---
title: "Was ist eine Datenpanne? Was tun bei einem Datenleck?"
description: "Bei einer Datenpanne gelangen persönliche oder Firmendaten an Unbefugte oder gehen verloren. Wie Datenpannen entstehen, wie Sie das prüfen und was zu tun ist."
url: https://proxynet.io/de/blog/what-is-a-data-breach
date: 2026-11-15
author: "Acar Diveroli"
category: "Proxy 101"
lang: de
---

# Was ist eine Datenpanne? Was tun bei einem Datenleck?

Ihr Smartphone warnt, dass eines Ihrer gespeicherten Passwörter in einem bekannten Datenleck aufgetaucht ist. Einen Tag später schreibt ein Onlineshop, bei dem Sie vor Jahren zuletzt bestellt haben, dass jemand auf seine Kundendaten zugegriffen hat. Keine der beiden Nachrichten bedeutet, dass Ihr Smartphone gehackt wurde. Beide bedeuten, dass eine Kopie von etwas über Sie jetzt bei Leuten liegt, die sie nicht haben sollten, und was Sie in den nächsten Tagen ändern, entscheidet, wie nützlich diese Kopie für sie ist.

Dieser Beitrag erklärt, was eine Datenpanne ist, wie sie entsteht, welche geleakten Daten gefährlich sind, wie Sie prüfen, ob Sie betroffen sind, und was Sie Schritt für Schritt tun. Er behandelt auch, was Unternehmen nach einer Datenpanne tun müssen und warum geleakte Passwörter von so vielen IP-Adressen aus ausprobiert werden.

> **Hinweis: Kurzantwort**
>
> Eine Datenpanne (englisch Data Breach) ist ein Vorfall, bei dem Unbefugte persönliche oder Firmendaten sehen, kopieren oder verändern oder bei dem Daten verloren gehen, durch einen Angriff oder durch ein Versehen wie eine falsch adressierte E-Mail. Die meisten beginnen mit einem gestohlenen oder wiederverwendeten Passwort, einer Phishing-Nachricht, einer offen im Internet stehenden Datenbank, nicht aktualisierter Software oder einem verlorenen Gerät. Waren Ihre Daten betroffen, ändern Sie das geleakte Passwort überall, wo Sie es verwendet haben, aktivieren Sie die Zwei-Faktor-Authentifizierung, behalten Sie Ihre Kontoauszüge im Blick, lassen Sie Ihre Kreditauskunft sperren, wo Ihr Land das anbietet, und behandeln Sie jede Nachricht zur Datenpanne als möglichen Betrug. Nach der DSGVO muss ein Unternehmen eine Datenpanne binnen 72 Stunden seiner Aufsichtsbehörde melden, es sei denn, sie schadet voraussichtlich niemandem, und Sie direkt benachrichtigen, wenn das Risiko für Sie hoch ist.

## Was ist eine Datenpanne?

Eine Datenpanne ist ein Vorfall, bei dem Daten zu jemandem gelangen, der sie nicht haben sollte, oder denen verloren gehen, die sie hüten sollten. Das britische National Cyber Security Centre (NCSC) beschreibt es einfach: Informationen, die eine Organisation verwahrt, werden gestohlen oder ohne Befugnis abgerufen. Die Datenschutz-Grundverordnung (DSGVO) der EU fasst den Begriff weiter: Eine „Verletzung des Schutzes personenbezogener Daten“ ist eine Verletzung der Sicherheit, die, „ob unbeabsichtigt oder unrechtmäßig“, zur Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugang zu personenbezogenen Daten führt. Ein Versehen zählt also ebenso wie ein Angriff.

Der Europäische Datenschutzausschuss (EDSA), das Gremium der EU-Datenschutzbehörden, unterscheidet drei Arten: Verletzungen der Vertraulichkeit (jemand sieht oder kopiert die Daten), der Integrität (jemand verändert sie) und der Verfügbarkeit (sie gehen verloren oder sind gesperrt, etwa wenn Ransomware die einzige Kopie verschlüsselt). Wenn Menschen sagen, ihre Daten seien „von einer Datenpanne betroffen“, meinen sie fast immer die erste Art, und um die geht es in diesem Beitrag.

## Ist ein Datenleck dasselbe wie eine Datenpanne?

Nicht ganz: Ein Datenleck bedeutet meist, dass Daten versehentlich offen zugänglich waren, eine Datenpanne dagegen, dass sie tatsächlich bei jemandem angekommen sind, der sie nicht haben sollte. Im Alltag überschneiden sich die Begriffe, und rechtlich fallen sie oft zusammen, denn nach der DSGVO ist auch eine versehentliche Offenlegung personenbezogener Daten eine Datenpanne.

| Begriff | Was er meist bedeutet | Beispiel |
|---|---|---|
| Datenpanne (Data Breach) | Daten gelangten an die Falschen, durch Angriff oder Versehen | Kundendaten vom Server eines Shops kopiert |
| Datenleck | Daten lagen offen, oft wegen einer falschen Einstellung | Ein Speicherordner, offen für jeden mit dem Link |
| Hack | Jemand drang in ein System ein; Daten wurden womöglich mitgenommen, womöglich nicht | Eine Website verunstaltet oder für Spam missbraucht |
| Sicherheitsvorfall | Alles, was Systeme oder Daten bedroht | Eine abgewehrte Welle fehlgeschlagener Anmeldungen |

Der EDSA fasst die letzte Zeile in einem Satz zusammen: Jede Verletzung des Schutzes personenbezogener Daten ist ein Sicherheitsvorfall, aber nicht jeder Sicherheitsvorfall ist eine Verletzung des Schutzes personenbezogener Daten.

## Wie entstehen Datenpannen?

Die meisten Datenpannen beginnen an einer von wenigen Schwachstellen, und oft kommen mehrere zusammen: Ein abgefischtes Passwort funktioniert, weil das Konto nichts weiter verlangte.

1. **Gestohlene oder wiederverwendete Passwörter.** Das Passwort eines Mitarbeiters, geleakt von einer anderen Website, öffnet ein Firmensystem ohne zweiten Anmeldeschritt.
1. **Phishing.** Jemand tippt seine Anmeldedaten in eine gefälschte Seite oder öffnet einen schädlichen Anhang; [Was ist Phishing?](/de/blog/what-is-phishing) zeigt, wie Sie solche Nachrichten erkennen.
1. **Falsch konfigurierter Speicher.** Eine Datenbank oder ein Cloud-Speicherordner ist ohne Passwort aus dem Internet erreichbar.
1. **Nicht aktualisierte Software.** Ein Server oder eine App mit einer bekannten Sicherheitslücke, die der Hersteller längst behoben hat, wurde nie aktualisiert.
1. **Innentäter.** Ein Mitarbeiter oder ein externer Auftragnehmer kopiert Daten ohne jeden Anlass oder hat weit mehr Zugriff, als die Aufgabe erfordert.
1. **Verlorene Geräte und fehlgeleitete Post.** Ein Laptop verschwindet, oder eine Datei geht an die falsche Adresse; die britische Datenschutzaufsicht ICO zählt beides zu den Datenpannen.
1. **Dienstleister.** Die Daten liegen bei einem Zahlungsdienstleister, einem E-Mail-Versanddienst oder einem anderen Auftragnehmer, und die Panne passiert dort.

Für Sie als Kundin oder Kunde zählt mehr, was mitgenommen wurde, als die Ursache.

## Welche Daten werden geleakt, und warum ist das wichtig?

Die Gefahr hängt von der Art der Daten ab: Eine geleakte E-Mail-Adresse bringt vor allem Betrugsversuche, ein geleaktes Passwort oder eine Ausweisnummer kann es dagegen jemandem erlauben, als Sie aufzutreten.

| Geleakte Daten | Was Kriminelle damit tun können | Was Sie tun |
|---|---|---|
| E-Mail-Adresse | Phishing schicken, das die Datenpanne erwähnt | Nachrichten zur Datenpanne misstrauen |
| Passwort | Sich dort anmelden und überall, wo Sie es wiederverwendet haben | Überall ändern; Zwei-Faktor-Authentifizierung hinzufügen |
| Telefonnummer | Betrugs-SMS und Anrufe, die Ihre Daten zitieren | Einem Anrufer nie einen Code vorlesen |
| Kartennummer | Mit der Karte bezahlen | Bank anrufen; neue Karte verlangen |
| Ausweis-, Pass- oder Steuernummer | Kredite oder Konten in Ihrem Namen eröffnen | Kreditauskunft sperren lassen, wo möglich |
| Geburtsdatum, Wohnadresse | Identitätsprüfungen bestehen, Betrug glaubwürdig machen | Wachsam bleiben; das lässt sich nicht ändern |
| Gesundheitsdaten, private Nachrichten, Fotos | Sie bloßstellen oder Geld fordern | Nicht zahlen; Anzeige bei der Polizei erstatten |

Passwörter verdienen einen eigenen Hinweis. Eine gut geführte Website speichert sie als Hashes, eine nur in eine Richtung umgerechnete Form, die sich nicht einfach in das Passwort zurückverwandeln lässt, aber kurze und gängige Passwörter werden trotzdem durch Raten gefunden. Sie wissen selten, wie eine Website Ihres gespeichert hat; ändern Sie ein geleaktes Passwort also, egal was in der Mitteilung steht.

## Woran erkennen Sie, ob Ihre Daten betroffen sind?

Meist erfahren Sie es aus einer Mitteilung des Unternehmens, durch eine Passwortwarnung auf dem Smartphone oder im Browser oder über einen Dienst, der bekannte Datenpannen abgleicht.

**Eine Mitteilung des Unternehmens.** Lesen Sie sie, aber handeln Sie über die eigene Website oder App des Unternehmens. Das [NCSC](https://www.ncsc.gov.uk/guidance/data-breaches) rät davon ab, Links oder Kontaktdaten aus einer erhaltenen Nachricht zu nutzen, weil Kriminelle gefälschte Passwort-Resets und „Entschädigungs“-Angebote verschicken, sobald eine Datenpanne bekannt ist.

**Have I Been Pwned.** Dieser kostenlose Dienst listet die bekannten Datenpannen auf, in denen eine E-Mail-Adresse vorkam, jeweils mit der Art der offengelegten persönlichen Daten, und seine Option **Notify Me** (Benachrichtigen) schickt Ihnen eine E-Mail, wenn die Adresse in einer künftigen Datenpanne auftaucht. Das NCSC nennt [Have I Been Pwned](https://haveibeenpwned.com/) als Beispiel für diese Art von Werkzeug.

**Google Passwortmanager.** Öffnen Sie in Chrome am Computer das Menü **Mehr** (drei Punkte), dann **Passwörter und Autofill** > **Google Passwortmanager** > **Passwortcheck**. In einem anderen Browser rufen Sie passwords.google.com auf und wählen **Zum Passwortcheck** > **Passwörter prüfen**. Google bezeichnet ein Passwort als „gehackt“, wenn es online veröffentlicht wurde.

**iPhone.** Öffnen Sie die App **Passwörter** und tippen Sie auf **Sicherheit**; eine Nachricht unter einem Account erklärt, ob dessen Passwort schwach oder kompromittiert ist. Die Prüfung auf Datenlecks schalten Sie unter **Einstellungen** > **Apps** > **Passwörter** > **Kompromittierte Passwörter erkennen** ein. Viele andere Passwortmanager und Sicherheits-Apps führen dieselbe Art von Prüfung durch.

Ein Treffer bedeutet, dass eine Kopie dieser Daten im Umlauf ist. Er verrät nicht, wer sie besitzt, und niemand kann die Kopie zurückholen; deshalb zählen die folgenden Schritte mehr als die Suche.

## Was tun, wenn Ihre Daten geleakt wurden?

Beginnen Sie mit dem geleakten Passwort und Ihrem E-Mail-Konto, kümmern Sie sich dann um Geld und Identität; die Reihenfolge unten folgt dem Risiko.

1. **Prüfen Sie die Datenpanne an der Quelle.** Öffnen Sie die Website oder App des Unternehmens selbst und lesen Sie die Mitteilung dort, damit Sie genau wissen, was mitgenommen wurde.
1. **Ändern Sie das geleakte Passwort und jedes Passwort, das ihm gleicht.** Ein auf einer anderen Website wiederverwendetes Passwort macht aus einer Datenpanne mehrere gehackte Konten. Ein [Passwortmanager](/de/blog/what-is-a-password-manager) erstellt und merkt sich für jede Website ein anderes.
1. **Aktivieren Sie die Zwei-Faktor-Authentifizierung oder einen Passkey,** zuerst für Ihr E-Mail-Konto, denn dorthin gehen die Passwort-Resets für alles andere. Die Zwei-Faktor-Authentifizierung verlangt nach dem Passwort einen zweiten Nachweis, etwa einen Code aus einer App; ein Passkey ist ein auf Ihrem Gerät gespeicherter Anmeldeschlüssel, der nur auf der echten Website funktioniert.
1. **Suchen Sie nach Änderungen, die Sie nicht vorgenommen haben.** Prüfen Sie in den Sicherheitseinstellungen des Kontos die angemeldeten Geräte, die Wiederherstellungsadresse und -telefonnummer sowie E-Mail-Weiterleitungsregeln, und melden Sie danach alle anderen Sitzungen ab.
1. **Rufen Sie Ihre Bank an, wenn Karten- oder Bankdaten geleakt wurden.** Nutzen Sie die Nummer auf Ihrer Karte und prüfen Sie Ihre Kontoauszüge auf Zahlungen, die Sie nicht kennen.
1. **Lassen Sie Ihre Kreditauskunft sperren, wenn eine Ausweis- oder Steuernummer geleakt wurde,** in Ländern, die dieses System kennen. In den USA ist eine [Kreditsperre](https://consumer.ftc.gov/articles/what-know-about-credit-freezes-fraud-alerts) (Credit Freeze) bei jeder der drei großen Auskunfteien kostenlos und verhindert, dass jemand in Ihrem Namen neue Kredite aufnimmt, bis Sie sie aufheben; anderswo fragen Sie Ihre Bank, welchen Schutz es gibt.
1. **Rechnen Sie mit Folgebetrug.** Daten aus Datenpannen speisen Phishing noch lange nach den Schlagzeilen: gefälschte Passwort-Resets, „Entschädigungs“-Angebote, Anrufe von jemandem, der Ihre Adresse schon kennt. Geben Sie niemandem, der Sie kontaktiert, einen Code oder ein Passwort.
1. **Bewahren Sie die Mitteilung auf.** Speichern Sie sie mit dem Datum und der Liste der geleakten Daten; Sie brauchen sie, wenn Sie sich beim Unternehmen oder bei einer Aufsichtsbehörde beschweren.

## Was muss ein Unternehmen nach einer Datenpanne tun?

Nach der DSGVO, die im Vereinigten Königreich in einer eigenen Fassung fortgilt, hat ein Unternehmen 72 Stunden Zeit, eine Datenpanne seiner Datenschutzbehörde zu melden, und muss Sie direkt benachrichtigen, wenn die Panne Sie einem hohen Risiko aussetzt.

Artikel 33 setzt die Frist. Das Unternehmen, das über die Verwendung der Daten entscheidet, der „Verantwortliche“, meldet die Datenpanne der Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, es sei denn, sie führt voraussichtlich für niemanden zu einem Risiko. Eine verspätete Meldung muss die Gründe für die Verzögerung nennen. Die [Leitlinien des EDSA zur Meldung von Datenpannen](https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-92022-personal-data-breach-notification-under_en) gehen diese Regeln anhand von Beispielen durch.

Artikel 34 betrifft Sie. Ist das Risiko für die Betroffenen hoch, muss das Unternehmen sie unverzüglich und in klarer und einfacher Sprache informieren: was passiert ist, welche Folgen wahrscheinlich sind, was es unternommen hat und an wen man sich wenden kann. Auf die einzelne Nachricht darf es verzichten, wenn die Daten für den Eindringling unlesbar waren, etwa weil sie stark verschlüsselt sind, wenn das hohe Risiko bereits beseitigt ist oder wenn es einen unverhältnismäßigen Aufwand bedeuten würde, alle zu erreichen; im letzten Fall muss es stattdessen eine öffentliche Bekanntmachung veröffentlichen.

Außerhalb Europas gelten andere Regeln. In den USA haben laut der US-Verbraucherschutzbehörde Federal Trade Commission (FTC) alle Bundesstaaten, der District of Columbia, Puerto Rico und die Amerikanischen Jungferninseln Gesetze zur Meldung von Datenpannen. Viele andere Länder haben eine Datenschutzbehörde, die eigene Fristen setzt und Beschwerden entgegennimmt.

## Warum werden geleakte Passwörter von so vielen IP-Adressen aus ausprobiert?

Weil Kriminelle geleakte Paare aus E-Mail-Adresse und Passwort automatisch in die Anmeldeseiten anderer Websites einspeisen und die Versuche auf viele IP-Adressen verteilen, damit keine einzelne Adresse genug sendet, um gesperrt zu werden. Die Technik heißt Credential Stuffing; [Was ist Credential Stuffing?](/de/blog/what-is-credential-stuffing) beschreibt, wie Websites sie erkennen.

Deshalb begrenzen Anmeldeseiten die Versuche pro IP-Adresse und pro Konto und schicken eine Warnung über eine „neue Anmeldung“, wenn ein Passwort an einem ungewohnten Ort benutzt wird. Ein eigenes Passwort für jede Website und die Zwei-Faktor-Authentifizierung machen diese Versuche wirkungslos, egal von welcher Adresse sie kommen.

Sicherheitsteams arbeiten auf der anderen Seite. Sie durchsuchen öffentliche Quellen wie Code-Sharing-Plattformen, Paste-Seiten (Dienste zum Teilen von Textschnipseln) und offene Foren nach geleakten E-Mail-Adressen, Passwörtern und Zugriffsschlüsseln ihres Unternehmens, um sie zurückzusetzen, bevor jemand sie benutzt. Diese Recherche läuft oft über einen [Residential-Proxy](https://proxynet.io/de/residential-proxy), also eine IP-Adresse eines Heimanschlusses im gewählten Land, damit der Datenverkehr nicht auf das eigene Firmennetz zurückweist. Sie bleibt in rechtlichen Grenzen: nur öffentliche Seiten, kein Kauf von Daten und keine Anmeldung in fremden Konten.

## Wo Ihnen Datenpannen begegnen

In E-Mails und Briefen von Shops, Apps, Banken, Krankenhäusern, Schulen und Arbeitgebern, die mitteilen, dass auf Kunden- oder Mitarbeiterdaten zugegriffen wurde. In Passwortwarnungen auf dem Smartphone oder im Browser. In E-Mails über eine „neue Anmeldung“, die Sie nicht ausgelöst haben, und in Briefen zu Krediten, die Sie nie aufgenommen haben.

## Häufige Fehler

- **Nur das Passwort der betroffenen Website ändern.** Dasselbe Passwort auf anderen Websites ist das eigentliche Risiko.
- **Auf den Link in einer Mitteilung zur Datenpanne klicken.** Auf echte Datenpannen folgen gefälschte Mitteilungen; rufen Sie die Website selbst auf.
- **Eine geleakte E-Mail-Adresse abtun.** Sie verrät Betrügern, welchen Dienst Sie nutzen, und macht ihre Nachricht glaubwürdig.
- **Jemanden bezahlen, der verspricht, Ihre Daten zu löschen.** Eine geleakte Kopie lässt sich nicht zurückholen, und nichts beweist, dass sie gelöscht wurde.
- **Warnungen vor Datenpannen abschalten, weil sie nerven.** Hinter jeder Warnung steht ein Passwort, das jemand anderes ausprobieren kann.
- **Auf die E-Mail des Unternehmens warten.** Sie kommt vielleicht spät oder gar nicht, wenn das Unternehmen das Risiko als gering einstuft.

## Entscheidungshilfe

| Ihre Situation | Was Sie zuerst tun sollten |
|---|---|
| Ein Unternehmen meldet, dass Ihre E-Mail-Adresse geleakt wurde | Mit Phishing rechnen; die Mitteilung auf der Website des Unternehmens lesen |
| Smartphone oder Browser markiert ein Passwort | Auf jeder Website ändern, auf der Sie es verwendet haben |
| Kartendaten wurden geleakt | Die Bank unter der Nummer auf Ihrer Karte anrufen |
| Eine Ausweis- oder Steuernummer wurde geleakt | Kreditauskunft sperren lassen, wo möglich; auf neue Konten achten |
| Jemand droht, Ihre Daten zu veröffentlichen | Nicht zahlen; Nachrichten aufbewahren und Anzeige bei der Polizei erstatten |
| Ihr Unternehmen hat eine Datenpanne entdeckt | Eindämmen, Risiko bewerten, binnen 72 Stunden melden, wo die DSGVO gilt |
| Sie suchen nach geleakten Daten Ihres Unternehmens | Nur öffentliche Quellen, Residential-IPs, rechtliche Freigabe |

## Häufige Fragen

### Kann ich herausfinden, wer meine Daten hat?

Meistens nicht. Abgleichdienste und Mitteilungen von Unternehmen sagen Ihnen, in welcher Datenpanne Ihre Daten waren, nicht, wer sie kopiert hat oder wohin sie danach gingen, und gestohlene Daten werden oft weitergegeben oder verkauft. Gehen Sie davon aus, dass die Kopie im Umlauf ist, und schützen Sie die Konten, die sie betrifft.

### Sollte ich mein Konto nach einer Datenpanne löschen?

Das Löschen holt die bereits geleakte Kopie nicht zurück, ist aber bei einem Konto sinnvoll, das Sie nicht mehr nutzen, denn bei der nächsten Datenpanne dieses Unternehmens gibt es dann weniger zu holen. Ändern Sie zuerst das Passwort und nutzen Sie dann die Löschfunktion der Website selbst.

### Informiert mich das Unternehmen, wenn meine Daten geleakt wurden?

Wenn die DSGVO gilt und die Datenpanne Sie einem hohen Risiko aussetzt, ja, direkt und unverzüglich. Stuft das Unternehmen das Risiko als geringer ein, meldet es die Panne womöglich nur der Aufsichtsbehörde, und außerhalb Europas hängt es vom örtlichen Recht ab. Abgleichdienste und Passwortwarnungen schließen diese Lücke.

### Was bedeutet „Ihr Passwort wurde bei einer Datenpanne gefunden“?

Es bedeutet, dass Ihr Passwort, meist zusammen mit Ihrem Benutzernamen, in einer geleakten Liste auftauchte, mit der Ihr Browser oder Passwortmanager es abgeglichen hat. Ihr Gerät wurde nicht gehackt; das Passwort ist einfach nicht mehr geheim. Ändern Sie es auf dieser Website und überall sonst, wo Sie es verwendet haben.

### Ist Have I Been Pwned sicher?

Ja, für den Zweck, für den es gebaut ist. Sie geben nur eine E-Mail-Adresse ein, der Dienst gibt an, dass Suchanfragen nicht protokolliert werden, und seine Benachrichtigungen gehen nur an die überwachte Adresse. Die E-Mail-Prüfung fragt nie nach Ihrem Passwort; seien Sie also misstrauisch bei jeder Website, die das tut.

### Wie lange bleiben geleakte Daten gefährlich?

Jahrelang. Ein Passwort bleibt gefährlich, bis Sie es überall geändert haben, wo Sie es verwendet haben, während sich eine Adresse, ein Geburtsdatum oder eine Ausweisnummer gar nicht ändern lassen. Handeln Sie deshalb einmal und gründlich, statt darauf zu warten, dass die Nachricht in Vergessenheit gerät.

## Fazit

Eine Datenpanne legt eine Kopie Ihrer Daten in die Hände von Leuten, die sie nicht haben sollten, durch einen Angriff oder ein Versehen, und diese Kopie lässt sich nicht zurückholen. Was Sie steuern, ist, wie nützlich sie ist: Ändern Sie geleakte Passwörter überall, wo Sie sie verwendet haben, aktivieren Sie die Zwei-Faktor-Authentifizierung oder Passkeys, behalten Sie Bank und Kreditauskunft im Blick und behandeln Sie jede Nachricht zur Datenpanne als möglichen Betrug. Unternehmen, für die die DSGVO gilt, haben 72 Stunden Zeit, die Aufsichtsbehörde zu informieren, und müssen Sie benachrichtigen, wenn das Risiko hoch ist. Sicherheitsteams, die öffentliche Quellen nach geleakten Daten des eigenen Unternehmens durchsuchen, finden die Einrichtung auf unserer Seite zur [Datensicherheit](/de/data-security).