SmarterAnwalt Recht schnell.

· Fundstellen geprüft am 12. Juli 2026

Datenleck bei einem Unternehmen: Was der Brief „Ihre Daten waren betroffen“ wirklich wert ist

Mitte Februar ging bei der Deutschen Bahn tagelang wenig: Auskunft und Buchung waren gestört, weil ein Cyberangriff die Systeme lahmlegte. Es blieb kein Einzelfall. Allein im Februar 2026 traf es dutzende deutsche Unternehmen — vom Onlineshop über Pflegedienste bis zum Mittelständler nebenan. Für die meisten von uns beginnt so ein Angriff aber nicht mit einer Schlagzeile. Er beginnt mit einem nüchternen Brief oder einer E-Mail: „Ihre Daten waren von einem Sicherheitsvorfall betroffen.“

Und dann sitzt man da, mit diesem mulmigen Gefühl. Name, Adresse, vielleicht Geburtsdatum, Bankverbindung oder ein Passwort — alles bei einer Firma, der man vertraut hat. Jetzt liegt es irgendwo. Das Bittere daran: Sie haben nichts falsch gemacht. Und trotzdem sind es Ihre Daten, die plötzlich offen liegen. Dieses Ohnmachtsgefühl ist völlig normal. Es ist aber auch ein guter Moment, um in Ruhe die richtigen Dinge zu tun.

Der Brief ist kein Werbeschreiben — er ist Ihr Recht

Dass Sie überhaupt informiert werden, ist kein Entgegenkommen der Firma. Bedeutet ein Datenleck ein hohes Risiko für Sie, muss das Unternehmen Sie benachrichtigen (Art. 34 DSGVO). Heben Sie diesen Brief oder die E-Mail deshalb gut auf. Er ist Ihr Beleg — und oft der Startpunkt für alles Weitere.

Kann ich für ein Datenleck Geld verlangen?

Ja, das kann sein. Wer wegen eines Verstoßes gegen den Datenschutz einen Schaden erleidet, hat einen Anspruch auf Schadensersatz gegen das verantwortliche Unternehmen (Art. 82 DSGVO). Das Besondere: Dieser Schaden muss nicht in verlorenem Geld bestehen. Es genügt der bloße Kontrollverlust — also die Tatsache, dass Ihre Daten in fremde Hände geraten sind. Genau das hat der Bundesgerichtshof für ein großes Datenleck klargestellt: Schon der kurze Verlust der Kontrolle über die eigenen Daten kann ein ersatzfähiger Schaden sein; einen konkreten Missbrauch müssen Sie dafür nicht beweisen (BGH, Urteil vom 18.11.2024 — VI ZR 10/24).

Damit Sie die Erwartung richtig einordnen: Das ist kein Lottogewinn. Der Europäische Gerichtshof verlangt, dass tatsächlich ein Schaden vorliegt — der reine Regelverstoß allein reicht nicht, auch wenn es dafür keine Bagatellgrenze gibt (EuGH, Urteil vom 04.05.2023 — C-300/21). In der Praxis liegen die zugesprochenen Beträge bei bloßem Kontrollverlust meist im unteren dreistelligen Bereich. Ob und wie viel für Sie herauskommt, hängt vom Einzelfall ab: davon, welche Daten betroffen waren und was daraus gefolgt ist.

Was tun, wenn so ein Brief kommt?

Der wichtigste Schritt zuerst, und er kostet nichts: Ändern Sie das Passwort des betroffenen Kontos — und überall dort, wo Sie dasselbe Passwort noch benutzt haben. Schalten Sie, wo es geht, die Zwei-Faktor-Bestätigung ein (die zusätzliche Abfrage per App oder SMS). Ob Ihre Zugangsdaten schon länger im Umlauf sind, können Sie kostenlos prüfen — etwa beim Identity Leak Checker des Hasso-Plattner-Instituts oder beim Leak-Checker der Universität Bonn.

Danach behalten Sie Konto und Karten im Blick. Richten Sie sich Benachrichtigungen für Abbuchungen ein und melden Sie Ungereimtes sofort Ihrer Bank. Wollen Sie genau wissen, welche Daten das Unternehmen über Sie gespeichert und offengelegt hat, können Sie das schriftlich abfragen — Sie haben ein Recht auf Auskunft (Art. 15 DSGVO).

Und Vorsicht vor der zweiten Welle: Nach einem Datenleck kommen häufig E-Mails und SMS, die vorgeben, Ihnen beim „Absichern“ zu helfen. Klicken Sie solche Links nicht an und geben Sie am Telefon keine Zugangsdaten preis. Zahlen Sie erst recht keine „Gebühr“, um Ihr Konto angeblich zu schützen — das ist die Masche, nicht die Rettung.

„Das Gemeine am Datenleck ist: Sie haben alles richtig gemacht, und trotzdem liegen Ihre Daten offen. Die erste Frage ist deshalb nie ‚Wer ist schuld?‘, sondern ganz praktisch: Wo könnte jetzt jemand in meinem Namen etwas bestellen oder abschließen? Das klärt man in Ruhe, nicht in Panik“, sagt Rechtsanwalt Sebastian Müller.

Genau da liegt das eigentliche Risiko. Wird mit Ihren Daten ein Konto eröffnet oder etwas auf Ihren Namen bestellt, spricht man von Identitätsdiebstahl. Die gute Nachricht: Für Verträge, die ein Fremder in Ihrem Namen abgeschlossen hat, müssen Sie grundsätzlich nicht zahlen — Sie haben ja nichts bestellt. Tauchen bei Ihnen bereits Rechnungen oder Mahnungen für Dinge auf, die Sie nie gekauft haben, führt Sie unser Ratgeber Identitätsdiebstahl durch die nächsten Schritte.

Wenn Sie unsicher sind, ob sich in Ihrem Fall ein Schadensersatz lohnt oder wie ernst die Lage ist, schildern Sie uns Ihre Situation über die folgenden Felder. Sie bekommen eine erste Einschätzung — ohne dafür in eine Kanzlei fahren zu müssen.

Ihre Angaben — direkt als Anfrage an uns

Optional: Was auf Sie zutrifft — mit einem Klick geht Ihre Schilderung an den Anwalt.

  1. Wann haben Sie von dem Datenleck erfahren?
  2. Von welchem Unternehmen stammt die Benachrichtigung? (z. B. Onlineshop, Bank, Dienstleister)
  3. Haben Sie eine schriftliche Benachrichtigung über das Datenleck erhalten?
  4. Ist Ihnen schon ein konkreter Schaden entstanden (z. B. Abbuchung, Konto oder Bestellung auf Ihren Namen)?
  5. Welche Daten waren nach der Benachrichtigung betroffen? (z. B. Name, Adresse, Bankdaten, Passwort)
  6. Haben Sie bereits reagiert (Passwort geändert, Bank informiert, Anzeige erstattet)?

Gesetze und Urteile zum Nachlesen

Was bedeutet das für Ihren Fall?

Schildern Sie kurz Ihre Lage — Sie erhalten eine kostenfreie Ersteinschätzung von Rechtsanwalt Müller. Schriftlich, zum Nachlesen.

Kostenfreie Ersteinschätzung anfordern

Kostenfrei · 5–8 kurze Fragen · vertraulich, auch wenn kein Mandat entsteht