Stell dir einen Abend unter der Woche vor: Eine Nachricht von einer Ticketseite trifft ein, die du zuletzt vor drei Jahren benutzt hast. Der Betreff lautet „Wichtig: Deine Daten wurden möglicherweise offengelegt“. An das Konto erinnerst du dich kaum, welches Passwort du dort vergeben hast, weißt du nicht mehr, und in der Nachricht prangt ein großer Button mit der Aufschrift „Konto sichern“. Die nächste Stunde ist wichtiger als der Rest der Woche, und das Erste, was du in ihr tun solltest, ist: den Button in Ruhe lassen.
Kurz gesagt: Prüfe die Meldung, indem du die Seite des Unternehmens selbst aufrufst, finde heraus, welche Arten von Daten entwendet wurden, sichere zuerst dein Haupt-Postfach, ändere dann das abgeflossene Passwort überall, wo du es benutzt hast, und aktiviere die Zwei-Faktor-Authentifizierung oder einen Passkey. Ein E-Mail-Datenleck bedeutet, dass ein Unternehmen, das deine Adresse gespeichert hatte, die Kontrolle darüber verloren hat, meist zusammen mit weiteren Angaben. Das Leck lässt sich nicht rückgängig machen. Du kannst aber dafür sorgen, dass es ein Ärgernis bleibt und nicht zu einem gestohlenen Konto wird.
Die erste Stunde, der Reihe nach
Die folgende Reihenfolge beruht auf einem Gedanken: Dein Postfach kann fast jedes andere Passwort zurücksetzen, also wird es geschützt, bevor du dich um das Konto kümmerst, bei dem das Leck tatsächlich passiert ist. Die Zeiten sind grob geschätzt. Waren Passwörter nicht Teil des Lecks, kannst du Schritt 4 und 5 überspringen und bist in fünfzehn Minuten fertig.
- Nutze nichts aus der Nachricht (erste 2 Minuten). Keine Links, keine Anhänge, keine Telefonnummern aus der Meldung. Gefälschte Leck-Meldungen gehören nach echten Datenlecks zum Alltag, und eine echte Meldung verliert nichts, wenn du ihren Button ignorierst.
- Prüfe sie unabhängig (nächste 5 Minuten). Tippe die Adresse des Unternehmens selbst in den Browser oder nimm ein altes Lesezeichen, und suche dann nach einem Sicherheitshinweis oder einem Banner. Suche außerdem nach dem Namen des Unternehmens zusammen mit dem Wort „Datenleck“ und sieh nach, ob seriöse Nachrichtenquellen oder das Unternehmen selbst darüber berichten.
- Lies, was entwendet wurde (nächste 5 Minuten). Die Meldung, die Stellungnahme des Unternehmens oder ein Abfragedienst nennen die Datenarten. Passwörter, Kartendaten und Ausweisdokumente führen jeweils zu anderer Arbeit, und die Tabelle weiter unten ordnet das.
- Sichere dein Haupt-Postfach (nächste 15 Minuten). Vergib ein langes Passwort, das du nirgendwo sonst nutzt, melde andere Sitzungen ab, aktiviere die Zwei-Faktor-Authentifizierung oder einen Passkey und prüfe Weiterleitungsregeln und Wiederherstellungsangaben. Die Schritte für Gmail, Outlook und iCloud stehen im Abschnitt zum Postfach weiter unten.
- Kümmere dich um das abgeflossene Passwort (nächste 20 Minuten). Ändere es auf der betroffenen Seite, und zwar über deren eigene Anmeldeseite. Überlege dann, wo du es sonst noch oder in ähnlicher Form benutzt hast, und ändere auch diese Passwörter, beginnend mit Bank, Mobilfunkanbieter, Cloud-Speicher und jedem Shop, bei dem eine Karte hinterlegt ist.
- Schreib auf, was du getan hast (letzte 5 Minuten). Notiere das Unternehmen, das Datum, die betroffenen Daten und welche Passwörter du geändert hast. Falls in drei Monaten etwas Merkwürdiges passiert, zeigt dir diese Notiz, ob beides zusammenhängt.
Wenn dir die Zeit oder die Kraft ausgeht, hör nach Schritt 4 auf. Ein geschütztes Postfach hält dir die meisten Möglichkeiten offen, denn wer deine Mails nicht lesen kann, hat es viel schwerer, irgendetwas anderes zurückzusetzen.
Ist die Meldung echt?
Unternehmen verschicken solche Nachrichten tatsächlich, und vielerorts müssen sie das. Nach Artikel 34 der EU-DSGVO muss eine Organisation die Betroffenen unverzüglich informieren, wenn die Verletzung voraussichtlich ein hohes Risiko für sie mit sich bringt, und jeder US-Bundesstaat hat ein eigenes Meldegesetz mit eigenen Auslösern. Die Regeln unterscheiden sich, deshalb meldet sich ein Unternehmen vielleicht nach wenigen Tagen, ein anderes erst nach Monaten oder gar nicht. Unser Überblick über Datenschutzgesetze für E-Mail geht auf die rechtliche Seite ausführlicher ein.
Kriminelle wissen, dass Menschen mit solchen Nachrichten rechnen. Hier ein erfundenes Beispiel für die Art von gefälschter Meldung, auf die du achten solltest:
Beispiel einer gefälschten Meldung (erfunden, zur Veranschaulichung):
Betreff: DRINGEND: Sicherheitsvorfall bei deinem Konto
Lieber Kunde, dein Passwort wurde bei einem aktuellen Vorfall offengelegt. Dein Konto wird innerhalb von 12 Stunden geschlossen, wenn du nicht dein aktuelles Passwort und deine Kartennummer über den sicheren Button unten bestätigst.
Drei Dinge verraten diese Nachricht. Sie setzt eine Frist in Stunden, sie verlangt dein aktuelles Passwort, und sie will eine Kartennummer, die kein echter Rücksetzprozess braucht. Eine echte Meldung erklärt, was passiert ist, und fordert dich auf, dein Passwort auf der Seite zu ändern. Unser Leitfaden zum Erkennen von Phishing-Mails geht noch auf viele weitere Anzeichen ein, aber die folgenden Gegenüberstellungen decken die Besonderheiten bei Datenlecks ab.
| Worauf du achtest | Eine echte Meldung neigt dazu | Eine gefälschte Meldung neigt dazu |
|---|---|---|
| Anweisungen | Zu empfehlen, dein Passwort auf der Seite zu ändern, oder mitzuteilen, dass ein Zurücksetzen erzwungen wurde | Dich per Button auf eine Anmeldeseite zu schicken |
| Details | Den Vorfall, den ungefähren Zeitraum und die Datenarten zu nennen | Vage zu bleiben, was passiert ist |
| Forderungen | Per E-Mail nichts Sensibles zu verlangen | Ein Passwort, eine Kartennummer oder einen auf dein Handy gesendeten Code zu verlangen |
| Anhänge | Nur selten welche zu enthalten | Einen „Bericht“ als ZIP, als Makro-Dokument oder als Datei wie report.pdf.exe beizulegen |
| Öffentliche Spur | Mit einer Mitteilung auf der Seite des Unternehmens übereinzustimmen | Überhaupt keine öffentliche Spur zu haben |
| Angebote | Eventuell Identitätsüberwachung über einen genannten Anbieter anzubieten, mit einem Code für die Seite dieses Anbieters | Eine Gebühr zu verlangen oder nach Bankdaten zu fragen, um dir eine Entschädigung zu zahlen |
Eine Nachricht kann außerdem alle technischen Prüfungen bestehen und trotzdem unerwünscht sein. In Gmail findest du im Drei-Punkte-Menü den Eintrag Original anzeigen, der die Ergebnisse für SPF, DKIM und DMARC zeigt. Ein dmarc=fail bei einer Nachricht, die angeblich von einem großen Unternehmen stammt, ist ein starkes Warnsignal. Ein Bestehen sagt dir nur, dass die Mail von der angezeigten Domain kam, und diese Domain kann eine ähnlich aussehende sein, die letzte Woche registriert wurde.
Manchmal kommen Meldungen von einem Namen, den du nicht kennst, weil der Vorfall bei einem Dienstleister passiert ist: einem Support-Dienst, einer Marketing-Plattform oder einem Zahlungsabwickler, der für ein dir bekanntes Unternehmen arbeitet. Suche in dem Fall eine Bestätigung beim Unternehmen, das du kennst. Findest du nichts, kannst du dem Support über die eigene Kontaktseite schreiben und nachfragen.
Lies die Liste der Daten: Sie bestimmt deinen Aufwand
Die E-Mail-Adresse ist fast nie allein. Ob dich das zehn Minuten kostet oder einen Nachmittag, hängt davon ab, was in der entwendeten Tabelle neben ihr stand. Nehmen wir an, die Ticketseite aus unserem Beispiel meldet „Namen, E-Mail-Adressen und gehashte Passwörter“. Damit landest du in der dritten Zeile unten, mit etwas Arbeit aus der zweiten Zeile.
| Zusammen mit deiner Adresse abgeflossen | Was jemand damit tun kann | Was du tun solltest |
|---|---|---|
| Nichts weiter | Spam und gezieltes Phishing senden, deine Datensätze über mehrere Lecks hinweg verknüpfen, anderswo auf wiederverwendete Passwörter testen | Bei Nachrichten, die diesen Dienst erwähnen, misstrauisch sein; erwäge, das Konto auf eine andere Adresse umzustellen |
| Passwort im Klartext | Sich sofort auf dieser Seite anmelden und dasselbe Paar bei anderen probieren | Es noch heute überall ändern, wo es benutzt wurde |
| Gehashtes Passwort | Versuchen, es offline zu knacken; schwache und häufige Passwörter fallen zuerst | Behandle es, als wäre es im Klartext abgeflossen |
| Name, Telefonnummer, Wohnadresse | Überzeugende Nachrichten schreiben, Betrugsanrufe machen, einen SIM-Swap versuchen | Bei deinem Mobilfunkanbieter eine PIN oder Portierungssperre einrichten; bei unerwarteten Anrufen und SMS vorsichtig sein |
| Geburtsdatum, Sicherheitsantworten | Die Kontowiederherstellung missbrauchen, schwache Identitätsprüfungen überwinden | Sicherheitsantworten durch zufällige ersetzen, die in einem Passwortmanager gespeichert sind |
| Teilweise Kartendaten | Betrugsversuchen Glaubwürdigkeit verleihen („Wir sehen Ihre Karte mit den Endziffern 1234“) | Kontoauszüge im Blick behalten; ein Anrufer, der diese Ziffern kennt, hat damit nichts bewiesen |
| Vollständige Kartennummer | Betrügerische Käufe versuchen | Den Kartenherausgeber unter der Nummer auf der Karte anrufen und um eine Ersatzkarte bitten |
| Nummern amtlicher Ausweise | Identitätsbetrug versuchen | Den Hinweisen deiner nationalen Behörde folgen; siehe den Abschnitt zu Identitätsdaten weiter unten |
| IP-Adresse, Gerätedaten | Deinen ungefähren Standort schätzen, eine Betrugsmasche darauf zuschneiden | Direkt kaum etwas zu tun |
| Private Nachrichten oder Dateien | Erpressen oder bloßstellen, Daten anderer Personen offenlegen | Klären, was darin stand und wer sonst betroffen ist; Erpressung der Polizei melden |
Ein Wort zu „gehasht“, denn Unternehmen benutzen es gern, um zu beruhigen. Ein Hash ist eine Einweg-Verschlüsselung deines Passworts, und wie viel Schutz er bietet, hängt vom Verfahren ab. Langsame Algorithmen mit Salt wie bcrypt oder Argon2 machen das Raten teuer, ein langes zufälliges Passwort, das so gespeichert wurde, wird womöglich nie wiederhergestellt. Schnelle Hashes wie MD5 oder SHA-1 ohne Salt lassen sich mit enormer Geschwindigkeit angreifen, und kurze oder häufige Passwörter fallen bei jedem Verfahren schnell. Eine Meldung verrät selten genug, um das zu beurteilen, ändere das Passwort also in jedem Fall.
Was eine abgeflossene Adresse allein anrichten kann
„Nur Ihre E-Mail-Adresse war betroffen“ klingt nach guter Nachricht, und im Vergleich zu einem Passwortleck ist es das auch. Eine Adresse ist kein Geheimnis, und mit ihr allein meldet sich niemand an deinem Konto an. Trotzdem verändert sie deine Lage in einigen Punkten, die man verstehen sollte.
Eine Adresse aus einem echten Dienst gehört bekanntermaßen jemandem, der sich für Dinge registriert, und ist für Spammer deshalb mehr wert als eine erratene. Listen werden zusammengeführt und weiterverkauft, deshalb kann mehr Spam erst Monate nach dem Vorfall beginnen und scheinbar keinen Zusammenhang damit haben.
Das Leck verrät Kriminellen außerdem, wo du ein Konto hast. Eine allgemeine Nachricht über ein „Problem mit deiner Bestellung“ tust du leicht ab. Eine, die den Shop nennt, den du wirklich nutzt, dich mit dem Namen aus demselben Leck anspricht und eintrifft, während der Shop in den Nachrichten ist, erkennst du viel schwerer. Das ist der wichtigste praktische Grund, nach einer Meldung mehrere Wochen lang aufmerksam zu bleiben.
Deine Adresse dient auch als Verknüpfungsschlüssel. Angenommen, ein Leck verbindet sie mit einem Gaming-Benutzernamen, ein weiteres mit einer Telefonnummer und ein drittes mit einer Heimatstadt. Wer alle drei besitzt, kann sie über die gemeinsame Adresse aneinanderlegen und ein Profil aufbauen, das dir nie jemand auf einmal übergeben hat. Dieselbe Adresse überall zu verwenden macht das erst möglich, und genau das kannst du ändern.
Und eine Adresse ist die Hälfte der meisten Anmeldungen, was zu dem Angriff führt, der Lecks teuer macht.
Wie aus einem Leck viele werden
Der Schaden entsteht oft nicht bei dem Unternehmen, das gehackt wurde. Credential Stuffing ist das automatisierte Ausprobieren abgeflossener Paare aus E-Mail und Passwort bei anderen Diensten. Paare aus vielen Lecks werden zu großen „Combo-Listen“ zusammengestellt, und Werkzeuge testen sie bei E-Mail-Anbietern, Shops, Streamingdiensten, Spieleplattformen und Cloud-Speichern. Die meisten Versuche scheitern. Genug gelingen, damit es sich lohnt, denn ein Treffer lässt sich nutzen, um mit einer gespeicherten Karte Waren zu kaufen, Treuepunkte abzuräumen, Spam von einem vertrauenswürdigen Konto zu versenden oder Passwort-Rücksetzungen bei verknüpften Diensten anzustoßen.
All das hängt von der Wiederverwendung ab. Nimm zum Beispiel jemanden, der Harbour2019! bei der Ticketseite, bei einem Shop und bei der eigenen E-Mail benutzt hat. Das Leck bei der Ticketseite legt ein Passwort und drei Konten offen. Hätte jede Seite ein eigenes zufälliges Passwort gehabt, wäre durch dasselbe Leck ein einziges Konto offengelegt worden, das die Person kaum nutzt. Kleine Änderungen helfen nicht viel, denn die Werkzeuge der Angreifer probieren naheliegende Varianten: das Jahr ändern, eine Ziffer anhängen, das Ausrufezeichen austauschen.
Password Spraying ist das Spiegelbild davon. Statt pro Person ein bekanntes Passwort zu testen, probiert ein Angreifer ein paar sehr häufige Passwörter bei einer langen Liste gültiger Adressen. Dein Passwort musste dafür nicht abfließen. Es musste nur häufig sein, und das Leck lieferte die Adresse.
Eine andere Quelle gestohlener Passwörter verdient Erwähnung, weil sie den Rat verändert. Schadsoftware, bekannt als Infostealer, kopiert gespeicherte Passwörter und Login-Cookies direkt von einem infizierten Gerät, und diese gestohlenen Protokolle kursieren ähnlich wie Leckdaten. Taucht ein Passwort als offengelegt auf, das du nie wiederverwendet hast, oder wird ein Konto trotz starkem Passwort und ohne bekanntes Leck übernommen, könnte dein Gerät die Quelle sein. Prüfe es mit seriöser Sicherheitssoftware und ändere Passwörter von einem sauberen Gerät aus, denn wenn du ein Passwort auf einem infizierten Computer änderst, kann auch das neue abgegriffen werden.
Die eigene Betroffenheit prüfen
Eine Meldung berichtet dir von einem Unternehmen. Für das größere Bild nutzt du mehr als eine Quelle, denn keine Datenbank deckt jeden Vorfall ab.
Have I Been Pwned (haveibeenpwned.com), betrieben vom Sicherheitsforscher Troy Hunt, ist die bekannteste Abfrage. Du gibst eine Adresse ein, und der Dienst listet die bekannten Lecks auf, die sie enthalten, mit Datum und Datenarten. Die Benachrichtigungsfunktion schreibt dir, wenn deine Adresse in einem neu geladenen Leck auftaucht, was du einmal einrichten und dann vergessen kannst. Manche Lecks, die als sensibel gelten, sind in der öffentlichen Suche verborgen und werden erst angezeigt, nachdem du nachgewiesen hast, dass die Adresse dir gehört. Mozilla Monitor bietet eine ähnliche Abfrage und Benachrichtigungen mit den Daten von Have I Been Pwned, und für laufende Benachrichtigungen braucht man ein Mozilla-Konto.
Ein leeres Ergebnis heißt nicht, dass du sicher bist. Viele Lecks werden nie entdeckt oder erreichen diese Dienste nie. Eine lange Liste heißt auch nicht, dass du in Schwierigkeiten steckst, denn alte Einträge betreffen oft Passwörter, die du längst geändert hast. Sieh dir die Daten und die Datenarten an und handle bei allem, was noch in Gebrauch sein könnte.
E-Mail-Abfragen brauchen nur deine Adresse. Bei Passwörtern ist mehr Vorsicht nötig. Der Google Passwortmanager hat den Passwortcheck, die Passwörter-App auf Apple-Geräten hat einen Bereich Sicherheit, der kompromittierte und mehrfach verwendete Passwörter markiert, und Passwortmanager anderer Anbieter haben ähnliche Berichte, etwa Watchtower in 1Password und den Bericht über offengelegte Passwörter in Bitwarden. Diese laufen gegen deine gespeicherte Liste, was auch der schnellste Weg ist, herauszufinden, wo ein Passwort wiederverwendet wurde.
Die Funktion Pwned Passwords zeigt, wie eine Prüfung auskommen kann, ohne das Passwort zu verraten. Dein Gerät berechnet einen SHA-1-Hash des Passworts und sendet nur die ersten fünf Zeichen. Der Dienst liefert alle abgeflossenen Hashes zurück, die mit diesen Zeichen beginnen, und dein Gerät vergleicht den Rest lokal. Der Dienst erhält weder das Passwort noch seinen vollständigen Hash, ein Verfahren, das k-Anonymität heißt.
Gib ein Passwort niemals auf einer beliebigen Website ein, die dir anbietet, zu prüfen, ob es gehackt wurde. Werkzeuge, die in deinen Passwortmanager oder Browser eingebaut sind, sind in Ordnung. Eine Prüfseite, die du über eine E-Mail oder eine Anzeige erreicht hast, könnte schlicht Passwörter einsammeln.
Auch aus deiner eigenen Mail kannst du viel lernen. Suche in deinem Postfach nach „Willkommen“, „E-Mail-Adresse bestätigen“, „Konto bestätigen“ und „Dein Passwort wurde geändert“. Was dabei herauskommt, ist eine grobe Liste der Dienste, die deine Adresse gespeichert haben, darunter einige, die du vergessen hast. Diese Liste wird im Abschnitt zum Aufräumen unten nützlich.
Ein gründlicher Postfach-Check
Das Passwort zu ändern reicht nicht, wenn jemand schon im Postfach war. Wer in ein Postfach gelangt, richtet oft etwas ein, das die Passwortänderung überlebt, also suche nach diesen vier Dingen: offene Sitzungen, Weiterleitungen, Filter und Wiederherstellungsangaben. Die Menünamen ändern sich mit der Zeit, aber die folgenden Pfade sollten dich nah ans Ziel bringen.
Gmail und Google-Konten
Öffne in Gmail im Web das Zahnrad-Symbol und dann Alle Einstellungen aufrufen. Prüfe unter Weiterleitung und POP/IMAP, ob eine Weiterleitungsadresse steht, die du nicht hinzugefügt hast, und unter Filter und blockierte Adressen, ob es Regeln gibt, die Mails löschen oder weiterleiten. Unten rechts im Posteingang zeigt der Link Details unter der letzten Kontoaktivität die jüngsten Zugriffe. In deinem Google-Konto listet die Seite Sicherheit deine Geräte, die letzten Sicherheitsaktivitäten, die Wiederherstellungsnummer und -adresse sowie Verbindungen zu Drittanbietern auf. Melde jedes Gerät ab und entferne jede App, die du nicht kennst.
Outlook.com und Microsoft-Konten
Öffne in Outlook im Web die Einstellungen und dann E-Mail. Prüfe Weiterleitung und Regeln. Gehe in deinem Microsoft-Konto auf Sicherheit, um die Anmeldeaktivität zu prüfen, und sieh nach, welche Bestätigungsmethoden und Apps verbunden sind.
Apple und iCloud Mail
Öffne auf einem iPhone die Einstellungen, tippe auf deinen Namen und dann auf Anmeldung & Sicherheit, um deine vertrauenswürdigen Telefonnummern und Wiederherstellungsoptionen zu prüfen. Die Geräteliste weiter unten zeigt alles, was bei deiner Apple-ID angemeldet ist. Regeln und Weiterleitung für iCloud Mail kannst du in den Mail-Einstellungen auf iCloud.com prüfen.
Woran man ein manipuliertes Postfach erkennt
Eine Weiterleitungsadresse, die du nicht hinzugefügt hast, ist das deutlichste Zeichen, denn sie schickt Kopien deiner Mails, auch Passwort-Rücksetzungen, unbemerkt an jemand anderen. Dicht dahinter kommt ein Filter, der Nachrichten mit Wörtern wie „Sicherheit“, „Passwort“ oder dem Namen deiner Bank gleich in den Papierkorb oder ins Archiv schiebt. Unbekannte gesendete Nachrichten, eine fremde Wiederherstellungsnummer oder eine verbundene App, die du nie genehmigt hast, weisen alle in dieselbe Richtung.
Findest du etwas davon, behandle das Postfach als kompromittiert. Entferne den Eintrag, ändere das Passwort noch einmal von einem Gerät aus, dem du vertraust, melde alle Sitzungen ab und sieh dann die Mails selbst durch. Suche nach Passwort-Rücksetzungen, die du nicht angefordert hast, denn sie zeigen, welche anderen Konten angegriffen wurden. Wenn du ausgesperrt bist, ist das Wiederherstellungsverfahren deines Anbieters der richtige Weg, und du solltest es über die eigenen Hilfeseiten des Anbieters erreichen. Suchergebnisse für „E-Mail Support Telefonnummer“ sind ein bekanntes Jagdrevier für Betrüger.
Einen zweiten Faktor wählen
Die Zwei-Faktor-Authentifizierung stoppt das meiste Credential Stuffing, weil das abgeflossene Passwort allein niemanden mehr hineinbringt. Die Methoden unterscheiden sich allerdings stark, und nach einem Leck ist es sinnvoll, wichtige Konten in dieser Tabelle nach oben zu verschieben, wo es geht.
| Methode | Wie gut sie standhält | Wo sie Schwächen hat |
|---|---|---|
| Codes per SMS | Weit besser als ein Passwort allein | SIM-Swaps; Codes können auf einer gefälschten Seite eingegeben und weitergereicht werden |
| Codes per E-Mail | Schwach bei deinen wichtigsten Konten | Nutzlos, wenn das Postfach selbst kompromittiert ist, und sinnlos bei der Anmeldung am Postfach selbst |
| Authenticator-App (TOTP) | Gut und unabhängig von deiner Telefonnummer | Codes lassen sich auf einer überzeugenden gefälschten Anmeldeseite trotzdem abgreifen; halte Sicherungen für den Fall eines Handywechsels bereit |
| Push-Bestätigung | Gut, wenn sie dich eine Zahl abgleichen lässt | Ohne Zahlenabgleich können wiederholte Anfragen jemanden mürbe machen, bis er auf „Bestätigen“ tippt |
| Passkey oder Hardware-Sicherheitsschlüssel | Für die meisten die stärkste Option | Braucht etwas Einrichtung und einen zweiten Schlüssel oder ein synchronisiertes Gerät als Reserve; nicht überall verfügbar |
Passkeys verdienen in diesem Zusammenhang besondere Aufmerksamkeit. Ein Passkey ist ein Berechtigungsnachweis auf Basis von Public-Key-Kryptografie, der an die Domain einer einzigen Website gebunden ist. Die Seite speichert nur die öffentliche Hälfte, sodass eine gestohlene Benutzertabelle nichts enthält, womit man sich als du anmelden könnte. Eine ähnlich aussehende Phishing-Seite bekommt ebenfalls nichts, weil dein Gerät den Nachweis der falschen Domain nicht anbietet. Wenn dein Mailanbieter und deine Bank Passkeys unterstützen, ist eine Datenleck-Meldung ein guter Anlass, einen einzurichten. Welche Methode du auch nutzt: Speichere die Wiederherstellungscodes, wenn sie angeboten werden, in deinem Passwortmanager oder auf Papier an einem sicheren Ort zu Hause.
Wenn Zahlungs- oder Identitätsdaten betroffen sind
Ein reines Leck von E-Mail und Passwort erfordert nichts davon. Enthält die Liste vollständige Kartennummern, Bankdaten oder amtliche Ausweisnummern, hängen die nächsten Schritte davon ab, wo du lebst und was das Unternehmen anbietet.
Bei Karten rufst du den Herausgeber unter der Nummer auf der Karte an und fragst, ob sie ersetzt werden sollte. Prüfe die letzten Kontoauszüge auf kleine Testbuchungen, die oft vor größeren kommen. Bietet das Unternehmen kostenlose Identitätsüberwachung an, erreichst du sie über die offizielle Seite des Unternehmens, und du solltest wissen, dass Überwachung Probleme erst meldet, nachdem sie begonnen haben.
In den USA ist die Kreditsperre (Credit Freeze) das stärkste kostenlose Mittel. Nach Bundesrecht ist es kostenlos, deine Akte bei jeder der drei landesweiten Auskunfteien (Equifax, Experian und TransUnion) zu sperren und wieder freizugeben, und eine Sperre verhindert in der Regel, dass auf deinen Namen neue Kredite eröffnet werden, bis du sie aufhebst. Du musst jede Auskunftei einzeln kontaktieren. Ein Betrugshinweis (Fraud Alert) ist eine mildere Option, die Kreditgeber bittet, deine Identität zu prüfen, ein Jahr lang gilt und bei einer einzigen Auskunftei beantragt an die anderen weitergegeben wird. Wurde deine Identität missbraucht, erstellt die Seite IdentityTheft.gov der FTC einen Wiederherstellungsplan und einen Bericht, den du bei Banken und Auskunfteien verwenden kannst.
Anderswo sind die Möglichkeiten andere. Im Vereinigten Königreich kannst du deine Akte bei den Kreditauskunfteien prüfen und deine Bank fragen, was sie empfiehlt, und kostenpflichtige Schutzregistrierung gibt es beim Betrugspräventionsdienst Cifas. In der EU und vielen anderen Ländern wendest du dich an deine Bank und siehst dir die Hinweise deiner nationalen Verbraucher- oder Datenschutzbehörde an. Wurde ein Scan von Reisepass oder Personalausweis entwendet, kann dir die ausstellende Behörde sagen, ob ein Austausch sinnvoll ist.
Eine abgeflossene Telefonnummer hat ihre eigene Lösung. Bitte deinen Mobilfunkanbieter um eine Konto-PIN, eine Portierungs-PIN oder eine Nummernsperre, je nachdem, wie er es nennt. Diese erschweren SIM-Swap-Betrug, bei dem ein Angreifer einen Anbieter überredet, deine Nummer auf seine SIM zu übertragen, und dann deine SMS-Codes empfängt. Die Anbieter bieten unterschiedlich viel, frag also direkt nach.
Unangenehme Situationen
Ein Datenleck bei einer Seite, die du nie benutzt hast
Dafür gibt es mehrere mögliche Erklärungen. Jemand hat sich vielleicht bei deiner Adresse vertippt oder sie absichtlich benutzt, die Daten können von einem Dienstleister des genannten Unternehmens stammen, das Leck kann eine zusammengeführte oder abgegriffene Liste sein, oder du hast schlicht ein Konto von vor Jahren vergessen. Um das herauszufinden, nutze die Funktion „Passwort vergessen“ auf der offiziellen Seite. Kommt eine Rücksetzung an, existiert ein Konto, und du kannst es sichern oder schließen. Hast du es nicht angelegt, kontaktiere das Unternehmen, denn an deiner Adresse könnten die Daten einer anderen Person hängen.
Ein altes Passwort, das du nicht mehr benutzt
Das ist eine gute Nachricht, solange „nicht mehr benutzt“ überall stimmt. Vergessene Konten behalten tendenziell alte Passwörter, und jedes neue Passwort nach demselben Muster sollte ebenfalls geändert werden. Suche in deinem Passwortmanager danach, falls du einen hast.
Eine Erpresser-Mail, die dein Passwort nennt
Diese Masche ist verbreitet, und beim ersten Mal ist sie beängstigend. Der Absender nennt als Beweis ein echtes altes Passwort von dir, behauptet, dich über die Webcam aufgenommen zu haben, und verlangt Kryptowährung. Im typischen Fall stammt das Passwort aus einer Leck-Liste, und es gibt keine Aufnahme. Zahle nicht und antworte nicht. Ändere dieses Passwort überall, wo du es noch benutzt, melde die Nachricht und blockiere den Absender. Enthält die Nachricht echtes privates Material oder eine Drohung, die du ernst nimmst, bewahre eine Kopie auf und wende dich an die Polizei.
Deine Arbeitsadresse war im Leck
Sag deiner IT- oder Sicherheitsabteilung Bescheid, auch wenn es nebensächlich wirkt. Sie möchte vielleicht auf Wiederverwendung bei Firmensystemen prüfen, Zugangsdaten zurücksetzen oder auf gezieltes Phishing achten. Lies die Richtlinie deines Arbeitgebers, bevor du dich mit einer Arbeitsadresse für Überwachungsdienste anmeldest, und halte private Konten künftig auf einer privaten Adresse.
Ein Elternteil oder Verwandter hat die Meldung bekommen
Geht mit ihm dieselbe Reihenfolge durch und konzentriert euch auf das Haupt-Postfach und auf wiederverwendete Passwörter. Ältere Verwandte sind häufig Ziel von Anrufen im Nachgang, die das Leck erwähnen, deshalb ist eine nützliche Regel zum Vereinbaren, dass kein echtes Unternehmen sie bittet, einen Code vorzulesen. Behauptet ein Anrufer etwas anderes, können sie auflegen und unter einer Nummer von einer Bankkarte oder einem Kontoauszug zurückrufen.
Eine Nachricht über einen Vergleich oder eine Entschädigung
Nach großen Lecks bekommst du eventuell Nachrichten über Sammelklagen oder Entschädigungsprogramme. Manche sind echt, andere sind Nachahmungen, die Bankdaten einsammeln sollen. Prüfe den Vergleich auf einer offiziellen Seite eines Gerichts, einer Aufsichtsbehörde oder des Unternehmens, bevor du irgendetwas ausfüllst. Zahle keine Gebühr, um eine Entschädigung zu erhalten.
In den folgenden Wochen
Wenn der dringende Teil vorbei ist, ist ein Datenleck ein guter Anlass, das zu beheben, was es gefährlich gemacht hat. Nichts davon muss in einem Rutsch passieren.
Fang mit einem Passwortmanager an, falls du keinen benutzt. Er erzeugt für jede Seite ein zufälliges Passwort und weigert sich, auf einer ähnlich aussehenden Domain auszufüllen, was dir auch ein wenig Schutz vor Phishing bringt. Wähle ein bekanntes Produkt, schütze es mit einer langen Passphrase und einem zweiten Faktor und stelle deine wichtigsten Konten zuerst um. Der Rest kann folgen, wenn du dich dort anmeldest. Die Richtlinien des NIST zur digitalen Identität raten davon ab, Passwortwechsel routinemäßig um ihrer selbst willen zu erzwingen, und empfehlen stattdessen, Passwörter mit bekannten Lecks abzugleichen. Du musst also nicht alles nach Zeitplan austauschen. Ändere, was offengelegt, schwach oder wiederverwendet ist.
Geh dann die Liste vergessener Konten aus deiner Postfach-Suche durch. Jedes ruhende Konto sind gespeicherte Daten, die auf den nächsten Vorfall warten. Melde dich an, entferne aus dem Profil, was geht, lösche jede gespeicherte Karte und schließe das Konto. Gibt es keinen Löschen-Button, schreibe an die Datenschutzstelle aus der Datenschutzerklärung der Seite. Nach der DSGVO und einigen anderen Gesetzen, darunter dem kalifornischen, haben viele Menschen das Recht, eine Löschung zu verlangen, auch wenn das Unternehmen Unterlagen behalten darf, zu deren Aufbewahrung es verpflichtet ist, und diese Rechte hängen davon ab, wo du lebst.
Als Nächstes kommen die Sicherheitsfragen. „Mädchenname der Mutter“ und „erste Schule“ lassen sich oft aus Leckdaten oder sozialen Netzwerken herausfinden. Wo eine Seite dich zwingt, sie zu nutzen, gib eine zufällige Antwort und speichere sie in deinem Passwortmanager wie ein Passwort.
Bleib schließlich noch eine Weile aufmerksam. Abgeflossene Daten kursieren über Jahre, und gezieltes Phishing kommt oft lange, nachdem die Schlagzeilen verblasst sind. Lass Leck-Benachrichtigungen eingeschaltet, sieh dir den Bericht deines Passwortmanagers alle paar Monate an und vertraue Nachrichten, die den betroffenen Dienst erwähnen, nur zögerlich.
Das nächste Datenleck kleiner halten
Die Sicherheit eines Unternehmens kannst du nicht beeinflussen. Du bestimmst aber, wie viel es von dir speichert und wie weit sich ein Leck von diesem einen Datensatz aus ausbreiten kann. Das Ziel ist, dass jede künftige Meldung nur noch eine kurze Passwortprüfung bedeutet und sonst nichts.
Teile deine Adressen nach Vertrauen auf
Die nützlichste einzelne Änderung ist, nicht mehr jedem dieselbe Adresse zu geben. Ein einfaches Modell mit drei Stufen reicht den meisten, und unser Artikel zum Aufbau einer persönlichen E-Mail-Strategie führt Schritt für Schritt durch.
| Stufe | Wofür | Art der Adresse | Was ein Leck kostet |
|---|---|---|---|
| Haupt | Bank, Behörden, Gesundheit, Arbeit, Passwortmanager, wichtigste Social-Media-Konten | Eine langfristige Adresse mit starkem Anmeldeschutz, selten weitergegeben | Ernst, aber diese Stufe sollte selten abfließen, weil nur wenige Unternehmen sie kennen |
| Alltag | Shops, Abos, Dienste, die du jahrelang behältst | Ein zweites Postfach oder Aliasse, die an dein Postfach weiterleiten | Begrenzt; du kannst einen einzelnen Alias abschalten oder filtern |
| Einmalig | Ein einzelner Download, ein Formular, das du nie wieder brauchst, das Testen deiner eigenen Registrierungsseite | Ein temporäres Postfach, wenn die Bedingungen der Seite es erlauben | Gering; die Adresse ist nicht mit deinem Namen verbunden, und das Postfach ist weg |
Plus-Adressierung, etwa name+shop@example.com, liegt irgendwo dazwischen. Sie funktioniert bei Gmail und Outlook.com und kann dir zeigen, wer deine Adresse hat abfließen lassen oder verkauft hat. Sie verbirgt nichts, denn jeder kann den Zusatz löschen und die Basisadresse sehen, und die Werkzeuge der Angreifer tun genau das. Weiterleitungs-Aliasse, wie sie iCloud+, Proton oder Firefox Relay bieten, verbergen die echte Adresse richtig, weil nichts am Alias auf sie zurückweist. Beim Einkaufen lohnt sich besonderes Nachdenken, da Shop-Datenbanken Adressen, Telefonnummern und Wohnadressen zusammen speichern. Unser Leitfaden zum Datenschutz beim Online-Shopping per E-Mail behandelt diesen Fall, auch wie du deine Belege aufbewahrst.
Wo ein temporäres Postfach hilft
Ein temporäres Postfach eignet sich für eine einzelne Handlung auf einer Seite, zu der du keine dauerhafte Beziehung hast, aus Datenschutzgründen und wo die Bedingungen der Seite es erlauben. VookMail ist ein solcher Dienst: Eine Adresse steht bereit, sobald die Seite lädt, ohne Registrierung und ohne Passwort. Du kannst auf Neu drücken, um einen Benutzernamen einzutippen und eine von mehr als 30 Domains zu wählen, oder den gelben Zufall-Button für eine zufällige Adresse drücken. Nachrichten, Anhänge und Adressen werden nach etwa einem Tag gelöscht.
Diese kurze Lebensdauer begrenzt ein künftiges Leck. Wenn eine Seite, die du einmal besucht hast, später ihre Benutzertabelle verliert, führt die Adresse in dieser Tabelle zu einem Postfach, das nichts mehr enthält und keine Verbindung zu deinem Namen, deinem Telefon oder deinem Haupt-Postfach hat. Ein Passwort, das du dort angelegt hast, zählt trotzdem, mach es also einmalig. Auch Angaben, die du im Profil gemacht hast, sind offengelegt, ein guter Grund, nur das auszufüllen, was das Formular verlangt.
Die Grenzen sind genauso klar. Wer eine temporäre Adresse kennt oder errät, kann dieses Postfach öffnen, deshalb ist eine zufällige Adresse die sicherere Wahl, und nichts Privates gehört dorthin. Eine Passwort-Rücksetzung Wochen später kannst du nicht zuverlässig empfangen, das Postfach ist also das falsche Werkzeug für jedes Konto, das du eventuell noch brauchst, und es darf nie für Bank, Behörden, Gesundheit, Arbeit oder deine wichtigsten Social-Media-Konten benutzt werden. Manche Seiten lehnen Wegwerf-Domains ab. Das ist ihre Entscheidung, und die richtige Reaktion ist, sie zu respektieren und ihnen eine dauerhafte Adresse oder einen Alias zu geben. Unsere Allgemeinen Geschäftsbedingungen verbieten es außerdem, den Dienst für Betrug, Missbrauch oder zur Umgehung einer Sperre zu nutzen.
Gib von vornherein weniger preis
Der Schaden hängt davon ab, was gespeichert war. Lass optionale Felder leer. Speichere keine Karte bei einer Seite, die du selten nutzt. Sei vorsichtig mit „Anmelden mit“-Buttons bei Diensten, denen du nicht ganz traust, und sieh dir den verlangten Profilzugriff an. Gib keine Telefonnummer an, außer eine Seite braucht sie wirklich für die Sicherheit. Ein Geburtsdatum, das eine Seite nur für einen Geburtstagsgutschein will, kannst du einfach für dich behalten, wo das Formular es zulässt.
Zwei verschiedene Orte, an denen deine Daten liegen
Es hilft, zwei Arten von Vorfällen zu trennen, die oft in einen Topf geworfen werden. Wird ein Dienst gehackt, bekommt der Angreifer, was dieser Dienst gespeichert hat: deine Adresse, dein Profil und was sonst in seiner Datenbank lag. Wird dein Postfach kompromittiert, bekommt der Angreifer etwas anderes, nämlich jede Nachricht, die du aufbewahrt hast, darunter alte Belege, Links zum Zurücksetzen von Passwörtern, eingescannte Dokumente und private Gespräche.
Das Zweite ist meist schlimmer, und deshalb schickt dich dieser Leitfaden immer wieder zum Postfach zurück. Es legt auch eine bescheidene Gewohnheit nahe: Du brauchst keine zehn Jahre unwichtiger Mails in deinem Haupt-Konto. Alte Versandbenachrichtigungen und Newsletter zu löschen verringert, was eine Kompromittierung des Postfachs preisgeben kann, und wichtige Dokumente mit eigenem Schutz an einem sicheren Ort zu speichern kostet wenig.
Temporäre Postfächer stehen am äußersten Ende dieser Idee. Bei VookMail verweisen die MX-Einträge jeder Domain auf einen Anbieter für Mailzustellung, der die Nachricht per SMTP annimmt und per HTTPS an den Dienst weiterleitet. Weil Nachrichten und Anhänge nach etwa einem Tag entfernt werden, entsteht kein langes Archiv. Wie der Dienst mit Daten umgeht, steht in der Datenschutzerklärung und auf der Methodik-Seite.
Wie es zum Datenleck selbst kam und warum das für dich wichtig ist
Unternehmen erklären die Ursache nicht immer im Detail, aber wenn sie es tun, kann sie dir zeigen, womit du rechnen musst.
- Eine Datenbank-Kompromittierung über eine Schwachstelle wie SQL-Injection oder einen ungepatchten Server bedeutet meist, dass die Benutzertabelle im großen Stil kopiert wurde. Rechne mit Adressen und Passwort-Hashes und geh davon aus, dass die Daten gehandelt werden.
- Falsch konfigurierter Speicher bedeutet, dass eine Datenbank oder ein Cloud-Bucket offen im Internet stand. Vielleicht hat niemand etwas „gehackt“, und das Unternehmen weiß womöglich nicht, wer die Daten heruntergeladen hat, sodass die ehrliche Antwort auf „Wurden meine Daten entwendet?“ lauten kann: „Wir können es nicht sagen“.
- Ein Vorfall bei einem Dienstleister bedeutet, dass eine Marketing-Plattform, ein Support-Dienst oder ein Analyse-Werkzeug kompromittiert wurde. Das erklärt Meldungen von Namen, die du nicht kennst, und legt meist Kontaktdaten und Support-Tickets offen, keine Passwörter. Alles, was du in ein Support-Ticket geschrieben hast, kann dabei sein, denk also daran, was du ihnen geschickt hast.
- Scraping sammelt öffentliche oder halb öffentliche Profildaten in großem Stil über eine Seite oder eine API. Unternehmen argumentieren manchmal, das sei kein Datenleck, aber deine Adresse landet trotzdem in einem gehandelten Datensatz.
- Missbrauch durch Insider bedeutet, dass ein Mitarbeiter oder Auftragnehmer Daten exportiert hat, die er nicht hätte exportieren dürfen. Das ist oft gezielt, daher verdienen ungewöhnliche und persönliche Folgenachrichten mehr Misstrauen.
Fehler, die unter Druck leicht passieren
Der häufigste ist, nur das Passwort der betroffenen Seite zu ändern und dasselbe bei deiner E-Mail und deinen Shop-Konten zu lassen. Dicht dahinter kommt eine kleine Abwandlung des alten Passworts. Von Summer2024! zu Summer2025! zu wechseln kostet ein Knack-Werkzeug fast keinen Mehraufwand.
Viele hören auch bei einer einzigen Änderung auf. Sie überspringen die Weiterleitungsregeln, und so bekommt jemand, der schon vor der Passwortänderung im Postfach war, auch danach weiter Mails. Sich auf SMS-Codes zu verlassen, wenn eine Authenticator-App oder ein Passkey zur Verfügung steht, lässt bei wichtigen Konten eine Lücke, auch wenn SMS immer noch besser sind als nichts, wo sie die einzige Wahl sind.
Dann gibt es den entgegengesetzten Fehler: jede Meldung als Notfall zu behandeln. Ist nur deine Adresse von einem Konto abgeflossen, das du einfach schließen kannst, musst du deine E-Mail-Adresse nicht austauschen, und du musst auch kein Überwachungsprodukt bezahlen, nur weil eine beängstigende Anzeige aufgetaucht ist. Spar dir deine Kraft für die Fälle, in denen ein Passwort, eine Karte oder eine Ausweisnummer betroffen war.
Fragen, die nach einer Meldung aufkommen
Sollte ich mein E-Mail-Konto löschen?
Meistens nicht. Deine Haupt-Adresse hängt an Jahren von Passwort-Rücksetzungen und Kontakten, und sie aufzugeben schafft eigene Risiken, denn ein vergessenes Konto lässt sich schwer wiederherstellen. Schütze sie stattdessen und gib sie nicht mehr an Seiten mit geringem Vertrauen. Eine neue Adresse ist nur sinnvoll, wenn die alte hoffnungslos offengelegt ist, und dann solltest du deine Konten nach und nach umziehen und die alte Adresse noch eine Weile behalten.
Das Unternehmen sagt, die Passwörter waren verschlüsselt. Muss ich meins trotzdem ändern?
Ja. Ohne zu wissen, welches Verfahren benutzt wurde und ob die Schlüssel ebenfalls entwendet wurden, kannst du den Schutz nicht beurteilen, und ein Passwort zu ändern geht schneller, als es herauszufinden. Ändere es auch überall sonst, wo du es benutzt hast.
Kann eine temporäre Adresse ein Datenleck verhindern?
Kein Werkzeug verhindert, dass ein Unternehmen gehackt wird. Eine temporäre Adresse verändert, was das Leck über dich verrät. Verliert ein Forum, dem du so beigetreten bist, seine Benutzertabelle, hat die abgeflossene Adresse keine Verbindung zu deiner Identität, solange du nichts sonst Identifizierendes angegeben hast.
Wie oft sollte ich nachsehen?
Schalte Benachrichtigungen ein, damit das Nachsehen ohne dich passiert. Ein manueller Blick in den Bericht deines Passwortmanagers alle paar Monate reicht völlig, dazu ein zusätzlicher, wenn ein Dienst, den du nutzt, in den Nachrichten ist.
Hilft es, für Dark-Web-Überwachung zu zahlen?
Das hängt davon ab, was du kaufst. Diese Produkte melden meist, dass deine Daten irgendwo aufgetaucht sind, was du größtenteils kostenlos über die oben genannten Abfragedienste erfährst. Identitätsversicherung oder Wiederherstellungshilfe kann etwas nützen, wenn deine Ausweisdaten offengelegt wurden, lies also, was der Tarif tatsächlich abdeckt, bevor du zahlst.
Wem sollte ich das melden?
Das Datenleck eines Unternehmens musst du normalerweise nicht melden, denn das Unternehmen hat seine eigenen Pflichten gegenüber den Behörden. Melde es, wenn du Geld verloren hast oder erpresst wirst: zuerst deiner Bank, dann der Polizei oder deiner nationalen Meldestelle für Betrug. In der EU und im Vereinigten Königreich kannst du dich bei deiner Datenschutzbehörde beschweren, wenn ein Unternehmen den Vorfall falsch handhabt oder deine Anfragen ignoriert.
Mehr dazu, wie temporäre Postfächer funktionieren und wie lange Nachrichten aufbewahrt werden, findest du in den häufigen Fragen zu VookMail.