Wurde Mein Passwort Geleakt? So Prüfen Sie es 2026

Jedes Jahr werden Milliarden von Zugangsdaten durch Datenlecks bei großen Unternehmen kompromittiert. Allein im Jahr 2024 wurden laut Schätzungen über 16 Milliarden Datensätze veröffentlicht. Die Wahrscheinlichkeit, dass auch eines Ihrer Passwörter darunter ist, ist statistisch gesehen sehr hoch. In diesem ausführlichen Leitfaden erfahren Sie, wie Sie zuverlässig prüfen können, ob Ihr Passwort geleakt wurde, und welche konkreten Schritte Sie unternehmen sollten, um sich zu schützen.

Was bedeutet ein geleaktes Passwort?

Ein geleaktes Passwort ist ein Passwort, das durch einen Sicherheitsvorfall – etwa einen Hackerangriff auf einen Online-Dienst – in unbefugte Hände gelangt ist und häufig in öffentlich zugänglichen Datenbanken oder Darknet-Foren kursiert. Sobald ein Passwort einmal geleakt wurde, gilt es als dauerhaft kompromittiert, selbst wenn der Vorfall Jahre zurückliegt.

Cyberkriminelle nutzen geleakte Zugangsdaten für sogenannte Credential-Stuffing-Angriffe: Sie probieren die Kombinationen aus E-Mail und Passwort automatisiert bei hunderten anderen Diensten aus. Da viele Menschen Passwörter mehrfach verwenden, sind solche Angriffe erschreckend erfolgreich.

Typische Quellen geleakter Passwörter

Hacks großer Plattformen: LinkedIn, Adobe, Dropbox, Yahoo und viele andere wurden in der Vergangenheit Ziel massiver Datenlecks.
Phishing-Angriffe: Gefälschte Login-Seiten sammeln Zugangsdaten ahnungsloser Nutzer.
Malware und Keylogger: Schadsoftware liest Eingaben direkt vom Gerät aus.
Schwache Datenbankabsicherung: Falsch konfigurierte Server, die direkt im Internet zugänglich sind.
Insider-Diebstahl: Mitarbeiter, die Datenbestände entwenden.

Warum sollten Sie regelmäßig prüfen, ob Ihr Passwort geleakt wurde?

Die meisten Datenlecks werden erst Monate oder sogar Jahre nach dem eigentlichen Vorfall öffentlich bekannt. In dieser Zeit können Kriminelle Ihre Daten bereits ausgiebig missbraucht haben. Eine regelmäßige Überprüfung gibt Ihnen die Chance, frühzeitig zu reagieren – bevor es zu Identitätsdiebstahl, finanziellen Verlusten oder Reputationsschäden kommt.

Laut Bundesamt für Sicherheit in der Informationstechnik (BSI) gehört das regelmäßige Prüfen der eigenen Zugangsdaten zu den wichtigsten Maßnahmen der digitalen Selbstverteidigung. Auch die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) empfiehlt diese Praxis ausdrücklich.

Die besten Tools, um geleakte Passwörter zu prüfen

Es gibt mehrere vertrauenswürdige, kostenlose Dienste, mit denen Sie überprüfen können, ob Ihre E-Mail-Adresse oder Ihr Passwort in bekannten Datenlecks auftaucht. Hier sind die wichtigsten im Überblick:

Dienst	Anbieter	Prüft	Sprache	Kostenlos
Have I Been Pwned	Troy Hunt (Australien)	E-Mail, Passwort, Telefonnummer	Englisch	Ja
HPI Identity Leak Checker	Hasso-Plattner-Institut (Deutschland)	E-Mail-Adresse	Deutsch	Ja
Uni Bonn Identity Leak Checker	Universität Bonn	E-Mail-Adresse	Deutsch	Ja
Firefox Monitor	Mozilla	E-Mail-Adresse	Deutsch	Ja
Google Password Checkup	Google	Gespeicherte Passwörter im Chrome	Deutsch	Ja

Have I Been Pwned (HIBP)

Der wohl bekannteste Dienst weltweit. Troy Hunt sammelt seit 2013 Daten aus bekannten Lecks und ermöglicht eine Suche per E-Mail-Adresse. Die Datenbank umfasst über 12 Milliarden kompromittierte Konten aus mehr als 700 Datenlecks. Besonders praktisch: Der Dienst zeigt Ihnen genau, bei welchem Vorfall Ihre Daten betroffen waren.

HPI Identity Leak Checker

Der Dienst des Hasso-Plattner-Instituts in Potsdam ist die deutsche Alternative zu HIBP. Nach Eingabe Ihrer E-Mail-Adresse erhalten Sie das Ergebnis per E-Mail – also nicht direkt im Browser. Das hat den Vorteil, dass nur der tatsächliche Inhaber der Adresse das Ergebnis sehen kann.

Firefox Monitor und Google Password Checkup

Beide Dienste sind in moderne Browser integriert. Google warnt Sie automatisch, wenn ein in Chrome gespeichertes Passwort in einem bekannten Leck auftaucht. Firefox Monitor nutzt die HIBP-Datenbank im Hintergrund.

Schritt-für-Schritt: Passwort geleakt prüfen

Folgen Sie dieser Anleitung, um systematisch zu überprüfen, ob Ihre Zugangsdaten kompromittiert wurden:

E-Mail-Adresse prüfen: Gehen Sie auf haveibeenpwned.com und geben Sie Ihre primäre E-Mail-Adresse ein. Wiederholen Sie den Vorgang für alle weiteren Adressen, die Sie für Online-Konten nutzen.
Ergebnis analysieren: Wird Ihre Adresse in Lecks gefunden, zeigt der Dienst eine Liste der betroffenen Dienste an. Notieren Sie sich diese.
Passwort-Pwned-Check durchführen: Nutzen Sie die Funktion „Pwned Passwords" auf derselben Seite. Sie können auch Ihr Passwort eingeben – es wird durch ein sicheres Hash-Verfahren (k-Anonymität) geprüft, ohne dass das Passwort selbst übertragen wird.
Deutsche Quelle nutzen: Geben Sie Ihre Adresse zusätzlich beim HPI Identity Leak Checker ein und warten Sie auf die E-Mail-Antwort.
Browser-Tools aktivieren: Aktivieren Sie in Chrome unter „Einstellungen → Datenschutz und Sicherheit → Sicherheitscheck" die automatische Passwortprüfung.
Ergebnis dokumentieren: Listen Sie alle betroffenen Konten auf und priorisieren Sie nach Wichtigkeit (Banking, E-Mail-Hauptkonto, soziale Netzwerke zuerst).

Was tun, wenn Ihr Passwort geleakt wurde?

Wenn Sie feststellen, dass Ihre Zugangsdaten betroffen sind, sollten Sie schnell und systematisch handeln. Panik ist nicht angebracht, aber Untätigkeit gefährlich.

Sofortmaßnahmen innerhalb der ersten Stunde

Passwort sofort ändern: Beginnen Sie mit dem betroffenen Dienst. Wählen Sie ein vollständig neues, einzigartiges Passwort.
Wo dasselbe Passwort noch verwendet wird: Ändern Sie es überall, wo Sie es ebenfalls eingesetzt haben. Dies ist besonders kritisch.
Zwei-Faktor-Authentifizierung (2FA) aktivieren: Bei allen wichtigen Konten – möglichst mit App (z.B. Aegis, andOTP) statt SMS.
Verdächtige Aktivitäten prüfen: Überprüfen Sie Login-Historie, gesendete Nachrichten und Kontobewegungen.
Recovery-Optionen aktualisieren: Stellen Sie sicher, dass Telefonnummer und Backup-E-Mail aktuell und sicher sind.

Mittelfristige Maßnahmen

Passwortmanager einrichten: Bitwarden, KeePassXC oder 1Password generieren und speichern einzigartige Passwörter.
Phishing-Aufmerksamkeit erhöhen: Nach einem Leck werden Sie verstärkt Zielscheibe gezielter Phishing-Angriffe.
Bank und Kreditkarteninstitut informieren: Falls Zahlungsdaten betroffen sein könnten.
Identitätsdiebstahl-Anzeige bei der Polizei: Bei Verdacht auf Missbrauch Ihrer Identität.

Sichere Passwörter erstellen: Best Practices 2026

Ein sicheres Passwort ist die erste Verteidigungslinie. Nach Empfehlung des BSI sollten moderne Passwörter folgende Kriterien erfüllen:

Mindestlänge 12 Zeichen, besser 16 oder mehr
Mischung aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen
Keine Wörterbuch-Wörter oder persönliche Bezüge (Geburtstag, Haustiername)
Einzigartig für jeden Dienst – nie Passwörter wiederverwenden
Keine vorhersehbaren Muster wie „123456" oder „qwertz"

Die Passphrasen-Methode

Statt komplizierter Zeichenkombinationen empfehlen viele Sicherheitsexperten inzwischen lange Passphrasen aus mehreren zufälligen Wörtern, etwa: „Tisch7-Wolke!Klavier-Mond". Solche Passphrasen sind sowohl sicher als auch leichter zu merken.

Passwortmanager: Die beste Lösung für sichere Zugangsdaten

Da niemand sich Dutzende einzigartige, komplexe Passwörter merken kann, ist ein Passwortmanager praktisch unverzichtbar. Hier ein Vergleich der bekanntesten Optionen:

Passwortmanager	Open Source	Cloud-Sync	Kostenlose Version	Preis (Premium)
Bitwarden	Ja	Ja	Voll nutzbar	ca. 10 €/Jahr
KeePassXC	Ja	Manuell	Voll nutzbar	kostenlos
1Password	Nein	Ja	14-Tage-Test	ca. 36 €/Jahr
Proton Pass	Ja	Ja	Eingeschränkt	ca. 12 €/Jahr

Vorteile eines Passwortmanagers

Automatische Generierung starker Passwörter
Verschlüsselte Speicherung lokal oder in der Cloud
Auto-Fill-Funktion erkennt echte Login-Seiten und schützt vor Phishing
Synchronisation zwischen Geräten
Integration mit 2FA-Codes

Nachteile

Single Point of Failure: Master-Passwort muss extrem sicher sein
Gewöhnungsphase notwendig
Bei Cloud-Lösungen Vertrauen in Anbieter erforderlich

Weitere Schutzmaßnahmen gegen Datenlecks

Neben sicheren Passwörtern gibt es weitere Strategien, um Ihre digitale Identität abzusichern:

Wegwerf-E-Mail-Adressen und Aliase

Dienste wie SimpleLogin, AnonAddy oder Apple Hide My Email ermöglichen es, für jede Anmeldung eine separate E-Mail-Adresse zu nutzen. So wissen Sie nach einem Leck sofort, welcher Dienst kompromittiert wurde, und können den Alias deaktivieren.

Verschlüsselte Links und Datenfreigaben

Wenn Sie sensible Links oder Daten weitergeben, sollten Sie auf passwortgeschützte und ablaufende Links setzen. Mit Lunyb können Sie URLs kürzen und gleichzeitig mit einem Passwort schützen oder ein Ablaufdatum festlegen – nützlich, um zu verhindern, dass weitergeleitete Links unbegrenzt im Umlauf bleiben.

Datenbroker entfernen lassen

Viele geleakte Daten landen bei Datenbrokern, die sie weiterverkaufen. Erfahren Sie in unserem Leitfaden Datenbroker: Wer verkauft Ihre Daten und wie Sie sich wehren, wie Sie die Löschung Ihrer Daten durchsetzen.

Tracking minimieren

Je weniger Spuren Sie hinterlassen, desto weniger Daten können geleakt werden. Lesen Sie dazu unsere Anleitung Tracker auf dem Handy blockieren.

Phishing erkennen: Der häufigste Weg zu geleakten Passwörtern

Phishing ist nach wie vor die häufigste Methode, wie Passwörter erbeutet werden. Achten Sie auf folgende Warnzeichen:

Drängende Sprache: „Ihr Konto wird gesperrt!" oder „Sofort handeln!"
Verdächtige Absender-Adressen: Genau auf Schreibfehler in der Domain achten
Unpersönliche Anrede: Seriöse Unternehmen nennen Ihren Namen
Verdächtige Links: Vor dem Klick mit der Maus über den Link fahren und Ziel-URL prüfen
Anhänge unbekannter Herkunft: Niemals öffnen

Wenn Sie eine verdächtige Telefonnummer erhalten haben, hilft unsere Anleitung Betrugs-Telefonnummer erkennen.

Schutz Ihrer persönlichen Daten und Fotos

Nicht nur Passwörter werden geleakt – auch persönliche Fotos können in falsche Hände geraten. Mit einer umgekehrten Bildersuche können Sie prüfen, ob Ihre Bilder unbefugt online verwendet werden. Sensible Fotos sollten zusätzlich in einem verschlüsselten Tresor aufbewahrt werden.

Häufig gestellte Fragen (FAQ)

Ist es sicher, mein Passwort bei Have I Been Pwned einzugeben?

Ja. HIBP nutzt das sogenannte k-Anonymitätsverfahren: Es werden nur die ersten fünf Zeichen des SHA-1-Hashes Ihres Passworts an den Server übertragen. Der Server schickt eine Liste passender Hashes zurück, und der Abgleich findet lokal in Ihrem Browser statt. Ihr tatsächliches Passwort verlässt nie Ihr Gerät.

Wie oft sollte ich prüfen, ob mein Passwort geleakt wurde?

Eine Überprüfung alle drei bis sechs Monate ist sinnvoll. Außerdem sollten Sie sich bei Diensten wie HIBP oder Firefox Monitor mit Ihrer E-Mail-Adresse registrieren, um automatisch benachrichtigt zu werden, sobald ein neues Leck Ihre Daten enthält.

Muss ich mein Passwort regelmäßig ändern, auch wenn es nicht geleakt wurde?

Die Empfehlungen haben sich geändert. Das BSI und auch das US-amerikanische NIST raten heute davon ab, Passwörter ohne Anlass regelmäßig zu ändern. Wichtiger ist, dass Sie ein langes, einzigartiges Passwort verwenden und es nur dann ändern, wenn ein konkreter Verdacht auf Kompromittierung besteht.

Was bedeutet es, wenn meine E-Mail bei mehreren Lecks auftaucht?

Es bedeutet, dass Ihre E-Mail-Adresse bei mehreren Diensten registriert war, die gehackt wurden. Wichtig ist nicht die Anzahl der Lecks, sondern ob für jeden Dienst ein einzigartiges Passwort verwendet wurde. War das der Fall, ist nur das jeweilige Konto betroffen. Andernfalls müssen Sie alle Konten mit identischem Passwort absichern.

Sind biometrische Logins (Fingerabdruck, Gesichtserkennung) sicherer als Passwörter?

Biometrische Verfahren sind komfortabel und schützen gut vor Diebstahl auf Zugriffs-Ebene, ersetzen aber keine Passwörter vollständig. Auf den meisten Geräten ist im Hintergrund weiterhin ein Passwort oder eine PIN nötig. Die Kombination aus starkem Passwort plus Biometrie plus 2FA bietet den besten Schutz.

Fazit

Geleakte Passwörter sind eine reale und allgegenwärtige Bedrohung. Die gute Nachricht: Mit den vorgestellten Tools und einer systematischen Vorgehensweise können Sie das Risiko deutlich reduzieren. Prüfen Sie regelmäßig Ihre E-Mail-Adressen bei Have I Been Pwned und dem HPI Identity Leak Checker, nutzen Sie einen Passwortmanager wie Bitwarden, aktivieren Sie überall Zwei-Faktor-Authentifizierung und verwenden Sie für jeden Dienst ein einzigartiges Passwort.

Digitale Sicherheit ist kein einmaliges Projekt, sondern eine kontinuierliche Aufgabe. Mit dem Wissen aus diesem Leitfaden sind Sie aber bestens gerüstet, um Ihre Identität, Ihre Finanzen und Ihre Privatsphäre wirkungsvoll zu schützen.