Die Meldung kommt meist unangekuendigt: Eine E-Mail des Anbieters, eine Warnung im Browser oder ein Treffer in einem Pruefdienst zeigt an, dass Ihre Zugangsdaten Teil eines Datenlecks geworden sind. Der erste Impuls ist oft Schreck oder das Gegenteil, naemlich Verharmlosung. Beides hilft nicht weiter. Ein Datenleck ist kein Weltuntergang, aber auch nicht harmlos. Entscheidend ist, dass Sie in den ersten Stunden und Tagen die richtigen Schritte in der richtigen Reihenfolge gehen. Dieser Ratgeber zeigt, wie Sie Ihre Betroffenheit feststellen, Schaden begrenzen und sich gegen die typische Folgewelle aus Phishing und Kontomissbrauch wappnen.
Was bei einem Datenleck eigentlich passiert
Bei einem Datenleck gelangen Datenbankinhalte eines Dienstes unkontrolliert nach aussen, etwa durch einen Hackerangriff, eine falsch konfigurierte Datenbank oder einen unzufriedenen Mitarbeiter. Diese Datensaetze werden anschliessend gehandelt, getauscht oder frei veroeffentlicht. Wie gefaehrlich das fuer Sie ist, haengt vollstaendig davon ab, welche Datenart betroffen ist. Eine geleakte E-Mail-Adresse allein ist unangenehm, aber begrenzt. Geleakte Passwoerter im Klartext oder schlecht verschluesselte Zugangsdaten sind dagegen ein akutes Problem, besonders wenn Sie dasselbe Passwort mehrfach verwenden.
Der gefaehrlichste Mechanismus heisst Credential Stuffing. Angreifer nehmen ein geleaktes Paar aus E-Mail und Passwort und probieren es automatisiert bei Dutzenden anderen Diensten durch. Wer ein Passwort wiederverwendet, oeffnet damit auf einen Schlag viele Tueren. Genau deshalb ist die Frage nach der Mehrfachnutzung von Passwoertern der wichtigste Hebel nach einem Leck.
Schritt 1: Betroffenheit feststellen
Bevor Sie hektisch alles aendern, verschaffen Sie sich einen Ueberblick. Seriose Leak-Pruefdienste sammeln bekannte Datenlecks und erlauben die Abfrage, ob Ihre E-Mail-Adresse darin auftaucht. Bekannt sind etwa Dienste, die Adressen gegen grosse Sammlungen abgleichen, sowie der Identity-Leak-Checker einer deutschen Forschungseinrichtung, der das Ergebnis per E-Mail zustellt. Wichtig ist, dass Sie nur Ihre E-Mail-Adresse eingeben, niemals Ihr Passwort in ein Formular tippen, dem Sie nicht vollstaendig vertrauen.
- Geben Sie Ihre wichtigsten E-Mail-Adressen einzeln in einen vertrauenswuerdigen Pruefdienst ein.
- Notieren Sie, bei welchen Diensten und in welchem Leck Sie auftauchen.
- Pruefen Sie, ob neben der E-Mail auch Passwoerter, Telefonnummern oder Zahlungsdaten genannt werden.
- Aktivieren Sie, falls vorhanden, die Benachrichtigung des Dienstes fuer kuenftige Funde.
Schritt 2: Passwoerter richtig aendern
Jetzt geht es ans Aendern, aber mit Plan. Beginnen Sie mit dem direkt betroffenen Konto und arbeiten Sie sich dann zu allen Diensten vor, bei denen Sie dasselbe oder ein aehnliches Passwort genutzt haben. Genau hier zeigt sich, warum Mehrfachnutzung so riskant ist: Ein einziges Leck zwingt Sie sonst zu einer Aenderungskette quer durch Ihr digitales Leben.
- Aendern Sie zuerst das Passwort des betroffenen Dienstes.
- Aendern Sie danach alle Konten mit demselben Passwort, vor allem Ihr E-Mail-Postfach, denn darueber laufen die meisten Passwort-Resets.
- Vergeben Sie pro Dienst ein eigenes, langes und zufaelliges Passwort.
- Nutzen Sie einen Passwortmanager, damit Sie sich diese Vielfalt nicht merken muessen.
Ein gutes Passwort ist heute vor allem lang. Eine Passphrase aus mehreren zufaelligen Woertern oder eine maschinell erzeugte Zeichenkette ist deutlich widerstandsfaehiger als ein kurzes Kunstwort mit Sonderzeichen. Wer die Staerke einer Passphrase einschaetzen oder eine zufaellige erzeugen moechte, findet passende Helfer in den Webtools.
Schritt 3: Zwei-Faktor-Authentifizierung nachruesten
Selbst ein perfektes Passwort kann erneut geleakt werden. Deshalb ist die Zwei-Faktor-Authentifizierung, kurz 2FA, die wichtigste Zusatzsicherung. Sie verlangt beim Login einen zweiten Nachweis, etwa einen Code aus einer Authenticator-App oder einen Hardware-Sicherheitsschluessel. Selbst wenn Angreifer Ihr Passwort kennen, scheitern sie ohne diesen zweiten Faktor.
- Bevorzugen Sie App-basierte Codes oder Hardware-Schluessel gegenueber SMS, da SMS abgefangen werden kann.
- Aktivieren Sie 2FA zuerst bei E-Mail, Online-Banking, Cloud-Speicher und sozialen Netzwerken.
- Beenden Sie in den Sicherheitseinstellungen alle aktiven Sitzungen und abgemeldeten Geraete, die Sie nicht kennen.
- Hinterlegen Sie Wiederherstellungscodes an einem sicheren, getrennten Ort.
Das aktive Beenden fremder Sitzungen ist oft unterschaetzt. Viele Dienste zeigen eine Liste eingeloggter Geraete. Taucht dort etwas Unbekanntes auf, melden Sie es ab und aendern sofort das Passwort.
Schritt 4: Die Phishing-Folgewelle erwarten
Nach einem groesseren Leck steigt die Zahl der Betrugsversuche spuerbar. Kriminelle wissen nun, bei welchen Diensten Sie Kunde sind, und schneiden ihre Nachrichten passgenau zu. Sie geben sich als der betroffene Anbieter aus, warnen vor angeblichen Sicherheitsproblemen und draengen Sie, ueber einen Link Ihre Daten zu bestaetigen. Genau dieser Link fuehrt dann zur gefaelschten Seite.
Erkennen laesst sich diese Welle an typischen Merkmalen: kuenstlicher Zeitdruck, Drohungen mit Kontosperrung, ungewohnte Absenderadressen und Links, deren tatsaechliches Ziel nicht zur angeblichen Marke passt. Klicken Sie im Zweifel nie auf den Link in der Nachricht. Rufen Sie die Seite des Anbieters stattdessen selbst ueber ein Lesezeichen oder die manuelle Eingabe der Adresse auf.
Schritt 5: Zahlungsdaten und Banking absichern
Sind Zahlungsdaten betroffen, gilt eine eigene Dringlichkeitsstufe. Kreditkartennummern, Bankverbindungen oder hinterlegte Bezahldienste koennen direkt zu finanziellem Schaden fuehren. Pruefen Sie Ihre Umsaetze in den folgenden Wochen besonders aufmerksam und reagieren Sie schon auf kleine, unerklaerliche Abbuchungen, denn diese sind oft Testbuchungen.
- Kontrollieren Sie Kontoauszuege und Kreditkartenabrechnungen engmaschig.
- Lassen Sie eine kompromittierte Karte sperren und neu ausstellen.
- Richten Sie, wo moeglich, Benachrichtigungen fuer Transaktionen ein.
- Widersprechen Sie unberechtigten Abbuchungen fristgerecht ueber Ihre Bank.
Risiko nach Datenart im Ueberblick
Nicht jede geleakte Information ist gleich gefaehrlich. Die folgende Tabelle ordnet die haeufigsten Datenarten nach Risiko ein und nennt die wichtigste Sofortmassnahme.
| Geleakte Datenart | Risiko | Sofortmassnahme |
|---|---|---|
| E-Mail-Adresse | Niedrig bis mittel: mehr Spam und gezieltes Phishing | Wachsam bleiben, Phishing erkennen, Absender pruefen |
| Passwort (Klartext oder schwach gehasht) | Hoch: Kontouebernahme, Credential Stuffing | Passwort sofort aendern, ueberall wo wiederverwendet, 2FA aktivieren |
| Telefonnummer | Mittel: Smishing, Anrufbetrug, SIM-Swapping-Vorbereitung | Auf unbekannte SMS und Anrufe achten, SMS-2FA meiden |
| Adresse und Geburtsdatum | Mittel: glaubwuerdigeres Phishing, Identitaetsmissbrauch | Identitaetsdiebstahl im Blick behalten, Sicherheitsfragen anpassen |
| Zahlungsdaten (Karte, IBAN) | Sehr hoch: direkter finanzieller Schaden | Karte sperren, Umsaetze pruefen, Bank informieren |
| Ausweis- oder Sozialdaten | Sehr hoch: umfassender Identitaetsmissbrauch | Vorfall dokumentieren, Anzeige pruefen, Konten ueberwachen |
So beugen Sie dem naechsten Leck vor
Ganz verhindern laesst sich ein Datenleck auf Anbieterseite nicht. Sie koennen aber dafuer sorgen, dass ein Leck Sie kuenftig deutlich weniger trifft. Drei Gewohnheiten machen den groessten Unterschied: einzigartige Passwoerter pro Dienst, ein Passwortmanager als Gedaechtnis und 2FA ueberall dort, wo es angeboten wird. Ergaenzend hilft es, ungenutzte Konten konsequent zu loeschen, denn was nicht existiert, kann auch nicht geleakt werden. Wer regelmaessig die eigenen Adressen gegen Leak-Datenbanken prueft, bemerkt Probleme frueh statt erst nach einem Schaden. Weitere Sicherheitsthemen finden Sie laufend im News-Bereich.
Haeufige Fragen
Woher weiss ich ueberhaupt, dass ich von einem Datenleck betroffen bin?
Meist erfahren Sie es durch eine Benachrichtigung des Anbieters, eine Browser-Warnung beim Login oder einen Treffer in einem Leak-Pruefdienst. Geben Sie dort nur Ihre E-Mail-Adresse ein, niemals Ihr Passwort. Manche Dienste bieten zudem an, Sie bei kuenftigen Funden automatisch zu informieren.
Muss ich nach einem Leck wirklich alle Passwoerter aendern?
Nicht alle, aber alle, die mit dem geleakten Passwort identisch oder aehnlich sind. Beginnen Sie beim betroffenen Konto und Ihrem E-Mail-Postfach. Wenn Sie pro Dienst ohnehin ein eigenes Passwort nutzen, reicht es, nur das eine betroffene Konto zu erneuern.
Reicht ein gutes Passwort nicht aus?
Ein langes, einzigartiges Passwort ist die Basis, aber es kann erneut geleakt werden. Erst die Zwei-Faktor-Authentifizierung sorgt dafuer, dass ein bekanntes Passwort allein nicht genuegt, um in Ihr Konto zu gelangen. Die Kombination aus beidem ist deutlich sicherer als ein Faktor allein.
Ist SMS als zweiter Faktor sicher genug?
SMS ist besser als gar kein zweiter Faktor, aber nicht die beste Wahl. Codes per SMS koennen unter Umstaenden umgeleitet oder abgefangen werden, etwa beim SIM-Swapping. Authenticator-Apps oder Hardware-Sicherheitsschluessel bieten ein hoeheres Schutzniveau.
Was tun, wenn meine Kreditkartendaten im Leck waren?
Behandeln Sie das als dringend. Lassen Sie die Karte sperren und neu ausstellen, kontrollieren Sie Ihre Umsaetze engmaschig und widersprechen Sie unberechtigten Abbuchungen fristgerecht ueber Ihre Bank. Schon kleine, unerklaerliche Betraege koennen Testbuchungen sein.
Wie oft sollte ich meine Adressen auf Lecks pruefen?
Ein Rhythmus von einigen Monaten ist sinnvoll, zusaetzlich nach jeder oeffentlich bekannt gewordenen groesseren Datenpanne. Noch bequemer ist es, die Benachrichtigungsfunktion eines vertrauenswuerdigen Pruefdienstes zu aktivieren, damit Sie bei neuen Funden automatisch erfahren, ohne selbst nachsehen zu muessen.