Kurze Antwort
Ein Datenleck bedeutet, dass ein Unternehmen Daten verloren hat, darunter Ihre — meist eine E-Mail-Adresse, manchmal ein Passwort, eine Telefonnummer oder die Wohnadresse. Prüfen Sie, was betroffen ist (Mitteilung des Unternehmens, Have I Been Pwned, Googles Passwortcheck oder Apples Sicherheitsempfehlungen). Dann in dieser Reihenfolge: das betroffene Passwort ändern und jedes Konto, in dem Sie es wiederverwendet haben, beginnend mit Ihrem E-Mail-Konto; Bestätigung in zwei Schritten oder einen Passkey aktivieren; und mit Folge-Phishing rechnen — das britische NCSC warnt, dass Betrugsnachrichten oft Wochen nach Bekanntwerden eines Lecks eintreffen. Wurden Ausweis- oder Kartendaten erbeutet, prüfen Sie Ihre Kontoauszüge und sprechen Sie mit Ihrer Bank.
Zuerst klären, was abgeflossen ist
| Was betroffen ist | Das Risiko | Was tun |
|---|---|---|
| Nur die E-Mail-Adresse | Phishing und Spam, die persönlich wirken | Nachrichten „zum Datenleck“ misstrauen, ihre Links nicht nutzen |
| Passwort | Kontoübernahme, vor allem bei Wiederverwendung | Überall ändern, wo Sie es genutzt haben; 2FA aktivieren |
| Telefonnummer | Betrugs-SMS und -Anrufe, SIM-Swapping-Versuche | Beim Anbieter eine PIN einrichten — siehe SIM-Swap |
| Adresse, Geburtsdatum | Gezielter Betrug, der Ihre Daten „abgleicht“ | Vorsicht bei Anrufern, die diese Daten schon kennen |
| Ausweis- oder Kartennummern | Betrug und Konten in Ihrem Namen | Bank anrufen, Karte ggf. sperren lassen (Sperr-Notruf 116 116) |
Passwörter in der richtigen Reihenfolge ändern
- Zuerst Ihr E-Mail-Konto — jede andere Passwort-Zurücksetzung läuft darüber.
- Den betroffenen Dienst selbst.
- Jedes Konto, in dem Sie dasselbe oder ein ähnliches Passwort genutzt haben: Angreifer probieren erbeutete Passwörter automatisch auf anderen Seiten aus.
- Bank-, Zahlungs-, Shopping- und Social-Media-Konten.
Nutzen Sie für jedes Konto ein eigenes Passwort — ein Passwort-Manager macht das machbar —, und wo angeboten, ersetzt ein Passkey das Passwort ganz.
Tools, die zeigen, ob Sie betroffen sind
- Have I Been Pwned (haveibeenpwned.com): kostenlose Suche in öffentlich bekannten Lecks per E-Mail-Adresse. Das britische NCSC verweist darauf.
- Google Passwortcheck: Unter passwords.google.com werden gespeicherte Passwörter markiert, die offengelegt, mehrfach verwendet oder schwach sind.
- Apple Passwörter: Die Sicherheitsempfehlungen markieren geleakte, wiederverwendete und schwache Passwörter auf iPhone, iPad und Mac.
Vorsicht vor dem Folgebetrug
Auf Datenlecks folgen E-Mails, SMS und Anrufe, die mit den erbeuteten Daten echt wirken: „Ihr Konto ist kompromittiert, klicken Sie hier“, eine „Entschädigung für das Leck“ oder ein Anrufer, der Ihre Adresse schon kennt. Das NCSC rät, das Unternehmen über die offizielle Website oder App zu kontaktieren, nie über Links oder Nummern aus der Nachricht. Geben Sie niemandem, der Sie kontaktiert hat, einen Code oder ein Passwort. Melden Sie solche Nachrichten — siehe Phishing melden.
Wenn Ausweis- oder Finanzdaten betroffen sind
- Informieren Sie Ihre Bank und prüfen Sie die Umsätze auf unbekannte Zahlungen.
- In den USA ist ein Credit Freeze kostenlos und muss bei allen drei Auskunfteien eingerichtet werden; eine erste Betrugswarnung gilt laut FTC ein Jahr und kann verlängert werden.
- In anderen Ländern fragen Sie Ihre Bank oder die nationale Meldestelle nach Schutzmöglichkeiten — siehe Online-Betrug melden nach Land.
Häufige Fragen
Im Leck war nur meine E-Mail-Adresse. Muss ich etwas tun?
Nichts Dringendes, aber rechnen Sie mit gezielterem Phishing. Hat die betroffene Seite auch Ihr Passwort gespeichert, ändern Sie es dort und überall, wo Sie es wiederverwendet haben.
Ist Have I Been Pwned sicher?
Ja. Es ist ein verbreiteter kostenloser Dienst, auf den auch das britische NCSC verweist, und Sie geben nur eine E-Mail-Adresse ein — nie ein Passwort.
Soll ich das betroffene Konto löschen?
Wenn Sie es nicht mehr nutzen, senkt das Schließen das künftige Risiko. Ändern Sie zuerst das Passwort und löschen Sie das Konto dann über die offiziellen Einstellungen des Dienstes.
Wie lange gilt eine Betrugswarnung in den USA?
Laut FTC gilt eine erste Betrugswarnung ein Jahr und kann verlängert werden. Ein Credit Freeze bleibt bestehen, bis Sie ihn aufheben; Einrichten und Aufheben sind kostenlos.
Quellen: NCSC — Datenlecks: Leitfaden für Privatpersonen und Familien, Have I Been Pwned, Google-Kontohilfe — gehackte Passwörter ändern (Passwortcheck), Apple iPhone-Benutzerhandbuch — schwache oder kompromittierte Passwörter ändern, FTC — Credit Freezes und Betrugswarnungen