Zuerst die Art des Vorfalls einordnen
„Datenmissbrauch“ kann unterschiedliche Situationen bezeichnen. Die passende Reaktion hängt davon ab, was tatsächlich geschehen ist:
• Bei einem Datenleck oder einer Datenpanne wurden persönliche Daten offengelegt oder sind möglicherweise in fremde Hände gelangt. Ein konkreter Missbrauch muss noch nicht stattgefunden haben.
• Bei einer unerlaubten Veröffentlichung stehen beispielsweise Name, Adresse, Telefonnummer, Fotos, Dokumente oder private Nachrichten öffentlich im Internet.
• Bei einer Nachahmung wird ein fremdes Profil unter Ihrem Namen, mit Ihrem Foto oder mit anderen persönlichen Angaben erstellt.
• Bei einem Identitätsmissbrauch werden Ihre Daten verwendet, um Bestellungen aufzugeben, Verträge oder Konten anzulegen, Nachrichten zu versenden oder sich gegenüber anderen als Sie auszugeben.
• Bei einem Kontozugriff wird ein bereits bestehendes E-Mail-, Google-, Zahlungs- oder suchen.expert-Konto übernommen.
• Bei einem finanziellen Missbrauch entstehen unbekannte Abbuchungen, Kreditanfragen, Zahlungsaufforderungen oder andere wirtschaftliche Folgen.
Ein Datenleck allein beweist noch nicht, dass bereits Verträge geschlossen oder Konten übernommen wurden. Umgekehrt kann ein Identitätsmissbrauch auch mit öffentlich verfügbaren Daten stattfinden, ohne dass ein bestimmtes Datenleck bekannt ist.
Beweise frühzeitig sichern
Dokumentieren Sie den Vorfall, bevor Inhalte gelöscht, Profile gesperrt oder Seiten verändert werden. Dringende Schutzmaßnahmen wie das Sperren einer Karte oder eines Kontos sollten dadurch jedoch nicht verzögert werden.
Sichern Sie, soweit vorhanden:
• vollständige URLs und Profil- oder Inseratlinks,
• Benutzernamen, Profil- und Inserat-IDs,
• Screenshots mit Datum und Uhrzeit,
• die ursprünglichen E-Mails, SMS und Nachrichten,
• vollständige Absenderangaben und gegebenenfalls E-Mail-Header,
• Vertrags-, Rechnungs-, Bestell- oder Mahndaten,
• Zahlungs- und Transaktionsangaben,
• Namen und Kontaktdaten der beteiligten Organisationen,
• eine chronologische Notiz darüber, wann Sie was festgestellt und gemeldet haben,
• Vorgangs- oder Aktenzeichen, wenn Ihnen solche vergeben werden.
Verändern Sie Originaldateien und Nachrichten möglichst nicht. Öffnen Sie verdächtige Anhänge oder Links nicht erneut. Veröffentlichen Sie Beweise nicht in sozialen Netzwerken und verbreiten Sie dabei keine persönlichen Daten anderer Personen.
Keine weiteren Daten preisgeben
Brechen Sie verdächtige Kommunikation ab und übermitteln Sie keine zusätzlichen Ausweiskopien, Selfies, Bankdaten, Zugangsdaten oder Unterschriften. Täter versuchen nach einem ersten Missbrauch häufig, unter dem Vorwand einer Prüfung, Rückerstattung oder Schadensbegrenzung weitere Informationen zu erhalten.
Geben Sie niemals Passwörter, Einmalcodes, PINs, TANs, vollständige Aktivierungs- oder Zurücksetzungslinks oder Sitzungscookies weiter. Auch ein angeblicher Support, eine Bank, die Polizei oder ein vermeintlicher Rückholservice benötigt diese Geheimnisse nicht.
Verwenden Sie zur Kontaktaufnahme ausschließlich selbst ermittelte offizielle Adressen, Websites und Rufnummern. Nutzen Sie keine Kontaktangabe aus einer verdächtigen Nachricht.
E-Mail-, Google- und Plattformkonten absichern
Führen Sie Sicherheitsänderungen auf einem vertrauenswürdigen Gerät durch. Wenn Sie zuvor unbekannte Software installiert, einen verdächtigen Anhang ausgeführt oder Fernzugriff erlaubt haben, verwenden Sie zunächst ein anderes Gerät.
Sichern Sie zuerst das E-Mail- oder Google-Konto, das für Anmeldung und Wiederherstellung weiterer Dienste verwendet wird:
• vergeben Sie ein neues, einzigartiges Passwort, wenn Zugangsdaten betroffen sein könnten,
• prüfen Sie angemeldete Geräte und Sitzungen,
• entfernen Sie unbekannte verbundene Anwendungen,
• kontrollieren Sie Wiederherstellungsadressen und Telefonnummern,
• prüfen Sie Weiterleitungs-, Filter- und Löschregeln im E-Mail-Konto,
• aktivieren Sie Mehrfaktor-Authentifizierung oder einen Passkey, wenn der Anbieter dies unterstützt.
Ändern Sie anschließend die Passwörter weiterer betroffener Konten. Wenn ein offengelegtes Passwort mehrfach verwendet wurde, ersetzen Sie es bei jedem Dienst durch ein eigenes Passwort.
Bei Auffälligkeiten im suchen.expert-Konto folgen Sie der ausführlichen Anleitung Was soll ich tun, wenn ich einen unbefugten Zugriff vermute?. Hinweise zum Schutz des E-Mail-Kontos finden Sie unter Wie kann ich sicherstellen, dass meine E-Mail-Adresse geschützt ist?.
Auf eine Mitteilung über ein Datenleck reagieren
Wenn ein Unternehmen oder Dienst Sie über eine Datenpanne informiert, prüfen Sie die Mitteilung über einen unabhängig aufgerufenen offiziellen Kanal. Phishing-Nachrichten können eine angebliche Datenpanne als Vorwand verwenden.
Fragen Sie beziehungsweise prüfen Sie:
• welche Datenarten betroffen sind,
• in welchem Zeitraum der Vorfall stattfand,
• ob Passwörter, Sicherheitsdaten, Zahlungsangaben oder Ausweisdokumente betroffen sein könnten,
• welche Schutzmaßnahmen der Verantwortliche empfiehlt,
• über welchen offiziellen Kontaktweg Rückfragen gestellt werden können.
Ändern Sie ein Passwort, wenn dieses selbst betroffen sein könnte, wenn Sie es bei mehreren Diensten verwenden oder wenn weitere Anzeichen für einen Zugriff bestehen. Die bloße Offenlegung einer E-Mail-Adresse erfordert nicht automatisch den Austausch sämtlicher Passwörter, erhöht aber das Risiko gezielter Phishing-Versuche.
Seien Sie nach einer Datenpanne besonders aufmerksam gegenüber personalisierten Nachrichten. Täter können echte Angaben verwenden, um gefälschte Mitteilungen glaubwürdig erscheinen zu lassen. Weitere Hinweise bietet Wie erkenne ich Phishing-Versuche und gefälschte Nachrichten?.
Unerlaubt veröffentlichte Daten oder falsche Profile melden
Sichern Sie zuerst die betroffene Seite, die genaue URL, das Profil und die veröffentlichten Angaben. Melden Sie den Inhalt anschließend beim Betreiber der jeweiligen Website oder Plattform. Beschreiben Sie konkret:
• welche Daten oder Bilder Sie betreffen,
• warum die Veröffentlichung oder Nutzung unberechtigt sein könnte,
• welche URL oder welches Profil betroffen ist,
• ob ein Profil Ihre Identität nachahmt,
• ob bereits Nachrichten, Angebote oder Zahlungsforderungen in Ihrem Namen verbreitet wurden,
• welche Maßnahme Sie verlangen, etwa Prüfung, Einschränkung, Berichtigung oder Entfernung.
Senden Sie nur die Angaben, die zur Zuordnung erforderlich sind. Falls eine Identitätsprüfung verlangt wird, fragen Sie nach Zweck, Rechtsgrundlage, benötigten Daten und einem sicheren Übertragungsweg. Übermitteln Sie nicht unaufgefordert eine vollständige Ausweiskopie.
Informieren Sie bekannte Kontakte über einen vertrauenswürdigen Kanal, wenn das falsche Profil in Ihrem Namen Nachrichten versendet. Bitten Sie sie, keine Links zu öffnen, kein Geld zu zahlen und keine Daten weiterzugeben.
Eine Entfernung auf einer Plattform beseitigt nicht automatisch bereits angefertigte Kopien, Suchmaschineneinträge oder Veröffentlichungen auf anderen Websites. Melden Sie jeden bekannten Speicherort beim jeweils verantwortlichen Betreiber. Verzichten Sie auf öffentliche Anschuldigungen oder eigene Fahndungsaufrufe.
Unbekannte Verträge, Bestellungen oder Konten bestreiten
Wenn ein Unternehmen eine Bestellung, ein Konto, einen Mobilfunkvertrag, Kredit oder anderen Vertrag in Ihrem Namen behauptet, kontaktieren Sie es über unabhängig geprüfte Kontaktdaten. Teilen Sie schriftlich mit, dass Sie den Vorgang nicht veranlasst haben, und bitten Sie um:
• eine Kennzeichnung als möglicher Identitätsmissbrauch,
• eine Prüfung der zugrunde liegenden Unterlagen und Kontaktdaten,
• Informationen dazu, welche Daten verarbeitet und aus welcher Quelle sie erhoben wurden,
• eine Kopie beziehungsweise nachvollziehbare Auskunft zum behaupteten Vorgang,
• Berichtigung unrichtiger Daten,
• soweit rechtlich möglich eine Einschränkung der weiteren Verarbeitung während der Prüfung.
Geben Sie kein Anerkenntnis ab und leisten Sie keine Zahlung allein aufgrund von Druck oder einer unerwarteten Forderung. Ignorieren Sie Schreiben aber auch nicht. Für Widersprüche, gerichtliche Schreiben, Mahnverfahren und andere formelle Schritte können kurze Fristen gelten. Holen Sie bei Bedarf rechtzeitig Hilfe bei einer Verbraucherzentrale oder einer Rechtsanwältin beziehungsweise einem Rechtsanwalt ein.
Eine Strafanzeige oder eine Meldung als Identitätsmissbrauch beendet einen behaupteten Vertrag oder eine Forderung nicht automatisch. Bewahren Sie Antworten und Nachweise deshalb geordnet auf.
SCHUFA nur bei möglichem Bonitäts- oder Vertragsmissbrauch prüfen
Eine SCHUFA-Prüfung ist vor allem sinnvoll, wenn Anzeichen für fremde Kreditanfragen, Bankkonten, Mobilfunkverträge, Rechnungskäufe oder andere bonitätsrelevante Geschäfte bestehen. Ein veröffentlichtes Foto oder eine Spam-E-Mail allein erfordert nicht automatisch eine SCHUFA-Meldung.
Sie können bei der SCHUFA eine kostenlose Datenkopie nach Artikel 15 DSGVO anfordern und prüfen, ob unbekannte Anfragen, Verträge oder Forderungen gespeichert sind. Behandeln Sie diese Datenkopie vertraulich, da sie umfangreiche persönliche Informationen enthalten kann.
Die SCHUFA bietet außerdem ein Verfahren zur Einmeldung von Identitätsbetrug an. Nach den dort veröffentlichten Anforderungen werden unter anderem ein Formular, ein Identitätsnachweis und ein Nachweis über eine Strafanzeige benötigt. Verwenden Sie ausschließlich den offiziellen SCHUFA-Kanal und prüfen Sie dort die aktuellen Anforderungen.
Eine Einmeldung ersetzt nicht die direkte Klärung mit den Unternehmen, die einen fremden Vertrag oder eine Forderung gemeldet haben.
Sind andere Auskunfteien erkennbar beteiligt, wenden Sie sich gezielt auch an diese. Versenden Sie persönliche Daten nicht vorsorglich an eine große Zahl unbekannter Stellen.
Banken und Zahlungsdienste informieren
Wenn Bank-, Karten- oder Zahlungsdaten betroffen sind oder bereits unbekannte Buchungen erscheinen, kontaktieren Sie Bank, Kartenherausgeber oder Zahlungsdienst unverzüglich über den offiziellen Kanal. Lassen Sie prüfen, ob Zugänge, Karten oder Lastschriftmandate gesperrt und Transaktionen beanstandet werden müssen.
Kontrollieren Sie weitere Buchungen und achten Sie auf kleine Testabbuchungen. Ein Passwortwechsel ersetzt weder eine Kartensperrung noch eine Transaktionsmeldung. Eine Rückzahlung oder Rückbuchung kann nicht garantiert werden.
Die Unterschiede zwischen PayPal, Karte, SEPA-Lastschrift und Überweisung erläutert Was tun bei verdächtigen PayPal- oder Zahlungsabbuchungen?.
Ausweisdokumente, SIM-Karten und andere Nachweise
Ist ein Personalausweis tatsächlich verloren oder gestohlen worden, melden Sie den Verlust beziehungsweise Diebstahl unverzüglich bei der zuständigen Personalausweisbehörde oder Polizei und lassen Sie die Online-Ausweisfunktion sperren. Informationen stellt das Bundesportal zur Sperrung der Online-Ausweisfunktion bereit.
Wurde lediglich eine Ausweiskopie oder ein Foto des Dokuments weitergegeben, ist die passende Maßnahme vom Umfang und konkreten Missbrauch abhängig. Eine Sperrung oder Neuausstellung ist nicht in jedem Fall automatisch erforderlich. Lassen Sie sich von Personalausweisbehörde oder Polizei zum konkreten Sachverhalt beraten.
Kontaktieren Sie außerdem den jeweiligen Herausgeber, wenn Führerschein, Aufenthaltstitel, Gesundheitskarte, Kundenkarte oder ein vergleichbares Dokument verloren, gefälscht oder missbräuchlich verwendet wurde.
Bei einer unbekannten SIM-Kartenänderung, einem plötzlichen Verlust des Mobilfunkempfangs oder verdächtigen Vorgängen im Kundenkonto wenden Sie sich sofort an den Mobilfunkanbieter. Eine übernommene Rufnummer kann für Anmelde- und Wiederherstellungsvorgänge missbraucht werden.
suchen.expert informieren
Wenn der Missbrauch ein suchen.expert-Profil, Inserat, eine Nachricht oder dort veröffentlichte Daten betrifft, wenden Sie sich über das offizielle Kontaktformular an den Support.
Hilfreich sind:
• der betroffene Profil- oder Inseratlink,
• Inserat- und Nachrichten-IDs,
• eine kurze Chronologie,
• die konkret missbrauchten Daten,
• bereinigte Screenshots,
• bereits vorgenommene Meldungen oder Sperren,
• eine polizeiliche Vorgangsnummer, falls sie vorhanden und für die Prüfung relevant ist.
Senden Sie keine Passwörter, Codes, vollständigen Zurücksetzungslinks, Sitzungscookies, vollständigen Kartenangaben oder unaufgefordert Ausweisdokumente. Informationen zur Datenverarbeitung durch suchen.expert finden Sie in der Datenschutzerklärung.
suchen.expert kann Vorgänge und Inhalte innerhalb der Plattform anhand der verfügbaren Informationen prüfen. Eine vollständige Entfernung bereits extern verbreiteter Daten, eine Wiederherstellung aller Inhalte oder die Klärung privater Ansprüche kann dadurch nicht garantiert werden.
Datenschutzrechte gezielt geltend machen
Gegenüber der jeweils für die Datenverarbeitung verantwortlichen Organisation können je nach Situation Rechte aus der Datenschutz-Grundverordnung bestehen. Dazu gehören insbesondere:
• Auskunft über verarbeitete personenbezogene Daten, Zwecke, Quellen und Empfänger nach Artikel 15 DSGVO,
• Berichtigung unrichtiger Daten nach Artikel 16 DSGVO,
• Löschung unter den Voraussetzungen des Artikels 17 DSGVO,
• Einschränkung der Verarbeitung unter den Voraussetzungen des Artikels 18 DSGVO,
• Widerspruch gegen bestimmte Verarbeitungen nach Artikel 21 DSGVO.
Richten Sie Ihr Anliegen möglichst konkret an den Verantwortlichen oder dessen Datenschutzkontakt. Nennen Sie die betroffenen Daten und die verlangte Maßnahme. Bewahren Sie Ihre Anfrage und die Antwort auf.
Diese Rechte gelten nicht uneingeschränkt. Gesetzliche Aufbewahrungspflichten, die Verteidigung von Rechtsansprüchen, Rechte anderer Personen, die Meinungs- und Informationsfreiheit oder andere gesetzliche Gründe können einer vollständigen Löschung oder Auskunft entgegenstehen. Der Verantwortliche darf außerdem eine angemessene Identitätsprüfung verlangen.
Den verbindlichen Wortlaut und die Voraussetzungen enthält die Datenschutz-Grundverordnung auf EUR-Lex.
Datenschutzaufsicht einschalten
Wenn Sie eine möglicherweise unrechtmäßige Verarbeitung gemeldet haben und die verantwortliche Stelle nicht angemessen reagiert oder ein Datenschutzverstoß fortbesteht, können Sie sich bei der zuständigen Datenschutzaufsichtsbehörde beschweren. Welche Behörde zuständig ist, hängt unter anderem von der verantwortlichen Organisation, deren Sitz und dem betroffenen Bereich ab.
Die Datenschutzkonferenz veröffentlicht eine Liste der Datenschutzaufsichtsbehörden des Bundes und der Länder. Die Bundesbeauftragte für den Datenschutz ist nicht automatisch für jedes private Unternehmen zuständig; häufig ist eine Landesaufsichtsbehörde der richtige Ansprechpartner.
Eine Beschwerde bei der Aufsicht ersetzt keine Strafanzeige, keine fristgebundene Reaktion auf eine Forderung und keine zivilrechtliche Beratung. Sie garantiert auch nicht die sofortige Löschung eines Inhalts oder Schadenersatz.
Polizei bei Identitätsmissbrauch oder Straftatverdacht kontaktieren
Bei falschen Verträgen, Bestellungen oder Konten, finanziellen Schäden, Accountübernahmen, gefälschten Dokumenten, Erpressung, Drohungen oder anderen konkreten Missbrauchshandlungen können Sie Strafanzeige erstatten. Für nicht dringende Fälle steht die Onlinewache der Polizei zur Verfügung. Bei unmittelbarer Gefahr rufen Sie 110.
Übergeben Sie eine sachliche Chronologie und die gesicherten Originalunterlagen. Fragen Sie nach einem Vorgangs- oder Aktenzeichen, sofern ein solches vergeben wird. Es kann später gegenüber Unternehmen, Banken oder der SCHUFA hilfreich sein. Eine Strafanzeige garantiert jedoch weder die Ermittlung eines Täters noch eine Rückzahlung oder die automatische Berichtigung fremder Datensätze.
Weitere offizielle Hinweise bietet die Polizeiliche Kriminalprävention unter Identitätsdiebstahl verhindern: So schützen Sie Ihre Identität online.
Folgen weiter beobachten
Kontrollieren Sie in der folgenden Zeit Ihre E-Mail-, Google-, Zahlungs- und anderen betroffenen Konten. Achten Sie auf neue Bestellungen, Mahnungen, Kreditanfragen, Adressänderungen und Nachrichten an Ihre Kontakte. Bewahren Sie neue Vorfälle zusammen mit der bisherigen Chronologie auf und informieren Sie die bereits beteiligten Stellen, wenn sich der Sachverhalt erweitert.
Seien Sie besonders vorsichtig bei angeblichen Ermittlern, Anwälten, Datenschutzberatern oder Rückholservices, die Sie unerwartet kontaktieren und gegen eine Vorabzahlung eine sichere Löschung, Kontowiederherstellung oder Geldrückholung versprechen. Prüfen Sie solche Kontakte unabhängig.
