Es kommt drauf an…
Irgendwer hat jetzt alle Daten plus eine IP-Adresse (vom Webseitenabruf) inklusive der Bestätigung, dass die Daten echt sind. In der legalen Welt zahlt man dafür ca. 5,- Euro. Der größte Adresshändler, der sowas macht, nennt sich „Post“.
Wenn Deine Daten einmal in dunkleren Kreisen unterwegs sind, „isch Ende“. Die werden auch noch nach Deinem Tod in Listen geführt.
Ich habe selbst Datenverluste zu beklagen, weil Firmen, die ihre Kundendaten angeblich „sicher“ verwahren, sie „verloren“ haben. In der Folge überschütten mich Betrugsanrufe und -Mails in Wellen. Die meisten Rufnummern stammen aus England oder Österreich. Mitunter erlangen auch „halblegale“ Unternehmen die Daten und man bekommt Angebot aus dem Finanzsektor.
Dahingehend ist es also wahrscheinlich, dass Deine Freundin demnächst Anrufe von „irgendwem“ und extra viel SPAM erhält. Die einem unbekannten Rufnummern blockt man einfach. Anrufe mit Rufnummernunterdrückung lässt man auf die Mailbox laufen. Wichtige Personen würden drauf sprechen.
Die Handydaten sollten bei Androidentelefonen eigentlich immer verschlüsselt sein, das hilft aber nicht, wenn man das Handy selbst freigibt. Und die Daten sind eh schon unterwegs.
Worst, worst case-Szenario wäre ein Identitätsdiebstahl, der zunächst unentdeckt abläuft, d.h. jemand bestellt teures Elektrozeugs auf Den Namen Deiner Freundin, bezahlt mit von anderen geklauten Daten und lässt an eine Packstation liefern, deren Daten ebenfalls geklaut sind. Die Bezahlung schlägt fehl (keine Kontodeckung oder wurde gesperrt) und die Lieferanten wenden sich an den/die Kundenaccount-Inhaberin - Deine Freundin.
Falls auch Kontodaten oder Kreditkartennummern genannt wurden: die Kontenumsätze jeden Tag prüfen und ungenehmigte SEPA-Einzüge sofort zurückholen (ist kostenlos). Bei Kreditkarten: sperren lassen und neue ausstellen lassen (ist bei Betrugsversuchen meistens kostenlos).
Ich würde - auch wenn es Zeit kostet und am Ende nicht viel bringt - eine Strafanzeige stellen, damit der Datenverlust einen „Zeitstempel“ erhält. Vielleicht gibt’s auch noch andere Opfer. Wenn Du die Rufnummer von „FakeLidl“ hast, dann die Rufnummer an die RegTP melden. Die haben extra Formulare dafür.
Ansonsten bleibt nur zu hoffen, dass die die Daten nur „weiterverkaufen“ und nicht sofort selbst zum „allerworstcase“ greifen.