--- id: CP-349 slug: have-i-been-pwned-e-mail-adresse-datenleck-pruefen lang: de title: Prüfen, ob die eigene Adresse in einem Datenleck auftaucht description: Ein Datenleck bringt Ihr Passwort in Umlauf. Wie Sie sofort reagieren und warum eine Adresse, die in einer Datenbank fehlt, nichts beweist. canonical_url: https://startbrain.io/cyberpedia/de/articles/have-i-been-pwned-e-mail-adresse-datenleck-pruefen/ markdown_url: https://startbrain.io/cyberpedia/de/articles/have-i-been-pwned-e-mail-adresse-datenleck-pruefen.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Prüfen, ob die eigene Adresse in einem Datenleck auftaucht“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/have-i-been-pwned-e-mail-adresse-datenleck-pruefen/ (CC BY 4.0) wing: 5 theme: master_passwords reflex: cr-022 schema: G2 updated: "2026-11-03" translations: de: https://startbrain.io/cyberpedia/de/articles/have-i-been-pwned-e-mail-adresse-datenleck-pruefen/ fr: https://startbrain.io/cyberpedia/fr/articles/have-i-been-pwned-verifier-fuite-courriel/ en: https://startbrain.io/cyberpedia/en/articles/have-i-been-pwned-check-email-breach/ es: https://startbrain.io/cyberpedia/es/articles/have-i-been-pwned-comprobar-filtracion-correo/ sources: - "n": 1 title: Pourquoi et comment bien gérer ses mots de passe ? publisher: Cybermalveillance.gouv.fr url: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe published: "2019-11-23" accessed: "2026-11-03" - "n": 2 title: NIST Special Publication 800-63B publisher: NIST url: https://pages.nist.gov/800-63-3/sp800-63b.html accessed: "2026-11-03" - "n": 3 title: Use Strong Passwords publisher: CISA url: https://www.cisa.gov/secure-our-world/use-strong-passwords accessed: "2026-11-03" - "n": 4 title: Use a strong and separate password for your email publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/top-tips-for-staying-secure-online/use-a-strong-and-separate-password-for-email published: "2018-12-17" accessed: "2026-11-03" - "n": 5 title: Les conseils de la CNIL pour un bon mot de passe publisher: CNIL url: https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe published: "2017-01-26" accessed: "2026-11-03" - "n": 6 title: Recognize and Report Phishing publisher: CISA url: https://www.cisa.gov/secure-our-world/recognize-and-report-phishing accessed: "2026-11-03" - "n": 7 title: "Phishing scams: how to spot and report them" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/phishing-scams published: "2021-11-26" accessed: "2026-11-03" --- # Prüfen, ob die eigene Adresse in einem Datenleck auftaucht Wenn ein Unternehmen oder eine Website gehackt wird, können die Zugangsdaten seiner Kundinnen und Kunden in falsche Hände geraten. Zu wissen, ob die eigene Adresse in einer Datenbank mit Datenlecks steht, kann beruhigen oder alarmieren, ersetzt aber nicht den sorgfältigen Umgang mit Passwörtern. Dieser Beitrag behandelt, was maßgebliche öffentliche Stellen nach einem Datenleck empfehlen: das Passwort sofort ändern, es nicht wiederverwenden, die Zwei-Faktor-Authentifizierung aktivieren und falschen Warnmeldungen misstrauen. ## In 30 Sekunden - Wo es passiert: Ein Dienst, bei dem Sie ein Konto haben, wird gehackt, und die Meldung oder ein Gerücht darüber erreicht Sie [1]. - Was der Angreifer will: wiederverwendete Passwörter ausnutzen: Ein kompromittiertes Passwort macht jeden Dienst angreifbar, bei dem es verwendet wird [1]. - Der Reflex: das betroffene Passwort sofort ändern, es nirgends sonst verwenden und die Zwei-Faktor-Authentifizierung aktivieren [1]. - Wenn es schon passiert ist: Wenn dasselbe Passwort für Ihr E-Mail-Konto gilt, ändern Sie das E-Mail-Passwort so bald wie möglich [4]. ## Direkte Fragen ### Was ist ein Datenleck? Ein Angreifer kann verschlüsselte (gehashte) Passwörter erbeuten, indem er in eine Datenbank eindringt. Das NIST nennt dies eine „database breach“ [2]. Die CISA schildert den Fall einer Nutzerin, deren Passwort Teil eines online veröffentlichten Unternehmensdatenlecks war [3]. Das Passwort ist dann nicht mehr geheim, auch wenn Ihr eigener Computer nie betroffen war. ### Muss ich die Bestätigung eines Datenlecks abwarten, bevor ich handle? Nein. Cybermalveillance.gouv.fr empfiehlt, bei Zweifeln an der Sicherheit eines Kontos oder wenn Sie erfahren, dass ein Unternehmen, bei dem Sie ein Konto haben, gehackt wurde, nicht abzuwarten, ob es stimmt. Das betroffene Passwort muss sofort geändert werden, bevor es in falsche Hände gerät [1]. ### Was tun, wenn meine Adresse in einem Datenleck auftaucht? Ändern Sie das Passwort des betroffenen Dienstes. Falls Sie es für Ihr E-Mail-Konto verwendet haben, ändern Sie das E-Mail-Passwort so bald wie möglich [4]. Wählen Sie danach für jeden Dienst ein eigenes Passwort, damit bei Verlust oder Diebstahl eines einzelnen Passworts nur dieser eine Dienst verwundbar ist [1]. Aktivieren Sie schließlich die Zwei-Faktor-Authentifizierung, sobald der Dienst sie anbietet [5]. ### Warum steht das E-Mail-Konto an erster Stelle? Dort kommen die Links zum Zurücksetzen der Passwörter Ihrer anderen Konten an. Ein Cyberkrimineller, der es hackt, kann die Funktion „Passwort vergessen“ der Dienste nutzen, auf die Sie zugreifen, auch Ihres Bankkontos, um sie zu übernehmen [1]. Das NCSC fügt hinzu, dass er außerdem Ihre privaten Informationen lesen und in Ihrem Namen Nachrichten verschicken könnte [4]. ### Und wenn meine Adresse in der abgefragten Datenbank nicht auftaucht? Die Empfehlung hängt nicht vom Ergebnis einer Prüfung ab: das Passwort bei Zweifel ändern, es nicht wiederverwenden, die Zwei-Faktor-Authentifizierung aktivieren [1][5]. Ein leeres Ergebnis entbindet daher von keiner dieser Maßnahmen. ## So funktioniert es Gestohlene Passwörter dienen zunächst dazu, andere Passwörter zu erraten. Das NIST stellt fest, dass die Wahl der Nutzer sehr vorhersehbar ist und dass Angreifer Passwörter ausprobieren, die schon einmal funktioniert haben, insbesondere solche aus früheren Datenlecks [2]. Dasselbe Dokument empfiehlt, dass ein Dienst die gewählten Passwörter mit einer Liste von Werten abgleicht, die als gängig, erwartbar oder kompromittiert bekannt sind, zum Beispiel Passwörter aus früheren Datenlecks [2]. Dieser Text stammt vom Juni 2017 und ist seit dem 1. August 2025 durch eine neuere Fassung ersetzt [2]. Das Risiko wächst, wenn ein Passwort an mehreren Stellen verwendet wird. Haben Sie es wiederverwendet, genügt es den Kriminellen, ein einziges zu kennen, um auf alle Ihre Konten zuzugreifen [4]. Das ist das von der CISA beschriebene Szenario: Eine Nutzerin sieht eine Überweisung von 700 Dollar, die sie nicht veranlasst hat, kann sich nicht mehr bei ihrer Bank und dann nicht mehr bei ihrem E-Mail-Konto anmelden, weil sie bei beiden dasselbe Passwort hatte. Später erfährt sie, dass dieses Passwort Teil eines online veröffentlichten Unternehmensdatenlecks war [3]. ## Was Sie tun Nach einem Datenleck oder bei dem geringsten Zweifel begrenzt die folgende Reihenfolge den Schaden, vom Dringendsten zum Dauerhaftesten. - Ändern Sie zuerst das Passwort des betroffenen Dienstes [1]. Falls Sie es für das E-Mail-Konto wiederverwendet hatten, ändern Sie auch dessen Passwort [4]. - Wählen Sie ein langes, zufälliges Passwort. Die CISA nennt mindestens 16 Zeichen, entweder eine Zufallszeichenfolge oder einen Satz aus 4 bis 7 Wörtern ohne Zusammenhang [3]. Cybermalveillance.gouv.fr nennt als Minimum 12 Zeichen aus Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen [1]. - Ein Passwort pro Konto. Die CNIL verlangt für jedes sensible Konto ein eigenes, einmaliges Passwort: Bank, E-Mail, soziales Netzwerk [5]. - Vertrauen Sie die Passwörter einem Passwortmanager an. Die CISA merkt an, dass es für die meisten Menschen unmöglich ist, sich lange, zufällige und einmalige Passwörter für jedes Konto zu merken, und dass diese Werkzeuge sie erzeugen, speichern und auf schwache oder wiederverwendete Passwörter hinweisen [3]. - Aktivieren Sie die Zwei-Faktor-Authentifizierung, vor allem für E-Mail, soziale Netzwerke und Finanzkonten [3]. Das NCSC erläutert, dass sie einen Kriminellen am Zugriff auf das E-Mail-Konto hindert, selbst wenn er das Passwort kennt [4]. Wenden Sie bei einem dienstlichen Konto dieselben Maßnahmen an und befolgen Sie die Vorgaben Ihrer Organisation. Das NCSC verlangt, dass das Passwort des E-Mail-Kontos für kein anderes Konto verwendet wird, weder privat noch im Büro [4]. ## Die Fallstricke ### Die falsche Warnmeldung zu einem Datenleck Eine Nachricht, die ein Datenleck meldet und Sie zur Anmeldung drängt, kann Phishing sein. Die CISA nennt als häufige Merkmale dringliche oder emotionale Sprache, die Frage nach persönlichen oder finanziellen Angaben, unseriöse verkürzte Links sowie falsche Adressen oder Links, etwa „amazan.com“ [6]. Rechtschreibfehler sind kein verlässliches Indiz mehr: Im Zeitalter der künstlichen Intelligenz sind manche E-Mails in diesem Punkt fehlerfrei [6]. Klicken Sie bei einer zweifelhaften Nachricht, die echt sein könnte, auf keinen Link und rufen Sie keine darin genannte Nummer an. Suchen Sie die Website der Organisation selbst auf oder tippen Sie ihre Adresse ein, und entnehmen Sie die Kontaktdaten der geprüften Website [6]. Im Beispiel der CISA meldete eine E-Mail eine abgelehnte Zahlung und drängte zur Anmeldung. Der getäuschte Nutzer gab sein Passwort und seine Kartendaten preis und bekam den größten Teil seiner Verluste erst nach langen Stunden am Telefon zurück [6]. Cybermalveillance.gouv.fr fügt hinzu, dass kein seriöses Unternehmen und keine seriöse Organisation jemals per E-Mail oder Telefon nach Ihrem Passwort fragt, auch nicht für „Wartung“ oder „IT-Support“. Wird es von Ihnen verlangt, handelt es sich um einen Hackerangriff oder Betrugsversuch [1]. Eine falsche Leck-Meldung, die Ihr Passwort verlangt, fällt unter diesen Fall. Zum Melden der Nachricht gibt die CISA an, dass sich eine Option meist in der Nähe der Absenderadresse oder in der Schaltfläche „Spam melden“ findet. Sie rät, die Nachricht danach zu löschen, ohne zu antworten oder zu klicken, auch nicht auf einen Abmeldelink [6]. Das britische NCSC erklärt, dass es betrügerische Adressen und Websites untersuchen und entfernen lassen kann und dass eine Meldung eine Minute dauert [7]. ### Das trügerische Sicherheitsgefühl Nicht in einer abgefragten Datenbank mit Datenlecks zu stehen, entbindet nicht von den bewährten Verfahren. Die Regel gilt in jedem Fall: ein anderes Passwort pro Konto, lange Passwörter und die Zwei-Faktor-Authentifizierung [1][3][5]. ### Das Passwort am falschen Ort notiert Nach einer Änderung ist es verlockend, das neue Passwort in einer Datei oder Nachricht aufzubewahren. Die CNIL rät von Haftnotizen, Textdateien, dem Smartphone und dem E-Mail-Postfach ab und davon, sie jemals im Browser eines gemeinsam genutzten Computers zu speichern [5]. ## Quellen 1. Cybermalveillance.gouv.fr, „Pourquoi et comment bien gérer ses mots de passe ?“, 23. November 2019. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe (abgerufen am 3. November 2026) 2. NIST, „NIST Special Publication 800-63B“. https://pages.nist.gov/800-63-3/sp800-63b.html (abgerufen am 3. November 2026) 3. CISA, „Use Strong Passwords“. https://www.cisa.gov/secure-our-world/use-strong-passwords (abgerufen am 3. November 2026) 4. NCSC (Royaume-Uni), „Use a strong and separate password for your email“, 17. Dezember 2018. https://www.ncsc.gov.uk/collection/top-tips-for-staying-secure-online/use-a-strong-and-separate-password-for-email (abgerufen am 3. November 2026) 5. CNIL, „Les conseils de la CNIL pour un bon mot de passe“, 26. Januar 2017. https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe (abgerufen am 3. November 2026) 6. CISA, „Recognize and Report Phishing“. https://www.cisa.gov/secure-our-world/recognize-and-report-phishing (abgerufen am 3. November 2026) 7. NCSC (Royaume-Uni), „Phishing scams: how to spot and report them“, 26. November 2021. https://www.ncsc.gov.uk/collection/phishing-scams (abgerufen am 3. November 2026) --- Originalquelle: Cyberpedia, die öffentliche Enzyklopädie zu Cybersicherheit und KI von Brain. Kanonische Version: https://startbrain.io/cyberpedia/de/articles/have-i-been-pwned-e-mail-adresse-datenleck-pruefen/ Sie dürfen diesen Text unter der Lizenz CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) frei weiterverwenden, sofern Sie „Brain, Cyberpedia“ mit einem Link auf die obige Adresse nennen.