Wurde Mein Passwort Geleakt? So Prüfen Sie es Sicher (2026)

Datenlecks gehören heute zum Alltag: Fast wöchentlich melden Unternehmen, dass Millionen Nutzerdaten gestohlen wurden. Wenn Ihre E-Mail-Adresse und Ihr Passwort einmal im Darknet zirkulieren, können Kriminelle damit Konten übernehmen, Identitätsdiebstahl begehen oder Ihre Freunde betrügen. Die gute Nachricht: Sie können in wenigen Minuten prüfen, ob Sie betroffen sind – und mit den richtigen Schritten den Schaden abwenden.

In diesem Leitfaden zeigen wir Ihnen, wie Sie zuverlässig herausfinden, ob Ihr Passwort geleakt wurde, welche kostenlosen deutschen und internationalen Dienste seriös sind, und was Sie tun müssen, wenn der Ernstfall eintritt.

Was bedeutet es, wenn ein Passwort „geleakt“ ist?

Ein geleaktes Passwort ist ein Passwort, das durch einen Datendiebstahl (Data Breach) bei einem Online-Dienst öffentlich oder in kriminellen Kreisen bekannt geworden ist. In den meisten Fällen wird nicht das Passwort im Klartext gestohlen, sondern eine sogenannte Hash-Version – doch Angreifer knacken schwache Hashes innerhalb von Minuten.

Sobald Zugangsdaten im Umlauf sind, werden sie in großen Sammlungen (Combolists) gebündelt und für sogenannte Credential-Stuffing-Angriffe genutzt: Bots probieren die Kombination aus E-Mail und Passwort automatisiert bei Hunderten von Diensten aus – von PayPal über Amazon bis zu Ihrem E-Mail-Konto.

Typische Ursachen für Passwort-Leaks

Hackerangriffe auf Unternehmen: Große Breaches bei LinkedIn, Adobe, Dropbox oder Deezer haben Milliarden Datensätze offengelegt.
Phishing: Sie geben Ihr Passwort selbst auf einer gefälschten Login-Seite ein.
Schadsoftware (Infostealer): Trojaner wie RedLine oder Vidar lesen gespeicherte Browser-Passwörter aus.
Unsichere Speicherung: Firmen speichern Passwörter unverschlüsselt oder mit veralteten Hash-Verfahren.
Insider-Bedrohungen: Mitarbeitende verkaufen oder verlieren Datenbestände.

Die besten kostenlosen Dienste zum Passwort geleakt prüfen

Es gibt mehrere seriöse Anbieter, mit denen Sie prüfen können, ob Ihre Zugangsdaten Teil eines bekannten Datenlecks sind. Wir empfehlen, mehrere Dienste zu nutzen, da nicht jede Datenbank alle Leaks kennt.

1. HPI Identity Leak Checker (Hasso-Plattner-Institut)

Der Identity Leak Checker des Hasso-Plattner-Instituts in Potsdam ist der bekannteste deutsche Dienst. Er ist kostenlos, DSGVO-konform und wird von einer wissenschaftlichen Einrichtung betrieben.

So funktioniert es:

Rufen Sie sec.hpi.de/ilc auf.
Geben Sie Ihre E-Mail-Adresse ein.
Sie erhalten eine E-Mail mit dem Ergebnis: Welche Datenlecks Ihre Adresse enthalten und welche Informationen (Passwort, Adresse, Telefonnummer) betroffen sind.

Der HPI-Dienst zeigt Ihnen sogar an, welche Datenkategorien geleakt wurden – nicht nur das Passwort, sondern auch Bankdaten, IP-Adressen oder Geburtsdaten.

2. Have I Been Pwned (HIBP)

Der internationale Klassiker von Sicherheitsforscher Troy Hunt umfasst über 13 Milliarden kompromittierter Konten und ist die umfassendste öffentliche Breach-Datenbank.

Öffnen Sie haveibeenpwned.com.
Geben Sie Ihre E-Mail-Adresse ein und klicken Sie auf „pwned?“.
Sie sehen sofort eine Liste aller bekannten Leaks mit Datum und betroffenen Daten.

Zusätzlich bietet HIBP unter haveibeenpwned.com/Passwords eine Passwort-Suche: Sie können prüfen, ob ein konkretes Passwort in einem Leak vorkam – ohne dass es an den Server übertragen wird (dank k-Anonymity-Verfahren).

3. Firefox Monitor / Mozilla Monitor

Mozillas Dienst basiert auf HIBP, ist aber besonders nutzerfreundlich und bietet ein kostenloses Abo für Benachrichtigungen bei zukünftigen Leaks.

4. Google Passwort-Check

Wenn Sie Passwörter im Chrome-Browser oder im Google-Konto speichern, prüft Google automatisch, ob diese in bekannten Leaks vorkommen. Rufen Sie passwords.google.com/checkup auf, um den Bericht einzusehen.

5. BSI-Sicherheitstest

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) verweist auf den HPI-Check und bietet zusätzlich Informationen zu aktuellen Warnmeldungen.

Vergleich der Prüfdienste im Überblick

Dienst	Betreiber	DSGVO-konform	Prüft Passwörter direkt	Benachrichtigung bei neuen Leaks
HPI Identity Leak Checker	Hasso-Plattner-Institut (DE)	Ja	Nein (nur E-Mail)	Nein
Have I Been Pwned	Troy Hunt (AU)	Ja	Ja	Ja (kostenlos)
Mozilla Monitor	Mozilla Foundation (US)	Ja	Nein	Ja
Google Passwort-Check	Google LLC	Bedingt	Ja (gespeicherte)	Ja
BSI-Verweis	Bundesamt (DE)	Ja	Nein	Nein

Sind diese Prüfdienste wirklich sicher?

Eine berechtigte Sorge: Wenn ich meine E-Mail-Adresse eingebe, gebe ich sie dann nicht erst recht preis? Die Antwort ist beruhigend – seriöse Anbieter arbeiten mit datenschutzfreundlichen Verfahren.

Wie HIBP Passwörter prüft, ohne sie zu übertragen

HIBP nutzt k-Anonymity: Ihr Passwort wird lokal in Ihrem Browser mit SHA-1 gehasht. Nur die ersten 5 Zeichen des Hashs werden an den Server gesendet. Der Server antwortet mit allen bekannten Hashes, die mit diesen 5 Zeichen beginnen. Der Abgleich passiert lokal – Ihr Passwort verlässt Ihr Gerät niemals.

Warum HPI besonders vertrauenswürdig ist

Das Hasso-Plattner-Institut ist eine wissenschaftliche Einrichtung ohne kommerzielle Interessen. Ihre E-Mail-Adresse wird ausschließlich für die Abfrage genutzt und der Bericht per E-Mail zugestellt, nicht direkt im Browser angezeigt – so wird sichergestellt, dass niemand fremde Adressen abfragen kann.

Weitere Informationen zu Ihren Datenschutzrechten finden Sie in unserem Beitrag DSGVO in Österreich: Ihre Rechte als Betroffene:r 2026, der auch für Deutschland relevante Prinzipien erklärt.

Was tun, wenn Ihr Passwort geleakt wurde?

Wenn ein Prüfdienst meldet, dass Ihre Zugangsdaten kompromittiert sind, sollten Sie schnell und systematisch reagieren. Zeit ist der entscheidende Faktor – Kriminelle testen geleakte Kombinationen oft innerhalb weniger Stunden.

Sofortmaßnahmen in 6 Schritten

Passwort sofort ändern: Beginnen Sie mit dem betroffenen Dienst und wechseln Sie das Passwort auf einer starken, einzigartigen Zeichenkette.
Andere Konten mit demselben Passwort ändern: Falls Sie das Passwort mehrfach verwendet haben, ändern Sie es überall. Credential-Stuffing zielt genau darauf ab.
Zwei-Faktor-Authentifizierung (2FA) aktivieren: Nutzen Sie eine Authenticator-App (Aegis, Google Authenticator) oder Sicherheitsschlüssel wie YubiKey.
Aktive Sitzungen beenden: Die meisten Dienste bieten die Option „Aus allen Geräten abmelden“ – nutzen Sie diese.
Kontobewegungen prüfen: Kontrollieren Sie Bank-, PayPal- und Shopping-Konten auf ungewöhnliche Aktivitäten.
Anzeige erstatten: Bei nachweisbarem Missbrauch (Identitätsdiebstahl, betrügerische Bestellungen) erstatten Sie Anzeige bei der Polizei und melden Sie den Vorfall gegebenenfalls der BfDI.

Wenn E-Mail-Konto oder Bankkonto betroffen sind

Ihr E-Mail-Konto ist der Generalschlüssel zu Ihrer digitalen Identität – über die „Passwort vergessen“-Funktion können Angreifer nahezu alle anderen Konten übernehmen. Reagieren Sie hier sofort und informieren Sie im Zweifel auch Ihre Bank, um Konten sperren zu lassen.

So schützen Sie sich langfristig vor Passwort-Leaks

Prävention ist besser als Reparatur. Mit einigen Grundregeln reduzieren Sie das Risiko drastisch – selbst wenn ein Dienst gehackt wird.

1. Einzigartiges Passwort für jeden Dienst

Die goldene Regel: Kein Passwort zweimal verwenden. So bleibt der Schaden bei einem Leak auf ein einziges Konto begrenzt.

2. Passwort-Manager nutzen

Manuell dutzende einzigartige Passwörter zu merken, ist unrealistisch. Nutzen Sie einen Passwort-Manager wie Bitwarden, KeePassXC oder 1Password. Diese generieren zufällige starke Passwörter und speichern sie verschlüsselt.

3. Zwei-Faktor-Authentifizierung überall aktivieren

Selbst wenn ein Passwort geleakt wird, schützt 2FA Ihr Konto. Nutzen Sie App-basierte Verfahren statt SMS, da SIM-Swapping-Angriffe SMS-Codes abfangen können.

4. Starke Passwörter bauen

Ein sicheres Passwort hat mindestens 16 Zeichen und kombiniert Groß-/Kleinbuchstaben, Zahlen und Sonderzeichen. Alternativ funktionieren Passphrasen aus vier bis fünf zufälligen Wörtern („Kaktus-Gitarre-Nebel-Zebra-42“).

5. E-Mail-Aliase verwenden

Statt Ihre Haupt-E-Mail überall zu nutzen, erstellen Sie mit Diensten wie SimpleLogin oder Addy.io individuelle Aliase pro Dienst. So können Sie bei einem Leak den Absender identifizieren und den Alias einfach deaktivieren.

6. Sichere Links teilen

Wenn Sie Links weitergeben, nutzen Sie einen datenschutzfreundlichen URL-Verkürzer. Lunyb bietet DSGVO-konformes Link-Shortening ohne Tracking – ideal für den privaten und beruflichen Austausch, ohne unnötig Metadaten preiszugeben.

Passwort-Leaks im Unternehmenskontext

Für Unternehmen sind kompromittierte Mitarbeiter-Zugangsdaten oft der Einstiegspunkt für Ransomware-Angriffe. Laut Verizon Data Breach Investigations Report basieren über 80 % aller Angriffe auf gestohlenen oder schwachen Zugangsdaten.

Empfehlungen für KMU

Implementieren Sie einen zentralen Passwort-Manager für Teams.
Erzwingen Sie 2FA für alle Business-Konten (Microsoft 365, Google Workspace).
Nutzen Sie einen Monitoring-Dienst wie HIBP Domain Search, um alle Firmen-E-Mails automatisch überwachen zu lassen.
Schulen Sie Mitarbeitende regelmäßig zu Phishing und sicherer Passwortnutzung.

Mehr Praxisempfehlungen finden Sie in unserem Leitfaden Cybersicherheit für KMU 2026, dessen Prinzipien auch für deutsche Unternehmen gelten.

Warnsignale: Wurde Ihr Konto bereits missbraucht?

Manchmal merken Betroffene erst spät, dass ihr Konto übernommen wurde. Achten Sie auf diese Anzeichen:

Unbekannte Login-Benachrichtigungen aus fremden Ländern.
Passwort-Zurücksetzungs-Mails, die Sie nicht angefordert haben.
Freunde melden, dass Sie ihnen seltsame Nachrichten geschickt hätten.
Käufe oder Bestellungen, die nicht von Ihnen stammen.
Neue, unbekannte Weiterleitungsregeln in Ihrem E-Mail-Postfach.
Verdächtige Anrufe – wie Sie eine Betrugsnummer melden, erfahren Sie in unserem Ratgeber.

Häufig gestellte Fragen (FAQ)

Ist es sicher, meine E-Mail-Adresse bei einem Leak-Checker einzugeben?

Ja, bei seriösen Diensten wie dem HPI Identity Leak Checker oder Have I Been Pwned. Diese speichern Ihre Adresse nicht dauerhaft und verkaufen sie nicht weiter. Der HPI-Dienst sendet das Ergebnis sogar per E-Mail, damit niemand fremde Adressen abfragen kann.

Wie oft sollte ich prüfen, ob mein Passwort geleakt wurde?

Wir empfehlen mindestens alle drei Monate eine manuelle Prüfung. Noch besser: Aktivieren Sie Benachrichtigungen bei Have I Been Pwned oder Mozilla Monitor, um bei neuen Leaks automatisch informiert zu werden.

Mein Passwort taucht in keinem Leak auf – bin ich sicher?

Nicht zwingend. Es gibt viele private Leaks, die nicht in öffentlichen Datenbanken landen. Nutzen Sie trotzdem einzigartige Passwörter und 2FA. Kein Prüfdienst kann eine 100%ige Garantie geben.

Was ist der Unterschied zwischen einem Datenleck und einem Hackerangriff?

Ein Datenleck (Data Breach) ist die konkrete Offenlegung von Daten – Ursache kann ein Hackerangriff, eine Fehlkonfiguration, ein Insider oder verlorene Datenträger sein. Der Hackerangriff ist eine mögliche Ursache; das Leak ist das Ergebnis.

Muss ein Unternehmen mich informieren, wenn meine Daten geleakt wurden?

Ja, gemäß Art. 34 DSGVO müssen Unternehmen betroffene Personen unverzüglich informieren, wenn ein hohes Risiko für ihre Rechte und Freiheiten besteht. Falls dies unterlassen wurde, können Sie eine Beschwerde bei der BfDI oder Ihrer Landesdatenschutzbehörde einreichen.

Fazit

Ihr Passwort geleakt prüfen dauert weniger als fünf Minuten – der potenzielle Schaden durch Nichtstun kann aber Jahre nachwirken. Nutzen Sie regelmäßig den HPI Identity Leak Checker und Have I Been Pwned, aktivieren Sie überall Zwei-Faktor-Authentifizierung und setzen Sie auf einen Passwort-Manager. Wenn Sie diese vier Bausteine kombinieren, sind Sie besser geschützt als 95 % aller Internetnutzer – auch wenn der nächste große Breach garantiert kommt.