Datenleck-Check: So prüfst du geleakte Passwörter und sicherst Accounts

Du bekommst eine Mail mit „Ungewöhnlicher Login“, dein Streamingdienst verlangt plötzlich ein neues Passwort, oder ein Freund fragt, ob du ihm wirklich gerade eine seltsame Nachricht geschickt hast. Solche Momente fühlen sich oft an wie ein Zufall – sind aber häufig ein Signal: Zugangsdaten sind irgendwo aufgetaucht oder ein altes Passwort wird gerade automatisiert ausprobiert.

Das Gemeine daran: Selbst wenn nur ein einzelner Dienst betroffen ist, kann es schnell mehrere Accounts treffen. Der Grund ist Passwort-Wiederverwendung. Wer (auch nur aus Bequemlichkeit) dasselbe oder ein sehr ähnliches Passwort an mehreren Stellen nutzt, macht es Angreifern leicht, mit den gleichen Daten andere Logins zu testen. Dieses Vorgehen heißt „Credential Stuffing“: Ein großes Paket aus Nutzername (meist E-Mail) und Passwort wird auf vielen Plattformen durchprobiert.

Die gute Nachricht: Du kannst selbst ziemlich schnell prüfen, ob du wahrscheinlich betroffen bist – und du kannst die Folgen stark begrenzen. Entscheidend ist ein ruhiges Vorgehen: erst checken, dann priorisieren, dann ändern und absichern. Genau dafür sind die nächsten Schritte gedacht.

Ein Datenleck bedeutet: Daten aus einem Dienst sind ungewollt nach außen gelangt. Das kann durch einen Angriff passieren, durch falsch konfigurierte Server oder durch Schadsoftware auf Geräten. Wichtig: Nicht jedes Leak enthält Klartext-Passwörter. Oft sind Passwörter nur als „Hash“ gespeichert – das ist eine Art Fingerabdruck des Passworts. Trotzdem werden viele Passwörter irgendwann knackbar, vor allem wenn sie kurz oder sehr häufig sind.

Für deinen Alltag zählt daher nicht die juristische oder technische Ursache, sondern die praktische Frage: Welche meiner Logins sind riskant, und was ändere ich zuerst?

Ein Datenleck ist kein Grund für Panik – aber ein guter Anlass, Passwörter zu erneuern und die wichtigsten Konten mit einer zweiten Schutzschicht abzusichern.

Für den Datenleck-Check gibt es drei Bausteine, die zusammen am zuverlässigsten sind:

1) E-Mail-basierte Checks: Du prüfst, ob deine E-Mail-Adresse in bekannten Leak-Sammlungen auftaucht. Das zeigt dir, dass Daten zu dieser Adresse irgendwo veröffentlicht wurden. Das heißt nicht automatisch, dass dein aktuelles Passwort betroffen ist – aber es ist ein Warnsignal.

2) Passwort-Checks im Passwortmanager: Moderne Passwortmanager (z. B. in Chrome/Google Passwortmanager, Apple Passwords/iCloud-Schlüsselbund, Microsoft Edge) warnen, wenn ein gespeichertes Passwort als kompromittiert bekannt ist, oder wenn es schwach bzw. mehrfach verwendet wird.

3) Sofortmaßnahmen: Passwort ändern, Abmeldungen prüfen, und zusätzliche Anmeldungssicherung aktivieren. Oft wird dafür „Zwei-Faktor-Authentifizierung“ (2FA) genutzt: Neben dem Passwort brauchst du noch einen zweiten Nachweis, z. B. eine App-Bestätigung oder einen Hardware-Schlüssel.

Bevor du loslegst, lohnt sich ein kurzer, sauberer Start. Das spart später Zeit – und verhindert, dass du im Eifer des Gefechts aus Versehen das falsche Konto absicherst oder dich aussperrst.

Lege dir dafür 15 bis 30 Minuten ohne Ablenkung bereit und halte dein Smartphone griffbereit. Viele Sicherheitsfunktionen brauchen eine Bestätigung am zweiten Gerät.

Diese Voraussetzungen sind praktisch:

• Zugriff auf deine wichtigsten E-Mail-Postfächer (auch alte Adressen). E-Mail ist oft der „Hauptschlüssel“ für Passwort-Resets.
• Aktueller Browser (Chrome oder Edge) oder ein aktuelles iPhone/iPad mit der Passwörter-App. Updates sind wichtig, weil Sicherheitschecks sonst fehlen können.
• Dein Passwortmanager: Falls du keinen nutzt, ist das okay – aber dann schreibe dir zumindest eine Liste der wichtigsten Accounts (E-Mail, Shops, Social Media, Streaming, Cloud, Messenger).
• Eine sichere Ablage für neue Passwörter: Am besten direkt im Passwortmanager, nicht in Notizen oder Screenshots.

Prüfe außerdem kurz diese Punkte, bevor du Passwörter änderst:

1. Recovery-Daten aktuell? Bei großen Konten (E-Mail, Apple/Google/Microsoft-Konto) sollten Wiederherstellungs-Mailadresse und Telefonnummer stimmen.
2. 2FA schon aktiv? Falls ja: Stelle sicher, dass du noch Zugriff auf die Authenticator-App oder das zweite Gerät hast.
3. Alte Geräte im Blick? Wenn du noch ein altes Handy oder Tablet nutzt, kann es bei Passwortänderungen neu bestätigt werden müssen.

Optional, aber sinnvoll: Wenn du Windows nutzt und dein Browser ohnehin Edge ist, schau dir auch unsere Anleitung zur Windows-Sicherheit im Alltag an (interner Überblick). Für iPhone-Nutzende passt ergänzend ein Guide zum iPhone sicher einrichten.

Die Schritte sind so aufgebaut, dass du zuerst einen Überblick bekommst und danach gezielt absicherst. Wenn du zwischendurch schon einen echten Hinweis auf Fremdzugriff siehst (z. B. unbekannte Geräte oder Passwort-Reset-Mails, die du nicht ausgelöst hast), spring direkt zu Schritt 6 und 7.

1. E-Mail-Adressen sammeln
   Notiere alle Adressen, die du aktiv nutzt oder früher genutzt hast (Schule, Uni, alter Provider, Job). Viele Leaks betreffen ältere Konten – und genau darüber laufen dann Passwort-Resets für neue Accounts.
2. E-Mail-Adresse auf bekannte Leaks prüfen (Have I Been Pwned)
   Öffne die Seite Have I Been Pwned und nutze die Suchfunktion mit deiner E-Mail-Adresse. Lies die Trefferliste genau: Wichtig sind betroffene Dienste und (falls angegeben) welche Datentypen betroffen waren. Das ist ein guter Indikator, ob du bei bestimmten Konten besonders schnell handeln solltest.
3. In deinem Browser gespeicherte Passwörter prüfen (Google Passwortmanager)
   Wenn du Chrome nutzt: Öffne den Google Passwortmanager über Google Password Manager oder über die Chrome-Einstellungen. Starte den Passwortcheck und schau dir besonders die Kategorien „kompromittiert“, „wiederverwendet“ und „schwach“ an. Priorität hat alles, was als kompromittiert markiert wird.
4. In Microsoft Edge den Password Monitor nutzen
   Wenn du Edge verwendest, aktiviere bzw. öffne den Passwortcheck in den Einstellungen (Bereich Passwörter). Edge kann dich warnen, wenn gespeicherte Passwörter in bekannten Leaks auftauchen. Laut Microsoft wird dabei eine datenschutzfreundliche Technik eingesetzt, sodass Passwörter nicht im Klartext an Microsoft übermittelt werden.
5. Auf dem iPhone/iPad die Sicherheits-Empfehlungen prüfen (Apple Passwords / iCloud-Schlüsselbund)
   Auf iOS/iPadOS findest du in der Passwörter-App bzw. in den Einstellungen Hinweise zu schwachen, wiederverwendeten oder kompromittierten Passwörtern. Apple beschreibt, dass die Erkennung so gestaltet ist, dass Passwörter nicht einfach „hochgeladen“ werden müssen, um Warnungen zu bekommen. Öffne die betroffenen Einträge und plane die Änderungen.
6. Passwörter richtig ändern: erst die wichtigsten Konten
   Ändere Passwörter in dieser Reihenfolge: 1) E-Mail-Konten, 2) Apple/Google/Microsoft-Konto, 3) Banking/Bezahldienste, 4) Social Media/Messenger, 5) Shops und Abos. Nutze pro Dienst ein neues, langes, einzigartiges Passwort (der Passwortmanager kann eins erzeugen und speichern). Wichtig: Ändere nicht einfach nur ein Zeichen am alten Passwort – das ist für Angreifer oft leicht zu erraten.
7. Zusätzliche Anmeldungssicherung aktivieren (2FA oder Passkeys)
   Aktiviere bei den wichtigsten Konten eine zweite Schutzschicht. Wenn möglich, nutze Passkeys (Anmeldung über Geräte-Sperre wie Face ID/Fingerabdruck) oder eine Authenticator-App. SMS kann besser als nichts sein, ist aber je nach Anbieter und Situation nicht die stabilste Option.
8. Aktive Sitzungen und Geräte prüfen
   Schau in den Sicherheitsbereichen deiner Konten nach „Angemeldete Geräte“ oder „Aktive Sitzungen“. Melde alles ab, was du nicht kennst. Bei großen Konten gibt es oft einen Button wie „Von allen Geräten abmelden“ – das ist nach einem Leak häufig die sicherste Abkürzung.
9. Warnungen einschalten
   Aktiviere Benachrichtigungen zu Sicherheitsereignissen: neue Logins, neue Geräte, Passwortänderungen. So bekommst du künftig schneller mit, wenn etwas nicht stimmt.

Wenn du nach den Änderungen wieder problemlos in alle wichtigen Dienste kommst, ist das ein gutes Zeichen. Achte in den nächsten Tagen trotzdem auf Login-Warnungen, unerwartete Bestellmails oder „Passwort vergessen“-Nachrichten, die du nicht ausgelöst hast.

Ein Datenleck-Check ist schnell gemacht – aber in der Praxis stolpern viele über die gleichen Punkte. Hier sind die häufigsten Probleme und die passenden, einfachen Lösungen.

Problem: „Ich finde meinen Account in einem Leak, aber der Dienst sagt nichts dazu.“
Das ist möglich. Leak-Datenbanken sammeln Informationen aus vielen Quellen, nicht jede Plattform verschickt Benachrichtigungen. Behandle den Treffer als Warnsignal: Passwort beim betroffenen Dienst ändern, besonders wenn du das Passwort mehrfach genutzt hast.

Problem: „Mein Passwortmanager zeigt kompromittiert, aber ich habe es längst geändert.“
Dann ist oft ein alter Eintrag gespeichert (z. B. in einem zweiten Browser-Profil oder auf einem alten Gerät). Suche nach doppelten Logins, lösche alte Einträge und starte den Check erneut. Manchmal hilft auch ein einmaliges Aus- und Einloggen im Sync-Konto.

Problem: „2FA richtet sich nicht ein, weil das Handy gewechselt wurde.“
Wenn du noch Zugriff auf das alte Gerät hast, übertrage die Authenticator-App nach Anleitung. Wenn nicht, nutze Recovery-Codes (falls vorhanden) oder den Wiederherstellungsprozess des Dienstes. Für die Zukunft: Lege bei wichtigen Konten immer mindestens zwei 2FA-Methoden an (z. B. App plus Backup-Code).

Problem: „Ich habe sehr viele Warnungen – wo anfangen?“
Arbeite in Wellen: zuerst E-Mail und die drei großen Konten (Apple/Google/Microsoft), dann Finanz- und Shopping-Konten, dann der Rest. Und ganz wichtig: Wiederverwendete Passwörter räumen oft mehr Risiko weg als zehn beliebige Einzeländerungen.

Variante: Du nutzt gar keinen Passwortmanager
Dann ist jetzt ein guter Zeitpunkt, zumindest die eingebauten Manager zu nutzen (Apple Passwords/iCloud-Schlüsselbund, Google Passwortmanager, Edge). Sie sind nicht perfekt, aber besser als Zettel, Screenshots oder das gleiche Passwort überall.

Zusatz-Tipp für mehr Ruhe im Alltag
Lege dir ein System an: Für alle neuen Logins nur noch zufällige, lange Passwörter aus dem Manager – und für zentrale Konten zusätzlich Passkeys oder 2FA. Dann wird ein zukünftiges Datenleck eher zu „kurz aufräumen“ statt zu „alles brennt“.

Ein guter Datenleck-Check ist weniger ein einmaliger Notfall-Plan als eine kleine Routine: erst Überblick schaffen, dann gezielt die wichtigsten Stellen härten. Wenn du geleakte Passwörter prüfen willst, kombinierst du am besten einen E-Mail-Check (als Frühwarnsystem) mit den eingebauten Passwortchecks in Browsern und auf dem Smartphone. Danach zählt die Reihenfolge: E-Mail und zentrale Konten zuerst, weil darüber viele andere Zugänge zurückgesetzt werden können.

Mit einzigartigen, langen Passwörtern pro Dienst und einer zusätzlichen Anmeldungssicherung (2FA oder Passkeys) sinkt das Risiko spürbar – selbst dann, wenn irgendwo wieder Daten auftauchen. Und: Du musst nicht alles an einem Tag perfektionieren. Entscheidend ist, dass die wichtigsten Konten sauber sind und du Warnungen aktiv hast, damit du künftig schneller reagieren kannst.