Datenleck: Was Tun als Betroffener – Der Vollständige Notfallplan 2026

Ein Datenleck ist ein Vorfall, bei dem personenbezogene Daten unbeabsichtigt oder unrechtmäßig offengelegt, verändert oder gestohlen werden. Wenn Sie betroffen sind, zählt jede Stunde. Dieser Leitfaden zeigt Ihnen präzise und praxisnah, welche Schritte Sie als Betroffener unternehmen sollten – von der Erstreaktion bis zur Durchsetzung Ihrer Rechte nach der DSGVO.

Was ist ein Datenleck eigentlich?

Ein Datenleck (englisch: data breach) liegt vor, wenn vertrauliche Informationen – etwa E-Mail-Adressen, Passwörter, Zahlungsdaten oder Ausweisnummern – in unbefugte Hände gelangen. Nach Artikel 4 Nr. 12 DSGVO handelt es sich dabei um eine „Verletzung des Schutzes personenbezogener Daten". Solche Vorfälle können durch Hackerangriffe, Fehlkonfigurationen, Insider-Täter oder schlichtweg menschliches Versagen entstehen.

Typische Beispiele für Datenlecks

Großangriffe auf Online-Shops oder soziale Netzwerke
Phishing-Kampagnen, bei denen Zugangsdaten erbeutet werden
Verlorene oder gestohlene Laptops mit unverschlüsselten Datenbanken
Fehlerhafte Cloud-Speicher, die öffentlich zugänglich sind
Ransomware-Angriffe mit anschließender Datenveröffentlichung

Woran erkennen Sie, dass Sie betroffen sind?

Nicht immer werden Sie direkt informiert. Zwar schreibt die DSGVO in Artikel 34 vor, dass Verantwortliche bei hohem Risiko die Betroffenen unverzüglich benachrichtigen müssen – doch in der Praxis geschieht dies nicht immer rechtzeitig oder vollständig. Achten Sie daher auf folgende Warnsignale:

Ungewöhnliche Login-Benachrichtigungen aus fremden Ländern oder Geräten
Unerwartete Passwort-Reset-Mails, die Sie nicht angefordert haben
Spam-Welle an einer Adresse, die Sie nur für einen bestimmten Dienst nutzen
Abbuchungen auf Kreditkarten oder Bankkonten, die Sie nicht veranlasst haben
Benachrichtigungen von Diensten wie „Have I Been Pwned" oder dem HPI Identity Leak Checker

Datenleck – Was tun? Die ersten 24 Stunden

Die ersten Stunden nach Entdeckung eines Datenlecks entscheiden darüber, wie groß der Schaden ausfallen wird. Gehen Sie strukturiert vor:

Betroffene Konten identifizieren: Prüfen Sie, welche Dienste betroffen sind. Nutzen Sie dafür kostenlose Prüfdienste wie den HPI Identity Leak Checker oder Have I Been Pwned.
Passwörter sofort ändern: Beginnen Sie mit dem betroffenen Dienst, danach alle Accounts, die dasselbe Passwort nutzen.
Zwei-Faktor-Authentifizierung (2FA) aktivieren: Dies erschwert Angreifern den Zugriff selbst bei bekannten Passwörtern erheblich.
E-Mail-Postfach überprüfen: Suchen Sie nach Weiterleitungsregeln, die Angreifer heimlich eingerichtet haben könnten.
Bank und Kreditkartenanbieter informieren: Falls Zahlungsdaten betroffen sind, lassen Sie Karten sperren.
Beweise sichern: Screenshots von Benachrichtigungen, verdächtigen E-Mails und Transaktionen archivieren.
Dritte warnen: Informieren Sie Kontakte, falls Ihr E-Mail-Konto für Phishing missbraucht werden könnte.

Mittelfristige Maßnahmen: Woche 1 bis 4

Nach der akuten Schadensbegrenzung geht es darum, Ihre digitale Identität nachhaltig abzusichern.

Passwortstrategie überdenken

Verwenden Sie für jeden Dienst ein einzigartiges, komplexes Passwort. Das lässt sich nur mit einem Passwort-Manager zuverlässig umsetzen. Eine aktuelle Übersicht geeigneter Tools finden Sie in unserem Vergleich der besten Passwort-Manager 2026.

Identitätsmissbrauch beobachten

Richten Sie bei der SCHUFA eine Selbstauskunft ein (nach Art. 15 DSGVO kostenlos) und prüfen Sie, ob fremde Verträge auf Ihren Namen abgeschlossen wurden. Bei Verdacht auf Identitätsdiebstahl erstatten Sie Anzeige bei der Polizei – das Aktenzeichen benötigen Sie später für Streitigkeiten mit Unternehmen.

Alte Konten aufräumen

Nutzen Sie die Gelegenheit, nicht mehr genutzte Dienste zu kündigen und Ihre Daten dort löschen zu lassen. Je weniger Konten existieren, desto geringer die zukünftige Angriffsfläche.

Ihre Rechte als Betroffener nach der DSGVO

Die Datenschutz-Grundverordnung verleiht Ihnen weitreichende Rechte gegenüber dem Verantwortlichen des Datenlecks. Diese sollten Sie aktiv einfordern:

Recht	Rechtsgrundlage	Was es Ihnen bringt
Auskunftsrecht	Art. 15 DSGVO	Erfahren, welche Daten über Sie gespeichert sind
Recht auf Berichtigung	Art. 16 DSGVO	Falsche Daten korrigieren lassen
Recht auf Löschung	Art. 17 DSGVO	Daten vollständig entfernen lassen
Recht auf Benachrichtigung	Art. 34 DSGVO	Information über das Leck und dessen Umfang
Schadensersatzanspruch	Art. 82 DSGVO	Materieller und immaterieller Schadensersatz
Beschwerderecht	Art. 77 DSGVO	Beschwerde bei der Datenschutzaufsicht

Wie Sie Schadensersatz geltend machen

Deutsche Gerichte haben in den letzten Jahren vermehrt immateriellen Schadensersatz zugesprochen – beispielsweise für den Kontrollverlust über eigene Daten. Üblich sind Beträge zwischen 100 und 5.000 Euro. Fordern Sie das Unternehmen schriftlich auf, Ihnen innerhalb einer Frist von 14 Tagen Schadensersatz zu leisten. Bleibt dies erfolglos, kann eine Klage sinnvoll sein – oft lohnt sich die Beauftragung eines Fachanwalts für IT-Recht oder spezialisierter Legal-Tech-Dienstleister.

Beschwerde bei der Datenschutzaufsicht einreichen

Wenn ein Unternehmen Ihre Rechte missachtet oder das Datenleck nicht ordnungsgemäß behandelt, können Sie sich beim BfDI (Bundesbeauftragter für den Datenschutz und die Informationsfreiheit) oder der zuständigen Landesdatenschutzbehörde beschweren. In Österreich ist die Datenschutzbehörde (DSB) zuständig, in der Schweiz der EDÖB.

So gelingt die Beschwerde

Zuständige Behörde ermitteln: In der Regel ist dies die Behörde am Sitz des Unternehmens.
Sachverhalt schildern: Beschreiben Sie das Datenleck, Ihre Betroffenheit und bisherige Kommunikation chronologisch.
Nachweise beilegen: E-Mail-Verkehr, Screenshots, Benachrichtigungen und eigene Schriftsätze.
Antrag formulieren: Fordern Sie eine Prüfung und ggf. ein Bußgeldverfahren an.

Die Unterschiede zwischen deutschem, österreichischem und schweizerischem Datenschutzrecht erklären wir detailliert im Artikel DSG vs DSGVO: Die Unterschiede verstehen.

Phishing-Risiko nach einem Datenleck

Nach einem Datenleck steigt die Wahrscheinlichkeit, Ziel personalisierter Phishing-Angriffe zu werden, dramatisch. Angreifer kombinieren erbeutete Informationen – etwa Name, Geburtsdatum und E-Mail – zu überzeugenden Betrugsmails.

So erkennen Sie Phishing-Mails

Dringlichkeit und Drohungen („Ihr Konto wird in 24 Stunden gesperrt")
Links auf verdächtige Domains, die der echten Marke ähneln
Unpersönliche oder übertrieben personalisierte Anrede
Rechtschreibfehler oder ungewöhnliche Formulierungen
Anhänge in Formaten wie .zip, .exe oder makroaktivierte Office-Dokumente

Prüfen Sie Links vor dem Klick, indem Sie mit der Maus darüberfahren. Wenn Sie selbst Links verschicken – etwa im geschäftlichen Umfeld – nutzen Sie transparente, überprüfbare Kurz-URLs. Dienste wie Lunyb bieten etwa die Möglichkeit, Linkziele und Klickstatistiken offen einsehbar zu machen, was Vertrauen schafft und Phishing-Verdacht reduziert.

Technische Schutzmaßnahmen für die Zukunft

Ein einmaliges Datenleck sollte Anlass sein, die eigene Sicherheitsstrategie grundlegend zu überdenken. Diese Maßnahmen bieten langfristigen Schutz:

1. Passwort-Manager einsetzen

Nur ein Passwort-Manager ermöglicht wirklich für jeden Dienst ein einzigartiges, starkes Passwort. Moderne Lösungen prüfen zusätzlich, ob Ihre Zugangsdaten in bekannten Lecks auftauchen.

2. Hardware-Sicherheitsschlüssel nutzen

FIDO2-Schlüssel wie YubiKey oder Nitrokey bieten den stärksten Schutz vor Phishing und Account-Übernahmen. Sie ersetzen oder ergänzen klassische 2FA-Codes.

3. E-Mail-Aliase verwenden

Dienste wie SimpleLogin oder AnonAddy erlauben, für jede Registrierung eine eigene E-Mail-Adresse zu erzeugen. Taucht eine davon in einem Leck auf, wissen Sie sofort, welcher Dienst die Quelle war – und können den Alias einfach deaktivieren.

4. Verschlüsseltes DNS einrichten

Protokolle wie DNS over HTTPS (DoH) oder DNS over TLS (DoT) verhindern, dass Internetanbieter oder Dritte Ihre Browsing-Aktivitäten mitlesen können.

5. Festplatten und Backups verschlüsseln

Nutzen Sie BitLocker, FileVault oder VeraCrypt für lokale Daten. Cloud-Backups sollten clientseitig verschlüsselt sein, bevor sie den Rechner verlassen.

Checkliste: Datenleck – was tun?

Zeitraum	Maßnahme	Priorität
Sofort	Passwort des betroffenen Dienstes ändern	Kritisch
Sofort	2FA aktivieren	Kritisch
Innerhalb 24h	Weitere Konten mit gleichem Passwort absichern	Hoch
Innerhalb 24h	Bank/Kreditkarte informieren (falls Zahlungsdaten betroffen)	Hoch
Innerhalb 72h	Beweise sichern, Screenshots anfertigen	Mittel
Innerhalb 1 Woche	Auskunftsersuchen nach Art. 15 DSGVO stellen	Mittel
Innerhalb 2 Wochen	Schadensersatz schriftlich geltend machen	Mittel
Innerhalb 1 Monat	Beschwerde bei Datenschutzbehörde (bei Bedarf)	Niedrig
Laufend	Kontoaktivitäten und SCHUFA überwachen	Hoch

Was Unternehmen bei einem Datenleck tun müssen

Als Betroffener ist es hilfreich zu wissen, welche Pflichten den Verantwortlichen treffen – so können Sie Verstöße besser erkennen:

Meldung an die Aufsichtsbehörde binnen 72 Stunden (Art. 33 DSGVO)
Benachrichtigung der Betroffenen bei hohem Risiko (Art. 34 DSGVO)
Dokumentation des Vorfalls, der Ursachen und der getroffenen Maßnahmen
Technische und organisatorische Verbesserungen, um Wiederholungen zu verhindern

Verstößt ein Unternehmen gegen diese Pflichten, drohen Bußgelder bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist.

Besondere Fälle: Minderjährige und sensible Daten

Sind Kinder oder besonders schützenswerte Daten (Gesundheitsdaten, politische Meinungen, biometrische Daten) betroffen, gelten verschärfte Anforderungen. Eltern sollten umgehend tätig werden und ggf. anwaltliche Hilfe in Anspruch nehmen. Bei Gesundheitsdatenlecks kann zusätzlich eine Beschwerde bei der zuständigen Ärztekammer oder dem Datenschutzbeauftragten der Einrichtung sinnvoll sein.

FAQ: Häufig gestellte Fragen

Muss ich Anzeige erstatten, wenn ich von einem Datenleck betroffen bin?

Eine Strafanzeige ist nicht verpflichtend, aber sinnvoll bei Identitätsdiebstahl, Vermögensschäden oder Erpressungsversuchen. Sie dokumentiert den Vorfall offiziell und ist Voraussetzung für viele Versicherungsleistungen. Die Anzeige können Sie bei jeder Polizeidienststelle oder online über die Internetwache Ihres Bundeslandes erstatten.

Wie lange habe ich Zeit, Schadensersatz nach einem Datenleck zu fordern?

Die regelmäßige Verjährungsfrist beträgt drei Jahre und beginnt mit dem Ende des Jahres, in dem Sie Kenntnis vom Datenleck und dem Verantwortlichen erlangt haben. Bei Unkenntnis kann die Höchstfrist bis zu zehn Jahre betragen. Warten Sie dennoch nicht zu lange – Beweise werden mit der Zeit schwerer zu sichern.

Was kostet mich eine Beschwerde bei der Datenschutzbehörde?

Die Beschwerde bei der zuständigen Datenschutzaufsichtsbehörde ist für Sie als Betroffener kostenlos. Auch das Prüfverfahren verursacht keine Kosten. Lediglich wenn Sie zusätzlich eine zivilrechtliche Klage auf Schadensersatz anstreben, entstehen Gerichts- und Anwaltsgebühren, die sich nach dem Streitwert richten.

Kann ich die Löschung meiner Daten erzwingen, wenn ein Unternehmen gehackt wurde?

Ja, nach Art. 17 DSGVO („Recht auf Vergessenwerden") können Sie die Löschung Ihrer Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Der Verantwortliche muss unverzüglich – spätestens innerhalb eines Monats – reagieren. Verweigert das Unternehmen die Löschung ohne hinreichenden Grund, können Sie Beschwerde bei der Datenschutzbehörde einlegen.

Woran erkenne ich, ob meine Daten im Darknet verkauft werden?

Spezialisierte Monitoring-Dienste wie der HPI Identity Leak Checker, Have I Been Pwned oder kommerzielle Identity-Protection-Services durchsuchen bekannte Leak-Datenbanken und teilweise auch Darknet-Marktplätze. Richten Sie Benachrichtigungen für Ihre wichtigsten E-Mail-Adressen ein, damit Sie bei neuen Funden automatisch informiert werden.

Fazit: Schnell handeln, Rechte einfordern, Prävention stärken

Ein Datenleck ist kein Grund zur Panik, aber definitiv ein Weckruf. Wer strukturiert vorgeht – Passwörter ändert, 2FA aktiviert, Rechte nach DSGVO einfordert und seine Sicherheitsstrategie modernisiert – kann die Folgen deutlich begrenzen. Nutzen Sie die vorgestellte Checkliste als Fahrplan und etablieren Sie langfristig Gewohnheiten, die Sie bei zukünftigen Vorfällen souverän reagieren lassen. Ihre digitale Souveränität liegt in Ihrer Hand – und beginnt mit dem nächsten starken Passwort.