Wurde Mein Passwort Geleakt? So Prüfen Sie es Sicher 2026

Datenlecks gehören mittlerweile zum digitalen Alltag: Ob große Online-Shops, soziale Netzwerke oder E-Mail-Anbieter – kaum ein Monat vergeht ohne Meldung über einen erfolgreichen Angriff auf Nutzerdatenbanken. Milliarden von E-Mail-Adressen und Passwörtern kursieren bereits in einschlägigen Foren und Marktplätzen des Darknets. Doch woher wissen Sie, ob Ihr Passwort betroffen ist? In diesem Leitfaden erfahren Sie Schritt für Schritt, wie Sie prüfen, ob Ihre Zugangsdaten geleakt wurden – und was Sie tun müssen, wenn der Ernstfall eintritt.

Was bedeutet es, wenn ein Passwort „geleakt" wurde?

Ein geleaktes Passwort ist ein Passwort, das durch einen Sicherheitsvorfall bei einem Dienstanbieter in die Hände Unbefugter gelangt ist und häufig öffentlich oder halböffentlich verfügbar wird. Solche Lecks entstehen typischerweise durch Hackerangriffe auf Datenbanken, durch Phishing-Kampagnen oder durch fehlerhaft konfigurierte Server.

Die kompromittierten Datensätze enthalten in der Regel E-Mail-Adressen, Benutzernamen und Passwörter – manchmal im Klartext, häufig jedoch als sogenannte Hashes. Doch auch gehashte Passwörter sind längst nicht sicher: Mit modernen Grafikkarten lassen sich schwache Hash-Verfahren in kurzer Zeit knacken. Sobald ein Passwort einmal öffentlich ist, wird es Teil sogenannter „Combolists" und wird in automatisierten Angriffen (Credential Stuffing) gegen tausende andere Dienste getestet.

Warum ist ein einzelnes Leck so gefährlich?

Viele Nutzerinnen und Nutzer verwenden identische oder ähnliche Passwörter für mehrere Dienste. Das bedeutet: Wird Ihr Passwort bei einem einzigen Anbieter geleakt, sind potenziell alle Konten mit demselben Passwort gefährdet – von der E-Mail über Online-Banking bis hin zu sozialen Netzwerken. Genau hier setzen Kriminelle systematisch an.

Anzeichen dafür, dass Ihr Passwort geleakt wurde

Bevor Sie einen Prüfdienst nutzen, sollten Sie auf typische Warnsignale achten. Diese deuten häufig darauf hin, dass mindestens eines Ihrer Konten kompromittiert wurde:

• Unerwartete Login-Benachrichtigungen aus fremden Ländern oder von unbekannten Geräten.
• Passwort-Reset-E-Mails, die Sie nicht selbst angefordert haben.
• Ungewöhnliche Aktivitäten in sozialen Netzwerken – etwa gesendete Nachrichten oder neue Follower/Kontakte, die Sie nicht kennen.
• Spam-Wellen an Ihre E-Mail-Adresse, insbesondere personalisierte Phishing-Versuche.
• Sperrhinweise Ihres Anbieters wegen „verdächtiger Anmeldeversuche".
• Erpressungs-E-Mails, in denen ein echtes altes Passwort von Ihnen genannt wird.

Auch wenn keines dieser Anzeichen vorliegt, ist eine regelmäßige Prüfung sinnvoll – viele Lecks bleiben monatelang unentdeckt.

Passwort geleakt prüfen: Die 5 besten Methoden

Es gibt mehrere zuverlässige Wege, um herauszufinden, ob Ihre Zugangsdaten kompromittiert wurden. Wir stellen die fünf effektivsten Methoden vor.

1. Have I Been Pwned (HIBP)

Der Dienst haveibeenpwned.com des Sicherheitsforschers Troy Hunt ist der bekannteste und meistgenutzte Prüfdienst weltweit. Er enthält über 12 Milliarden kompromittierte Datensätze aus mehr als 700 bekannten Datenlecks.

1. Öffnen Sie die Website haveibeenpwned.com.
2. Geben Sie Ihre E-Mail-Adresse in das Suchfeld ein.
3. Klicken Sie auf „pwned?".
4. Sie sehen sofort, in welchen Lecks Ihre Adresse aufgetaucht ist – inklusive Datum und betroffener Datenkategorien.
5. Zusätzlich können Sie unter „Passwords" prüfen, ob ein konkretes Passwort in Umlauf ist (die Prüfung erfolgt datenschutzfreundlich per k-Anonymity, das Passwort verlässt Ihren Browser nicht vollständig).

2. HPI Identity Leak Checker

Das Hasso-Plattner-Institut (HPI) der Universität Potsdam betreibt unter sec.hpi.de/ilc einen deutschsprachigen Dienst, der besonders in Deutschland verbreitet ist und BfDI-konform arbeitet.

1. Rufen Sie sec.hpi.de/ilc auf.
2. Geben Sie Ihre E-Mail-Adresse ein.
3. Das Ergebnis wird Ihnen per E-Mail zugeschickt – so wird sichergestellt, dass nur der tatsächliche Besitzer der Adresse Zugriff auf die Informationen erhält.
4. Der Bericht listet konkret auf, welche Daten (Passwort, Adresse, Telefonnummer, Bankdaten) betroffen sind.

3. Firefox Monitor / Google Password Checkup

Sowohl Mozilla als auch Google bieten integrierte Prüfmechanismen in ihren Browsern an. Wenn Sie Passwörter im Browser gespeichert haben, gleicht die Software diese kontinuierlich mit bekannten Leak-Datenbanken ab.

• Google: passwords.google.com → „Passwort-Check" starten.
• Firefox: monitor.mozilla.org → E-Mail-Adresse eingeben oder Konto verknüpfen.

4. Passwortmanager mit Leak-Prüfung

Moderne Passwortmanager wie Bitwarden, 1Password, KeePassXC (mit HIBP-Plugin) oder Dashlane bieten eine integrierte Prüffunktion für Ihren gesamten Passwort-Tresor. Innerhalb weniger Sekunden erhalten Sie einen vollständigen Sicherheitsbericht über schwache, wiederverwendete und kompromittierte Passwörter.

5. Prüfung durch den eigenen Anbieter

Große Anbieter wie Microsoft, Apple oder deutsche E-Mail-Dienste (GMX, Web.de, Posteo) informieren betroffene Kunden häufig direkt per E-Mail oder über die Kontoeinstellungen. Prüfen Sie regelmäßig Ihren Sicherheitsbereich im Kundenkonto.

Vergleich der wichtigsten Prüfdienste

Dienst	Datenbasis	Sprache	Passwort-Prüfung	Datenschutz
Have I Been Pwned	12+ Mrd. Datensätze	Englisch	Ja (k-Anonymity)	Sehr hoch
HPI Identity Leak Checker	13+ Mrd. Datensätze	Deutsch	Nein (nur E-Mail)	Sehr hoch (DSGVO)
Firefox Monitor	Basiert auf HIBP	Deutsch	Ja (im Browser)	Hoch
Google Password Checkup	Google-eigene DB	Deutsch	Ja (nur gespeicherte)	Mittel bis hoch
Bitwarden Reports	Basiert auf HIBP	Deutsch	Ja (Tresor-weit)	Sehr hoch (Zero-Knowledge)

Was tun, wenn Ihr Passwort geleakt wurde?

Wenn eine der Prüfungen einen Treffer liefert, sollten Sie ohne Panik, aber zügig handeln. Die folgenden Schritte helfen, den Schaden zu begrenzen:

1. Betroffenes Passwort sofort ändern – und zwar überall dort, wo Sie es (oder eine Variante davon) verwendet haben.
2. Einzigartige Passwörter erstellen: Nutzen Sie mindestens 16 Zeichen mit einer Mischung aus Buchstaben, Zahlen und Sonderzeichen. Ein Passwortmanager erledigt das automatisch.
3. Zwei-Faktor-Authentifizierung (2FA) aktivieren: Auch wenn Ihr Passwort erneut geleakt werden sollte, bleibt Ihr Konto durch den zweiten Faktor geschützt.
4. Aktive Sitzungen beenden: In den Sicherheitseinstellungen der meisten Dienste können Sie alle angemeldeten Geräte auf einmal abmelden.
5. E-Mail-Weiterleitungen prüfen: Angreifer richten oft heimliche Weiterleitungen ein, um Passwort-Reset-Mails abzufangen.
6. Bank und Kreditkartenanbieter informieren, falls Zahlungsdaten betroffen sind.
7. Anzeige erstatten: Bei finanziellem Schaden oder Identitätsdiebstahl ist die Polizei zuständig; parallel kann eine Meldung beim BfDI (Bundesbeauftragte für den Datenschutz) sinnvoll sein.

Sonderfall: Erpressungs-E-Mails mit echtem Passwort

Ein weit verbreiteter Betrugsversuch sind E-Mails, in denen ein tatsächlich verwendetes (aber altes) Passwort genannt wird, verbunden mit der Behauptung, der Absender habe Ihre Kamera gehackt. Diese Behauptung ist in praktisch allen Fällen frei erfunden. Reagieren Sie nicht, zahlen Sie kein Lösegeld – ändern Sie aber selbstverständlich das genannte Passwort überall. Mehr zum Thema erfahren Sie in unserem Leitfaden zu Phishing-Angriffen erkennen und vermeiden.

Wie Sie Passwort-Leaks in Zukunft vorbeugen

Prävention ist deutlich effektiver als jede Nachsorge. Mit den folgenden Maßnahmen minimieren Sie Ihr Risiko drastisch:

Passwortmanager konsequent nutzen

Ein Passwortmanager erstellt für jeden Dienst ein individuelles, zufällig generiertes Passwort. Sie müssen sich nur noch ein einziges Master-Passwort merken. Empfehlenswerte, in Deutschland weit verbreitete Optionen sind Bitwarden, 1Password und KeePassXC.

Zwei-Faktor-Authentifizierung überall aktivieren

Verwenden Sie App-basierte Verfahren (Authy, Aegis, Google Authenticator) oder – noch sicherer – Hardware-Schlüssel wie YubiKey oder Nitrokey. SMS-TAN sollte nur genutzt werden, wenn keine andere Option verfügbar ist.

Passphrasen statt komplizierter Zeichenfolgen

Vier bis fünf zufällig gewählte Wörter (z. B. „Kaffee-Traktor-Wolke-Regenbogen-42") sind sowohl für Menschen leichter zu merken als auch mathematisch schwerer zu knacken als kryptische 8-Zeichen-Passwörter.

Datensparsamkeit praktizieren

Je weniger Dienste Ihre echte E-Mail-Adresse kennen, desto geringer die Angriffsfläche. Nutzen Sie E-Mail-Aliase (z. B. über SimpleLogin, addy.io oder Apples „Hide My Email") und teilen Sie beim Teilen von Links keine unnötigen Metadaten. Ein Kurz-URL-Dienst wie Lunyb hilft Ihnen dabei, Links datenschutzfreundlich zu teilen, ohne dass Ihre echten Zieladressen und Referrer-Informationen offengelegt werden.

Regelmäßige Sicherheits-Audits

Setzen Sie sich alle drei Monate einen Kalendereintrag, um Ihre Passwörter durchzugehen – oder nutzen Sie die automatischen Berichte Ihres Passwortmanagers.

Rechtliche Aspekte: Ihre Rechte nach der DSGVO

Wenn ein Anbieter durch eine Datenpanne Ihre personenbezogenen Daten verloren hat, gelten strenge Melde- und Informationspflichten nach Artikel 33 und 34 DSGVO. Der Anbieter muss die zuständige Aufsichtsbehörde binnen 72 Stunden informieren und – bei hohem Risiko – auch Sie als betroffene Person.

Als Betroffener haben Sie unter anderem ein Recht auf Auskunft (Art. 15), Löschung (Art. 17) und Schadensersatz (Art. 82). Detaillierte Informationen finden Sie in unseren Ratgebern zu Ihren DSGVO-Rechten und zum Recht auf Vergessenwerden. In der Schweiz können Sie zudem eine Beschwerde beim EDÖB einreichen.

Fazit: Prüfen, Handeln, Vorbeugen

Die Wahrscheinlichkeit, dass mindestens eine Ihrer E-Mail-Adressen bereits in einem Datenleck aufgetaucht ist, liegt bei erwachsenen Internetnutzern in Deutschland heute bei über 90 %. Umso wichtiger ist es, aktiv zu prüfen, konsequent zu handeln und langfristig vorzubeugen. Mit den vorgestellten Diensten – allen voran Have I Been Pwned und dem HPI Identity Leak Checker – dauert die erste Prüfung nur wenige Minuten. Die eingesparten Nerven, Zeit und potenziellen finanziellen Schäden sind diese Investition allemal wert.

Häufig gestellte Fragen (FAQ)

Ist es sicher, meine E-Mail-Adresse auf Leak-Checker-Seiten einzugeben?

Bei seriösen Diensten wie Have I Been Pwned oder dem HPI Identity Leak Checker ja. Diese Dienste speichern Ihre Adresse entweder gar nicht oder ausschließlich verschlüsselt, um Ergebnisse zuzustellen. Meiden Sie hingegen unbekannte Websites mit reißerischen Titeln – diese können selbst Datensammler sein.

Was bedeutet „k-Anonymity" bei der Passwortprüfung?

Bei diesem Verfahren wird Ihr Passwort lokal in Ihrem Browser gehasht (mit SHA-1) und nur die ersten fünf Zeichen des Hashes an den Server übermittelt. Dieser antwortet mit allen bekannten Hashes, die mit diesen fünf Zeichen beginnen. Der Abgleich erfolgt danach lokal – Ihr Passwort verlässt Ihren Computer also nie vollständig.

Wie oft sollte ich meine Passwörter prüfen?

Empfohlen wird eine Prüfung mindestens alle drei Monate sowie nach jeder Meldung über ein größeres Datenleck. Wer einen Passwortmanager nutzt, wird ohnehin automatisch benachrichtigt, sobald ein gespeichertes Passwort betroffen ist.

Muss ich alle Passwörter ändern, wenn nur eines geleakt wurde?

Wenn Sie Passwörter mehrfach verwenden: Ja, unbedingt – und zwar alle betroffenen Accounts. Wenn Sie einen Passwortmanager mit einzigartigen Passwörtern nutzen, reicht das Ändern des einen kompromittierten Passworts. Nutzen Sie die Gelegenheit außerdem, überall Zwei-Faktor-Authentifizierung einzurichten.

Was passiert, wenn ich nichts unternehme?

Kriminelle testen geleakte Zugangsdaten automatisiert bei tausenden Diensten (Credential Stuffing). Innerhalb weniger Tage kann es zu Kontoübernahmen, Identitätsdiebstahl, betrügerischen Bestellungen im Ihrem Namen oder sogar zur Übernahme Ihrer Haupt-E-Mail kommen – mit potenziellen finanziellen und rechtlichen Folgen. Handeln lohnt sich daher immer.