Was tun nach einem Datenleck: Ihr Aktionsplan für 2026

Eine Reihe großer Datenlecks hat 2026 geprägt — geleakte Zugangsdaten im Zusammenhang mit Fortinet/FortiGate-Firewall-Geräten, Kodak, einem mit Nintendo verbundenen Drittanbieter und der lange Nachhall des 23andMe-Vorfalls haben alle Schlagzeilen gemacht. Wenn Sie das hier lesen und sich fragen „war ich in eines davon verwickelt, und was nun?“, ist dies die ruhige, praktische Checkliste zum Abarbeiten. Nichts davon erfordert technisches Können, und die wichtigsten Schritte dauern nur wenige Minuten.

Die kurze Antwort

• Prüfen Sie, ob Sie betroffen sind mit Have I Been Pwned und jeder offiziellen Mitteilung des Unternehmens.
• Ändern Sie das geleakte Passwort — und jedes Konto, bei dem Sie es wiederverwendet haben.
• Aktivieren Sie 2FA, sodass ein gestohlenes Passwort allein sich nicht einloggen kann.
• Bleiben Sie wachsam gegenüber Phishing, das das Datenleck ausnutzt, und sperren Sie Ihre Bonität, wenn Identitätsdaten offengelegt wurden.
• Beheben Sie es dauerhaft: ein einzigartiges Passwort pro Konto, gespeichert in einem Passwort-Manager.

Schritt 1 — Herausfinden, ob Sie betroffen sind

Keine Panik, und raten Sie nicht. Es gibt zwei vertrauenswürdige Wege, es zu erfahren:

• Have I Been Pwned (haveibeenpwned.com) ist ein kostenloser, bekannter Dienst, der Ihre E-Mail-Adresse oder Telefonnummer gegen eine Datenbank bekannter Datenlecks abgleicht. Er sagt Ihnen, in welchen Datenlecks Ihre Adresse aufgetaucht ist, sodass Sie genau wissen, welche Konten Sie priorisieren müssen.
• Die offizielle Benachrichtigung. Unternehmen, die ein Datenleck erleiden, sind in der Regel verpflichtet, betroffene Nutzer zu informieren. Lesen Sie sie auf die Einzelheiten — welche Daten offengelegt wurden (nur E-Mail? Passwörter? Zahlungsdaten?) bestimmt, wie ernst es für Sie ist.

Seien Sie hier vorsichtig: Nach einem Datenleck verbreiten sich genau dann gefälschte „Sie wurden gehackt“-E-Mails. Loggen Sie sich niemals über einen Link in einer solchen Nachricht ein. Gehen Sie direkt zum Dienst.

Schritt 2 — Das Passwort ändern (und die Kettenreaktion stoppen)

Ändern Sie zuerst das Passwort des betroffenen Kontos. Dann — das ist der Schritt, den Menschen überspringen — ändern Sie es bei jedem anderen Konto, bei dem Sie dasselbe oder ein ähnliches Passwort verwendet haben. Angreifer nehmen in einem Leck offengelegte Zugangsdaten und probieren sie automatisch auf Hunderten anderer Seiten aus. Das ist Credential Stuffing, und wiederverwendete Passwörter sind das, was es funktionieren lässt.

Jedes Ersatzpasswort sollte lang, zufällig und einzigartig sein. Erhöhen Sie nicht einfach eine Zahl am Ende des alten — Angreifer und ihre Werkzeuge erraten solche kleinen Abwandlungen leicht. Beginnen Sie mit Ihren wichtigsten Konten: E-Mail, Banking und allem, was mit Ihren Zahlungskarten verknüpft ist. Arbeiten Sie sich von dort nach außen zu sozialen Medien, Shopping und den Dutzenden von Anmeldungen vor, die Sie über die Jahre vergessen haben.

Schritt 3 — Zwei-Faktor-Authentifizierung aktivieren

Sobald das Passwort geändert ist, fügen Sie ein zweites Schloss hinzu. Mit eingeschalteter Zwei-Faktor-Authentifizierung reicht selbst ein künftiges Leck Ihres Passworts nicht aus, um sich einzuloggen — ein Angreifer bräuchte auch den Code aus Ihrer Authenticator-App oder Ihren Hardware-Schlüssel. Priorisieren Sie zuerst Ihr E-Mail-Konto (es kann alles andere zurücksetzen), dann Banking und Ihren Passwort-Manager. Wo Sie wählen können, bevorzugen Sie eine Authenticator-App oder einen Hardware-Schlüssel gegenüber SMS-Codes, die die schwächste Form von 2FA sind. Es dauert ein paar Minuten pro Konto und schließt die Tür, die ein geleaktes Passwort offen lässt.

Schritt 4 — Achten Sie auf Ihr Geld und Ihren Posteingang

• Überwachen Sie Finanzkonten. Prüfen Sie Bank- und Kartenauszüge mindestens einige Monate lang auf unbekannte Buchungen. Richten Sie Transaktionsbenachrichtigungen ein, falls Ihre Bank sie anbietet.
• Rechnen Sie mit gezieltem Phishing. Jetzt, da Ihre Daten draußen sind, werden Sie wahrscheinlich überzeugende Betrugsnachrichten sehen. Behandeln Sie jede „Sichern Sie Ihr Konto“-E-Mail als verdächtig und prüfen Sie, indem Sie den Dienst selbst öffnen.
• Sperren Sie Ihre Bonität, wenn Identitätsdaten geleakt sind. Wenn eine Sozialversicherungsnummer, ein amtlicher Ausweis oder Bankdaten offengelegt wurden, verhindert eine Bonitätssperre, dass Betrüger neue Konten in Ihrem Namen eröffnen. Sie ist kostenlos zu setzen und aufzuheben.

Die echte langfristige Lösung

Datenlecks bei Unternehmen sind nichts, was Sie verhindern können — aber Sie können sie für sich harmlos machen. Die einzelne Änderung, die am meisten zählt, ist ein einzigartiges Passwort für jedes Konto, sodass ein Leck sich nie ausbreitet. Sich Dutzende starker, zufälliger Passwörter von Hand zu merken, ist unmöglich, weshalb es einen Passwort-Manager gibt: Er erstellt und speichert sie, füllt sie für Sie aus, und viele können bekannte Datenlecks überwachen und Ihnen genau sagen, welches Ihrer Logins Sie ändern müssen.

Das Fazit

Ein Datenleck ist beunruhigend, aber die Reaktion ist unkompliziert: prüfen, ob Sie betroffen sind, das geleakte Passwort und alle wiederverwendeten ändern, 2FA aktivieren und gegenüber Phishing und Betrug wachsam bleiben. Schließen Sie dann die Tür dauerhaft, indem Sie jedem Konto sein eigenes einzigartiges Passwort über einen Manager geben. Erledigen Sie die dringenden Schritte heute, und die Datenleck-Welle von 2026 wird zum Schrecken statt zur Katastrophe. Lernen Sie als Nächstes, wie 2FA funktioniert und wie Angreifer wiederverwendete Logins beim Credential Stuffing ausnutzen.