Datenleck: Was Verbraucher jetzt tun können

Ein Datenleck trifft Verbraucher häufig unvorbereitet: Eine knappe E-Mail eines Onlineshops, ein Hackerangriff auf eine Behörde – und plötzlich könnten persönliche Daten im Darknet kursieren. Was genau gestohlen wurde, wie groß der Schaden ist und welche Rechte Betroffene haben, bleibt dabei oft unklar. Ein aktueller Vorfall in Berlin, bei dem riesige Datenmengen nach einem Cyberangriff entwendet und im Darknet veröffentlicht wurden, zeigt exemplarisch, wie machtlos Bürgerinnen und Bürger in solchen Situationen sein können.

Ruhe bewahren und Datenleck genau analysieren

Der erste und wichtigste Schritt nach einer Datenpanne-Meldung ist, nicht in Panik zu verfallen. Betroffene sollten die Benachrichtigung des Unternehmens sorgfältig lesen und einschätzen, welche Art von Daten betroffen ist.

• Adress- und Kontaktdaten: Vergleichsweise harmlos – diese Informationen waren früher oft im Telefonbuch öffentlich zugänglich.
• Passwörter und Zugangsdaten: Sofortiges Ändern des betroffenen Passworts, idealerweise auch auf anderen Plattformen, auf denen dasselbe Passwort verwendet wurde.
• Kreditkarten- und Zahlungsdaten: Kontoauszüge und Kreditkartenabrechnung auf dubiose Belastungen prüfen und gegebenenfalls die Karte sperren lassen.
• Kompletter Identitätsdatensatz: Bei Verdacht auf Identitätsmissbrauch umgehend Bank und betroffene Institutionen informieren.

Viele Benachrichtigungen sind generisch formuliert und nennen keine konkreten Details. In diesem Fall sollten Betroffene aktiv beim Unternehmen nachfragen.

Auskunftsanspruch: Welche Daten wurden gestohlen?

Verbraucher haben das Recht zu erfahren, welche ihrer Daten genau kompromittiert wurden. Grundlage dafür ist die Datenschutz-Grundverordnung (DSGVO), die Unternehmen und Behörden dazu verpflichtet, Betroffene über Datenpannen zu informieren und auf Anfrage Auskunft zu erteilen.

Wer keine oder eine unzureichende Antwort erhält, kann schriftlich auf seinen Auskunftsanspruch pochen. Das Unternehmen muss innerhalb einer gesetzlich festgelegten Frist antworten. Allerdings wissen manche Anbieter selbst noch nicht genau, welche Datensätze entwendet wurden – besonders in der Frühphase eines Vorfalls.

Die DSGVO gilt laut Experten als vergleichsweise starkes Regelwerk, scheitert in der Praxis aber häufig an der Umsetzung: Viele Unternehmen versuchen, Datenpannen kleinzureden, weil jeder Sicherheitsvorfall dem öffentlichen Image schadet.

Schadenersatz: Lohnt sich eine Klage?

Rechtsanwälte werben mitunter damit, für Mandanten Schadenersatz in Höhe von 1.000 bis 1.500 Euro oder mehr durchzusetzen. Die Realität sieht oft nüchterner aus: Tatsächlich zugesprochene Beträge in deutschen Gerichtsverfahren liegen häufig zwischen 500 und 1.000 Euro – nach monatelangen, kräftezehrenden Prozessen.

Hinzu kommt ein grundsätzliches Beweisproblem: Wer nachweisen will, dass ein konkreter Schaden – etwa eine Bestellung in fremdem Namen – direkt aus einem bestimmten Datenleck stammt, muss das lückenlos belegen. Das ist in der Praxis schwierig.

Wer eine Rechtsschutzversicherung hat, sollte deren Leistungsumfang prüfen. Manche Versicherungen bieten einen außergerichtlichen Vergleich an – etwa eine Pauschalzahlung von 150 Euro im Gegenzug auf den Verzicht weiterer rechtlicher Schritte. Das mag wenig erscheinen, erspart aber langwierige Verfahren.

Wenn Daten missbraucht werden: Das Chargeback-Verfahren

Wurde die Kreditkarte durch gestohlene Daten missbräuchlich belastet, ist der Weg vergleichsweise klar: Betroffene können die unberechtigte Buchung bei ihrer Bank oder dem Kreditkartenanbieter über das sogenannte Chargeback-Verfahren anfechten. Banken sind mit solchen Fällen vertraut und wickeln sie routinemäßig ab – vor allem dann, wenn nachgewiesen werden kann, dass Waren an eine fremde Adresse geliefert wurden.

Komplizierter wird es, wenn Betroffene selbst unvorsichtig waren – etwa indem sie auf eine Phishing-Mail hereingefallen sind und Zugangsdaten preisgegeben haben. Solche Spam-Nachrichten werden zunehmend professioneller und sind kaum noch von echten Unternehmenskommunikationen zu unterscheiden. In diesem Fall können Unternehmen eine Mitverantwortung der Betroffenen geltend machen, was Schadenersatzansprüche erschwert.

Cybersicherheit bleibt eines der drängendsten Verbraucherthemen der kommenden Jahre. Solange Gesetze wie die DSGVO in der Praxis zu selten konsequent durchgesetzt werden, sind Bürgerinnen und Bürger gut beraten, Benachrichtigungen ernst zu nehmen, gezielt nachzufragen und im Schadensfall schnell zu handeln – statt auf eine umfassende staatliche Absicherung zu vertrauen.