Wurde Mein Passwort Geleakt? So Prüfen Sie es Sicher 2026

Jeden Tag werden weltweit Millionen von Zugangsdaten durch Datenlecks kompromittiert. Nach Angaben des Bundesamts für Sicherheit in der Informationstechnik (BSI) sind auch Millionen deutscher Nutzer betroffen, oft ohne es zu wissen. In diesem umfassenden Leitfaden erfahren Sie, wie Sie zuverlässig prüfen können, ob Ihr Passwort geleakt wurde, welche Tools sicher sind und welche Sofortmaßnahmen im Ernstfall notwendig sind.

Was bedeutet ein "geleaktes Passwort"?

Ein geleaktes Passwort ist ein Zugangscode, der durch einen Datendiebstahl, ein Hackerangriff oder eine unsichere Datenbank in die Hände Unbefugter gelangt ist. Diese Passwörter werden häufig in großen Sammlungen (sogenannten "Combo-Lists") im Darknet gehandelt oder in Hackerforen frei veröffentlicht.

Sobald ein Passwort in einer solchen Datenbank auftaucht, gilt es als kompromittiert – auch wenn Sie persönlich keine verdächtigen Aktivitäten bemerken. Cyberkriminelle nutzen automatisierte Angriffe (Credential Stuffing), um geleakte Kombinationen aus E-Mail-Adresse und Passwort systematisch bei Hunderten von Diensten auszuprobieren.

Häufige Ursachen für Passwort-Leaks

Datenbank-Hacks: Angreifer verschaffen sich Zugang zu Serverdatenbanken großer Anbieter (z. B. LinkedIn, Adobe, Dropbox in der Vergangenheit).
Phishing-Angriffe: Nutzer geben ihre Zugangsdaten auf gefälschten Websites ein.
Malware und Keylogger: Schadsoftware zeichnet Tastatureingaben auf.
Unsichere Speicherung: Unternehmen speichern Passwörter im Klartext oder mit veralteter Verschlüsselung.
Insider-Bedrohungen: Mitarbeiter mit Zugriff auf sensible Daten missbrauchen ihre Position.

Warum sollten Sie regelmäßig prüfen, ob Ihr Passwort geleakt wurde?

Die Konsequenzen eines geleakten Passworts können weitreichend sein: von Identitätsdiebstahl über finanziellen Schaden bis hin zur Übernahme Ihrer sozialen Medien. Besonders kritisch ist die weit verbreitete Praxis der Passwort-Wiederverwendung. Wenn Sie dasselbe Passwort für mehrere Dienste nutzen, öffnet ein einziges Leak Angreifern die Tür zu allen anderen Konten.

Laut aktuellen Studien verwenden über 60 % der Nutzer Passwörter mehrfach. Ein rechtzeitiges Erkennen eines Leaks kann Sie vor erheblichen Schäden bewahren. Für Unternehmen gelten zudem gesetzliche Meldepflichten nach der DSGVO – erfahren Sie mehr in unserem Leitfaden zum Datenschutz für Unternehmen.

Die besten Tools, um Ihr Passwort zu prüfen

Es gibt mehrere seriöse und kostenlose Dienste, mit denen Sie prüfen können, ob Ihre E-Mail-Adresse oder Ihr Passwort in bekannten Datenlecks aufgetaucht ist. Wir stellen die vertrauenswürdigsten Optionen vor.

1. Have I Been Pwned (haveibeenpwned.com)

Der bekannteste Dienst wurde vom australischen Sicherheitsforscher Troy Hunt entwickelt und enthält Daten aus über 12 Milliarden kompromittierten Konten. Sie geben lediglich Ihre E-Mail-Adresse ein und erhalten sofort eine Übersicht der Datenlecks, in denen Ihre Adresse aufgetaucht ist.

Vorteile: Kostenlos, seriös, keine Speicherung Ihrer Anfragen, Benachrichtigungsdienst bei neuen Leaks.

2. HPI Identity Leak Checker

Das Hasso-Plattner-Institut (HPI) der Universität Potsdam bietet einen deutschsprachigen Dienst, der besonders für Nutzer in Deutschland empfehlenswert ist. Nach Eingabe Ihrer E-Mail-Adresse erhalten Sie eine detaillierte Analyse per E-Mail.

Vorteile: DSGVO-konform, deutsche Datenschutzstandards, wissenschaftlich fundiert.

3. Firefox Monitor / Mozilla Monitor

Mozilla nutzt die Datenbank von Have I Been Pwned und bietet eine benutzerfreundliche Oberfläche mit kontinuierlicher Überwachung.

4. Google Passwort-Check

Wenn Sie den Google Passwort-Manager nutzen, prüft Google automatisch, ob Ihre gespeicherten Passwörter in bekannten Leaks vorkommen. Zu finden unter passwords.google.com.

Vergleich der Prüf-Tools

Tool	Sprache	DSGVO-Standort	Passwort-Prüfung	Benachrichtigung	Kosten
Have I Been Pwned	Englisch	Australien	Ja (anonymisiert)	Ja	Kostenlos
HPI Identity Leak Checker	Deutsch	Deutschland	Nein (nur E-Mail)	Nein	Kostenlos
Mozilla Monitor	Mehrsprachig	USA	Nein	Ja	Kostenlos / Premium
Google Passwort-Check	Deutsch	USA	Ja	Ja	Kostenlos

Schritt-für-Schritt-Anleitung: Passwort geleakt prüfen

Folgen Sie dieser sicheren Vorgehensweise, um Ihre Zugangsdaten zu überprüfen:

Öffnen Sie einen vertrauenswürdigen Browser mit aktuellem Sicherheitsupdate. Vermeiden Sie öffentliche Computer.
Rufen Sie eine seriöse Prüfseite auf, etwa haveibeenpwned.com oder sec.hpi.de/ilc.
Geben Sie Ihre E-Mail-Adresse ein – niemals Ihr tatsächliches Passwort auf unbekannten Seiten.
Analysieren Sie die Ergebnisse: Welche Dienste sind betroffen? Wann fand das Leak statt? Welche Daten wurden kompromittiert?
Prüfen Sie zusätzlich Ihre Passwörter mit dem Have I Been Pwned Password-Check (nutzt sichere k-Anonymität – Ihr Passwort verlässt nie vollständig Ihren Browser).
Wiederholen Sie den Vorgang für alle Ihre E-Mail-Adressen, auch alte oder selten genutzte.
Aktivieren Sie den Benachrichtigungsdienst, um bei zukünftigen Leaks automatisch informiert zu werden.

Ist es sicher, mein Passwort auf diesen Seiten einzugeben?

Bei seriösen Anbietern wie Have I Been Pwned ja – dank eines Verfahrens namens k-Anonymität. Dabei wird nur ein Teilhash Ihres Passworts an den Server gesendet, sodass das eigentliche Passwort niemals übertragen wird. Trotzdem gilt: Geben Sie Passwörter nur auf Seiten ein, denen Sie vollständig vertrauen.

Was tun, wenn Ihr Passwort geleakt wurde?

Wenn die Prüfung ergibt, dass Ihr Passwort kompromittiert wurde, sollten Sie sofort handeln. Zeit ist bei Datenlecks der wichtigste Faktor.

Sofortmaßnahmen (innerhalb der ersten 24 Stunden)

Passwort sofort ändern: Beginnen Sie mit dem betroffenen Dienst und arbeiten Sie sich zu allen Konten vor, bei denen Sie das gleiche Passwort verwendet haben.
Zwei-Faktor-Authentifizierung (2FA) aktivieren: Nutzen Sie App-basierte Verfahren (z. B. Authy, Google Authenticator) statt SMS.
Aktive Sitzungen abmelden: Die meisten Dienste bieten die Option, sich von allen Geräten abzumelden.
Verknüpfte Konten prüfen: Kontrollieren Sie, welche Apps und Dienste Zugriff auf Ihr Konto haben.
Kontoauszüge und Aktivitäten kontrollieren: Prüfen Sie Bankkonten, PayPal und andere Finanzdienste auf unbekannte Transaktionen.

Mittelfristige Maßnahmen

Installieren Sie einen Passwort-Manager (z. B. Bitwarden, KeePass, 1Password), um für jeden Dienst einzigartige Passwörter zu generieren.
Führen Sie einen Sicherheits-Audit aller Ihrer Online-Konten durch.
Aktualisieren Sie Ihre Wiederherstellungsoptionen (Telefonnummer, Backup-E-Mail).
Melden Sie verdächtige Aktivitäten an die Polizei und ggf. an die zuständige Datenschutzbehörde.

Starke Passwörter erstellen und verwalten

Ein starkes Passwort ist Ihre erste Verteidigungslinie. Es sollte mindestens 12 Zeichen lang sein und Groß- und Kleinbuchstaben, Zahlen sowie Sonderzeichen enthalten. Noch besser sind sogenannte Passphrasen – lange, aber merkbare Sätze wie "Mein-Hund-Bello-liebt-3-Knochen-täglich!".

Regeln für sichere Passwörter

Mindestens 12–16 Zeichen Länge
Keine persönlichen Informationen (Geburtsdatum, Namen)
Kein Wort aus dem Wörterbuch ohne Modifikation
Für jeden Dienst ein einzigartiges Passwort
Regelmäßige Änderung bei sensiblen Konten (Banking, E-Mail)
Speicherung ausschließlich in einem verschlüsselten Passwort-Manager

Warum Passwort-Manager unverzichtbar sind

Ein Passwort-Manager generiert, speichert und verwaltet Ihre Zugangsdaten sicher verschlüsselt. Sie müssen sich nur noch ein einziges Master-Passwort merken. Führende Lösungen bieten zudem automatische Warnungen bei bekannten Datenlecks.

Zusätzliche Schutzmaßnahmen für Ihre Online-Sicherheit

Neben starken Passwörtern gibt es weitere Maßnahmen, mit denen Sie Ihre digitale Identität schützen können:

Zwei-Faktor-Authentifizierung (2FA)

Selbst wenn Ihr Passwort geleakt wird, verhindert 2FA den unbefugten Zugriff. Verwenden Sie App-basierte Verfahren oder Hardware-Token (z. B. YubiKey) statt SMS-Codes, die durch SIM-Swapping abgefangen werden können.

Sichere DNS-Auflösung und Browser

Nutzen Sie verschlüsselte DNS-Dienste (DNS-over-HTTPS) und datenschutzfreundliche Browser wie Firefox oder Brave. Diese verhindern, dass Ihre Anfragen abgehört oder manipuliert werden.

Aufmerksamkeit gegenüber Phishing

Prüfen Sie verdächtige Links immer sorgfältig, bevor Sie darauf klicken. Dienste wie Lunyb bieten nicht nur Link-Verkürzung, sondern auch Sicherheitsfunktionen zur Prüfung von Ziel-URLs – hilfreich, um Phishing-Fallen zu erkennen. Wenn Sie eine Betrugsnummer oder verdächtige Kontaktaufnahme erhalten haben, hilft Ihnen unser Leitfaden zum Melden einer Betrugsnummer weiter.

Regelmäßige Sicherheitsupdates

Halten Sie Betriebssystem, Browser und alle Anwendungen stets auf dem neuesten Stand. Viele Angriffe nutzen bekannte, aber ungepatchte Sicherheitslücken aus.

Rechtliche Aspekte: DSGVO und Datenlecks

Nach Artikel 33 und 34 der DSGVO sind Unternehmen verpflichtet, Datenpannen innerhalb von 72 Stunden an die zuständige Aufsichtsbehörde (in Deutschland der BfDI oder die Landesdatenschutzbehörden) zu melden. Betroffene Personen müssen ebenfalls informiert werden, wenn ein hohes Risiko für ihre Rechte besteht.

Als Betroffener eines Datenlecks haben Sie umfangreiche Rechte, darunter Auskunft, Löschung und ggf. Schadenersatz. Mehr Informationen zu Ihren Rechten finden Sie in unserem Artikel zur DSGVO und Ihren Rechten als Betroffener. Für Unternehmen ist das Thema besonders relevant – unser Leitfaden zur Cybersicherheit für KMU bietet praxisnahe Anleitungen.

Vor- und Nachteile der Online-Passwortprüfung

Vorteile

Schnelle Identifikation kompromittierter Zugangsdaten
Kostenlose, seriöse Tools verfügbar
Frühzeitige Warnung ermöglicht Schadensbegrenzung
Sensibilisierung für sichere Passwortpraktiken
Kontinuierliche Überwachung durch Benachrichtigungsdienste

Nachteile

Nicht alle Datenlecks sind öffentlich bekannt
Vertrauen in externe Dienste erforderlich
Bei unseriösen Anbietern besteht das Risiko einer weiteren Datensammlung
Prüfung ersetzt nicht grundlegende Sicherheitspraktiken

FAQ – Häufig gestellte Fragen

Wie oft sollte ich prüfen, ob mein Passwort geleakt wurde?

Idealerweise alle drei Monate manuell und zusätzlich über einen Benachrichtigungsdienst wie Have I Been Pwned oder Mozilla Monitor, der Sie automatisch bei neuen Leaks informiert. Nach großen bekannten Datenpannen sollten Sie sofort prüfen.

Ist es gefährlich, meine E-Mail-Adresse in Leak-Checker einzugeben?

Bei seriösen Diensten wie dem HPI Identity Leak Checker oder Have I Been Pwned ist die Eingabe sicher. Diese speichern Ihre Anfrage nicht und arbeiten nach hohen Datenschutzstandards. Vermeiden Sie jedoch unbekannte Websites, die möglicherweise selbst Daten sammeln.

Was passiert, wenn ich mein Passwort nicht ändere, obwohl es geleakt wurde?

Sie riskieren die Übernahme Ihres Kontos durch Cyberkriminelle. Über automatisierte Angriffe (Credential Stuffing) werden geleakte Zugangsdaten bei Tausenden von Diensten getestet. Insbesondere wenn Sie Passwörter mehrfach verwenden, sind alle Konten mit derselben Kombination gefährdet.

Reicht ein einziges starkes Passwort für alle Dienste aus?

Nein. Auch das stärkste Passwort ist unsicher, wenn Sie es mehrfach verwenden. Ein einziges Datenleak bei einem Dienst kompromittiert dann all Ihre Konten. Nutzen Sie einen Passwort-Manager, um für jeden Dienst ein einzigartiges, starkes Passwort zu erstellen.

Muss mich mein Anbieter über ein Datenleck informieren?

Ja, gemäß Artikel 34 DSGVO müssen Unternehmen betroffene Personen informieren, wenn ein Datenleck ein hohes Risiko für deren Rechte und Freiheiten darstellt. Bei Verstößen können empfindliche Bußgelder verhängt werden. Wenn Sie den Verdacht haben, nicht informiert worden zu sein, können Sie sich an die zuständige Datenschutzbehörde wenden.

Fazit

Die regelmäßige Prüfung, ob Ihr Passwort geleakt wurde, ist ein wesentlicher Bestandteil moderner Online-Sicherheit. Nutzen Sie seriöse Tools wie Have I Been Pwned oder den HPI Identity Leak Checker, kombinieren Sie dies mit einem Passwort-Manager und aktivieren Sie überall wo möglich die Zwei-Faktor-Authentifizierung. So minimieren Sie das Risiko eines Identitätsdiebstahls erheblich und schützen Ihre digitale Identität nachhaltig.

Denken Sie daran: Cybersicherheit ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess. Bleiben Sie aufmerksam, aktualisieren Sie Ihre Sicherheitsmaßnahmen regelmäßig und lassen Sie sich bei neuen Leaks proaktiv benachrichtigen.