Datenleck: Was tun als Betroffener? Der Sofort-Leitfaden 2026

Ihre E-Mail-Adresse taucht in einer öffentlichen Datenbank auf, Ihre Bank meldet verdächtige Aktivitäten, oder Sie erhalten eine Benachrichtigung: „Ihre Daten wurden bei einem Sicherheitsvorfall kompromittiert." Ein Datenleck kann jeden treffen – 2025 waren allein in Deutschland Millionen Bürger von Vorfällen bei Unternehmen wie Krankenkassen, Online-Händlern und Telekommunikationsanbietern betroffen.

Doch was tun als Betroffener eines Datenlecks? Dieser Leitfaden führt Sie strukturiert durch die notwendigen Sofortmaßnahmen, rechtlichen Schritte und langfristigen Schutzstrategien – konform mit DSGVO und deutschen Regelungen.

Was ist ein Datenleck? Definition und typische Szenarien

Ein Datenleck (auch Data Breach oder Datenpanne) bezeichnet die unbefugte Offenlegung, den Verlust oder den Zugriff auf personenbezogene Daten. Nach Art. 4 Nr. 12 DSGVO liegt eine „Verletzung des Schutzes personenbezogener Daten" vor, wenn Daten unbeabsichtigt oder unrechtmäßig zerstört, verändert, offengelegt oder zugänglich gemacht werden.

Typische Ursachen für Datenlecks

• Cyberangriffe: Hackerangriffe, Ransomware, Phishing-Kampagnen
• Menschliches Versagen: Falsch adressierte E-Mails, verlorene Laptops, ungesicherte Datenbanken
• Insider-Bedrohungen: Mitarbeiter, die Daten missbrauchen
• Software-Schwachstellen: Ungepatchte Systeme, fehlerhafte Konfigurationen
• Dritte Dienstleister: Kompromittierung von Auftragsverarbeitern

Welche Daten sind besonders gefährdet?

Nicht alle Daten sind gleich sensibel. Besonders kritisch werden:

• Zugangsdaten (E-Mail + Passwort-Kombinationen)
• Zahlungsinformationen (Kreditkartennummern, IBAN)
• Ausweisdaten (Personalausweis, Reisepass)
• Gesundheitsdaten und biometrische Daten
• Sozialversicherungs- und Steuernummern

Wie erkennen Sie, ob Sie von einem Datenleck betroffen sind?

Betroffene erfahren oft erst spät von einem Datenleck – manchmal Monate nach dem eigentlichen Vorfall. Es gibt jedoch mehrere Wege, um proaktiv zu prüfen, ob Ihre Daten kompromittiert wurden.

Offizielle Benachrichtigungen

Nach Art. 34 DSGVO müssen Unternehmen Betroffene informieren, wenn ein Datenleck ein hohes Risiko für die Rechte und Freiheiten der Personen darstellt. Solche Benachrichtigungen enthalten typischerweise:

• Beschreibung der Art des Vorfalls
• Kategorien der betroffenen Daten
• Wahrscheinliche Folgen des Datenlecks
• Empfohlene Schutzmaßnahmen
• Kontaktdaten des Datenschutzbeauftragten

Selbstprüfung mit Have I Been Pwned & Co.

Kostenlose Dienste helfen bei der Überprüfung:

• Have I Been Pwned (HIBP): Datenbank mit über 12 Milliarden kompromittierten Accounts
• HPI Identity Leak Checker: Deutscher Dienst vom Hasso-Plattner-Institut
• Firefox Monitor: Basiert auf HIBP-Daten mit deutscher Oberfläche

Warnsignale im Alltag

Auch ohne offizielle Meldung können Anzeichen auf einen Missbrauch hindeuten:

• Unbekannte Anmeldeversuche in Ihren Konten
• Verdächtige Transaktionen auf Kontoauszügen
• Plötzlicher Anstieg von Spam und Phishing-E-Mails
• Mahnungen für Bestellungen, die Sie nicht getätigt haben
• Unerwartete SMS-Codes für Zwei-Faktor-Authentifizierung

Die 7 wichtigsten Sofortmaßnahmen bei einem Datenleck

Wenn Sie feststellen, dass Sie von einem Datenleck betroffen sind, zählt jede Stunde. Handeln Sie strukturiert nach dieser Prioritätenliste:

1. Passwörter sofort ändern

Ändern Sie zuerst das Passwort des betroffenen Dienstes, dann alle Konten mit demselben oder ähnlichem Passwort. Verwenden Sie einen Passwort-Manager, um für jeden Dienst ein einzigartiges, starkes Passwort zu erstellen.

2. Zwei-Faktor-Authentifizierung (2FA) aktivieren

Aktivieren Sie 2FA überall, wo möglich – vorzugsweise mit einer Authenticator-App (Aegis, 2FAS) oder einem Hardware-Token (YubiKey), nicht per SMS.

3. Finanzkonten überwachen

Prüfen Sie Kontoauszüge und Kreditkartenabrechnungen der letzten 90 Tage. Bei verdächtigen Transaktionen:

1. Karte sofort über 116 116 (deutscher Sperr-Notruf) sperren lassen
2. Transaktion bei der Bank widersprechen
3. Neue Karte beantragen

4. SCHUFA-Selbstauskunft einholen

Fordern Sie eine kostenlose Datenkopie nach Art. 15 DSGVO bei der SCHUFA an. So erkennen Sie, ob unter Ihrem Namen Kredite oder Verträge abgeschlossen wurden.

5. Betroffene Dienste kontaktieren

Fordern Sie vom verantwortlichen Unternehmen konkrete Informationen an:

• Welche Ihrer Daten sind genau betroffen?
• Wann fand der Vorfall statt?
• Welche Schutzmaßnahmen wurden ergriffen?
• Wurde die zuständige Aufsichtsbehörde informiert?

6. Beweise sichern

Speichern Sie alle Benachrichtigungen, E-Mails und Screenshots. Diese Dokumentation ist wichtig für spätere Schadensersatzansprüche.

7. Aufmerksam bleiben

Erwarten Sie in den kommenden Wochen verstärkte Phishing-Versuche mit Bezug auf das Datenleck. Klicken Sie niemals auf Links in unerwarteten E-Mails.

Rechtliche Schritte: Ihre Rechte nach DSGVO

Die DSGVO gibt Betroffenen eines Datenlecks umfangreiche Rechte. Diese sollten Sie kennen und aktiv nutzen.

Auskunftsrecht (Art. 15 DSGVO)

Sie können vom verantwortlichen Unternehmen kostenlos eine vollständige Kopie aller über Sie gespeicherten Daten verlangen – innerhalb eines Monats nach Antragstellung.

Recht auf Löschung (Art. 17 DSGVO)

Nach einem Datenleck können Sie die Löschung Ihrer Daten fordern, sofern kein legitimer Grund für die weitere Speicherung besteht.

Schadensersatz (Art. 82 DSGVO)

Bei materiellen oder immateriellen Schäden haben Sie Anspruch auf Schadensersatz. Deutsche Gerichte haben in den letzten Jahren zunehmend Schmerzensgeld zwischen 100 € und 5.000 € pro Fall zugesprochen – bei besonders schweren Fällen auch deutlich mehr.

Beschwerde bei der Aufsichtsbehörde

Sind Sie mit der Reaktion des Unternehmens unzufrieden, können Sie eine Beschwerde beim Bundesbeauftragten für den Datenschutz (BfDI) oder der zuständigen Landesdatenschutzbehörde einreichen. Eine ausführliche Anleitung finden Sie in unserem Artikel BfDI Beschwerde einreichen: Schritt für Schritt.

Übersicht: Meldestellen und Anlaufstellen

Situation	Zuständige Stelle	Kontakt
Datenschutzverstoß durch Unternehmen	BfDI / Landesdatenschutzbehörde	bfdi.bund.de
Finanzieller Betrug	Polizei (Online-Wache)	online-strafanzeige.de
Identitätsdiebstahl	Polizei + SCHUFA	110 / meineschufa.de
Karten-/Kontosperrung	Sperr-Notruf	116 116
Cybercrime	ZAC (Zentrale Ansprechstellen Cybercrime)	bka.de/cybercrime
Verbraucherberatung	Verbraucherzentrale	verbraucherzentrale.de

Identitätsdiebstahl: Der Ernstfall

Wird Ihre Identität nach einem Datenleck missbraucht – etwa für Kreditbetrug oder Online-Bestellungen –, spricht man von Identitätsdiebstahl. Dies erfordert besonderes Vorgehen.

Sofortmaßnahmen bei Identitätsdiebstahl

1. Strafanzeige erstatten: Online oder direkt bei der Polizei. Sie benötigen das Aktenzeichen für weitere Schritte.
2. Betroffene Unternehmen informieren: Widersprechen Sie unrechtmäßigen Forderungen schriftlich unter Beifügung der Strafanzeige.
3. SCHUFA-Eintrag prüfen und korrigieren: Fehlerhafte Einträge müssen entfernt werden.
4. Betrugsnummern melden: Erhalten Sie verdächtige Anrufe im Zusammenhang mit dem Vorfall, folgen Sie unserer Anleitung zum Melden von Betrugsnummern.
5. Anwalt konsultieren: Bei größeren Schäden lohnt sich fachlicher Rat, oft übernimmt die Rechtsschutzversicherung die Kosten.

E-Mail-Konto kompromittiert – höchste Priorität

Das E-Mail-Konto ist die zentrale Schnittstelle für Passwort-Zurücksetzungen. Wurde es kompromittiert, gehen Sie sofort vor:

• Passwort ändern und 2FA aktivieren
• Weiterleitungsregeln in den Einstellungen prüfen (Angreifer richten oft heimliche Weiterleitungen ein)
• Angemeldete Geräte und Sitzungen überprüfen und unbekannte abmelden
• Wiederherstellungs-E-Mail und -Telefonnummer prüfen
• Passwörter aller verknüpften Konten ändern

Prävention: So minimieren Sie das Risiko zukünftiger Datenlecks

Vollständigen Schutz vor Datenlecks gibt es nicht – aber Sie können Ihr Risiko und den potenziellen Schaden erheblich reduzieren.

Digitale Hygiene

• Einzigartige Passwörter: Jeder Dienst benötigt sein eigenes, starkes Passwort
• Passwort-Manager: Zentrale, verschlüsselte Verwaltung aller Zugangsdaten
• 2FA überall: Besonders bei E-Mail, Banking, Social Media
• Software aktuell halten: Betriebssystem, Browser und Apps regelmäßig aktualisieren
• Datensparsamkeit: Geben Sie nur die absolut notwendigen Daten preis

E-Mail-Aliase nutzen

Verwenden Sie für verschiedene Dienste unterschiedliche E-Mail-Aliase (z. B. mit Diensten wie SimpleLogin oder AnonAddy). Kommt es zu einem Datenleck, wissen Sie sofort, welcher Anbieter kompromittiert wurde – und können den Alias einfach deaktivieren.

URL-Verkürzung mit Tracking-Schutz

Beim Teilen von Links in Newslettern, sozialen Medien oder auf Ihrer Website hinterlässt jede geklickte URL Spuren. Datenschutzfreundliche URL-Shortener wie Lunyb (lunyb.com) reduzieren die Preisgabe unnötiger Metadaten und bieten transparente Klick-Statistiken ohne aggressive Nutzerprofilierung – ein wichtiger Baustein für Unternehmen und Privatpersonen, die Wert auf Datenschutz legen.

Sicherer Browser und verschlüsselte Kommunikation

Die Wahl des Browsers beeinflusst, wie viele Daten überhaupt gesammelt werden können. Unser Artikel zu den besten datenschutzfreundlichen Browsern 2026 bietet einen Überblick. Ergänzend hilft verschlüsseltes DNS (DoH/DoT), um DNS-Abfragen vor Dritten zu schützen.

Regelmäßige Sicherheitsroutine

Etablieren Sie eine feste Routine:

• Monatlich: Kontoauszüge und Kreditkartenabrechnungen prüfen
• Quartalsweise: HIBP-Check der wichtigsten E-Mail-Adressen
• Jährlich: SCHUFA-Selbstauskunft einholen, Passwörter kritischer Konten wechseln

Weitere Best Practices – auch mit Blick auf die DACH-Region – finden Sie in unserem Leitfaden Cybersicherheit in der Schweiz 2026, dessen Empfehlungen weitgehend auch für Deutschland und Österreich gelten.

Häufige Fehler nach einem Datenleck

Aus der Beratungspraxis lassen sich typische Fehler ableiten, die Betroffene vermeiden sollten:

1. Panik und übereiltes Handeln: Löschen Sie keine E-Mails oder Beweise, bevor Sie diese gesichert haben.
2. Ignorieren der Benachrichtigung: Auch wenn scheinbar nichts passiert – Angreifer nutzen Daten oft erst nach Monaten.
3. Verwendung derselben neuen Passwörter: Ändern Sie nicht nur auf ein neues Standardpasswort für alle Konten.
4. Klicks auf „Wir helfen Ihnen"-E-Mails: Betrüger imitieren nach bekannten Datenlecks oft die betroffenen Unternehmen.
5. Verzicht auf rechtliche Schritte: Viele Betroffene machen keine Ansprüche geltend – dabei ist die Rechtslage klar.

Fazit: Struktur schlägt Panik

Ein Datenleck ist unangenehm, aber kein Weltuntergang – vorausgesetzt, Sie handeln strukturiert. Die wichtigsten Schritte sind: Passwörter ändern, 2FA aktivieren, Finanzkonten überwachen, Beweise sichern und rechtliche Optionen prüfen. Langfristig schützen Sie sich durch konsequente digitale Hygiene: einzigartige Passwörter, Passwort-Manager, sparsame Datenweitergabe und datenschutzfreundliche Tools.

Denken Sie daran: Auch wenn Sie ein Datenleck nicht verhindern konnten, haben Sie umfangreiche Rechte nach der DSGVO. Nutzen Sie diese – sowohl zum Schutz Ihrer Daten als auch zur Durchsetzung von Schadensersatzansprüchen.

Häufig gestellte Fragen (FAQ)

Wie lange hat ein Unternehmen Zeit, ein Datenleck zu melden?

Nach Art. 33 DSGVO muss das Unternehmen die zuständige Aufsichtsbehörde innerhalb von 72 Stunden nach Bekanntwerden informieren. Betroffene müssen „unverzüglich" informiert werden, wenn ein hohes Risiko besteht – konkrete Fristen für die Benachrichtigung von Betroffenen nennt die DSGVO nicht, aber Verzögerungen können bußgeldpflichtig sein.

Kann ich Schadensersatz verlangen, wenn kein finanzieller Schaden entstanden ist?

Ja. Der Europäische Gerichtshof hat mehrfach bestätigt, dass auch immaterielle Schäden – etwa Kontrollverlust über eigene Daten, Sorge vor Missbrauch oder emotionale Belastung – ersatzfähig sind. Deutsche Gerichte sprechen zunehmend Beträge zwischen 100 € und mehreren tausend Euro zu.

Muss ich sofort alle Passwörter ändern oder nur das betroffene?

Ändern Sie zuerst das Passwort des betroffenen Dienstes. Anschließend alle Konten, bei denen Sie dasselbe oder ein ähnliches Passwort verwendet haben. Mittelfristig sollten Sie mit einem Passwort-Manager auf ein System einzigartiger Passwörter pro Dienst umsteigen.

Sind kostenlose Datenleck-Checks wie „Have I Been Pwned" sicher?

Ja, seriöse Dienste wie HIBP oder der HPI Identity Leak Checker sind sicher. Sie prüfen Ihre E-Mail-Adresse gegen bekannte Leak-Datenbanken, ohne selbst neue Angriffsflächen zu schaffen. HIBP verwendet zudem sichere Hash-Verfahren, sodass Ihre Anfrage nicht im Klartext übertragen wird.

Was ist der Unterschied zwischen einer Datenpanne und einem Datenleck?

Umgangssprachlich werden die Begriffe oft synonym verwendet. Rechtlich spricht die DSGVO von einer „Verletzung des Schutzes personenbezogener Daten". Eine Datenpanne kann auch versehentlich passieren (z. B. E-Mail an falschen Empfänger), während ein Datenleck meist auf einen Sicherheitsvorfall oder Angriff hindeutet. Die Melde- und Informationspflichten sind in beiden Fällen identisch.