Was ist ein Datenleck? Wie Sie Ihre Konten überprüfen und Ihre Daten schützen

Eine Benachrichtigung über einen Datenverstoß kann beunruhigend sein, insbesondere wenn sie per SMS oder E-Mail eintrifft und zum schnellen Handeln auffordert. Stellen Sie sich zunächst eine ruhige Frage: Welche Informationen wurden offengelegt und was kann jemand damit anfangen? Ein Datenverstoß bedeutet, dass Daten ohne Autorisierung offengelegt oder abgerufen wurden; er beweist nicht automatisch, dass sich jemand in Ihr Konto eingeloggt oder Ihre Identität missbraucht hat. Ihr bestes Ergebnis erzielen Sie mit verifizierten Fakten, geschützten Konten und einem klaren Plan für alle offengelegten Finanz- oder Identitätsdaten.

Gehen Sie wie folgt vor: Überprüfen Sie die Benachrichtigung, prüfen Sie, welche Informationen zu Ihrer E-Mail-Adresse vorliegen, sichern Sie Konten, die offengelegte Zugangsdaten enthalten, und ergreifen Sie je nach Art der betroffenen Daten weitere Maßnahmen. Diese Anleitung basiert auf US-Verbraucherrichtlinien (Stand: 26. September 2026). Einzelne Unternehmen können für ihre jeweiligen Vorfälle zusätzliche Anweisungen geben.

1. Überprüfen Sie die Mitteilung, bevor Sie handeln.

Wenn ein Unternehmen behauptet, Ihre Daten seien von einem Datenleck betroffen, nutzen Sie nicht den Link oder die Telefonnummer in der Nachricht, um sich anzumelden. Öffnen Sie stattdessen die App des Unternehmens oder geben Sie eine Ihnen bekannte Website-Adresse ein. Suchen Sie anschließend in Ihrem Konto nach einer Benachrichtigung oder kontaktieren Sie den Support über einen vertrauenswürdigen Kanal. Die US-amerikanische Federal Trade Commission (FTC) empfiehlt denselben praktischen Rat für unerwartete Nachrichten: Kontaktieren Sie das Unternehmen über eine Website oder Telefonnummer, von der Sie wissen, dass sie existiert.

Lesen Sie die Benachrichtigung sorgfältig durch, um Informationen zum betroffenen Dienst, dem Datum des Vorfalls, den betroffenen Datenkategorien und den vom Unternehmen empfohlenen Maßnahmen zu erhalten. In der Benachrichtigung kann angegeben sein, dass eine E-Mail-Adresse, ein Passwort, eine Telefonnummer, Zahlungsdaten, eine Sozialversicherungsnummer oder andere Informationen offengelegt wurden. Diese Angaben beeinflussen die Vorgehensweise. Bewahren Sie die Benachrichtigung und deren Datum auf, falls Sie später das Unternehmen, die Bank, die Versicherung oder eine Behörde kontaktieren müssen.

Seien Sie vorsichtig, wenn die Nachricht Sie zu sofortigem Handeln drängt, nach einem Passwort oder Einmalcode fragt, eine Zahlung verlangt oder Sie auf eine unbekannte Website weiterleitet. Eine echte Sicherheitswarnung bedeutet nicht, dass jede Folgenachricht legitim ist. Wenn die Nachricht echt sein könnte, kontaktieren Sie das Unternehmen unabhängig und fragen Sie nach, ob die Warnung von ihm stammt. Geben Sie keine persönlichen Daten preis und gewähren Sie dem Anrufer keinen Fernzugriff auf Ihr Gerät.

2. Überprüfen Sie Ihre E-Mail-Adresse und die betroffenen Konten.

Sie können eine E-Mail-Adresse auf Have I Been Pwned suchen , einem Dienst zur Suche nach Datenlecks, der meldet, ob die Adresse in den gesammelten Datensätzen zu Datenlecks enthalten ist. In den FAQs wird erklärt, dass die Suche keine mit einer Adresse verknüpften Passwörter anzeigt. Nutzen Sie dies als einen Hinweis, nicht als vollständige Sicherheitsprüfung. Eine Seite mit dem Ergebnis „Keine Ergebnisse“ kann nicht ausschließen, dass Ihre Daten jemals offengelegt wurden: Ein Datenleck könnte neu sein, nicht öffentlich gemeldet oder nicht im Dienst erfasst. Manche sensible Vorfälle sind auch nicht öffentlich recherchierbar.

Geben Sie nur die E-Mail-Adresse ein, die Sie überprüfen möchten. Fügen Sie Ihr Passwort niemals auf einer Webseite zur Suche nach Sicherheitslücken, in einer Nachricht oder in einem Formular ein, das behauptet, Ihre Offenlegung „bestätigen“ zu können. Wenn Sie überprüfen möchten, ob ein Passwort bekanntermaßen kompromittiert ist, verwenden Sie die Sicherheitsfunktionen eines vertrauenswürdigen Passwort-Managers oder folgen Sie den offiziellen Anweisungen des Anbieters. Die sicherste und schnellste Lösung für ein kompromittiertes Passwort ist, es durch ein neues, sicheres Passwort zu ersetzen.

Melden Sie sich anschließend selbst beim betroffenen Dienst an, indem Sie dessen App oder die Website öffnen. Überprüfen Sie die letzten Anmeldeaktivitäten, die verwendeten Geräte, die Wiederherstellungs-E-Mail-Adressen und Telefonnummern, die verbundenen Apps sowie Sicherheitswarnungen (sofern vom Dienst angeboten). Achten Sie bei E-Mail-Konten auch auf ungewöhnliche Weiterleitungsregeln oder Filter. Unbekannte Sitzungen, eine geänderte Wiederherstellungsadresse, Nachrichten, die Sie nicht gesendet haben, oder unerwartete Benachrichtigungen zum Zurücksetzen des Passworts sind stärkere Anzeichen dafür, dass auf Ihr Konto zugegriffen wurde. Ein Eintrag in einer Liste von Sicherheitsvorfällen allein beweist noch keine Kontoübernahme.

3. Sichern Sie die Konten in der richtigen Reihenfolge.

Falls die offengelegten Daten ein Passwort enthalten, ändern Sie es beim betroffenen Dienst und überall dort, wo Sie es wiederverwendet haben. Beginnen Sie mit Ihrem primären E-Mail-Konto, da E-Mails häufig die Passwortzurücksetzung für andere Dienste steuern. Sichern Sie anschließend Ihre Konten bei Finanzdienstleistern, Mobilfunkanbietern, Cloud-Speichern, Online-Shops und sozialen Netzwerken, die dasselbe Passwort verwendet haben. Wenn jedes Konto bereits ein anderes Passwort hat und die Benachrichtigung besagt, dass kein Passwort offengelegt wurde, kann eine routinemäßige Passwortänderung überall zusätzlichen Aufwand bedeuten, ohne das spezifische Risiko zu beheben.

Erstellen Sie für jedes Konto ein anderes, langes Passwort. Ein seriöser Passwort-Manager kann eindeutige Zugangsdaten generieren und speichern, sodass Sie sich nicht alle merken müssen. Laut den aktuellen NIST-Richtlinien für digitale Identität (SP 800-63B Revision 4) sollten Dienste keine willkürlichen, regelmäßigen Passwortänderungen vorschreiben, sondern nur dann, wenn Anzeichen für eine Kompromittierung vorliegen. Ändern Sie ein bereits kompromittiertes oder wiederverwendetes Passwort umgehend. Bei Konten, die nicht von einem Sicherheitsvorfall betroffen sind und über eindeutige Zugangsdaten verfügen, konzentrieren Sie sich auf die Multi-Faktor-Authentifizierung (MFA), Wiederherstellungseinstellungen und verdächtige Aktivitäten, anstatt Passwörter regelmäßig zu ändern.

Aktivieren Sie die Multi-Faktor-Authentifizierung (MFA) für Ihre E-Mail-, Finanz-, Mobilfunk- und andere wichtige Konten, sofern verfügbar. MFA verlangt neben dem Passwort einen zusätzlichen Identitätsnachweis, z. B. die Bestätigung durch einen Authentifizierungsdienst, einen Sicherheitsschlüssel, einen Passkey oder einen Einmalcode. Bevorzugen Sie einen Passkey, Sicherheitsschlüssel oder eine andere phishingresistente Methode, wenn ein Dienst diese anbietet. CISA empfiehlt nach Möglichkeit phishingresistente MFA und weist darauf hin, dass die Bestätigung per Telefonnummernabgleich eine sicherere Alternative zu einer unbestätigten Push-Benachrichtigung darstellt. Wenn die SMS-Verifizierung die einzige Option ist, bietet sie zwar eine zusätzliche Sicherheitsebene neben dem Passwort, schützt aber auch die Telefonnummer und den Wiederherstellungsprozess. Weitere Informationen zu den Vor- und Nachteilen finden Sie in den CISA-Richtlinien zur Multi-Faktor-Authentifizierung .

Nach einer Passwortänderung melden Sie sich bitte über die Sicherheitsseite des Anbieters von allen anderen Sitzungen ab und entfernen Sie unbekannte Geräte oder verbundene Apps. Prüfen Sie, ob die Wiederherstellungsdaten noch Ihnen gehören, und speichern Sie alle Backup-Codes an einem sicheren Ort, getrennt von Ihrem Smartphone. Sollten Sie keinen Zugriff auf Ihr Konto haben, nutzen Sie bitte das offizielle Kontowiederherstellungsverfahren des Anbieters. Bei unautorisierten Finanzaktivitäten kontaktieren Sie bitte umgehend Ihre Bank oder Ihren Kartenaussteller über die auf Ihrer Karte angegebene Nummer oder die offizielle App.

4. Ordnen Sie die nächste Aktion den offengelegten Informationen zu.

In den USA ist eine Kreditsperre kostenlos und erschwert es Unbefugten, in Ihrem Namen neue Kreditkonten zu eröffnen. Sie schützt jedoch nicht vor jeder Betrugsart, beispielsweise vor Abbuchungen mit einer bestehenden Zahlungskarte. Unter Umständen müssen Sie die Sperre vorübergehend aufheben, wenn Sie einen Kredit beantragen. Die FTC (Federal Trade Commission) erläutert die Unterschiede zwischen Kreditsperren und Betrugswarnungen. Bei Verdacht auf Identitätsdiebstahl hilft Ihnen IdentityTheft.gov bei der Erstellung eines Wiederherstellungsplans. Sie müssen nicht auf eine Benachrichtigung über einen Datenverlust warten, um die dortigen Hinweise zu nutzen.

Wie Sie feststellen können, ob Ihre Antwort funktioniert

Achten Sie auf konkrete Änderungen, nicht auf das Versprechen, dass ein Datenleck rückgängig gemacht werden kann. Sie sollten wissen, welcher Dienst betroffen war und welche Datenkategorien genannt wurden; alle offengelegten oder wiederverwendeten Passwörter geändert haben; die Zwei-Faktor-Authentifizierung (2FA) aktiviert haben, wo dies möglich ist; und Sitzungen oder verbundene Apps entfernt haben, die Sie nicht kannten. Überprüfen Sie Ihre Bank- und Kartenumsätze auf Transaktionen, die Sie nicht erklären können. Wenn Ihre Identitätsdaten offengelegt wurden, entscheiden Sie, ob eine Kreditsperre oder eine Betrugswarnung in Ihrem Fall angebracht ist, und überprüfen Sie den Status direkt bei den Auskunfteien.

Bewahren Sie die Benachrichtigung, die Antwort des Unternehmens, die Fallnummern und Notizen zu Anrufen oder strittigen Transaktionen auf. Überprüfen Sie Ihre Kontobewegungen und Kontoauszüge regelmäßig, insbesondere nach Benachrichtigungen, die Finanz- oder Identitätsdaten betreffen. Sollten neue Benachrichtigungen zum Zurücksetzen des Passworts, unbekannte Anmeldedaten, unberechtigte Abbuchungen oder Konten, die Sie nicht eröffnet haben, auftauchen, behandeln Sie den Vorfall nicht länger als reines Benachrichtigungsproblem: Kontaktieren Sie den betroffenen Anbieter oder die Bank und befolgen Sie die Wiederherstellungsschritte von IdentityTheft.gov.

Was eine Sicherheitsüberprüfung Ihnen nicht sagen kann

Eine öffentliche E-Mail-Abfrage prüft nur die für diesen Dienst verfügbaren Datensätze; sie kann weder jede private Datenbank durchsuchen noch vorhersagen, ob jemand Informationen missbrauchen wird. Ein fehlerfreies Suchergebnis ist kein Beweis dafür, dass Sie nicht betroffen sind, und ein Treffer beweist nicht, dass sich ein Angreifer in Ihr Konto eingeloggt hat. Ebenso kann die Kreditüberwachung zwar helfen, einige Veränderungen zu erkennen, verhindert aber nicht, dass jemand versucht, offengelegte Daten zu missbrauchen. Das Zurücksetzen des Passworts schützt zukünftige Anmeldungen mit diesen Zugangsdaten; es kann jedoch keine Kopien bereits offengelegter Informationen entfernen.

Für bundesweite Verbraucher- und Normenrichtlinien beginnen Sie mit den Schritten der FTC nach einem Datenleck , den CISA-Richtlinien „Secure Our World“ und den NIST SP 800-63B Revision 4- Richtlinien für Passwörter. Bei offengelegten Sozialversicherungs- oder Identitätsdaten nutzen Sie die Schritte von IdentityTheft.gov zum Thema Datenverlust oder -diebstahl . Diese Tools reduzieren das Risiko und helfen bei der Organisation der Wiederherstellung. Die richtigen Folgemaßnahmen hängen jedoch vom genauen Inhalt der Benachrichtigung und Ihren Beobachtungen in Ihren Konten ab.

Die Hinweise wurden am 26. September 2026 geprüft. Da sich Sicherheitseinstellungen und Datenbanken mit Sicherheitsvorfällen ändern können, verwenden Sie bitte die jeweils aktuelle Hilfeseite und das Konto-Dashboard des Anbieters, um die genauen Schritte zu erfahren.