E-Mail in Datenleck: was tun? Die ersten 60 Minuten

Die Mail kommt an einem Dienstag: „Your email was found in a new data breach.“ Der erste Impuls ist, alles gleichzeitig zu ändern. Das ist verständlich und trotzdem nicht ideal, weil dann ausgerechnet das wichtigste Konto zuletzt drankommt. Es gibt eine sinnvolle Reihenfolge.

Erst klären: Was genau ist geleakt?

Bevor du irgendetwas änderst, schau nach, welche Daten im betroffenen Leak enthalten waren. Dienste wie Have I Been Pwned listen das pro Leak auf. Wie du deine Adresse prüfst, steht in Datenleck prüfen.

Grob gibt es drei Fälle:

• Nur E-Mail-Adresse, eventuell mit Name: Kein Konto ist in Gefahr. Du bekommst mehr Spam und gezieltere Phishing-Versuche.
• Adresse und Passwort-Hash: Das hängt davon ab, wie gut der Dienst gehasht hat. Bei MD5 oder SHA-1 ohne Salt ist ein einfaches Passwort in Minuten geknackt, bei bcrypt oder Argon2 dauert es deutlich länger. Behandle es trotzdem als bekannt.
• Adresse und Klartext-Passwort: akut. Alles unten sofort.

E-Mail in Datenleck: was tun in den ersten 60 Minuten

Das Mailkonto kommt zuerst, auch wenn das Leck bei einem ganz anderen Dienst war. Fast jeder Dienst bietet „Passwort vergessen“ an, und der Link geht an deine Mail.

Im Postfach nach Spuren suchen

Wer in ein Postfach eindringt, will meist nicht auffallen. Typisch sind kleine Änderungen, die lange unbemerkt bleiben:

• Weiterleitungsregel an eine fremde Adresse, oft nur für Mails mit Wörtern wie „Rechnung“, „Passwort“ oder „Bank“.
• Filterregel, die Sicherheitsbenachrichtigungen direkt in den Papierkorb oder einen Unterordner verschiebt.
• App-Passwörter oder verbundene Apps, die du nicht kennst. Die funktionieren oft auch nach einer Passwortänderung weiter.
• Geänderte Wiederherstellungsdaten: eine neue Telefonnummer oder Ersatzadresse.

Bei Gmail findest du Weiterleitungen unter Einstellungen → „Weiterleitung und POP/IMAP“, die Sitzungen unter „Letzte Kontoaktivität“ ganz unten im Posteingang. Microsoft zeigt sie unter account.microsoft.com → Sicherheit → Anmeldeaktivität.

Passwörter ändern, aber richtig

Ein neues Passwort, das nach demselben Muster gebaut ist wie das alte (Sommer2024# → Herbst2026#), bringt wenig. Angreifer testen solche Varianten gezielt. Ein neues Passwort sollte zufällig sein und nirgends sonst verwendet werden. Ohne Passwort-Manager ist das bei mehr als einer Handvoll Konten nicht durchzuhalten, siehe Passwort-Manager.

Wo der Dienst es anbietet, ist ein Passkey die bessere Wahl. Ein Passkey kann bei einem Datenleck gar nicht im Klartext abfließen, weil der Dienst nur den öffentlichen Schlüssel speichert.

Wenn du nicht mehr ins Postfach kommst

Schlimmer als ein Leak ist es, wenn das Passwort schon geändert wurde und du ausgesperrt bist. Dann zählt jede Stunde, denn der Angreifer setzt in dieser Zeit die Passwörter deiner anderen Konten zurück.

Nutze sofort den Wiederherstellungsweg des Anbieters, also die hinterlegte Telefonnummer oder Ersatzadresse. Hat der Angreifer auch die geändert, bleibt bei Gmail und Microsoft ein Formular, in dem du Fragen zu alten Passwörtern, dem Erstellungsdatum und häufigen Kontakten beantwortest. Je mehr Details du kennst, desto besser die Chancen. Bei deutschen Freemail-Anbietern gibt es meist eine Hotline, bei der du dich ausweisen musst.

Parallel dazu warnst du Bank und wichtige Kontakte über einen anderen Kanal, damit niemand auf Mails „von dir“ hereinfällt. Bei eigener Domain ist die Lage besser: Du kannst die MX-Records auf einen neuen Anbieter umstellen und bekommst die Kontrolle über alle eingehenden Mails zurück, auch wenn das alte Postfach verloren ist.

Die Wochen danach: Phishing mit echten Daten

Ein Leak ist oft nur der Anfang. Kriminelle nutzen die Daten für Mails, die erstaunlich echt wirken: Sie nennen deinen Namen, deine Kundennummer, vielleicht die letzte Bestellung. Der Link führt auf eine Kopie der Login-Seite.

Die einfache Regel: Bei jeder Mail, die dich zum Einloggen auffordert, rufst du die Seite selbst auf, über Lesezeichen oder App, nie über den Link. Und wenn eine Mail angeblich von deiner eigenen Firma kommt, lohnt sich ein Blick auf den Absender. Wie Firmen ihre Domain gegen genau solche Fälschungen absichern, zeigt E-Mail-Spoofing verhindern.

Wenn die Mail-Adresse auf deiner eigenen Domain liegt

Hast du eine eigene Domain, kommen zwei Punkte dazu. Erstens: Prüfe, wer Zugriff auf die Domainverwaltung hat. Ein Angreifer mit Zugang zum Registrar-Konto kann MX-Records umbiegen und so jede Mail an deine Domain mitlesen, einschließlich Passwort-Reset-Links. Das Registrar-Konto braucht deshalb ein eigenes, starkes Passwort und 2FA. Mehr dazu in Kontowiederherstellung mit eigener Domain.

Zweitens kannst du künftig für jeden Dienst eine eigene Adresse vergeben. Taucht dann [email protected] in einem Leak auf, weißt du sofort, woher er stammt, und kannst genau diese Adresse stilllegen. Wie das geht, steht unter Catch-all-E-Mail.

Wer dafür eine eigene Domain für E-Mail registrieren will, zahlt bei betadomain für eine .de-Endung 2,99 € im Jahr, eine .com liegt bei 14,99 €. Die Verlängerung kostet dasselbe wie das erste Jahr, nachzulesen in der Preisübersicht.

Schritt für Schritt

1. Mailkonto zuerst sichernÄndere das Passwort deines E-Mail-Kontos, auch wenn nicht dieses geleakt wurde. Wer dein Postfach hat, kann alle anderen Passwörter zurücksetzen.
2. Sitzungen und Regeln prüfenMelde alle anderen Geräte ab, prüfe Weiterleitungen, Filterregeln, App-Passwörter und verbundene Apps im Mailkonto.
3. Betroffenen Dienst und Wiederverwendungen ändernÄndere das Passwort beim geleakten Dienst und bei jedem Konto, in dem du dasselbe oder ein ähnliches Passwort genutzt hast.
4. Zwei-Faktor-Anmeldung einschaltenAktiviere 2FA mit App oder Passkey, zuerst beim Mailkonto, dann bei Bank, Shops mit hinterlegter Zahlungsart und Cloud-Speicher.
5. Auf Folgeangriffe achtenRechne in den nächsten Wochen mit gezieltem Phishing, das echte Daten aus dem Leak nennt. Links in solchen Mails nicht anklicken, sondern die Seite selbst aufrufen.