Adobe, LinkedIn, Yahoo, Facebook, Equifax — Unternehmen, denen wir unsere Daten anvertraut haben, hatten alle erhebliche Sicherheitsverletzungen. In fast jedem Fall sind E-Mail-Adressen das Wertvollste, was gestohlen wird. Sie sind der Generalschlüssel zu allem anderen in deinem digitalen Leben: Passwort-Resets, Zwei-Faktor-Authentifizierung, Bankbenachrichtigungen.
Du kannst mit dem kostenlosen Tool Have I Been Pwned prüfen, ob deine Adresse in bekannten Datenlecks aufgetaucht ist. Das Ergebnis ist oft ernüchternd — die meisten Menschen finden ihre E-Mail in mindestens zwei oder drei Lecks. Laut Statista besteht etwa die Hälfte aller weltweit versendeten E-Mails aus Spam — ein erheblicher Teil davon wird durch gestohlene E-Mail-Listen gespeist.
Die vollständige Angriffskette nach einem Datenleck
Der Schaden eines Datenlecks passiert nicht auf einmal. Es gibt eine Abfolge von Ereignissen, die sich über Monate erstrecken kann. Zunächst werden die gestohlenen Datenbanken auf Darknet-Märkten verkauft. Deine E-Mail-Adresse — zusammen mit möglicherweise deinem gehashten Passwort — wird in großen Mengen gehandelt. Das passiert oft innerhalb von Stunden nach einem Leck.
Als nächstes beginnen Spam-Kampagnen. Deine Adresse landet auf Massen-Mailing-Listen, und du wirst eine plötzliche Zunahme unerwünschter E-Mails bemerken. Dann folgt das gefährlichere Credential Stuffing: Automatisierte Tools verwenden deine E-Mail und dein möglicherweise gestohlenes Passwort, um sich bei Hunderten anderer Dienste anzumelden. Netflix, Amazon, Onlinebanking — alles, wo du dasselbe Passwort verwendet haben könntest. Troy Hunt hat dokumentiert, wie Credential-Stuffing-Angriffe für einen enormen Teil aller Kontoübernahmen verantwortlich sind.
Noch raffinierter ist gezieltes Phishing. Angreifer nutzen Leckdaten, um überzeugende E-Mails zu erstellen, die echte Informationen über dich enthalten — den Dienst, den du genutzt hast, deinen Benutzernamen, manchmal deinen echten Namen. Solche gezielten Phishing-Mails sind viel schwieriger zu erkennen als generische Massensendungen. Die Electronic Frontier Foundation hat ausführlich über die Gefahren der Datenaggregation geschrieben — wenn Angreifer Daten aus mehreren Lecks kombinieren, entstehen detaillierte Profile einzelner Personen.
Warum deine E-Mail-Adresse so wertvoll ist
Eine gestohlene Kreditkarte kann in Minuten gesperrt werden. Ein gestohlenes Passwort kann geändert werden. Aber deine E-Mail-Adresse? Die ist quasi dauerhaft. Du hast sie vielleicht seit Jahren oder Jahrzehnten. Dutzende oder Hunderte von Diensten sind damit registriert. Es ist der Schlüssel zu all deinen Passwort-Resets, Bankbenachrichtigungen und Zwei-Faktor-Codes.
Die DSGVO gibt EU-Bürgern das Recht, die Löschung ihrer personenbezogenen Daten zu beantragen. In der Praxis haben viele Unternehmen inzwischen automatisierte Prozesse dafür. Aber DSGVO-Löschanträge helfen nicht bei Daten, die bereits verkauft oder in Datenbanken von Angreifern kopiert wurden. Sobald deine E-Mail-Adresse im Umlauf ist, gibt es kein vollständiges Zurück. Prävention ist die einzige zuverlässige Strategie.
Das Angriffsflächen-Problem
Jeder Dienst, der deine echte E-Mail-Adresse speichert, ist ein potenzieller Angriffspunkt. Je mehr Orte, desto mehr Gelegenheiten für Diebstahl. Ein Dienst, für den du dich vor drei Jahren angemeldet hast, einmal genutzt und vergessen hast — das ist immer noch ein aktiver Datenbankdatensatz. Dieses Unternehmen könnte seitdem übernommen worden sein, ein Sicherheitsvorfall gehabt haben oder seine E-Mail-Liste verkauft haben.
Hier kommt die Nutzung einer temporären E-Mail-Adresse für nicht wesentliche Anmeldungen ins Spiel. Wenn die Datenbank hinter einer Webseite, bei der du dich nur einmal registriert hast, zwei Jahre später kompromittiert wird, ist deine echte Adresse nicht darin. Die temporäre Adresse, die verwendet wurde, existiert nicht mehr. Es gibt nichts zu stehlen und keine Kette von Konsequenzen.
Was du tun solltest, wenn deine E-Mail kompromittiert wurde
- Prüfe genau, welches Leck betroffen war und welche Daten enthalten waren
- Ändere sofort dein Passwort bei dem betroffenen Dienst
- Prüfe, ob du dasselbe Passwort woanders verwendet hast — ändere es überall
- Aktiviere Zwei-Faktor-Authentifizierung bei betroffenen Konten
- Richte kostenlose Leck-Benachrichtigungen bei Have I Been Pwned ein
- Achte auf Phishing-Mails, die auf den betroffenen Dienst verweisen
- Erwäge, das Konto zu löschen, wenn du den Dienst nicht mehr nutzt
Bessere Gewohnheiten entwickeln
Die wichtigste Erkenntnis: Die Angriffsfläche deiner E-Mail-Adresse zu reduzieren ist die effektivste Präventionsmaßnahme. Deine echte Adresse sollte nur bei Diensten existieren, denen du wirklich vertraust. Für alles andere — der Download, das Webinar, der Forum-Post — hält eine Wegwerf-Adresse deine echte Adresse aus der Gleichung heraus. Datenschutzorientierte E-Mail-Dienste wie Proton Mail oder Alias-Dienste wie SimpleLogin können dabei helfen.
Für wirklich einmalige Interaktionen ist eine temporäre E-Mail die sauberste Lösung — kein Setup erforderlich, kein Konto nötig, keine echte Identität involviert. Wenn dieser Dienst irgendwann kompromittiert wird, ist deine echte Adresse schlicht nicht in seiner Datenbank.