Passwort-Sicherheit · Warnung prüfen
Ist dein Passwort in einem Datenleck aufgetaucht?
Wenn deine E-Mail-Adresse in einem bekannten Datenleck auftaucht, bedeutet das noch nicht automatisch, dass dein aktuelles Passwort bekannt ist oder jemand dein Konto übernommen hat. Gefährlich wird auch ein älterer Fund jedoch dann, wenn du das betroffene Passwort oder eine erkennbare Variante noch verwendest.
Bevor du einzelne Passwörter änderst, solltest du klären, ob nur eine Warnung vorliegt oder bereits jemand dein Konto benutzt.
Kannst du dich nicht mehr anmelden, wurden Recovery-Daten geändert oder erscheinen fremde Nachrichten und Transaktionen, wechsle direkt zur Hilfe für ein gehacktes Konto. Solange dein Zugriff normal funktioniert, kannst du die Warnung über einen selbst aufgerufenen Prüfdienst verifizieren.
Die erste Abzweigung
Ist es eine Warnung oder bereits ein Kontonotfall?
Welche Schritte zuerst nötig sind, hängt davon ab, ob dein Kontozugang noch unverändert funktioniert.
Warnung prüfen
Du kannst dich normal anmelden
Wenn eine Nachricht oder ein Prüfdienst offengelegte Daten meldet, du aber keine fremden Änderungen bemerkst, kannst du Quelle, Datum und betroffene Datenart in Ruhe nachprüfen.
Kontonotfall
Zugriff oder Kontodaten wurden verändert
Ist ein unbekanntes Gerät aktiv, wurden Daten zur Wiederherstellung verändert oder passiert in deinem Namen bereits etwas, musst du den Zugang sofort sichern oder zurückholen.
Datensparsam vorgehen
Wie prüfst du eine Datenleck-Warnung sicher?
Damit die Überprüfung nicht selbst zur Phishingfalle wird, rufst du alle beteiligten Dienste auf einem selbst gewählten, offiziellen Weg auf.
Öffne keinen Warnlink blind
Rufe den betroffenen Dienst oder einen Prüfanbieter über eine selbst eingegebene oder geprüfte offizielle Adresse auf.
Prüfe zunächst nur die E-Mail-Adresse
Die drei verglichenen Adressdienste beginnen mit deiner E-Mail-Adresse. Gib dein aktuelles Klartextpasswort nicht in ein unbekanntes Formular ein.
Vergleiche Absender und Anlass
Prüfe die Sicherheitsseite des angeblich betroffenen Anbieters. Antworte nicht auf eine verdächtige Nachricht.
Notiere Datum und Datenarten
Für die nächsten Schritte ist wichtiger, ob Passwort-, Profil-, Zahlungs- oder Identitätsdaten betroffen sind, als die bloße Zahl der Treffer.
Stand: 20. August 2026
Welche seriösen Prüfdienste gibt es?
Die Dienste greifen auf unterschiedliche Datenbestände zurück und zeigen ihre Ergebnisse auf verschiedene Weise an. Deshalb kann ein fehlender Treffer bei keinem Angebot garantieren, dass deine Daten in keinem Leak vorkommen.
| Dienst | Eingabe und Ergebnis | Datenschutz und Grenze |
|---|---|---|
| HPI Identity Leak Checker | E-Mail-Adresse; der Dienst ordnet bekannte Treffer und betroffene Datenarten ein. | Deutsch und Englisch. Laut HPI werden Adressen in der durchsuchbaren Datenbank verschleiert gespeichert. Der Dienst kennt nur die von ihm erfassten Leaks. |
| Leak Checker der Universität Bonn | E-Mail-Adresse; das Ergebnis wird an diese Adresse gesendet. | Deutsch und Englisch. Die Datenschutzerklärung beschreibt Hashwerte für Missbrauchsschutz und eine flüchtige Klartextverarbeitung bis zum Versand. Der Datenbestand ist nicht vollständig. |
| Have I Been Pwned | E-Mail-Adresse; bekannte Leaks und betroffene Datenarten erscheinen direkt auf der Seite. | Englisch. Die Suche wird laut Datenschutzerklärung nicht ausdrücklich gespeichert; der Dienst läuft mit Infrastruktur in den USA. Sensible oder unbekannte Leaks können fehlen. |
Wenn du unsicher bist, prüfe zusätzlich die offizielle Sicherheitsseite des betroffenen Anbieters, denn ein externer Checker kann eine konkrete Meldung des Dienstes weder bestätigen noch ersetzen.
Statischer Entscheidungsweg
Was bedeutet das Ergebnis für dich?
Richte dein weiteres Vorgehen nach der empfindlichsten genannten Datenart aus. Auf dieser Seite musst du dafür keine persönlichen Daten eingeben.
- E-Mail-Adresse und altes Passwort
Prüfe, wo du dieses Passwort oder erkennbare Varianten noch verwendest. Ersetze jede betroffene Verwendung durch ein vollständig neues Ergebnis.
- Nur E-Mail- oder Profildaten
Rechne mit glaubwürdiger wirkenden Phishingnachrichten. Öffne Sicherheitsmeldungen über die offizielle Website oder App statt über den Nachrichtenlink.
- Aktuelles Passwort oder Sicherheitsfrage
Behandle den Treffer als dringend. Sichere E-Mail und Recovery-Konten zuerst und ändere das betroffene Geheimnis auf der echten Dienstseite.
- Zahlungs- oder Identitätsdaten
Kontaktiere zusätzlich Anbieter, Bank oder zuständige offizielle Stelle. Beobachte Transaktionen, Bestellungen und Verträge.
- Nicht verifizierbare Warnung
Antworte nicht. Prüfe den angeblich betroffenen Dienst über seine selbst aufgerufene Sicherheitsseite und nutze einen etablierten Prüfdienst.
Jetzt absichern
Was solltest du jetzt in welcher Reihenfolge tun?
Beginne mit den Konten, über die sich weitere Zugänge zurücksetzen lassen, damit ein Angreifer deine späteren Änderungen nicht wieder rückgängig machen kann.
E-Mail und zentrale Recovery-Konten sichern
Ändere dort bei Bedarf zuerst das Passwort und prüfe Sitzungen, Geräte sowie Wiederherstellungsdaten.
Betroffenes Passwort auf der echten Seite ersetzen
Erzeuge ein neues einzigartiges Passwort. Nutze keinen Link aus der Warnnachricht.
Gleiche und abgeleitete Passwörter finden
Ändere auch Varianten mit derselben Wortbasis, Jahreszahl oder festen Ergänzung.
Sitzungen und unbekannte Geräte beenden
Ein Passwortwechsel beendet bestehende Anmeldungen nicht bei jedem Dienst automatisch.
Recovery-Daten und Weiterleitungen prüfen
Kontrolliere E-Mail-Adressen, Telefonnummern, Filter, Weiterleitungen und autorisierte Apps.
Folgen beobachten
Achte auf Phishingnachrichten, Sicherheitsmeldungen und ungewöhnliche Transaktionen.
Nach dem Passwortwechsel
Warum reicht ein neues Passwort manchmal nicht?
Auch nach dem Passwortwechsel können diese vier Zugangswege oder Risiken unabhängig vom alten Passwort bestehen bleiben.
- Aktive Sitzungen
- Bereits angemeldete Browser oder Apps können weiter funktionieren, bis du sie ausdrücklich abmeldest.
- Veränderte Recovery-Daten
- Eine fremde E-Mail-Adresse oder Telefonnummer kann einen späteren erneuten Zugriff ermöglichen.
- Weitere Konten mit demselben Muster
- Ein geleaktes Passwort oder eine erkennbare Variante kann bei anderen Diensten ausprobiert werden.
- Gezieltes Phishing
- Offengelegte Namen, Adressen oder Vertragsdaten lassen gefälschte Nachrichten glaubwürdiger wirken.
Dauerhaft vorbeugen
Wie verhinderst du Folgeschäden?
Du begrenzt mögliche Folgeschäden, indem du deine Konten mit unterschiedlichen Passwörtern voneinander trennst und unabhängige Ersatzwege vorbereitest.
- Ein Passwort pro Konto
Ein Passwortmanager hilft, lange und einzigartige Ergebnisse zu speichern, ohne ein Grundmuster wiederzuverwenden.
- Zweiter oder passwortloser Faktor
Aktiviere 2FA oder einen Passkey, damit ein bekanntes Passwort allein möglichst nicht ausreicht.
- Sicherheitsmeldungen
Lass Benachrichtigungen für Anmeldungen, Recovery-Änderungen und Zahlungen bei wichtigen Konten eingeschaltet.
- Wechsel mit Anlass
Ändere Passwörter bei Leak-, Phishing- oder Missbrauchsverdacht. Ein pauschaler monatlicher Komplettwechsel ist kein Ersatz für einzigartige Passwörter.
Häufige Fragen zu Passwort-Datenlecks
Diese Antworten klären die Grenzen von Prüfdiensten und besondere Eskalationsfälle.
Bedeutet ein Treffer, dass mein Konto gehackt wurde?
Nein. Ein Treffer zeigt zunächst nur, dass deine Adresse oder andere Daten in einem bekannten Datensatz vorkommen. Ob dein damaliges Passwort noch gültig ist oder jemand auf dein Konto zugegriffen hat, lässt sich daraus nicht ablesen. Wenn du den Zugriff verloren hast oder unbekannte Änderungen bemerkst, solltest du die Situation jedoch sofort als Kontonotfall behandeln.
Kann ich einem Leak-Checker mein Passwort geben?
Dein aktuelles Passwort solltest du niemals in ein unbekanntes Formular eingeben. Bei den hier verglichenen Diensten genügt die E-Mail-Adresse, um nach bekannten Treffern zu suchen. Rufe den gewählten Prüfdienst immer selbst über seine offizielle Adresse auf.
Was bedeutet kein Treffer?
Kein Treffer bedeutet lediglich, dass der verwendete Dienst deine Adresse in seinem bekannten Datenbestand nicht gefunden hat. Da kein Prüfdienst jedes Leak kennt, solltest du konkrete Sicherheitsmeldungen oder verdächtige Kontoänderungen trotzdem über die offiziellen Kanäle des betroffenen Dienstes prüfen.
Welches Passwort ändere ich zuerst?
Beginne mit deinem E-Mail-Konto und anderen zentralen Konten, über die sich Zugänge wiederherstellen lassen. Danach änderst du das betroffene Passwort auf der echten Website des Dienstes und ersetzt anschließend alle gleichen oder erkennbar abgeleiteten Passwörter bei weiteren Konten.
Muss ich auch ähnliche Passwortvarianten ersetzen?
Ja. Wenn nur die Jahreszahl wechselt oder ein Zeichen ergänzt wird, bleibt die gemeinsame Wortbasis für Angreifer leicht erkennbar. Erzeuge deshalb für jedes betroffene Konto ein vollständig neues Passwort, das mit den bisherigen Varianten nichts mehr gemeinsam hat.
Wann sollte ich Bank oder Polizei kontaktieren?
Wenn Zahlungsdaten betroffen sind oder unbekannte Transaktionen erscheinen, kontaktierst du deine Bank oder den Zahlungsdienst sofort über einen selbst recherchierten offiziellen Kontakt. Bei Identitätsmissbrauch, Bestellungen oder Verträgen in deinem Namen solltest du außerdem Belege sichern und dich an die zuständige Polizei oder eine Beratungsstelle wenden.
Als Nächstes
Welche Hilfe brauchst du jetzt?
Ob du gerade den Zugriff zurückholen, deine Passwörter dauerhaft trennen oder einen zusätzlichen Schutz einrichten möchtest, bestimmt den nächsten sinnvollen Ratgeber.
Konto zurückholen
Wenn du den Zugriff verloren hast oder unbekannte Änderungen siehst, findest du dort die richtige Reihenfolge für den Notfall.
Passwörter trennen
Ein Passwortmanager hilft dir, für jedes Konto eigene Zugangsdaten geschützt aufzubewahren.
Zusätzlichen Faktor einrichten
Bereite einen zweiten Schutz und einen unabhängigen Ersatzweg vor, bevor du 2FA aktivierst.