Was zu tun ist, wenn Ihre E-Mail-Adresse in einen Datenschutzvorfall verwickelt war

Was tun, wenn Ihre E-Mail-Adresse in einem Datenleck aufgetaucht ist

Dass Ihre E-Mail-Adresse in einem Datenleck auftaucht, bedeutet an sich noch nicht, dass jemand in Ihr E-Mail-Konto eingedrungen ist. Prüfen Sie zunächst die Warnung über die offizielle Website des Unternehmens und finden Sie heraus, welche weiteren Daten offengelegt wurden. Wenn ein Passwort durchgesickert ist, ändern Sie es überall, wo Sie es verwendet haben, und aktivieren Sie einen stärkeren Anmeldeschutz. Wenn Karten-, Bank- oder Sozialversicherungsdaten durchgesickert sind, befolgen Sie die entsprechenden Schritte bei Ihrer Bank, bei der Auskunftei oder auf IdentityTheft.gov.

• Nur E-Mail-Adresse: Rechnen Sie mit mehr Spam und Phishing, das sich gegen Sie richtet. Es ist kein Beweis dafür, dass jemand auf Ihr Postfach zugegriffen hat.
• Passwort offengelegt oder als kompromittiert gemeldet: Ändern Sie es im betroffenen Konto und in jedem anderen Konto, in dem Sie dasselbe Passwort verwendet haben.
• Anzeichen einer Kontoübernahme (unbekannte Anmeldungen, geänderte Wiederherstellungsdaten, Weiterleitungsregeln, die Sie nicht erstellt haben, Nachrichten, die Sie nicht gesendet haben): Nutzen Sie das Wiederherstellungsverfahren Ihres E-Mail-Anbieters für gehackte Konten.
• Karten-, Bank-, Sozialversicherungs- oder Ausweisdaten offengelegt: Befolgen Sie die speziellen Schritte für diese Daten und nicht eine allgemeine E-Mail-Checkliste.

Wie Sie erkennen, ob Ihre E-Mail-Adresse in einem Datenleck war

Bestätigen Sie die Mitteilung über die offizielle Website oder App des betroffenen Unternehmens und prüfen Sie dann einen seriösen Datenleck-Dienst sowie Ihre Warnungen zu gespeicherten Passwörtern. Keine einzelne Abfrage enthält jedes Datenleck, lesen Sie daher auch die Vorfallmeldung des Unternehmens, um zu erfahren, welche Daten zusammen mit Ihrer Adresse offengelegt wurden.

Prüfen Sie die Mitteilung, ohne ihre Links zu verwenden

Mitteilungen über Datenlecks sind eine beliebte Tarnung für Phishing, klicken Sie daher nicht auf Links und rufen Sie keine Telefonnummern aus der Nachricht an. Das National Cyber Security Centre (NCSC) des Vereinigten Königreichs empfiehlt, stattdessen über die offizielle Website oder App Kontakt mit der Organisation aufzunehmen. Geben Sie die Adresse selbst ein oder öffnen Sie die App, die Sie bereits nutzen, und suchen Sie dann nach der Vorfallseite oder dem Support-Artikel des Unternehmens.

Achten Sie auf die Beschreibung des Vorfalls durch das Unternehmen und auf die Datenkategorien, die laut Unternehmen betroffen waren, etwa E-Mail-Adressen, Passwörter, Telefonnummern oder Zahlungsdaten. Wenn die Mitteilung vage ist, fragen Sie das Support-Team des Unternehmens über einen offiziellen Kanal, welche Daten über Sie betroffen waren.

Prüfen Sie Have I Been Pwned und Ihre Warnungen zu gespeicherten Passwörtern

Have I Been Pwned ist ein kostenloser Datenleck-Dienst, der vom Sicherheitsforscher Troy Hunt betrieben wird. Sie geben eine E-Mail-Adresse ein, und der Dienst listet die bekannten Datenlecks in seinem Datensatz auf, die diese Adresse enthalten. Laut FAQ werden E-Mail-Suchen nicht protokolliert, und es gibt eine kostenlose Benachrichtigung „Benachrichtige mich“, die nur an die überwachte Adresse gesendet wird.

Ein sauberes Ergebnis beweist nicht, dass Ihre Adresse nie durchgesickert ist. Have I Been Pwned kann nur Datenlecks melden, die es selbst erfasst hat, und einige Datensätze werden anders behandelt oder tauchen nie öffentlich auf.

Auch Ihre Passwort-Tools können offengelegte Passwörter melden. Der Google Passwortmanager bietet eine Passwortprüfung, die gespeicherte Passwörter als offengelegt, wiederverwendet oder schwach meldet. Auf dem iPhone kennzeichnet der Bereich Sicherheit der Passwörter-App schwache oder kompromittierte Passwörter, einschließlich Passwörtern, die in bekannten Datenlecks entdeckt wurden. Einige andere Passwortmanager bieten eine ähnliche Überwachung. Google empfiehlt, die Passwortprüfung direkt zu öffnen, um eine Warnung zu überprüfen, statt einem Link in der Benachrichtigung zu folgen – eine gute Gewohnheit bei jeder Sicherheitswarnung.

Was durchgesickert ist, entscheidet, was Sie tun sollten

Richten Sie Ihre Reaktion nach den Daten, die offengelegt wurden. Eine durchgesickerte E-Mail-Adresse erhöht vor allem Ihr Phishing-Risiko, ein durchgesickertes Passwort erfordert neue Passwörter, und durchgesickerte Finanz- oder Sozialversicherungsdaten erfordern Schritte bei Bank und Auskunftei.

Eine Telefonnummer, Adresse oder ein Geburtsdatum bedeuten nicht, dass ein SIM-Swap bevorsteht. Diese Angaben erleichtern jedoch Social Engineering, und die Federal Trade Commission (FTC) weist darauf hin, dass eine PIN oder ein Passwort für dein Mobilfunkkonto helfen kann, unbefugte Änderungen zu verhindern.

Wenn das Unternehmen mitteilt, dass Passwort-Hashes offengelegt wurden

Viele Unternehmen speichern Passwörter als Hashes statt als lesbaren Text. Wenn in einer Meldung zu einer Datenpanne steht, dass Passwort-Hashes entwendet wurden, befolge die Anweisungen des Unternehmens zum Zurücksetzen und ersetze dieses Passwort überall dort, wo du es wiederverwendet hast. Hashing kann die Wahrscheinlichkeit verringern, dass ein Passwort wiederhergestellt werden kann, doch der Schutz hängt von der Hashmethode, ihrer Konfiguration und der Stärke deines Passworts ab. Geh nicht davon aus, dass ein gehashtes Passwort entweder sofort lesbar oder dauerhaft sicher ist.

Wenn in der Warnung ein Stealer-Log oder Schadsoftware erwähnt wird

Einige Warnungen zu Datenpannen stammen aus sogenannten „Stealer-Logs“, also Zugangsdaten, die von Malware auf einem infizierten Gerät gesammelt und nicht aus der Datenbank eines Unternehmens kopiert wurden. Wenn eine Warnung dies ausdrücklich sagt, aktualisiere und scanne das betroffene Gerät mit vertrauenswürdiger Sicherheitssoftware und ändere anschließend sensible Passwörter von einem Gerät, von dem du weißt, dass es sauber ist. Eine gewöhnliche Datenpanne bei einem Unternehmen bedeutet für sich genommen nicht, dass dein Telefon oder Computer mit Malware infiziert ist.

Wenn ein Passwort offengelegt oder wiederverwendet wurde

Handle umgehend, wenn ein Passwort offengelegt wurde, denn jemand könnte diese Kombination aus E-Mail und Passwort beim betroffenen Konto oder auf anderen Websites ausprobieren. Ändere es beim betroffenen Konto und ersetze es dann überall dort, wo du es noch verwendest.

Ändere es beim betroffenen Konto

Melde dich an, indem du die Adresse der Website selbst eingibst und nicht über einen Link in einer E-Mail, und lege ein neues, langes und einzigartiges Passwort fest. IdentityTheft.gov empfiehlt außerdem, deinen Benutzernamen zu ändern, falls die Website das erlaubt. Wenn du dich nicht anmelden kannst, kontaktiere das Unternehmen und frage, wie du das Konto wiederherstellen oder schließen kannst.

Prüfe, während du angemeldet bist, auf Änderungen, die du nicht vorgenommen hast, besonders auf Einkaufs- oder Finanzseiten. Sieh dir die Lieferadresse, gespeicherte Karten, verknüpfte Konten und aktuelle Bestellungen oder Transaktionen an.

Ersetze es überall, wo du es wiederverwendet hast

Jedes andere Konto, das das geleakte Passwort noch verwendet, ist gefährdet, selbst wenn dieser Dienst nicht von der Datenpanne betroffen war. Ändere als Nächstes diese Passwörter, beginnend mit Konten, die Zugang zu anderen Diensten verschaffen oder Geld bzw. sensible Informationen preisgeben können:

1. Deine E-Mail-Konten, da Links zum Zurücksetzen des Passworts für fast alles andere dorthin gehen
2. Bank-, Zahlungs- und Investmentkonten
3. Einkaufsseiten, die eine Karte speichern
4. Konten bei sozialen Medien, Cloud-Speichern und Mobilfunkanbietern

Wenn dein Haupt-E-Mail-Passwort nicht wiederverwendet und nicht gemeldet wurde und keine ungewöhnliche Aktivität zeigt, muss es nicht zuerst geändert werden. Ändere es, wenn es mit der von der Datenpanne betroffenen Website ein Passwort teilt oder selbst in einer Warnung auftaucht.

Ein Passwortmanager macht dies praktisch, indem er für jedes Konto ein anderes Passwort erstellt und speichert. Einige Passwortmanager können auch gespeicherte Passwörter markieren, die wiederverwendet werden oder bekanntermaßen offengelegt sind. Ein Passwortmanager kann nicht verhindern, dass ein Unternehmen gehackt wird, aber einzigartige Passwörter verhindern, dass ein geleaktes Passwort andere Konten freischaltet.

Wechsle zu einem Passkey oder füge stärkeren Anmeldeschutz hinzu

Wenn eine Website Passkeys unterstützt, solltest du erwägen, einen anstelle eines Passworts zu verwenden. Andernfalls verwende ein einzigartiges Passwort und aktiviere die Multi-Faktor-Authentifizierung (MFA). Für wichtige Konten ist eine Authenticator-App oder ein Sicherheitsschlüssel die stärkere Wahl. Codes per Textnachricht bieten weiterhin Schutz, aber die FTC warnt, dass sie einen SIM-Swap möglicherweise nicht verhindern.

Bevor du eine alte Anmeldemethode entfernst, vergewissere dich, dass deine Wiederherstellungs-E-Mail-Adresse, deine Wiederherstellungstelefonnummer, deine Backup-Codes und deine vertrauenswürdigen Geräte unter deiner Kontrolle sind. Schalte die Verifizierung per Textnachricht erst aus, wenn eine andere Methode eingerichtet ist und funktioniert, sonst könntest du dich selbst aussperren.

Wenn es Anzeichen dafür gibt, dass jemand auf dein E-Mail-Konto zugegriffen hat

Eine Datenpanne bei einem anderen Unternehmen bedeutet nicht zwangsläufig, dass jemand auf dein Postfach zugegriffen hat. Die folgenden Schritte gelten nur, wenn du Anzeichen einer Übernahme deines E-Mail-Kontos siehst, wie zum Beispiel:

• Du kannst dich nicht anmelden, oder dein Passwort oder Benutzername wurde ohne dein Zutun geändert
• Anmeldebenachrichtigungen von Geräten oder Orten, die du nicht kennst
• Wiederherstellungs-E-Mail-Adressen oder Telefonnummern, die du nicht hinzugefügt hast
• Gesendete Nachrichten, die du nicht geschrieben hast, oder Freunde, die dir seltsame E-Mails von dir melden

Stelle das Konto über deinen Anbieter wieder her

Nutze die offizielle Kontowiederherstellungsseite deines Anbieters, die du erreichst, indem du die Adresse eingibst oder die App öffnest. Sobald du wieder Zugriff hast, ändere das Passwort, melde dich bei allen anderen Sitzungen und Geräten ab und aktiviere MFA, falls es deaktiviert war. Die FTC empfiehlt außerdem, deine Sicherheitssoftware zu aktualisieren und einen Scan durchzuführen.

Prüfe Geräte, Wiederherstellungsdetails, Weiterleitungsregeln und verbundene Apps

Ein Eindringling kann Einstellungen ändern, die ihm den Zugriff erhalten oder ihm nach dem Zurücksetzen des Passworts Kopien deiner Nachrichten zusenden. Googles Leitfaden für kompromittierte Konten nennt die unten stehenden Prüfungen; nutze die entsprechenden Sicherheits- und Mail-Einstellungen, die dein eigener Anbieter bietet.

• Geräte und Sitzungen: Prüfe die letzten Sicherheitsaktivitäten und entferne alle Geräte, die du nicht kennst.
• Wiederherstellungsdetails: Korrigiere jede Wiederherstellungs-E-Mail-Adresse, Telefonnummer oder jeden Kontonamen, die bzw. den du nicht eingerichtet hast.
• Weiterleitungen, Filter und Delegierte: Lösche Weiterleitungsregeln, Filter und Mail-Delegierte, die du nicht erstellt hast. Prüfe deine Ordner „Gesendet“ und „Gelöscht“ auf Nachrichten, die jemand anderes gesendet oder gelesen hat.
• Verbundene Apps: Entferne Drittanbieter-Apps mit Zugriff auf dein Konto, die du nicht kennst oder nicht mehr nutzt.

Warne deine Kontakte, falls Nachrichten verschickt wurden

Wenn jemand von deinem Konto aus E-Mails gesendet hat, sag es deinen Kontakten, damit sie nicht auf Links klicken oder auf Geldanfragen reagieren, die scheinbar von dir stammen.

Wenn Karten-, Bank- oder Sozialversicherungsdaten offengelegt wurden

Finanz- und Identitätsdaten erfordern Schritte, die ein neues Passwort nicht abdecken kann. Die Schritte in diesem Abschnitt folgen den IdentityTheft.gov-Richtlinien der FTC und gelten speziell für die Vereinigten Staaten. Nutze andernfalls die nationalen Behörden für Cyberkriminalität, Datenschutz und Kreditauskunft deines Landes sowie deine Bank.

Kredit- oder Debitkarte

Kontaktiere deinen Kartenaussteller über die Nummer auf der Rückseite der Karte oder auf deinem Kontoauszug, nicht über eine Nummer aus einer Meldung. Bitte darum, die Karte zu sperren und eine neue zu erhalten. Prüfe die letzten Transaktionen, melde alle, die du nicht kennst, und aktualisiere automatische Zahlungen mit der neuen Kartennummer.

Bank- oder Anlagekonto

Informiere deine Bank oder deinen Broker über den Vorfall und nutze dabei Kontaktdaten, von denen du bereits weißt, dass sie echt sind. IdentityTheft.gov empfiehlt, das Konto zu schließen und ein neues zu eröffnen, aber befolge die konkreten Anweisungen deines Instituts. Prüfe danach regelmäßig die Transaktionen und aktualisiere alle automatischen Zahlungen.

Sozialversicherungsnummer

Eine offengelegte Sozialversicherungsnummer kann genutzt werden, um in deinem Namen Kredite aufzunehmen, Steuererklärungen einzureichen oder eine Stelle zu bekommen. Dies sind die wichtigsten Schutzmaßnahmen:

• Sperre deine Kreditauskunft bei Equifax, Experian und TransUnion. Du musst jede Auskunftei separat kontaktieren. Eine Sperre ist kostenlos, gilt, bis du sie aufhebst, und beeinflusst deine Kreditwürdigkeit nicht. Jeder kann jederzeit eine Sperre einrichten, aber am wichtigsten ist sie, wenn deine Sozialversicherungsnummer oder andere Identitätsdaten durchsickern. Sie blockiert neue Kreditkonten; sie verhindert nicht den Missbrauch bestehender Karten oder Konten.
• Erwäge eine Betrugswarnung. Eine erste Benachrichtigung ist kostenlos, hält ein Jahr und benötigt nur einen Anruf: Das von Ihnen kontaktierte Büro muss die anderen beiden informieren.
• Prüfen Sie Ihre Kreditberichte bei AnnualCreditReport.com, wo Sie jede Woche kostenlos die Berichte aller drei Auskunfteien online einsehen können.
• Nehmen Sie die kostenlose Kreditüberwachung an, wenn das betroffene Unternehmen sie anbietet. Die Überwachung warnt Sie vor Aktivitäten in Ihren Berichten; sie verhindert Betrug jedoch nicht so wie eine Sperre.
• Beantragen Sie eine IRS-Identitätsschutz-PIN. Sie hilft zu verhindern, dass jemand anderes Ihre Sozialversicherungsnummer für eine betrügerische Bundessteuererklärung verwendet, und jedes Jahr wird eine neue IP-PIN erzeugt.
• Überprüfen Sie Ihren Beschäftigungsverlauf in einem Konto bei My Social Security, um zu prüfen, ob jemand Ihre Nummer für eine Anstellung verwendet hat.

Wenn Sie Konten, Schulden oder Steuererklärungen entdecken, die Sie nicht kennen, melden Sie diese bei IdentityTheft.gov. Die Website erstellt einen persönlichen Wiederherstellungsplan, der auf dem Vorfall basiert.

Informationen eines Kindes

Wenn die Sozialversicherungsnummer oder andere Identitätsdaten eines Kindes offengelegt wurden, können Eltern oder Vormunde bei jeder Auskunftei eine kostenlose Kreditsperre für das Kind beantragen. Jede Auskunftei hat ihr eigenes Verfahren für Minderjährige, das sich von einer Sperre für Erwachsene unterscheidet.

Führerschein-, Reisepass- oder Krankenversicherungsdaten

Wenn Führerscheindaten offengelegt wurden, wenden Sie sich an Ihre staatliche Kfz-Behörde und fragen Sie, ob sie die Nummer kennzeichnen oder einen Ersatz ausstellen kann. Wenn nur Ihre US-Reisepassnummer offengelegt wurde, hat das Außenministerium erklärt, dass es nicht empfiehlt, den Reisepass als verloren oder gestohlen zu melden; tun Sie das nur, wenn der physische Reisepass oder die Passkarte tatsächlich verloren gegangen oder gestohlen worden ist, denn eine Meldung macht ihn ungültig. Wenn Medicare-, Medicaid- oder Krankenversicherungsdaten offengelegt wurden, kontaktieren Sie das Programm oder den Versicherer über eine Nummer, von der Sie sicher wissen, dass sie echt ist, und prüfen Sie Ihre Ansprüche und Leistungsabrechnungen auf Behandlungen, die Sie nicht erhalten haben. Wenn diese Daten missbraucht werden, melden Sie es bei IdentityTheft.gov.

Achten Sie auf Phishing im Zusammenhang mit Datenlecks

Betrüger nutzen echte Datenlecks als Köder, und solche Nachrichten können noch lange nach Bekanntwerden eines Lecks eintreffen. Häufige Themen sind ein „Sicherheitsupdate“, das Sie zur Anmeldung auffordert, ein Entschädigungsangebot, eine dringende Passwortzurücksetzung und eine Warnung, dass Ihre Daten im Dark Web zum Verkauf stehen. Der Rat der FTC zum letzten Punkt gilt für alle: Klicken Sie nicht auf einen Link und verwenden Sie keine Telefonnummer aus der Nachricht. Rufen Sie die Website oder App des Unternehmens direkt auf.

Seien Sie vorsichtig bei Bestätigungscodes oder E-Mails zum Zurücksetzen des Passworts, die Sie nicht angefordert haben. Sie können bedeuten, dass jemand Ihre Adresse in ein Anmelde- oder Wiederherstellungsformular eingegeben hat, beweisen aber nicht, dass die Person Ihr Passwort kennt. Geben Sie den Code nicht weiter und bestätigen Sie die Anfrage nicht. Prüfen Sie die letzten Sicherheitsaktivitäten des Kontos und ändern Sie das Passwort, wenn es wiederverwendet wird, als kompromittiert gemeldet wurde oder Anzeichen für unbefugten Zugriff vorliegen.

Melden Sie Phishing über die Meldefunktion Ihrer E-Mail-App, damit deren Filter besser werden. In den USA melden Sie Betrug und Scams unter ReportFraud.ftc.gov und nutzen IdentityTheft.gov, wenn jemand Ihre Daten tatsächlich verwendet hat.

Wenn das Konto zu Ihrer Arbeit oder Schule gehört

Wenn die betroffene Adresse oder das Konto von einem Arbeitgeber oder einer Schule verwaltet wird, wenden Sie sich über einen genehmigten Kanal an das IT- oder Sicherheitsteam und befolgen Sie dessen Anweisungen, bevor Sie von der Organisation verwaltete Einstellungen ändern. Teilen Sie die Mitteilung nur mit dem zuständigen Team oder der Meldeadresse, nicht mit einer großen Gruppe von Kollegen oder Mitschülern.

Verringern Sie Ihre Exposition vor dem nächsten Datenleck

Sie können nicht verhindern, dass jedes Unternehmen gehackt wird, aber Sie können begrenzen, wie viel ein einzelnes Leck preisgibt und wie weit es sich ausbreitet. Einzigartige Passwörter in einem Passwortmanager verhindern, dass ein Leck andere Konten öffnet. Microsoft empfiehlt außerdem, getrennte E-Mail-Adressen zu verwenden, etwa eine für Freunde und Familie und eine andere für Online-Konten.

Bei risikoarmen Anmeldungen wie Newslettern, Gutscheinen und einmaligen Downloads hält eine separate Adresse Ihren Hauptposteingang von einer weiteren Kundenliste fern. Ein dauerhaftes Alias eignet sich für Konten, die Sie behalten möchten, während eine temporäre E-Mail-Adresse für einmalige Anmeldungen geeignet ist; unser Vergleich von temporären Mail- und E-Mail-Aliasen erklärt die Vor- und Nachteile.

Eine temporäre E-Mail behebt kein bereits eingetretenes Datenleck und ist nicht für Banking, Arbeit, Gesundheitswesen, Kontowiederherstellung oder ein Konto gedacht, das Sie behalten müssen. Tmailor ist nur empfangsbereit, akzeptiert keine Anhänge und löscht Nachrichten etwa 24 Stunden nach ihrem Eingang. Manche Websites blockieren zudem Wegwerfadressen.

Dieser Leitfaden beschreibt, was nach einem Datenleck zu tun ist. Wenn Sie Ihre Exposition vor dem nächsten verringern möchten, lesen Sie nach, wie temporäre Post begrenzt, was eine Datenpanne offenlegen kann.