Datenleck Leitfaden: Was tun bei Datenpanne und Identitätsdiebstahl

Eine Meldung über ein Datenleck, eine verdächtige Nachricht im Postfach oder ein Konto, in das Sie sich nicht mehr einloggen können: In all diesen Fällen hilft eine ruhige Reihenfolge. Dieser Leitfaden führt durch die wichtigsten Schritte. Er beginnt mit der Prüfung auf Datenlecks und behandelt dann Ansprüche, Passwörter und Zwei-Faktor-Schutz, gehackte Konten, Phishing und Identitätsdiebstahl.

Er stützt sich auf Seiten des Bundesamts für Sicherheit in der Informationstechnik (BSI), der Verbraucherzentrale und der Polizeilichen Kriminalprävention (ProPK). Wir bleiben bei dem, was diese Seiten sagen. Wo sie etwas offenlassen, steht das im letzten Abschnitt.

Was Sie zuerst tun können

Die Quellen legen diese Reihenfolge nahe:

1. Bewahren Sie Ruhe. Die Verbraucherzentrale nennt als Wichtigstes bei einem gehackten Konto, Ruhe zu bewahren und die Kontrolle über das Konto zurückzuerlangen.
2. Prüfen Sie, ob Ihre Daten in einem bekannten Datenleck stehen. Dafür gibt es kostenlose Leakchecker.
3. Ändern Sie Passwörter. Beginnen Sie mit dem E-Mail-Konto und ändern Sie jedes Passwort, das Sie mehrfach verwenden.
4. Aktivieren Sie die Zwei-Faktor-Authentisierung überall dort, wo ein Dienst sie anbietet.
5. Seien Sie wachsam bei Nachrichten. Nach einem Datenleck können Betrugsversuche per Post, E-Mail, SMS oder Telefon besonders überzeugend sein.
6. Kontrollieren Sie Konto und Karten. Bei ungerechtfertigten Abbuchungen kontaktieren Sie umgehend Ihre Bank.
7. Melden Sie Missbrauch. Bei Identitätsmissbrauch rät die Polizei, Anzeige zu erstatten und die Bank zu informieren.

Die kostenlose Analyse von Remove Me kann ein Ausgangspunkt sein, ohne Konto: Sie durchsucht öffentlich sichtbare Webergebnisse, bekannte öffentliche Datenlecks (Have I Been Pwned) und ein Register von Datenhändlern und zeigt Ihnen anschließend einen Bericht. Remove Me versendet bislang keine Löschanfragen in Ihrem Namen.

Datenleck prüfen

Die Verbraucherzentrale nennt Webseiten, auf denen Sie prüfen können, ob Sie von einem Datenleck betroffen sind: den Leakchecker der Universität Bonn und die Suche des Hasso-Plattner-Instituts (HPI). Beide prüfen mit den Daten vieler bereits bekannt gewordener Vorfälle. In ihrem Ratgeber zu gehackten Konten nennt die Verbraucherzentrale als weitere Möglichkeit den Dienst von Troy Hunt, einem Internet-Sicherheitsexperten und Blogger. Das BSI verweist in seinem Notfallplan darauf, dass sich unter dem englischen Begriff „Identity Leak Checker“ verschiedene kostenlose Angebote deutscher und internationaler Anbieter finden.

Wird Ihre E-Mail-Adresse oder Ihr Passwort dort gefunden, empfiehlt die Verbraucherzentrale, die Daten bei den betroffenen Diensten zu ändern. Verwenden Sie ein ähnliches Passwort auch bei anderen Konten, ändern Sie es dort umgehend. Sie können auch Ihre E-Mail-Adresse oder das Passwort ganz aufgeben und völlig neue Zugangsdaten erstellen.

Die Verbraucherzentrale rät außerdem, nach einem Datenleck davon auszugehen, dass Betrüger Zugriff auf viele verschiedene persönliche Angaben bekommen haben können.

Was bei einem Datenleck in falsche Hände geraten kann

Die Verbraucherzentrale nennt Unternehmen wie Facebook, Twitter, AOK, Deutsche Bank und Ticketmaster als Beispiele, die schon von Datenlecks betroffen waren. Hacker gelangen immer wieder an Millionen von Datensätzen privater Nutzerinnen und Nutzer. Werden diese Daten etwa im Darknet verkauft, kann das weitreichende Folgen haben.

Welche Angaben betroffen sein können

Was Kriminelle erhalten, hängt laut Verbraucherzentrale davon ab, bei welchem Unternehmen das Datenleck aufgetreten ist, welche Daten dort gespeichert waren und an welche Bestandteile sie gelangen konnten. Denkbar sind unter anderem:

• Name und Anschrift,
• E-Mail-Adresse,
• Telefonnummern,
• Geburtsdatum,
• Kunden- und Vertragsnummern.

Noch schlimmer kann es werden, wenn besonders sensible Daten wie Passwörter oder Zahlungsinformationen, etwa Kreditkartennummern, direkt in die falschen Hände geraten.

Mögliche Folgen

Solche Angaben können für Betrugsversuche verwendet werden. Möglich sind betrügerische Post, E-Mails, SMS oder Anrufe, in denen Sie aufgefordert werden, weitere Daten oder Zugänge zum Onlinebanking einzugeben. Kennen Betrüger schon einige Ihrer Daten, können sie solche Nachrichten besonders überzeugend gestalten. Auch massenweise Spam-Nachrichten und Versuche, Passwörter abzugreifen, können die Folge sein. Denkbar ist ebenfalls, dass mit einer geklauten Identität eingekauft wird.

Ihre Rechte und Ansprüche nach einem Datenleck

Nach dem Text der Verbraucherzentrale stehen Ihnen nach einem Datenleck Rechte aus der Datenschutz-Grundverordnung (DSGVO) zu, und auch Schadensersatzansprüche sind möglich. Die Verbraucherzentrale bietet dafür ein interaktives Tool an, mit dem Sie kostenlos prüfen, was in Ihrem Fall in Frage kommt. Sie erhalten dort Tipps und können sich kostenlos Musterbriefe für die Geltendmachung Ihrer Rechte erstellen lassen.

Grundsätzlich haben Sie nach der DSGVO das Recht, sich über Ihre bei Unternehmen gespeicherten Daten Auskunft geben und Daten löschen zu lassen. Die Verbraucherzentrale hält dazu eine Reihe von Musterbriefen bereit, darunter Briefe zur Berichtigung nach Art. 16, zur Löschung nach Art. 17 und zum Widerspruch gegen Datenverarbeitung. Für die Berichtigung nennt sie, dass das Unternehmen spätestens innerhalb eines Monats reagieren muss.

Welche Ansprüche Ihnen im Einzelfall tatsächlich zustehen, lässt sich aus den Seiten nicht sagen. Die Verbraucherzentrale verweist dafür auf ihr Prüf-Tool.

Passwörter ändern und Konten schützen

Nach einem Datenleck

Besteht der Verdacht, dass ein Passwort in einem Datenleck enthalten war, sollten Sie es laut BSI ändern. Dasselbe gilt für Passwörter, die Sie mehrfach verwenden. Der Notfallplan des BSI empfiehlt, von nun an für jeden Account ein eigenes Passwort zu verwenden, und zwar unterschiedliche und starke. Er rät, in einem Zug vorzugehen: So verkürzen Sie die Zeit, in der Unbefugte Ihnen zuvorkommen können. Beginnen Sie mit den Zugangsdaten des betroffenen E-Mail-Kontos.

Regelmäßige Wechsel gelten als überholt

In einer Pressemitteilung vom Januar 2025 schreibt das BSI, der Ratschlag, Passwörter vorsorglich regelmäßig zu ändern, sei überholt. Regelmäßige, anlassunabhängige Passwortwechsel führten erfahrungsgemäß dazu, dass zunehmend schwächere Passwörter genutzt werden. Sie sollten auch von Dritten, etwa Arbeitgebern, nicht gefordert oder technisch erzwungen werden. Besteht kein begründeter Verdacht, empfiehlt das BSI stattdessen, die Zwei-Faktor-Authentisierung zu aktivieren oder gleich auf Passkeys umzusteigen.

Starke Passwörter, Passwortmanager und Passkeys

Auch ein starkes Passwort bietet laut BSI allein keinen ausreichenden Schutz, weil Passwörter etwa bei einem Datenleck oder einem erfolgreichen Phishing-Angriff in falsche Hände geraten können. Wer Passwörter statt Passkeys nutzt, sollte möglichst starke verwenden. Ein Passwortmanager hilft laut BSI, den Überblick über die vielen Passwörter zu behalten.

Passkeys beschreibt die Pressemitteilung so: Statt ein Passwort einzugeben, nutzen Sie zum Beispiel Fingerabdruck, Gesichtserkennung oder eine PIN auf Ihrem Smartphone oder Computer, um ein kryptografisches Verfahren in Gang zu setzen. Weil kein Passwort mehr eingegeben wird, können Kriminelle es auch nicht per Phishing oder Datenleck abgreifen. Bietet ein Dienst weder Zwei-Faktor-Authentisierung noch Passkeys an, kann es sich laut BSI lohnen, nach Diensten mit besserem Schutz zu suchen.

Beim E-Mail-Konto beginnen

Wer seinen Kontoschutz überprüfen möchte, sollte laut BSI beim E-Mail-Konto anfangen. Darüber lassen sich oft die Anmeldeverfahren anderer Konten zurücksetzen, etwa bei sozialen Netzwerken. Außerdem können Täter per E-Mail vertrauenserweckend mit engen Kontakten kommunizieren.

Wie gut Ihr E-Mail-Anbieter geschützt ist, prüft der kostenlose E-Mail-Checker des BSI. Er untersucht, ob der Anbieter Nachrichten verschlüsselt versendet, ob moderne Sicherheitsprotokolle verwendet werden und ob E-Mails vor Manipulation geschützt sind. Geprüft werden Anforderungen der Technischen Richtlinie TR-03108 „Sicherer E-Mail-Transport“. Nicht geprüft werden organisatorische Anforderungen und technische Anforderungen, die sich nicht automatisiert prüfen lassen. Das BSI begründet die Bedeutung des Themas so: E-Mail-Konten seien häufig kaum geschützt, weil Passwörter mehrfach verwendet werden, keine Mehrfaktorauthentisierung eingerichtet ist, Nachrichten unverschlüsselt versendet werden und Anhänge und Links unbedacht geöffnet werden. Der Checker wird fortlaufend aktualisiert, und es lohnt sich laut BSI, regelmäßig nachzusehen.

Zwei-Faktor-Authentisierung

Bei der Zwei-Faktor-Authentisierung (2FA) identifizieren Sie sich beim Login zusätzlich oder alternativ zum Passwort. Das BSI erklärt: Nach der Eingabe eines guten Passworts folgt eine weitere Schranke. So erhalten Unbefugte keinen Zugang zu Ihren Daten, nur weil sie das Passwort kennen. Wichtig ist, dass die Faktoren aus verschiedenen Kategorien stammen: Wissen (zum Beispiel Passwort oder PIN), Besitz (zum Beispiel Chipkarte oder TAN-Generator) oder Biometrie (zum Beispiel Fingerabdruck).

Gängige Verfahren

Das BSI unterscheidet im Wesentlichen diese Gruppen:

• Einmalkennwörter (TAN oder OTP). Papierlisten (iTAN) gelten seit geraumer Zeit als nicht mehr sicher genug. Besser sind TAN-Generatoren oder Authenticator-Apps, die Einmalkennwörter stets neu erzeugen. Noch sicherer sind Generatoren, die Daten der Transaktion einbeziehen (eTAN, chipTAN). Gängig ist auch die Übermittlung per SMS (mTAN). Dafür sollte nicht dasselbe Gerät verwendet werden wie für das Login.
• Kryptografische Token. Sie speichern einen privaten Schlüssel, sicherer in Hardware, etwa auf einer Chipkarte oder einem USB-Stick oder NFC-Token (FIDO oder U2F). Auch der Personalausweis enthält einen sicheren Schlüsselspeicher für die Online-Ausweisfunktion.
• Biometrische Systeme. Sie prüfen ein zuvor erfasstes körperliches Merkmal. Da diese Merkmale normalerweise nicht geheim sind, ist eine Lebenderkennung wichtig, damit die Systeme nicht zum Beispiel mit einem Foto ausgetrickst werden können.

Das BSI nennt Einsatzfelder wie Online-Banking, Kartenzahlung, die Online-Ausweisfunktion, Cloud- und E-Mail-Anbieter sowie soziale Netzwerke und die Steuererklärung mit ELSTER.

Empfehlungen und Nachteile

Das BSI rät, die Zwei-Faktor-Authentisierung anzuwenden, sobald ein Dienst sie ermöglicht. Viele Dienste haben die Funktion standardmäßig deaktiviert, bieten sie aber an. Gerade bei Online-Banking, Online-Shopping und Konten mit weitreichenden Möglichkeiten wie E-Mail und Social Media lohne sich das Mehr an Sicherheit. Das BSI rät in jedem Fall davon ab, die Zwei-Faktor-Authentisierung zu deaktivieren. Gelangt Ihr Passwort in falsche Hände, sind Ihre Daten durch den zweiten Faktor trotzdem noch abgeschirmt.

Als Nachteile nennt das BSI, dass der Anmeldevorgang geringfügig länger dauert. Auf vertrauenswürdigen Geräten kann die Abfrage zwar übersprungen werden, das verringert aber die Sicherheit. Verlieren Sie den Besitz-Faktor oder geht er kaputt, verlieren Sie in der Regel den Zugang zum Dienst oder seine Funktionalität wird eingeschränkt. Das BSI empfiehlt vorzusorgen und, wenn möglich, mehrere zweite Faktoren zu hinterlegen, etwa ein weiteres Token, eine weitere TAN-App oder eine weitere Mobiltelefonnummer.

Gehacktes Konto erkennen und zurückholen

Woran Sie ein gehacktes Konto erkennen

Aus den Seiten von BSI und Verbraucherzentrale ergeben sich diese Hinweise:

• Sie können sich nicht mehr einloggen, oder Ihre Daten im Konto wurden geändert.
• Der Anbieter meldet eine Anmeldung von einem anderen Gerät, die nicht von Ihnen stammt, oder eine Änderung von E-Mail-Adresse oder Passwort.
• Es gibt gelesene Nachrichten, die Sie nicht geöffnet haben, oder Nachrichten werden scheinbar von selbst an andere versendet.
• Sie erhalten plötzlich gar keine Nachrichten mehr.
• Bekannte oder Kundschaft melden Nachrichten von Ihrer Adresse, die nicht von Ihnen stammen.
• Sie erhalten Bestellbestätigungen ohne eigene Bestellung, Mahnungen oder Inkassoschreiben, die Sie nicht zuordnen können.
• Sie werden erpresst und sollen zahlen, um das Konto wiederherzustellen.

Gleiche Anzeichen bei einem weiteren Konto, etwa einem Onlineshop, können nach dem BSI darauf hindeuten, dass das Passwort über die betroffene E-Mail-Adresse zurückgesetzt wurde.

Wenn Sie noch Zugriff haben

Die Verbraucherzentrale empfiehlt, vor Änderungen einen Virenscan durchzuführen, um Schadsoftware auszuschließen, und für die weiteren Schritte auf ein anderes Gerät zu wechseln. So können neue Zugangsdaten nicht abgefangen werden. Das BSI bezieht seine Tipps auf Zugriffe durch Fremde, die nicht mit Schadprogrammen durchgeführt wurden. Findet ein Virenscanner Schadprogramme, müssen diese zuerst beseitigt werden.

Dann nennt der Notfallplan des BSI diese Schritte:

1. Ändern Sie schnellstmöglich die Passwörter, beginnend mit dem E-Mail-Konto.
2. Beenden Sie alle aktiven Sitzungen. Danach muss auf jedem Gerät das neue Passwort eingegeben werden.
3. Ändern Sie die Passwörter aller Konten, die dasselbe Passwort nutzen oder bei denen die betroffene Adresse zum Zurücksetzen hinterlegt ist.
4. Kontrollieren Sie, ob Einstellungen verändert wurden, etwa automatische Weiterleitungen an fremde Adressen oder geänderte Rückfalloptionen wie eine Telefonnummer. Die Verbraucherzentrale nennt zusätzlich Filterregeln.
5. Prüfen Sie Anwendungen, bei denen Sie sich über das E-Mail-Konto per Single-Sign-On anmelden.
6. Informieren Sie Ihre Kontakte.
7. Beobachten Sie Ihre Online-Konten. Fällt nichts Seltsames mehr auf, ist laut BSI davon auszugehen, dass der Fremdzugriff aufgehört hat.

Bei Konten mit Bezahlfunktion empfiehlt die Verbraucherzentrale, die Bestell-Historie auf verdächtige Buchungen zu prüfen, den Shop-Betreibenden zu informieren, damit das Konto zeitweise gesperrt wird, und Buchungen soweit möglich zu stornieren.

Wenn Sie keinen Zugriff mehr haben

Das BSI rät, den Anbieter des betroffenen Kontos zu informieren und dessen Hinweisen zu folgen. Zusätzlich sollten Sie Passwörter anderer Konten ändern, die dasselbe Passwort nutzen oder die betroffene Adresse hinterlegt haben. Nutzen Sie das gehackte E-Mail-Konto für Single-Sign-On, informieren Sie auch diese Anbieter. Hinterlegen Sie, zumindest vorübergehend, eine neue E-Mail-Adresse bei Konten wie Profilen in sozialen Netzwerken.

Die Verbraucherzentrale beschreibt: Ist E-Mail-Adresse und Passwort geändert worden, müssen Sie sich unbedingt an das Unternehmen wenden und aktiv Hilfe einfordern. Liegt der fehlende Zugriff sehr wahrscheinlich daran, dass Hacker eine Zwei-Faktor-Authentisierung eingerichtet haben, kann das Unternehmen nach Prüfung Ihrer Identität möglicherweise den Zugang wieder einrichten. Ist das nicht möglich, ist der Zugriff laut Verbraucherzentrale unwiederbringlich verloren. Dann sollten Sie den gesamten Vorgang dokumentieren und aufbewahren, denn Ihre Daten könnten für Identitätsmissbrauch verwendet werden, von dem Sie unter Umständen erst viel später erfahren.

Bank, Karten und Versicherung

Wurde ein Bankzugang oder ein mit Kreditkarte oder Zahlungsdienst verknüpftes Konto gehackt, melden Sie sich laut Verbraucherzentrale unbedingt bei Bank oder Finanzdienstleister. Im Zweifel lassen Sie Karten vorsorglich sperren. Über die Rufnummer 116116 können mehrere Karten und Zugänge telefonisch gesperrt werden, darunter Girocard, Kreditkarten, der E-Personalausweis, Online-Banking, Telefonbanking und SIM-Karten. Die Rufnummer ist rund um die Uhr geschaltet, und die Verbraucherzentrale rät, sie an zentraler Stelle zu notieren. Haben Sie eine Cyberversicherung oder eine entsprechende Klausel in Hausrat- oder Haftpflichtversicherung, kontaktieren Sie Ihre Versicherung.

Phishing erkennen

Phishing-Nachrichten sehen laut BSI immer professioneller aus. Früher fielen sie oft durch eine unpersönliche Anrede oder schlechtes Deutsch auf. Tippfehler oder seltsame Umlaute sind heute nur noch selten ein eindeutiger Hinweis. Auch bei gut formuliertem Text sollten Sie wachsam bleiben.

Merkmale einer Phishing-Mail

Trifft mindestens eines der folgenden Merkmale zu, sollten Sie misstrauisch werden. Dann handelt es sich laut BSI mit hoher Wahrscheinlichkeit um eine Phishing-Mail:

• Der Text gibt dringenden Handlungsbedarf vor.
• Es kommen Drohungen zum Einsatz, etwa die Sperrung des Kontos.
• Sie sollen vertrauliche Daten wie die PIN des Online-Bankings oder eine Kreditkartennummer eingeben.
• Die Mail enthält Links oder Formulare.
• Die Mail scheint von einer bekannten Person oder Organisation zu stammen, doch das Anliegen wirkt ungewöhnlich.

Bei einer Mail im HTML-Format verbirgt sich hinter dem angezeigten Absender oft eine andere Adresse. Sie können das prüfen, indem Sie in einem gängigen E-Mail-Programm den Cursor über die Absenderzeile führen, ohne zu klicken, oder bei Browsern den Quelltext ansehen.

Gefälschte Webseiten

Das „https://“ in der Adresszeile bedeutet laut BSI keine Entwarnung mehr, denn auch Phishing-Betrüger erwerben Zertifikate. Prüfen Sie jeden Link in E-Mails und sozialen Netzen sorgfältig. Stutzig sollten Sie werden, wenn die Internetadresse den Namen einer Institution in Verbindung mit ungewöhnlichen Zahlen oder Zeichen enthält. Kurz-URL-Dienste können das Linkziel verbergen. Im Zweifel verzichten Sie auf den Klick. Eine TAN-Abfrage ohne eigene Transaktion ist ein klares Indiz für eine gefälschte Seite. Auch wenn Sie nach der Anmeldung bei Ihrer Bank bekannte Daten wie Name, Adresse oder IBAN erneut eingeben sollen, sind Sie mit hoher Wahrscheinlichkeit auf einer gefälschten Seite.

Risiken und Meldestellen

Wer auf einer gefälschten Bankseite die Kreditkartendaten eingibt, gibt den Tätern laut BSI alles an die Hand, was sie für einen ausgiebigen Einkauf brauchen. Phishing-Mails können außerdem Anhänge mit Schadsoftware enthalten, etwa Trojaner, Bots oder Ransomware. Das BSI verweist für Verdachtsfälle auf diese Stellen: die Bundesnetzagentur für Beschwerden über Spam- oder Phishing-Nachrichten per SMS oder Messenger, die Polizei für Strafanzeigen bei den Onlinewachen der Länder und das Phishing-Radar der Verbraucherzentralen, wo aktuelle Warnungen stehen und neue Phishing-Mails gemeldet werden können.

Identitätsdiebstahl

Was darunter zu verstehen ist

Beim Identitätsdiebstahl oder Identitätsbetrug geben sich Kriminelle laut ProPK mit gestohlenen Daten oder Gegenständen, etwa Ausweisen oder Pässen, als andere Personen aus oder handeln in deren Namen. Persönliche Daten gelangen oft durch Phishing oder durch Datenlecks bei Unternehmen in ihre Hände. Auch allzu freigiebige Social-Media-, Karriere- oder Dating-Profile können eine Informationsquelle sein. Mit Namen, Geburtsdatum, Anschrift oder Finanzdaten melden sie sich bei Online-Diensten an, bestellen Waren oder schließen Verträge und Darlehen auf Rechnung der Opfer ab. Die Folgen können bis zu strafrechtlichen Konsequenzen reichen. Oft erfahren die Betroffenen davon erst, wenn sie unerwartet Rechnungen oder Mahnungen erhalten.

Vorbeugen

Die Polizei nennt diese Schutzmaßnahmen:

• sichere, individuelle Passwörter und möglichst überall Zwei-Faktor-Authentifizierung,
• Vorsicht bei Nachrichten und Links von unbekannten oder verdächtigen Absendern,
• regelmäßige Kontrolle von Kontoauszügen und Online-Konten auf ungewöhnliche Buchungen,
• keine sensiblen Daten über öffentliche WLAN-Hotspots, nach Möglichkeit sichere Verbindungen oder VPN,
• Information über aktuelle Betrugsmaschen,
• sparsames Teilen persönlicher Daten und regelmäßige Prüfung der Privatsphäre-Einstellungen.

Im Ernstfall

Wenn Ihre persönlichen Daten missbraucht wurden, ist schnelles Handeln wichtig. Die Polizei empfiehlt:

1. Anzeige erstatten. Das ist auch online bei den Onlinewachen der Polizeien der Länder möglich.
2. Banken informieren. Setzen Sie Bank und Zahlungsdienste sofort in Kenntnis.
3. Ausweis sperren. Lassen Sie verlorene oder gestohlene Ausweise und die Online-Ausweisfunktion (eID) umgehend sperren.
4. Bonität prüfen. Fordern Sie eine kostenlose SCHUFA-Selbstauskunft an und lassen Sie bei Bedarf einen Sperrvermerk setzen.
5. Zugänge sichern. Ändern Sie Passwörter, aktivieren Sie zusätzliche Sicherheitsfunktionen und sichern Sie betroffene Konten.

Die Polizei bietet zudem Checklisten zum Herunterladen an, darunter zu Identitätsdiebstahl, Phishing und gehacktem Account.

Anzeige und Hilfe

Das BSI schreibt: Strafanzeigen geben Sie bei der jeweils zuständigen Strafverfolgungsbehörde auf, idealerweise mit umfänglichen Informationen wie Screenshots. Eine Anzeige kann gegebenenfalls auch aus versicherungsrechtlichen Gründen erforderlich sein. Die Verbraucherzentrale hält es für hilfreich, die nächste Polizeidienststelle aufzusuchen und den Sachverhalt direkt vorzutragen, auch wenn eine Online-Anzeige einfach und schnell geht.

Kommen Mahnungen per Briefpost, etwa wegen Onlinekäufen der Täterinnen und Täter, können Sie laut BSI erwägen, einen Anwalt einzuschalten. Das BSI kann dazu keine rechtlichen Empfehlungen aussprechen. Mahnungen per E-Mail sind oft gefälscht und sollten mit besonderer Vorsicht geprüft werden. Fragen Sie im Zweifel bei der Absenderin oder dem Absender nach, ohne den Kontaktdaten in der E-Mail blind zu vertrauen.

Die Verbraucherzentrale vergleicht ein gehacktes Online-Konto mit einem Einbruch in die Wohnung: Sie sind Opfer einer Straftat geworden. Die Opferhilfe kann Gespräche oder psychosoziale Unterstützung anbieten. Der Verein WEISSER RING ist bundesweit tätig und betreibt ein Opfer-Telefon unter 116 006. Weitere Unterstützung erhalten Sie laut BSI bei der Verbraucherzentrale Ihrer Region. Die Verbraucherzentrale rät außerdem, Familie, Freunde, Kolleginnen und Kollegen zu warnen. Damit schützen Sie diese vor Betrügern, die Ihre Daten für Phishing-Mails oder Schock-SMS verwenden, um Geld einzufordern.

Was die Quellen nicht klären

Die Seiten sagen nicht, wie viele Menschen ein bestimmtes Datenleck betrifft, und sie nennen keine Fristen für Schadensersatzansprüche. Ob einem einzelnen Datenleck ein Anspruch folgt, lässt sich aus den Texten nicht ableiten. Die Verbraucherzentrale verweist dafür auf ihr interaktives Prüf-Tool. Zu einzelnen betroffenen Unternehmen und deren Meldungen enthalten die Seiten ebenfalls keine Angaben.