Ein Unternehmen, bei dem du dich vor Jahren angemeldet hast, wird gehackt. Ihre Datenbank — einschließlich deiner E-Mail-Adresse, möglicherweise deines Passworts und anderer persönlicher Daten — wird gestohlen. Und dann?
Die meisten Menschen stellen sich vor, dass die gestohlenen Daten irgendwo in einer dunklen Ecke des Internets verschwinden. Die Realität ist organisierter, beständiger und folgenreicher als das.
Die Datenleck-Zeitleiste
Zu verstehen, was nach einem Datenleck mit deinen Daten passiert, hilft dir, angemessen zu reagieren und bessere Entscheidungen zu treffen, bevor Datenlecks passieren.
Phase 1: Das Datenleck tritt auf (Tag 0)
Ein Angreifer erhält unbefugten Zugriff auf die Datenbank eines Unternehmens. Das kann durch eine ungepatchte Sicherheitslücke, einen Phishing-Angriff auf einen Mitarbeiter, kompromittierte Zugangsdaten oder eine falsch konfigurierte, öffentlich zugängliche Datenbank passieren.
Der Angreifer kopiert die Datenbank. Das kann bei kleinen Datenbanken in Minuten passieren, bei großen in Stunden oder Tagen. Das Unternehmen weiß möglicherweise noch nicht, dass es passiert ist.
Phase 2: Entdeckung und Offenlegung (Tage bis Monate später)
Das Unternehmen kann das Datenleck selbst durch Überwachung entdecken, oder es wird von einem Sicherheitsforscher, den Strafverfolgungsbehörden oder den Angreifern selbst benachrichtigt (in Ransomware-Szenarien).
Unter der DSGVO (Europa) sind Unternehmen verpflichtet, betroffene Nutzer innerhalb von 72 Stunden nach der Entdeckung zu benachrichtigen. Gemäß verschiedenen US-Staatsgesetzen variieren die Benachrichtigungsfristen. In der Praxis werden viele Datenlecks Wochen oder Monate nach ihrem Auftreten offengelegt — und manche werden überhaupt nie offengelegt.
Phase 3: Die Daten kommen auf den Markt (Sofort bis Wochen später)
Das ist, was tatsächlich mit der gestohlenen Datenbank passiert:
Szenario A: Auf Dark-Web-Marktplätzen verkauft Der Angreifer listet die Datenbank zum Verkauf auf. Die Preise variieren enorm — eine Datenbank mit einer Million E-Mail/Passwort-Paaren von einem Finanzdienstleister kann für Tausende von Dollar verkauft werden. Eine Datenbank mit E-Mails von einer Gaming-Website kann für ein paar Hundert verkauft werden.
Szenario B: Direkt für Credential Stuffing verwendet Wenn die Datenbank Passwörter enthält (auch gehashte), laufen Angreifer sie durch Passwort-Cracker und versuchen dann die gecrackten Zugangsdaten bei hochrangigen Zielen — Banking-Websites, E-Mail-Anbieter, E-Commerce-Websites. Das nennt sich Credential Stuffing. Es funktioniert, weil die meisten Menschen Passwörter wiederverwenden.
Szenario C: Zu Spam-Listen hinzugefügt Auch ohne Passwörter sind E-Mail-Adressen aus Datenlecks für Spammer wertvoll. Die Adressen sind als echt verifiziert (sie wurden einmal zur Anmeldung bei etwas verwendet) und werden zu Massen-E-Mail-Listen hinzugefügt.
Szenario D: Für gezieltes Phishing verwendet Wenn das Datenleck zusätzlichen Kontext enthielt — welchen Dienst du verwendet hast, deinen Benutzernamen, Kaufhistorie — können Angreifer überzeugende Phishing-E-Mails erstellen, die spezifische Details referenzieren, um legitim zu wirken.
Phase 4: Die Daten kursieren auf unbestimmte Zeit
Das ist der Teil, den die meisten Menschen nicht verstehen: Datenleck-Daten laufen nicht ab und verschwinden nicht.
Sobald eine Datenbank einmal verkauft wurde, wird sie weiterverkauft. Sie wird mit anderen Datenleck-Datenbanken zu "Combo-Listen" kombiniert — riesige Sammlungen von E-Mail/Passwort-Paaren aus Hunderten von zusammengeführten Datenlecks. Manche Combo-Listen enthalten Milliarden von Einträgen.
Eine E-Mail-Adresse aus einem Datenleck von 2015 kursiert 2026 noch immer in Spam-Listen und Combo-Listen. Die Daten aus großen Datenlecks — LinkedIn 2012, Adobe 2013, Yahoo 2013-2016 — werden noch heute aktiv bei Angriffen verwendet.
Wie du prüfst, ob deine E-Mail Teil eines Datenlecks war
HaveIBeenPwned (haveibeenpwned.com) ist das umfassendste kostenlose Tool, um zu prüfen, ob deine E-Mail in bekannten Datenleck-Datenbanken vorkommt. Es wurde vom Sicherheitsforscher Troy Hunt entwickelt und verfolgt Hunderte von großen Datenlecks.
Gib deine E-Mail-Adresse ein und es sagt dir:
- In welchen Datenlecks deine Adresse auftauchte
- Welche Daten bei jedem Datenleck exponiert wurden (E-Mail, Passwort, Benutzername, IP-Adresse, etc.)
- Das Datum jedes Datenlecks
Das ist nützlich, um deine historische Exponierung zu verstehen. Es erkennt keine Datenlecks, die noch nicht öffentlich bekannt gemacht wurden.
Mozilla Monitor (monitor.mozilla.org) verwendet dieselbe HaveIBeenPwned-Datenbank und fügt kontinuierliche Überwachung hinzu — es benachrichtigt dich, wenn deine Adresse in neuen Datenlecks auftaucht.
Was du sofort nach einer Datenleck-Benachrichtigung tun solltest
Wenn du eine Benachrichtigung erhältst, dass deine E-Mail (und möglicherweise dein Passwort) bei einem Datenleck exponiert wurde, handle in dieser Reihenfolge:
1. Ändere das Passwort beim betroffenen Dienst Auch wenn das Unternehmen sagt, Passwörter seien "gehasht" gewesen, ändere es. Hashing-Algorithmen variieren in ihrer Stärke, und ältere Datenlecks verwendeten oft schwaches Hashing (MD5), das schnell geknackt werden kann.
2. Prüfe, ob du dieses Passwort anderswo wiederverwendet hast Wenn du dasselbe Passwort bei anderen Diensten verwendet hast — besonders E-Mail, Banking oder Social-Media-Konten — ändere es dort sofort. Credential-Stuffing-Angriffe nutzen gezielt die Passwort-Wiederverwendung aus.
3. Aktiviere Zwei-Faktor-Authentifizierung bei wichtigen Konten E-Mail-basiertes 2FA ist besser als nichts. Eine Authenticator-App (Google Authenticator, Authy) oder ein Hardware-Schlüssel (YubiKey) ist deutlich besser als E-Mail-basiertes 2FA.
4. Halte Ausschau nach Phishing-Versuchen Datenlecks, die kontextuelle Daten exponiert haben (welchen Dienst du verwendet hast, deinen Benutzernamen, Kaufhistorie), werden von gezielten Phishing-Kampagnen gefolgt. Sei in den nächsten Wochen besonders skeptisch gegenüber E-Mails, die spezifische Kontodetails referenzieren.
5. Überwache deine Finanzkonten Wenn das Datenleck Zahlungsdaten enthielt, überwache deine Kartenkontoauszüge auf unautorisierte Abbuchungen. Melde unautorisierte Abbuchungen sofort deiner Bank.
Wie temporäre E-Mail den Datenleck-Schaden begrenzt
Die Verwendung einer temporären oder Wegwerf-E-Mail-Adresse für nicht wesentliche Anmeldungen begrenzt direkt deine Datenleck-Exponierung.
Wenn du eine temporäre Adresse für einen Dienst verwendest, der später gehackt wird:
- Die geleakte Datenbank enthält
xk7p2m@instanttempemail.com— eine abgelaufene, zufällige Adresse ohne Verbindung zu deiner Identität - Deine echte E-Mail-Adresse ist nicht in der Datenbank
- Du erhältst keine Phishing-E-Mails an deine echte Adresse, weil die Datenleck-Daten sie nicht enthalten
- Credential-Stuffing-Angriffe mit dieser Adresse führen nirgendwo hin, weil die Adresse tot ist
Das ist einer der konkretesten und praktischsten Datenschutzvorteile von Wegwerf-E-Mails — es begrenzt den Schadensradius eines einzelnen Datenlecks auf genau diesen Dienst, ohne Überschwappen auf deine echte Identität oder andere Konten.
Die temporäre Adresse kann noch immer in Phishing-Kampagnen verwendet werden, aber da der Posteingang abgelaufen ist, kommen die Phishing-E-Mails nirgendwo an und du siehst sie nie.
Das Passwort-Wiederverwendungs-Problem
Datenlecks sind am gefährlichsten, wenn sie Passwörter exponieren, die bei mehreren Diensten wiederverwendet werden. Das zu verstehen hilft zu erklären, warum sowohl Datenleck-Hygiene als auch E-Mail-Hygiene zusammen wichtig sind.
Ein typischer Credential-Stuffing-Angriff funktioniert so:
- Der Angreifer kauft eine Combo-Liste mit 500 Millionen E-Mail/Passwort-Paaren aus verschiedenen Datenlecks
- Er schreibt ein Skript, das jedes Paar gegen einen Zieldienst (Gmail, PayPal, Amazon) ausprobiert
- Ein kleiner Prozentsatz — selbst 0,1% — wird sich erfolgreich einloggen, weil diese Nutzer das Passwort wiederverwendet haben
- Diese Konten sind nun kompromittiert
Die Abwehr ist einfach, erfordert aber Disziplin:
Verwende einen Passwort-Manager. 1Password, Bitwarden (Open Source, kostenlos) oder Dashlane generieren und speichern einzigartige, zufällige Passwörter für jeden Dienst. Du verwendest nie ein Passwort wieder, weil du nie Passwörter merken musst.
Verwende einzigartige Passwörter für jeden Dienst. Mit einem Passwort-Manager ist das mühelos. Ohne einen ist es wirklich schwierig — weshalb die meisten Menschen es nicht tun, und weshalb Credential Stuffing funktioniert.
Das Kombinieren einzigartiger Passwörter mit Wegwerf-E-Mails für Dienste mit geringem Wert bedeutet, dass ein Datenleck bei einem Dienst nichts Nützliches exponiert, um andere Dienste anzugreifen.
Warum manche Unternehmen Datenlecks nicht offenlegen
Nicht jedes Datenleck wird öffentlich bekannt. Unternehmen können:
- Nicht wissen, dass sie gehackt wurden (Angreifer sind oft verdeckt)
- Die Sicherheitslücke still beheben und hoffen, dass niemand es bemerkt
- Den Umfang des Zugegriffenen unterschätzen
- In Jurisdiktionen sein, die schwache oder keine Offenlegungsanforderungen haben
- Die Offenlegung während der Untersuchung verzögern, manchmal für Monate
Das bedeutet, deine E-Mail kann in Datenleck-Datenbanken auftauchen, die HaveIBeenPwned nicht kennt. Das Problem nicht offengelegter Datenlecks ist der Grund, warum die Verwendung von Wegwerfadressen für Dienste mit geringem Vertrauen wertvoll ist, selbst wenn du noch nie eine Datenleck-Benachrichtigung erhalten hast — du könntest ohne dein Wissen betroffen sein.
Häufig gestellte Fragen
Wenn meine E-Mail in einem Datenleck war, aber mein Passwort nicht, bin ich sicher? Sicherer, aber nicht sicher. Nur-E-Mail-Datenlecks füttern Spam-Listen und machen dich zum Phishing-Ziel. Sie werden auch mit anderen Datenleck-Daten kombiniert, um reichhaltigere Profile potenzieller Ziele zu erstellen. Ändere nichts, aber sei wachsamer gegenüber verdächtigen E-Mails.
Kann ich meine Daten aus Datenleck-Datenbanken entfernen lassen? Aus den Datenleck-Datenbanken, die von Diensten wie HaveIBeenPwned verwendet werden — nein, und du würdest es nicht wollen. Diese Datenbanken sind das, was dir ermöglicht, deine Exponierung zu prüfen. Aus den Spam-Listen und Combo-Listen, die unter Angreifern kursieren — nein. Einmal in diesen Listen, gibt es keinen Löschmechanismus.
Lohnt es sich, für Identitätsdiebstahl-Schutzdienste zu bezahlen? Ihr Wert variiert. Die Kernfunktion — deine persönlichen Daten in Datenleck-Datenbanken überwachen — ist kostenlos über HaveIBeenPwned und Mozilla Monitor verfügbar. Kostenpflichtige Dienste fügen Versicherung, Kreditüberwachung und unterstützte Wiederherstellungsdienste hinzu, die wertvoll sind, wenn du bereits von Identitätsdiebstahl betroffen warst. Für die Datenleck-Überwachung allein reichen die kostenlosen Tools aus.
Wie wissen Angreifer, welche E-Mail/Passwort-Paare sie wo ausprobieren sollen? Combo-Listen enthalten oft Metadaten darüber, woher die Zugangsdaten stammen. Angreifer verwenden auch Wahrscheinlichkeit — wenn sie deine E-Mail und ein Passwort haben, probieren sie zuerst die häufigsten hochwertigen Ziele: Gmail, Outlook, PayPal, Amazon, große Banken. Sie automatisieren diesen Prozess über Millionen von Zugangsdaten.
Mein Passwort war exponiert, aber es war gehasht. Sollte ich es trotzdem ändern? Ja. Hashing-Stärke variiert. MD5- und SHA1-Hashes (verwendet von vielen älteren Diensten) können in Minuten mit GPU-basierten Tools und Rainbow-Tables geknackt werden. Selbst bcrypt-gehashte Passwörter können bei ausreichend Zeit und Rechenleistung geknackt werden, wenn das Passwort schwach war. Ändere es unabhängig davon.