Fangen wir mit einem Fehler an, den wir oft sehen. Jemand sucht nach „wurde meine E-Mail gehackt“, landet auf der erstbesten unbekannten Seite und tippt dort seine Adresse ein, manchmal sogar das Passwort. Ironischerweise hat er damit aus Sorge vor einem Datenleck seine Daten gerade an eine weitere Stelle weitergegeben. Nachzusehen ist richtig. Wo und wie Sie nachsehen, ist mindestens genauso wichtig.
Was ist ein Datenleck eigentlich?
Bei einem Datenleck geraten Nutzerdaten, die ein Unternehmen speichert, in die Hände Unbefugter. Sie selbst müssen dafür nichts falsch gemacht haben. Ein Forum, eine Gaming-Seite oder ein Shop, bei dem Sie sich vor Jahren angemeldet haben, wird angegriffen, und plötzlich kursieren E-Mail-Adressen, Benutzernamen und manchmal Passwörter im Netz (meist verschlüsselt, leider manchmal auch im Klartext).
Dass Ihre Adresse in einem Leck auftaucht, heißt nicht, dass Ihr Mailkonto gehackt wurde. Diese Unterscheidung ist wichtig. Meist sieht es so aus: Ihre Adresse und Ihr Passwort von dieser Seite stehen auf einer Liste. Angreifer probieren dieselbe Kombination aus Adresse und Passwort dann bei anderen Diensten aus. Nutzen Sie dasselbe Passwort an mehreren Stellen, wird es genau hier gefährlich.
Schritt für Schritt prüfen mit Have I Been Pwned
Have I Been Pwned ist ein Dienst, den der Sicherheitsforscher Troy Hunt gegründet hat und der seit Jahren öffentlich bekannte Datenlecks sammelt. Die Prüfung dauert eine Minute:
- Tippen Sie haveibeenpwned.com direkt in die Adresszeile Ihres Browsers. Nicht auf ähnlich klingende Seiten aus den Suchergebnissen klicken, sondern genau diese Adresse aufrufen.
- Geben Sie auf der Startseite Ihre E-Mail-Adresse ein und starten Sie die Suche.
- Ist das Ergebnis grün, taucht Ihre Adresse in keinem der Lecks auf, die der Dienst kennt.
- Ist es rot, sehen Sie darunter, in welchen Lecks die Adresse vorkommt, wann sie passiert sind und welche Daten betroffen waren (etwa E-Mail, Passwort, Telefonnummer, IP-Adresse).
- Wenn Sie möchten, melden Sie sich für die Benachrichtigung an. Taucht Ihre Adresse später in einem neuen Leck auf, bekommen Sie Bescheid.
Kann ich auch mein Passwort prüfen?
Im Bereich „Passwords“ derselben Seite lässt sich prüfen, ob ein Passwort schon in Lecks aufgetaucht ist. Nach Angaben des Dienstes wird dabei nicht das vollständige Passwort übertragen. Wer hier lieber vorsichtig ist, kann auch die Passwortprüfung des eigenen Passwortmanagers oder Browsers nutzen, viele haben so eine Warnfunktion eingebaut. Auf unbekannten Seiten geben Sie dagegen kein Passwort ein. Punkt.
Treffer. Was jetzt?
Beim roten Bildschirm ist Panik meist die erste Reaktion. Unnötig. Wenn Sie die folgende Reihenfolge einhalten, ist der Großteil des Risikos an einem Nachmittag erledigt.
- Passwort bei dem betroffenen Dienst ändern. Sofern das Konto noch existiert. Nutzen Sie es nicht mehr, überlegen Sie, es zu löschen.
- Jede Stelle finden, an der Sie dasselbe Passwort nutzen. Das ist der lästigste, aber wichtigste Teil. Sind Mailkonto, Bank oder Social Media mit demselben Passwort geschützt, ändern Sie es nacheinander. Beginnen Sie mit dem Mailkonto, denn dorthin gehen die Links zum Zurücksetzen aller anderen Konten.
- Zwei-Faktor-Authentifizierung aktivieren. Selbst wenn Ihr Passwort bekannt ist, verhindert sie den Login ohne Authenticator-App oder Code auf Ihrem Handy. Ist sie bei Ihrem Mailkonto aus, schalten Sie sie heute ein.
- Für jedes Konto ein eigenes Passwort. Auswendig schafft das niemand. Ein Passwortmanager macht es deutlich leichter.
- Sicherheitseinstellungen des Mailkontos prüfen. Gibt es unbekannte Sitzungen, Weiterleitungsregeln, eine geänderte Wiederherstellungs-Telefonnummer oder -Adresse? Angreifer richten manchmal still eine Weiterleitung ein, um unbemerkt zu bleiben.
- In den nächsten Wochen bei eingehenden Mails besonders aufpassen. Listen aus Datenlecks werden auch für Phishing-Kampagnen genutzt. Klicken Sie nicht auf Links in Mails nach dem Muster „Mit Ihrem Konto stimmt etwas nicht“, sondern rufen Sie die Seite des Anbieters selbst über die Adresszeile auf. Gegen die zunehmende Werbeflut hilft auch unser Beitrag So werden Sie Spam-Mails los.
Und wenn auch meine Telefonnummer betroffen ist?
Dann begegnen Sie auch SMS und Anrufen mit Misstrauen. Geben Sie niemandem einen Code, der sich als Mitarbeiter Ihrer Bank oder eines Paketdienstes ausgibt. Kein seriöses Unternehmen fragt Sie am Telefon nach einem Bestätigungscode, den Sie erhalten haben.
Warum es darauf ankommt, welche Daten betroffen sind
| Betroffene Daten | Eigentliches Risiko | Wichtigster Schritt |
|---|---|---|
| Nur E-Mail-Adresse | Mehr Spam und Phishing-Mails | Eingehende Mails kritisch lesen, Filter verschärfen |
| E-Mail und Passwort | Übernahme anderer Konten mit demselben Passwort | Passwörter ändern, Zwei-Faktor-Authentifizierung |
| Telefonnummer | Betrug per Fake-Anruf und SMS | Keine Codes weitergeben, keine unbekannten Links öffnen |
| Name, Anschrift, Geburtsdatum | Persönlich zugeschnittene, glaubwürdige Betrugsmaschen | Jede Anfrage nach Identitätsdaten über den offiziellen Kanal prüfen |
Wie senke ich das Risiko in Zukunft?
Ein Leck lässt sich nicht rückgängig machen. Aber Sie können die Wahrscheinlichkeit verringern, dass Sie das nächste trifft. Die Logik: Je mehr Stellen Ihre Adresse kennen, desto höher die Chance, dass sie irgendwann in einem Leck auftaucht. Jede neue Anmeldung ist eine weitere Datenbank, in der Ihre Adresse gespeichert wird.
Wir empfehlen, die Angriffsfläche Ihrer Adresse zu verkleinern:
- Behalten Sie Ihre Hauptadresse für Bank, Behörden, Job und Konten, die Sie wirklich lange nutzen.
- Für Seiten, die Sie nur einmal besuchen, etwa um einen Rabattcode zu holen, einen Bericht herunterzuladen oder in einem Forum eine einzige Frage zu stellen, geben Sie Ihre dauerhafte Adresse nicht heraus.
- Löschen Sie alte Konten, die Sie nicht mehr nutzen. Ein gelöschtes Konto taucht in einem künftigen Leck nicht auf (oder enthält zumindest nicht Ihre aktuellen Daten).
Für den zweiten Punkt gibt es Geçici Mail. Beim Öffnen der Seite entsteht eine zufällige Adresse, eine Anmeldung verlangen wir nicht. Sie empfangen die Bestätigungsmail, erledigen Ihre Sache, die Adresse ist nach ein paar Stunden außer Gebrauch, und eingegangene Mails werden nach 24 Stunden gelöscht. Wird die Seite morgen gehackt, steht auf der Liste nicht Ihre dauerhafte Adresse, sondern eine, die längst ausgedient hat.
Ein Hinweis noch: Vergessen Sie das Passwort eines Kontos, das Sie mit einer temporären Adresse angelegt haben, geht die Mail zum Zurücksetzen an diese Adresse. Wenn Sie Ihren Wiederherstellungsschlüssel aufbewahren, kommen Sie zurück an die Adresse. Wie das geht, steht in unserem Beitrag zum Wiederherstellungsschlüssel. Ein wichtiges Konto, das Sie lange nutzen wollen, sollten Sie trotzdem nicht mit einer temporären Adresse eröffnen.
Häufige Fragen
Ist Have I Been Pwned vertrauenswürdig?
Have I Been Pwned sammelt seit Jahren öffentlich bekannte Datenlecks und ist in der Sicherheitsszene weit verbreitet. Für die Adressprüfung geben Sie nur Ihre E-Mail-Adresse ein, ein Passwort wird nicht verlangt.
Meine E-Mail taucht in einem Leck auf. Wurde mein Konto gehackt?
Nein, nicht zwingend. Es zeigt nur, dass Ihre Adresse in der geleakten Datenbank einer Seite steht. Gefährlich wird es vor allem, wenn Sie das Passwort von dort auch bei anderen Konten verwenden.
Was sollte ich nach einem Leck zuerst tun?
Ändern Sie zuerst das Passwort Ihres E-Mail-Kontos, dann das aller anderen Konten mit demselben Passwort, und aktivieren Sie die Zwei-Faktor-Authentifizierung.
Verringert eine temporäre E-Mail-Adresse das Risiko von Datenlecks?
Wer bei einmaligen Anmeldungen eine temporäre statt der dauerhaften Adresse nutzt, verringert die Zahl der Datenbanken, in denen die dauerhafte Adresse gespeichert ist. Damit sinkt die Wahrscheinlichkeit, dass die Hauptadresse in künftigen Lecks auftaucht.