Wurde Mein Passwort Geleakt? So Prüfen Sie es Sicher (2026)

Datenlecks gehören heute zu den größten digitalen Risiken. Milliarden von Zugangsdaten kursieren in Untergrundforen, und selbst wer sich vorsichtig im Internet bewegt, kann betroffen sein – meist ohne es zu wissen. In diesem Leitfaden erfahren Sie, wie Sie zuverlässig prüfen, ob Ihr Passwort geleakt wurde, welche Tools sich bewährt haben und welche Maßnahmen im Ernstfall wichtig sind.

Was bedeutet „Passwort geleakt"?

Ein geleaktes Passwort ist eine Zugangsinformation, die durch einen Datendiebstahl, ein Sicherheitsleck oder eine Phishing-Attacke in fremde Hände geraten und meist im Internet veröffentlicht oder verkauft wurde. Solche Daten stammen oft aus großen Hacks bekannter Dienste wie LinkedIn, Adobe, Dropbox oder deutschen Anbietern.

Sobald Ihre E-Mail-Adresse mit einem Passwort in einer solchen Datenbank auftaucht, spricht man von einem „Credential Leak". Kriminelle nutzen diese Kombinationen für sogenannte Credential-Stuffing-Angriffe: Sie probieren Ihre Zugangsdaten automatisiert bei hunderten Diensten aus. Verwenden Sie dasselbe Passwort mehrfach, ist der Schaden schnell groß.

Wie gelangen Passwörter in Datenlecks?

Hackerangriffe auf Unternehmen: Angreifer erbeuten Kundendatenbanken.
Phishing: Nutzer geben ihre Daten auf gefälschten Websites ein.
Malware und Keylogger: Schadsoftware liest Passwörter direkt vom Gerät.
Unsichere Speicherung: Anbieter speichern Passwörter im Klartext oder mit veralteter Verschlüsselung.
Insider-Bedrohungen: Mitarbeitende geben Daten absichtlich weiter.

Warum sollten Sie regelmäßig prüfen, ob Ihr Passwort geleakt wurde?

Die meisten Menschen erfahren erst Monate oder Jahre nach einem Leak davon – wenn überhaupt. Regelmäßige Kontrollen schützen Sie vor Identitätsdiebstahl, finanziellen Verlusten und Rufschäden.

Laut dem Bundesamt für Sicherheit in der Informationstechnik (BSI) nutzen über 60 % der Deutschen dasselbe Passwort für mehrere Konten. Wird eines kompromittiert, sind automatisch weitere Dienste gefährdet. Auch die DSGVO verpflichtet Unternehmen, Datenlecks zu melden – dennoch geschieht dies oft mit Verzögerung.

Weiterführende Informationen zu Ihren Rechten finden Sie in unserem Artikel Datenschutz in Deutschland: Ihre Rechte im Überblick.

Die besten Tools, um zu prüfen, ob Ihr Passwort geleakt wurde

Mehrere seriöse Dienste ermöglichen Ihnen kostenlos zu überprüfen, ob Ihre E-Mail-Adresse oder Ihr Passwort in bekannten Datenlecks aufgetaucht ist. Nachfolgend eine Übersicht der bewährtesten Anlaufstellen.

Dienst	Anbieter	Prüft	Sprache	Datenschutz
Have I Been Pwned	Troy Hunt (AU)	E-Mail, Passwort, Telefonnr.	Englisch	Sehr hoch (K-Anonymität)
HPI Identity Leak Checker	Hasso-Plattner-Institut (DE)	E-Mail	Deutsch	Sehr hoch (Antwort per E-Mail)
Firefox Monitor	Mozilla	E-Mail	Deutsch	Hoch (basiert auf HIBP)
Google Passwort-Check	Google	Gespeicherte Passwörter	Deutsch	Hoch (verschlüsselt)
Uni Bonn Leak Checker	Universität Bonn	E-Mail	Deutsch	Hoch

1. Have I Been Pwned (HIBP)

Der wohl bekannteste Dienst weltweit. Sie geben Ihre E-Mail-Adresse ein und erhalten sofort eine Liste aller bekannten Leaks, in denen Ihre Adresse auftaucht. Über „Pwned Passwords" können Sie auch einzelne Passwörter prüfen – dank K-Anonymität wird nie das vollständige Passwort übertragen.

2. HPI Identity Leak Checker

Der deutsche Klassiker vom Hasso-Plattner-Institut in Potsdam. Sie geben Ihre E-Mail ein und erhalten eine detaillierte Auswertung per E-Mail. Der Dienst ist DSGVO-konform, kostenlos und auf Deutsch verfügbar.

3. Firefox Monitor

Mozillas Dienst nutzt die HIBP-Datenbank, ist aber vollständig ins deutsche Firefox-Ökosystem integriert. Praktisch: Sie können sich automatisch benachrichtigen lassen, wenn Ihre E-Mail zukünftig in einem Leak auftaucht.

4. Google Passwort-Check

Wer den Google-Passwortmanager (in Chrome oder Android) nutzt, kann unter passwords.google.com alle gespeicherten Passwörter automatisch auf Kompromittierung prüfen lassen. Ideal bei vielen Konten.

Anleitung: So prüfen Sie in 5 Schritten, ob Ihr Passwort geleakt wurde

Öffnen Sie einen vertrauenswürdigen Prüfdienst wie den HPI Identity Leak Checker (sec.hpi.de/ilc).
Geben Sie Ihre primäre E-Mail-Adresse ein. Beginnen Sie mit der Adresse, die Sie am häufigsten verwenden.
Warten Sie auf das Ergebnis. Beim HPI erhalten Sie eine Auswertung per E-Mail, bei HIBP sofort im Browser.
Prüfen Sie alle betroffenen Dienste. Notieren Sie sich, welche Plattformen im Leak enthalten sind.
Ändern Sie kompromittierte Passwörter sofort – und zwar nicht nur beim gehackten Dienst, sondern überall, wo Sie dasselbe Passwort verwendet haben.

Bonus: Prüfen Sie auch alternative E-Mail-Adressen

Viele Menschen haben im Laufe der Jahre mehrere E-Mail-Adressen genutzt (z. B. bei GMX, Web.de, Yahoo). Prüfen Sie jede davon einzeln, denn Leaks aus alten Konten sind besonders häufig.

Was tun, wenn Ihr Passwort geleakt wurde?

Wenn ein Prüfdienst meldet, dass Ihre Daten kompromittiert sind, sollten Sie schnell und systematisch handeln. Panik ist unnötig – aber Handeln Pflicht.

Sofortmaßnahmen bei Passwort-Leak

Passwort sofort ändern – zuerst beim betroffenen Dienst.
Alle Konten mit gleichem Passwort aktualisieren. Nutzen Sie überall ein individuelles Kennwort.
Zwei-Faktor-Authentifizierung (2FA) aktivieren. So bleiben Sie geschützt, selbst wenn das Passwort erneut geleakt wird.
Aktive Sitzungen beenden. Melden Sie sich in den Einstellungen von allen Geräten ab.
Kontobewegungen prüfen. Achten Sie besonders bei E-Mail-, Banking- und Shopping-Konten auf Auffälligkeiten.
Phishing-Mails erkennen. Nach einem Leak steigt oft die Anzahl betrügerischer E-Mails.

Passwort-Manager: Ihre wichtigste Verteidigungslinie

Ein Passwort-Manager wie Bitwarden, 1Password oder KeePassXC generiert für jeden Dienst ein starkes, einzigartiges Passwort und speichert es verschlüsselt. Sie müssen sich nur noch ein einziges Master-Passwort merken. Viele Manager warnen zusätzlich automatisch bei Leaks.

Merkmale eines sicheren Passworts

Ein sicheres Passwort ist mindestens 12 Zeichen lang, einzigartig und schwer zu erraten. Nach Empfehlung des BSI und des NIST gelten folgende Regeln:

Mindestens 12–16 Zeichen Länge.
Kombination aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen.
Keine Namen, Geburtsdaten oder Wörterbuchbegriffe.
Für jeden Dienst ein anderes Passwort.
Passphrasen wie „Blauer!Kaktus-Tanzt#Regen92" sind leicht zu merken und schwer zu knacken.

Zusätzliche Schutzmaßnahmen gegen Datenlecks

Neben starken Passwörtern gibt es weitere Möglichkeiten, Ihre digitale Identität zu schützen.

Zwei-Faktor-Authentifizierung (2FA)

Die zusätzliche Bestätigung per App (z. B. Authy, Google Authenticator) oder Hardware-Schlüssel (YubiKey) sorgt dafür, dass Angreifer selbst mit dem richtigen Passwort keinen Zugriff erhalten. Aktivieren Sie 2FA überall, wo es möglich ist.

E-Mail-Aliase und Wegwerf-Adressen

Dienste wie SimpleLogin oder AnonAddy erzeugen Alias-Adressen für Anmeldungen bei unbekannten Websites. Wird der Alias geleakt, können Sie ihn einfach löschen, ohne Ihre Hauptadresse zu gefährden.

Verschlüsselte Kommunikation und sichere Links

Wenn Sie sensible Links teilen, sollten diese anonym und ohne Tracker weitergegeben werden. Ein datenschutzfreundlicher URL-Kürzer wie Lunyb ermöglicht es, sichere Kurzlinks ohne Datensammlung zu erstellen. Weitere Anbieter finden Sie in unserem Beitrag URL-Kürzungsdienste im Vergleich 2026.

Regelmäßige Sicherheits-Checks

Setzen Sie sich einen wiederkehrenden Termin (z. B. quartalsweise), um Ihre Konten zu überprüfen. Firefox Monitor und Google warnen Sie automatisch bei neuen Leaks.

Vor- und Nachteile der bekanntesten Prüfdienste

Vorteile

Kostenlos und schnell nutzbar
Frühzeitige Warnung vor Missbrauch
Sensibilisierung für digitale Sicherheit
Automatische Benachrichtigungen möglich

Nachteile

Nur bereits bekannte Leaks werden erkannt
Passwörter im Klartext einzugeben, birgt theoretisch Risiken (nur K-Anonym-Verfahren nutzen!)
Meldungen können verunsichern, obwohl längst gehandelt wurde

Datenschutzrechtliche Perspektive: Was sagt die DSGVO?

Die DSGVO verpflichtet Unternehmen, Datenlecks binnen 72 Stunden an die zuständige Aufsichtsbehörde (in Deutschland: BfDI oder Landesdatenschutzbeauftragte) zu melden. Betroffene müssen ebenfalls informiert werden, wenn ein hohes Risiko besteht. Erhalten Sie eine solche Benachrichtigung, sollten Sie sofort handeln.

Mehr zu Ihren Rechten und Pflichten lesen Sie in DSGVO Einfach Erklärt 2026 und für österreichische Nutzer im Datenschutzgesetz Österreich Leitfaden.

Häufige Fehler nach einem Passwort-Leak

Nur das eine Passwort ändern: Wenn Sie dasselbe Passwort mehrfach nutzen, sind alle Konten gefährdet.
Ähnliches Passwort wählen: „Passwort2024" → „Passwort2025" ist keine Verbesserung.
Ignorieren der Warnungen: Viele Nutzer wischen Sicherheitsmeldungen weg.
Keine 2FA aktivieren: Ein einfacher, aber wirksamer Schutz wird oft ausgelassen.
Alte Konten nicht löschen: Ungenutzte Konten sind ein bevorzugtes Angriffsziel.

Fazit: Prüfen, handeln, absichern

Ob Ihr Passwort geleakt wurde, lässt sich in wenigen Minuten zuverlässig herausfinden. Nutzen Sie seriöse Dienste wie den HPI Identity Leak Checker oder Firefox Monitor, aktivieren Sie 2FA und setzen Sie auf einen Passwort-Manager. Kombiniert mit datenschutzfreundlichen Werkzeugen wie Lunyb für sichere Links schützen Sie Ihre digitale Identität nachhaltig – heute und in Zukunft.

Häufig gestellte Fragen (FAQ)

Ist es sicher, mein Passwort auf einer Website einzugeben, um es zu prüfen?

Ja, sofern der Dienst das sogenannte K-Anonymitätsverfahren nutzt (wie Have I Been Pwned). Dabei wird nie das vollständige Passwort übertragen, sondern nur ein anonymisierter Hash-Anfang. Vermeiden Sie unbekannte Websites, die vollständige Passwörter im Klartext anfordern.

Wie oft sollte ich prüfen, ob mein Passwort geleakt wurde?

Idealerweise alle drei bis sechs Monate – oder sofort, wenn Sie von einem Datenleck eines Dienstes hören, den Sie nutzen. Automatische Benachrichtigungsdienste wie Firefox Monitor nehmen Ihnen diese Aufgabe ab.

Was passiert, wenn ich nicht auf einen Leak reagiere?

Kriminelle können Ihre Zugangsdaten für Identitätsdiebstahl, Betrug oder Erpressung nutzen. Besonders gefährlich ist das bei E-Mail-Konten, denn wer Zugriff auf Ihre E-Mail hat, kann Passwörter anderer Dienste zurücksetzen.

Reicht es, nur das gehackte Passwort zu ändern?

Nein. Wenn Sie dasselbe oder ein ähnliches Passwort bei anderen Diensten verwenden, sollten Sie es überall ändern. Nutzen Sie stattdessen für jeden Dienst ein einzigartiges Passwort – ein Passwort-Manager hilft dabei.

Können auch Unternehmen prüfen, ob ihre Mitarbeiterdaten geleakt wurden?

Ja. Unternehmen können den HPI Identity Leak Checker in einer Domain-Version nutzen oder Enterprise-Dienste wie Have I Been Pwned Domain Search. So lassen sich alle Firmen-E-Mail-Adressen zentral überwachen – ein wichtiger Bestandteil moderner IT-Sicherheit.