Alle paar Wochen dieses Jahr gab es eine neue Schlagzeile über einen Datenleak. Der erste Impuls ist, sich vage gefährdet zu fühlen und dann nichts zu tun, weil überhaupt nicht klar ist, was „gefährdet“ für dich persönlich bedeutet. Es gibt einen schnellen Weg, diese vage Sorge in eine konkrete Antwort zu verwandeln: Prüfe, ob deine eigene E-Mail-Adresse oder dein Passwort in einem bekannten Datenleak auftaucht – mit einem kostenlosen Tool, das genau dafür entwickelt wurde. So gehst du richtig vor, und – der Teil, den die meisten überspringen – das solltest du tatsächlich tun, sobald du die Ergebnisse hast.

Was Have I Been Pwned eigentlich ist

Have I Been Pwned (HIBP) ist ein kostenloser Dienst zur Suche nach Datenleaks, der vom Sicherheitsforscher Troy Hunt entwickelt und betrieben wird. Er sammelt Daten aus bereits geschehenen Datenleaks – Unternehmensmeldungen, von Sicherheitsforschern entdeckte Daten und manchmal öffentlich kursierende gestohlene Datensätze – und erstellt einen Index der darin auftauchenden E-Mail-Adressen und Passwörter, sodass du suchen kannst, ohne selbst etwas herunterladen zu müssen. Es ist kein staatliches Tool, wird aber von Regierungen genutzt: In diesem Jahr verwenden 47 nationale Regierungen den Dienst, um ihre eigenen offiziellen Domains auf Datenleaks zu überwachen; Nepal ist zuletzt hinzugekommen. Das ist ein vernünftiges Zeichen dafür, dass es sich um einen seriösen, weithin genutzten Dienst und nicht um eine Trick-Website handelt – und das ist wichtig, denn Nachahmer und ähnlich aussehende Seiten zur Prüfung auf Datenleaks gibt es durchaus (mehr dazu weiter unten).

Schritt 1: Prüfe jede E-Mail-Adresse, die du tatsächlich verwendest

Gehe direkt zu haveibeenpwned.com – gib die URL selbst ein, statt auf einen Link aus einer E-Mail oder Anzeige zu klicken. Gib deine E-Mail-Adresse ein und starte die Suche. Tu das für jede Adresse, die du verwendest, nicht nur für deine wichtigste: dein altes Hotmail- oder Yahoo-Konto von vor zehn Jahren, deine Arbeits-E-Mail-Adresse und die Wegwerfadresse, mit der du dich in Foren registriert hast. Alte, halb vergessene Konten sind häufig diejenigen, die in den ältesten und am schlechtesten geschützten Datenleaks auftauchen. Wenn du ein Passwort von einem dieser Konten jemals irgendwo anders wiederverwendet hast, ist diese Wiederverwendung das eigentliche Risiko.

Schritt 2: Lies, welche Daten durch den Datenleak tatsächlich offengelegt wurden – überfliege nicht einfach nur die Anzahl

Die Meldung „Diese E-Mail-Adresse ist in 6 Datenleaks aufgetaucht“ ist für sich genommen nicht hilfreich. Klicke jeden einzelnen an. HIBP führt auf, welche Datenkategorien durch den jeweiligen Datenleak offengelegt wurden – zum Beispiel E-Mail-Adressen, Passwörter (meist als Hashes gespeichert, manchmal im Klartext, je nachdem, wie schlecht das Unternehmen die Sicherheit gehandhabt hat), Namen, Telefonnummern, Wohnadressen oder IP-Adressen. Ein Datenleak, durch den nur deine E-Mail-Adresse in eine Marketingliste gelangt ist, stellt ein anderes Problem dar als ein Leak, durch den deine E-Mail-Adresse zusammen mit einem Klartextpasswort und deiner Wohnadresse offengelegt wurde. Beurteile die Dringlichkeit danach, was tatsächlich gestohlen wurde, nicht danach, wie bekannt der Name des Datenleaks ist.

Beachte außerdem, dass HIBP eine separate Kategorie für „sensible“ Datenleaks führt – Websites, bei denen bereits die Tatsache, dass jemand dort Mitglied ist, sensibel ist (zum Beispiel Dienste mit Inhalten für Erwachsene oder gesundheitsbezogene Angebote). Diese werden in den Standardergebnissen nicht angezeigt; du musst ausdrücklich zustimmen, um sie zu sehen. Das ist eine bewusste Datenschutzentscheidung von HIBP und kein Fehler.

Schritt 3: Prüfe deine Passwörter getrennt von deiner E-Mail-Adresse

HIBP verfügt über ein zweites, eigenständiges Tool namens Pwned Passwords. Es beantwortet eine andere Frage: Ist dieses konkrete Passwort jemals in einem Korpus aus Datenleaks aufgetaucht, unabhängig davon, mit welcher Website es verknüpft war? Das ist wichtig, weil ein Passwort kompromittiert sein kann, selbst wenn nicht dein konkretes Konto von dem Datenleak betroffen war – etwa wenn du dasselbe Passwort an anderer Stelle verwendet hast, die gehackt wurde. Das Tool ist so konzipiert, dass du dein vollständiges Passwort zur Prüfung niemals überträgst: Es verwendet eine Technik (k-Anonymität), bei der nur ein kleiner Teil des Passwort-Hashs gesendet wird und der Abgleich erfolgt, ohne dass HIBP jemals das vollständige Passwort sieht. In der Praxis ist die Schlussfolgerung einfacher als der Mechanismus: Es ist sicher, ein Passwort dort zu prüfen, aber gib niemals ein echtes Passwort in eine andere Website zur „Prüfung auf Datenleaks“ ein, die nicht HIBP selbst ist.

Was du mit den Ergebnissen tatsächlich tun solltest

Das ist der Schritt, den die meisten überspringen – sie prüfen, sind kurz alarmiert und schließen den Tab. Arbeite diese Liste für alles durch, was angezeigt wurde:

  • Passwort als offengelegt angezeigt: Ändere es jetzt auf dieser konkreten Website – und auf jeder anderen Website, auf der du dasselbe oder ein ähnliches Passwort verwendet hast. Sei hier ehrlich zu dir selbst: Die Wiederverwendung von Passwörtern ist heute der mit Abstand häufigste Grund dafür, dass aus einem alten Datenleak mehrere kompromittierte Konten werden.
  • Konto mit offengelegtem Passwort: Aktiviere die Zwei-Faktor-Authentifizierung (2FA) oder wechsle, falls angeboten, zu einem Passkey. Das ist der Schritt, der den Schaden tatsächlich begrenzt, falls künftig erneut ein Passwort geleakt wird – er ist nachhaltiger als jede einzelne Passwortänderung.
  • Sicherheitsfragen oder -antworten waren Teil des Datenleaks: Behandle diese konkreten Antworten ab jetzt als dauerhaft öffentlich. Verwende die echte Antwort nirgendwo anders; falls die Website es zulässt, ersetze sie stattdessen durch eine zufällige Zeichenfolge, die du in einem Passwortmanager speicherst, und nicht durch eine tatsächliche Information über dich.
  • Finanzdaten, staatliche Identifikationsnummern oder die SSN waren Teil des Datenleaks: Hier reicht eine Passwortänderung nicht aus. Informiere dich bei den großen Kreditauskunfteien über eine Kreditsperre oder eine Betrugswarnung und beobachte in den folgenden Monaten die Kontoauszüge dieses Kontos auf unbekannte Aktivitäten.
  • Der Datenleak ist alt und du hast das Passwort seitdem bereits geändert: Du musst wahrscheinlich nichts erneut unternehmen – aber überprüfe sicherheitshalber, dass du dieses alte Passwort nicht in ein neueres Konto übernommen hast.
  • Du hast mehrere alte, wiederverwendete Passwörter gefunden: Das ist der richtige Moment, einen Passwortmanager zu verwenden, der künftig einzigartige Passwörter erzeugt und speichert, damit diese Übung nicht nächstes Jahr wieder zu einem Notfall wird.

Richte Benachrichtigungen ein, damit du das nicht für immer manuell erledigen musst

HIBP bietet ein kostenloses Abonnement „Benachrichtige mich“ an: Registriere deine E-Mail-Adresse(n), und der Dienst schickt dir automatisch eine E-Mail, wenn sie in einem künftigen Datenleak auftauchen, statt darauf angewiesen zu sein, dass du dich selbst an die Prüfung erinnerst. Das lohnt sich für jede E-Mail-Adresse, nach der du in Schritt 1 gesucht hast – so wird aus einer einmaligen Prüfung eine fortlaufende Überwachung, ohne dass du dich regelmäßig darum kümmern musst.

Was dieses Tool dir nicht sagen kann

Es lohnt sich, sich über die Grenzen des Ganzen im Klaren zu sein. HIBP kann nur über Datenleaks berichten, die entdeckt, offengelegt und in seine Datenbank aufgenommen wurden – es hat keinen Einblick in Daten, die gestohlen, aber noch nicht entdeckt wurden, privat verkauft werden oder in Stealer-Log-Sammlungen liegen, die nie öffentlich geworden sind. Ein sauberes Ergebnis („Gute Nachrichten – kein Pwnage gefunden!“) bedeutet, dass kein *bekannter* öffentlicher Datenleak diese E-Mail-Adresse enthält. Es ist keine Garantie dafür, dass deine Konten unangetastet sind, und kein Ersatz für grundlegende Sicherheitsmaßnahmen wie einzigartige Passwörter und 2FA. Betrachte eine saubere Suche als einen einzelnen Datenpunkt, nicht als Unbedenklichkeitsbescheinigung.

Noch etwas: Vertraue nur der echten Website

Da die Angst vor Datenleaks selbst von Betrügern ausgenutzt wird, solltest du genau darauf achten, wo du die Prüfung durchführst. Verwende direkt haveibeenpwned.com und keinen Link, der in einer E-Mail oder SMS weitergeleitet wurde und angeblich eine „Warnung vor einem Datenleak“ enthält – das ist ein klassischer Phishing-Versuch. Das legitime Tool zur Passwortprüfung benötigt niemals dein vollständiges Passwort; wenn dich eine Website auffordert, ein komplettes Passwort einzugeben, um zu „prüfen, ob es geleakt wurde“, ist das ein Warnsignal und keine Funktion.

Kurze Checkliste

  • Suche jede E-Mail-Adresse, die du jemals regelmäßig verwendet hast, auf haveibeenpwned.com
  • Öffne jedes Ergebnis eines Datenlecks und lies nach, welche Daten tatsächlich gestohlen wurden
  • Überprüfe deine häufig verwendeten Passwörter mit dem separaten Tool „Pwned Passwords“
  • Ändere jedes offengelegte Passwort überall dort, wo du es wiederverwendet hast
  • Aktiviere 2FA oder Passkeys für deine wichtigen Konten, insbesondere für dein E-Mail-Konto
  • Lass deine Kreditwürdigkeit sperren, wenn Finanz- oder Ausweisdaten offengelegt wurden
  • Melde dich für jedes E-Mail-Konto für kostenlose Benachrichtigungen über künftige Datenlecks an
  • Beginne mit der Nutzung eines Passwort-Managers, falls du das noch nicht tust