Datenleck: Was tun? Die Schritte nach einem Datenleck der Reihe nach

Sie haben erfahren, dass Daten von Ihnen in einem Datenleck aufgetaucht sein könnten. Das ist unangenehm, aber Sie können Schritt für Schritt vorgehen. Dieser Beitrag fasst zusammen, was das Bundesamt für Sicherheit in der Informationstechnik (BSI) und die Verbraucherzentrale dazu schreiben. Er bleibt bewusst bei diesen Aussagen. Die BSI-Seite behandelt gehackte E-Mail-Konten, die Verbraucherzentrale-Seite Datenlecks und mögliche Ansprüche. Die Verbraucherzentrale-Seite trägt den Stand 12. Dezember 2024.

Schritt 1: Prüfen, ob Ihre Daten betroffen sein könnten

Die Verbraucherzentrale nennt Webseiten, auf denen Sie prüfen können, ob Sie von einem Datenleck betroffen sind, zum Beispiel den Leakchecker der Universität Bonn oder die Identity-Leak-Suche des Hasso-Plattner-Instituts. Diese Seiten prüfen mit den Daten vieler bereits bekannt gewordener Vorfälle. Auch das BSI weist darauf hin, dass es unter dem englischen Begriff „Identity Leak Checker“ verschiedene kostenlose Angebote deutscher und internationaler Anbieter gibt.

Das BSI nennt außerdem Anzeichen für ein gehacktes E-Mail-Konto:

• Sie können sich nicht mehr einloggen, Ihre Zugangsdaten könnten geändert worden sein.
• Sie erhalten Benachrichtigungen über Änderungen, die nicht von Ihnen stammen, etwa Anmeldungen über neue Geräte.
• Sie finden Aktivitäten, die Sie nicht vorgenommen haben, zum Beispiel Nachrichten, die Sie nicht verfasst haben.
• Dritte melden Ihnen Nachrichten, die von Ihrem Konto, aber nicht von Ihnen verschickt wurden.

Schritt 2: Passwörter ändern

Die Verbraucherzentrale rät, Passwörter umgehend zu ändern, wenn besonders sensible Daten wie Passwörter oder Zahlungsinformationen in falsche Hände geraten sind. Das gilt auch an anderen Stellen, an denen Sie dieselben oder ähnliche Passwörter verwenden.

Das BSI beschreibt für den Fall, dass Sie noch auf Ihr E-Mail-Konto zugreifen können, diese Reihenfolge:

1. Ändern Sie schnellstmöglich Ihre Passwörter, mit unterschiedlichen und starken Passwörtern. Gehen Sie in einem Zug vor, um die Zeit zu verkürzen, in der Unbefugte Ihnen zuvorkommen können.
2. Beginnen Sie mit den Login-Daten des betroffenen E-Mail-Kontos. Dann kann es nicht länger genutzt werden, um die Passwörter anderer Accounts zurückzusetzen.
3. Beenden Sie alle aktiven Sitzungen. In den Einstellungen können Sie meist alle Sitzungen oder Anmeldungen mit einem Klick beenden.
4. Ändern Sie die Passwörter aller weiteren Konten, die dasselbe Passwort nutzen oder bei denen die betroffene E-Mail-Adresse zum Zurücksetzen hinterlegt ist. Vergeben Sie ab jetzt für jeden Account ein anderes Passwort.

Wenn Sie keinen Zugriff mehr auf das Konto haben

Das BSI nennt für diesen Fall folgende Schritte:

• Informieren Sie den Anbieter des betroffenen Kontos und folgen Sie dessen Hinweisen.
• Ändern Sie die Passwörter anderer Online-Konten, bei denen Sie dasselbe Passwort verwenden oder die betroffene E-Mail-Adresse hinterlegt haben.
• Nutzen Sie das E-Mail-Konto für Single-Sign-On bei anderen Anwendungen, informieren Sie auch deren Anbieter. Wenn möglich, erstellen Sie eigene Anmeldedaten.
• Hinterlegen Sie zumindest vorübergehend eine neue E-Mail-Adresse bei Online-Konten, bei denen zuvor die betroffene Adresse hinterlegt war.
• Informieren Sie Ihre Kontakte, dass Nachrichten dieser E-Mail-Adresse möglicherweise nicht von Ihnen stammen.

Das BSI weist zudem darauf hin, dass diese Tipps für Zugriffe durch Fremde gelten, die nicht mit Schadprogrammen durchgeführt wurden. Findet ein Virenscanner Schadprogramme, müssen diese zuerst beseitigt werden.

Schritt 3: Kontoeinstellungen kontrollieren

Hatten Sie noch Zugriff auf das E-Mail-Konto, sollten Sie laut BSI kontrollieren, ob Einstellungen verändert wurden. Kritisch wären zum Beispiel automatische Weiterleitungen von Nachrichten an fremde E-Mail-Adressen oder Änderungen an Rückfalloptionen wie einer hinterlegten Telefonnummer.

Prüfen Sie auch Anwendungen, bei denen Sie sich über das E-Mail-Konto per Single-Sign-On anmelden. In den Einstellungen des Kontos können Sie erfahren, für welche Anwendungen das der Fall ist und ob neue hinzugefügt wurden.

Schritt 4: Wachsam bei Phishing und Betrugsversuchen bleiben

Die Verbraucherzentrale schreibt, dass Betroffene davon ausgehen sollten, dass Betrüger Zugriff auf viele verschiedene persönliche Angaben bekommen haben könnten. Was tatsächlich betroffen ist, hängt davon ab, bei welchem Unternehmen das Datenleck aufgetreten ist, welche Daten dort gespeichert waren und an welche Bestandteile Kriminelle gelangen konnten.

Denkbar sind unter anderem Name und Anschrift, E-Mail-Adresse, Telefonnummern, Geburtsdatum sowie Kunden- oder Vertragsnummern. Solche Angaben können für Betrugsversuche verwendet werden. Achten Sie deshalb darauf, ob Sie betrügerische Post, E-Mails, SMS oder Anrufe erhalten. Darin könnten Sie aufgefordert werden, weitere Daten oder Zugänge zum Onlinebanking einzugeben. Haben Betrüger schon einige Ihrer Daten, können sie solche Nachrichten besonders überzeugend gestalten.

Auch Mahnungen sind ein Thema. Laut BSI sind Mahnungen per E-Mail oft gefälscht und sollten mit besonderer Vorsicht geprüft werden. Im Zweifel fragen Sie beim Absender nach, aber vertrauen Sie nicht blind den Kontaktdaten in der E-Mail.

Schritt 5: Finanzen im Blick behalten

Die Verbraucherzentrale rät: Entdecken Sie ungerechtfertigte Abbuchungen vom Konto oder Belastungen der Kreditkarte, kontaktieren Sie umgehend Ihre Bank. Denkbar sei auch, dass mit einer geklauten Identität eingekauft wird.

Das BSI empfiehlt außerdem, Ihre Online-Konten zu beobachten. Wenn Ihnen keine seltsamen Informationen mehr auffallen, ist laut BSI davon auszugehen, dass der Fremdzugriff aufgehört hat.

Anzeige und weitere Hilfe

Strafanzeigen geben Sie nach dem BSI bei der jeweils zuständigen Strafverfolgungsbehörde auf. Nehmen Sie idealerweise umfängliche Informationen wie Screenshots mit. Eine Anzeige kann gegebenenfalls auch aus versicherungsrechtlichen Gründen erforderlich sein. Das BSI kann keine rechtlichen Empfehlungen aussprechen und verweist für weitere Informationen auf die Verbraucherzentrale Ihrer Region.

Ihre Rechte nach einem Datenleck

Laut Verbraucherzentrale stehen Ihnen nach einem Datenleck Rechte aus der Datenschutz-Grundverordnung zu. Auch Schadensersatzansprüche seien möglich. Grundsätzlich haben Sie das Recht, sich Auskunft über Ihre bei Unternehmen gespeicherten Daten geben zu lassen oder die Löschung zu verlangen. Mit einem interaktiven Tool können Sie kostenlos prüfen, was in Ihrem Fall in Frage kommt, und sich Musterbriefe erstellen lassen. Wie Sie dabei im Einzelnen vorgehen und welche Fristen gelten, schildern die hier ausgewerteten Seiten nicht.

Wie die kostenlose Analyse von Remove Me dazu passt

Die kostenlose Analyse von Remove Me funktioniert ohne Konto. Sie geben Ihre Angaben ein, und der Dienst durchsucht öffentlich sichtbare Webergebnisse, bekannte öffentliche Datenlecks (über Have I Been Pwned) und ein Register von Datenhändlern. Danach zeigt er einen Bericht, den Sie mit einem sechsstelligen Code freischalten, der per E-Mail zugeschickt wird. Remove Me versendet noch keine Löschanfragen in Ihrem Namen.