Kurzfassung
- Ein Datenleck passiert, wenn ein Unternehmen, das Informationen über dich hat, die Kontrolle darüber verliert — durch einen Angreifer, eine falsche Konfiguration oder jemanden von innen. Manche Fälle sind klein, andere betreffen Hunderte von Millionen Menschen.
- Der erste Schritt ist herauszufinden, was tatsächlich offengelegt wurde. Nicht alle Datenlecks sind gleich: Eine geleakte E-Mail-Adresse ist ärgerlich; ein geleaktes Passwort ist dringend; ein geleaktes Ausweisdokument ist ein langer Weg.
- Je größer das Datenleck, desto häufiger taucht es später als Phishing auf — personalisiert mit Details aus deiner Vergangenheit — weil Angreifer Leak-Datensätze kaufen und kombinieren.
- Du kannst kostenlos und mit seriösen Diensten prüfen, ob deine E-Mail oder Telefonnummer in bekannten Datenlecks auftaucht. Mach das einmal jetzt, dann einmal im Jahr.
- Wenn eine kritische Identitätsinformation geleakt wurde (Passnummer, nationale Ausweisnummer, vollständige Bankdaten), ist das keine reine "Datenleck"-Reaktion mehr — das geht in Richtung Identitätsdiebstahl-Prävention. Handele schneller und dokumentiere alles.
Was ist das
Ein Datenleck passiert, wenn Informationen über Menschen — meistens Kunden, Mitarbeiter, Mitglieder oder Patienten — die Kontrolle der Organisation verlassen, die sie eigentlich schützen sollte. Die Ursachen sind häufiger alltäglich als dramatisch:
- Ein Angreifer nutzt eine Sicherheitslücke auf der Website des Unternehmens oder bei einem seiner Dienstleister.
- Ein Mitarbeiter klickt auf eine Phishing-E-Mail und der Angreifer nutzt seine Zugangsdaten, um eine Kundendatenbank herunterzuladen.
- Ein Cloud-Speicher war versehentlich öffentlich zugänglich.
- Ein Backup-Band wurde verloren, ein Laptop gestohlen, ein USB-Stick im Zug vergessen.
- Ein verärgerter Mitarbeiter hat die Datenbank beim Verlassen des Unternehmens mitgenommen.
- Ein Drittanbieter (der Zahlungsdienstleister, die Marketing-Plattform, der Analysedienst) wurde gehackt und hat dabei die Daten des Unternehmens mitgenommen.
Was offengelegt wird, variiert stark. Häufige Kategorien:
- Nur eine E-Mail-Adresse — peinlich, aber allein meist geringes Risiko.
- E-Mail plus Passwort (oft "gehashed", manchmal im Klartext) — hohes Risiko, besonders wenn du das Passwort woanders wiederverwendet hast.
- E-Mail, Passwort, Name, Geburtsdatum, Adresse, Telefonnummer — erhebliches Risiko; das ist der Datensatz, der jahrelang überzeugenden Phishing-Angriffe ermöglicht.
- Finanzdaten — Kartennummern, Kontonummern — führen normalerweise zur Kartenersetzung.
- Ausweisdokumente — Reisepass, nationaler Ausweis, Führerschein — langfristiges Identitätsdiebstahlrisiko.
- Sensible Kategorien — Gesundheit, sexuelle Orientierung, Religion, politische Ansichten, Biometrie — diese haben unter der DSGVO zusätzlichen Schutz und Meldepflichten.
Wie du es erfährst
Einige häufige Wege:
- Das Unternehmen schreibt dir eine E-Mail. "Wir schreiben Ihnen, um Sie über einen Vorfall zu informieren, der Ihre Daten betreffen könnte." Lies sie sorgfältig; klicke keine Links darin an; überprüfe, was offengelegt wurde, anhand der offiziellen Pressemitteilung des Unternehmens.
- Eine Schlagzeile nennt ein Unternehmen, das du genutzt hast. Suche nach dem Namen des Unternehmens plus "Datenleck" und lies mindestens zwei unabhängige Quellen.
- Eine Behörde veröffentlicht eine Bekanntmachung. In der EU werden große Datenlecks den Datenschutzbehörden gemeldet und oft veröffentlicht.
- Ein kostenloser Überwachungsdienst benachrichtigt dich. Have I Been Pwned (haveibeenpwned.com) ist der bekannteste und vertrauenswürdigste — er lässt dich jede E-Mail-Adresse in bekannten öffentlichen Datenlecks prüfen, und du kannst dich kostenlos für Benachrichtigungen anmelden.
- Ein Passwort-Manager meldet wiederverwendete oder gehackte Zugangsdaten.
- Eine Welle personalisierter Phishing-Nachrichten kommt an — E-Mails, die deine alte Adresse kennen, den Namen deines Hundes, das Unternehmen, für das du 2017 gearbeitet hast. Das sind geleakte Daten, die eingesetzt werden.
Was du tun solltest
Schritt 1 — herausfinden, was offengelegt wurde.
Lies die offizielle Mitteilung des Unternehmens sorgfältig. In den meisten Ländern sind sie verpflichtet, dir die Kategorien der betroffenen Informationen mitzuteilen. War es nur deine E-Mail, oder auch ein Passwort, oder auch eine Zahlungskarte, oder auch dein Ausweis? Die Reaktion unterscheidet sich je nach Fall.
Wenn die Mitteilung vage ist — "einige Kontoinformationen" — suche nach unabhängigen Berichten (Sicherheitsjournalisten, der Hinweis der nationalen Datenschutzbehörde). Verlasse dich nicht nur auf die Darstellung des Unternehmens.
Schritt 2 — reagiere auf das, was tatsächlich offengelegt wurde.
- Nur E-Mail. Meist ein Ärgernis. Erwarte mehr Spam und möglicherweise mehr Phishing. Sonst nichts nötig.
- Passwort. Ändere es sofort auf der betroffenen Website. Wenn du es woanders wiederverwendet hast, ändere es überall. Das ist der Moment, einen Passwort-Manager einzuführen, falls du noch keinen hast.
- E-Mail plus Passwort. Wie oben, plus 2FA auf dem betroffenen Konto und auf E-Mail aktivieren, falls noch nicht geschehen.
- Adresse, Geburtsdatum, Telefonnummer. Erwarte monatelang personalisierten Phishing. Sei langsamer als üblich, wenn du auf Nachrichten antwortest, die Details über dich "kennen".
- Kartendaten. Ruf den Kartenaussteller an; beantrage eine neue Karte und Nummer. Behalte die Kontoauszüge im nächsten Monat genau im Blick.
- Bankdaten. Benachrichtige die Bank, markiere das Konto. Achte auf kleine "Test"-Transaktionen vor größeren.
- Ausweisdokumente. Das ist jetzt ein Identitätsdiebstahl-Präventionsszenario, nicht nur eine Datenleck-Reaktion. Siehe Identitätsdiebstahl-Wiederherstellung; richte eine Kreditsperre ein; erwäge das Dokument ersetzen zu lassen, wenn das in deinem Land möglich ist.
- Sensible personenbezogene Daten (Gesundheit, sexuelle Orientierung, Religion usw.). Unter der DSGVO hast du möglicherweise besondere Rechte auf Wiedergutmachung und Entschädigung. Wende dich an deine nationale Datenschutzbehörde; du hast möglicherweise auch einen Anspruch gegen das Unternehmen.
Schritt 3 — mach deine Rechte geltend.
In der EU, im Vereinigten Königreich, in der Schweiz und in vielen anderen Ländern hast du das Recht:
- zu wissen, welche Daten das Unternehmen über dich hat (Auskunftsanfrage betroffener Personen).
- Löschen von Daten zu verlangen, die das Unternehmen nicht mehr benötigt (Recht auf Löschung / Recht auf Vergessenwerden).
- bestimmten Verarbeitungen zu widersprechen.
- bei deiner nationalen Datenschutzbehörde Beschwerde einzulegen.
- Entschädigung zu verlangen, wenn du einen Schaden erlitten hast.
Die Beschwerde ist kostenlos, oft online, und die Behörde wird ermitteln, auch wenn du die technischen Details nicht vollständig verstehst.
Was du NICHT tun solltest
- Ignoriere die Mitteilungs-E-Mail nicht, weil sie wie Marketing aussieht. Sie ist selten ein Betrug — aber wenn du unsicher bist, gehe direkt auf die Website des Unternehmens, anstatt auf den Link in der E-Mail zu klicken.
- Antworte nicht auf Folge-Nachrichten, die "Datenwiederherstellung" oder "Kreditschutz" anbieten, ohne dass du darum gebeten hast. Das sind oft opportunistische Betrügereien, die Datenleck-Opfer mit personalisierten Angeboten ansprechen.
- Akzeptiere das kostenlose Kreditüberwachungsangebot des Unternehmens nicht, ohne die Bedingungen zu lesen — manche verlangen, dass du auf dein Klagerecht verzichtest.
- Ändere das Passwort nicht in einem öffentlichen WLAN-Netzwerk, wenn du eine andere Wahl hast. Warte, bis du zu Hause bist.
- Gehe nicht davon aus, dass "sie haben nur das gehashte Passwort" bedeutet, dass das Passwort sicher ist. Die Hash-Qualität variiert; manche Hashes sind bei schwachen Passwörtern in Stunden knackbar. Ändere es.
- Gib dir nicht die Schuld. Das Datenleck war nicht dein Fehler. Du hast dem Unternehmen deine Daten in gutem Glauben gegeben; sie haben es versäumt, sie zu schützen.
KI zur Hilfe nutzen
Die Mitteilung einordnen:
"Ich habe eine Datenleck-Benachrichtigung von [Unternehmen] erhalten. Unten ist die Nachricht, die sie gesendet haben, und alle Details zum Datenleck, die ich in den Nachrichten gefunden habe. Bitte hilf mir (a) zu verstehen, welche Kategorien meiner Daten wahrscheinlich offengelegt wurden, (b) die Aktionen mit höchster Priorität aufzulisten, die ich in den nächsten 24 Stunden unternehmen muss, (c) die Kategorien von Folgeangriffe zu identifizieren, für die ich in den nächsten drei Monaten wachsam sein sollte, und (d) mir zu sagen, ob das Datenschutzgesetz meines Landes mir spezifische Rechte oder Rechtsmittel bietet, die ich in Betracht ziehen sollte.
[Benachrichtigung + Nachrichtenzusammenfassung einfügen]"
Eine Auskunftsanfrage verfassen:
"Ich möchte von [Unternehmen] eine Kopie aller Daten anfordern, die sie über mich haben, und dabei mein Recht gemäß [DSGVO / UK DPA / Schweizer DSG / usw., je nach Land] ausüben. Bitte verfasse einen formellen Brief auf [Sprache], der die Rechtsgrundlage, den Umfang der Anfrage und eine angemessene Frist für die Antwort enthält. Halte den Ton professionell und bestimmt."
Wen du anrufen solltest
- Das Unternehmen selbst, über ihren offiziellen Kanal — aber lies zuerst unabhängige Quellen, um zu wissen, was du fragen sollst.
- Deine Bank oder dein Kartenaussteller, wenn Finanzdaten offengelegt wurden.
- Deine nationale Datenschutzbehörde, um eine Beschwerde einzureichen und zu prüfen, ob sie Orientierungshilfen für das spezifische Datenleck veröffentlicht haben.
Nationale Datenschutzbehörden:
- Deutschland — Bundesbeauftragter für den Datenschutz (BfDI, bfdi.bund.de) plus je eine Landes-Datenschutzbehörde.
- Österreich — Datenschutzbehörde (DSB, dsb.gv.at).
- Schweiz — Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB, edoeb.admin.ch).
- Liechtenstein — Datenschutzstelle (datenschutzstelle.li).
In der EU können Beschwerden bei jeder nationalen Datenschutzbehörde des Mitgliedstaates eingereicht werden, in dem du lebst, arbeitest oder in dem der Verstoß stattgefunden hat.
Wann du mehr als ein Gespräch brauchst
- Ein Datenleck betrifft Ausweisdokumente oder sensible besondere Datenkategorien und du lebst in der EU/UK/CH — reiche eine formelle Beschwerde bei deiner Datenschutzbehörde ein. Die Untersuchung ist kostenlos; wenn ein materieller Schaden eingetreten ist, hast du möglicherweise einen Schadensersatzanspruch.
- Das Datenleck war bei deiner Bank, deiner Versicherung oder einem wichtigen Gesundheitsdienstleister — sprich mit einem Anwalt, wenn du von ihnen keine klaren Antworten über Umfang und Zeitplan erhältst. Für manche Datenlecks gibt es nach verschiedenen nationalen Gesetzen Sammelklagemechanismen.
- Du wirst erpresst — "wir haben deine Daten, zahle uns, damit wir sie löschen" — zahle nicht; erstatte Anzeige bei der Polizei; die Daten sind bereits öffentlich.
- Die Daten eines Kindes wurden offengelegt — Kinderdaten genießen in den meisten Ländern besonderen Schutz; wende dich direkt an die Behörde. Achte auf Konten, die lange nach dem Datenleck im Namen des Kindes eröffnet werden.
- Dein Arbeitgeber hatte ein Datenleck und deine Arbeitszugangsdaten könnten offengelegt worden sein — informiere sofort die IT-Abteilung; dieselben Zugangsdaten könnten Zugang zu internen Systemen geben.
Quellen & weiterführende Lektüre
- Have I Been Pwned — öffentliche Datenleck-Datenbank
- EU DSGVO — Artikel 33, 34 (Datenleck-Meldung), 82 (Entschädigung)
- Schweizer DSG / nDSG — aktuelle Regeln zu Auftragsverarbeiter-Pflichten
- ENISA — jährliche Berichte zu Datenleck-Trends
- State of the Phish Reports — Phishing-Folgeangriffe nach größeren Datenlecks