Wurde Mein Passwort Geleakt? So Prüfen Sie es Sicher 2026

Täglich werden Millionen Zugangsdaten durch Hackerangriffe, unsichere Server oder Phishing-Kampagnen offengelegt. Allein 2024 meldete das Bundesamt für Sicherheit in der Informationstechnik (BSI) eine deutliche Zunahme an gestohlenen Zugangsdaten im sogenannten Darknet. Doch wie erkennen Sie, ob auch Ihr Passwort betroffen ist? In diesem Leitfaden zeigen wir Ihnen Schritt für Schritt, wie Sie zuverlässig prüfen, ob Ihr Passwort geleakt wurde, welche Tools vertrauenswürdig sind und wie Sie im Ernstfall richtig reagieren.

Was bedeutet „Passwort geleakt"?

Ein geleaktes Passwort ist ein Zugangsdatensatz, der unbeabsichtigt öffentlich zugänglich wurde – etwa durch einen Datenbankhack, eine Sicherheitslücke oder einen Insider-Vorfall. Die Daten werden anschließend häufig in Foren, Marktplätzen oder Sammel-Dumps im Darknet verbreitet und sind so für Kriminelle nutzbar.

Typische Quellen für Passwort-Leaks sind:

Angriffe auf große Online-Dienste (z. B. LinkedIn, Dropbox, Adobe)
Phishing-Angriffe, bei denen Nutzer ihre Daten selbst preisgeben
Malware und Keylogger auf infizierten Geräten
Unsichere Konfigurationen von Datenbanken (offene Elasticsearch- oder MongoDB-Server)
Credential-Stuffing-Angriffe auf schlecht gesicherte Portale

Besonders kritisch: Nutzen Sie dasselbe Passwort auf mehreren Plattformen, kann ein einziger Leak den Zugang zu einer Vielzahl Ihrer Konten ermöglichen.

Warum Sie Ihr Passwort regelmäßig prüfen sollten

Die Datenschutz-Grundverordnung (DSGVO) verpflichtet Unternehmen zwar, Datenlecks binnen 72 Stunden an die zuständige Aufsichtsbehörde zu melden – doch nicht jeder Betreiber kommt dieser Pflicht nach. Zudem werden viele Leaks erst Monate oder Jahre später entdeckt. Eine proaktive Prüfung ist daher unverzichtbar.

Folgende Risiken drohen bei einem ungeprüften Leak:

Identitätsdiebstahl: Kriminelle eröffnen in Ihrem Namen Konten oder tätigen Bestellungen.
Finanzieller Schaden: Zugriff auf Online-Banking, PayPal oder Krypto-Wallets.
Erpressung: Mit kompromittierenden Daten aus E-Mail-Postfächern.
Rufschädigung: Veröffentlichung privater Nachrichten oder Fotos.
Weiterführende Angriffe: Übernahme geschäftlicher Konten mit Zugriff auf Kunden- oder Mitarbeiterdaten.

Passwort geleakt prüfen: Die besten Tools im Überblick

Es gibt mehrere seriöse Dienste, mit denen Sie prüfen können, ob Ihre E-Mail-Adresse oder Ihr Passwort Teil eines bekannten Datenlecks ist. Alle hier genannten Tools arbeiten datenschutzkonform und senden Ihr vollständiges Passwort nicht im Klartext an einen Server.

Übersicht der führenden Prüf-Dienste

Dienst	Prüfung möglich für	Anbieter / Herkunft	Kosten	Datenschutz
Have I Been Pwned	E-Mail, Passwort, Telefonnummer	Troy Hunt (Australien)	Kostenlos	k-Anonymität (SHA-1-Hash)
HPI Identity Leak Checker	E-Mail-Adresse	Hasso-Plattner-Institut (Deutschland)	Kostenlos	DSGVO-konform
Firefox Monitor	E-Mail-Adresse	Mozilla (nutzt HIBP)	Kostenlos	Hoher Standard
Google Password Checkup	In Chrome gespeicherte Passwörter	Google	Kostenlos	Verschlüsselte Übertragung
1Password Watchtower	Alle im Tresor gespeicherten Daten	1Password (Kanada)	Ab 2,99 €/Monat	Zero-Knowledge

Have I Been Pwned (HIBP)

Der Dienst von Sicherheitsforscher Troy Hunt ist der De-facto-Standard und enthält mehr als 12 Milliarden kompromittierte Datensätze. Besonders nutzerfreundlich: die Passwortprüfung arbeitet mit einem Verfahren namens „k-Anonymität", bei dem nur die ersten fünf Zeichen des SHA-1-Hashes übertragen werden.

HPI Identity Leak Checker

Der vom Hasso-Plattner-Institut in Potsdam betriebene Dienst ist besonders für Nutzer in Deutschland empfehlenswert. Sie geben Ihre E-Mail-Adresse ein und erhalten das Ergebnis per Mail – vollständig DSGVO-konform und ohne Weitergabe an Dritte.

Google Password Checkup

Wenn Sie den Google-Passwortmanager verwenden, prüft dieser automatisch, ob Ihre gespeicherten Zugangsdaten in bekannten Leaks auftauchen. Die Prüfung finden Sie unter passwords.google.com.

Schritt-für-Schritt-Anleitung: So prüfen Sie Ihr Passwort

Die folgende Anleitung zeigt Ihnen am Beispiel von Have I Been Pwned und dem HPI Identity Leak Checker, wie Sie innerhalb weniger Minuten herausfinden, ob Ihre Zugangsdaten betroffen sind.

Browser öffnen: Nutzen Sie einen aktuellen Browser wie Firefox, Brave oder Edge. Vermeiden Sie öffentliche WLAN-Netze ohne verschlüsselte Verbindung.
Prüf-Website aufrufen: Besuchen Sie haveibeenpwned.com oder sec.hpi.de/ilc. Achten Sie auf das Schloss-Symbol und die korrekte URL.
E-Mail-Adresse eingeben: Geben Sie die zu prüfende Adresse ein. Prüfen Sie nach und nach alle Ihre genutzten E-Mail-Konten.
Ergebnis abwarten: HIBP zeigt sofort an, in welchen Leaks Ihre Adresse enthalten ist. Der HPI-Dienst sendet die Ergebnisse per E-Mail.
Passwort separat testen: Unter haveibeenpwned.com/Passwords können Sie zusätzlich konkrete Passwörter prüfen – ohne dass diese den Browser je im Klartext verlassen.
Betroffene Dienste identifizieren: Notieren Sie sich alle Portale, bei denen Ihre Daten laut Leak-Datenbank kompromittiert wurden.
Sofortmaßnahmen einleiten: Ändern Sie umgehend betroffene Passwörter und aktivieren Sie die Zwei-Faktor-Authentifizierung (2FA).

Was tun, wenn das Passwort geleakt wurde?

Erhalten Sie die Meldung, dass Ihre Zugangsdaten in einem Leak enthalten sind, sollten Sie strukturiert und zügig vorgehen. Panik ist nicht nötig – entscheidend ist konsequentes Handeln.

1. Betroffene Passwörter sofort ändern

Beginnen Sie mit dem geleakten Dienst und ändern Sie anschließend alle Konten, bei denen Sie dasselbe oder ein ähnliches Passwort verwenden. Nutzen Sie für jedes Konto ein individuelles, mindestens 12 Zeichen langes Passwort mit Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen.

2. Zwei-Faktor-Authentifizierung aktivieren

2FA ist die effektivste Schutzmaßnahme gegen den Missbrauch gestohlener Passwörter. Bevorzugen Sie Authenticator-Apps (z. B. Aegis, 2FAS) oder Hardware-Token (YubiKey) gegenüber SMS-Codes, da letztere für SIM-Swapping-Angriffe anfällig sind.

3. Passwortmanager einsetzen

Ein Passwortmanager generiert und speichert einzigartige Passwörter für jeden Dienst. Empfehlenswerte Lösungen sind:

Bitwarden – Open Source, kostenlos, DSGVO-konform
KeePassXC – lokale Speicherung, kein Cloud-Zwang
1Password – komfortabel, mit Watchtower-Funktion
Proton Pass – aus der Schweiz, Ende-zu-Ende-verschlüsselt

4. Konten auf verdächtige Aktivitäten prüfen

Kontrollieren Sie Login-Historien, versendete E-Mails, hinterlegte Zahlungsmethoden und verknüpfte Geräte. Bei Banken und Zahlungsdienstleistern sollten Sie zusätzlich Kontobewegungen der letzten Monate prüfen.

5. Datenleck melden

Vermuten Sie, dass ein deutscher Anbieter seine Meldepflicht verletzt hat, können Sie den Vorfall bei der zuständigen Landesdatenschutzbehörde oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) melden. In der Schweiz ist die Vorgehensweise ähnlich – eine detaillierte Anleitung zur EDÖB-Beschwerde finden Sie hier.

Sichere Passwörter erstellen: Die wichtigsten Regeln

Ein starkes Passwort ist die erste Verteidigungslinie gegen Angreifer. Das BSI empfiehlt folgende Grundsätze:

Länge vor Komplexität: Mindestens 12, besser 16 Zeichen.
Einzigartigkeit: Jedes Konto erhält ein eigenes Passwort.
Keine persönlichen Bezüge: Vermeiden Sie Namen, Geburtsdaten oder Haustiere.
Passphrasen nutzen: Vier zufällige Wörter sind leicht merkbar und sehr sicher (z. B. „Kaktus-Regen-Giraffe-74-Anker").
Regelmäßige Rotation nur bei Verdacht: Erzwungene Passwortwechsel im Monatsrhythmus sind laut neuen BSI-Empfehlungen kontraproduktiv.

Prävention: So verhindern Sie künftige Passwort-Leaks

Neben der regelmäßigen Prüfung Ihrer Zugangsdaten sollten Sie präventive Maßnahmen ergreifen, um Ihre digitale Identität umfassend zu schützen.

Phishing-Schutz stärken

Viele Leaks entstehen nicht durch Angriffe auf Server, sondern weil Nutzer ihre Daten auf gefälschten Seiten eingeben. Prüfen Sie daher immer die URL, bevor Sie Zugangsdaten eingeben. Verdächtige Kurz-URLs lassen sich mit Tools wie Lunyb vor dem Klick analysieren – so sehen Sie das tatsächliche Ziel, bevor Sie es besuchen. Weitere Tipps finden Sie in unserer Anleitung zum sicheren Umgang mit Kurz-URLs.

E-Mail-Aliase verwenden

Dienste wie SimpleLogin oder AnonAddy erzeugen Alias-Adressen, die Sie bei Registrierungen angeben können. Wird ein Alias geleakt, lässt sich dieser einfach deaktivieren – ohne Ihre Hauptadresse offenzulegen.

Geräte absichern

Halten Sie Betriebssystem, Browser und Antivirensoftware stets aktuell. Aktivieren Sie die Festplattenverschlüsselung (BitLocker, FileVault) und nutzen Sie einen verschlüsselten DNS-Dienst wie Cloudflare 1.1.1.1 oder Quad9, um Tracking und DNS-Hijacking zu erschweren.

Datensparsamkeit praktizieren

Je weniger Daten Sie preisgeben, desto geringer das Risiko. Geben Sie bei Registrierungen nur Pflichtfelder aus und verwenden Sie, wo möglich, Pseudonyme. Weitere praktische Hinweise bietet unser Leitfaden zum Schutz der Online-Privatsphäre.

Vorsicht bei verdächtigen Anrufen

Nach einem Datenleck häufen sich oft Betrugsanrufe mit den geleakten Informationen. Lernen Sie in unserem Leitfaden zur Erkennung von Betrugs-Telefonnummern, wie Sie solche Versuche frühzeitig entlarven.

Vor- und Nachteile von Leak-Prüfdiensten

Vorteile

Schnelle, kostenlose Prüfung in wenigen Sekunden
Umfassende Datenbanken mit Milliarden Einträgen
Datenschutzfreundliche Verfahren wie k-Anonymität
Benachrichtigungsdienste für neue Leaks
Erhöhung des Sicherheitsbewusstseins

Nachteile

Keine Garantie für Vollständigkeit – nicht jeder Leak ist öffentlich bekannt
Verzögerung zwischen Leak und Aufnahme in die Datenbank
Erfordert Vertrauen in den Anbieter
Prüft nur bekannte Datensätze, keine aktiven Angriffe

Häufige Fehler bei der Passwort-Prüfung

Beim Überprüfen Ihrer Zugangsdaten sollten Sie einige typische Fehler vermeiden, die Ihre Sicherheit gefährden könnten:

Nutzung unseriöser Dienste: Es gibt gefälschte „Leak-Checker", die Ihre Eingaben sammeln. Verwenden Sie ausschließlich die oben genannten etablierten Anbieter.
Passworteingabe auf unbekannten Seiten: Geben Sie Ihr Passwort niemals auf einer Website ein, der Sie nicht zu 100 % vertrauen.
Prüfung über öffentliche Netzwerke: Nutzen Sie keine offenen WLANs ohne zusätzliche Verschlüsselung.
Nur eine E-Mail prüfen: Testen Sie alle Ihre Adressen – auch alte, selten genutzte.
Keine Folgemaßnahmen: Die Prüfung allein nützt nichts, wenn Sie nicht handeln.

FAQ: Häufig gestellte Fragen

Ist es sicher, mein Passwort auf Have I Been Pwned einzugeben?

Ja. Have I Been Pwned verwendet das k-Anonymitäts-Verfahren: Ihr Passwort wird lokal im Browser in einen SHA-1-Hash umgewandelt, und nur die ersten fünf Zeichen des Hashes werden an den Server gesendet. Ihr vollständiges Passwort verlässt Ihr Gerät nie im Klartext.

Wie oft sollte ich mein Passwort auf Leaks prüfen?

Empfehlenswert ist eine Prüfung alle drei bis sechs Monate sowie nach jeder Meldung eines größeren Datenlecks. Dienste wie Firefox Monitor oder HIBP benachrichtigen Sie automatisch, wenn Ihre E-Mail-Adresse in einem neuen Leak auftaucht.

Was ist der Unterschied zwischen einem Datenleck und einem Hack?

Ein Hack ist ein gezielter Angriff auf ein System. Ein Datenleck bezeichnet die ungewollte Offenlegung von Daten – dies kann Folge eines Hacks sein, aber auch durch Fehlkonfiguration, Insider oder verlorene Datenträger geschehen. In beiden Fällen können Zugangsdaten in falsche Hände geraten.

Mein Passwort wurde geleakt, obwohl ich 2FA aktiviert habe. Bin ich sicher?

Die Zwei-Faktor-Authentifizierung schützt wirksam vor der Übernahme Ihres Kontos, selbst wenn das Passwort bekannt ist. Dennoch sollten Sie das Passwort umgehend ändern – insbesondere dann, wenn Sie es auch bei anderen Diensten verwenden, die kein 2FA anbieten.

Können auch Passwortmanager geleakt werden?

Theoretisch ja – es gab bereits Vorfälle bei Anbietern wie LastPass. Seriöse Passwortmanager setzen jedoch auf eine Zero-Knowledge-Architektur, sodass selbst der Anbieter Ihre Passwörter nicht entschlüsseln kann. Wählen Sie ein sehr starkes Master-Passwort und aktivieren Sie 2FA für den Tresor.

Fazit

Die Prüfung Ihrer Passwörter auf Leaks ist keine einmalige Angelegenheit, sondern Teil einer gesunden digitalen Hygiene. Mit vertrauenswürdigen Tools wie Have I Been Pwned oder dem HPI Identity Leak Checker, einem Passwortmanager und konsequent aktivierter Zwei-Faktor-Authentifizierung reduzieren Sie das Risiko eines erfolgreichen Angriffs auf ein Minimum. Ergänzen Sie diese Maßnahmen durch sicheres Surfverhalten und die kritische Prüfung verdächtiger Links – etwa mit Tools wie Lunyb – und Sie sind den meisten Angreifern einen entscheidenden Schritt voraus.