Datenleck: Was tun? Die ersten Schritte nach einer Datenpanne

Datenleck: Was tun? Ändern Sie zuerst das Passwort Ihres E-Mail-Postfachs, danach das des betroffenen Dienstes und jedes anderen Kontos, bei dem Sie dasselbe Passwort verwenden. Schalten Sie anschließend die Zwei-Faktor-Anmeldung ein, kontrollieren Sie Kontoauszüge und Kontoeinstellungen und rechnen Sie in den kommenden Wochen mit Betrugsmails und Anrufen, die Ihre echten Daten kennen. Welche Schritte darüber hinaus nötig sind, hängt davon ab, welche Daten abgeflossen sind.

Die Reihenfolge ist kein Detail. Wer zuerst beim betroffenen Shop das Passwort wechselt, das Postfach aber offen lässt, hat die Hintertür nicht geschlossen: Über die Funktion „Passwort vergessen“ lassen sich fast alle anderen Konten aus dem Postfach heraus übernehmen. Die folgende Anleitung geht deshalb vom wichtigsten zum weniger dringenden Schritt vor.

1. Datenleck: Was tun? Die Sofort-Schritte in der richtigen Reihenfolge

1. Betroffenheit klären: Eine echte Benachrichtigung muss beschreiben, was passiert ist und welche Daten betroffen sind. Steht dort nur „Kundendaten“, fragen Sie nach (siehe Abschnitt 4). Haben Sie gar keine Nachricht bekommen und fragen sich nur, ob Ihre Adresse irgendwo aufgetaucht ist: Kostenlos prüfen, ob Ihre E-Mail-Adresse in bekannten Datenlecks stehtEigenwerbung
2. E-Mail-Postfach zuerst absichern: Vergeben Sie für Ihr Postfach ein neues, langes Passwort, das Sie nirgends sonst verwenden. Das Postfach ist der Generalschlüssel, weil jeder Link zum Zurücksetzen eines Passworts dort landet.
3. Betroffenen Dienst und alle Doppelgänger umstellen: Ändern Sie danach das Passwort beim Dienst, der das Leck hatte, und bei jedem Konto, das dasselbe oder ein sehr ähnliches Passwort nutzt („Sommer2024“ und „Sommer2025“ gelten für Angreifer als dasselbe). Genau darauf zielt Credential Stuffing, also das automatisierte Durchprobieren geleakter Zugangsdaten an vielen fremden Haustüren gleichzeitig. Ein Passwort-Manager nimmt Ihnen das Merken ab.
4. Zwei-Faktor-Anmeldung einschalten: Eine Bestätigung per App, Passkey oder Sicherheitsschlüssel sorgt dafür, dass ein gestohlenes Passwort allein für die Anmeldung nicht mehr genügt. Ein Code per SMS ist schwächer, aber deutlich besser als gar keiner.
5. Kontoeinstellungen kontrollieren: Prüfen Sie im Postfach und in wichtigen Konten, ob fremde Weiterleitungsregeln, unbekannte Wiederherstellungs-Telefonnummern oder fremde angemeldete Geräte eingetragen sind. Das BSI nennt solche heimlich ergänzten Rückfalloptionen in seiner Hilfe für Betroffene von Identitätsdiebstahl ausdrücklich als Warnsignal, denn damit holen sich Täter ein Konto auch nach einem Passwortwechsel zurück.
6. Geld absichern: Sehen Sie Kontoauszüge und Kreditkartenabrechnungen der letzten Wochen durch, auch auf Kleinstbeträge, mit denen Täter testen, ob eine Karte funktioniert. Sind Kartendaten betroffen, lassen Sie die Karte sperren (Sperr-Notruf 116 116) und neu ausstellen. Eine fremde SEPA-Lastschrift können Sie innerhalb von acht Wochen ohne Begründung zurückgeben lassen, eine nicht autorisierte Abbuchung sogar bis zu 13 Monate lang. Eine kostenlose Datenkopie bei der SCHUFA nach Art. 15 DSGVO zeigt, ob jemand in Ihrem Namen Kredite oder Verträge angefragt hat.
7. Mit gezielten Täuschungen rechnen: Nach einem Leak wissen Täter, bei wem Sie Kunde sind. Sie kombinieren das gern mit Angaben, die Adresshändler ganz legal über Sie gesammelt haben, und schreiben dann persönlich: Spear-Phishing, also ein Speerwurf auf genau eine Person statt eines Schleppnetzes. Je weniger über Sie im Umlauf ist, desto dünner wird dieses Fundament. Löschung bei Werbe- und Adressbrokern beantragenEigenwerbung
8. Dokumentieren und gegebenenfalls anzeigen: Speichern Sie die Benachrichtigung des Unternehmens und machen Sie Bildschirmfotos verdächtiger Vorgänge. Wurde Ihre Identität bereits missbraucht (fremde Bestellungen, Verträge, Kontoübernahmen), erstatten Sie Anzeige bei der Polizei, in vielen Bundesländern auch über die Onlinewache. Die Unterlagen helfen später auch, falls Sie Schadensersatz prüfen lassen wollen.

2. Was tun, je nachdem welche Daten im Leck stecken?

Nicht jedes Datenleck ist gleich gefährlich. Eine geleakte Newsletter-Adresse ist lästig, eine geleakte Ausweiskopie kann Sie über Jahre beschäftigen. Die Tabelle ordnet die häufigsten Datenarten ein und nennt, was jeweils über die Grundschritte hinaus wichtig ist.

3. Was ist ein Datenleck? Datenleck und Datenpanne kurz erklärt

Ein Datenleck heißt: Daten sind unbefugt nach außen gelangt, etwa weil Angreifer eine Kundendatenbank kopiert haben oder ein Server ungeschützt im Netz stand. Die DSGVO spricht von einer Verletzung des Schutzes personenbezogener Daten (Art. 4 Nr. 12), im Alltag Datenpanne genannt. Der Begriff ist etwas weiter, denn er umfasst auch den Verlust, das Vernichten oder Verändern von Daten. Für Sie als Betroffene oder Betroffener zählt vor allem eines: ob Ihre Daten jetzt in fremden Händen sind. Typische Auslöser sind:

• Der klassische Hack: Kriminelle dringen in Server ein und kopieren Kundendatenbanken mit Namen, Mailadressen und oft auch Passwörtern.
• Menschliches Versagen: Ein Mitarbeiter verschickt eine Mail an 500 Kunden mit allen Adressen im offenen „CC“ statt im „BCC“.
• Physischer Verlust: Ein unverschlüsselter USB-Stick oder ein Laptop mit Patientendaten bleibt in der Bahn liegen.

4. Die Reise Ihrer Daten: Vom Leak ins Darknet

Abgeflossene Daten verschwinden nicht, sie werden zur Handelsware. In Untergrund-Foren werden ganze Kundendatenbanken als sogenannte „Dumps“ angeboten. Ein einzelner Datensatz mit E-Mail, Geburtsdatum und Telefonnummer ist für sich fast wertlos, in der Masse aber ein Rohstoff für Betrug. Häufig werden alte Datensätze später mit neuen zusammengeführt, deshalb kann eine Adresse aus einem Leak von vor drei Jahren heute wieder in einer frischen Sammlung auftauchen.

Kriminelle nutzen diese Daten für:

• Credential Stuffing: automatisches Ausprobieren Ihres Passworts bei Hunderten anderen Diensten.
• Identitätsdiebstahl: Eröffnung von Konten oder Bestellungen auf Rechnung unter Ihrem Namen.
• Social Engineering: Anrufe angeblicher Bankmitarbeiter, die Ihre Adresse und Ihr Geburtsdatum schon kennen und damit Vertrauen erschleichen.

Weil ein Leak oft erst Wochen oder Monate nach dem eigentlichen Angriff bekannt wird, lohnt es sich, nicht nur einmal nachzusehen. Unser Darknet-Radar gleicht Ihre Adresse zweimal täglich mit bekannten Datenpannen ab und meldet sich, wenn sie in einem neuen Leak steht, damit Sie die Schritte oben rechtzeitig angehen können. Darknet-Überwachung für Ihre Adresse aktivierenEigenwerbung

5. Muss das Unternehmen Sie über das Datenleck informieren?

Die DSGVO kennt zwei getrennte Pflichten. Nach Art. 33 muss das Unternehmen eine Datenpanne binnen 72 Stunden der zuständigen Datenschutz-Aufsichtsbehörde melden, außer sie führt voraussichtlich zu keinem Risiko für die Betroffenen. Nach Art. 34 muss es Sie selbst benachrichtigen, wenn voraussichtlich ein hohes Risiko besteht, etwa weil Passwörter, Bankdaten oder Ausweiskopien betroffen sind. Diese Nachricht muss in klarer, einfacher Sprache erklären, was passiert ist, welche Folgen wahrscheinlich sind, was das Unternehmen dagegen tut und wie Sie den Datenschutzbeauftragten erreichen.

Es gibt Ausnahmen: Waren die Daten wirksam verschlüsselt, entfällt die Benachrichtigung. Wäre der Aufwand unverhältnismäßig, darf das Unternehmen stattdessen öffentlich informieren, etwa auf seiner Website. Sie erfahren also nicht von jedem Leck per persönlicher Mail. Ihre eigenen Rechte bleiben davon unberührt:

• Auskunft (Art. 15 DSGVO): Fragen Sie schriftlich, welche Ihrer Daten genau betroffen sind. Das Unternehmen muss in der Regel innerhalb eines Monats antworten.
• Löschung (Art. 17 DSGVO): Brauchen Sie das Kundenkonto nicht mehr, verlangen Sie dessen Löschung. Daten, die nicht mehr existieren, können beim nächsten Vorfall nicht abfließen. Gesetzliche Aufbewahrungsfristen, etwa für Rechnungen, gehen allerdings vor.
• Beschwerde (Art. 77 DSGVO): Reagiert das Unternehmen nicht oder informiert es unzureichend, können Sie sich kostenlos bei der Datenschutz-Aufsichtsbehörde Ihres Bundeslandes beschweren.

6. Ihr Recht auf Schadensersatz (Art. 82 DSGVO)

Hat ein Unternehmen Ihre Daten durch unzureichende Sicherheitsvorkehrungen verloren, kann Ihnen nach Art. 82 DSGVO Schadensersatz zustehen. Das gilt nicht nur für finanzielle Verluste, sondern auch für den immateriellen Schaden, also den Verlust der Kontrolle über Ihre Daten.

Wie viel das in der Praxis bedeutet, hat der Bundesgerichtshof im Facebook-Scraping-Verfahren klargestellt (Urteil vom 18. November 2024, VI ZR 10/24): Schon der bloße Kontrollverlust kann ein Schaden sein, und für diesen Fall hielt das Gericht einen Ausgleich in einer Größenordnung von 100 Euro für vertretbar. Höhere Beträge setzen voraus, dass Sie konkrete Folgen darlegen, etwa tatsächlichen Missbrauch, nachweisbaren Aufwand oder belastende Ängste. Pauschale Summen bis 1.000 Euro sind kein Regelfall. Welche Belege Sie brauchen und wie Sie vorgehen, erklärt unser Ratgeber Entschädigung nach einem Datenleck: was Art. 82 DSGVO tatsächlich hergibt. Ob sich ein Anspruch im Einzelfall lohnt, klären Sie mit einer Verbraucherzentrale oder einer Kanzlei Ihrer Wahl; dieser Artikel ist keine Rechtsberatung.

7. Downloads & Checklisten

Häufige Fragen (FAQ): Datenleck, was tun?

Update Oktober 2026: EU will die Meldepflicht für Datenpannen lockern

Mit dem sogenannten Digital Omnibus (COM(2025) 837) hat die EU-Kommission im November 2025 vorgeschlagen, Art. 33 DSGVO zu ändern: Unternehmen sollen Datenpannen der Aufsichtsbehörde nur noch melden müssen, wenn sie voraussichtlich ein hohes Risiko verursachen, und dafür 96 statt 72 Stunden Zeit bekommen. Nach Berichten aus Fachkreisen hat sich der Rat der EU im Oktober 2026 auf eine Verhandlungsposition verständigt, die diese Linie im Kern stützt. Beschlossen ist damit noch nichts: Das Europäische Parlament muss seine Position noch festlegen, bis dahin gilt die 72-Stunden-Frist unverändert.

Für Sie als Verbraucher ändert sich an den Schritten oben nichts. Die Pflicht, Betroffene persönlich zu benachrichtigen, war schon bisher an ein hohes Risiko geknüpft. Kommt die Reform, werden Behörden aber von weniger Vorfällen erfahren, und damit dürfte auch die öffentliche Berichterstattung über kleinere Lecks seltener werden. Umso wichtiger ist es, nicht auf eine Nachricht des Unternehmens zu warten, sondern selbst nachzusehen, ob Ihre Adresse betroffen ist.