Datenleck-Opfer warten bis zu 45 Tage auf Benachrichtigung

HIBP-Meilenstein zeigt wachsende Meldeverzögerung bei Datendiebstählen Datenleck-Opfer warten bis zu 45 Tage auf Benachrichtigung

29.06.2026 Von Thomas Joos 2 min Lesedauer

Anbieter zum Thema

FAST LTA GmbH

V2_Screen_M.png (SEPPmail - Deutschlang GmbH)

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Trotz Datenschutzregeln vergeht zwischen der Kenntnis eines Datendiebstahls und der Benachrichtigung der betroffenen Personen immer mehr Zeit. Jüngste Vorfälle zeigen Verzögerungen von über sechs Wochen, obwohl die gestohlenen Daten längst öffentlich kursieren.

Datendiebstähle bleiben Opfern wochenlang verborgen, obwohl ihre Daten in Hacking-Foren kursieren. DSGVO und Sammelklagen schaffen Anreize, Betroffene möglichst spät zu informieren.(Bild: © janews094 - stock.adobe.com) — Datendiebstähle bleiben Opfern wochenlang verborgen, obwohl ihre Daten in Hacking-Foren kursieren. DSGVO und Sammelklagen schaffen Anreize, Betroffene möglichst spät zu informieren.
(Bild: © janews094 - stock.adobe.com)

Den Anlass bietet ein Meilenstein bei Have I Been Pwned (HIBP). Mit dem 1.000sten erfassten Datenleck zieht Betreiber Troy Hunt eine Bilanz und beschreibt ein wachsendes Problem bei der Offenlegung. Nach seiner Darstellung meldete der Reisekonzern Carnival einen Vorfall erst 43 Tage nach dem Bekanntwerden, laut eigener Pressemitteilung. Zu diesem Zeitpunkt lagen Namen, Geburtsdaten, E-Mail-Adressen und Daten des Treueprogramms bereits öffentlich vor.

Über acht Terabyte an unverschlüsselten Passwörtern, Benutzernamen und E-Mail-Adressen waren zeitweise frei im Netz zugänglich. (Bild: KI-generiert)

Daten kursieren öffentlich, bevor Opfer davon erfahren

Ein zweiter Fall, ein Breach beim Modeanbieter Zara, überschritt diese Spanne noch, mit 45 Tagen zwischen Kenntnis und Meldung. In beiden Fällen verteilten Angreifer die Datensätze breit über Dark-Web-Seiten, Hacking-Foren und Telegram-Kanäle. Die betroffenen Personen erfuhren über Wochen nichts von ihrer Exposition, obwohl sich die Daten frei abrufen ließen. Hunt verweist darauf, dass eine frühe Vorabwarnung allein über die E-Mail-Adressen technisch ohne Aufwand möglich ist, da er genau das bei HIBP tausendfach umgesetzt hat.

Die häufigsten Passwörter in Deutschland sind nach einer Auswertung geleakter Daten einfache Kombinationen wie „123456“ und „123456789“, die eine Einladung für Hacker darstellen und Sicherheitsrisiken bergen. (Bild: vinnstock - stock.adobe.com)

Sammelklagen verschieben die Priorität zur Rechtsabteilung

Hunt führt die wachsende Verzögerung wesentlich auf die Zunahme von Sammelklagen unmittelbar nach einem Vorfall zurück. Für einen Breach beim US-Anbieter DentaQuest dominierten entsprechende Klage-Angebote von Kanzleien die Suchergebnisse. Die Reaktion vieler Unternehmen orientiert sich an der juristischen Bewertung. Statt einer frühen Information der Kunden steht der Schutz der Organisation im Vordergrund. Eine knappe Auskunft eines Anbieters beschränkte die Benachrichtigung auf das gesetzlich Vorgeschriebene, was Hunt als rechtliche Absicherung liest.

Bei einem amerikanischen Unternehmen, das sich auf KI-basierte Identitätsverifikation spezialisiert hat, kam es zu einem massiven Datenleck. Dabei wurden drei Milliarden Datensätze, darunter rund eine Milliarde sensible Daten, aus 26 Ländern offengelegt. (Bild: Dall-E / Vogel IT-Medien GmbH / KI-generiert)

Datenschutzregeln lassen Meldepflichten offen

Den Kern des Problems sieht Hunt in den Ausnahmen der Datenschutzregeln. DSGVO und CCPA verlangen eine Benachrichtigung der Opfer nur, sofern ein hohes Risiko für deren Rechte oder ein ernster Schaden droht. Beide Regelwerke definieren sensible Daten eng, darunter Gesundheitsdaten, biometrische Merkmale, Finanzdaten und staatliche Kennnummern. Reine Kombinationen aus Namen, E-Mail-Adressen und Geburtsdaten fallen häufig nicht darunter. Damit besteht in vielen Fällen keine rechtliche Pflicht zur individuellen Meldung, die Verzögerung kann unbegrenzt ausfallen.

Schon ein begründeter Verdacht löst die NIS-2-Meldefrist aus. Wer zwischen Verdacht und Kenntnis zögert, riskiert persönliche Haftung der Geschäftsführung. (Bild: © Khfd - stock.adobe.com)

Fazit

Hunt unterscheidet zwischen rechtlichen und sozialen Pflichten. Eine gesetzliche Meldepflicht greift oft nicht, die Erwartung der Opfer an eine Information bleibt davon unberührt. Aus der Lücke zwischen rechtlicher Mindestpflicht und gesellschaftlicher Erwartung bezieht Have I Been Pwned seine fortbestehende Bedeutung, auch nach 1.000 erfassten Lecks.

(ID:50866311)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Geschäftliche E-Mail

Bitte geben Sie eine gültige E-Mailadresse ein.

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Stand: 08.12.2025

Es ist für uns eine Selbstverständlichkeit, dass wir verantwortungsvoll mit Ihren personenbezogenen Daten umgehen. Sofern wir personenbezogene Daten von Ihnen erheben, verarbeiten wir diese unter Beachtung der geltenden Datenschutzvorschriften. Detaillierte Informationen finden Sie in unserer Datenschutzerklärung.

Einwilligung in die Verwendung von Daten zu Werbezwecken

Ich bin damit einverstanden, dass die Vogel IT-Medien GmbH, Max-Josef-Metzger-Straße 21, 86157 Augsburg, einschließlich aller mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen (im weiteren: Vogel Communications Group) meine E-Mail-Adresse für die Zusendung von Newslettern und Werbung nutzt. Auflistungen der jeweils zugehörigen Unternehmen können hier abgerufen werden.

Der Newsletterinhalt erstreckt sich dabei auf Produkte und Dienstleistungen aller zuvor genannten Unternehmen, darunter beispielsweise Fachzeitschriften und Fachbücher, Veranstaltungen und Messen sowie veranstaltungsbezogene Produkte und Dienstleistungen, Print- und Digital-Mediaangebote und Services wie weitere (redaktionelle) Newsletter, Gewinnspiele, Lead-Kampagnen, Marktforschung im Online- und Offline-Bereich, fachspezifische Webportale und E-Learning-Angebote. Wenn auch meine persönliche Telefonnummer erhoben wurde, darf diese für die Unterbreitung von Angeboten der vorgenannten Produkte und Dienstleistungen der vorgenannten Unternehmen und Marktforschung genutzt werden.

Meine Einwilligung umfasst zudem die Verarbeitung meiner E-Mail-Adresse und Telefonnummer für den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern wie z.B. LinkedIN, Google und Meta. Hierfür darf die Vogel Communications Group die genannten Daten gehasht an Werbepartner übermitteln, die diese Daten dann nutzen, um feststellen zu können, ob ich ebenfalls Mitglied auf den besagten Werbepartnerportalen bin. Die Vogel Communications Group nutzt diese Funktion zu Zwecken des Retargeting (Upselling, Crossselling und Kundenbindung), der Generierung von sog. Lookalike Audiences zur Neukundengewinnung und als Ausschlussgrundlage für laufende Werbekampagnen. Weitere Informationen kann ich dem Abschnitt „Datenabgleich zu Marketingzwecken“ in der Datenschutzerklärung entnehmen.

Falls ich im Internet auf Portalen der Vogel Communications Group einschließlich deren mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen geschützte Inhalte abrufe, muss ich mich mit weiteren Daten für den Zugang zu diesen Inhalten registrieren. Im Gegenzug für diesen gebührenlosen Zugang zu redaktionellen Inhalten dürfen meine Daten im Sinne dieser Einwilligung für die hier genannten Zwecke verwendet werden. Dies gilt nicht für den Datenabgleich zu Marketingzwecken.

Recht auf Widerruf

Mir ist bewusst, dass ich diese Einwilligung jederzeit für die Zukunft widerrufen kann. Durch meinen Widerruf wird die Rechtmäßigkeit der aufgrund meiner Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Um meinen Widerruf zu erklären, kann ich als eine Möglichkeit das unter https://contact.vogel.de abrufbare Kontaktformular nutzen. Sofern ich einzelne von mir abonnierte Newsletter nicht mehr erhalten möchte, kann ich darüber hinaus auch den am Ende eines Newsletters eingebundenen Abmeldelink anklicken. Weitere Informationen zu meinem Widerrufsrecht und dessen Ausübung sowie zu den Folgen meines Widerrufs finde ich in der Datenschutzerklärung.