI haben sich die Angriffsmethoden nach Datenlecks deutlich verschärft. Kriminelle nutzen geleakte Daten, um täuschend echte, personalisierte Phishing-Nachrichten zu erzeugen. Stimmen können aus kurzen Aufnahmen geklont werden, um Enkeltrickbetrug noch überzeugender zu machen. Das neue KI-Gesetz der EU schafft hier zwar einen rechtlichen Rahmen, löst das praktische Problem für Betroffene aber nur bedingt. Umso wichtiger ist es, geleakte Daten schnell zu entwerten, indem Sie Passwörter ändern und zusätzliche Authentifizierungsfaktoren einrichten.

Was tun, wenn das Unternehmen Sie nicht informiert?

Erfahren Sie aus der Presse oder von Dritten von einem Datenleck, ohne offiziell benachrichtigt worden zu sein, haben Sie mehrere Optionen:

Auskunftsantrag stellen: Fordern Sie nach Art. 15 DSGVO eine vollständige Auskunft über alle gespeicherten Daten und etwaige Vorfälle an.
Datenschutzbeauftragten kontaktieren: Jedes verpflichtete Unternehmen muss einen Datenschutzbeauftragten benennen – seine Kontaktdaten finden Sie in der Datenschutzerklärung.
Beschwerde einreichen: Wenden Sie sich an die zuständige Landesdatenschutzbehörde oder den BfDI.
Rechtlichen Beistand suchen: Spezialisierte Anwälte für IT- und Datenschutzrecht können Schadensersatzansprüche durchsetzen.

Häufig gestellte Fragen (FAQ)

Wie erfahre ich, ob meine Daten in einem Datenleck veröffentlicht wurden?

Nutzen Sie kostenlose Dienste wie "Have I Been Pwned" (haveibeenpwned.com) oder den HPI Identity Leak Checker des Hasso-Plattner-Instituts. Diese durchsuchen bekannte Datenlecks nach Ihrer E-Mail-Adresse. Zusätzlich sind Unternehmen bei hohem Risiko verpflichtet, Sie direkt zu informieren.

Wie viel Schadensersatz kann ich bei einem Datenleck bekommen?

Die Höhe des Schadensersatzes hängt vom Einzelfall ab. Deutsche Gerichte haben bisher Summen zwischen 100 Euro (bei geringem Schaden) und mehreren tausend Euro (bei schwerwiegenden Folgen wie Identitätsdiebstahl) zugesprochen. Der EuGH hat bestätigt, dass auch immaterielle Schäden ersatzfähig sind. Für eine realistische Einschätzung empfiehlt sich eine Beratung durch einen spezialisierten Anwalt.

Muss ich jedes Passwort ändern, nachdem ich von einem Datenleck erfahren habe?

Zwingend ändern müssen Sie das Passwort des betroffenen Dienstes. Falls Sie dasselbe oder ähnliche Passwörter bei anderen Diensten nutzen – was dringend vermieden werden sollte –, ändern Sie diese ebenfalls. Nutzen Sie die Gelegenheit, einen Passwort-Manager einzuführen und für jeden Dienst ein individuelles, starkes Passwort zu erstellen.

Welche Fristen muss ein Unternehmen nach einem Datenleck einhalten?

Nach Art. 33 DSGVO müssen Unternehmen eine Datenpanne innerhalb von 72 Stunden nach Bekanntwerden der zuständigen Aufsichtsbehörde melden. Betroffene Personen sind nach Art. 34 DSGVO "unverzüglich" zu informieren, wenn ein hohes Risiko für ihre Rechte und Freiheiten besteht. Verstöße gegen diese Pflichten können Bußgelder von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes nach sich ziehen.

Kann ich mich komplett vor Datenlecks schützen?

Einen hundertprozentigen Schutz gibt es nicht, da Sie auf die Sicherheitsmaßnahmen der Dienste angewiesen sind, die Ihre Daten speichern. Sie können das Risiko und mögliche Auswirkungen aber erheblich reduzieren durch: Datensparsamkeit, einzigartige Passwörter, Zwei-Faktor-Authentifizierung, Alias-E-Mail-Adressen, regelmäßige Sicherheitsprüfungen und das Löschen ungenutzter Konten.

Fazit

Ein Datenleck ist in der heutigen digitalen Welt leider keine Ausnahme mehr, sondern ein Risiko, mit dem jeder rechnen muss. Entscheidend ist, dass Sie als Betroffener schnell, strukturiert und entschlossen handeln. Der oben beschriebene 10-Schritte-Plan hilft Ihnen, die wichtigsten Maßnahmen in der richtigen Reihenfolge umzusetzen und Schäden effektiv zu begrenzen. Nutzen Sie darüber hinaus die starken Rechte, die Ihnen die DSGVO einräumt – von Auskunft über Löschung bis hin zu Schadensersatz. Je besser Sie vorbereitet sind, desto weniger folgenreich wird der nächste Vorfall für Sie sein.