Paidwork Datenleck Juli 2026: 23 Millionen Nutzer betroffen, so prüfen Sie Ihre Betroffenheit

Wer sich mit kleinen Online-Aufgaben etwas dazuverdient hat, steht seit wenigen Tagen unfreiwillig im Rampenlicht: Von der Plattform Paidwork (in Deutschland als App "Paidwork: Geld verdienen" bekannt, früher Zareklamy) sind laut Sicherheitsberichten die Daten von rund 23,3 Millionen Nutzern abgeflossen. Der Leak-Dienst Have I Been Pwned hat den Vorfall am 19. Juli 2026 in seine Datenbank aufgenommen. Besonders heikel: In dem Datensatz stecken nicht nur Namen und Kontaktdaten, sondern auch Geburtsdaten, Wohnadressen und Bankkontonummern. Paidwork selbst hat den Vorfall bislang nicht öffentlich bestätigt und warnt seine Nutzer nach aktuellem Stand nicht. Sie müssen also selbst aktiv werden.

Was genau passiert ist

Paidwork ist eine international betriebene Plattform, auf der Nutzerinnen und Nutzer durch Mikroaufgaben Geld verdienen: Umfragen ausfüllen, Videos ansehen, Spiele testen oder Produkte bewerten. Ausgezahlt wird das Guthaben unter anderem per Banküberweisung, weshalb viele Nutzer dort eine Bankverbindung hinterlegt haben. Genau diese Datenbasis ist nun in falsche Hände geraten.

Nach übereinstimmenden Sicherheitsberichten geht der eigentliche Einbruch bereits auf März 2026 zurück. Im April 2026 bot ein Akteur unter dem Pseudonym "hackformetome" den Datensatz in einem einschlägigen Forum zum Verkauf an. Im Juli 2026 wurde der komplette, rund 11 Gigabyte große Bestand dann öffentlich verbreitet, und am 19. Juli 2026 nahm ihn der renommierte Dienst Have I Been Pwned auf (der öffentliche Eintrag dort nennt rund 23,3 Millionen betroffene Konten). Aus einem alten Einbruch ist damit ein akuter Vorfall geworden, denn ab dem Moment, in dem ein Datensatz frei kursiert, kann ihn praktisch jeder Betrüger herunterladen und auswerten.

Bemerkenswert ist das Schweigen des Anbieters: Paidwork hat den Vorfall bis heute nicht offiziell bestätigt und keine Warnung an seine Nutzer versendet. Für Sie bedeutet das: Anders als beim Lidl-Vorfall, bei dem das Unternehmen Betroffene aktiv per E-Mail informierte, dürfen Sie hier nicht darauf warten, benachrichtigt zu werden. Die Bewertung Ihrer Betroffenheit liegt allein bei Ihnen.

Welche Daten betroffen sind, und welches Risiko daraus folgt

Die Besonderheit dieses Lecks ist die gefährliche Mischung aus Identitäts- und Finanzdaten in einem einzigen Datensatz. Sehen wir uns die wichtigsten Felder und ihre konkrete Missbrauchsgefahr an:

• Bankkontonummer und Transaktionsdaten: Der brisanteste Teil. Eine Kontonummer allein leert Ihr Konto zwar nicht, sie ist aber der Schlüssel für unberechtigte SEPA-Lastschriften und macht Betrugsanrufe im Namen Ihrer Bank extrem glaubwürdig, wenn der Anrufer plötzlich Ihre echte Kontoverbindung kennt.
• Geburtsdatum, Name und Adresse: Diese Kombination ist der klassische Grundstock für Identitätsdiebstahl. Sie dient bei Hotlines, Banken und Behörden zur Identitätsprüfung und kann für Bestellungen auf Ihren Namen (Warenkreditbetrug) missbraucht werden.
• E-Mail-Adresse und Telefonnummer: Das sind die direkten Kanäle für die zu erwartenden Betrugswellen, per Mail, per SMS (Smishing) oder per Anruf (Vishing, also Voice-Phishing).
• Passwörter als bcrypt-Hash: Immerhin lagen die Passwörter nicht im Klartext vor. bcrypt ist ein robustes Verfahren, das Angreifer ausbremst. Ein Freibrief ist das aber nicht: Kurze oder häufig genutzte Passwörter lassen sich trotzdem knacken. Wer sein Paidwork-Passwort auch anderswo verwendet, muss es überall ändern.

Das Kernrisiko ist also doppelt: Es geht einerseits um finanziellen Missbrauch über die Kontodaten und andererseits um Identitätsmissbrauch über die vollständigen Personendaten. Prüfen Sie zuerst kostenlos, ob Ihre E-Mail-Adresse überhaupt in dem Leak auftaucht.

Sind Sie als Paidwork-Nutzer in Deutschland oder Österreich betroffen?

Paidwork wird auch im deutschsprachigen Raum aktiv beworben und ist in den hiesigen App-Stores als "Paidwork: Geld verdienen" verfügbar. Wer die App genutzt oder online ein Konto angelegt hat, gehört damit potenziell zum betroffenen Kreis, und weil Paidwork nicht warnt, erfahren Sie es sonst von niemandem. Verlassen Sie sich deshalb nicht auf eine Benachrichtigung, sondern prüfen Sie aktiv nach. Wie Sie eine Betroffenheit grundsätzlich seriös feststellen, ohne selbst auf dubiose Suchdienste hereinzufallen, erklären wir Schritt für Schritt in unserem Ratgeber Datenleck prüfen: So finden Sie heraus, ob Ihre Daten betroffen sind.

Wichtig zu verstehen: Unmittelbar nach dem öffentlichen Auftauchen eines solchen Datensatzes steht nicht abschließend fest, wer alles betroffen ist und in wie viele weitere Sammlungen die Daten inzwischen eingeflossen sind. Gestohlene Daten werden zudem nach dem ersten Verkauf oft immer wieder neu kombiniert und weiterverkauft. Eine einmalige Prüfung von heute kann Sie also trügerisch beruhigen. Genau deshalb lohnt sich unser Darknet-Radar: Es überwacht Ihre E-Mail-Adresse fortlaufend und benachrichtigt Sie sofort, sobald Ihre Daten irgendwo neu auftauchen. Tauchen Sie tatsächlich in einem Leak auf, weisen wir Sie im Premium-Tarif zusätzlich aktiv auf passende Sammelklagen und Schadensersatzansprüche hin. Jetzt Darknet-Radar aktivieren und bei jeder neuen Betroffenheit sofort Bescheid wissen.

Erste Hilfe: Diese Schritte sind jetzt sinnvoll

Weil hier sowohl Zugangs- als auch Finanzdaten im Spiel sind, ist der Handlungsbedarf größer als bei einem reinen Adress-Leak. Die Reihenfolge ist nach Dringlichkeit sortiert:

• Passwort sofort ändern: Vergeben Sie für Paidwork ein neues, einzigartiges Passwort. Falls Sie dasselbe Passwort noch bei anderen Diensten nutzen, ändern Sie es auch dort. So verhindern Sie, dass ein geknackter Hash zum Generalschlüssel für Ihre übrigen Konten wird (die Fachleute nennen das Credential Stuffing, also das automatisierte Durchprobieren geleakter Zugangsdaten an fremden Türen).
• Kontoauszüge kontrollieren: Behalten Sie Ihr Bankkonto in den kommenden Wochen aufmerksam im Blick. Eine unberechtigte SEPA-Lastschrift können Sie bei Ihrer Bank in der Regel innerhalb von acht Wochen ohne Angabe von Gründen zurückbuchen lassen. Bei Bedarf können Sie zusätzlich eine Lastschriftsperre für unbekannte Zahlungsempfänger einrichten.
• Zwei-Faktor-Authentifizierung aktivieren: Wo es möglich ist, sichern Sie Ihre Konten mit einer Bestätigung in zwei Schritten. Selbst ein erratenes Passwort ist damit deutlich weniger gefährlich.
• Nachrichten kritisch prüfen: Behandeln Sie unerwartete Mails, SMS und Anrufe im Namen von Paidwork, Ihrer Bank oder von Zahlungsdiensten als verdächtig, auch wenn Name, Adresse oder Kontonummer stimmen. Klicken Sie nicht auf enthaltene Links, sondern rufen Sie Dienste selbst über die Adressleiste oder ein Lesezeichen auf.
• Am Telefon nichts bestätigen: Lassen Sie sich bei Anrufen nicht unter Druck setzen, auch nicht, wenn der Anrufer Ihre echten Daten kennt. Nennen Sie keine TAN und keine weiteren Daten, legen Sie im Zweifel auf und rufen Sie nur über die offizielle Nummer auf Ihrer Bankkarte zurück.

Besonders perfide sind Betrugsanrufe, bei denen die Täter mit echten persönlichen Daten Vertrauen aufbauen oder sogar Stimmen künstlich nachahmen. Wie diese Masche funktioniert und wie Sie sie erkennen, lesen Sie in unserem Beitrag zu KI-Schockanrufen und Stimmenklonung. Grundsätzliche Tipps gegen Phishing bündelt auch die Verbraucherzentrale in ihrem Phishing-Radar.

Welche Rechte haben Sie als Betroffener?

Weil personenbezogene Daten von Privatpersonen aus dem DACH-Raum betroffen sind, greift die DSGVO. Nach Art. 34 DSGVO muss ein Unternehmen die Betroffenen benachrichtigen, wenn ein hohes Risiko für ihre Rechte und Freiheiten besteht, gerade bei Bank- und Identitätsdaten läge ein solches Risiko nahe. Bleibt eine solche Information aus, kann das den Unmut der Aufsichtsbehörden zusätzlich verschärfen. Darüber hinaus könnte bei einem nachgewiesenen Verstoß grundsätzlich ein Anspruch auf Schadensersatz nach Art. 82 DSGVO in Betracht kommen. Bei größeren Vorfällen bündeln Verbraucherzentralen, qualifizierte Einrichtungen oder spezialisierte Kanzleien solche Ansprüche unter Umständen in Sammel- oder Musterklagen. In unserem Premium-Tarif Tiefenreinigung ist genau das ein Teil des Service: Sind Sie als Kunde von einem Vorfall betroffen, weisen wir Sie über unseren Schadensersatz-Service aktiv auf passende Sammelklagen und mögliche Schadenersatzansprüche hin, damit Sie Ihre Rechte gegenüber dem verantwortlichen Unternehmen wahrnehmen können (ein Hinweis auf passende Verfahren, keine eigene Rechtsberatung). Mehr dazu lesen Sie in unserem Ratgeber Entschädigung bei Datenlecks: Wann Sie Geld zurückbekommen.

Langfristig: Ihre Angriffsfläche verkleinern

Der Fall Paidwork führt eine unbequeme Wahrheit vor Augen: Für ein paar Euro Nebenverdienst hinterlassen Nutzer bei solchen Plattformen einen erstaunlich vollständigen Datensatz, von der Bankverbindung bis zum Bildungsgrad. Verschwindet ein Anbieter im Schweigen, bleibt dieser Datensatz trotzdem im Umlauf. Was Sie beeinflussen können, ist, an wie vielen Stellen Kopien Ihrer Daten überhaupt liegen. Datenbroker sammeln Namen, Anschriften, Geburtsdaten und Kontaktdaten systematisch und verknüpfen sie mit weiteren Quellen. Mit jedem zusätzlichen Profil steigt die Gefahr, dass ein einzelnes Leck wie dieses zu einem präzisen Gesamtbild verschmilzt, der idealen Vorlage für überzeugende Betrugsmaschen. Wie Sie Ihren digitalen Fußabdruck systematisch verkleinern, zeigt unser Ratgeber zum digitalen Fußabdruck.

Hier setzt der Hebel der DSGVO an. Statt nur die Symptome wie Spam und Phishing abzuwehren, fordert Datenputzer bei über 100 Datenbrokern die Löschung Ihrer Bestände nach Art. 17 DSGVO an. Je weniger Profile von Ihnen im Umlauf sind, desto kleiner ist der Schaden bei jedem künftigen Leck.

Niemand weiß unmittelbar nach einem solchen Vorfall, in welche weiteren Sammlungen die Daten bereits geflossen sind und wer am Ende konkret geschädigt wird. Eine belastbare Betroffenenliste kommt bei einem schweigenden Anbieter erfahrungsgemäß gar nicht. Hinzu kommt: Gestohlene Daten tauchen nach einem Vorfall meist nicht sofort und nicht nur einmal auf, sondern werden über Wochen und Monate immer wieder neu gehandelt, kombiniert und als Dump verbreitet. Eine einmalige Prüfung von heute kann Sie also trügerisch beruhigen. Genau hier setzt unser Darknet-Radar an: Es überwacht Ihre hinterlegte E-Mail-Adresse fortlaufend und meldet sofort, sobald diese Daten infolge eines Hacks oder einer Datenpanne im Darknet auftauchen oder gehandelt werden. So erfahren Sie zeitnah von Ihrer Betroffenheit und nicht erst, wenn der Schaden bereits eingetreten ist. Der Unterschied ist entscheidend: Ein kostenloser Check zeigt nur bereits bekannte, veröffentlichte Leaks. Das dauerhafte Monitoring im Abo ist das, was Sie bei künftigen Vorfällen rechtzeitig warnt.