Gehackt und geleakt: Was Betroffene tun können

Berlin (dpa/tmn) - Ganz gleich, ob es erfolgreiche Angriffe Cyberkrimineller sind, ausgenutzte Software-Sicherheitslücken oder fehlerhaft konfigurierte Server: Private, personenbezogene Daten, die in die falschen Hände geraten, sind eine echte Bedrohung für Nutzerinnen und Nutzer. 

Wer sicher oder möglicherweise von einem Leak betroffen ist, sollte genau aufpassen und gegebenenfalls handeln. Die Berliner Datenschutzbeauftragte empfiehlt etwa:

Vom Passwortwechsel bis zum Sperr-Notruf: Das ist zu tun

• Passwörter ändern (wenigstens beim jeweils betroffenen Dienst).
• Konto- und Kreditkartenbewegungen im Auge behalten.
• Wachsam gegenüber Phishing sein (etwa durch Betrugs-E-Mails, aber auch durch betrügerische Anrufe oder gefälschte Briefe) und keine sensiblen Informationen herausgeben.
• Keine Links aus verdächtigen E-Mails oder Kurznachrichten öffnen (bei Mails können etwa seltsame Adressen wie Bank@34ölkj.de ein Alarmsignal sein).
• Bei erpresserischen Forderungen keine Zahlungen leisten, sondern die Polizei kontaktieren.
• Verdächtige Vorfälle dokumentieren (etwa mit Screenshots).
• Bei Missbrauch des Onlinebanking-Zugangs, von Girocards, Kreditkarten & Co. den Sperr-Notruf 116 116 wählen und Anzeige bei der Polizei erstatten.

Präventiv kann man laut der Behörde Folgendes tun:

1. Kostenlose Prüfdienste nutzen

Kostenlose Prüfdienste, wie etwa den Identity Leak Checker des Hasso-Plattner-Instituts oder die Seite «Have I been pwned?» (sinngemäß: Hat es mich erwischt?) des Sicherheitsforschers Troy Hunt nutzen. Dort kann man eine oder mehrere E-Mail-Adressen, die man als Benutzernamen für Konten nutzt, zur Abfrage eingeben. Dann wird damit geprüft, ob die jeweilige Adresse und damit verbundene Daten in bekannten Datenlecks auftauchen und veröffentlicht wurden.

Wichtig: Das Prüfen sollte man als laufenden Prozess verstehen und immer mal wieder durchführen. Denn die Dienste bilden nur Datenlecks ab, die sie bereits ausgewertet und in ihre Datenbanken eingespeist haben. Ein negatives Ergebnis bedeutet also keine generelle Entwarnung, auch nicht für aktuelle Vorfälle. Ein Treffer wiederum kann sich auch auf ältere Datenschutzvorfälle beziehen.

2. Neue Passwörter und Manager

Gibt es bei einer Abfrage neue, unbekannte Treffer, sollte das damit «verbrannte» Passwort beim jeweiligen Dienst schnell durch ein neues, sicheres und einzigartiges Passwort ersetzt werden. Tipps, wie das gelingt, gibt das Bundesamt für Sicherheit in der Informationstechnik (BSI). Um den Überblick zu behalten und die vielen verschiedenen Passwörter praktisch einfach nutzen zu können, empfiehlt sich ein Passwort-Manager.

3. 2FA aktivieren, wo es geht

Wo es möglich ist, sollte man bei Onlinediensten die Zwei-Faktor-Authentisierung (2FA) aktivieren, insbesondere bei E-Mail-Konten, Onlinebanking oder auch Behördendiensten. Dann bleibt das jeweilige Konto selbst dann geschützt, wenn das Passwort erbeutet oder offengelegt worden sein sollte. Bei 2FA wird etwa per App ein zweiter Code generiert, ohne dessen Eingabe der Zugang verwehrt bleibt.

4. Passwortloses Passkey-Verfahren nutzen

Oder man steigt gleich auf passwortloses Anmelden über die sogenannten Passkeys um. Das Verfahren arbeitet mit Kryptoschlüsseln im Hintergrund und gilt als besonders sicher, weil Passkeys anders als Passwörter nicht einfach erbeutet, erraten oder auch vergessen werden können. Man muss eine Anmeldung nur kurz per Fingerabdruck, Gesichtsscan oder PIN bestätigen. Praktisch: Passkeys lassen sich in immer mehr Passwortmanagern speichern.

5. Weitersagen und helfen

Von allen Schutz- und Sicherheitsmaßnahmen sollte man anderen erzählen - und ihnen gegebenenfalls bei der Umsetzung helfen, wenn jemand weniger technikaffin ist.