Datenleck: Was du tun kannst, wenn deine Daten betroffen sind

Ein Datenleck ist noch kein Identitätsdiebstahl

Bei einem Datenleck haben Unbefugte Zugriff auf Daten bekommen, die ein Unternehmen über dich gespeichert hatte. Das kann ein Angriff von außen sein, ein Fehler eines Mitarbeiters oder eine falsch eingestellte Datenbank. Was danach passiert, ist offen: Manche Daten werden verkauft, manche nie benutzt.

Die Verbraucherzentralen nennen die typischen Folgen: Versuche, mit den Daten an Passwörter und damit an Konten zu kommen, Betrugsversuche per Post, Telefon oder E-Mail und viel Spam. Sie raten, davon auszugehen, dass Betrüger an verschiedene persönliche Angaben gekommen sind, und wachsam zu sein.

Wie ernst es ist, hängt laut Verbraucherzentralen von drei Fragen ab: Bei welchem Unternehmen ist das Leck passiert, welche Daten hattest du dort, und an welche davon sind Kriminelle tatsächlich gekommen. Eine geleakte E-Mail-Adresse ist etwas anderes als eine geleakte IBAN, und die ist wieder etwas anderes als ein Passwort.

Wie du eine Benachrichtigung liest und prüfst

Ein Unternehmen muss ein Datenleck nach der Datenschutz-Grundverordnung (DSGVO) unverzüglich, möglichst innerhalb von 72 Stunden, der zuständigen Datenschutzaufsichtsbehörde melden, wenn ein Risiko für die Betroffenen besteht. Dich selbst muss es unverzüglich benachrichtigen, wenn voraussichtlich ein hohes Risiko besteht. So erklärt es das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein.

Eine solche Benachrichtigung muss mindestens enthalten:

• Name und Kontaktdaten der oder des Datenschutzbeauftragten oder einer anderen Anlaufstelle,
• eine Beschreibung der wahrscheinlichen Folgen,
• die Maßnahmen, die das Unternehmen ergriffen hat oder dir vorschlägt.

Ist eine persönliche Benachrichtigung nicht möglich oder zumutbar, darf das Unternehmen auch öffentlich informieren, etwa auf seiner Website oder in der Presse. Konkrete Angaben zu deinen einzelnen Datensätzen schreibt die DSGVO in der Benachrichtigung nicht vor. Was genau über dich gespeichert war, kannst du aber mit deinem Auskunftsrecht erfragen.

Weil Betrüger echte Datenlecks gern für eigene Mails nutzen, prüf jede Benachrichtigung, bevor du etwas tust:

1. Klick keinen Link in der Nachricht. Öffne die Website des Unternehmens selbst, indem du die Adresse eintippst, und such dort nach einer Mitteilung zum Vorfall.
2. Ruf nicht die Nummer aus der Nachricht an. Nimm die Nummer von deiner Rechnung, deinem Vertrag oder der Website.
3. Gib keine Daten zur „Bestätigung“ ein. Ein Unternehmen, das dich über ein Leck informiert, braucht dafür nicht dein Passwort, deine IBAN oder deine Kartennummer.
4. Misstraue Zusatzangeboten. Ein Link zu einem „Schutzpaket“ oder einer Entschädigung, für die du erst etwas eingeben oder zahlen sollst, ist ein Warnzeichen.

Die ersten Schritte, egal welche Daten betroffen sind

Ein paar Schritte lohnen sich bei jedem Datenleck, auch wenn du noch nicht weißt, was genau abgeflossen ist.

1. Prüf, ob deine Adresse in bekannten Leaks auftaucht. Das BSI verweist auf zwei kostenlose Leak-Checker: den Identity Leak Checker des Hasso-Plattner-Instituts und den Leak-Checker der Universität Bonn. Sie gleichen deine E-Mail-Adresse mit bekannten Datensammlungen ab.
2. Ändere das Passwort beim betroffenen Dienst und überall dort, wo du dasselbe Passwort benutzt. Das HPI erklärt warum: Wurde eine Kombination aus E-Mail-Adresse und Passwort gestohlen, kann sie zu jedem Konto passen, bei dem du diese Adresse angegeben hast.
3. Schalte die Anmeldung in zwei Schritten ein, zuerst beim E-Mail-Konto und beim Online-Banking. Dann reicht ein gestohlenes Passwort allein nicht mehr.
4. Sei bei Kontaktversuchen besonders wachsam. Die Verbraucherzentralen raten, nach einem Leck auf betrügerische Post, E-Mails, SMS und Anrufe zu achten.
5. Schreib dir auf, was du weißt: Name des Unternehmens, Datum der Benachrichtigung, betroffene Daten. Das brauchst du, wenn später etwas passiert.

Ein Hinweis zum Ergebnis eines Leak-Checkers: Das HPI zeigt nur, dass ein Passwort in einem Leck aufgetaucht ist, nicht, ob es noch funktioniert. Die Warnung bleibt deshalb auch nach dem Ändern bestehen.

Was du tust, je nachdem welche Daten betroffen sind

• E-Mail-Adresse, Name, Telefonnummer, Anschrift. Damit lassen sich vor allem glaubwürdige Nachrichten schreiben. Rechne mit mehr Spam und mit Mails, SMS oder Anrufen, die dich mit Namen ansprechen. Wie du sie erkennst, steht in Gefälschte E-Mail erkennen und Was ist Vishing?
• Passwort, auch verschlüsselt. Ändere es sofort beim betroffenen Dienst und überall, wo du es noch benutzt. Prüf in den Einstellungen deiner wichtigen Konten, welche Geräte angemeldet sind.
• IBAN und Kontodaten. Eine IBAN kann zum Beispiel für Lastschriften missbraucht werden. Lies deine Kontoauszüge regelmäßig. Eine erlaubte Lastschrift kannst du laut BaFin bis zu acht Wochen nach der Buchung zurückgeben. Für Zahlungen, die du nie erlaubt hast, gilt nach § 676b BGB eine Frist von 13 Monaten ab der Belastung, um sie deiner Bank zu melden. Melde dich aber so früh wie möglich.
• Kreditkartendaten. Ruf den Herausgeber deiner Karte an, unter der Nummer auf der Karte, und frag, ob die Karte ausgetauscht werden sollte. Sperren kannst du sie rund um die Uhr auch über den Sperr-Notruf 116 116.
• Geburtsdatum, Ausweisdaten, Steuer-ID. Diese Daten lassen sich nicht ändern. Fordere bei der SCHUFA die kostenlose Datenkopie nach Art. 15 DSGVO an, um zu sehen, ob Anfragen oder Verträge auftauchen, die du nicht kennst, und lies Post von unbekannten Absendern. Taucht etwas Fremdes auf, gelten die Schritte aus Identitätsdiebstahl: was tun.
• Gesundheitsdaten oder sehr private Inhalte. Sie können für Erpressungsversuche benutzt werden. Zahl nichts, sichere die Nachricht und erstatte Anzeige bei der Polizei.

Ein Einfrieren der Kreditakte, wie es in den USA nach Datenlecks oft empfohlen wird, gibt es in Deutschland nicht. Die Datenkopie und, wenn tatsächlich Missbrauch passiert ist, die Einmeldung bei der SCHUFA sind hier die Werkzeuge.

Die zweite Welle: Betrug, der das Leck selbst benutzt

Nach einem bekannten Datenleck kommen oft Nachrichten, die sich genau darauf beziehen. Sie wirken echt, weil sie stimmen: Das Leck gab es, und der Absender kennt deinen Namen oder deine Kundennummer.

Diese Formen sind typisch:

• Die falsche Sicherheitsabteilung. Ein Anruf angeblich von deiner Bank oder dem betroffenen Unternehmen: Wegen des Lecks müsse dein Konto „gesichert“ werden, dafür brauche man eine TAN oder eine Freigabe in der App.
• Die Mail mit Entschädigung. Wegen des Lecks stehe dir eine Zahlung zu, du müsstest nur deine Bankdaten bestätigen.
• Der Anwalt mit Sammelklage. Eine Kanzlei bietet an, deine Ansprüche durchzusetzen, verlangt aber vorher eine Gebühr oder sensible Daten.
• Die Erpressung. Jemand behauptet, er habe private Daten aus dem Leck, und droht, sie zu veröffentlichen.

In allen Fällen gilt: Kontakt nur über Wege, die du selbst herausgesucht hast. Keine TAN, keine Freigabe, keine Zahlung auf Grund eines Anrufs, der zu dir gekommen ist. Wie Täter am Telefon vorgehen und warum die angezeigte Nummer nichts beweist, steht in Was ist Vishing? Echte Ansprüche nach der DSGVO kannst du auch ohne unbekannte Vermittler prüfen, wie der nächste Abschnitt zeigt.

Wenn das Unternehmen dir einen Schutzdienst anbietet

Manche Unternehmen bieten Betroffenen nach einem Leck einen Dienst an, der zum Beispiel neue Anfragen bei einer Auskunftei oder das Auftauchen deiner Daten im Netz meldet. So ein Angebot kann nützlich sein, aber prüf es wie jeden anderen Vertrag:

• Melde dich nur über die Website des Unternehmens an, nicht über einen Link in einer Mail. Gerade solche Angebote werden gern gefälscht.
• Lies, wie lange der Dienst kostenlos ist und ob er danach von selbst in ein bezahltes Abo übergeht.
• Schau, welche Daten du dafür angeben sollst. Ein Dienst, der dich schützen soll, sollte nicht mehr Daten verlangen, als er wirklich braucht.

Ein solcher Dienst ersetzt nicht die eigenen Schritte. Die kostenlose Datenkopie bei der SCHUFA und ein Blick auf deine Kontoauszüge zeigen dir vieles, was ein bezahlter Dienst auch meldet.

Deine Rechte nach einem Datenleck

Die DSGVO gibt dir nach einem Leck mehrere Rechte, die du ohne Anwalt nutzen kannst.

• Auskunft. Du kannst vom Unternehmen erfahren, welche Daten es über dich gespeichert hat. Das hilft einzuschätzen, was im Leck gewesen sein kann.
• Löschung. Daten, die das Unternehmen nicht mehr braucht, kannst du löschen lassen. Die Verbraucherzentralen bieten dafür Hilfe an.
• Beschwerde. Nach Art. 77 DSGVO kannst du dich bei einer Datenschutzaufsichtsbehörde beschweren, wenn du meinst, dass mit deinen Daten gegen die DSGVO verstoßen wurde. Laut Bundesbeauftragter für den Datenschutz muss die Behörde dir spätestens nach drei Monaten den Stand mitteilen. Zuständig ist bei Unternehmen meist die Behörde deines Bundeslandes, bei Telekommunikations- und Postunternehmen der Bundesbeauftragte selbst.
• Schadensersatz. Nach Art. 82 DSGVO kann dir Schadensersatz zustehen. Der Bundesgerichtshof hat am 18. November 2024 im Fall eines großen Datenabflusses bei Facebook entschieden, dass schon der bloße und kurzzeitige Verlust der Kontrolle über eigene Daten ein immaterieller Schaden sein kann, ohne dass die Daten missbraucht worden sein müssen. Ob und wie viel dir zusteht, hängt vom Einzelfall ab.

Die Verbraucherzentralen haben ein kostenloses Online-Tool, mit dem du prüfen kannst, welche Rechte in deinem Fall in Frage kommen, und das dir Musterbriefe erstellt.

Worauf du in den Monaten danach achten solltest

Daten aus einem Leck können lange nach dem Vorfall auftauchen. Ein paar Gewohnheiten helfen, Missbrauch früh zu bemerken:

• Lies Kontoauszüge und Kreditkartenabrechnungen, auch kleine Beträge von Firmen, die du nicht kennst.
• Öffne Post von unbekannten Absendern, vor allem Rechnungen, Mahnungen und Inkassoschreiben. Eine Rechnung für eine Bestellung, die du nie gemacht hast, ist oft das erste Zeichen.
• Achte auf Mails, die bestätigen, dass ein Passwort geändert oder ein neues Gerät angemeldet wurde.
• Sei vorsichtig bei Anrufen, die das Leck erwähnen, auch Monate später.
• Wiederhole die Prüfung beim Leak-Checker gelegentlich, weil neue Datensammlungen hinzukommen.

Merkst du, dass jemand deine Daten tatsächlich benutzt, ist aus dem Leck ein Missbrauch geworden. Dann erstattest du Anzeige bei der Polizei oder über die Onlinewache deines Bundeslandes, informierst deine Bank und widersprichst jeder Forderung schriftlich. Die ganze Reihenfolge steht in Identitätsdiebstahl: was tun.

Für technische Fragen rund um die IT-Sicherheit hat das BSI ein Service-Center, das unter 0800 274 1000 erreichbar ist.

Häufige Fragen zu Datenlecks