Wurde Mein Passwort Geleakt? So Prüfen Sie es Richtig (2026)

Datenlecks gehören zu den größten Bedrohungen für die digitale Sicherheit in Deutschland. Jährlich werden Milliarden Zugangsdaten im Darknet gehandelt – und viele Nutzer wissen gar nicht, dass ihre Passwörter betroffen sind. Dieser Leitfaden zeigt Ihnen, wie Sie zuverlässig prüfen, ob Ihr Passwort geleakt wurde, welche Tools das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt und wie Sie sich wirksam schützen.

Was bedeutet ein geleaktes Passwort?

Ein geleaktes Passwort ist ein Zugangsdatensatz, der durch einen Datendiebstahl, ein Datenleck oder eine Sicherheitslücke in die Hände unbefugter Dritter gelangt ist. Diese Daten werden häufig in sogenannten "Breach-Datenbanken" gesammelt und im Darknet verkauft oder frei verteilt.

Typischerweise handelt es sich dabei um Kombinationen aus E-Mail-Adresse und Passwort, manchmal auch um Nutzernamen, Telefonnummern oder vollständige Profildaten. Sobald Ihre Zugangsdaten einmal öffentlich sind, versuchen Angreifer automatisiert, sich damit bei anderen Diensten anzumelden – ein Angriff, der als Credential Stuffing bekannt ist.

Warum Passwortlecks so gefährlich sind

• Identitätsdiebstahl: Angreifer können in Ihrem Namen Verträge abschließen oder Bestellungen tätigen.
• Finanzielle Schäden: Kompromittierte Online-Banking- oder Zahlungskonten können leergeräumt werden.
• Reputationsverlust: Social-Media-Konten werden für Spam, Betrug oder Rufmord missbraucht.
• Erpressung: Private E-Mails, Fotos oder Chats werden für Erpressungsversuche genutzt.

Woher kommen geleakte Passwörter?

Datenlecks entstehen auf verschiedenen Wegen. Das Verständnis der Quellen hilft, zukünftige Risiken besser einzuschätzen.

Die häufigsten Quellen für Datenlecks

1. Hacks bei großen Anbietern: Prominente Beispiele sind LinkedIn, Yahoo, Adobe oder Dropbox.
2. Phishing-Angriffe: Nutzer geben ihre Daten freiwillig auf gefälschten Websites ein.
3. Malware und Keylogger: Schadsoftware zeichnet Tastatureingaben auf dem Gerät auf.
4. Unsichere Datenbanken: Falsch konfigurierte Cloud-Server, die ohne Passwortschutz im Internet stehen.
5. Insider-Bedrohungen: Mitarbeiter mit Zugriff auf Kundendaten verkaufen diese weiter.

Wie prüfe ich, ob mein Passwort geleakt wurde?

Es gibt mehrere seriöse Tools, mit denen Sie kostenlos prüfen können, ob Ihre Zugangsdaten in einem bekannten Datenleck auftauchen. Alle folgenden Dienste arbeiten DSGVO-konform und senden Ihre Passwörter nicht im Klartext.

1. HPI Identity Leak Checker (empfohlen vom BSI)

Der Identity Leak Checker des Hasso-Plattner-Instituts (HPI) in Potsdam ist das von deutschen Behörden am häufigsten empfohlene Tool. Er wird vom Bundesamt für Sicherheit in der Informationstechnik (BSI) regelmäßig referenziert.

So funktioniert es:

1. Besuchen Sie sec.hpi.de/ilc.
2. Geben Sie Ihre E-Mail-Adresse ein.
3. Sie erhalten einen detaillierten Bericht per E-Mail – inklusive Angabe, welche Datentypen (Passwort, Adresse, Telefonnummer) betroffen sind.

Vorteil: Der HPI Leak Checker ist deutschsprachig, DSGVO-konform und wird von einer renommierten Forschungseinrichtung betrieben.

2. Have I Been Pwned (HIBP)

"Have I Been Pwned" (haveibeenpwned.com) ist der international bekannteste Dienst. Er wurde vom australischen Sicherheitsforscher Troy Hunt entwickelt und enthält über 12 Milliarden kompromittierte Datensätze.

Sie können hier sowohl E-Mail-Adressen als auch Telefonnummern prüfen. Für Passwörter gibt es eine separate Funktion namens "Pwned Passwords", die mittels sicherer Hash-Prüfung (k-Anonymität) arbeitet – Ihr tatsächliches Passwort verlässt niemals Ihren Browser.

3. Firefox Monitor / Mozilla Monitor

Mozilla bietet mit dem Monitor-Dienst eine benutzerfreundliche Oberfläche, die auf der HIBP-Datenbank basiert. Sie können sich sogar für automatische Benachrichtigungen bei zukünftigen Lecks registrieren.

4. Google Passwort-Check

Wenn Sie den Google Passwort-Manager verwenden, prüft Google automatisch alle gespeicherten Passwörter gegen bekannte Datenlecks. Rufen Sie passwords.google.com/checkup auf, um einen vollständigen Sicherheitsbericht zu erhalten.

Vergleich der wichtigsten Passwort-Prüftools

Tool	Betreiber	Sprache	Datenschutz	Besonderheit
HPI Identity Leak Checker	Hasso-Plattner-Institut (DE)	Deutsch	DSGVO-konform	Detaillierter Bericht per E-Mail
Have I Been Pwned	Troy Hunt (AU)	Englisch	Hash-basiert (k-Anonymität)	Größte Datenbank weltweit
Mozilla Monitor	Mozilla Foundation (US)	Deutsch verfügbar	Open Source	Automatische Alerts möglich
Google Passwort-Check	Google (US)	Deutsch	Verschlüsselter Hash-Abgleich	Integration in Chrome

Was tun, wenn mein Passwort geleakt wurde?

Wenn eine der Prüfungen ergibt, dass Ihre Daten kompromittiert sind, sollten Sie umgehend handeln. Jede Minute zählt, denn Angreifer nutzen frische Leaks oft innerhalb weniger Stunden aus.

Sofortmaßnahmen in 7 Schritten

1. Passwort beim betroffenen Dienst ändern: Verwenden Sie ein neues, einzigartiges Passwort mit mindestens 16 Zeichen.
2. Zwei-Faktor-Authentifizierung (2FA) aktivieren: Nutzen Sie Authenticator-Apps wie Aegis, Authy oder den Google Authenticator.
3. Gleiches Passwort überall ersetzen: Falls Sie das kompromittierte Passwort auch bei anderen Diensten verwenden, ändern Sie es dort sofort.
4. Konto-Aktivitäten prüfen: Kontrollieren Sie Login-Historie, verknüpfte Geräte und gesendete Nachrichten.
5. Zahlungsdaten überprüfen: Bei E-Commerce- oder Banking-Konten unbekannte Transaktionen melden.
6. E-Mail-Weiterleitungen kontrollieren: Angreifer richten oft heimliche Weiterleitungen ein, um Passwort-Reset-Mails abzufangen.
7. Freunde und Kontakte informieren: Besonders bei kompromittierten Social-Media- oder E-Mail-Konten, um Betrugsversuche zu verhindern.

Sichere Passwörter erstellen: Die Regeln 2026

Die Empfehlungen des BSI zur Passwortsicherheit haben sich in den letzten Jahren geändert. Statt komplizierter Zeichenfolgen stehen heute Länge und Einzigartigkeit im Vordergrund.

Aktuelle BSI-Empfehlungen

• Mindestlänge: 12 Zeichen für normale Konten, 16+ Zeichen für sensible Bereiche (Banking, E-Mail).
• Passphrasen statt Passwörter: Vier zufällige Wörter wie "Zebra-Kaffee-Mond-Fenster" sind leichter zu merken und sicherer als "P@ssw0rd!".
• Keine Wiederverwendung: Jedes Konto braucht ein eigenes Passwort.
• Keine persönlichen Informationen: Geburtsdaten, Namen von Haustieren oder Partnern sind leicht zu erraten.
• Passwortmanager nutzen: KeePassXC, Bitwarden oder 1Password generieren und speichern sichere Passwörter.

Empfohlene Passwortmanager im Vergleich

Manager	Preis	Open Source	Serverstandort	Empfehlung
KeePassXC	Kostenlos	Ja	Lokal (keine Cloud)	Für Datenschutz-Enthusiasten
Bitwarden	Kostenlos / 10 €/Jahr	Ja	EU-Option verfügbar	Beste Allround-Lösung
1Password	ca. 36 €/Jahr	Nein	Kanada / EU	Familien & Teams
Proton Pass	Kostenlos / Premium	Ja	Schweiz	Hohe Privatsphäre-Standards

Zwei-Faktor-Authentifizierung richtig einsetzen

Selbst das stärkste Passwort kann durch Phishing kompromittiert werden. Die Zwei-Faktor-Authentifizierung (2FA) bietet eine zusätzliche Sicherheitsebene, die Angreifer in den meisten Fällen stoppt.

Welche 2FA-Methoden sind sicher?

1. Hardware-Sicherheitsschlüssel (FIDO2/U2F): YubiKey oder Nitrokey bieten den höchsten Schutz.
2. Authenticator-Apps: Aegis (Android), Raivo (iOS) oder plattformübergreifend 2FAS.
3. Push-Benachrichtigungen: Microsoft Authenticator oder Duo Mobile.
4. SMS-Codes: Nur als letzte Option, da anfällig für SIM-Swapping-Angriffe.

Datenschutz-Rechte nach DSGVO bei Datenlecks

Als Betroffener eines Datenlecks haben Sie in Deutschland umfassende Rechte nach der Datenschutz-Grundverordnung (DSGVO). Unternehmen sind verpflichtet, Datenpannen innerhalb von 72 Stunden an die zuständige Aufsichtsbehörde zu melden.

Ihre Rechte als Betroffener

• Informationsrecht (Art. 34 DSGVO): Sie müssen bei hohem Risiko unverzüglich informiert werden.
• Auskunftsrecht (Art. 15 DSGVO): Sie können erfragen, welche Daten über Sie gespeichert sind.
• Löschungsrecht (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen.
• Schadensersatz (Art. 82 DSGVO): Bei Schäden durch unzureichenden Datenschutz haben Sie Anspruch auf Entschädigung.
• Beschwerderecht: Beim BfDI oder der zuständigen Landesdatenschutzbehörde.

Wenn Sie in Österreich oder der Schweiz betroffen sind, lesen Sie unsere ergänzenden Leitfäden zur Online-Privatsphäre in Österreich sowie zur EDÖB-Beschwerde in der Schweiz.

Phishing erkennen und vermeiden

Viele Passwortlecks entstehen nicht durch gehackte Server, sondern durch Phishing. Angreifer verschicken täuschend echte E-Mails oder SMS, die Nutzer auf gefälschte Login-Seiten locken.

Warnsignale für Phishing-Nachrichten

• Dringende Handlungsaufforderungen ("Ihr Konto wird in 24 Stunden gesperrt")
• Unpersönliche Anrede ("Sehr geehrter Kunde")
• Verdächtige Absenderadressen (z. B. support@amaz0n-service.com)
• Rechtschreib- und Grammatikfehler
• Links, die auf andere Domains als die beworbene führen

Prüfen Sie Links grundsätzlich vor dem Klick. Seriöse URL-Dienste wie Lunyb bieten Vorschau- und Scan-Funktionen, mit denen Sie das Ziel eines Kurzlinks sehen können, bevor Sie ihn öffnen. So vermeiden Sie den Besuch bösartiger Phishing-Seiten. Mehr dazu finden Sie in unserem Vergleich der URL-Kürzungsdienste 2026.

Proaktiver Schutz: So beugen Sie zukünftigen Lecks vor

Prävention ist besser als Nachsorge. Mit den folgenden Maßnahmen reduzieren Sie Ihr Risiko erheblich.

Checkliste für dauerhaften Passwortschutz

1. Monatlich prüfen: Nutzen Sie HPI Identity Leak Checker regelmäßig.
2. Passwortmanager einsetzen: Vermeiden Sie wiederverwendete Passwörter konsequent.
3. Alias-E-Mail-Adressen nutzen: Dienste wie SimpleLogin oder Proton Pass Aliase trennen Konten voneinander.
4. Software aktuell halten: Browser, Betriebssystem und Antivirus regelmäßig updaten.
5. Datensparsamkeit üben: Geben Sie nur die wirklich notwendigen Informationen preis.
6. Sichere DNS-Dienste nutzen: Verschlüsseltes DNS (DoH/DoT) über Anbieter wie Quad9 oder NextDNS blockiert bekannte Phishing-Domains.

Für umfassende Sicherheitsstrategien empfehlen wir unseren detaillierten Leitfaden Cybersicherheit 2026. Wenn Sie zudem vermehrt verdächtige Anrufe erhalten – ein Indiz für kompromittierte Daten – lesen Sie Betrugs-Telefonnummern erkennen.

Vor- und Nachteile der Online-Passwort-Checker

Vorteile

• Kostenlos und sofort verfügbar
• Große, aktuell gepflegte Datenbanken
• Benutzerfreundliche Oberflächen
• Benachrichtigungen bei neuen Lecks möglich
• DSGVO-konforme Anbieter verfügbar

Nachteile

• Nur bekannte Lecks werden erfasst – frische oder nicht veröffentlichte bleiben verborgen
• Prüfung nach Datenpanne ist reaktiv, nicht präventiv
• Bei US-amerikanischen Anbietern Datenschutz-Bedenken möglich
• Keine automatische Problemlösung – Sie müssen selbst handeln

Fazit: Prüfen, handeln, schützen

Die Prüfung, ob Ihr Passwort geleakt wurde, dauert nur wenige Minuten – kann aber jahrelangen Ärger ersparen. Nutzen Sie seriöse Tools wie den HPI Identity Leak Checker oder Have I Been Pwned, aktivieren Sie konsequent Zwei-Faktor-Authentifizierung und setzen Sie auf einen vertrauenswürdigen Passwortmanager. Wer diese Grundregeln einhält, macht es Cyberkriminellen deutlich schwerer, erfolgreich zu sein.

Datenlecks werden auch 2026 ein ständiges Risiko bleiben. Doch mit der richtigen Vorbereitung und regelmäßigen Prüfungen behalten Sie die Kontrolle über Ihre digitale Identität.

Häufig gestellte Fragen (FAQ)

Ist es sicher, meine E-Mail-Adresse bei einem Leak-Checker einzugeben?

Ja, bei seriösen Anbietern wie dem HPI Identity Leak Checker oder Have I Been Pwned ist dies sicher. Diese Dienste speichern keine Passwörter im Klartext und arbeiten mit Hash-Verfahren. Vermeiden Sie jedoch unbekannte Websites, die Ihr Passwort direkt abfragen – dies könnten Phishing-Fallen sein.

Wie oft sollte ich meine Passwörter auf Lecks prüfen?

Das BSI empfiehlt eine monatliche Prüfung. Wenn Sie Mozilla Monitor oder einen Passwortmanager mit integrierter Leak-Überwachung nutzen, erhalten Sie automatisch Benachrichtigungen bei neuen Vorfällen, ohne selbst aktiv prüfen zu müssen.

Muss ich mein Passwort ändern, wenn es in einem alten Leak auftaucht?

Ja, unbedingt. Selbst Jahre alte Lecks werden heute noch für Credential-Stuffing-Angriffe genutzt. Wenn Sie das Passwort noch verwenden, ändern Sie es sofort – idealerweise bei allen Diensten, bei denen Sie es eingesetzt haben.

Was ist der Unterschied zwischen E-Mail- und Passwort-Prüfung?

Eine E-Mail-Prüfung zeigt, ob Ihre Adresse in einem bekannten Leck enthalten ist. Eine Passwort-Prüfung (z. B. über "Pwned Passwords") zeigt, ob ein konkretes Passwort bereits in Leaks aufgetaucht ist – unabhängig von Ihrer E-Mail-Adresse. Beide Prüfungen ergänzen sich sinnvoll.

Kann ich rechtlich gegen Unternehmen vorgehen, die meine Daten verloren haben?

Ja, nach Art. 82 DSGVO haben Sie Anspruch auf Schadensersatz bei materiellen und immateriellen Schäden. Zusätzlich können Sie Beschwerde beim BfDI oder der zuständigen Landesdatenschutzbehörde einreichen. Deutsche Gerichte haben in den letzten Jahren mehrfach Schmerzensgeld zwischen 100 und 5.000 Euro zugesprochen.