Ein Datenleck bedeutet nicht automatisch, dass jemand Schaden hat. Was daraus wird, hängt davon ab, wie schnell und richtig reagiert wird. Dieser Artikel erklärt, was bei einem Datenleck tatsächlich passiert, welche Schritte in den ersten Stunden entscheidend sind und wie man verhindert, dass es überhaupt so weit kommt.
Was bei einem Datenleck passiert und was dabei oft übersehen wird
Ein Datenleck ist der unbeabsichtigte oder unbefugte Zugriff auf, die Offenlegung oder der Verlust von personenbezogenen Daten. Abstrakt formuliert, aber mit sehr konkreten Konsequenzen – je nachdem, welche Daten betroffen sind.
Der entscheidende Unterschied liegt darin, was genau abgeflossen ist. Leaked E-Mail-Adressen sind ärgerlich, öffnen aber vor allem Spam-Schleusen. Geleakte Passwörter sind gefährlicher, besonders wenn dieselben Zugangsdaten auf mehreren Plattformen verwendet werden. Kombination aus Name, Adresse, Geburtsdatum und Bankverbindung ermöglicht Identitätsmissbrauch. Medizinische Daten oder Informationen über sexuelle Orientierung haben nochmals ein eigenes Schadenspotenzial.
Datenlecks passieren übrigens seltener durch spektakuläre Hackerangriffe als durch banale Ursachen. Schwache Passwörter, unverschlüsselte Verbindungen, schlecht gesicherte Drittanbieter-Schnittstellen, menschliches Versagen. Eine falsch adressierte E-Mail mit sensiblem Anhang gilt rechtlich ebenfalls als Datenpanne. Die Folgen unterscheiden sich dabei kaum vom technischen Einbruch.
Wie du erkennst, ob deine Daten betroffen sind
Auf bekannte Datenlecks prüfen lässt sich schnell und kostenlos. Der bekannteste Dienst dafür ist Have I Been Pwned (haveibeenpwned.com): E-Mail-Adresse eingeben, Ergebnis in Sekunden. Der Dienst aggregiert öffentlich bekannte Datensätze und vergleicht, ob die eingegebene Adresse in einem bekannten Leak auftaucht.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bietet über identity-leak-checker.de eine ähnliche Funktion mit Fokus auf deutschsprachige Leaks an. Das Ergebnis: Die E-Mail-Adresse wird gehasht übertragen, es werden keine Klarnamen gespeichert.
Indirekte Hinweise auf einen Datenmissbrauch: unbekannte Login-Versuche in Account-Aktivitätslogs, plötzlich viele Spam-Mails oder Phishing-Nachrichten, verdächtige Buchungen auf Konten, Abbuchungen für Dienste, die man nicht abonniert hat, oder Kreditkartengesellschaften, die ungewöhnliche Transaktionen melden. Keiner dieser Hinweise ist ein Beweis, aber jeder ist ein Anlass zum Prüfen.
Sofortmaßnahmen: Was in den ersten 24 Stunden zählt
Wenn ein Datenleck bekannt wird oder ein begründeter Verdacht besteht, dass eigene Daten betroffen sind, gibt es eine klare Reihenfolge sinnvoller Schritte.
Zuerst: Passwörter ändern. Beginne mit dem Konto, das direkt betroffen ist, dann mit allen Konten, auf denen dasselbe oder ein ähnliches Passwort verwendet wurde. Das ist der häufigste Angriffspunkt: Credential Stuffing, bei dem geleakte Zugangsdaten systematisch bei anderen Diensten ausprobiert werden. Wer überall dasselbe Passwort nutzt, hat effektiv alle Konten gleichzeitig gefährdet.
Danach Zwei-Faktor-Authentifizierung aktivieren, überall wo es geht. Eine einmal geleakte E-Mail-Passwort-Kombination ist damit deutlich weniger wert – Angreifer bräuchten zusätzlich Zugriff auf ein physisches Gerät, was den Aufwand für die meisten Angriffe unrentabel macht.
Kontoauszüge und Kreditkartenabrechnung der letzten Wochen durchsehen. Bei Verdacht auf Identitätsmissbrauch: Schufa kontaktieren und eine Auskunftssperre beantragen, die kostenlos ist und unberechtigte Kreditanfragen blockiert.
Wenn persönliche oder finanzielle Daten abgeflossen sind: Anzeige bei der Polizei erstatten. Das ist auch dann sinnvoll, wenn die Täter nicht gefunden werden können – es dokumentiert den Vorfall und ist Voraussetzung für manche Versicherungsleistungen.
Deine Rechte: DSGVO, Meldepflicht und Schadensersatz
Die DSGVO regelt Datenlecks ausdrücklich und legt Pflichten sowohl für Unternehmen als auch Rechte für betroffene Personen fest. Die wichtigsten davon:
Meldepflicht für Unternehmen: Wer als Unternehmen oder Organisation einen Datenleck feststellt, muss diesen in der Regel innerhalb von 72 Stunden bei der zuständigen Datenschutzbehörde melden. In Deutschland sind das die Landesdatenschutzbehörden. Diese Frist gilt strikt. Wird die Meldung versäumt, sind empfindliche Bußgelder möglich.
Auskunftsrecht: Als betroffene Person hast du das Recht zu erfahren, welche Daten von einem Unternehmen verarbeitet werden. Das schließt ein, ob du von einem Datenleck betroffen warst. Unternehmen müssen auf solche Anfragen innerhalb von einem Monat antworten.
Schadensersatz: Artikel 82 DSGVO ermöglicht es Betroffenen, bei nachweisbarem Schaden durch einen Datenleck Schadensersatz von der verantwortlichen Stelle zu verlangen. Der Europäische Gerichtshof hat 2023 klargestellt, dass auch immaterieller Schaden – also Angst, Stress oder Kontrollverlust über eigene Daten – geltend gemacht werden kann. Wie hoch dieser ausfällt, ist allerdings von Gericht zu Gericht verschieden. Sammelklagen über Verbände wie die Verbraucherzentrale Bundesverband sind hier eine niedrigschwellige Option.
Beschwerde bei der Datenschutzbehörde: Wenn ein Unternehmen nicht reagiert, zu spät informiert oder unvollständige Auskünfte gibt, kann kostenlos Beschwerde bei der zuständigen Landesbehörde eingereicht werden. Diese hat Ermittlungs- und Sanktionsbefugnisse.
Prävention: Was vor dem Leck schützt
Die wirksamsten Schutzmaßnahmen gegen Datenlecks sind technisch nicht besonders komplex. Sie scheitern meist nicht an der Technik, sondern daran, dass sie konsequent umgesetzt werden müssen – und nicht nur einmalig.
Einzigartiges Passwort pro Dienst: Das ist die wichtigste Einzelmaßnahme. Wer nicht hundert verschiedene Passwörter im Kopf behalten kann (und das kann niemand), braucht einen Passwortmanager. Bitwarden ist kostenlos und Open Source. 1Password, Dashlane und KeePass sind Alternativen mit unterschiedlichen Stärken. Der Aufwand ist einmalig hoch und danach minimal.
Zwei-Faktor-Authentifizierung: Überall aktivieren, wo es angeboten wird. Priorität: E-Mail-Konto, Banking, Social-Media-Hauptaccounts, Cloud-Speicher. Eine einmal abgegriffene Passwortkombination reicht dann nicht mehr aus, um Zugriff zu bekommen.
Software aktuell halten: Viele Datenlecks auf Unternehmensseite passieren über bekannte Sicherheitslücken in veralteter Software. Was ich kontrollieren kann: das eigene Betriebssystem, Browser, Router-Firmware. Automatische Updates für alle drei aktivieren.
Datensparsamkeit als Prinzip: Je weniger Daten man an Dienste übergibt, desto weniger kann abfließen. Pflichtfelder ausfüllen, Freiwilliges weglassen. Wegwerfadressen oder Aliase für weniger wichtige Dienste nutzen – Anbieter wie SimpleLogin oder Apple's Hide My Email ermöglichen das ohne technischen Aufwand.
Phishing erkennen: Der häufigste Einstiegspunkt für Datenmissbrauch ist nicht der technische Einbruch, sondern das Erschleichen von Zugangsdaten über gefälschte Login-Seiten oder E-Mails. Typische Kennzeichen sind erzeugte Dringlichkeit, unbekannte oder leicht abgewandelte Absenderadressen, verdächtige URLs in der Adressleiste und die direkte Aufforderung, ein Passwort per E-Mail zu übermitteln. Kein seriöser Dienst tut das. Wer daran gewöhnt ist, die Adressleiste zu prüfen statt nur den Absendernamen, ist gegen den Großteil solcher Angriffe gewappnet.
Häufige Fragen zum Thema Datenleck
Muss ich informiert werden, wenn meine Daten von einem Datenleck betroffen sind?
Ja, unter bestimmten Bedingungen. Wenn ein Datenleck voraussichtlich ein hohes Risiko für betroffene Personen mit sich bringt – etwa bei Leaks von Gesundheitsdaten, Finanzdaten oder Passwörtern – müssen betroffene Personen laut DSGVO unverzüglich informiert werden. Bei geringem Risiko kann das Unternehmen davon absehen. In der Praxis ist die Benachrichtigung oft lückenhaft; regelmäßig selbst prüfen (Have I Been Pwned etc.) ist sinnvoll.
Was tun, wenn ein Unternehmen auf meine Anfrage nicht reagiert?
Beschwerde bei der zuständigen Datenschutzbehörde einreichen. In den meisten Bundesländern ist das der jeweilige Landesdatenschutzbeauftragte. Die Beschwerde ist kostenlos, und die Behörde hat die Befugnis, das Unternehmen zur Antwort zu verpflichten und bei DSGVO-Verstößen Bußgelder zu verhängen.
Kann ich Schadensersatz verlangen, wenn meine Daten geleakt wurden?
Ja, nach Artikel 82 DSGVO. Voraussetzung ist ein nachweisbarer Verstoß gegen die DSGVO durch das verantwortliche Unternehmen und ein kausaler Schaden. Seit dem EuGH-Urteil von 2023 gilt auch immaterieller Schaden (Kontrollverlust, Stress) als ausreichend. Die Durchsetzung ist einfacher über Verbraucherschutzverbände als im Alleingang; die Verbraucherzentralen beraten dazu kostenlos.
Wie sicher sind Passwortmanager?
Deutlich sicherer als die Alternative, überall dasselbe Passwort zu nutzen. Gute Passwortmanager verschlüsseln alle Daten lokal mit einem Master-Passwort, das der Anbieter selbst nicht kennt (Zero-Knowledge-Architektur). Selbst wenn der Anbieter gehackt wird, sind die gespeicherten Passwörter ohne das Master-Passwort wertlos. Bitwarden wurde 2024 unabhängig sicherheitsgeprüft und schnitt gut ab.
Was ist der Unterschied zwischen einem Datenleck und einem Datenschutzverstoß?
Ein Datenleck ist ein Ereignis: Daten sind unkontrolliert abgeflossen oder zugänglich geworden. Ein Datenschutzverstoß ist ein rechtlicher Begriff: das Unternehmen hat gegen die DSGVO verstoßen – was bei einem Datenleck zutreffen kann, aber nicht muss. Ein Datenleck trotz angemessener Sicherheitsmaßnahmen ist kein automatischer DSGVO-Verstoß. Unzureichende Sicherheitsvorkehrungen oder versäumte Meldepflichten schon.