Was tun nach einem Datenleck? Die Checkliste

Dein Passwort war Teil eines Datenlecks? Diese Schritte solltest du jetzt in der richtigen Reihenfolge tun.

Eine Benachrichtigung, dass die eigene E-Mail-Adresse in einem Datenleck aufgetaucht ist, löst verständlicherweise Unbehagen aus - die richtige Reaktion in den ersten Stunden entscheidet aber maßgeblich darüber, ob aus dem Leck ein tatsächlicher Schaden entsteht. Diese Checkliste bringt Ordnung in den nächsten Schritten.

Schritt 1: Herausfinden, was genau betroffen ist

Prüfe zunächst, welche Daten laut Meldung tatsächlich betroffen sind - nur die E-Mail-Adresse, oder auch das Passwort, Zahlungsdaten oder weitere persönliche Informationen? Dienste wie "Have I Been Pwned" listen häufig auf, aus welchem konkreten Leck die eigene Adresse stammt und welche Datenfelder betroffen waren.

Schritt 2: Passwort beim betroffenen Dienst sofort ändern

Ändere das Passwort beim betroffenen Dienst umgehend, auch wenn noch unklar ist, ob es tatsächlich entschlüsselt wurde - seriöse Anbieter speichern Passwörter zwar gehasht, doch bei einem Leck kann nie vollständig ausgeschlossen werden, dass ein schwacher Hash-Algorithmus zum Einsatz kam. Nutze für das neue Passwort unseren Generator unter /tools/passwort-generator.

Schritt 3: Wurde das Passwort auch woanders verwendet?

Der wahre Schaden eines Datenlecks entsteht meist nicht beim betroffenen Dienst selbst, sondern durch Credential Stuffing: Angreifer testen das geleakte Passwort automatisiert bei zahllosen anderen Diensten. Wurde dasselbe Passwort auch für andere Konten verwendet, muss es überall geändert werden - und zwar durch jeweils ein neues, einzigartiges Passwort, nicht durch eine leichte Abwandlung.

Schritt 4: Zwei-Faktor-Authentifizierung aktivieren

Falls noch nicht geschehen, ist jetzt der richtige Moment, 2FA für den betroffenen Dienst und idealerweise für dein E-Mail-Postfach zu aktivieren. Selbst wenn ein Angreifer das (alte) Passwort kennt, verhindert der zweite Faktor in den meisten Fällen den eigentlichen Zugriff. Details zu den verschiedenen 2FA-Methoden findest du in unserem Artikel unter /blog/zwei-faktor-authentifizierung.

Schritt 5: Auf gezieltes Phishing vorbereitet sein

Nach einem Datenleck folgt häufig eine Welle gezielter Phishing-Versuche, die geleakte Details (etwa den Namen des betroffenen Dienstes) nutzen, um authentisch zu wirken. Sei in den folgenden Wochen besonders misstrauisch gegenüber E-Mails, die zur Eingabe von Zugangsdaten oder Zahlungsinformationen auffordern, und prüfe Absenderadressen genau, statt Links direkt anzuklicken.

Schritt 6: Melden und dokumentieren

Bei einem Datenleck mit personenbezogenen Daten aus Deutschland oder der EU ist das betroffene Unternehmen verpflichtet, dieses innerhalb von 72 Stunden der zuständigen Aufsichtsbehörde zu melden. Als Betroffener kannst du zusätzlich selbst Kontakt zur Datenschutzaufsichtsbehörde aufnehmen, insbesondere wenn ein konkreter Schaden entstanden ist. Mehr zu deinen Rechten als Betroffener erklärt unser Artikel zur DSGVO unter /blog/dsgvo-fuer-privatpersonen.