Datenleck: Was Tun als Betroffener? Der Notfallplan 2026

Ein Datenleck ist der Alptraum jedes Internetnutzers. Plötzlich kursieren Ihre E-Mail-Adresse, Ihr Passwort oder sogar Ihre Kreditkartendaten im Netz. Was viele nicht wissen: Als Betroffener haben Sie klare Rechte – und Sie sollten in den ersten 24 Stunden nach Bekanntwerden eines Vorfalls konkrete Schritte einleiten. Dieser Leitfaden zeigt Ihnen genau, was zu tun ist.

Was ist ein Datenleck überhaupt?

Ein Datenleck (englisch: Data Breach) bezeichnet den unbeabsichtigten oder unrechtmäßigen Zugriff auf personenbezogene Daten. Es handelt sich um eine Verletzung der Datensicherheit im Sinne von Art. 4 Nr. 12 DSGVO.

Datenlecks können auf verschiedene Weise entstehen:

Hackerangriffe auf Datenbanken von Unternehmen
Phishing-Attacken, bei denen Zugangsdaten abgegriffen werden
Interne Fehler, etwa falsch konfigurierte Cloud-Speicher
Verlorene oder gestohlene Geräte mit sensiblen Daten
Insider-Angriffe durch Mitarbeiter

Bekannte Beispiele der letzten Jahre sind die Vorfälle bei LinkedIn (700 Mio. Datensätze), Facebook (533 Mio. Datensätze) oder in Deutschland der Angriff auf die Deutsche Bahn und mehrere Krankenkassen. Praktisch jeder deutsche Internetnutzer ist bereits mindestens einmal von einem Datenleck betroffen gewesen – oft ohne es zu wissen.

Woran erkennen Sie, dass Sie betroffen sind?

Die Anzeichen für ein Datenleck reichen von offensichtlich bis subtil. Häufig werden Betroffene erst Monate später aufmerksam.

Typische Warnsignale

Sie erhalten eine offizielle Benachrichtigung des betroffenen Unternehmens (nach Art. 34 DSGVO Pflicht)
Ungewöhnliche Login-Versuche auf Ihren Konten
Verdächtige E-Mails mit persönlichen Daten, die Sie so nur einem bestimmten Dienst gegeben haben
Unerklärliche Abbuchungen von Ihrem Konto oder Ihrer Kreditkarte
Freunde erhalten Nachrichten von Ihnen, die Sie nie geschrieben haben
Plötzlich viele Spam- oder Phishing-Mails

Selbst prüfen: Ist meine E-Mail betroffen?

Es gibt kostenlose Dienste, mit denen Sie prüfen können, ob Ihre Daten in bekannten Lecks aufgetaucht sind:

Have I Been Pwned (haveibeenpwned.com) – die bekannteste Datenbank für Datenlecks
HPI Identity Leak Checker des Hasso-Plattner-Instituts (deutsch)
Firefox Monitor von Mozilla
Google Password Checkup im Google-Konto integriert

Geben Sie Ihre E-Mail-Adresse ein und Sie sehen, in welchen Lecks Ihre Daten aufgetaucht sind. Wichtig: Nutzen Sie nur seriöse Prüfdienste – manche vermeintlichen "Leak Checker" sind selbst Datensammler.

Sofortmaßnahmen: Die ersten 24 Stunden

Wenn Sie erfahren, dass Ihre Daten geleakt wurden, zählt jede Stunde. Kriminelle nutzen frische Datensätze oft innerhalb weniger Tage aus. Hier ist Ihr Notfallplan:

Schritt 1: Passwörter sofort ändern

Ändern Sie zuerst das Passwort des betroffenen Dienstes. Danach alle Konten, bei denen Sie dasselbe oder ein ähnliches Passwort verwendet haben. Verwenden Sie:

Mindestens 16 Zeichen
Eine Mischung aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen
Für jeden Dienst ein einzigartiges Passwort
Einen Passwort-Manager wie Bitwarden, 1Password oder KeePass

Schritt 2: Zwei-Faktor-Authentifizierung aktivieren

Aktivieren Sie 2FA (Zwei-Faktor-Authentifizierung) überall, wo es angeboten wird. Bevorzugen Sie dabei Authenticator-Apps (wie Aegis, Authy oder Google Authenticator) gegenüber SMS-Codes, die durch SIM-Swapping abgefangen werden können.

Schritt 3: Bank und Kreditkartenanbieter informieren

Wenn Zahlungsdaten betroffen sein könnten, kontaktieren Sie sofort Ihre Bank. Lassen Sie:

Ihre Karte sperren und neu ausstellen
Kontoauszüge auf verdächtige Buchungen prüfen (bis zu 8 Wochen rückwirkend anfechtbar)
Ggf. eine Warnung im SCHUFA-System hinterlegen

Schritt 4: Kontoaktivitäten prüfen

Melden Sie sich in allen wichtigen Konten an und prüfen Sie die Login-Historie. Bei Google, Microsoft, Facebook und Co. können Sie einsehen, von welchen Geräten und Standorten aus zugegriffen wurde. Melden Sie sich von allen aktiven Sitzungen ab ("Alle Geräte abmelden").

Schritt 5: Beweise sichern

Machen Sie Screenshots aller Benachrichtigungen, verdächtiger E-Mails und Kontobewegungen. Diese benötigen Sie später möglicherweise für Anzeigen oder Schadensersatzforderungen.

Ihre Rechte nach DSGVO

Die Datenschutz-Grundverordnung gibt Ihnen als Betroffenem starke Rechte. Viele Nutzer wissen gar nicht, was ihnen zusteht.

Informationspflicht des Unternehmens

Nach Art. 34 DSGVO ist ein Unternehmen verpflichtet, Sie unverzüglich zu informieren, wenn ein Datenleck ein hohes Risiko für Ihre Rechte und Freiheiten darstellt. Die Meldung muss enthalten:

Art des Vorfalls
Betroffene Datenkategorien
Mögliche Folgen
Ergriffene Gegenmaßnahmen
Kontakt des Datenschutzbeauftragten

Zusätzlich muss das Unternehmen den Vorfall innerhalb von 72 Stunden bei der zuständigen Aufsichtsbehörde melden (Art. 33 DSGVO).

Auskunftsrecht nach Art. 15 DSGVO

Sie können vom Unternehmen kostenlos verlangen zu erfahren, welche Ihrer Daten konkret betroffen sind. Die Antwort muss innerhalb eines Monats erfolgen.

Recht auf Löschung nach Art. 17 DSGVO

In vielen Fällen können Sie die Löschung Ihrer Daten verlangen. Mehr dazu in unserem Ratgeber zum Recht auf Vergessenwerden.

Schadensersatz nach Art. 82 DSGVO

Sie haben Anspruch auf Ersatz materieller und immaterieller Schäden. Deutsche Gerichte haben in den letzten Jahren zunehmend auch Schmerzensgeld für den bloßen Kontrollverlust über Daten zugesprochen – Beträge zwischen 100 und 5.000 Euro sind keine Seltenheit.

Eine vollständige Übersicht Ihrer Rechte finden Sie in unserem DSGVO-Leitfaden.

Beschwerde bei der Aufsichtsbehörde

Wenn ein Unternehmen seinen Pflichten nicht nachkommt oder Sie sich nicht ernst genommen fühlen, können Sie Beschwerde einreichen – kostenlos.

Wer ist zuständig?

In Deutschland gibt es die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) sowie 16 Landesdatenschutzbeauftragte. Zuständig ist meist die Behörde am Sitz des Unternehmens:

BfDI: für Bundesbehörden, Telekommunikations- und Postunternehmen
Landesbehörden: für Unternehmen mit Sitz im jeweiligen Bundesland
Bei EU-Unternehmen: die Aufsichtsbehörde am Hauptsitz (One-Stop-Shop-Prinzip)

So reichen Sie Beschwerde ein

Online-Formular der zuständigen Behörde nutzen
Sachverhalt chronologisch schildern
Beweise (Screenshots, E-Mails) beifügen
Bereits erfolgte Kommunikation mit dem Unternehmen dokumentieren
Konkretes Ziel benennen (Auskunft, Löschung, Bußgeld)

Übersicht: Welche Daten wurden geleakt?

Nicht jedes Datenleck ist gleich schwerwiegend. Die Risikoeinstufung hilft, die richtige Reaktion zu wählen.

Datenart	Risikostufe	Empfohlene Maßnahmen
E-Mail-Adresse	Niedrig-Mittel	Verstärkt auf Phishing achten, Spam-Filter aktivieren
Passwort (Klartext)	Hoch	Sofort überall ändern, wo verwendet
Passwort (gehasht)	Mittel-Hoch	Ändern, besonders bei schwachen Hashes (MD5, SHA-1)
Name + Adresse	Mittel	SCHUFA-Selbstauskunft, auf Post achten
Telefonnummer	Mittel	Auf Spam-Anrufe achten, ggf. Nummer wechseln
Ausweisdaten	Sehr hoch	Anzeige erstatten, SCHUFA-Sperre, Behörden informieren
Kreditkarten-/Bankdaten	Sehr hoch	Karte sperren, Bank informieren, Konto überwachen
Gesundheitsdaten	Sehr hoch	Krankenkasse informieren, Schadensersatz prüfen

Identitätsdiebstahl: Der Ernstfall

Der schlimmste Fall ist der Identitätsdiebstahl. Kriminelle nutzen Ihre Daten, um in Ihrem Namen Verträge abzuschließen, Waren zu bestellen oder Kredite aufzunehmen.

Warnzeichen für Identitätsdiebstahl

Rechnungen für nie bestellte Waren
Mahnschreiben von unbekannten Unternehmen
Ablehnung eines Kredits ohne Grund
Post von Inkasso-Firmen
Ungewöhnliche Einträge in Ihrer SCHUFA-Auskunft

Was tun bei Identitätsdiebstahl?

Strafanzeige erstatten bei der Polizei (Online-Wache möglich)
SCHUFA kontaktieren und einen Betrugsvermerk hinterlegen lassen
Betroffene Unternehmen schriftlich informieren und Verträge widerrufen
Rechnungen anfechten unter Verweis auf § 172 BGB (Vollmachtsmissbrauch)
Anwalt einschalten bei größeren Schäden

Wenn Sie Opfer von Betrugsanrufen werden, hilft unsere Anleitung zum Melden von Betrugsnummern.

Schadensersatz einfordern: So geht's

Der Europäische Gerichtshof hat 2023 klargestellt (Az. C-300/21): Auch der Kontrollverlust über personenbezogene Daten kann einen immateriellen Schaden darstellen – ohne dass Sie einen konkreten finanziellen Schaden nachweisen müssen.

Anspruchsvoraussetzungen

Ein DSGVO-Verstoß muss vorliegen
Es muss ein Schaden entstanden sein (auch immaterieller wie Ängste, Kontrollverlust)
Ein Kausalzusammenhang zwischen Verstoß und Schaden

Musterbrief für Schadensersatzforderung

Ein Schreiben sollte enthalten:

Konkreten Vorfall mit Datum
Betroffene Datenkategorien
Verweis auf Art. 82 DSGVO
Konkrete Schadenssumme (z.B. 500-2.000 €)
Angemessene Frist (2-4 Wochen)
Ankündigung rechtlicher Schritte

Viele Verbraucherschutzkanzleien bearbeiten solche Fälle mittlerweile im Kollektivverfahren gegen Erfolgsbeteiligung.

Prävention: So schützen Sie sich zukünftig

Ganz vermeiden lassen sich Datenlecks nicht – kein Unternehmen ist 100 % sicher. Aber Sie können den Schaden minimieren.

Digitale Hygiene im Alltag

Einzigartige Passwörter für jeden Dienst mittels Passwort-Manager
2FA überall aktivieren, wo möglich
Weniger Konten: Löschen Sie ungenutzte Accounts
Sparsamkeit bei Daten: Nur angeben, was wirklich nötig ist
Wegwerf-E-Mails für Newsletter und Testregistrierungen
Regelmäßige Leak-Checks alle 3-6 Monate

Sicheres Surfen ohne Datenspur

Beim Teilen von Links im Netz sollten Sie ebenfalls vorsichtig sein. Verkürzte Links können Metadaten enthalten oder auf schädliche Seiten führen. Dienste wie Lunyb bieten datenschutzfreundliche URL-Kürzung mit Klick-Analyse ohne persönliche Profilbildung – ein wichtiger Baustein für sicheres Kommunizieren. Einen ausführlichen Vergleich verschiedener Anbieter finden Sie in unserem URL-Kürzungsdienste-Test 2026.

Netzwerkschutz

Verschlüsseltes DNS (DoH/DoT) nutzen – etwa mit Cloudflare 1.1.1.1 oder Quad9
Privatsphäre-orientierte Browser wie Brave oder Firefox mit Härtung
HTTPS-Only-Modus aktivieren
Regelmäßige Updates von Betriebssystem und Apps
Anti-Tracking-Add-ons wie uBlock Origin oder Privacy Badger

Digitaler Fußabdruck kontrollieren

Prüfen Sie regelmäßig, welche Informationen über Sie online zu finden sind. Eine umgekehrte Bildersuche zeigt Ihnen, wo Ihre Fotos verwendet werden. Googeln Sie sich selbst und lassen Sie problematische Einträge löschen.

Häufig gestellte Fragen (FAQ)

Muss ein Unternehmen mich über ein Datenleck informieren?

Ja, sofern das Leck ein hohes Risiko für Ihre Rechte und Freiheiten darstellt (Art. 34 DSGVO). Die Information muss unverzüglich, in klarer Sprache und mit konkreten Handlungsempfehlungen erfolgen. Kommt das Unternehmen dieser Pflicht nicht nach, drohen Bußgelder bis zu 20 Millionen Euro oder 4 % des Jahresumsatzes.

Wie viel Schadensersatz kann ich verlangen?

Deutsche Gerichte sprechen für immaterielle Schäden meist zwischen 100 und 5.000 Euro zu, in Einzelfällen deutlich mehr. Die Höhe hängt ab von: Art und Sensibilität der Daten, Schwere des Verstoßes, Verhalten des Unternehmens (Vertuschung erhöht) und tatsächlichen Folgen für Sie. Bei Ausweis- oder Gesundheitsdaten liegen die Beträge deutlich höher.

Wie lange nach einem Datenleck kann ich Ansprüche geltend machen?

Die Verjährungsfrist für DSGVO-Schadensersatzansprüche beträgt in Deutschland drei Jahre ab Kenntnis des Vorfalls und der Person des Schuldners (§ 195 BGB). Handeln Sie dennoch zeitnah – je frischer der Vorfall, desto leichter die Beweisführung.

Bekomme ich mein Geld zurück, wenn Betrüger mein Konto leergeräumt haben?

In der Regel ja. Bei nicht autorisierten Zahlungen haften Sie höchstens mit 50 Euro (§ 675v BGB), sofern Sie nicht grob fahrlässig gehandelt haben. Voraussetzung: Sie melden den Vorfall unverzüglich Ihrer Bank – am besten binnen 24 Stunden. Bei Kreditkarten gilt das Chargeback-Verfahren.

Sollte ich meine E-Mail-Adresse nach einem Leck wechseln?

Nicht zwingend. Eine geleakte E-Mail-Adresse allein ist meist überschaubar – Sie erhalten zwar mehr Spam, aber solange das Passwort geändert und 2FA aktiviert ist, bleibt das Konto sicher. Ein Wechsel lohnt sich, wenn Sie eine sehr saubere Adresse ohne Spam wollen oder wenn die Adresse zusammen mit sensiblen Daten geleakt wurde.

Fazit

Ein Datenleck ist unangenehm, aber kein Weltuntergang – wenn Sie richtig reagieren. Die drei wichtigsten Schritte: Sofort Passwörter ändern, 2FA aktivieren und Ihre Rechte nach DSGVO einfordern. Als Betroffener haben Sie starke Rechte in Deutschland und der EU. Nutzen Sie sie. Und noch wichtiger: Bauen Sie präventiv auf gute digitale Hygiene, damit der nächste Vorfall Sie nicht mehr so hart trifft.