Wurde mein Passwort geleakt? So überprüfen Sie es — und was zu tun ist (2026)

Wenn Sie hier gelandet sind, haben Sie wahrscheinlich eine Schlagzeile über ein riesiges Passwort-Leck gesehen — oder Ihr Browser oder Passwort-Manager hat Sie gerade gewarnt, dass einer Ihrer Logins in einem Datenleck aufgetaucht ist. Die ehrliche Antwort auf die Frage "Wurde mein Passwort geleakt?" ist, dass für fast jeden irgendwann ein altes Passwort geleakt wurde. Wichtig ist, welche es sind, ob Sie sie noch verwenden und was Sie als Nächstes tun. Hier erfahren Sie, wie Sie richtig überprüfen und alles absichern können.

Zuerst der Kontext von 2026

Im Jahr 2026 wurden die Schlagzeilen aus gutem Grund laut: Das Jahr brachte eine der größten Kompilationen von Zugangsdaten, die je gesehen wurden — Milliarden von Benutzername-Passwort-Datensätzen, die größtenteils aus Infostealer-Malware-Logs und früheren Lecks gesammelt wurden. Die wichtige Nuance, die die erschreckenden Zahlen verbergen: Eine solche Kompilation besteht größtenteils aus recycelten Daten aus bereits geschehenen Lecks, nicht aus einem brandneuen Hack aller Konten auf einmal.

Das ist gut und schlecht. Schlecht, weil wenn Sie Passwörter wiederverwenden, Ihre Zugangsdaten fast sicher irgendwo in diesem Haufen sind. Gut, weil die Lösung die gleiche langweilige, aber effektive Reihe von Schritten ist, unabhängig davon, wie groß die Zahl ist — und Sie können Ihre eigene Gefährdung in wenigen Minuten überprüfen.

So überprüfen Sie, ob Ihr Passwort geleakt wurde

Sie müssen nicht raten. Verwenden Sie dafür entwickelte Tools:

• Überprüfen Sie Ihre E-Mail bei einem Benachrichtigungsdienst für Datenlecks. Eine seriöse Seite wie Have I Been Pwned zeigt Ihnen, welche bekannten Lecks Ihre Adresse enthalten haben und was ungefähr offengelegt wurde (nur E-Mail oder E-Mail + Passwort usw.). Überprüfen Sie jede Adresse, die Sie verwenden.
• Verwenden Sie den Leck-Monitor Ihres Passwort-Managers. Die meisten Manager scannen Ihre gespeicherten Logins gegen Leck-Datenbanken und kennzeichnen die in Lecks gefundenen sowie Passwörter, die Sie wiederverwendet haben oder die schwach sind.
• Verwenden Sie die Passwortüberprüfung Ihres Browsers. Chrome, Safari, Edge und Firefox haben alle eine eingebaute Funktion "geleaktes Passwort" / "Passwort-Monitor", die mit Ihren gespeicherten Passwörtern verknüpft ist.

Ein Sicherheitshinweis dazu, wie diese funktionieren, weil es wichtig ist: Gute Passwort-Checker verwenden k-Anonymität — nur ein kurzer Teil-Hash Ihres Passworts wird gesendet, niemals das Passwort selbst. Deshalb sind sie sicher. Das Gegenteil ist eine zufällige Website, die Sie auffordert, Ihr tatsächliches Passwort einzugeben, um zu "überprüfen, ob es sicher ist" — tun Sie das niemals; das ist das Leck.

Was die Ergebnisse tatsächlich bedeuten

• E-Mail gefunden, Passwort nicht offengelegt — Ihre Adresse war in einem Leck, aber die geleakten Daten enthielten kein verwendbares Passwort dafür. Geringere Dringlichkeit, aber überprüfen Sie dennoch dieses Konto und aktivieren Sie 2FA.
• Ein spezifisches Passwort als geleakt markiert — behandeln Sie es als verbrannt. Ändern Sie es in diesem Konto und überall, wo Sie dasselbe Passwort verwendet haben.
• Wiederverwendetes Passwort markiert — das ist das Gefährliche. Angreifer nehmen ein geleaktes E-Mail/Passwort-Paar und probieren es automatisch bei Dutzenden anderer Dienste aus (das nennt man Credential Stuffing). Geben Sie jedem Konto ein eigenes, einzigartiges Passwort.
• Nichts gefunden — gut, aber es bedeutet "nicht in den Datenbanken, die diese Tools kennen", keine Garantie. Halten Sie die Überwachung aufrecht.

Was zu tun ist — die Prioritätenreihenfolge

Ändern Sie nicht alle 200 Passwörter in Panik. Arbeiten Sie in der Reihenfolge des Risikos:

1. Ändern Sie alles, was ein Checker markiert hat, beginnend mit dem Passwort selbst, wo immer es wiederverwendet wurde.
2. Beheben Sie die Wiederverwendung bei Ihren wichtigen Konten zuerst — E-Mail, Bank, primäre Logins. Ihre E-Mail ist der Generalschlüssel: Sie setzt alles andere zurück, daher verdient sie ein langes, einzigartiges Passwort und 2FA.
3. Geben Sie jedem Konto ein einzigartiges Passwort. Das ist nur mit einem Passwort-Manager realistisch, der sie generiert und speichert, sodass Sie sich nie eines merken oder wiederverwenden müssen.
4. Aktivieren Sie die Zwei-Faktor-Authentifizierung oder Passkeys bei Konten, die dies unterstützen. Dann reicht ein geleaktes Passwort allein nicht aus, um sich einzuloggen — dieser einzelne Schritt neutralisiert die meisten Credential-Stuffing-Angriffe.
5. Lassen Sie einen Leck-Monitor laufen (in Ihrem Manager oder Browser), damit das nächste Leck etwas ist, von dem Sie frühzeitig erfahren, und nicht etwas, das Sie in den Nachrichten lesen.

Die ehrliche Erkenntnis

"Wurde mein Passwort geleakt?" ist die falsche langfristige Frage, denn irgendwann lautet die Antwort immer ja — Dienste werden gehackt und die Daten werden in das nächste große "Mega-Leak" recycelt. Die Frage, die Sie tatsächlich schützt, ist: Wenn ein Passwort geleakt wird, wie viel kann es öffnen? Mit einzigartigen Passwörtern und 2FA lautet die Antwort "ein Konto, kurzzeitig." Mit wiederverwendeten Passwörtern ist es "alles." Überprüfen Sie heute Ihre Gefährdung, beheben Sie zuerst die Wiederverwendung, und lassen Sie einen Passwort-Manager das Standard-"einzigartig überall" machen — und die nächste erschreckende Schlagzeile wird zu einem Nicht-Ereignis.