Eine E-Mail vom Onlineshop, eine Sicherheitswarnung des Mobilfunkanbieters oder eine Nachricht über einen Cyberangriff: Plötzlich steht fest, dass persönliche Daten möglicherweise in fremde Hände gelangt sind. Was zunächst nach einem technischen Problem des betroffenen Unternehmens klingt, kann für Verbraucher erhebliche Folgen haben. Gestohlene Passwörter ermöglichen den Zugriff auf Benutzerkonten, Zahlungsdaten können missbraucht werden und persönliche Informationen erleichtern Betrugsversuche, bei denen Kriminelle unter fremdem Namen einkaufen oder Verträge abschließen.

Nach einem Datenleck kommt es vor allem auf drei Dinge an: Betroffene Daten feststellen, gefährdete Zugänge absichern und möglichen Missbrauch überwachen. Sind Passwörter oder Zahlungsinformationen betroffen, solltest du sofort handeln. Wurden dagegen ausschließlich Name und E-Mail-Adresse veröffentlicht, besteht häufig zunächst ein erhöhtes Risiko für gezielte Betrugsnachrichten. Nicht jede Datenpanne erfordert deshalb eine neue Bankverbindung, einen neuen Personalausweis oder den Austausch sämtlicher Passwörter.

Entscheidend ist, die tatsächliche Gefährdung richtig einzuschätzen. Wer überstürzt auf einen Link in einer vermeintlichen Sicherheitswarnung klickt, kann Angreifern unbeabsichtigt weitere Informationen liefern. Wer einen nachweislichen Kontomissbrauch dagegen ignoriert, riskiert finanzielle Schäden und möglicherweise langwierige Auseinandersetzungen mit Banken oder Unternehmen. Mit einem strukturierten Vorgehen lässt sich das Risiko deutlich reduzieren.

Datenleck entdeckt: Diese sieben Schritte solltest du sofort erledigen

Die ersten Maßnahmen hängen davon ab, welche Informationen betroffen sind und ob bereits Hinweise auf einen Missbrauch vorliegen. Ein gestohlenes Passwort für das E-Mail-Postfach ist besonders kritisch, weil darüber häufig weitere Konten zurückgesetzt werden können. Bei veröffentlichten Kreditkartendaten muss dagegen die Absicherung des Zahlungsmittels im Vordergrund stehen.

Die folgende Checkliste hilft dir, die unmittelbar notwendigen Schritte in eine sinnvolle Reihenfolge zu bringen.

Checkliste: Sofortmaßnahmen nach einem Datenleck

1. Warnung überprüfen: Rufe die offizielle Website oder App des betroffenen Unternehmens selbst auf. Nutze keine Links aus verdächtigen E-Mails oder SMS.
2. Betroffene Daten feststellen: Kläre, ob Passwörter, E-Mail-Adressen, Zahlungsdaten, Ausweisdokumente oder andere persönliche Informationen betroffen sind.
3. Gefährdete Passwörter ändern: Ersetze kompromittierte Passwörter und ändere sie überall dort, wo du dieselben Zugangsdaten verwendet hast.
4. Konten zusätzlich absichern: Aktiviere die Zwei-Faktor-Authentifizierung und überprüfe vorhandene Anmeldungen sowie Wiederherstellungsoptionen.
5. Bank und Zahlungsmittel schützen: Sind Zahlungsdaten betroffen oder erscheinen verdächtige Transaktionen, kontaktiere unverzüglich deine Bank beziehungsweise den Kartenanbieter.
6. Beweise sichern: Speichere die Mitteilung über das Datenleck, verdächtige Nachrichten und gegebenenfalls Kontoauszüge oder andere relevante Unterlagen.
7. Missbrauch beobachten: Kontrolliere in den folgenden Wochen deine Konten, ungewöhnliche Anmeldeversuche und gegebenenfalls deine Einträge bei Wirtschaftsauskunfteien.

Die Reihenfolge ist kein starres Verfahren. Entdeckst du bereits eine unberechtigte Überweisung, hat die sofortige Kontaktaufnahme mit deiner Bank Vorrang vor der weiteren Untersuchung des Datenlecks. Hast du dagegen lediglich eine Meldung über veröffentlichte Kontaktdaten erhalten, solltest du zunächst klären, ob überhaupt Zugangsdaten oder Finanzinformationen betroffen sind.

Wichtig ist außerdem, zwischen einem Datenleck bei einem Unternehmen und einem direkten Angriff auf dein eigenes Gerät zu unterscheiden. Hat ein Onlineshop Kundendaten verloren, bedeutet das nicht automatisch, dass dein Computer mit Schadsoftware infiziert ist. Gibt es jedoch Hinweise auf einen Trojaner, einen Keylogger oder unerklärliche Aktivitäten auf deinem Gerät, solltest du es gegebenenfalls vom Internet trennen und die Sicherheitsmaßnahmen über ein vertrauenswürdiges anderes Gerät durchführen.

Zuerst klären: Welche persönlichen Daten sind tatsächlich betroffen?

Der Begriff Datenleck beschreibt unterschiedliche Sicherheitsvorfälle. Manchmal werden Kundendaten durch einen Cyberangriff gestohlen. In anderen Fällen sind Informationen aufgrund einer technischen Fehlkonfiguration öffentlich zugänglich oder werden versehentlich an unberechtigte Empfänger verschickt. Nicht immer ist unmittelbar bekannt, ob Dritte die Daten tatsächlich heruntergeladen oder missbraucht haben.

Für die persönliche Risikoeinschätzung ist deshalb entscheidend, was das betroffene Unternehmen konkret mitteilt. Besonders relevant sind die Art der Daten, der Zeitraum des Vorfalls und die Frage, ob ein unbefugter Zugriff bestätigt wurde oder lediglich nicht ausgeschlossen werden kann.

Eine Sicherheitswarnung immer über einen unabhängigen Weg überprüfen

Kriminelle nutzen öffentlich bekannt gewordene Datenlecks häufig als Anlass für zusätzliche Betrugsversuche. Eine Nachricht mit dem Betreff „Ihre persönlichen Daten wurden gestohlen – bestätigen Sie sofort Ihr Konto“ kann deshalb selbst Teil eines Angriffs sein.

Öffne die Website des Unternehmens direkt über eine selbst eingegebene Internetadresse oder nutze dessen offizielle App. Prüfe dort, ob eine entsprechende Sicherheitsmeldung veröffentlicht wurde. Falls du unsicher bist, kontaktiere den Kundenservice über eine unabhängig recherchierte Telefonnummer oder E-Mail-Adresse.

Besonders verdächtig sind Nachrichten, die eine sofortige Kontosperrung androhen, zur Eingabe von Passwörtern auffordern oder angebliche Sicherheitsgebühren verlangen. Auch eine korrekte persönliche Anrede, deine echte Kundennummer oder eine bekannte Bestellnummer beweisen nicht, dass eine Nachricht tatsächlich vom Unternehmen stammt. Gerade diese Informationen könnten bereits Bestandteil des Datenlecks sein.

Welche Informationen du vom betroffenen Unternehmen benötigst

Eine allgemeine Aussage wie „Ein Teil unserer Kundendaten könnte betroffen sein“ reicht für eine zuverlässige persönliche Einschätzung häufig nicht aus. Bitte das Unternehmen gegebenenfalls schriftlich um eine möglichst konkrete Erklärung, welche deiner Daten von dem Vorfall betroffen sind.

Dabei sollte insbesondere geklärt werden, ob Zugangsdaten im Klartext oder in geschützter Form gespeichert waren, ob Zahlungsinformationen vollständig oder teilweise betroffen sind und welche Maßnahmen das Unternehmen bereits ergriffen hat. Ebenso relevant ist, ob es Hinweise auf eine Veröffentlichung, einen tatsächlichen Datenabfluss oder einen anschließenden Missbrauch gibt.

Nicht jedes Unternehmen kann unmittelbar nach Bekanntwerden eines Cyberangriffs sämtliche Einzelheiten liefern. Neue Erkenntnisse können sich erst im Verlauf einer technischen Untersuchung ergeben. Eine anfängliche Entwarnung sollte deshalb nicht als dauerhafte Garantie verstanden werden. Bewahre spätere Mitteilungen auf und überprüfe, ob sich die Risikoeinschätzung verändert.

Welche Daten gestohlen wurden, bestimmt das persönliche Risiko

Ein Datenleck kann völlig unterschiedliche Folgen haben. Eine veröffentlichte E-Mail-Adresse lässt sich beispielsweise für Spam und gezielte Phishing-Versuche nutzen. Ein gestohlenes Passwort kann dagegen unmittelbar den Zugriff auf ein Benutzerkonto ermöglichen. Bei vollständigen Kreditkartendaten, Ausweiskopien oder umfangreichen persönlichen Datensätzen entstehen zusätzliche Gefahren.

Die folgende Übersicht zeigt, welche unmittelbaren Maßnahmen je nach Datenart sinnvoll sind.

Besonders problematisch ist die Kombination mehrerer Informationen. Name, Anschrift und Geburtsdatum wirken einzeln häufig wenig gefährlich. Zusammen mit einer Ausweiskopie, Telefonnummer oder Kundennummer können sie jedoch für betrügerische Identitätsprüfungen und glaubwürdig wirkende Kontaktversuche verwendet werden.

Umgekehrt bedeutet ein Datenleck nicht automatisch, dass sämtliche denkbaren Risiken eingetreten sind. Ist beispielsweise nur die E-Mail-Adresse eines Kunden veröffentlicht worden, besteht zunächst kein Grund, allein deswegen das Girokonto zu kündigen. Ein angemessener Schutz orientiert sich an den tatsächlich betroffenen Informationen und nicht an der maximal vorstellbaren Schadenshöhe.

Passwörter gestohlen: So verhinderst du eine Übernahme deiner Konten

Sind Passwörter betroffen, gehört deren Änderung zu den dringendsten Maßnahmen. Besonders gefährlich wird die Situation, wenn dasselbe Passwort für mehrere Dienste verwendet wurde. Angreifer können gestohlene Kombinationen aus E-Mail-Adresse und Passwort automatisiert bei anderen Plattformen ausprobieren. Dieses Verfahren wird als Credential Stuffing bezeichnet.

Angenommen, du hast für einen älteren Onlineshop dasselbe Passwort verwendet wie für dein E-Mail-Postfach und einen Bezahldienst. Wird das Passwort des Onlineshops gestohlen, sind möglicherweise auch die beiden anderen Zugänge gefährdet. Es reicht dann nicht aus, ausschließlich das Passwort beim ursprünglichen Anbieter zu ändern.

Ersetze sämtliche tatsächlich gefährdeten Passwörter durch jeweils eigenständige, ausreichend starke Zugangsdaten. Ein Passwortmanager kann dabei helfen, lange und unterschiedliche Passwörter zu erzeugen und sicher zu verwalten. Falls ein Dienst Passkeys unterstützt, kann auch diese Anmeldemethode eine geeignete Alternative darstellen.

Eine pauschale Änderung aller Passwörter ist dagegen nicht bei jedem Datenleck erforderlich. Sind nachweislich ausschließlich öffentlich sichtbare Profildaten betroffen und gibt es keine weiteren Auffälligkeiten, ist die Sicherung tatsächlich gefährdeter Zugänge vorrangig. Ein Passwortwechsel ist kein Ersatz für die Klärung, welche Informationen gestohlen wurden.

Warum dein E-Mail-Konto besondere Aufmerksamkeit verdient

Das E-Mail-Postfach ist häufig der zentrale Zugang zu deiner digitalen Identität. Über die Funktion „Passwort vergessen“ können sich viele andere Benutzerkonten zurücksetzen lassen. Wer Zugriff auf dein Postfach erhält, kann möglicherweise Bestätigungsnachrichten abfangen, Sicherheitswarnungen löschen oder weitere Konten übernehmen.

Besteht der Verdacht, dass dein E-Mail-Konto kompromittiert wurde, solltest du zunächst über ein vertrauenswürdiges Gerät ein neues Passwort festlegen und die Zwei-Faktor-Authentifizierung aktivieren. Überprüfe anschließend die angemeldeten Geräte und beende unbekannte Sitzungen. Auch hinterlegte Wiederherstellungsadressen, Telefonnummern und gegebenenfalls App-Passwörter oder verbundene Anwendungen gehören auf den Prüfstand.

Besonders häufig übersehen werden automatische Weiterleitungen und Filterregeln. Ein Angreifer könnte beispielsweise eine Regel eingerichtet haben, die eingehende Nachrichten einer Bank automatisch an eine fremde E-Mail-Adresse weiterleitet oder Sicherheitswarnungen unmittelbar löscht. Solche Einstellungen bleiben möglicherweise bestehen, obwohl das eigentliche Passwort bereits geändert wurde.

Überprüfe deshalb auch das Postfach selbst auf verdächtige Veränderungen. Falls du keinen Zugriff mehr erhältst, nutze ausschließlich das offizielle Wiederherstellungsverfahren des Anbieters. Informiere bei einem bestätigten Missbrauch gegebenenfalls auch Kontakte, wenn über dein Konto betrügerische Nachrichten versendet wurden.

Zwei-Faktor-Authentifizierung schützt zusätzlich

Bei der Zwei-Faktor-Authentifizierung reicht das Passwort allein nicht aus, um sich anzumelden. Zusätzlich wird beispielsweise eine Bestätigung über eine Authenticator-App, einen Sicherheitsschlüssel oder eine andere geeignete Methode benötigt.

Diese zusätzliche Absicherung kann verhindern, dass ein gestohlenes Passwort unmittelbar zur Kontoübernahme führt. Sie ist allerdings kein vollständiger Schutz gegen sämtliche Angriffsmethoden. Kriminelle können versuchen, Nutzer zur Preisgabe eines Einmalcodes oder zur Bestätigung einer betrügerischen Anmeldung zu bewegen.

Bestätige deshalb niemals eine Anmeldung, die du nicht selbst begonnen hast. Gib Einmalcodes nicht am Telefon weiter und bewahre Wiederherstellungscodes sicher auf. Wenn du bereits einen solchen Code an Dritte übermittelt hast, überprüfe die betroffenen Zugänge unverzüglich auf fremde Sitzungen und geänderte Sicherheitseinstellungen.

Kreditkarte oder Bankdaten im Datenleck: Was jetzt mit deinem Geld passiert

Sobald Zahlungsinformationen betroffen sind, sollte der Schutz vor finanziellen Schäden Vorrang haben. Dabei ist zwischen Kreditkartendaten, einer veröffentlichten IBAN und einem tatsächlich kompromittierten Onlinebanking-Zugang zu unterscheiden.

Wurden vollständige Kartendaten gestohlen oder gibt es Hinweise auf unberechtigte Zahlungen, kontaktiere sofort den Kartenanbieter. Dieser kann beurteilen, ob eine sofortige Sperrung notwendig ist und eine Ersatzkarte ausgestellt werden sollte. Eine Sperrung ist gegebenenfalls über den zentralen Sperr-Notruf 116 116 möglich. Bei Kreditkarten hängt dies davon ab, ob der jeweilige Herausgeber an dem Verfahren teilnimmt. Alternativ erreichst du den Anbieter über dessen eigene Sperrhotline.

Sind Zugangsdaten zum Onlinebanking betroffen, solltest du unmittelbar die Bank informieren und den Zugang gegebenenfalls sperren lassen. Kontrolliere außerdem, ob neue Zahlungsempfänger, Daueraufträge oder andere Einstellungen ohne deine Zustimmung angelegt wurden.

Reicht eine gestohlene IBAN aus, um das Konto leerzuräumen?

Eine IBAN allein ermöglicht normalerweise keinen direkten Zugriff auf dein Onlinebanking. Für eine reguläre Anmeldung oder Überweisung sind zusätzliche Sicherheitsmerkmale erforderlich. Trotzdem ist eine veröffentlichte Kontoverbindung nicht völlig harmlos.

Kriminelle können versuchen, eine fremde IBAN für unberechtigte Lastschriften zu verwenden. Deshalb solltest du deine Kontobewegungen besonders aufmerksam kontrollieren, wenn deine Bankverbindung Bestandteil eines Datenlecks war.

Für SEPA-Basislastschriften gilt grundsätzlich: Eine autorisierte Lastschrift kannst du innerhalb von acht Wochen ab Belastung ohne Angabe von Gründen zurückgeben. Bei nicht autorisierten Lastschriften besteht grundsätzlich eine Frist von bis zu 13 Monaten. Einen unberechtigten Zahlungsvorgang solltest du deiner Bank dennoch unverzüglich nach Entdeckung melden.

Eine neue IBAN ist nicht automatisch erforderlich. Sie verursacht zusätzlichen organisatorischen Aufwand, weil Arbeitgeber, Vermieter, Versicherungen und andere Zahlungspartner informiert werden müssen. Ob ein Kontowechsel notwendig oder sinnvoll ist, solltest du bei konkretem Missbrauch mit deiner Bank besprechen.

Was tun, wenn bereits Geld verschwunden ist?

Entdeckst du eine Überweisung, Kartenzahlung oder Lastschrift, die du nicht veranlasst hast, melde den Vorgang umgehend deiner Bank. Lass gefährdete Zugänge und Zahlungsmittel sperren und fordere bei einer betrügerischen Überweisung einen sofortigen Rückruf des Zahlungsauftrags an. Ob das Geld noch zurückgeholt werden kann, hängt insbesondere davon ab, ob und wie schnell die beteiligten Banken reagieren können.

Bei nicht autorisierten Zahlungen bestehen gesetzliche Erstattungsansprüche. Ob und in welchem Umfang ein Kunde selbst haftet, kann allerdings vom Einzelfall abhängen, etwa bei Streit über die Autorisierung oder den Vorwurf grober Fahrlässigkeit. Eine Bank darf die Erstattung nicht allein deshalb pauschal verweigern, weil Zugangsdaten im Zusammenhang mit einem Datenleck betroffen waren.

Dokumentiere jede auffällige Transaktion mit Betrag, Buchungsdatum und Empfänger. Fordere eine schriftliche Bestätigung deiner Schadensmeldung und bewahre den gesamten Schriftverkehr auf. Wird eine Erstattung verweigert, können eine Verbraucherzentrale, die zuständige Schlichtungsstelle oder eine anwaltliche Prüfung weiterhelfen.

Ausweisdaten gestohlen: Wenn Kriminelle deine Identität missbrauchen

Gelangen Ausweiskopien, Geburtsdatum, Anschrift und weitere persönliche Informationen in falsche Hände, können Betrüger versuchen, unter deinem Namen Verträge abzuschließen oder Waren zu bestellen. Auch die missbräuchliche Eröffnung von Konten und betrügerische Kreditanträge kommen vor.

Der Datenverlust allein bedeutet noch nicht, dass ein solcher Identitätsdiebstahl tatsächlich stattgefunden hat. Betroffene sollten jedoch insbesondere auf unbekannte Rechnungen, Vertragsbestätigungen und Nachrichten über Identitätsprüfungen achten.

Wurde eine Ausweiskopie gestohlen, kontaktiere bei konkreten Hinweisen auf Missbrauch die betroffene Stelle und erstatte gegebenenfalls Strafanzeige. Ist der physische Personalausweis verloren gegangen oder besteht eine konkrete Gefährdung der Online-Ausweisfunktion, kann zusätzlich deren Sperrung erforderlich sein. Das bloße Bekanntwerden einer Ausweisnummer bedeutet dagegen nicht automatisch, dass die elektronische Identitätsfunktion genutzt werden kann.

Überlege außerdem, welche Informationen der Angreifer miteinander kombinieren könnte. Wurden beispielsweise neben einer Ausweiskopie auch deine Telefonnummer und Informationen zu deinem Mobilfunkvertrag gestohlen, solltest du ungewöhnliche Nachrichten über SIM-Kartenwechsel oder Änderungen deiner Vertragsdaten besonders ernst nehmen. Besteht der Verdacht auf eine unbefugte Übernahme deiner Mobilfunknummer, kontaktiere sofort den Anbieter.

Unbekannte Rechnungen und Mahnungen niemals ignorieren

Ein häufiger Fall: Einige Wochen nach dem Datenleck erhältst du eine Rechnung über 890 Euro für ein Smartphone, das du nie bestellt hast. Später meldet sich ein Inkassounternehmen und verlangt zusätzlich Mahngebühren.

In dieser Situation solltest du weder vorschnell zahlen noch die Forderung ignorieren. Teile dem Unternehmen schriftlich mit, dass du den Vertrag nicht abgeschlossen hast und die Forderung bestreitest. Fordere gegebenenfalls die relevanten Vertragsunterlagen an und dokumentiere den Verdacht auf Identitätsmissbrauch. Eine Strafanzeige kann helfen, den Sachverhalt gegenüber dem Unternehmen nachvollziehbar zu belegen.

Besonders wichtig ist die Unterscheidung zwischen einer gewöhnlichen Mahnung und einem gerichtlichen Mahnbescheid. Gegen einen unberechtigten gerichtlichen Mahnbescheid musst du innerhalb von zwei Wochen ab Zustellung Widerspruch einlegen. Das Gericht überprüft beim Erlass eines Mahnbescheids grundsätzlich noch nicht, ob die Forderung tatsächlich berechtigt ist.

Ein gerichtlicher Vollstreckungsbescheid erfordert ebenfalls eine fristgerechte Reaktion. Gegen ihn ist grundsätzlich innerhalb von zwei Wochen Einspruch möglich. Wer solche Schreiben ignoriert, riskiert erhebliche rechtliche und finanzielle Nachteile, selbst wenn ursprünglich ein Identitätsmissbrauch vorlag.

SCHUFA und andere Auskunfteien kontrollieren

Besteht der Verdacht, dass jemand in deinem Namen Verträge oder Kredite abgeschlossen hat, solltest du deine gespeicherten Daten bei Wirtschaftsauskunfteien überprüfen. Bei der SCHUFA und anderen Auskunfteien kannst du grundsätzlich eine kostenlose Datenauskunft nach Artikel 15 DSGVO verlangen.

Achte insbesondere auf unbekannte Verträge, auffällige Anfragen und unzutreffende negative Einträge. Entdeckst du falsche Informationen, verlange eine Überprüfung und gegebenenfalls deren Berichtigung oder Löschung. Melde einen nachgewiesenen Identitätsmissbrauch außerdem bei den betroffenen Auskunfteien.

Eine kostenpflichtige Bonitätsüberwachung ist nicht automatisch erforderlich. Zunächst solltest du die verfügbaren kostenlosen Auskunfts- und Meldeverfahren nutzen. Je nach Umfang des Vorfalls kann eine zusätzliche Überwachung sinnvoll sein, sie ersetzt aber nicht den Widerspruch gegen bereits entstandene unberechtigte Forderungen.

Nach einem Datenleck steigt die Gefahr durch gezielte Betrugsversuche

Gestohlene Informationen werden nicht ausschließlich für unmittelbare Kontoübernahmen oder Einkäufe verwendet. Häufig dienen sie zunächst dazu, Vertrauen aufzubauen und weitere sensible Daten zu erlangen.

Ein Betrüger könnte sich beispielsweise als Mitarbeiter deiner Bank ausgeben, deinen vollständigen Namen nennen und auf eine tatsächlich stattgefundene Datenpanne hinweisen. Anschließend fordert er dich auf, zur angeblichen Absicherung eine TAN einzugeben oder eine Zahlung in deiner Banking-App freizugeben.

Die vorhandenen persönlichen Informationen lassen den Kontakt glaubwürdig erscheinen. Tatsächlich versucht der Angreifer jedoch erst bei diesem zweiten Schritt, Zugriff auf dein Geld zu erhalten.

Besonders kritisch sind deshalb unerwartete Anrufe, Nachrichten mit zeitlichem Druck und Aufforderungen zur Übermittlung zusätzlicher Daten. Beende verdächtige Telefonate und kontaktiere die angeblich anrufende Stelle selbst über ihre offizielle Rufnummer. Überweise niemals Geld auf ein vermeintliches Sicherheitskonto.

Vorsicht ist auch bei angeblichen Angeboten zur Löschung gestohlener Daten geboten. Niemand kann zuverlässig garantieren, dass bereits verbreitete Datensätze vollständig aus sämtlichen Kopien, privaten Sammlungen und kriminellen Datenbanken entfernt werden. Anbieter, die gegen eine sofortige Zahlung eine vollständige Löschung versprechen, sollten deshalb besonders kritisch geprüft werden.

Datenleck überprüfen: Wie du herausfindest, ob deine E-Mail-Adresse betroffen ist

Nicht immer erfährst du unmittelbar vom verantwortlichen Unternehmen, dass persönliche Informationen veröffentlicht wurden. Manchmal erscheinen entsprechende Berichte zunächst in den Medien oder du erhältst eine Warnung von einem Sicherheitsdienst.

Für eine erste Überprüfung können etablierte Dienste wie der Identity Leak Checker des Hasso-Plattner-Instituts oder Have I Been Pwned hilfreich sein. Dort lässt sich anhand einer E-Mail-Adresse prüfen, ob sie in bekannten Datensammlungen vorkommt.

Ein Treffer bedeutet allerdings nicht automatisch, dass dein E-Mail-Postfach gehackt wurde. Er zeigt zunächst, dass die Adresse in einem erfassten Datensatz auftaucht. Entscheidend ist, aus welchem Vorfall die Informationen stammen und welche weiteren Daten betroffen waren.

Umgekehrt beweist ein negatives Ergebnis nicht, dass deine persönlichen Informationen sicher sind. Nicht jedes Datenleck wird öffentlich bekannt, und nicht sämtliche gestohlenen Datensätze stehen solchen Prüfdiensten zur Verfügung.

Nutze ausschließlich die offiziellen Websites vertrauenswürdiger Angebote. Gib deine Zugangsdaten nicht auf unbekannten Seiten ein, die einen angeblichen vollständigen Datenleck-Check versprechen. Lade auch keine Ausweiskopien oder sonstigen sensiblen Dokumente hoch, nur um eine mögliche Betroffenheit überprüfen zu lassen.

Welche Rechte hast du nach einem Datenleck?

Die Datenschutz-Grundverordnung verpflichtet Unternehmen und andere verantwortliche Stellen, personenbezogene Daten angemessen zu schützen. Kommt es zu einer Datenschutzverletzung, entstehen abhängig vom konkreten Vorfall zusätzliche Dokumentations-, Melde- und Informationspflichten.

Für Betroffene ist insbesondere relevant, dass ein Unternehmen bei einer voraussichtlich mit einem hohen Risiko für ihre Rechte und Freiheiten verbundenen Datenschutzverletzung grundsätzlich unverzüglich informieren muss. Die Mitteilung soll verständlich erklären, was passiert ist, welche Folgen drohen und welche Maßnahmen zur Schadensbegrenzung ergriffen wurden oder vorgesehen sind.

Für die Meldung an die zuständige Datenschutzaufsichtsbehörde gilt grundsätzlich eine Frist von 72 Stunden ab Bekanntwerden der Verletzung, sofern diese voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Diese Frist betrifft das verantwortliche Unternehmen und nicht die betroffenen Verbraucher. Außerdem ist die Schwelle für eine unmittelbare Benachrichtigung der Betroffenen höher als für eine Meldung an die Aufsichtsbehörde.

Nicht jeder Sicherheitsvorfall muss deshalb automatisch jedem Kunden persönlich mitgeteilt werden.

Auskunft über die betroffenen Daten verlangen

Nach Artikel 15 DSGVO kannst du vom verantwortlichen Unternehmen Auskunft über die Verarbeitung deiner personenbezogenen Daten verlangen. Dazu gehören unter anderem Informationen über die verarbeiteten Daten, deren Zwecke und mögliche Empfänger.

Bei einem Datenleck kann eine gezielte Anfrage helfen, die persönliche Betroffenheit zu klären. Bitte um Angaben zu den konkret betroffenen Datenkategorien, zum bekannten Umfang des Vorfalls und zu den vorgesehenen Schutzmaßnahmen. Darüber hinaus kannst du eine Auskunft nach Artikel 15 DSGVO geltend machen.

Das Unternehmen muss auf einen solchen Antrag grundsätzlich unverzüglich, spätestens innerhalb eines Monats reagieren. Unter bestimmten Voraussetzungen ist eine Verlängerung möglich; darüber muss das Unternehmen innerhalb der ursprünglichen Frist informieren.

Je nach Situation kommen außerdem Rechte auf Berichtigung, Löschung oder Einschränkung der Verarbeitung in Betracht. Das Löschungsrecht gilt allerdings nicht uneingeschränkt. Beispielsweise können gesetzliche Aufbewahrungspflichten einer vollständigen Löschung bestimmter Daten entgegenstehen.

Wichtig ist auch die praktische Grenze dieser Rechte: Das Unternehmen kann Daten in seinen eigenen Systemen gegebenenfalls löschen. Bereits von Kriminellen angefertigte und weiterverbreitete Kopien lassen sich dadurch nicht automatisch zurückholen.

Beschwerde bei der Datenschutzaufsicht einreichen

Hast du den Eindruck, dass ein Unternehmen deine Datenschutzrechte verletzt, den Vorfall unzureichend behandelt oder eine berechtigte Auskunftsanfrage ignoriert, kannst du dich nach Artikel 77 DSGVO bei einer zuständigen Datenschutzaufsichtsbehörde beschweren.

Welche Behörde zuständig ist, hängt unter anderem von der verantwortlichen Stelle ab. Bei vielen privaten Unternehmen kommen die Datenschutzaufsichtsbehörden der Bundesländer in Betracht. In anderen Fällen können besondere Zuständigkeiten oder eine Aufsichtsbehörde eines anderen EU-Mitgliedstaates relevant sein.

Eine Datenschutzbeschwerde ist allerdings nicht dasselbe wie eine Strafanzeige. Die Aufsichtsbehörde prüft datenschutzrechtliche Fragen, während die Polizei mögliche Straftaten verfolgt. Bestehen Hinweise auf einen konkreten Betrug oder Identitätsmissbrauch, können beide Verfahren unabhängig voneinander sinnvoll sein.

Schadensersatz nach einem Datenleck: Wann steht dir Geld zu?

Nach Artikel 82 DSGVO können Betroffene unter bestimmten Voraussetzungen Ersatz für materielle und immaterielle Schäden verlangen, die durch einen Datenschutzverstoß entstanden sind.

Ein materieller Schaden kann beispielsweise vorliegen, wenn durch den Vorfall unmittelbar ein finanzieller Verlust verursacht wurde. Immaterielle Schäden können unter anderem mit einem nachgewiesenen Verlust der Kontrolle über persönliche Daten zusammenhängen.

Ein Datenleck führt jedoch nicht automatisch zu einer bestimmten Entschädigung. Für einen Schadensersatzanspruch müssen grundsätzlich ein Verstoß gegen die DSGVO, ein entstandener Schaden und ein ursächlicher Zusammenhang zwischen beiden vorliegen. Ein immaterieller Schaden muss dabei keine bestimmte Erheblichkeitsschwelle überschreiten.

Die Rechtsprechung berücksichtigt, dass bereits ein tatsächlicher Kontrollverlust über personenbezogene Daten einen immateriellen Schaden darstellen kann. Ob die Voraussetzungen im konkreten Fall erfüllt sind und welcher Betrag gegebenenfalls angemessen ist, hängt jedoch von den Umständen ab.

Pauschale Versprechen wie „Nach jedem Datenleck stehen dir automatisch 1.000 Euro zu“ sind deshalb unseriös. Ebenso wenig lässt sich aus einer bestimmten Zahl gestohlener Datensätze unmittelbar die Höhe eines individuellen Anspruchs ableiten.

Beispiel: Welche finanziellen Folgen tatsächlich entstehen können

Angenommen, Kriminelle nutzen gestohlene persönliche Daten, um in deinem Namen Waren im Wert von 1.200 Euro zu bestellen. Zusätzlich werden über eine kompromittierte Kreditkarte unberechtigte Zahlungen über 650 Euro ausgelöst.

Die insgesamt geltend gemachten beziehungsweise abgebuchten Beträge belaufen sich damit auf 1.850 Euro. Das bedeutet aber nicht automatisch, dass dir ein endgültiger Schaden in dieser Höhe entsteht. Eine unberechtigte Kaufpreisforderung kann abgewehrt werden, und für nicht autorisierte Kartenzahlungen können Erstattungsansprüche gegenüber dem Zahlungsdienstleister bestehen.

Entscheidend ist, welche Beträge tatsächlich bei dir verbleiben, welche sonstigen nachweisbaren Schäden entstanden sind und wer rechtlich für diese einzustehen hat. Ansprüche gegen die Bank, gegen betrügerische Vertragspartner und gegebenenfalls gegen das für das Datenleck verantwortliche Unternehmen müssen getrennt betrachtet werden. Doppelte Entschädigungen für denselben Schaden sind nicht vorgesehen.

Bewahre deshalb Unterlagen über tatsächliche Verluste, Rückbuchungen, Schriftwechsel und gegebenenfalls zusätzliche notwendige Ausgaben auf. Bei höheren Schäden oder unklarer Haftung kann eine individuelle rechtliche Beratung sinnvoll sein.

Wie lange müssen Betroffene nach einem Datenleck aufmerksam bleiben?

Ein Datenleck ist nicht unbedingt abgeschlossen, sobald das Passwort geändert wurde. Gestohlene Datensätze können später erneut auftauchen, mit anderen Informationen kombiniert oder für neue Betrugsversuche verwendet werden.

Deshalb ist es sinnvoll, die Schutzmaßnahmen zeitlich zu staffeln. In den ersten Stunden stehen gefährdete Zugänge, Zahlungsmittel und bereits erkennbare Schäden im Vordergrund. In den folgenden Tagen solltest du die Informationen des Unternehmens überprüfen, verdächtige Kontobewegungen kontrollieren und gegebenenfalls eine Auskunft bei Wirtschaftsauskunfteien einholen.

In den darauffolgenden Wochen können ungewöhnliche Rechnungen, unerwartete Vertragsbestätigungen oder gezielte Phishing-Nachrichten auftauchen. Bei umfangreichen Identitätsdaten kann eine erhöhte Aufmerksamkeit auch länger erforderlich bleiben. Eine feste Frist, nach deren Ablauf alle gestohlenen Informationen automatisch wertlos sind, gibt es nicht.

Dabei solltest du jedoch nicht jeden unbekannten Anruf oder jede Werbe-E-Mail unmittelbar als Folge des Datenlecks interpretieren. Entscheidend sind konkrete Auffälligkeiten, beispielsweise eine fremde Anmeldung, eine unbekannte Bestellung oder eine Veränderung deiner Kontodaten.

Wer die wichtigsten Schutzmaßnahmen bereits umgesetzt hat, muss nicht täglich sämtliche Benutzerkonten überprüfen. Sinnvoller sind aktivierte Sicherheitsbenachrichtigungen, regelmäßige Kontrollen relevanter Finanzkonten und ein bewusster Umgang mit unerwarteten Kontaktversuchen.

Häufige Fehler nach einem Datenleck – und wie du sie vermeidest

Ein besonders folgenreicher Fehler besteht darin, ausschließlich das Passwort des betroffenen Unternehmens zu ändern. Wurde dieselbe Kombination aus E-Mail-Adresse und Passwort mehrfach verwendet, bleiben andere Zugänge weiterhin gefährdet. Die Passwortänderung muss sich deshalb auf sämtliche Konten erstrecken, bei denen dieselben kompromittierten Zugangsdaten verwendet wurden.

Ebenso problematisch ist es, eine Datenleck-Warnung ungeprüft für echt zu halten. Gerade in der unmittelbaren Zeit nach einem öffentlich bekannt gewordenen Cyberangriff können gefälschte Sicherheitsnachrichten besonders überzeugend wirken. Öffne die offizielle Website selbst und führe dort die notwendigen Maßnahmen durch.

Ein weiterer Fehler ist das vorschnelle Bezahlen unbekannter Rechnungen. Wer eine Forderung begleicht, nur weil ein Inkassounternehmen mit weiteren Maßnahmen droht, zahlt möglicherweise für einen Vertrag, den er nie abgeschlossen hat. Unberechtigte Forderungen sollten vielmehr geprüft und schriftlich bestritten werden. Gerichtliche Schreiben erfordern zusätzlich die Einhaltung der entsprechenden Fristen.

Auch die vollständige Kündigung sämtlicher Bankverbindungen und Onlinekonten ist nicht automatisch sinnvoll. Solche Maßnahmen können erhebliche organisatorische Folgen verursachen, ohne das tatsächliche Risiko wirksam zu reduzieren. Bei einem veröffentlichten Namen und einer E-Mail-Adresse schützt ein neues Girokonto beispielsweise nicht vor gezielten Phishing-Anrufen.

Schließlich solltest du die Dokumentation nicht vernachlässigen. Eine gespeicherte Sicherheitsmitteilung, schriftliche Antworten des Unternehmens und nachvollziehbare Aufzeichnungen über verdächtige Aktivitäten können später entscheidend sein, wenn ein finanzieller Schaden entsteht oder du rechtliche Ansprüche geltend machen möchtest.

Fazit: Nach einem Datenleck zählt gezieltes Handeln statt Panik

Ein Datenleck bedeutet nicht zwangsläufig, dass Kriminelle bereits auf deine Konten zugreifen oder deine Identität missbrauchen. Es ist aber ein konkreter Anlass, gefährdete Informationen und Zugänge zu überprüfen. Besonders dringlich sind Maßnahmen bei gestohlenen Passwörtern, kompromittierten E-Mail-Konten und betroffenen Zahlungsinformationen. Hier können wenige gezielte Schritte verhindern, dass aus einem Datenverlust ein finanzieller Schaden entsteht.

Wurden ausschließlich Kontaktdaten veröffentlicht, liegt der Schwerpunkt dagegen auf dem Schutz vor nachfolgenden Betrugsversuchen. Bei umfangreichen Identitätsdaten solltest du zusätzlich unbekannte Verträge, Rechnungen und mögliche Einträge bei Auskunfteien im Blick behalten. Die richtigen Maßnahmen ergeben sich aus der Art des Vorfalls und sollten sich bei neuen Erkenntnissen entsprechend verändern.

Darüber hinaus lohnt es sich, die Rechte gegenüber dem verantwortlichen Unternehmen zu nutzen. Eine nachvollziehbare Auskunft über die betroffenen Daten schafft die Grundlage für weitere Entscheidungen. Wer Sicherheitsmaßnahmen, Kontrollen und Dokumentation sinnvoll miteinander verbindet, reduziert nicht nur mögliche Risiken, sondern ist auch besser vorbereitet, falls sich der Verdacht auf einen tatsächlichen Missbrauch bestätigt.

Nach einem Datenleck bleiben häufig konkrete Fragen offen, insbesondere wenn noch unklar ist, ob persönliche Informationen tatsächlich gestohlen oder bereits verwendet wurden. Die folgenden Antworten helfen bei der Einordnung typischer Situationen.

Häufige Fragen zu Datenlecks

Muss ich nach einem Datenleck sofort alle Passwörter ändern?

Nein. Du solltest insbesondere die Passwörter ändern, die gestohlen worden sein könnten, sowie identische oder ähnliche Passwörter, die du bei anderen Diensten verwendet hast. Sind ausschließlich Kontaktdaten betroffen, ist ein vollständiger Austausch sämtlicher Passwörter normalerweise nicht notwendig. Bei Hinweisen auf eine Kontoübernahme müssen zusätzlich aktive Sitzungen und Sicherheitseinstellungen überprüft werden.

Kann mein Bankkonto allein durch eine gestohlene IBAN gehackt werden?

Eine IBAN allein ermöglicht normalerweise keinen direkten Zugriff auf das Onlinebanking. Sie kann allerdings für missbräuchliche Lastschriftversuche verwendet werden. Kontrolliere deshalb deine Kontobewegungen und melde unberechtigte Abbuchungen unverzüglich deiner Bank. Ein Wechsel der Kontoverbindung ist nicht in jedem Fall erforderlich.

Wo kann ich kostenlos überprüfen, ob meine Daten gestohlen wurden?

Der Identity Leak Checker des Hasso-Plattner-Instituts und Have I Been Pwned ermöglichen eine Überprüfung von E-Mail-Adressen anhand bekannter Datenlecks. Ein Treffer ist ein Warnsignal, aber kein automatischer Nachweis für ein gehacktes E-Mail-Konto. Ein negatives Ergebnis garantiert umgekehrt nicht, dass deine Daten niemals gestohlen wurden.

Muss ich nach einem Datenleck Strafanzeige erstatten?

Nicht jedes Datenleck erfordert automatisch eine Strafanzeige durch jeden betroffenen Kunden. Gibt es jedoch Hinweise auf eine Kontoübernahme, betrügerische Bestellungen, unberechtigte Zahlungen oder einen anderen konkreten Missbrauch, ist eine Anzeige sinnvoll. Sie kann bei der örtlichen Polizei oder bei geeigneten Sachverhalten über die Onlinewache erstattet werden.

Habe ich nach einem Datenleck automatisch Anspruch auf Schadensersatz?

Nein. Für einen Anspruch nach Artikel 82 DSGVO müssen grundsätzlich ein Datenschutzverstoß, ein Schaden und ein entsprechender ursächlicher Zusammenhang vorliegen. Auch ein tatsächlicher Verlust der Kontrolle über personenbezogene Daten kann einen immateriellen Schaden darstellen. Ob ein Anspruch besteht und wie hoch eine mögliche Entschädigung ausfällt, hängt vom konkreten Einzelfall ab.

Sollte ich nach einem Datenleck meine E-Mail-Adresse wechseln?

Ein Wechsel ist nicht automatisch notwendig. Ist lediglich die E-Mail-Adresse veröffentlicht worden, können ein sicherer Kontozugang, zusätzliche Authentifizierung und ein sorgfältiger Umgang mit Phishing-Nachrichten ausreichen. Ein Wechsel kann beispielsweise bei dauerhaft erheblichem Missbrauch sinnvoll werden, beseitigt allerdings nicht die bereits veröffentlichten Informationen.

Wie lange können gestohlene Daten von Kriminellen verwendet werden?

Gestohlene Informationen können grundsätzlich auch Monate oder Jahre später noch missbraucht werden. Passwörter verlieren ihren unmittelbaren Nutzen, sobald sie wirksam geändert und kompromittierte Sitzungen beendet wurden. Persönliche Informationen wie Name, Geburtsdatum oder Anschrift bleiben dagegen häufig länger verwendbar. Deshalb kann insbesondere bei umfangreichen Identitätsdaten eine längerfristige Aufmerksamkeit erforderlich sein.

Was mache ich, wenn das Unternehmen keine Auskunft über das Datenleck gibt?

Bitte das Unternehmen schriftlich um eine konkrete Erklärung und mache gegebenenfalls dein Auskunftsrecht nach Artikel 15 DSGVO geltend. Auf einen solchen Antrag muss grundsätzlich innerhalb eines Monats reagiert werden, wobei unter bestimmten Voraussetzungen eine Verlängerung möglich ist. Werden deine Datenschutzrechte verletzt oder bleibt eine berechtigte Anfrage unbeantwortet, kannst du dich an eine zuständige Datenschutzaufsichtsbehörde wenden.