Wurde Mein Passwort Geleakt? So Prüfen Sie es 2026

Datenlecks gehören 2026 zum digitalen Alltag. Ob LinkedIn, Deezer, Adobe oder deutsche Anbieter wie Deutsche Bahn und Check24 – Milliarden Zugangsdaten kursieren im Netz. In diesem Leitfaden zeigen wir Ihnen Schritt für Schritt, wie Sie prüfen, ob Ihr Passwort geleakt wurde, welche Tools vertrauenswürdig sind und was Sie im Ernstfall sofort tun sollten.

Was bedeutet ein "geleaktes Passwort"?

Ein geleaktes Passwort ist ein Zugangsdatensatz (meist E-Mail oder Nutzername in Kombination mit Passwort), der durch ein Datenleck, einen Hackerangriff oder eine Sicherheitslücke bei einem Online-Dienst öffentlich zugänglich wurde. Diese Daten werden in Untergrundforen, im Darknet oder in öffentlichen Sammlungen (sogenannten "Combo Lists") verbreitet.

Sobald Ihr Passwort einmal in einer solchen Liste steht, gilt es als kompromittiert – auch dann, wenn Sie den betroffenen Dienst gar nicht mehr nutzen. Kriminelle probieren geleakte Zugangsdaten automatisiert bei anderen Diensten aus (Credential Stuffing) und übernehmen so weitere Konten.

Typische Ursachen für Passwort-Leaks

• Datenbank-Hacks: Angreifer entwenden komplette Nutzerdatenbanken eines Anbieters.
• Phishing: Nutzer geben ihre Zugangsdaten auf gefälschten Login-Seiten ein.
• Malware/Infostealer: Schadsoftware liest Passwörter aus Browsern oder Passwort-Managern aus.
• Unsichere APIs & Cloud-Speicher: Falsch konfigurierte Server geben Daten ungewollt preis.
• Insider-Angriffe: Mitarbeiter geben Daten weiter oder verkaufen sie.

Warum Sie Ihr Passwort regelmäßig prüfen sollten

Laut dem Bundesamt für Sicherheit in der Informationstechnik (BSI) wurden allein 2024 über 8 Milliarden Datensätze weltweit kompromittiert. Die Wahrscheinlichkeit, dass mindestens eine Ihrer E-Mail-Adressen in einem Leak auftaucht, liegt bei über 70 % – bei aktiven Internetnutzern sogar deutlich höher.

Die Folgen reichen von Spam und Phishing-Versuchen über den Verlust einzelner Accounts bis hin zu Identitätsdiebstahl, Kreditkartenbetrug und finanziellen Schäden. Wer seine Zugangsdaten regelmäßig überprüft, kann rechtzeitig handeln, bevor Angreifer weitere Konten übernehmen.

Passwort geleakt prüfen: Die 5 zuverlässigsten Methoden

1. Have I Been Pwned (HIBP)

Have I Been Pwned ist das bekannteste und vertrauenswürdigste Tool zur Überprüfung von Datenlecks. Es wurde vom Sicherheitsexperten Troy Hunt entwickelt und wird auch von Behörden und großen Unternehmen genutzt.

1. Öffnen Sie haveibeenpwned.com in Ihrem Browser.
2. Geben Sie Ihre E-Mail-Adresse in das Suchfeld ein.
3. Klicken Sie auf "pwned?".
4. Sie sehen sofort, in welchen Datenlecks Ihre Adresse auftaucht.
5. Über den Menüpunkt "Passwords" können Sie zusätzlich einzelne Passwörter (anonymisiert per Hash) prüfen.

Wichtig: HIBP verwendet das k-Anonymity-Verfahren. Ihr Passwort verlässt niemals im Klartext Ihren Browser.

2. Identity Leak Checker des HPI

Das Hasso-Plattner-Institut (HPI) in Potsdam betreibt einen kostenlosen deutschen Dienst zur Prüfung von Datenlecks. Er ist besonders für deutsche Nutzer relevant, da auch nationale Leaks berücksichtigt werden.

1. Rufen Sie sec.hpi.de/ilc auf.
2. Geben Sie Ihre E-Mail-Adresse ein.
3. Sie erhalten das Ergebnis per E-Mail (aus Datenschutzgründen).
4. Der Bericht listet detailliert auf, welche Daten (Passwort, Adresse, Telefonnummer, Bankdaten) betroffen sind.

3. Google Passwortcheck

Wenn Sie den Google-Passwortmanager nutzen, prüft Google Ihre gespeicherten Passwörter automatisch gegen bekannte Leaks.

1. Öffnen Sie passwords.google.com.
2. Melden Sie sich mit Ihrem Google-Konto an.
3. Klicken Sie auf "Passwortcheck".
4. Google zeigt Ihnen kompromittierte, schwache und wiederverwendete Passwörter an.

4. Firefox Monitor / Mozilla

Mozilla bietet mit Firefox Monitor einen ähnlichen Dienst, der auf der HIBP-Datenbank basiert. Praktisch: Sie können sich für Benachrichtigungen anmelden und werden automatisch informiert, wenn Ihre Adresse in einem neuen Leak auftaucht.

5. Integrierte Prüfung in Passwort-Managern

Moderne Passwort-Manager wie Bitwarden, 1Password, KeePassXC oder Dashlane bieten integrierte Leak-Checks. Diese durchsuchen Ihren gesamten Tresor kontinuierlich nach kompromittierten Einträgen.

Vergleich der beliebtesten Prüf-Dienste

Dienst	Anbieter	Datenschutz	Deutsche Leaks	Preis
Have I Been Pwned	Troy Hunt (AU)	Sehr hoch (k-Anonymity)	Teilweise	Kostenlos
HPI Identity Leak Checker	Hasso-Plattner-Institut (DE)	Sehr hoch (DSGVO)	Umfassend	Kostenlos
Google Passwortcheck	Google (US)	Mittel	Teilweise	Kostenlos
Firefox Monitor	Mozilla (US)	Hoch	Teilweise	Kostenlos
Bitwarden Reports	Bitwarden Inc. (US)	Hoch (E2E)	Teilweise	Ab 0 €/Monat

Was tun, wenn Ihr Passwort geleakt wurde? Sofortmaßnahmen

Wenn eine der Prüfungen ergibt, dass Ihr Passwort kompromittiert ist, sollten Sie schnell, aber strukturiert handeln.

1. Passwort sofort ändern: Melden Sie sich beim betroffenen Dienst an und vergeben Sie ein neues, einzigartiges Passwort.
2. Gleiche Passwörter überall austauschen: Falls Sie das Passwort mehrfach verwendet haben, ändern Sie es überall.
3. Zwei-Faktor-Authentifizierung (2FA) aktivieren: Nutzen Sie eine Authenticator-App (Aegis, 2FAS, Google Authenticator) statt SMS.
4. Aktive Sitzungen beenden: Melden Sie sich in allen Geräten ab und prüfen Sie die Login-Historie.
5. Konto auf Veränderungen prüfen: Überprüfen Sie E-Mail-Weiterleitungen, verknüpfte Konten und hinterlegte Zahlungsmethoden.
6. Bank informieren: Bei Verdacht auf Zahlungsbetrug sofort Karten sperren lassen.
7. Anzeige erstatten: Bei finanziellem Schaden bei der Polizei oder online bei der Zentralen Anlaufstelle Cybercrime.

Wann sollten Sie eine BfDI-Beschwerde einreichen?

Wenn ein deutsches Unternehmen Sie nicht ordnungsgemäß über ein Datenleck informiert hat oder Ihre Rechte nach DSGVO verletzt wurden, können Sie sich beim Bundesbeauftragten für den Datenschutz beschweren. Eine detaillierte Anleitung finden Sie in unserem Artikel BfDI Beschwerde einreichen: Schritt für Schritt Anleitung 2026.

Sichere Passwörter erstellen: Die Grundregeln 2026

Ein starkes Passwort ist Ihre erste Verteidigungslinie. Diese Regeln haben sich bewährt und entsprechen den aktuellen Empfehlungen des BSI und NIST:

• Mindestens 16 Zeichen: Länge schlägt Komplexität.
• Einzigartig pro Dienst: Jeder Account bekommt sein eigenes Passwort.
• Zufällig generiert: Keine Namen, Geburtsdaten oder Wörterbuchbegriffe.
• Passphrasen statt Passwörter: Vier zufällige Wörter (z. B. "Wolke-Traktor-Buch-Regen42") sind leicht zu merken und schwer zu knacken.
• Passwort-Manager verwenden: So müssen Sie sich nur noch ein einziges Master-Passwort merken.

Empfehlenswerte Passwort-Manager

• Bitwarden: Open Source, kostenlose Basisversion, cloud- oder self-hosted.
• KeePassXC: 100 % offline, ideal für Datenschutz-Enthusiasten.
• 1Password: Sehr benutzerfreundlich, kostenpflichtig.
• Proton Pass: Aus der Schweiz, DSGVO-konform, mit E-Mail-Aliasen.

Präventive Maßnahmen: So minimieren Sie das Risiko

Verwenden Sie E-Mail-Aliase

Dienste wie SimpleLogin, AnonAddy oder Apple Hide My Email erzeugen für jeden Anbieter eine eigene Wegwerf-Adresse. Kommt es zu einem Leak, wissen Sie sofort, welcher Anbieter betroffen ist – und können die Alias-Adresse einfach deaktivieren.

Setzen Sie auf datenschutzfreundliche Browser

Browser wie Firefox, Brave oder LibreWolf blockieren Tracker und Fingerprinting-Techniken, die Angreifern die Profilerstellung erleichtern. Einen umfassenden Vergleich finden Sie in unserem Artikel zu den besten datenschutzfreundlichen Browsern 2026.

Nutzen Sie verschlüsseltes DNS

DNS over HTTPS (DoH) oder DNS over TLS (DoT) verhindern, dass Dritte Ihre Namensauflösungen mitlesen. Anbieter wie Quad9, Cloudflare 1.1.1.1 oder der DNS des BfDI (dns.bund.de) bieten dies kostenlos an.

Vorsicht bei Kurzlinks und QR-Codes

Angreifer verstecken Phishing-Seiten oft hinter Link-Kürzern oder QR-Codes. Nutzen Sie einen vertrauenswürdigen Dienst wie Lunyb, der transparente Link-Vorschau, Klick-Statistiken und Malware-Schutz bietet. Mehr dazu in unserem Vergleich Lunyb vs Bitly sowie in der Anleitung zum QR-Code kostenlos erstellen.

Erkennen Sie Phishing-Anrufe

Immer häufiger werden Zugangsdaten durch "Vishing" (Voice Phishing) abgegriffen. Wie Sie betrügerische Anrufe erkennen, erklären wir in unserem Praxis-Leitfaden zu Betrugs-Telefonnummern.

Häufige Mythen rund um geleakte Passwörter

Mythos 1: "Ich bin nicht interessant genug für Hacker"

Falsch. Die meisten Angriffe sind automatisiert und richten sich nicht gegen Einzelpersonen, sondern gegen Massen. Jedes Konto ist wertvoll – sei es für Spam-Versand, Kryptowährungsbetrug oder Weiterverkauf im Darknet.

Mythos 2: "Ein Sonderzeichen macht mein Passwort sicher"

Nicht mehr zeitgemäß. Ein 20-stelliges Passwort aus vier zufälligen Wörtern ist deutlich sicherer als "P@ssw0rt1!".

Mythos 3: "Passwort-Manager sind ein Sicherheitsrisiko"

Das Gegenteil ist der Fall. Ein guter Passwort-Manager verschlüsselt Ihre Daten Ende-zu-Ende. Das Risiko, dass Ihr Tresor gehackt wird, ist wesentlich geringer als das Risiko, wiederverwendete Passwörter zu nutzen.

Mythos 4: "2FA per SMS ist ausreichend"

SMS-basierte 2FA ist anfällig für SIM-Swapping-Angriffe. Nutzen Sie stattdessen Authenticator-Apps oder Hardware-Schlüssel (YubiKey, Nitrokey).

Checkliste: Ihre monatliche Passwort-Routine

• ☐ E-Mail-Adressen bei HIBP und HPI prüfen
• ☐ Passwort-Manager-Bericht durchgehen
• ☐ Schwache und mehrfach verwendete Passwörter ersetzen
• ☐ 2FA-Backup-Codes an sicherem Ort aufbewahren
• ☐ Aktive Sitzungen bei wichtigen Diensten überprüfen
• ☐ Alte, ungenutzte Konten löschen

FAQ: Häufige Fragen zu geleakten Passwörtern

Wie oft sollte ich prüfen, ob mein Passwort geleakt wurde?

Wir empfehlen eine Überprüfung mindestens einmal im Monat. Zusätzlich sollten Sie Dienste wie Have I Been Pwned oder Firefox Monitor abonnieren, damit Sie automatisch benachrichtigt werden, sobald Ihre E-Mail-Adresse in einem neuen Leak auftaucht.

Ist es sicher, mein Passwort auf Have I Been Pwned einzugeben?

Ja. Have I Been Pwned nutzt das sogenannte k-Anonymity-Verfahren. Ihr Passwort wird lokal in Ihrem Browser als SHA-1-Hash berechnet, und nur die ersten fünf Zeichen des Hashes werden an den Server gesendet. Ihr vollständiges Passwort verlässt Ihren Computer nie.

Was ist der Unterschied zwischen einem Datenleck und einem Hack?

Ein Datenleck (Data Breach) bezeichnet jede unbefugte Offenlegung von Daten – ob durch Hackerangriffe, Fehlkonfigurationen oder Insider. Ein Hack ist eine spezielle Form davon, bei der Angreifer aktiv in Systeme eindringen. Aus Ihrer Sicht als Nutzer sind die Konsequenzen jedoch gleich: Ihre Daten sind in falschen Händen.

Muss ich mein Passwort ändern, obwohl der Dienst gar nicht gehackt wurde?

Wenn Sie dasselbe Passwort auch bei anderen Diensten verwendet haben, ja. Kriminelle testen geleakte Zugangsdaten automatisiert bei hunderten Diensten. Deshalb gilt: Ein Passwort – ein Dienst. Andernfalls sind Ihre anderen Konten ebenfalls gefährdet.

Kann ich mich zusätzlich versichern lassen gegen Identitätsdiebstahl?

Ja, in Deutschland bieten Anbieter wie SCHUFA IdentSafe, Arag oder verschiedene Rechtsschutzversicherungen entsprechende Bausteine an. Diese ersetzen jedoch keine gute Präventions-Hygiene. Investieren Sie zuerst in einen Passwort-Manager, 2FA und regelmäßige Leak-Checks – das ist deutlich wirksamer als jede Versicherung im Nachhinein.

Fazit

Zu prüfen, ob Ihr Passwort geleakt wurde, ist keine Kür, sondern Pflicht. Mit den vorgestellten Tools – allen voran Have I Been Pwned und dem HPI Identity Leak Checker – benötigen Sie weniger als fünf Minuten für eine gründliche Kontrolle. In Kombination mit einem Passwort-Manager, Zwei-Faktor-Authentifizierung und einer gesunden Portion Skepsis gegenüber verdächtigen Links und Anrufen schützen Sie sich effektiv vor den häufigsten Angriffsszenarien 2026.

Machen Sie den Check heute. Ihre digitalen Identitäten werden es Ihnen danken.