Bin ich von einem Datenleck betroffen? So prüfst du es

Ob deine E-Mail-Adresse in einem bekannten Datenleck steckt, zeigt dir ein Leak-Check wie Have I Been Pwned in Sekunden. Als Beweis vor Gericht reicht so ein Treffer allein aber nicht OLG Köln 6 U 11/25. Belastbarer sind ein Schreiben des Unternehmens nach Art. 34 DSGVO und seine Auskunft nach Art. 15 DSGVO. Deine Konten sicherst du am besten sofort.

Was als Datenleck zählt

Ein Datenleck heißt: Deine Daten sind bei Leuten gelandet, die sie nicht haben sollten.

• Hack: Jemand bricht in Systeme ein und kopiert Daten, etwa bei einem früheren Dienstleister eines Musikstreamingdienstes OLG Düsseldorf 16 U 83/24.
• Scraping: Daten werden automatisiert über eine Funktion abgegriffen, die jeder nutzen konnte, bei Facebook die Kontakt-Import-Funktion BGH VI ZR 10/24. Das ist kein Hack, auch wenn es oft so genannt wird.
• Fehlversand: Daten gehen an die Falschen, etwa Excel-Listen eines Impfzentrums an Terminkunden OLG Hamm 11 U 69/23.

Was daraus einen Anspruch macht, erklärt der Ratgeber Schadensersatz nach einem Datenleck.

So funktionieren Leak-Checks

Der bekannteste Dienst ist Have I Been Pwned. Er sammelt Datensätze aus Lecks, die im Umlauf sind, und lädt die E-Mail-Adressen daraus in eine Datenbank. Passwörter speichert er dabei laut den FAQ nicht mit. Du gibst deine Adresse ein und siehst, in welchen Vorfällen sie auftaucht.

Achte im Ergebnis auf drei Hinweise. Unverifiziert: Die Herkunft des Datensatzes ist nicht zweifelsfrei geklärt. Gefälscht: Die Daten stammen sehr wahrscheinlich nicht von dieser Seite, auch wenn echte Adressen darin stehen. Spam-Liste: Jemand hat Adressen aus mehreren Quellen für Werbemails zusammengetragen.

Eine deutsche Alternative ist der Identity Leak Checker des Hasso-Plattner-Instituts, den das BSI neben dem Leak-Checker der Universität Bonn nennt BSI. Auch der Saldo-Check gleicht deine Adresse mit der Datenbank von Have I Been Pwned ab.

Was ein Treffer beweist und was nicht

Ein Treffer sagt: Deine Adresse steht in einem Datensatz, der einem bestimmten Vorfall zugeordnet ist. Er sagt nicht, welche anderen Daten von dir darin stehen, ob der Datensatz echt ist und ob das Unternehmen haftet. Kein Treffer heißt auch nicht, dass du sicher bist. Have I Been Pwned enthält nach eigener Aussage nur einen kleinen Teil aller geleakten Datensätze.

Vor Gericht wiegt ein Treffer wenig OLG Köln 6 U 11/25. Ein Kläger stützte seine Betroffenheit von einem Datenleck auf einen Online-Prüfdienst. Dem OLG Köln reichte das nicht: Woher die Datensätze stammten, sei nicht nachvollziehbar. Dass das BSI auf solche Dienste verlinkt, half nicht, denn das BSI kann zur Qualität der Daten selbst nichts sagen. Zudem hatte das Unternehmen die Daten des Klägers abgeglichen, ohne Treffer.

Abgewiesen wurde die Klage auch, weil die Adresse schon in Lecks von 2012 und 2022 stand. Der BGH hat das später in einem anderen Fall anders entschieden: Frühere Lecks derselben Daten betreffen nur die Höhe des Schadens, nicht, ob es überhaupt einen gibt BGH VI ZR 396/24. Wer mehrfach geleakt ist, bekommt also eher weniger, nicht automatisch nichts.

Muss dich das Unternehmen informieren?

Nicht immer. Der Aufsichtsbehörde muss das Unternehmen ein Leck unverzüglich und möglichst binnen 72 Stunden melden, außer es besteht voraussichtlich kein Risiko für die Betroffenen Art. 33 DSGVO. Dich muss es nur benachrichtigen, wenn voraussichtlich ein hohes Risiko für dich besteht. Dann unverzüglich und in klarer Sprache: was passiert ist, welche Folgen wahrscheinlich sind, was das Unternehmen dagegen tut und wo du nachfragen kannst Art. 34 DSGVO. Die Pflicht entfällt etwa, wenn die Daten verschlüsselt waren oder das Risiko nachträglich gebannt wurde. Wären Einzelschreiben zu aufwendig, reicht eine öffentliche Bekanntmachung.

Hast du so ein Schreiben bekommen, heb es auf. Es ist der beste Beleg, den du bekommen kannst. In einem Fall hatte das Unternehmen der Klägerin schriftlich mitgeteilt, welche ihrer Daten betroffen waren, und das war im Prozess unstreitig OLG Düsseldorf 16 U 99/24. Notier dir auch, wann du davon erfahren hast. Ab dem Ende dieses Jahres kann die dreijährige Verjährungsfrist laufen. Ob es auf das Wissen um das Leck oder um die eigene Betroffenheit ankommt, ist offen, siehe Verjährung bei Datenlecks.

Mit der Auskunft nach Art. 15 an Belege kommen

Kam kein Schreiben, frag selbst. Das Unternehmen muss dir sagen, ob es Daten von dir verarbeitet, dir eine Kopie geben und nennen, wem sie offengelegt wurden und woher sie stammen, wenn du sie nicht selbst angegeben hast Art. 15 DSGVO.

Schreib an die Datenschutzadresse aus der Datenschutzerklärung, nenn die E-Mail-Adresse und Telefonnummer, unter denen du Kunde warst, und frag ausdrücklich, welche deiner Daten betroffen waren. Ob Art. 15 genau diese Antwort erzwingt, regelt das Gesetz nicht ausdrücklich. Die Kopie zeigt dir aber zumindest, welche Daten dort lagen.

Die Antwort muss innerhalb eines Monats kommen, eine Verlängerung um zwei Monate muss das Unternehmen im ersten Monat begründen Art. 12 DSGVO. Die Auskunft ist kostenlos, nur für weitere Kopien darf es ein angemessenes Entgelt verlangen Art. 15 DSGVO. Ablehnen oder Geld verlangen darf es sonst nur bei offenkundig unbegründeten oder exzessiven Anträgen, und das muss es nachweisen. Antwortet es nicht, kannst du dich bei der Datenschutzaufsicht beschweren Art. 77 DSGVO.

Was du jetzt tun kannst

Unabhängig von jedem Anspruch: Sichere deine Konten.

Bist du betroffen, kann dir ein Anspruch nach Art. 82 DSGVO zustehen. Du kannst ihn einklagen, einen Anwalt beauftragen, dich bei einer Verbandsklage anmelden, wo es eine gibt, oder ihn verkaufen. Die Wege vergleicht Anspruch verkaufen statt klagen.