Doxxing: Was tun, wenn Ihre Daten im Netz veröffentlicht werden

Die ersten sechs Schritte

Wenn Sie das gerade eben entdeckt haben und wenig Zeit oder Nerven zum Lesen haben, ist das hier die Reihenfolge, die zählt:

1. Sichern Sie Beweise, bevor Sie irgendetwas melden. Screenshots mit sichtbarer vollständiger URL, Datum und Uhrzeit. Lieber zu viel als zu wenig.
2. Nehmen Sie keinen Kontakt zum Täter auf. Nicht antworten, nicht widersprechen, nicht drohen. Jede Reaktion ist Treibstoff und kann Ihnen später schaden.
3. Melden Sie die Inhalte bei der Plattform, aber erst nach Schritt 1.
4. Weihen Sie eine Vertrauensperson ein. Niemand sollte das allein durchstehen, und Sie brauchen jemanden, der mitliest, wenn Sie es nicht mehr können.
5. Erstatten Sie Anzeige. Auch wenn Sie glauben, es bringe nichts: Der Vorgang wird aktenkundig, und das brauchen Sie später.
6. Prüfen Sie Ihre Erreichbarkeit. Wurden Adresse, Telefonnummer oder Arbeitsstelle veröffentlicht, entscheiden die nächsten Stunden darüber, wie unangenehm die kommenden Tage werden.

Was Doxxing ist und warum es so wirksam ist

Das Perfide daran ist, dass die einzelnen Bausteine meist nicht geheim waren. Ihr Name stand in einem Vereinsprotokoll, Ihr Arbeitgeber auf einem Berufsprofil, Ihr Wohnort in einer alten Traueranzeige, Ihr Fahrzeug auf einem Foto vom Sommerfest. Jedes für sich harmlos. Zusammengesetzt ergeben sie eine Anleitung, wie man Sie findet.

Genau deshalb ist Doxxing nicht in erster Linie ein Datenschutz-, sondern ein Sicherheitsproblem. Und deshalb hilft es auch nichts, den einen Beitrag löschen zu lassen und dann aufzuatmen: Die Bausteine liegen weiter herum, und der nächste kann sie wieder zusammensetzen.

Vier Konstellationen — und warum die Unterscheidung zählt

• Der Einzeltäter aus dem persönlichen Umfeld. Ex-Partner, Nachbar, ehemaliger Kollege. Er kennt Sie, kennt oft Passwörter und Gewohnheiten, und er hört selten von allein auf. Hier stehen Gewaltschutz und Meldesperren im Vordergrund.
• Der politisch oder weltanschaulich motivierte Angriff. Sie haben sich geäußert, ein Amt übernommen, eine Entscheidung getroffen. Diese Angriffe sind häufig organisiert, laufen in Wellen und können nach Monaten der Ruhe wieder aufflammen. Hier ist Ausdauer wichtiger als Schnelligkeit.
• Der eskalierte Online-Konflikt. Eine Auseinandersetzung in einem Forum, einer Community, einem Spiel. Oft anonyme Täter, oft kurze, aber heftige Wellen. Diese Fälle enden am ehesten von selbst, vorausgesetzt, Sie geben keinen neuen Anlass.
• Der berufliche Anlass. Sie haben als Ärztin, Richter, Behördenmitarbeiterin, Journalist oder Führungskraft eine Entscheidung getroffen, die jemanden getroffen hat. Hier kommt Ihr Arbeitgeber ins Spiel: mit Fürsorgepflichten, aber auch mit eigenen Interessen.

Wenn Sie nicht wissen, in welche Kategorie Ihr Fall fällt, ist das kein Problem. Die ersten Schritte sind in allen vier Fällen dieselben.

Schritt 1: Beweise sichern — vor allem anderen

Dies ist der Punkt, an dem die meisten Betroffenen einen teuren Fehler machen. Der erste Impuls ist, dass es weg soll. Sofort. Also melden, löschen lassen, Erleichterung. Zwei Wochen später möchten Sie Anzeige erstatten oder einen Antrag auf Auskunftssperre stellen und haben nichts mehr in der Hand. Der Beitrag ist verschwunden, die Plattform gibt nichts heraus, und Ihre Schilderung steht ohne Beleg da.

• Screenshot der Veröffentlichung mit vollständiger URL in der Adresszeile und sichtbarem Datum (Systemuhr im Bild)
• Den Kontext: das gesamte Profil des Absenders, den Thread, die Kommentare, die Reaktionen darauf
• Alle Kopien, nicht nur die erste Fundstelle (Doxxing-Inhalte werden weiterverbreitet)
• Bei Nachrichten an Sie: den vollständigen Verlauf, nicht den Ausschnitt
• Die Originaldateien, wo möglich, nicht nur Abfotografiertes

Wohin damit: auf ein Speichermedium, auf das die angreifende Person keinen Zugriff hat, und in einem zweiten Exemplar außer Haus, etwa bei einer Vertrauensperson oder in einem verschlüsselten Speicher. Legen Sie zusätzlich eine schlichte Liste an: Datum, Uhrzeit, Fundort, was veröffentlicht wurde, was Sie unternommen haben. Diese Liste ist später mehr wert als jeder einzelne Screenshot.

Schritt 2: Nicht reagieren

Das ist schwer, deshalb ausdrücklich: Antworten Sie nicht. Keine Richtigstellung, keine Bitte um Löschung an den Täter, keine Drohung mit dem Anwalt, kein öffentlicher Post. Drei Gründe:

• Es erhöht die Reichweite. Jede Reaktion signalisiert Wirkung. In Foren und Netzwerken, in denen so etwas organisiert wird, ist der sichtbare Treffer der eigentliche Anreiz.
• Es kann Ihnen rechtlich schaden. Wer sich im Affekt äußert, produziert Material, das später gegen ihn verwendet wird, bis hin zu Gegenanzeigen.
• Es macht Sie angreifbarer. Wer antwortet, verrät oft mehr, als er denkt: dass er es gesehen hat, wann er online ist, was ihn trifft.

Öffentlich zu reagieren kann in seltenen Fällen richtig sein, etwa wenn Sie eine öffentliche Rolle haben und eine Falschbehauptung sonst stehen bliebe. Das ist dann aber eine Kommunikationsentscheidung, die man mit kühlem Kopf und im Zweifel mit Beratung trifft, nicht um zwei Uhr nachts.

Schritt 3: Bei der Plattform melden

Seit dem Digital Services Act müssen Anbieter von Hosting- und Plattformdiensten in der EU ein leicht zugängliches Meldeverfahren für rechtswidrige Inhalte bereitstellen (Art. 16 DSA). Nutzen Sie es. Es ist deutlich wirksamer als das allgemeine Kontaktformular. Eine wirksame Meldung enthält vier Dinge:

1. Eine hinreichend begründete Erläuterung, warum Sie die Inhalte für rechtswidrig halten
2. Die genaue URL des Beitrags, bei mehreren Fundstellen jede einzeln
3. Ihren Namen und Ihre E-Mail-Adresse
4. Eine Erklärung, dass Sie in gutem Glauben von der Richtigkeit und Vollständigkeit Ihrer Angaben überzeugt sind

Der vierte Punkt wirkt formalistisch, steht aber so im Gesetz. Und Meldungen, die alle vier Elemente enthalten, werden erkennbar anders behandelt als ein Klick auf „Melden". Der Anbieter muss den Eingang unverzüglich bestätigen, zeitnah und frei von Willkür entscheiden, Ihnen die Entscheidung mitteilen und auf Rechtsbehelfe hinweisen. Konkrete Fristen enthält der DSA nicht. Wenn nichts passiert, bleiben interne Beschwerde, außergerichtliche Streitbeilegung, Beschwerde beim Koordinator für digitale Dienste und parallel die rechtliche Durchsetzung über eine Kanzlei.

Schritt 4: Anzeige erstatten

Ob und welche Strafvorschriften in Ihrem Fall greifen, prüfen Polizei, Staatsanwaltschaft und im Zweifel eine Kanzlei. Was Sie wissen sollten: Der Gesetzgeber hat für genau diese Fälle in den letzten Jahren nachgeschärft.

§ 126a StGB: gefährdendes Verbreiten personenbezogener Daten. Diese Vorschrift wurde speziell für Doxxing und sogenannte Feindeslisten geschaffen und gilt seit dem 22. September 2021. Sie richtet sich gegen das Verbreiten personenbezogener Daten in einer Weise, die geeignet ist, jemanden der Gefahr bestimmter Straftaten auszusetzen. Der Strafrahmen liegt bei Freiheitsstrafe bis zu zwei Jahren oder Geldstrafe, bei nicht allgemein zugänglichen Daten bis zu drei Jahren.

§ 238 StGB: Nachstellung. Zum 1. Oktober 2021 reformiert: Statt „beharrlich" genügt nun „wiederholt", was die Schwelle deutlich senkt. Neu aufgenommen wurden ausdrücklich digitale Begehungsformen: der Einsatz von Software zum Zugriff auf Konten, das Verbreiten von Aufnahmen und das Veröffentlichen von Inhalten unter vorgetäuschter Urheberschaft des Opfers. Strafrahmen bis zu drei Jahren, in besonders schweren Fällen bis zu fünf.

Daneben kommen je nach Sachverhalt in Betracht: Bedrohung (§ 241 StGB), Beleidigungsdelikte (§§ 185 ff. StGB) und der Missbrauch von Notrufen (§ 145 StGB) beim Auslösen falscher Polizeieinsätze, dem sogenannten Swatting.

• Bringen Sie Ihre Dokumentation mit. Ausgedruckt, chronologisch, mit einer kurzen Übersicht vorne. Das erhöht die Chance auf eine sorgfältige Bearbeitung erheblich.
• Sprechen Sie das Swatting-Risiko an. Wurde Ihre Adresse veröffentlicht, fragen Sie bei der Anzeige, ob ein entsprechender Hinweis im Vorgang sinnvoll ist. Ob und wie das möglich ist, entscheidet die Polizei, aber die Frage zu stellen kostet nichts.

Schritt 5: Erreichbarkeit reduzieren — parallel, nicht danach

Wurde Ihre Adresse veröffentlicht: Auskunftssperre im Melderegister anstoßen, wenn eine Gefahr glaubhaft gemacht werden kann. Klingelschild und Briefkasten prüfen. Nachbarn und Hausverwaltung informieren, dass Fremde nach Ihnen fragen könnten. Pakete auf Abholstationen umstellen. Überlegen, ob ein paar Nächte woanders sinnvoll sind. Das ist keine Überreaktion, sondern eine Option.

Wurde Ihre Telefonnummer veröffentlicht: Auf Anrufe unbekannter Nummern nicht reagieren, Mailbox arbeiten lassen. Anrufliste als Dokumentation behalten, nicht löschen. Bei anhaltender Welle: Nummer wechseln und künftig getrennte Nummern verwenden.

Wurde Ihr Arbeitgeber genannt: Informieren Sie Vorgesetzte und gegebenenfalls Empfang oder Zentrale aktiv und zuerst. Es ist erheblich besser, wenn Ihr Arbeitgeber es von Ihnen erfährt als durch den ersten Anruf eines Fremden. Klären Sie, wer Auskünfte über Sie geben darf und dass niemand es tut.

Immer: Passwörter der wichtigen Konten wechseln, beginnend beim E-Mail-Postfach. Zwei-Faktor-Authentifizierung aktivieren, wo sie fehlt. Bei geteilten Konten und Familienfreigaben prüfen, wer noch Zugriff hat.

Die Welle überstehen

• Anrufe und Nachrichten von Unbekannten, oft nachts: nicht abnehmen, dokumentieren, Nummer nicht öffentlich kommentieren.
• Bestellungen und Anmeldungen auf Ihren Namen (Warenlieferungen, Abos, Kontaktanzeigen, Handwerkertermine): nichts annehmen, Widerruf schriftlich, Vorgänge sammeln. Sie sind Teil desselben Angriffs und gehören in Ihre Dokumentation.
• Falsche Notrufe (Swatting). Selten, aber real. Wenn Polizei vor Ihrer Tür steht: ruhig bleiben, Anweisungen befolgen, auf die laufende Anzeige hinweisen.
• Der psychische Anteil wird regelmäßig unterschätzt. Schlafstörungen, ständiges Nachsehen, das Gefühl, beobachtet zu werden: Das sind normale Reaktionen auf eine unnormale Situation. HateAid berät Betroffene digitaler Gewalt kostenlos und bietet eine Prozesskostenfinanzierung.
• Delegieren Sie das Beobachten. Bitten Sie eine Vertrauensperson, das Monitoring zu übernehmen. Ständig selbst zu suchen, verstärkt die Belastung und bringt inhaltlich nichts.

Wenn Angehörige mitbetroffen sind

Sagen Sie es ihnen, und zwar früh. Der Impuls, die Familie zu schonen, ist verständlich und meistens falsch. Wer nicht weiß, was los ist, reagiert im Zweifel genau verkehrt: gibt am Telefon Auskunft, antwortet auf Nachrichten, postet aus Solidarität etwas Erklärendes. Angehörige müssen wissen: keine Auskünfte über Sie, auch nicht an angebliche Behörden, Journalisten oder Bekannte. Nicht öffentlich reagieren. Alles weiterleiten, was bei ihnen ankommt, statt es zu löschen.

Bei Kindern gilt zusätzlich: Schule oder Kita informieren, wer abholberechtigt ist und wer nicht. Und altersgerecht erklären, was passiert. Kinder merken ohnehin, dass etwas nicht stimmt. Die Profile der Angehörigen sind oft die ergiebigere Quelle als Ihr eigenes: ein Urlaubsfoto der Schwester, ein Geburtstagsgruß der Mutter mit Ortsangabe. Das Gespräch klingt nach Bevormundung. Führen Sie es trotzdem.

Ein realistischer Ablauf

Rechnen Sie damit, dass die ersten drei Tage anstrengend sind und Sie danach in eine ruhigere, aber längere Phase kommen. Wer versucht, alles am ersten Tag zu erledigen, macht Fehler und brennt aus.

Wenn Doxxing zum Dauerzustand wird

Manchmal ist es nach zwei Wochen vorbei. Manchmal nicht: weil die Inhalte immer wieder neu hochgeladen werden, weil eine Gruppe koordiniert vorgeht oder weil ein einzelner Täter nicht aufhört. Dann verschiebt sich die Aufgabe: Es geht nicht mehr darum, einen Vorfall abzuräumen, sondern darum, die eigene Angriffsfläche dauerhaft zu verkleinern. Das heißt: vollständige Bestandsaufnahme, systematische Reduktion, strukturelle Härtung, laufende Überwachung und ein fester Ansprechpartner auf rechtlicher Seite, damit nicht jede neue Fundstelle bei null beginnt.

Was wir tun und was nicht: Wir erstellen die vollständige Bestandsaufnahme Ihrer Auffindbarkeit, priorisieren die Fundstellen nach ihrem tatsächlichen Risiko, bereiten Löschanfragen und Meldungen inhaltlich vor, härten Technik und Adressstruktur und überwachen das Ergebnis. Die rechtsförmigen Schritte übernimmt die kooperierende Fachkanzlei mit eigenem Mandat. Was wir nicht tun: über die Person recherchieren, die Sie doxxt. Das ist Aufgabe der Ermittlungsbehörden. Und wenn ein einzelner Beitrag betroffen ist, die Plattform reagiert und Ihre Adresse ohnehin nicht öffentlich war, brauchen Sie uns nicht. Dann reichen die Schritte in diesem Artikel.