Ihre E-Mail-Adresse steckt in einem Datenleck: was zu tun ist

Aktualisiert am 23. September 2026

Fast jeder hat seine Adresse schon in einem Datenleck gesehen. Das ist keine Katastrophe, wenn Sie in der richtigen Reihenfolge handeln: So gehen Sie vor.

Was ein Datenleck bedeutet

Ein Datenleck entsteht, wenn die Datenbank einer Website gehackt wird oder schlecht geschützt ist. Was abfließt, hängt von der Seite ab:

Offengelegte Daten	Hauptrisiko
Nur die E-Mail-Adresse	Spam und gezieltes Phishing
Adresse plus Name, Telefon, Postanschrift	Glaubwürdige Betrugsmails mit Ihren echten Daten
Adresse und Passwort	Zugriff auf Ihre Konten, vor allem bei wiederverwendetem Passwort
Zahlungsdaten	Betrügerische Zahlungen

Die E-Mail-Adresse allein ist kein Geheimnis: Sie ist ohnehin im Umlauf. Die echte Gefahr geht vom Passwort und vom anschließenden Betrug aus.

Schritt 1: prüfen, was betroffen ist

Der Dienst Have I Been Pwned (haveibeenpwned.com), betrieben von einem Sicherheitsforscher, sammelt öffentliche Datenlecks: Geben Sie Ihre Adresse ein und sehen Sie, in welchen Datenbanken sie steckt und welche Daten betroffen waren. Misstrauen Sie dagegen E-Mails, die Sie vor einem Leck „warnen“ und zum Klicken auffordern: ein klassisches Phishing-Szenario.

Schritt 2: Passwörter ändern, in der richtigen Reihenfolge

Zuerst das E-Mail-Konto: Wer Ihr Postfach kontrolliert, kann alle anderen Konten zurücksetzen.
Das Konto bei der betroffenen Seite.
Alle Konten mit demselben Passwort: Hier passieren die meisten Einbrüche, weil Bots Kombinationen aus Adresse und Passwort überall ausprobieren.
Bank, Shops mit gespeicherter Karte, soziale Netzwerke.

Ein eigenes Passwort pro Seite, erzeugt und gespeichert von einem Passwort-Manager, macht das nächste Leck nahezu folgenlos.

Schritt 3: Zwei-Faktor-Authentifizierung aktivieren

Aktivieren Sie für E-Mail und wichtige Konten die Zwei-Faktor-Authentifizierung: Authenticator-App, Sicherheitsschlüssel oder Passkey. Selbst mit Ihrem Passwort kommt ein Angreifer dann nicht hinein. SMS schützt weniger, ist aber weit besser als nichts.

Schritt 4: mit gezieltem Phishing rechnen

Nach einem Leck verschicken Betrüger Nachrichten, die die gehackte Seite, Ihren Namen und manchmal eine echte Bestellung nennen. Über mehrere Monate gilt:

klicken Sie auf keinen Link zum Datenleck, sondern rufen Sie die Seite direkt auf;
kein seriöser Dienst fragt per E-Mail, SMS oder Telefon nach Ihrem Passwort oder einem Code;
prüfen Sie Absender und echtes Linkziel, wie in unserem Phishing-Ratgeber erklärt.

Schritt 5: überwachen und künftige Angriffsfläche verkleinern

Kontrollieren Sie Ihre Kontoauszüge, wenn Zahlungsdaten betroffen sind, und lassen Sie die Karte im Zweifel sperren.
Prüfen Sie die Weiterleitungsregeln Ihres Postfachs: Angreifer richten manchmal eine ein, um Kopien Ihrer E-Mails zu erhalten.
Verkleinern Sie Ihre Angriffsfläche: Wegwerf-Adresse für einmalige Anmeldungen, ein Alias pro Seite für dauerhafte Konten. Bei einem Leck ist dann nur diese eine Adresse betroffen.

Wegwerf-Adresse erhalten

Häufige Fragen

Sollte ich nach einem Datenleck meine E-Mail-Adresse wechseln?

Selten. Neue Passwörter und Zwei-Faktor-Authentifizierung reichen meist aus. Bekommt die Adresse danach sehr viel Spam, helfen Filter oder ein Alias für neue Konten, ohne dass Sie komplett umziehen müssen.

Kann ein Angreifer mit meiner Adresse E-Mails verschicken?

Er kann den Absender einer Nachricht fälschen, ohne Zugriff auf Ihr Postfach zu haben, doch SPF, DKIM und DMARC der Anbieter blockieren einen Großteil solcher Fälschungen. Hat er Ihr Passwort, kann er dagegen wirklich aus Ihrem Konto schreiben: Ändern Sie es sofort.

Woran erkenne ich, ob jemand mein Konto benutzt hat?

Die meisten E-Mail-Dienste zeigen den Verlauf der Anmeldungen und Geräte. Melden Sie alle unbekannten Sitzungen ab und ändern Sie danach das Passwort.