Datenleck: Was Tun als Betroffener

Eine E-Mail des Anbieters, eine Schlagzeile in den Nachrichten oder ein verdächtiger Login-Versuch: Plötzlich erfahren Sie, dass Ihre persönlichen Daten Teil eines Datenlecks sind. Was nun? Panik ist ein schlechter Ratgeber, aber Untätigkeit ist noch gefährlicher. Dieser Leitfaden zeigt Ihnen Schritt für Schritt, was Sie als Betroffener eines Datenlecks tun müssen – von den ersten 60 Minuten bis zu langfristigen Schutzmaßnahmen.

Was ist ein Datenleck?

Ein Datenleck (auch Datenpanne oder Data Breach) ist ein Sicherheitsvorfall, bei dem personenbezogene Daten unbefugt eingesehen, kopiert, veröffentlicht oder gestohlen werden. Dies kann durch Cyberangriffe, Insider-Bedrohungen, Fehlkonfigurationen oder physischen Diebstahl geschehen.

Nach Artikel 4 Nr. 12 DSGVO wird ein Datenleck als "Verletzung des Schutzes personenbezogener Daten" definiert. Unternehmen sind gesetzlich verpflichtet, betroffene Personen zu informieren, wenn ein hohes Risiko für deren Rechte und Freiheiten besteht (Art. 34 DSGVO).

Typische Arten von Datenlecks

Zugangsdaten-Leaks: E-Mail-Adressen und Passwörter (oft aus Hacks von Online-Diensten)
Finanzdaten: Kreditkartennummern, Kontodaten, Zahlungsinformationen
Identitätsdaten: Ausweisnummern, Adressen, Geburtsdaten
Gesundheitsdaten: Medizinische Informationen, Diagnosen
Unternehmensdaten: Interne Dokumente, Kundendaten, Geschäftsgeheimnisse

Woran erkennen Sie, dass Sie betroffen sind?

Nicht immer werden Sie direkt vom Unternehmen informiert. Es gibt jedoch mehrere zuverlässige Wege, um herauszufinden, ob Ihre Daten in einem Leck aufgetaucht sind.

Zuverlässige Prüfdienste

Have I Been Pwned (haveibeenpwned.com): Der bekannteste Dienst von Sicherheitsforscher Troy Hunt. Geben Sie Ihre E-Mail-Adresse ein und sehen Sie sofort, in welchen Lecks sie auftaucht.
HPI Identity Leak Checker: Kostenloser Dienst des Hasso-Plattner-Instituts in Potsdam. Sie erhalten die Ergebnisse per E-Mail.
Firefox Monitor: Integriert in den Firefox-Browser, basiert auf Have I Been Pwned.
Passwort-Manager: Viele moderne Passwort-Manager (Bitwarden, 1Password) warnen automatisch, wenn Ihre Zugangsdaten kompromittiert wurden.

Warnzeichen im Alltag

Ungewöhnliche Login-Versuche in Ihren Konten
Passwort-Reset-E-Mails, die Sie nicht angefordert haben
Verdächtige Abbuchungen auf Kreditkarten oder Konten
Zunahme von Phishing-E-Mails und Spam
Rechnungen oder Mahnungen für nicht getätigte Bestellungen
Benachrichtigungen über Kontoänderungen, die Sie nicht vorgenommen haben

Sofortmaßnahmen: Die ersten 60 Minuten

Zeit ist bei einem Datenleck entscheidend. Je schneller Sie handeln, desto geringer ist der potenzielle Schaden. Diese Sofortmaßnahmen sollten Sie unmittelbar nach der Entdeckung durchführen.

Schritt 1: Passwörter ändern

Ändern Sie sofort das Passwort des betroffenen Kontos. Wenn Sie dieses Passwort auch anderswo verwendet haben (was Sie nie tun sollten!), ändern Sie es überall. Verwenden Sie starke, einzigartige Passwörter für jeden Dienst. Ein detaillierter Leitfaden findet sich in unserem Ultimativen Leitfaden zur Passwortsicherheit.

Schritt 2: Zwei-Faktor-Authentifizierung aktivieren

Aktivieren Sie überall dort, wo es möglich ist, die Zwei-Faktor-Authentifizierung (2FA). Bevorzugen Sie Authenticator-Apps (Google Authenticator, Authy) oder Hardware-Schlüssel (YubiKey) gegenüber SMS, da SMS anfällig für SIM-Swapping ist.

Schritt 3: Aktive Sessions beenden

In den Sicherheitseinstellungen der meisten Dienste können Sie alle aktiven Sitzungen und Geräte einsehen und beenden. Loggen Sie Angreifer sofort aus, indem Sie überall abgemeldet werden.

Schritt 4: Konten auf Änderungen prüfen

Kontrollieren Sie, ob unbefugt Änderungen vorgenommen wurden: hinterlegte E-Mail-Adressen, Wiederherstellungsoptionen, Weiterleitungsregeln, verknüpfte Konten, Zahlungsmittel.

Schritt 5: Bank informieren

Bei Finanzdaten-Lecks: Kontaktieren Sie sofort Ihre Bank oder Ihren Kreditkartenanbieter. Sperren Sie betroffene Karten über die zentrale Sperrhotline 116 116 (kostenfrei aus Deutschland).

Mittelfristige Maßnahmen: Die ersten Tage

Nach den akuten Sofortmaßnahmen folgen wichtige Schritte zur nachhaltigen Absicherung und Schadensbegrenzung.

SCHUFA und Auskunfteien prüfen

Fordern Sie eine kostenlose Datenkopie nach Art. 15 DSGVO bei SCHUFA, Creditreform Boniversum, CRIF und infoscore Consumer Data an. So erkennen Sie, ob in Ihrem Namen Kredite oder Verträge abgeschlossen wurden.

Anzeige bei der Polizei erstatten

Bei konkretem Verdacht auf Identitätsdiebstahl oder finanziellen Schaden erstatten Sie Strafanzeige. Dies können Sie bei jeder Polizeidienststelle oder online über die Internetwachen der Bundesländer tun. Die Anzeige ist wichtig für:

Beweissicherung gegenüber Banken und Gläubigern
Versicherungsansprüche
Zivilrechtliche Schritte
Löschung falscher Einträge bei Auskunfteien

Meldung an den Datenschutzbeauftragten

Wenn ein Unternehmen ein Datenleck nicht ordnungsgemäß gemeldet hat, können Sie sich an die zuständige Landesdatenschutzbehörde oder den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) wenden. Beschwerden sind kostenlos.

E-Mail-Konto besonders sichern

Ihre primäre E-Mail-Adresse ist der Generalschlüssel zu allen anderen Konten. Sichern Sie sie mit maximaler Priorität: einzigartiges Passwort, Hardware-2FA, regelmäßige Prüfung der Weiterleitungsregeln.

Rechtliche Ansprüche nach DSGVO

Als Betroffener eines Datenlecks haben Sie umfangreiche Rechte nach der Datenschutz-Grundverordnung. Diese sollten Sie kennen und nutzen.

Recht	Artikel DSGVO	Was Sie tun können
Auskunftsrecht	Art. 15	Kostenlose Auskunft über gespeicherte Daten verlangen
Recht auf Löschung	Art. 17	Löschung Ihrer Daten fordern ("Recht auf Vergessenwerden")
Recht auf Berichtigung	Art. 16	Falsche Daten korrigieren lassen
Schadensersatz	Art. 82	Materiellen und immateriellen Schaden geltend machen
Beschwerderecht	Art. 77	Beschwerde bei Aufsichtsbehörde einreichen
Recht auf Information	Art. 34	Bei hohem Risiko: unverzügliche Benachrichtigung

Schadensersatz nach Art. 82 DSGVO

Der Europäische Gerichtshof (EuGH) hat mehrfach bestätigt, dass auch immaterielle Schäden – etwa der Kontrollverlust über personenbezogene Daten oder Angst vor Missbrauch – ersatzfähig sind. Deutsche Gerichte haben Beträge zwischen 100 und 5.000 Euro zugesprochen, je nach Schwere des Vorfalls.

Schutz vor Identitätsdiebstahl

Identitätsdiebstahl ist eine der gravierendsten Folgen eines Datenlecks. Kriminelle nutzen gestohlene Daten, um Verträge abzuschließen, Kredite aufzunehmen oder Straftaten in Ihrem Namen zu begehen.

Präventive Maßnahmen

SCHUFA-Auskunft überwachen: Regelmäßige (mindestens jährliche) Prüfung der Datenkopie
Google-Alerts einrichten: Benachrichtigung bei Erwähnung Ihres Namens im Web
Kontobewegungen überwachen: Wöchentlicher Blick auf alle Kontoauszüge
Post kontrollieren: Ungewöhnliche Rechnungen oder Vertragsbestätigungen ernst nehmen
Datensparsamkeit: Nur die notwendigsten Daten preisgeben

Wenn es zum Identitätsdiebstahl kommt

Strafanzeige erstatten und Aktenzeichen notieren
Alle Gläubiger schriftlich mit Nachweis (Anzeige) informieren
Bei Auskunfteien falsche Einträge löschen lassen
Rechtsanwalt konsultieren (viele Rechtsschutzversicherungen decken dies ab)
Verbraucherzentrale kontaktieren für Musterschreiben und Beratung

Phishing-Wellen nach Datenlecks

Nach einem großen Datenleck folgen fast immer gezielte Phishing-Wellen. Kriminelle nutzen die geleakten Informationen, um besonders glaubwürdige Betrugsversuche zu starten – oft unter dem Vorwand des betroffenen Unternehmens selbst.

Seien Sie besonders wachsam bei E-Mails, die auf das Datenleck Bezug nehmen, Sie zur "Sicherheitsprüfung" auffordern oder verkürzte Links enthalten. Prüfen Sie verdächtige Kurz-URLs vor dem Klicken mit einem Link-Checker. Dienste wie Lunyb bieten transparente Link-Vorschau-Funktionen, sodass Sie das eigentliche Ziel einer verkürzten URL sehen können, bevor Sie darauf klicken.

Weiterführende Informationen finden Sie in unserem Leitfaden Phishing-Angriffe Erkennen und Vermeiden sowie zum Thema QR-Code-Betrug (Quishing).

Langfristige Absicherung

Ein Datenleck ist oft ein Weckruf, die eigene digitale Hygiene grundlegend zu überdenken. Diese Maßnahmen schützen Sie nachhaltig.

Passwort-Manager einführen

Ein Passwort-Manager wie Bitwarden, 1Password oder KeePassXC generiert und speichert einzigartige, starke Passwörter für jeden Dienst. So wird ein einzelnes Datenleck nicht mehr zum Dominoeffekt auf alle Ihre Konten.

E-Mail-Aliase nutzen

Dienste wie SimpleLogin oder AnonAddy erlauben Ihnen, für jeden Online-Dienst eine eigene Alias-E-Mail-Adresse zu erstellen. Kommt es zu einem Leck, wissen Sie sofort, welcher Dienst betroffen ist, und können den Alias einfach deaktivieren.

Datensparsamkeit praktizieren

Bei Bestellungen nur Pflichtfelder ausfüllen
Geburtsdatum nicht bei jedem Newsletter angeben
Zweite Handynummer (Prepaid) für Online-Registrierungen
Zahlung per Rechnung oder virtueller Kreditkarte statt Speicherung von Zahlungsdaten

Regelmäßige Sicherheits-Checks

Machen Sie mindestens einmal jährlich einen umfassenden Sicherheits-Check: Passwörter aktualisieren, alte Konten löschen, 2FA-Einstellungen prüfen, Datenkopien anfordern. Prüfen Sie auch, ob Ihre Geräte sicher sind.

Was Unternehmen müssen und was oft schiefgeht

Unternehmen unterliegen strengen Meldepflichten. Nach Art. 33 DSGVO müssen sie ein Datenleck binnen 72 Stunden an die Aufsichtsbehörde melden. Bei hohem Risiko für Betroffene müssen diese nach Art. 34 DSGVO unverzüglich informiert werden.

In der Praxis werden Datenlecks jedoch oft verschleppt, verharmlost oder gar nicht kommuniziert. Als Betroffener haben Sie das Recht, konkrete Auskunft zu verlangen: Was wurde geleakt? Wann? Welche Maßnahmen wurden ergriffen? Ausweichende Antworten sind ein Warnsignal.

Fazit: Handeln statt Hoffen

Ein Datenleck ist kein Weltuntergang, aber es erfordert entschlossenes Handeln. Wer die richtigen Schritte in der richtigen Reihenfolge geht, kann den Schaden minimieren und sich für die Zukunft besser aufstellen. Die wichtigsten Lehren:

Reagieren Sie sofort – die ersten 60 Minuten sind entscheidend
Nutzen Sie Ihre DSGVO-Rechte konsequent
Dokumentieren Sie alles für mögliche rechtliche Schritte
Investieren Sie in nachhaltige Sicherheitspraktiken
Bleiben Sie wachsam gegenüber Folge-Phishing

Datenlecks sind in der digitalen Welt keine Ausnahme mehr, sondern Realität. Ihre beste Verteidigung ist Vorbereitung: starke Passwörter, 2FA, Datensparsamkeit und ein klarer Notfallplan – so wie Sie ihn jetzt haben.

Häufig gestellte Fragen (FAQ)

Muss ein Unternehmen mich über ein Datenleck informieren?

Ja, nach Art. 34 DSGVO ist ein Unternehmen verpflichtet, Sie unverzüglich zu informieren, wenn das Datenleck ein hohes Risiko für Ihre Rechte und Freiheiten darstellt. Bei geringerem Risiko reicht die Meldung an die Aufsichtsbehörde (Art. 33 DSGVO). Wird die Informationspflicht verletzt, können Sie Beschwerde beim Landesdatenschutzbeauftragten einreichen und Schadensersatz fordern.

Wie viel Schadensersatz kann ich bei einem Datenleck fordern?

Die Beträge variieren stark je nach Schwere des Vorfalls. Deutsche Gerichte haben in der Vergangenheit zwischen 100 und 5.000 Euro für immaterielle Schäden zugesprochen. Bei nachweisbarem materiellen Schaden (z.B. Identitätsdiebstahl mit finanziellen Folgen) können die Beträge deutlich höher liegen. Der EuGH hat bestätigt, dass auch Kontrollverlust und Angst vor Missbrauch ersatzfähig sind.

Kann ich alle meine Konten nach einem Datenleck einfach löschen?

Ja, nach Art. 17 DSGVO haben Sie ein Recht auf Löschung ("Recht auf Vergessenwerden"). Unternehmen müssen Ihre Daten löschen, sofern keine gesetzlichen Aufbewahrungspflichten (z.B. Rechnungsdaten nach Handelsrecht) entgegenstehen. Nutzen Sie Musterschreiben der Verbraucherzentralen für die schriftliche Aufforderung.

Wie oft sollte ich prüfen, ob meine Daten in einem Leck sind?

Prüfen Sie mindestens vierteljährlich über Dienste wie Have I Been Pwned oder den HPI Identity Leak Checker. Idealerweise abonnieren Sie Benachrichtigungsdienste, die Sie automatisch informieren, sobald Ihre E-Mail-Adresse in einem neuen Leck auftaucht. Moderne Passwort-Manager bieten diese Funktion oft integriert.

Was ist der Unterschied zwischen einem Datenleck und einem Hack?

Ein Hack ist eine Methode – der unbefugte Zugriff auf ein System durch Ausnutzung von Sicherheitslücken. Ein Datenleck ist das Ergebnis – die tatsächliche Offenlegung von Daten. Nicht jeder Hack führt zu einem Datenleck (wenn Angreifer keine Daten abgreifen können), und nicht jedes Datenleck entsteht durch Hacking (z.B. bei Fehlkonfigurationen, verlorenen Datenträgern oder Insider-Vorfällen).