Cyberangriffe & Datenpannen: Richtig reagieren bei einem Datenleck

Datenleck

Das Wichtigste in Kürze

  • Datenlecks gefährden Ihre persönlichen Daten. Sie sind häufig Folge von Sicherheitslücken.
  • Verantwortliche müssen Betroffene informieren.
  • Betroffene sollten schnell handeln und beispielsweise Passwörter ändern und eine Zwei-Faktor-Authentifizierung einrichten.
Stand: 26.03.2025

Digitale Dienstleister, soziale Netzwerke und Onlineshops sind immer wieder Ziel von Cyberangriffen. Der Grund: Sicherheitslücken. Als Folge davon liegen Ihre Nutzerdaten ungeschützt im Netz und Kriminelle können diesen für betrügerische Zwecke nutzen. 

Datenlecks, Datenpannen oder auch Datenleaks sind Sicherheitsvorfälle, bei denen sensible, personenbezogene Daten wie Name, Vorname, E-Mailadressen, Passwörter oder Kreditkarteninformationen ungewollt an die Öffentlichkeit geraten. Sie können auf technische Probleme, menschliches Fehlverhalten oder vorsätzliche Angriffe durch Hacker oder andere kriminellen Gruppen zurückzuführen sein. 

Wer ist bei Datenlecks verantwortlich?

Verantwortlich ist jede Stelle, die über die Verarbeitung von personenbezogenen Daten entscheidet. Bei Online-Shops verarbeiten etwa Händlerinnen und Händler, aber auch Schnittstellen-Dienstleistende persönliche Daten. Bei Facebook, Instagram ist Meta in der Verantwortung.

Datenleck entdeckt: Verantwortliche müssen informieren

Ist das Datenleck entdeckt, müssen die Verantwortlichen betroffene Verbraucherinnen und Verbraucher unverzüglich, d.h. ohne unangemessene Verzögerung, hierüber informieren. So regelt es die Datenschutzgrundverordnung. Hinweis: Wenn das Datenleck kein Risiko für die betroffene Person darstellt, ist keine Meldung erforderlich. Wurde etwa das Unternehmen gehackt, aber die personenbezogenen Daten waren verschlüsselt und damit unbrauchbar, ist kein Zugriff auf die Daten erfolgt.  Folgende Informationen sind Ihnen mitzuteilen:

  • Klare und verständliche Erklärung des Vorfalls: Wann wurde der unberechtigte Zugriff – ein Cyberangriff – entdeckt? Was ist passiert? Wer hat auf Ihre Daten zugegriffen? Wie konnte es zu dem Vorfall kommen.
  • Welche Daten betroffen sind: Das können Ihr Name, Vorname, durchgeführte Transaktionen, Konto- oder Kreditkartendaten, Ausweisdaten, E-Mail-Adresse, Postanschrift, Geburtsdatum, Gesundheitsdaten, aber auch Daten zum Spielverhalten sein. Manchmal sind auch Benutzername und Passwörter betroffen.
  • Welche Risiken bestehen: Das Unternehmen muss Ihnen eine Risikoeinschätzung geben. Ist das Risiko eines Identitätsmissbrauchs eher gering oder doch sehr hoch. Je nachdem welche Daten abgegriffen wurden, kann auch das Risiko entsprechend hoch sein. 
  • Was Sie tun können: Als Maßnahme käme zum Beispiel die Änderung von Passwörtern in Frage.  Oder aber eine Sperrung der Kreditkarte oder des Personalausweises. 
  • Kontaktinformationen für Rückfragen

Außerdem haben die Verantwortlichen die Datenpanne der zuständigen Datenschutzaufsichtsbehörde innerhalb von 72 Stunden nachdem sie hierüber Kenntnis erlangt haben zu melden. Sie müssen die Art des Verstoßes benennen und mitteilen, welche Datenkategorie und Personenanzahl betroffen sind. Außerdem muss sie mögliche Folgen des Datenlecks sowie ergriffene Maßnahmen zur Behebung und Minderung der Folgen schildern.

Was können Sie tun?

Bei einer Datenpanne droht ein Identitätsmissbrauch mit nachteiligen Folgen für Sie. Daher sollten Sie schnell und überlegt handeln. Je nachdem, wie umfangreich das Datenleck war sollten Sie:

  • Eigene Daten prüfen: Prüfen Sie, ob Ihre persönlichen Daten, wie Ihre E-Mail-Adresse oder Passwörter im Internet veröffentlicht wurden. Es gibt verschiedene Möglichkeiten, wie Sie nach Eingabe Ihrer E-Mail-Adresse erfahren können, ob Ihre persönlichen Daten im Internet offengelegt wurden und missbraucht werden könnten.
    • Hasso-Plattner-Institut (HPI) der Uni Potsdam
    • Leak-Checker der Uni Bonn
    • Troy Hunt, Internet-Sicherheitsexperte und Blogger
  • Passwörter umgehend ändern: Sind Ihre Login-Daten für E-Mail-Konten, Onlineshops oder soziale Netzwerke betroffen, sollten Sie sich neue starke Passwörter suchen. Verwenden Sie am besten für jeden Zugang ein anderes Passwort.
  • Passkeys sind auch eine Alternative zu Passwörtern: Passkeys sind eine sichere, passwortlose Anmeldemethode. Sie können sich mithilfe biometrischer Daten – Fingerabdruck, Gesichtsscan oder einer PIN bei Websites und Apps einloggen, ohne ein Passwort eingeben zu müssen.
  • Zwei-Faktor-Authentifizierung (2FA) aktivieren: Aktivieren Sie eine 2FA, sofern dies möglich ist. Bei diesem Verfahren melden Sie sich beim Einloggen neben Ihrem Benutzernamen und dem Passwort zusätzlich mit einem individuellen Code an. Diesen bekommen Sie auf Ihr Mobiltelefon geschickt oder Sie nutzen hierfür eine Authentifizierungs-App.
  • Achten Sie auf verdächtige Aktivitäten: Prüfen Sie Ihre Kontoauszüge und Kreditkartenabrechnungen regelmäßig. Nehmen Sie ungewöhnliche E-Mails, Anmeldeversuche oder Nachrichten ernst. Informieren Sie den Anbieter, sollten Ihnen merkwürdige Aktivitäten auffallen.
  • Achtung Phishing: Ist der Datenleak erst einmal erfolgt, versuchen Kriminelle möglicherweise weitere Daten von Ihnen abzugreifen. Sie nutzen dafür täuschend echte Mails oder Nachrichten. Klicken Sie niemals auf verdächtige Links, geben Sie keine persönlichen Informationen preis. Loggen Sie sich stets über die Originalportale in Ihrem Kundenkonto ein.
  • Verdächtige Vorgänge melden: Sollte Ihnen etwas merkwürdig vorkommen, dann dokumentieren Sie den Vorgang – unter anderem etwa mit rechtssicheren Screenshots. Melden Sie diesen zunächst beim verantwortlichen Anbieter. Sollte dieser nicht angemessen reagieren, können Sie sich bei der zuständigen Datenschutzbehörde beschweren.

Daten im Netz? Anspruch auf Schadenersatz!

Sind Ihre Daten im Internet veröffentlicht, steht Ihnen Schadenersatz zu. Der Europäische Gerichtshof (EuGH) hat diesbezüglich ein Urteil gefällt (Urteil vom 4.5.2023 Aktenzeichen: C-300/21). Denn geraten Name und Mailadresse sowie Handynummern in falsche Hände, können diese Daten für Phishing-Attacken verwendet werden.
Auch bei geringen Beein­trächtigungen müssen verantwortliche Anbieterinnen und Anbieter bei Daten­pannen zahlen. "Der Schaden­ersatz­anspruch hängt nicht davon ab, dass der entstandene immaterielle Schaden eine gewisse Erheblich­keit erreicht", heißt es in dem Urteil. Es gibt keine Untergrenze für Ansprüche.

Der Bundesgerichtshof (BGH) entschied, dass bereits der Verlust der Kontrolle über personenbezogene Daten einen immateriellen Schaden darstellen kann, der einen Anspruch auf Schadensersatz gemäß Art. 82 DSGVO begründet (Urteil vom 18. November 2024 (Az. VI ZR 10/24).

Prüfen Sie Ihre Rechte

Sind Sie selbst von einem Datenleck betroffen? Hier können Sie schnell und kostenlos prüfen, welche Rechte Sie haben. Sie erhalten wertvolle Tipps und haben auch die Möglichkeit, sich kostenlos Musterbriefe für die Geltendmachung Ihrer Rechte erstellen zu lassen.

Logo des Bundesministerium für Umwelt, Naturschutz, nukleare Sicherheit und Verbraucherschutz

Bücher & Broschüren