Wurde Mein Passwort Geleakt? So Prüfen Sie es Sicher 2026

Jeden Tag werden Millionen Zugangsdaten durch Hackerangriffe, Datenpannen und Phishing-Kampagnen offengelegt. Das deutsche Bundeskriminalamt verzeichnete allein im vergangenen Jahr einen erheblichen Anstieg an Identitätsdiebstahl-Fällen – und in den meisten dieser Fälle standen kompromittierte Passwörter am Anfang der Angriffskette. Doch wie finden Sie heraus, ob auch Ihre Zugangsdaten betroffen sind? In diesem Leitfaden zeigen wir Ihnen, wie Sie zuverlässig prüfen können, ob Ihr Passwort geleakt wurde, und welche Schritte Sie anschließend unternehmen sollten.

Was bedeutet es, wenn ein Passwort geleakt wurde?

Ein geleaktes Passwort ist ein Kennwort, das durch ein Datenleck, einen Hackerangriff oder eine Sicherheitslücke in die Hände unbefugter Dritter gelangt ist und typischerweise in öffentlich zugänglichen oder im Darknet gehandelten Datenbanken auftaucht. Solche Datenbanken enthalten oft Milliarden Kombinationen aus E-Mail-Adressen und zugehörigen Passwörtern.

Sobald Ihre Zugangsdaten in einem solchen Leak enthalten sind, nutzen Angreifer sie häufig für sogenannte Credential-Stuffing-Angriffe: Sie testen die geleakte Kombination automatisiert auf tausenden anderen Diensten – von E-Mail-Postfächern über Online-Banking bis hin zu sozialen Netzwerken. Verwenden Sie dasselbe Passwort mehrfach, ist das Risiko besonders hoch.

Typische Ursachen für Passwortleaks

Datenpannen bei Unternehmen: Große Dienste wie LinkedIn, Dropbox oder Adobe wurden in der Vergangenheit Opfer massiver Hackerangriffe.
Phishing-Angriffe: Nutzer geben ihre Daten unwissentlich auf gefälschten Webseiten ein.
Malware und Infostealer: Schadsoftware liest Passwörter direkt aus Browsern oder Passwortmanagern aus.
Unsichere Speicherung: Unternehmen speichern Passwörter unverschlüsselt oder mit veralteten Hash-Verfahren.

Warum Sie regelmäßig prüfen sollten, ob Ihr Passwort geleakt wurde

Viele Betroffene erfahren erst Monate oder sogar Jahre nach einem Leak davon – wenn überhaupt. Nach Artikel 34 DSGVO sind Unternehmen zwar verpflichtet, Betroffene bei Datenpannen mit hohem Risiko zu informieren, in der Praxis wird diese Pflicht jedoch häufig verzögert oder gar nicht erfüllt. Eine proaktive Prüfung ist daher unverzichtbar.

Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) empfiehlt ausdrücklich, Zugangsdaten regelmäßig auf Kompromittierung zu überprüfen und zumindest einmal pro Jahr die wichtigsten Passwörter zu wechseln. Besonders Konten mit Finanzzugang, E-Mail-Postfächer und Cloud-Speicher verdienen erhöhte Aufmerksamkeit.

Warnsignale, die auf einen Leak hindeuten

Ungewöhnliche Login-Versuche aus fremden Ländern in Ihren Konten.
Benachrichtigungen über Passwortänderungen, die Sie nicht veranlasst haben.
Plötzlich stark zunehmender Spam oder Phishing-Mails.
Freunde oder Kollegen melden merkwürdige Nachrichten von Ihren Konten.
Abbuchungen oder Käufe, die Sie nicht autorisiert haben.

Passwort geleakt prüfen: Die 5 besten Methoden

Es gibt mehrere zuverlässige Dienste, mit denen Sie prüfen können, ob Ihre E-Mail-Adresse oder Ihr Passwort in einem bekannten Datenleck auftaucht. Alle vorgestellten Werkzeuge arbeiten datenschutzkonform und speichern Ihre Eingaben nicht im Klartext.

1. HPI Identity Leak Checker (empfohlen)

Der Identity Leak Checker des Hasso-Plattner-Instituts ist für deutsche Nutzer besonders empfehlenswert, da er in Deutschland gehostet wird und der DSGVO unterliegt. Sie geben lediglich Ihre E-Mail-Adresse ein und erhalten das Ergebnis per E-Mail – ohne dass Ihre Daten weitergegeben werden.

Rufen Sie sec.hpi.de/ilc auf.
Geben Sie Ihre E-Mail-Adresse in das Formular ein.
Bestätigen Sie die Anfrage per Klick auf "Prüfen".
Warten Sie auf die Ergebnismail mit Details zu betroffenen Konten.

2. Have I Been Pwned

Der international bekannte Dienst Have I Been Pwned (haveibeenpwned.com) betreibt die größte öffentliche Datenbank bekannter Leaks mit über 12 Milliarden Einträgen. Zusätzlich lässt sich dort auch direkt ein Passwort prüfen – die Eingabe wird dabei lokal gehasht, sodass das Passwort nie im Klartext übertragen wird.

3. Firefox Monitor und Google Password Checkup

Sowohl Mozilla als auch Google integrieren Leak-Prüfungen direkt in ihre Browser. Melden Sie sich in Chrome oder Firefox mit Ihrem Konto an, prüfen diese Dienste gespeicherte Passwörter automatisch gegen bekannte Datenbanken und warnen Sie bei Übereinstimmungen.

4. Passwortmanager mit integriertem Leak-Monitoring

Moderne Passwortmanager wie Bitwarden, 1Password oder KeePassXC mit entsprechenden Plugins bieten eingebaute Prüfungen aller gespeicherten Zugangsdaten. Der große Vorteil: Sie erhalten eine konsolidierte Übersicht über alle potenziell kompromittierten Konten.

5. Watchlists bei E-Mail-Anbietern

Viele deutsche E-Mail-Anbieter wie mailbox.org oder Posteo bieten eigene Benachrichtigungsdienste an, die Sie informieren, sobald Ihre Adresse in einem neuen Leak auftaucht. Diese sind besonders praktisch, da Sie keine aktive Prüfung starten müssen.

Vergleich: Die wichtigsten Leak-Check-Dienste im Überblick

Dienst	Serverstandort	Passwortprüfung	Kostenlos	Besonderheit
HPI Identity Leak Checker	Deutschland	Nein (nur E-Mail)	Ja	DSGVO-konform, Universitätsprojekt
Have I Been Pwned	Australien/Cloudflare	Ja (gehasht)	Ja	Größte Datenbank weltweit
Firefox Monitor	USA	Automatisch	Ja	Integration im Browser
Google Password Checkup	USA/EU	Ja (gehasht)	Ja	Prüft alle Chrome-Passwörter
Bitwarden Watchtower	USA/EU-Option	Ja	Teils (Premium)	Komplette Portfolio-Analyse

Schritt-für-Schritt: So prüfen Sie Ihre Passwörter richtig

Eine systematische Prüfung dauert nur wenige Minuten, verschafft Ihnen aber erhebliche Sicherheit. Gehen Sie dabei wie folgt vor:

Liste erstellen: Notieren Sie alle E-Mail-Adressen, die Sie regelmäßig für Online-Konten verwenden – auch alte oder selten genutzte.
Primäre Prüfung durchführen: Testen Sie jede Adresse beim HPI Identity Leak Checker und bei Have I Been Pwned.
Passwörter einzeln prüfen: Nutzen Sie die Passwortprüfung bei Have I Been Pwned für die wichtigsten Kennwörter.
Browserprüfung aktivieren: Schalten Sie den Passwort-Check in Chrome, Firefox oder Edge ein.
Monitoring einrichten: Abonnieren Sie Benachrichtigungen, um bei neuen Leaks automatisch informiert zu werden.
Ergebnisse dokumentieren: Erstellen Sie eine Liste aller betroffenen Konten für die anschließende Bereinigung.

Was tun, wenn Ihr Passwort geleakt wurde?

Wenn die Prüfung ergibt, dass eines Ihrer Passwörter tatsächlich kompromittiert ist, besteht Handlungsbedarf. Panik ist jedoch nicht nötig – mit den folgenden Schritten begrenzen Sie den Schaden effektiv.

Sofortmaßnahmen nach einem Leak

Passwort umgehend ändern: Beginnen Sie mit dem betroffenen Konto und wechseln Sie zu einem starken, einzigartigen Kennwort.
Alle Konten mit identischem Passwort aktualisieren: Nutzen Sie das kompromittierte Passwort nirgendwo mehr.
Zwei-Faktor-Authentifizierung aktivieren: Diese zusätzliche Sicherheitsebene schützt auch dann, wenn ein Passwort bekannt ist.
Aktive Sitzungen beenden: Melden Sie sich in den Kontoeinstellungen von allen Geräten ab.
Kontobewegungen prüfen: Kontrollieren Sie Finanzkonten, gesendete E-Mails und Kontaktlisten auf unbefugte Aktivitäten.
Hinterlegte Daten überprüfen: Prüfen Sie Zahlungsmethoden, Lieferadressen und Weiterleitungsregeln in E-Mail-Konten.

Mittel- und langfristige Maßnahmen

Nutzen Sie einen seriösen Passwortmanager, der für jedes Konto ein individuelles, zufällig generiertes Passwort erstellt. Deaktivieren oder löschen Sie nicht mehr benötigte Online-Konten, da jedes aktive Konto ein potenzielles Einfallstor darstellt. Weitere Hinweise zur Minimierung Ihres Online-Risikos finden Sie in unserem Leitfaden zum digitalen Fußabdruck.

Starke Passwörter erstellen: Die wichtigsten Regeln

Ein starkes Passwort ist die erste und wichtigste Verteidigungslinie. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt folgende Grundsätze:

Mindestlänge von 12 Zeichen – besser 16 oder mehr.
Kombination aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen.
Keine persönlichen Informationen wie Namen, Geburtsdaten oder Haustiernamen.
Keine Wiederverwendung von Passwörtern über mehrere Dienste hinweg.
Passphrasen statt Einzelwörtern: "Blauer-Elefant-Tanzt-Im-Regen-2026!" ist leichter zu merken und sehr sicher.

Vermeiden Sie unbedingt die weiterhin häufig genutzten Klassiker wie "123456", "password", "qwertz" oder den eigenen Vornamen. Solche Passwörter werden in Sekunden geknackt.

Phishing erkennen und vermeiden

Selbst das stärkste Passwort nützt wenig, wenn Sie es auf einer gefälschten Webseite eingeben. Phishing bleibt eine der häufigsten Ursachen für Datenlecks auf Nutzerseite. Prüfen Sie bei jeder Anmeldung sorgfältig die URL und achten Sie auf Rechtschreibfehler, ungewöhnliche Domains oder fehlende Verschlüsselung.

Seien Sie besonders vorsichtig bei verkürzten Links in E-Mails und Nachrichten, da diese das eigentliche Ziel verschleiern. Nutzen Sie bei eigenen Links einen vertrauenswürdigen und transparenten Kurz-URL-Dienst wie Lunyb, der klare Linkvorschauen und Sicherheitsprüfungen bietet. Weitere Informationen zum sicheren Umgang mit Kurz-URLs finden Sie in unserer Anleitung zum URL-Kürzen.

Erhalten Sie verdächtige Anrufe im Zusammenhang mit vermeintlichen Sicherheitsvorfällen, hilft Ihnen unser Leitfaden Betrugs-Telefonnummer erkennen dabei, Täuschungsversuche zu durchschauen. Diese sollten Sie anschließend bei den zuständigen Stellen melden.

Besondere Verantwortung für Unternehmen

Für Unternehmen gelten verschärfte Anforderungen. Nach der DSGVO müssen geeignete technische und organisatorische Maßnahmen (TOM) ergriffen werden, um Mitarbeiterzugangsdaten zu schützen. Dazu gehören:

Verpflichtende Zwei-Faktor-Authentifizierung für alle Mitarbeiterkonten.
Zentrales Monitoring auf kompromittierte Zugangsdaten.
Regelmäßige Sicherheitsschulungen für Mitarbeitende.
Dokumentierte Prozesse für den Umgang mit Datenpannen.
Meldung an die zuständige Datenschutzaufsichtsbehörde innerhalb von 72 Stunden.

Weitere Empfehlungen speziell für kleinere Betriebe finden Sie in unserem Leitfaden zur Cybersicherheit für KMU, dessen Grundsätze auch für deutsche Unternehmen weitgehend anwendbar sind.

Häufig gestellte Fragen (FAQ)

Ist es sicher, mein Passwort in einen Online-Checker einzugeben?

Seriöse Dienste wie Have I Been Pwned nutzen das sogenannte k-Anonymity-Verfahren: Dabei wird Ihr Passwort lokal in Ihrem Browser gehasht, und nur die ersten fünf Zeichen des Hashwerts werden an den Server übermittelt. Das vollständige Passwort verlässt also nie Ihr Gerät. Vermeiden Sie dennoch unbekannte Dienste, die eine Klartext-Eingabe verlangen.

Wie oft sollte ich meine Passwörter prüfen lassen?

Experten empfehlen eine aktive Prüfung alle drei bis sechs Monate. Zusätzlich sollten Sie Benachrichtigungsdienste abonnieren, die Sie automatisch informieren, sobald Ihre E-Mail-Adresse in einem neuen Leak auftaucht. Nach größeren öffentlichen Datenpannen ist eine außerplanmäßige Prüfung sinnvoll.

Was bedeutet es, wenn mein Passwort als „kompromittiert" angezeigt wird, ich es aber nirgends genutzt habe?

Das ist durchaus möglich – schwache oder gängige Passwörter wie "Sommer2024!" werden von vielen Nutzern parallel verwendet und tauchen deshalb in Leaks auf, auch wenn Ihr persönliches Konto nicht direkt betroffen ist. Ändern Sie das Passwort trotzdem, da Angreifer solche verbreiteten Kombinationen gezielt testen.

Reicht ein starkes Passwort allein für sichere Konten aus?

Nein. Selbst das stärkste Passwort kann durch Phishing, Malware oder Datenpannen bei Dienstanbietern kompromittiert werden. Die Kombination aus einem einzigartigen, starken Passwort und Zwei-Faktor-Authentifizierung bietet deutlich besseren Schutz. Zusätzlich sollten Sie Ihre Konten regelmäßig auf verdächtige Aktivitäten überprüfen.

Muss ich alle Passwörter sofort ändern, wenn eine E-Mail-Adresse in einem Leak auftaucht?

Nicht zwingend alle, aber Sie sollten alle Konten ändern, die mit dieser E-Mail-Adresse verknüpft sind und bei denen Sie das potenziell geleakte Passwort oder ähnliche Varianten verwenden. Priorisieren Sie dabei sicherheitskritische Konten wie E-Mail-Postfächer, Online-Banking, Cloud-Speicher und Social-Media-Konten.