Datenschutz wird oft als Mammutprojekt erzählt: Überwachung, Profile, Datenhandel. Wer das alles ernst nimmt, fühlt sich schnell hilflos. Dabei ist das Risiko real: 61 Prozent der Internetnutzer wurden in den zwölf Monaten davor Opfer von Cyberkriminalität, bei 30 Prozent verschafften sich Angreifer per Nachricht, Mail oder Anruf persönliche Daten, so eine Bitkom-Befragung vom März 2025. Nur 26 Prozent erstatteten Anzeige. Die Polizeistatistik bestätigt das Bild: Das Bundeskriminalamt registrierte 2025 rund 334.000 Cybercrime-Fälle, zwei Drittel davon mit Tätern im Ausland, wo die Aufklärungsquote bei zwei Prozent liegt. Im Inland werden 31 Prozent aufgeklärt. Die realistische Antwort ist eine halbe Stunde pro Halbjahr mit klarer Prioritätenliste. Nicht alles ist gleich wichtig. Es gibt vier Stellschrauben, die den größten Teil des Effekts bringen. Genau die gehen wir jetzt durch.

Minute 1 bis 5: Das E-Mail-Konto absichern

Dein E-Mail-Postfach ist der Schlüssel zu fast allem. Über „Passwort vergessen“ erreicht man damit Banken, Shops und soziale Netzwerke. Deshalb beginnt der Check hier.

  • Öffne die Einstellungen deines Mailanbieters.
  • Setze ein starkes, einmaliges Passwort. Am besten mit einem Passwort-Manager erzeugt.
  • Aktiviere die Zwei-Faktor-Authentifizierung (2FA): Neben dem Passwort braucht es dann einen zweiten Nachweis, etwa einen Code auf dem Handy oder einen Sicherheitsschlüssel. Auch wenn es unpraktisch klingt: Diese eine Einstellung ist der größte einzelne Sicherheitsgewinn, den du in fünf Minuten erreichen kannst.
  • Prüfe die hinterlegte Wiederherstellungs-E-Mail und Telefonnummer. Sie sind der Rettungsanker, wenn du dich selbst aussperrst.

Das E-Mail-Konto ist nicht zufällig der erste Punkt. Das BSI nennt E-Mail-Adressen in seinem Lagebericht 2025 ein besonders attraktives Ziel für Kriminelle, weil sie für Registrierungen in Webshops und Online-Diensten gebraucht werden. Im Berichtszeitraum wurden so viele E-Mail-Konten gehackt wie nie zuvor. Und der Hebel liegt auf der Hand: Nur 34 Prozent der Bevölkerung nutzen eine Zwei-Faktor-Authentisierung, 2023 waren es noch 42 Prozent, so der Cybersicherheitsmonitor von BSI und Polizei. Dabei kennen 60 Prozent den Begriff, weitere 25 Prozent haben davon gehört. Wer 2FA beim E-Mail-Konto aktiviert, macht also mehr als die meisten anderen.

Wie starke Passwörter aussehen, hat das BSI präzisiert: entweder 8 bis 12 Zeichen mit Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen, kombiniert mit dem zweiten Faktor, oder 20 bis 25 Zeichen mit zwei Zeichenarten, oder eine Passphrase aus fünf bis sechs zufälligen Wörtern. Eine Wortreihe wie „Kirschbaum Fenster Zitrone Ufer“ ist schwerer zu erraten als jedes kurze Konstrukt mit Sonderzeichen.

Eine alte Regel solltest du dabei vergessen: das regelmäßige Passwort-Ändern. Das BSI erklärte im Januar 2026 den pauschalen Passwortwechsel für überholt. Stärker als jeder Turnus sind einzigartige, starke Passwörter, ergänzt durch 2FA oder ersetzt durch Passkeys.

Minute 6 bis 12: Die wichtigsten Konten nachziehen

Nicht jedes Konto braucht 2FA, aber die zentralen schon: Online-Banking, Handyvertrag, Krankenkassen-Portal, Cloud-Speicher. Frage dich bei jedem: Habe ich hier ein starkes Passwort und, wo angeboten, 2FA aktiviert? Die Gewohnheiten sprechen dagegen: 33 Prozent der Internetnutzer verwenden dasselbe Passwort für mehrere Dienste, 23 Prozent bewusst einfache Passwörter, nur 20 Prozent nutzen einen Passwortgenerator oder Manager, so Bitkom. Für Konten, die du seit Jahren nicht genutzt hast, gilt die radikalere Lösung: löschen statt sichern. Jedes gelöschte Altkonto ist ein Angriffspunkt weniger. Und oft auch eine Datenschutzverbesserung.

Wie ernst die Lage ist, zeigen zwei Zahlen aus dem Jahr 2025: Die Bundesbeauftragte für den Datenschutz nahm mehr als 9.000 Meldungen von Datenschutzverstößen entgegen, und das BSI dokumentierte 461 Datenleaks mit Daten von Institutionen und Verbrauchern. In 92 Prozent der Leaks waren Geburtsdaten betroffen, in 63 Prozent E-Mail-Adressen, dazu Passwörter.

Phishing ist dabei der häufigste Einstiegsvektor. Das Phishing-Radar der Verbraucherzentrale NRW sammelte 2025 rund 382.000 gemeldete Mails, zehn Prozent weniger als im Vorjahr, aber weiter auf hohem Niveau. Nur 43 Prozent der Deutschen können genau erklären, was Phishing ist. Und die Maschen werden raffinierter: Das BSI beobachtet KI-generierte Mails und Imitate von Paketdiensten und Streamingdiensten statt nur von Banken.

Minute 13 bis 20: Die Berechtigungen auf dem Handy prüfen

Auf dem Smartphone sammeln sich Berechtigungen, die niemand bewusst erteilt hat. Gehe unter Einstellungen zu „Berechtigungen“ oder „Privatsphäre“ und prüfe die drei sensiblen Kategorien:

  • Standort: Welche Apps haben dauerhaften Zugriff? Navigations- und Wetter-Apps dürfen ihn haben; viele andere nicht. Stelle sie auf „Nur bei Nutzung“ oder „Nie“.
  • Kamera und Mikrofon: Nur Apps, die sie wirklich brauchen: Videotelefonie, Kamera, Sprachaufnahmen. Alles andere abschalten.
  • Kontakte und Fotos: Messenger brauchen Kontakte, um zu funktionieren. Aber jede Deko-App, die deine Kontakte lesen will, ist verdächtig.

Die Faustregel: Zugriff erlauben, wenn die Funktion ohne ihn nicht geht; sonst verweigern.

Minute 21 bis 25: Die Browser-Einstellungen

Dein Browser weiß mehr über dich als deine Nachbarn. Und er teilt es bereitwillig. Fünf Minuten genügen für die wichtigsten Einstellungen:

  • Tracking-Schutz aktivieren: Die meisten Browser bieten mittlerweile einen Standard-Schutz an, der Werbenetzwerke blockiert. Einschalten.
  • Cookies von Drittanbietern blockieren beziehungsweise „nur beim Besuch der Seite“ erlauben.
  • Suchmaschine auf datensparsame Alternative umstellen, wenn dir das wichtig ist.
  • Gespeicherte Passwörter prüfen: Liegen dort noch Passwörter von Diensten, die du längst gelöscht hast? Der Browser ist kein Archiv.

Das geht auch unterwegs, zum Beispiel in der Bahn im RMV auf dem Weg zur Arbeit.

Minute 26 bis 30: Backups und Ausblick

Zum Abschluss die Daten-Sicherung: Ist die automatische Fotosicherung aktiv? Werden die wichtigsten Dokumente gesichert? Die Zahlen zeigen, wie viele das versäumen: 33 Prozent der privaten Gerätenutzer sichern gar nichts, nur 45 Prozent regelmäßig, und nur 18 Prozent wissen, wie man ein Backup zurückspielt, so Bitkom. Wenn du dazu gehörst, aktiviere jetzt die Cloud-Sicherung deines Handys und lege einen festen Termin für die Dokumente fest. Etwa den ersten Sonntag im Monat.

Dann notiere dir im Kalender: In sechs Monaten wiederholen. Datenschutz ist kein Projekt mit Enddatum, sondern eine Gewohnheit mit Erinnerung.

Wenn es trotzdem passiert

Auch mit allen Vorsichtsmaßnahmen kann ein Konto gehackt werden. Dann zählt eine klare Reihenfolge:

  1. E-Mail-Konto zuerst absichern. Weil über die E-Mail fast alle anderen Konten zurückgesetzt werden können, ist sie das erste Ziel, das du wieder unter Kontrolle bringen musst. Passwort ändern, 2FA prüfen und alle angemeldeten Geräte abmelden.
  2. Passwort-Leaks prüfen. Dienste wie haveibeenpwned zeigen kostenlos, ob deine Adresse in bekannten Datenlecks auftaucht. Ist das der Fall, betrifft das alle Konten mit demselben Passwort.
  3. Betroffene Konten nachziehen. Begonnen bei Banking, Handyvertrag und Krankenkassen-Portal, also denselben zentralen Konten wie im Check. Jedes davon bekommt ein neues, einmaliges Passwort.
  4. Melden, wenn Geld weg ist. Bei Betrug oder Diebstahl gehören Anzeige und Sperrung der betroffenen Karten und Konten zuerst erledigt. Die Polizei dokumentiert den Fall, und viele Versicherungen verlangen die Anzeige für die Schadenregulierung.

Wer diese Reihenfolge kennt, behält auch im Ernstfall die Nerven. Die halbe Stunde Prävention aus diesem Check macht den Notfall seltener, und die Liste oben macht ihn kürzer.

Ein Blick nach vorn: Passkeys lösen Passwörter langfristig ab. Weltweit haben 53 Prozent der Befragten Passkeys auf mindestens einem Konto aktiviert, in Deutschland können erst 28 Prozent erklären, was ein Passkey ist. Das BSI empfiehlt, zu prüfen, wo der Umstieg möglich ist. Die Begriffskarte zu Passkeys im Wissensindex zeigt, wie das funktioniert. Weltweit aktivieren inzwischen 22 Prozent der Nutzer Passkeys auf jedem Konto, auf dem das möglich ist. Die Umstellung dauert pro Dienst ein paar Minuten und ist die beste Investition des Jahres.

Was nicht in die 30 Minuten gehört

Dinge wie verschlüsselte Messenger, alternative Suchmaschinen oder ein VPN sind sinnvolle Vertiefungen. Aber sie sind nicht der Kern. Neue Maschen wie Quishing mit gefälschten QR-Codes und KI-Deepfakes treffen bislang 2 bis 3 Prozent der Internetnutzer, so Bitkom. Wer die vier Stellschrauben E-Mail, zentrale Konten, Handy-Berechtigungen und Browser-Einstellungen einmal durchgegangen ist, hat den größten Teil des realistischen Risikos abgedeckt. Der Rest ist Feintuning, das man machen kann, wenn man möchte. Nicht muss.

Kurz gesagt

30 Minuten, vier Stellschrauben: E-Mail-Konto mit starkem Passwort und 2FA, zentrale Konten nachziehen, Handy-Berechtigungen ausmisten, Browser-Tracking reduzieren. Dazu Backups aktivieren und in sechs Monaten wiederholen. Mehr braucht ein realistischer Datenschutz-Check nicht.

Was bedeutet das für mich?

Öffne jetzt dein E-Mail-Konto und aktiviere die Zwei-Faktor-Authentifizierung. Das sind die wichtigsten fünf Minuten des gesamten Checks. Danach arbeitest du die Liste der Reihe nach ab. Wenn du nach 30 Minuten fertig bist, hast du mehr für deinen Datenschutz getan als die meisten Menschen in ihrem ganzen Leben. Und es hat nichts gekostet.

Quellen

Allgemeine Information, keine individuelle IT-Beratung.

Hinweis: Dieser Beitrag ist allgemeine Verbraucherinformation. Rechtslage und Preise können sich ändern; Stand siehe Datum des Beitrags.

Fehler in diesem Beitrag gefunden? Bitte melden →