Leak Report Logo – Alarmleuchte Leak Report Kostenloser Erst-Check

Firmen-E-Mail in einem Datenleck: Was tun?

Eine Mitarbeiteradresse taucht in einem Leak auf – das ist unangenehm, aber beherrschbar. Entscheidend ist, dass Sie in der richtigen Reihenfolge handeln. Diese sieben Schritte decken den Ernstfall im Mittelstand ab.

Das Wichtigste zuerst: Nicht jeder Treffer bedeutet, dass Ihr Firmennetz kompromittiert ist. In den meisten Fällen wurde ein fremder Dienst gehackt, bei dem sich ein Mitarbeiter mit der Firmenadresse registriert hatte. Gefährlich wird es, wenn dasselbe Passwort auch für Firmenkonten benutzt wurde – und genau das ist erfahrungsgemäß häufig der Fall.

Warum Datenlecks Unternehmen härter treffen als Privatpersonen

Wenn eine private Adresse in einem Leck landet, ist der Schaden meist auf eine Person begrenzt. Bei einer Firmenadresse ist das anders: Sie ist Zugang zu Postfach, Cloud-Speicher, Buchhaltungssoftware und oft zum gesamten Firmennetz. Angreifer wissen das. Sie probieren erbeutete Kombinationen aus E-Mail und Passwort automatisiert bei hunderten Diensten durch – ein Verfahren, das Credential Stuffing heißt. Findet sich eine Übereinstimmung, folgt häufig kein sofortiger Angriff, sondern stilles Mitlesen. Erst wenn eine große Überweisung ansteht, meldet sich der Angreifer mit einer geänderten Kontonummer im Namen eines echten Lieferanten.

Deshalb gilt: Ein Treffer ist kein Grund zur Panik, aber auch nichts, was man auf nächste Woche schiebt.

Die 7 Schritte im Ernstfall

1. Ruhe bewahren und Umfang klären

Bevor Sie handeln, klären Sie drei Fragen: Welche Adressen sind betroffen? Aus welchem Leck stammen sie? Wurde nur die E-Mail-Adresse veröffentlicht oder auch ein Passwort – und lag dieses im Klartext oder als Hash vor? Ein reiner Adressfund ist unangenehm (mehr Phishing), ein Fund mit Klartext-Passwort ist ein Notfall.

2. Passwörter überall dort ändern, wo sie wiederverwendet wurden

Der entscheidende Punkt ist nicht der gehackte Dienst selbst – dort ist das Passwort ohnehin verbrannt. Kritisch ist jedes andere Konto, bei dem dasselbe oder ein ähnliches Passwort verwendet wurde. Fragen Sie die betroffenen Mitarbeiter direkt und ohne Schuldzuweisung: Wo haben Sie dieses Passwort noch benutzt? Diese Frage bekommt nur ehrliche Antworten, wenn niemand mit Konsequenzen rechnen muss.

3. Zwei-Faktor-Authentifizierung aktivieren

Das ist die wirksamste Einzelmaßnahme überhaupt. Ein gestohlenes Passwort nützt einem Angreifer wenig, wenn zusätzlich ein zweiter Faktor nötig ist. Priorisieren Sie: E-Mail-Konten zuerst, danach Cloud-Dienste, Banking und Verwaltungszugänge. Bevorzugen Sie Authenticator-Apps oder Hardware-Schlüssel gegenüber SMS-Codes.

4. Aktive Sitzungen beenden

Ein Passwortwechsel wirft nicht automatisch alle angemeldeten Geräte hinaus. Die meisten Dienste bieten eine Funktion wie „Von allen Geräten abmelden“. Nutzen Sie sie – sonst bleibt ein Angreifer trotz neuem Passwort eingeloggt.

5. Konto auf Manipulationen prüfen

Das ist der Schritt, der am häufigsten vergessen wird. Prüfen Sie im betroffenen Postfach:

  • Wurden Weiterleitungsregeln eingerichtet, die Kopien nach außen schicken?
  • Gibt es Filterregeln, die bestimmte Nachrichten automatisch als gelesen markieren oder löschen (ein klassischer Trick, um Warnmeldungen zu verstecken)?
  • Wurde die Wiederherstellungs-Adresse oder Handynummer geändert?
  • Sind unbekannte App-Berechtigungen oder Gerätezugriffe eingetragen?

Diese Einstellungen überleben jeden Passwortwechsel. Wer sie nicht kontrolliert, hat unter Umständen nichts gewonnen.

6. Prüfen, ob eine Meldepflicht besteht

Nach Art. 33 DSGVO müssen Verletzungen des Schutzes personenbezogener Daten binnen 72 Stunden an die Aufsichtsbehörde gemeldet werden – allerdings von der Stelle, die für die Verarbeitung verantwortlich ist. Wurde ein fremder Onlinedienst gehackt, liegt die Meldepflicht dort. Kam es dagegen über die erbeuteten Daten zu einem Zugriff auf Ihre Systeme und damit auf Daten Ihrer Kunden oder Mitarbeiter, sind Sie in der Pflicht. Die Abgrenzung ist im Einzelfall knifflig: Klären Sie das mit Ihrem Datenschutzbeauftragten oder einem Fachanwalt, bevor die Frist läuft.

7. Vorfall dokumentieren

Halten Sie schriftlich fest, wann Sie wovon erfahren haben, welche Maßnahmen Sie ergriffen haben und wann. Diese Dokumentation ist doppelt wertvoll: Sie ist nach DSGVO ohnehin vorgeschrieben, und sie ist im Streitfall Ihr Nachweis, dass die Geschäftsführung sorgfältig reagiert hat. Mehr dazu im Ratgeber zur Haftung des Geschäftsführers bei IT-Sicherheit.

Was Sie danach besser machen können

Der Ernstfall ist abgearbeitet – jetzt kommt der Teil, der den nächsten verhindert. Drei Dinge haben sich im Mittelstand als wirksam erwiesen:

Ein Passwortmanager für alle. Solange Mitarbeiter sich Passwörter merken müssen, werden sie wiederverwendet. Ein Passwortmanager ist die einzige realistische Lösung – er kostet wenige Euro pro Kopf und Monat und beseitigt die Ursache statt des Symptoms.

Zwei-Faktor-Authentifizierung als Standard. Sie ist die wirksamste Einzelmaßnahme überhaupt: Ein erbeutetes Passwort allein bringt den Angreifer dann nicht mehr weiter. Beginnen Sie bei den E-Mail-Konten, danach folgen Cloud-Dienste, Banking und Fernzugriff. Woran Sie erkennen, ob ein Konto bereits übernommen wurde, steht im Ratgeber E-Mail-Konto gehackt? Diese 9 Anzeichen verraten es.

Dauerhaftes Monitoring statt einmaliger Prüfung. Neue Datenlecks werden laufend veröffentlicht. Eine Prüfung von heute sagt nichts über nächsten Monat aus – und niemand im Team wird sie regelmäßig manuell wiederholen.

Kostenloser Erst-Check für Ihre Domain

Erfahren Sie unverbindlich, wie viele Konten Ihres Unternehmens bereits in bekannten Datenlecks auftauchen. Ergebnis innerhalb von 24 Stunden, ohne Aufwand für Ihre IT.

Erst-Check anfordern

Häufige Fragen

Muss ich ein Datenleck der Datenschutzbehörde melden?

Meldepflichtig nach Art. 33 DSGVO ist eine Verletzung des Schutzes personenbezogener Daten, für die Ihr Unternehmen verantwortlich ist – also in der Regel ein Vorfall in Ihren eigenen Systemen. Wurde lediglich ein fremder Dienst gehackt, liegt die Meldepflicht beim Betreiber dieses Dienstes. Führt der Leak jedoch zu einem Einbruch in Ihre Systeme, greift die 72-Stunden-Frist.

Wie gefährlich ist ein altes Datenleck?

Alte Lecks bleiben gefährlich, solange dasselbe Passwort noch irgendwo im Einsatz ist. Angreifer probieren erbeutete Kombinationen automatisiert bei anderen Diensten durch. Ein Passwort von 2019, das heute noch für das Firmenpostfach genutzt wird, ist ein akutes Risiko.

Reicht es, einfach das Passwort zu ändern?

Nein. Ändern Sie es überall dort, wo es wiederverwendet wurde, aktivieren Sie Zwei-Faktor-Authentifizierung, melden Sie bestehende Sitzungen ab und prüfen Sie das Konto auf eingerichtete Weiterleitungs- und Filterregeln.

Sollten wir betroffene Mitarbeiter informieren?

Ja, unbedingt – und zwar sachlich statt vorwurfsvoll. Betroffene müssen wissen, welches Passwort verbrannt ist und wo sie handeln müssen. Eine Kultur, in der niemand Angst hat, einen Verdacht zu melden, ist sicherheitstechnisch mehr wert als jede technische Maßnahme.

Dieser Beitrag gibt allgemeine Hinweise und ersetzt keine Rechtsberatung im Einzelfall. Für verbindliche Auskünfte zu Melde- und Haftungsfragen wenden Sie sich bitte an einen Fachanwalt oder Ihren Datenschutzbeauftragten.