Ein Datenleck bei einem Online-Dienst, bei dem du ein Konto hast, heißt nicht automatisch, dass dein Konto übernommen wurde. Trotzdem solltest du jetzt handeln, denn Namen, E-Mail-Adressen und Passwörter eignen sich gut für Phishing-Mails und Betrugsversuche. Dieser Ratgeber zeigt dir, welche Pflichten der Anbieter hat, welche Daten besonders heikel sind und in welcher Reihenfolge du reagieren solltest.
Kurz beantwortet: Wenn ein Anbieter ein Datenleck meldet, änderst du zuerst das Passwort des betroffenen Dienstes und überall dort, wo du dasselbe Passwort genutzt hast. Der Anbieter muss dich nach Art. 34 DSGVO unverzüglich benachrichtigen, wenn der Vorfall voraussichtlich ein hohes Risiko für deine Rechte und Freiheiten bedeutet. Stand: November 2026.
Das Wichtigste in Kürze
- Ein Datenleck heißt nicht automatisch, dass dein Konto übernommen wurde. Prüfe das trotzdem aktiv.
- Art. 34 Abs. 1 DSGVO verpflichtet den Anbieter, betroffene Personen bei einem hohen Risiko unverzüglich zu benachrichtigen.
- Die Benachrichtigung kann entfallen, etwa wenn die Daten wirksam verschlüsselt waren (Art. 34 Abs. 3 Buchst. a DSGVO).
- Ändere sofort das Passwort des betroffenen Dienstes und jedes andere Konto, bei dem du dasselbe Passwort genutzt hast.
- Aktiviere, wo der Dienst es anbietet, die Zwei-Faktor-Authentifizierung und prüfe angemeldete Geräte.
- Achte in den nächsten Wochen besonders auf Mails zum Vorfall, denn Betrüger nutzen solche Meldungen gezielt aus.
Was ein Datenleck rechtlich bedeutet
Das Gesetz spricht nicht vom Datenleck, sondern von einer Verletzung des Schutzes personenbezogener Daten. Art. 34 DSGVO trägt genau diese Überschrift und regelt, wann der Verantwortliche, also der Anbieter, die betroffenen Personen informieren muss. Die Pflicht trifft damit den Anbieter und nicht dich. Du bekommst die Information deshalb nur dann, wenn der Anbieter die Lage als ernsthaftes Risiko einstuft.
Das hat eine praktische Folge: Ein fehlender Brief oder eine fehlende Mail ist kein Beleg dafür, dass deine Daten sicher waren. Wer wartet, bis eine Benachrichtigung eintrifft, verliert wertvolle Zeit. Gerade bei Passwörtern zählt jeder Tag, an dem ein alter Zugang noch funktioniert.
Wann der Anbieter dich benachrichtigen muss
Nach Art. 34 Abs. 1 DSGVO benachrichtigt der Verantwortliche die betroffene Person unverzüglich, wenn die Verletzung voraussichtlich ein hohes Risiko für deren persönliche Rechte und Freiheiten zur Folge hat. Unverzüglich bedeutet ohne schuldhaftes Zögern. Die Ausnahmen in Absatz 3 erklären, warum du in manchen Fällen keine persönliche Nachricht erhältst, obwohl ein Vorfall stattgefunden hat.
| Lage | Maßstab nach Art. 34 DSGVO | Was du daraus machst |
|---|---|---|
| Hohes Risiko, etwa Zugangsdaten oder Ausweisdaten im Klartext | Unverzügliche Benachrichtigung (Abs. 1) | Mail des Anbieters sofort prüfen und handeln |
| Daten waren wirksam verschlüsselt | Keine Benachrichtigung nötig (Abs. 3 Buchst. a) | Trotzdem Passwort ändern, wenn du sonst Hinweise hast |
| Anbieter hat Gegenmaßnahmen ergriffen, das Risiko besteht nicht mehr | Keine Benachrichtigung nötig (Abs. 3 Buchst. b) | Auf Zugriffe in deinem Konto achten |
| Einzelne Benachrichtigung wäre unverhältnismäßig aufwendig | Öffentliche Bekanntmachung oder vergleichbare Maßnahme (Abs. 3 Buchst. c) | Auf Ankündigungen des Anbieters achten |
Die Tabelle zeigt die gesetzlichen Ausnahmen. Sie befreien den Anbieter von der persönlichen Mail an dich, nicht davon, den Vorfall intern aufzuarbeiten. Für dich ist eine fehlende Mail deshalb kein Grund zur Untätigkeit. Wenn du weißt, dass ein Dienst betroffen ist, bei dem du ein Konto hast, kannst du selbst für deine Sicherheit sorgen.
Welche Daten besonders heikel sind
Nicht jedes Datenleck gefährdet dich im gleichen Maß. Entscheidend ist, welche Informationen abgeflossen sind und wofür sie sich missbrauchen lassen. Die folgende Übersicht hilft dir, die Lage einzuschätzen, bevor du handelst.
| Datenart | Typisches Risiko | Was du tust |
|---|---|---|
| Name und E-Mail-Adresse | Gezielte Phishing-Mails, die echt wirken | Links nicht anklicken und den Absender prüfen |
| Passwort, auch verschlüsselt oder gehasht | Übernahme weiterer Konten, wenn das Passwort mehrfach genutzt wird | Passwort des Dienstes und aller gleichen Passwörter ändern |
| Bank- oder Kreditkartendaten | Fehlbuchungen und Betrug mit Zahlungen | Bank oder Kartenanbieter kontaktieren und Umsätze prüfen |
| Ausweis- oder Sozialversicherungsdaten | Identitätsmissbrauch | Bei Verdacht Bank und zuständige Stellen informieren |
Besonders gefährlich ist die Kombination aus Name, E-Mail-Adresse und einem Passwort. Mit diesen Angaben lassen sich Anmeldungen bei anderen Diensten ausprobieren, und Betrüger verschicken Nachrichten, die sich auf echte Vorgänge beziehen. Wer nur seine Adresse verloren hat, steht meist vor einem geringeren Problem.
Passwort ändern: Warum ein neues Passwort allein oft nicht reicht
Das neue Passwort beim betroffenen Dienst ist der erste Schritt. Es schützt aber nicht davor, dass Betrüger mit echten Daten aus dem Leck arbeiten. Prüfe deshalb zusätzlich, ob du das alte Passwort irgendwo anders verwendet hast. Ein Passwortmanager hilft dabei, für jeden Dienst ein eigenes, langes Passwort zu nutzen, ohne es auswendig zu lernen, wie der Ratgeber zu Passwortmanager und VPN für Studierende zeigt.
Wenn du bemerkst, dass sich bereits jemand in deinem Konto bewegt hat, etwa durch fremde Anmeldungen, geänderte E-Mail-Adressen oder Nachrichten in deinem Namen, ist das ein anderer Fall. Dann geht es nicht mehr nur um abgeflossene Daten, sondern um den Verlust der Kontrolle über das Konto. Dafür gilt das Vorgehen aus dem Ratgeber zum gehackten Konto.
Welche Rechte hast du gegenüber dem Anbieter?
Unabhängig von einer Benachrichtigung kannst du vom Anbieter Auskunft darüber verlangen, welche Daten er über dich gespeichert hat. Du kannst außerdem prüfen lassen, ob Daten gelöscht werden müssen, die er nicht mehr braucht. Wie das in der Praxis abläuft, beschreibt der Ratgeber zum Recht auf Löschung.
Wenn dir durch einen Datenschutzverstoß ein Schaden entstanden ist, etwa durch einen Betrug, der mit den abgeflossenen Daten möglich wurde, kann ein Schadensersatzanspruch in Betracht kommen. Die Voraussetzungen sind im Einzelfall zu prüfen. Einen Überblick gibt der Ratgeber zum Schadensersatz nach einem Datenschutzverstoß.
Bei Zweifeln an der Reaktion des Anbieters kannst du dich an die zuständige Datenschutzaufsichtsbehörde wenden. Wie eine Beschwerde abläuft, steht im Ratgeber zur Datenschutzbeschwerde.
Phishing nach einem Datenleck erkennen
Nach einem öffentlich bekannten Datenleck nutzen Betrüger die Lage aus. Sie schreiben beispielsweise, du müsstest dein Konto sofort bestätigen, und verweisen auf den Vorfall. Auch wenn dir die Nachricht echt vorkommt, gilt: Öffne keine Links aus der Mail. Gehe stattdessen direkt über die gespeicherte Adresse oder die App auf die Seite des Dienstes.
Seriöse Anbieter verlangen in Mails üblicherweise keine Eingabe deines Passworts über einen Link. Im Zweifel ist die direkte Anmeldung die sicherere Variante. Wenn du die Mail trotzdem nicht zuordnen kannst, lösche sie nicht vorschnell, sondern hebe sie auf, falls du sie später melden oder prüfen lassen willst.
Häufige Fragen
Muss ich nach einem Datenleck sofort mein Passwort ändern?
Wenn du das Passwort dieses Dienstes nutzt, solltest du es ohne Verzögerung ändern. Genauso wichtig ist, dass du es auch in allen anderen Diensten ersetzt, in denen du dasselbe Passwort verwendet hast. Von außen erkennst du oft nicht, wie der Anbieter das Passwort gespeichert hat, deshalb ist der Wechsel die sichere Entscheidung.
Bekomme ich immer eine Benachrichtigung vom Anbieter?
Nein. Nach Art. 34 Abs. 1 DSGVO besteht die Pflicht nur bei voraussichtlich hohem Risiko. Absatz 3 nennt drei Fälle, in denen die persönliche Benachrichtigung entfallen kann. Fehlt eine Mail, heißt das deshalb nicht automatisch, dass nichts passiert ist. Bei konkreten Hinweisen kannst du den Anbieter gezielt fragen, welche Datenkategorien betroffen sind.
Kann ich wegen eines Datenlecks Geld verlangen?
Ein Schadensersatzanspruch setzt in der Regel einen konkreten Schaden voraus, zum Beispiel einen finanziellen Verlust durch Betrug. Ob die Voraussetzungen vorliegen, hängt vom Einzelfall ab. Dokumentiere deshalb Schäden, Zeitpunkte und den Schriftverkehr mit dem Anbieter, bevor du Ansprüche geltend machst.
Was mache ich, wenn ich die Mail nicht zuordnen kann?
Prüfe zuerst, ob du bei dem genannten Dienst überhaupt ein Konto hast. Ist das nicht der Fall, ignorierst du die Nachricht und meldest sie gegebenenfalls als Phishing. Hast du ein Konto, öffnest du die Seite über die gespeicherte Adresse und schaust dort nach, ob der Anbieter eine offizielle Meldung veröffentlicht hat.
Muss ich das Datenleck selbst melden?
Als betroffene Person musst du in der Regel nichts an eine Behörde melden. Wenn du den Umgang des Anbieters mit dem Vorfall für fehlerhaft hältst, kannst du dich jedoch bei der zuständigen Datenschutzaufsicht beschweren. Das ist eine Möglichkeit, aber keine Pflicht.
So gehst du jetzt vor
- Prüfe, ob du bei dem betroffenen Dienst ein Konto hast, und öffne die Seite nur direkt über deine gespeicherte Adresse oder die App.
- Ändere das Passwort des Dienstes und jedes andere Passwort, das du dort ebenfalls verwendet hast.
- Aktiviere die Zwei-Faktor-Authentifizierung, wo sie angeboten wird, und prüfe angemeldete Geräte und Weiterleitungen.
- Achte in den kommenden Wochen auf Phishing und notiere auffällige Abbuchungen oder Nachrichten.
Passend dazu
- Digitale Rechte im Alltag: Der Überblick für Studierende
- Konto gehackt: Was du tun kannst
- Recht auf Löschung: So lässt du Daten bei Online-Diensten entfernen
- App-Berechtigungen prüfen: Welche Zugriffe eine App wirklich braucht
Stand: November 2026. Dieser Ratgeber ist allgemeine Information und keine individuelle Beratung.
