Wurden meine Daten geleakt? So prüfen Sie es und handeln nach einem Datenleck

Wurden meine Daten geleakt? Wie kann ich das prüfen?

Ein Datenleck ist nach der Formulierung von Have I Been Pwned (HIBP) ein Vorfall, bei dem Daten unbeabsichtigt in einem verwundbaren System offengelegt werden, meist durch unzureichende Zugriffskontrollen oder Sicherheitsschwächen in der Software ^[2]. HIBP bündelt Datenlecks, damit Menschen sehen können, wo ihre persönlichen Daten offengelegt wurden ^[2]. Am schnellsten finden Sie heraus, ob Ihre Daten geleakt wurden, indem Sie dort Ihre E-Mail-Adresse suchen.

Stand 3. November 2026 nennt die Startseite von HIBP 1.048 betroffene Websites und 17.846.896.404 betroffene Adressen ^[1]. Die öffentliche Suche liefert Ergebnisse immer nur für 1 E-Mail-Adresse oder 1 Benutzernamen ^[2]. Die Suche nach einer ganzen Domain ist eine eigene Funktion, bei der Sie nachweisen müssen, dass Sie zum Zugriff auf diese Domain berechtigt sind ^[2].

Warum kann ein Datenleck in meinen Ergebnissen fehlen?

HIBP stuft manche Datenlecks als „sensibel“ ein. Nur der verifizierte Inhaber einer E-Mail-Adresse kann sie sehen, indem er sich im Dashboard anmeldet und bestätigt, dass er unter dieser Adresse E-Mails empfangen kann ^[2]. HIBP listet 90 sensible Datenlecks, darunter Ashley Madison und Adult FriendFinder (2015 und 2016) ^[2]. Eine einfache Suche zeigt daher nicht alles, was Ihre Adresse betreffen könnte.

Bedeutet ein sauberes Ergebnis, dass meine Daten sicher sind?

Nein. HIBP sagt, die Suche decke die meisten Datenlecks ab, sensible erforderten eine Anmeldung ^[2]. Nach der Schlussfolgerung dieses Leitfadens kann ein Datenleck, das nicht in den Dienst geladen wurde, gar nicht erscheinen. Bei Passwörtern bedeutet „no pwnage found“ laut HIBP nicht zwingend, dass es ein gutes Passwort ist, sondern nur, dass es auf der Seite nicht indexiert ist ^[4]. Sehen Sie ein sauberes Ergebnis als einen Datenpunkt und behalten Sie die Grundschutzmaßnahmen bei: einmalige Passwörter und Multi-Faktor-Authentifizierung.

Ist Have I Been Pwned sicher und vertrauenswürdig?

Die Konstruktion von HIBP begrenzt, was der Dienst vorhält. Wenn E-Mail-Adressen aus einem Datenleck geladen werden, werden keine Passwörter mitgeladen; der getrennte Dienst Pwned Passwords prüft ein einzelnes Passwort gegen bekannte Datenlecks ^[2]. HIBP erklärt, dass kein Passwort neben personenbezogenen Daten gespeichert wird und jedes Passwort per SHA-1 gehasht ist ^[2]. Die öffentliche Suche ist auf 1 Adresse gleichzeitig beschränkt ^[2].

Wovor warnt HIBP selbst?

HIBP räumt ein, dass Nutzer nicht sicher sein können, dass der Dienst die gesuchten E-Mail-Adressen nicht sammelt, erklärt, dass er das nicht tut, und rät allen, die an Absicht oder Sicherheit zweifeln, ihn nicht zu nutzen ^[2]. Leser sollten diese offene Warnung gegen den erklärten Zweck des Dienstes als kostenlosen Dienst zur Risikobewertung abwägen ^[2].

Was behandelt dieser Leitfaden nicht?

Dieser Leitfaden beschreibt nicht, wer HIBP finanziert oder betreibt und ob der Dienst unabhängig geprüft wurde. Lesen Sie die Über-uns-Seite des Dienstes und entscheiden Sie, ob Sie sich damit wohlfühlen. Falls nicht, funktionieren die Schutzmaßnahmen in den späteren Abschnitten ohne jeden Prüfdienst: einmalige Passwörter, Multi-Faktor-Authentifizierung und für Einwohner der USA eine Kreditsperre.

Was bedeutet „pwned“, und was bedeuten meine Ergebnisse?

„Pwned“ stammt aus der Videospielkultur als Leetspeak-Variante von „owned“ und besagt, dass jemand kontrolliert oder kompromittiert wurde ^[2]. Bei HIBP bedeutet ein Eintrag jedoch, dass Ihre Daten irgendwo offengelegt wurden. Nach der Lesart dieses Leitfadens ist er kein Beleg dafür, dass sich jemand in Ihre Konten eingeloggt hat.

Was bedeuten die Kennzeichnungen der Datenlecks?

• Sensibel: vor der öffentlichen Suche verborgen und nur für den verifizierten Inhaber der Adresse sichtbar ^[2].
• Nicht verifiziert: Die Daten sind echt, ihre Herkunft ist aber nicht zweifelsfrei belegt ^[2].
• Erfunden: stammt wahrscheinlich nicht von der genannten Website, enthält aber echte E-Mail-Adressen ^[2].
• Zurückgezogen: dauerhaft entfernt. HIBP listet 2 zurückgezogene Datenlecks, Ticketek und VTech; ein Datenleck wird typischerweise zurückgezogen, wenn die Daten nicht anderswo gehandelt oder weiterverbreitet werden ^[2].

HIBP nimmt nicht verifizierte und erfundene Datenlecks dennoch auf, weil sie echte personenbezogene Daten enthalten ^[2]. Ein Eintrag ist daher kein Beweis, dass ein bestimmtes Unternehmen gehackt wurde. HIBP weist darauf hin, dass selbst erfundene Daten weiterhin verkauft oder getauscht werden können ^[2].

Wie prüfe ich, ob mein Passwort geleakt wurde?

Pwned Passwords ist der getrennte Dienst von HIBP, der ein einzelnes Passwort gegen bekannte Datenlecks prüft ^[2]. Er nutzt k-Anonymität: Das Passwort wird auf Ihrem Gerät gehasht, nur die ersten 5 Zeichen des SHA-1-Hashs werden an die API gesendet, und der Abgleich mit den zurückgelieferten Suffixen findet auf Ihrer Seite statt ^[4]. HIBP gibt an, der Dienst verarbeite über 18 Milliarden Anfragen pro Monat ^[4].

Warum ist ein geleaktes Passwort wichtig, wenn das Konto ein anderes ist?

Angreifer nutzen offengelegte Kombinationen aus E-Mail-Adresse und Passwort, um auf andere Konten der Opfer zuzugreifen, eine Technik namens Credential Stuffing ^[4]. Deshalb rät die FTC, bei einem Datenleck, das Ihr Passwort betraf, es auch bei allen Konten mit einem ähnlichen Passwort zu ändern ^[3]. HIBP merkt zudem an, dass die NIST-Richtlinien empfehlen, Passwörter gegen bereits kompromittierte Datensätze zu prüfen ^[4].

Wie nutze ich das Ergebnis?

1. Prüfen Sie ein Passwort, das Sie nutzen oder genutzt haben, auf der Seite von Pwned Passwords.
2. Wird es gefunden, verwenden Sie es nirgends mehr und ersetzen Sie es durch ein einmaliges Passwort für jedes Konto. Die FTC empfiehlt, einen Passwortmanager in Betracht zu ziehen ^[3].
3. Wird es nicht gefunden, werten Sie das nicht als Freigabe: „no pwnage found“ bedeutet nicht zwingend, dass es ein gutes Passwort ist, sondern nur, dass es auf der Seite nicht indexiert ist ^[4].

Was sollte ich nach einem Datenleck zuerst tun?

Die richtigen Schritte hängen davon ab, was offengelegt wurde. Gehen Sie die Punkte durch, die auf Ihre Situation zutreffen.

1. Passwort ändern. Betraf das Datenleck Ihr Passwort, ändern Sie es sofort beim betroffenen Unternehmen und bei allen Konten mit ähnlichem Passwort. Ziehen Sie einen Passwortmanager in Betracht und aktivieren Sie die Multi-Faktor-Authentifizierung (MFA), die ein Konto auch dann schützen kann, wenn das Passwort offengelegt ist ^[3].
2. Wenn ein Online-Konto offengelegt wurde. Melden Sie sich an und ändern Sie das Passwort und, wenn möglich, den Benutzernamen. Können Sie sich nicht anmelden, wenden Sie sich an das Unternehmen, um das Konto wiederherzustellen oder zu schließen. Ändern Sie das Passwort überall dort, wo Sie es wiederverwendet haben ^[7].
3. Wenn eine Sozialversicherungsnummer offengelegt wurde (USA). Nehmen Sie kostenlose Kreditüberwachung an, falls das Unternehmen sie anbietet, holen Sie kostenlose Kreditberichte ein und suchen Sie nach Konten, die Sie nicht kennen, und erwägen Sie eine Kreditsperre oder einen Betrugshinweis ^[8]. Der Datenleck-Leitfaden der FTC verweist für kostenlose Berichte auf annualcreditreport.com, rät dazu, zumindest einen Betrugshinweis zu erwägen, falls Sie sich gegen eine Sperre entscheiden, und empfiehlt, die Steuererklärung früh abzugeben ^[7].
4. Das offizielle Werkzeug nutzen. IdentityTheft.gov/databreach der FTC nennt Schritte je nach Art der offengelegten Informationen ^[7].
5. Wenn Ihre Daten missbraucht wurden. Melden Sie dies auf IdentityTheft.gov ^[8], das einen persönlichen Wiederherstellungsplan bietet ^[5].

Rufen Sie diese Dienste auf, indem Sie die Adresse selbst eintippen, statt Links in einer unerwarteten Nachricht über ein Datenleck zu folgen.

Sollte ich nach einem Datenleck meine Kreditakte sperren oder einen Betrugshinweis setzen?

Dieser Abschnitt beschreibt US-Regeln. Seit dem 21. September 2018 können Verbraucher nach US-Bundesrecht Kreditsperren kostenlos einrichten, wodurch Gebühren in Bundesstaaten entfielen, die sie zuvor erhoben ^[5]; laut FTC ist das Einrichten und Aufheben einer Sperre kostenlos ^[9]. Leser in anderen Ländern sollten die dortigen Regeln zu Kredit- und Identitätsschutz prüfen, die dieser Leitfaden nicht behandelt.

Was ist eine Kreditsperre?

Eine Kreditsperre gilt, bis Sie sie aufheben, und wirkt sich nicht auf Ihren Kredit-Score aus ^[9]. Solange sie besteht, kann niemand, auch Sie nicht, neue Kredite eröffnen; für einen Kreditantrag, eine Bewerbung, eine Mietwohnung oder eine Versicherung können Sie sie vorübergehend aufheben ^[9]. Laut FTC beeinträchtigt eine Sperre nicht Ihre Möglichkeit, sich zu bewerben, zu mieten oder eine Versicherung abzuschließen ^[10], und sie sei der beste Schutz davor, dass jemand neue Konten auf Ihren Namen eröffnet ^[10]. Sie müssen alle 3 landesweiten Auskunfteien (Equifax, Experian und TransUnion) beauftragen. Eine Auskunftei muss die Sperre innerhalb von 1 Werktag einrichten, wenn Sie online oder telefonisch fragen, und sie innerhalb von 1 Stunde aufheben ^[5]. Eltern können auch die Kreditakten von Kindern unter 16 Jahren kostenlos sperren ^[5].

Was ist ein Betrugshinweis?

Ein Betrugshinweis erfordert nur 1 Antrag bei 1 Auskunftei, die die anderen 2 benachrichtigt ^[5]. Das Gesetz von 2018 verlängerte den Hinweis von 90 Tagen auf 1 Jahr ^[5]. Ein Standardhinweis gilt 1 Jahr und ist kostenlos verlängerbar, ein erweiterter Hinweis für Opfer von Identitätsdiebstahl gilt 7 Jahre ^[10][9]. Er schränkt den Zugriff auf Ihren Kreditbericht nicht ein ^[10].

Was soll ich wählen?

Der Datenleck-Leitfaden der FTC sagt, wer sich gegen eine Sperre entscheidet, solle zumindest einen Betrugshinweis erwägen ^[7]. Der Rat weist in eine Richtung: Eine Sperre bietet mehr Schutz, ein Betrugshinweis ist die leichtere Rückfalloption. Gibt es in Ihrem Land keine Entsprechung, gelten die Schritte zu Passwort und MFA trotzdem.

Woran erkenne ich, ob meine E-Mail gehackt oder nur geleakt wurde?

Ein Leak und eine Kontoübernahme sind verschiedene Ereignisse. Ein Leak bedeutet, dass ein Dritter Daten in einem verwundbaren System offengelegt hat ^[2]. Eine Kontoübernahme bedeutet, dass sich jemand als Sie anmeldet. Nach der Lesart dieses Leitfadens beantwortet ein Prüfdienst für Datenlecks die erste Frage, nicht die zweite, denn ein Eintrag zeigt eine Offenlegung, keinen Login durch jemand anderen.

Wie wird aus einem Leak eine Übernahme?

Vor allem durch Wiederverwendung. Angreifer nutzen offengelegte Kombinationen aus E-Mail-Adresse und Passwort, um auf andere Konten der Opfer zuzugreifen ^[4]. Haben Sie das Passwort wiederverwendet, ändern Sie es überall, wo Sie es genutzt haben ^[7]. Laut FTC kann MFA ein Konto auch dann schützen, wenn das Passwort offengelegt ist ^[3].

Was, wenn ich mich nicht mehr anmelden kann?

Wenden Sie sich an das Unternehmen, um das Konto wiederherzustellen oder zu schließen ^[7]. Anzeichen einer Übernahme unterscheiden sich von Dienst zu Dienst, weshalb dieser Leitfaden sie nicht auflistet; prüfen Sie die Kontoaktivitäts- und Sicherheitsseiten des jeweiligen Dienstes. Wurden Ihre Daten missbraucht, melden Sie dies auf IdentityTheft.gov ^[8], das einen persönlichen Wiederherstellungsplan bietet ^[5].

Wer zahlt bei einem Datenleck, und was bedeuten die Kostenzahlen?

Schlagzeilen zu Datenleck-Kosten beschreiben, was Vorfälle Organisationen kosten, nicht, was sie Sie kosten.

Der Cost of a Data Breach Report 2026 von IBM beziffert die durchschnittlichen weltweiten Kosten eines Datenlecks auf 4,99 Mio. $. Er basiert auf Datenlecks bei 602 Organisationen zwischen März 2025 und Februar 2026, in einer Studie des Ponemon Institute, gesponsert und analysiert von IBM ^[6]. Dieselbe Mitteilung nennt, dass 1 von 4 böswilligen Datenlecks KI-gestützt war ^[6].

Die Ausgabe 2025 stellte fest, dass die durchschnittlichen weltweiten Kosten um 9% auf 4,44 Mio. $ von 4,88 Mio. $ sanken ^[12], der erste Rückgang seit 5 Jahren ^[11][12], während die durchschnittlichen Kosten eines Datenlecks in den USA mit 10,22 Mio. $ einen Rekord erreichten ^[11].

Wie sollte ich diese Zahlen lesen?

Es handelt sich um Studien des Ponemon Institute über Organisationen, nicht über einzelne Opfer ^[6]. Jede Ausgabe hat eine eigene Stichprobe; sehen Sie den Anstieg von 4,44 Mio. $ auf 4,99 Mio. $ daher als Kontext und nicht als genauen Trend. Keine der Zahlen ist ein Verlust, den Sie persönlich erwarten sollten. Für Einzelpersonen besteht die praktische Antwort in den Schritten der vorigen Abschnitte.

Welche Vorteile und Grenzen haben Prüfdienste für Datenlecks?

Vorteile

• Eine kostenlose, schnelle Antwort darauf, wo Ihre Adresse offengelegt wurde, über 1.048 gelistete Websites Stand 3. November 2026 ^[1].
• Passwörter bleiben getrennt von E-Mail-Adressen: Keines wird mit ihnen geladen, und keines wird neben personenbezogenen Daten gespeichert ^[2].
• Sensible Datenlecks zeigt der Dienst nur dem verifizierten Inhaber der Adresse ^[2].
• Passwortprüfungen senden nur die ersten 5 Zeichen eines SHA-1-Hashs ^[4].

Nachteile

• HIBP sagt, die Suche decke die meisten Datenlecks ab, sensible erforderten eine Anmeldeverifizierung ^[2].
• Manche Einträge sind nicht verifiziert oder erfunden, ein Treffer beweist also nicht, dass ein bestimmtes Unternehmen gehackt wurde ^[2].
• HIBP sagt, man könne nicht sicher sein, dass der Dienst gesuchte Adressen nicht sammelt, erklärt aber, dass er es nicht tut ^[2].
• Ein Ergebnis „nicht gefunden“ bei einem Passwort bedeutet nicht zwingend, dass das Passwort gut ist ^[4].

Ein Prüfdienst hilft bei der Entscheidung, welche Passwörter Sie zuerst ändern. Aus Sicht dieses Leitfadens ersetzt er nicht Gewohnheiten wie einmalige Passwörter und MFA; die FTC rät, MFA zu aktivieren, und empfiehlt, einen Passwortmanager in Betracht zu ziehen ^[3].

Wie geht es weiter, und was ist noch unklar?

Die Zähler auf der Startseite sind live: Die 17.846.896.404 Adressen auf 1.048 Websites vom 3. November 2026 werden nicht mit dem übereinstimmen, was Sie später sehen ^[1]. Bei den Kosten bewegte sich der Durchschnitt von IBM von 4,88 Mio. $ ^[12] auf 4,44 Mio. $ im Bericht 2025 ^[11][12] und dann auf 4,99 Mio. $ im Jahr 2026 ^[6]. 1 von 4 böswilligen Datenlecks in der Studie 2026 war KI-gestützt ^[6]. Diese Zahlen klären nicht, ob KI-gestützte Angriffe die Kosten weiter erhöhen werden.

Was dieser Leitfaden Ihnen nicht sagen kann

• Wie oft geleakte Zugangsdaten zu einer Kontoübernahme führen. Hier wird keine belegte Zahl genannt.
• Regeln außerhalb der USA. Rechte bei Datenleck-Benachrichtigungen und Kreditschutz in anderen Ländern werden nicht behandelt.
• Zugang aus dem Iran. Es lag keine verlässliche Quelle dazu vor, ob Prüfdienste für Datenlecks, Passwortmanager oder MFA-Apps aus dem Iran erreichbar oder bezahlbar sind, daher wird keine Aussage getroffen. Leser dort können die Schritte zu Passwort und MFA dennoch anwenden, während die Schritte zu Auskunfteien nur für US-Kreditakten gelten.

Da sich die Gesamtzahlen von HIBP ändern, ist eine erneute Suche nach Nachrichten über ein neues Datenleck eine günstige Gewohnheit.