Ein Beispiel: Reto erfährt von einem Datenleck
Fiktives Beispiel: Reto aus Luzern liest, dass ein Sportshop, bei dem er vor Jahren bestellt hat, Kundendaten verloren hat. Er öffnet selbst den Datenleck-Check von iBarry und erfährt: Seine Adresse steckt in zwei älteren Datensammlungen. Weil er das alte Shop-Passwort auch fürs Mailkonto nutzte, ändert er dieses zuerst, meldet alle anderen Geräte ab und schaltet den zweiten Faktor ein. Eine Mail «zum Datenleck», die zwei Tage später mit einem Link zur Kontobestätigung eintrifft, lässt er ungeöffnet.
Welchen Prüfdiensten kannst du deine Adresse geben?
Ein Prüfdienst vergleicht deine Adresse mit Daten aus bereits bekannt gewordenen Vorfällen. Die Verbraucherzentrale und das BSI nennen zwei Dienste: den Identity Leak Checker des Hasso-Plattner-Instituts (HPI) und den Leakchecker der Universität Bonn. Das Schweizer Bundesamt für Cybersicherheit (BACS) verweist auf iBarry, die Plattform der Swiss Internet Security Alliance.
| Dienst | So erhältst du das Ergebnis | Was du erfährst | Genannt von |
|---|---|---|---|
| Identity Leak Checker (HPI) | Per Antwort-Mail an die geprüfte Adresse | Welche Arten von Daten betroffen sind, keine Passwörter im Klartext | Verbraucherzentrale, BSI |
| Datenleck-Check von iBarry | Abfrage mit Daten von Have I Been Pwned | Ob und wann deine Daten in einer Datensammlung auftauchten | BACS |
| Have I Been Pwned | Direkt im Browser, heikle Lecks erst nach Bestätigung per Mail | In welchen Lecks die Adresse vorkommt | Datenquelle von iBarry |
Der Unterschied liegt im Versand: Der HPI-Dienst schickt laut Datenschutzerklärung eine Antwort-E-Mail. Das Ergebnis sieht also nur, wer das Postfach öffnen kann. Have I Been Pwned zeigt es sofort an, protokolliert Suchanfragen laut eigenen Angaben aber nicht.
Tipp: Für die Prüfung genügt die E-Mail-Adresse. Öffne den Dienst selbst und tippe nie ein Passwort auf einer Seite ein, die dir eine Mail oder Anzeige als «Leak-Check» empfiehlt.
Was sagt ein Treffer aus und was nicht?
Ein Treffer heisst: Deine Adresse steckt in mindestens einer bekannten Datensammlung. Er heisst nicht, dass gerade jemand in deinem Konto ist. Der HPI-Dienst sagt laut eigenen Angaben nichts darüber aus, ob ein geleaktes Passwort noch funktioniert. Weil es weiter im Leak steht, bleibt die Warnung auch nach einem Wechsel. «Kein Treffer» ist umgekehrt keine Garantie, denn die Dienste kennen nur bereits ausgewertete Vorfälle.
Laut iBarry werden Zugangsdaten auch mit Schadsoftware ausspioniert. Vermutest du welche auf deinem Gerät, entferne sie zuerst. Sonst behalten Kriminelle laut BSI ihren Zugang.
In welcher Reihenfolge sicherst du deine Konten?
Das BSI rät, die Passwörter zügig und in einem Durchgang zu ändern und mit dem E-Mail-Konto zu beginnen. Über das Postfach lassen sich viele andere Konten zurücksetzen.
- Gerät prüfen und gefundene Schadsoftware entfernen.
- E-Mail-Konto: neues, eigenes Passwort, alle aktiven Sitzungen beenden, Weiterleitungen und Wiederherstellungsdaten kontrollieren.
- Alle Konten mit demselben oder einem ähnlichen Passwort.
- Konten mit Geld. Ist ein Finanzdienst betroffen, kontaktiere laut BACS sofort den Anbieter.
- Zwei-Faktor-Schutz einschalten, wo er angeboten wird.
- Die übrigen Konten nach und nach.
Bei vielen Konten mit demselben Passwort hilft die Reihenfolge für den Passwortwechsel. Kommst du nicht mehr ins Postfach, lies E-Mail-Konto übernommen: Weiterleitungen und verknüpfte Zugänge prüfen.
Was tust du je nach geleakten Daten?
| Geleakte Daten | Das kann passieren | Das tust du |
|---|---|---|
| Passwort | Anmeldeversuche bei anderen Diensten | Überall ersetzen, wo du es benutzt hast |
| E-Mail-Adresse, Telefonnummer | Phishing-Mails, SMS oder Anrufe, die weitere Daten verlangen | Nicht reagieren, Konto oder Firma selbst kontaktieren |
| Name, Anschrift, Geburtsdatum | Glaubwürdig wirkende Anrufe, Identitätsmissbrauch | Kontoauszüge prüfen, eigenen Namen ab und zu suchen |
| Bank- oder Kartendaten | Unberechtigte Abbuchungen | Bank sofort informieren, Karte sperren lassen |
Kriminelle nutzen erbeutete Angaben, damit Nachrichten echt wirken. Watchlist Internet nennt als Beispiel einen Anrufer, der Name und Adresse kennt. Das BACS rät, in den Wochen danach besonders auf gezieltes Phishing zu achten. Prüfe angebliche Sicherheitsmails deshalb im Konto statt im Link.
Muss dich das Unternehmen informieren, und was gilt in der Schweiz?
In der EU muss ein Unternehmen ein Datenleck der nationalen Datenschutzbehörde melden. Bestehen dadurch Risiken für deine Daten oder deine Privatsphäre, muss es dich direkt informieren, wie das EU-Portal «Ihr Europa» erklärt. Bei Verstössen ist Schadenersatz möglich. Ob er dir zusteht, klärt eine individuelle Beratung; die Verbraucherzentrale bietet einen kostenlosen Rechte-Check mit Musterbriefen.
In der Schweiz gilt das Datenschutzgesetz (DSG), nicht automatisch EU-Recht. Nach Art. 24 DSG meldet ein Unternehmen eine Verletzung der Datensicherheit möglichst rasch dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), wenn sie voraussichtlich zu einem hohen Risiko führt. Dich informiert es, wenn das zu deinem Schutz nötig ist oder der EDÖB es verlangt.
| Land | Prüfen und informieren | Hilfe und Anzeige |
|---|---|---|
| Deutschland | Leakchecker von HPI und Uni Bonn; Notfallplan des BSI | Polizei, auch über die Onlinewachen der Länder |
| Österreich | Tipps von Watchlist Internet | Anzeige bei der Polizei, damit sie bei Identitätsmissbrauch Bescheid weiss |
| Schweiz | Datenleck-Check von iBarry, genannt vom BACS | Anzeige bei der Kantonspolizei, besonders bei finanziellem Schaden oder Missbrauch; Posten über suisse-ePolice |
Häufige Fehler
- Nur beim betroffenen Dienst das Passwort ändern und es anderswo weiterverwenden.
- Das E-Mail-Konto zuletzt sichern, obwohl darüber andere Konten zurückgesetzt werden.
- Auf einen Link in einer Mail «zu deinem Datenleck» klicken.
- «Kein Treffer» als Entwarnung lesen.
Deine Checkliste
Die Häkchen dienen nur deiner Übersicht. Hier werden keine Eingaben an uns gesendet. Zum Aufbewahren kannst du die Seite über das Browsermenü drucken oder als PDF speichern.
Häufige Fragen
Ist es riskant, meine E-Mail-Adresse bei einem Prüfdienst einzugeben?
Bei den hier genannten Diensten genügt die Adresse, ein Passwort brauchst du nicht. Das HPI speichert angefragte Adressen laut Datenschutzerklärung in verschleierter Form, als Hashwert. Have I Been Pwned protokolliert Suchanfragen nach eigenen Angaben nicht. Vorsicht gilt bei unbekannten Seiten, die dir per Mail oder Anzeige einen Leck-Check anbieten. Öffne den Dienst immer selbst.
Ich habe mein Passwort geändert. Warum meldet der Dienst trotzdem einen Treffer?
Der Dienst zeigt, was in einem Leck gefunden wurde, nicht den Zustand deines Kontos. Have I Been Pwned nennt einen Eintrag eine unveränderliche historische Tatsache, ein neues Passwort löscht ihn nicht. Auch der HPI-Dienst kann nicht prüfen, ob das alte Passwort noch funktioniert. Entscheidend ist, dass du es nirgends mehr verwendest.
Kann ich die Adresse meiner Eltern für sie prüfen?
Am besten gemeinsam. Der HPI-Dienst schickt die Antwort ins Postfach der geprüften Adresse, Benachrichtigungen von Have I Been Pwned gehen nur an die überwachte Adresse selbst. Setzt euch an das Gerät deiner Eltern und lass sie die Schritte selbst ausführen. Wie das geht, zeigt Digital helfen, ohne fremde Passwörter zu sammeln.
Quellen und weiterführende Informationen
Primärquellen von Behörden, Verbraucherschutz und Anbietern. Eine Quelle kann in einer anderen Sprache vorliegen; massgeblich sind die Hinweise für deinen Dienst und deinen Wohnort.
- Hasso-Plattner-Institut: Identity Leak Checker mit häufigen FragenQuellenstand:
- Hasso-Plattner-Institut: Datenschutzerklärung zum Identity Leak CheckerQuellenstand:
- Have I Been Pwned: häufige Fragen (englisch)Quellenstand:
- iBarry (Swiss Internet Security Alliance): Sicherheits-Checks mit Datenleck-PrüfungQuellenstand:
- Verbraucherzentrale: Datenlecks – prüfen Sie schnell und kostenlos Ihre AnsprücheQuellenstand:
- BSI: Notfallplan gehacktes E-Mail-Konto – Hilfe für BetroffeneQuellenstand:
- Bundesamt für Cybersicherheit BACS: Konto gehacktQuellenstand:
- Watchlist Internet: Wenn Ihre Daten in die falschen Hände geratenQuellenstand:
- Ihr Europa (EU): Datenschutz und Online-PrivatsphäreQuellenstand:
- EDÖB: Leitfaden betreffend die Meldung von Datensicherheitsverletzungen und Information der Betroffenen nach Art. 24 DSGQuellenstand:
