Jedes Jahr werden große Unternehmen gehackt, und E-Mail-Adressen sind fast immer Teil dessen, was dabei abfließt. Wenn du weißt, ob deine betroffen ist, kannst du handeln, bevor jemand sie gegen dich verwendet.
So prüfst du es
Have I Been Pwned (haveibeenpwned.com) ist ein kostenloser Dienst des Sicherheitsforschers Troy Hunt. Gib deine E-Mail-Adresse ein, und er listet die bekannten Datenlecks auf, in denen sie vorkam – mit Datum und der Art der betroffenen Daten.
Ein paar Dinge solltest du wissen:
- Der Dienst kennt nur Datenlecks, die öffentlich geworden sind. „Keine Treffer“ ist eine gute Nachricht, aber keine Garantie.
- Du kannst dich für eine kostenlose Benachrichtigung anmelden, damit du von künftigen Datenlecks mit deiner Adresse erfährst.
- Viele Passwortmanager und manche Browser haben eine ähnliche Prüfung eingebaut.
Was ein Datenleck wirklich bedeutet
Das Risiko hängt davon ab, was zusammen mit deiner E-Mail-Adresse abgeflossen ist:
| Zusammen mit deiner E-Mail-Adresse geleakt | Was passieren kann | Wie ernst |
|---|---|---|
| Nichts weiter | Mehr Spam und Phishing | Gering |
| Name, Telefonnummer, Adresse | Überzeugendere Betrugsversuche mit deinen Daten | Mittel |
| Ein Passwort (auch verschlüsselt) | Kriminelle probieren es auf anderen Websites aus, eine Methode namens Credential Stuffing | Hoch |
| Karten- oder Bankdaten | Betrügerische Zahlungen | Hoch: Ruf deine Bank an |
Fünf Schritte nach einem Datenleck
- Ändere das Passwort auf der betroffenen Website und auf jeder anderen Website, auf der du dasselbe verwendet hast.
- Aktiviere die Zwei-Faktor-Authentifizierung oder, wo angeboten, einen Passkey – und zwar zuerst für dein E-Mail-Konto. Deine E-Mail-Adresse ist der Schlüssel, um jedes andere Passwort zurückzusetzen.
- Nutze einen Passwortmanager, damit jede Website ein anderes Passwort bekommt. Dann bleibt ein Datenleck auch nur ein Datenleck.
- Rechne mit Phishing. E-Mails, die das Datenleck erwähnen oder angeblich vom gehackten Unternehmen kommen, sind direkt nach den Schlagzeilen häufig. Ruf die Website selbst auf, statt auf Links zu klicken.
- Behalte deine Kontoauszüge im Blick, wenn Zahlungsdaten betroffen waren, und frag deine Bank nach einer neuen Karte.
In den USA bietet IdentityTheft.gov der Federal Trade Commission einen Schritt-für-Schritt-Plan, falls deine Identität missbraucht wurde. Im Vereinigten Königreich kannst du Betrug bei Report Fraud melden, der nationalen Meldestelle, die Action Fraud abgelöst hat.
So gibst du beim nächsten Mal weniger preis
Du kannst nicht verhindern, dass Unternehmen gehackt werden. Du kannst aber steuern, wie viele von ihnen deine echte Adresse haben.
- Zähl deine Konten. Jedes vergessene Konto bei einem Shop, den du einmal genutzt hast, ist eine weitere Stelle, an der deine Adresse abfließen kann. Lösch die Konten, die du nicht mehr brauchst.
- Nimm für einmalige Anmeldungen eine Wegwerf-E-Mail. Gutscheine, Gratis-Downloads, WLAN-Logins und Gewinnspiele brauchen nicht deine echte Adresse. Wird eine dieser Seiten später gehackt, existiert die geleakte Adresse gar nicht mehr. Mehr dazu in Ist eine Wegwerf-E-Mail sicher und legal?
- Nimm einen E-Mail-Alias für Konten, die du behältst, denen du aber nicht ganz traust. Unser Vergleich Temporäre E-Mail vs. E-Mail-Alias erklärt, was wann passt.
Verwende keine temporäre Adresse für deine Bank, Gesundheitsdienste, Behördenkonten oder alles, was du später vielleicht wiederherstellen musst.
Fazit
Prüf deine Adresse bei Have I Been Pwned, ändere mehrfach verwendete Passwörter und schütze dein E-Mail-Konto mit Zwei-Faktor-Authentifizierung. Dann verkleinere das Problem für die Zukunft: Gib deine echte Adresse an weniger Websites weiter und nimm eine temporäre E-Mail-Adresse für die, die du nur einmal brauchst.
Quellen
- Have I Been Pwned, Who, What & Why: der Dienst und wer ihn betreibt.
- Federal Trade Commission, IdentityTheft.gov: Identitätsdiebstahl melden und einen Wiederherstellungsplan erhalten.
- City of London Police, Report Fraud: die britische Meldestelle für Betrug und Cyberkriminalität.