Datenlecks mit deinen Daten

Datenlecks, beabsichtigt oder unbeabsichtigt, landen ziemlich schnell im Internet, entweder zum Kauf im Dark Web, auf Pastebin veröffentlicht oder einfach mal so sonst irgendwie für jede Person zugänglich.

Auch wenn du noch nicht gehackt worden bist, also dein PC nicht angegriffen worden ist, ist es trotzdem möglich, dass eine Datenbank irgendwo in der Cloud kompromittiert worden ist, welche ausgerechnet deine Daten enthält. Das kommt viel öfter vor als du denkst.

Laut HPI Identity Leak Checker (Stand 2026-05-12)

• … werden jeden Tag 1 505 859 Accounts geleakt
• … gab es bereits 1 986 Datenlecks
• … wurden 14 508 455 217 Nutzerkonten kompromittiert

Einer der bekanntesten Fälle ist der RockYou Hack, da wurden 2009 ca. 32 Millionen Passwörter aus einer unverschlüsselten Datenbank geklaut. Diese Liste dient tatsächlich heute noch den Hackern als Vorlage für Wörterbuchangriffe. Ist halt richtig doof wenn du den gleichen User und das gleiche Passwort noch in weiteren Diensten, wie z.B. Outlook, Instagram, usw. verwendest, da kann der Hacker mit einem Datenleak gleich sämtliche deiner Accounts übernehmen.

Wer hilft bei der Aufklärung?

Zum Glück gibt es einige nette Menschen welche diese Leaks auch zum Guten verwenden. Wie gesagt, diese Leaks sind früher oder später öffentlich zugänglich. Diese Daten werden dann von den Guten in einer Datenbank gespeichert und dir zur Verfügung gestellt damit du nachschauen kannst, ob z.B. deine E-Mail-Adresse in der Datenbank auftaucht. Sollte das der Fall sein, dann weißt du, dass du jetzt Schadensbegrenzungsmaßnahmen durchführen musst.

Und hier nochmal ganz wichtig:

nie das gleiche Passwort bei unterschiedlichen Diensten verwenden.
Am besten sogar immer unterschiedliche Usernamen für jeden Account.

Also dann, hier deine Helfer bei der Aufklärung:

Leak Checker: bin ich kompromittiert?

Bei folgenden Leak Checker kannst du überprüfen ob deine Daten kompromittiert worden sind.

Identity Leak Checker vom HPI

Der Identity Leak Checker vom Hasso Plattner Institut in Potsdam sammelt seit 2014 im Internet, inklusive im Dark Web, frei zugänglich geleakten Daten.
Auf ihrer Webseite schreiben sie:

Wir haben in den letzten Jahren Milliarden gestohlener Nutzerkonten in tausenden Leaks identifiziert und Millionen Betroffene von Datenleaks informiert.

Sehr zu empfehlen. Und in Europa ansässig.

Leak Checker von der Uni Bonn

Der Leak Checker Uni Bonn sammelt auch Daten aus frei und öffentlich zugänglichen Daten. Sie kaufen keine Daten, und betonen dies auch ausdrücklich.
Ansonsten steht auf der Webseite nicht wirklich mehr Infos.
Auf jeden Fall gefällt mir, dass auch sie in Europa ansässig sind.

Have I Been Pwnd

Have I Been Pwnd ist seit 2013 online und wahrscheinlich der bekannteste Leak Checker. Sie behaupten von sich ca. 17 Milliarden geleakte E-Mail-Adressen in ihre Datenbank zu haben.
Interessant an diesem Dienst ist, und was die anderen hier vorgestellten nicht anbieten, die Möglichkeit zu überprüfen, ob dein Passwort schon geleakt worden ist, also nicht in Kombination mit deinem User (E-Mail-Adress), sondern wirklich nur das Passwort!
Klingt erstmal seltsam und gefährlich:
Also, wenn ich es richtig verstanden habe … ich soll mein Passwort eingeben um zu überprüfen ob es schon geleakt worden ist … riecht unheimlich nach Phishing … ich bin doch nicht so doof und gebe ein gültiges Passwort ein … da leake ich es doch gerade selbst, oder nicht?
Na ja, keine Sorge, es geht alles mit rechten Dingen zu. Dein Passwort wird durch ein spezielles Kommunikationsprotokoll, entwickelt vom britischen Informatiker Junade Ali, mit welchem man ein geleaktes Passwort überprüfen kann ohne das das gesuchte Passwort vollständig übermittelt wird.
Hier kannst du dein Passwort überprüfen.

Mist, mich hat’s erwischt! Was nun?

Solltest du deine Daten in einen der drei Leakchecker finden, dann musst du folgendes tun:

Passwort ändern

Du musst im betroffenen Account dein Passwort ändern. Und ganz wichtig: wähle ein sicheres Passwort!
Solltest du das gleiche Passwort für verschiedene Accounts bzw. Dienste verwenden, dann dort auch das Passwort ändern … selbstverständlich für jeden Account ein indivuelles Passwort. Ist doch mittlerweile klar, oder? Du willst doch keine Fehler wiederholen, denke ich.

2FA aktivieren

Wo es immer möglich und vom Dienst angeboten wird, nutze die Zwei-Faktor-Authentifizierung.

Vorbeugen!

(… ist besser als auf die Schuhe zu kotzen)

Also mal im Ernst, wie kann man so etwas vorbeugen?

Sichere und individuelle Passwörter verwenden

Das kann man nicht genug wiederholen. Aber man muss es auch wirklich tun.
Aber was macht man dann mit der daraus entstehenden Passwortflut? Am besten einen guten Passwortmanager verwenden um die einzelnen Passwörter sicher zu Verwalten.

2FA aktivieren

Nochmal eine Wiederholung: aktiviere 2FA wo auch immer du kannst.

Passkeys

Passkeys werden immer mehr von verschiedenen Diensten angeboten und sind eine gute und bequeme Alternative zu 2FA.
Ich persönlich mag Passkeys jedoch nicht. Die alte Kombi von Passwort + 2FA ist mir immer noch am liebsten, auch wenn sie aufwendiger zu nutzen ist.