Datenleck gefunden: Was ein Treffer bei Have I Been Pwned bedeutet
Have I Been Pwned kann zeigen, ob eine E-Mail-Adresse in den dort erfassten Datenlecks vorkommt. Ein Treffer bedeutet nicht automatisch, dass jemand gerade in deinem Konto angemeldet ist. Er hilft dir, betroffene Dienste und mögliche Folgen gezielt zu prüfen.
Nur die offizielle Seite verwenden
Öffne Have I Been Pwned direkt und suche nach deiner E-Mail-Adresse. Dabei wird die Adresse an den Dienst übermittelt; lies bei Bedarf dessen Datenschutzhinweise. Für diese Adresssuche brauchst du dein Kontopasswort nicht. Notiere beim Treffer den betroffenen Dienst und die dort genannten Datenarten. Unterscheide die E-Mail-Suche vom gesonderten Dienst «Pwned Passwords»: Die Adresssuche zeigt dir keine dazugehörigen geleakten Passwörter an.
Was kein Treffer beweist
Nicht jedes Datenleck wird entdeckt, veröffentlicht oder in dieselbe Datenbank aufgenommen. Ein negatives Ergebnis ist deshalb kein Freibrief für Passwortwiederverwendung. Eine sinnvolle Routine aus eigenen Passwörtern und überprüften Wiederherstellungswegen bleibt unabhängig vom Testergebnis nützlich.
Treffer in drei Gruppen einordnen
Nur Kontaktangaben: Rechne mit glaubwürdig wirkenden unerwünschten Nachrichten. Ein bekanntes Geburtsdatum oder eine alte Bestellung beweist nicht, dass ein Absender legitim ist. Prüfe Anfragen weiterhin über den echten Dienst.
Passwortbezogene Angaben: Prüfe, ob das damalige Passwort noch irgendwo verwendet wird. Ändere es auf den betroffenen echten Websites. Kleine Varianten desselben Grundpassworts sind keine verlässliche Trennung.
Besonders persönliche Informationen: Lies die Mitteilung des betroffenen Anbieters genau und wähle Massnahmen nach den genannten Datenarten. Ein allgemeiner Passwortwechsel beseitigt bereits veröffentlichte persönliche Angaben nicht.
Ein übersichtliches Reaktionsprotokoll
Lege für jeden Fund eine Zeile an: betroffener Dienst; ungefähres Ereignisdatum; genannte Datenarten; verwendest du das Konto noch; Passwort anderswo wiederverwendet; nächster Schritt. Schreibe keine Passwörter in diese Liste.
Arbeite zuerst die Verbindungen zum Hauptpostfach und zu anderen zentralen Konten ab. Wenn du ein altes Konto nicht mehr benötigst, prüfe den offiziellen Löschweg. Löschen des Kontos holt bereits abgeflossene Daten nicht zurück, kann aber weitere unnötige Speicherung beim Dienst begrenzen.
Warum ein Treffer nach dem Passwortwechsel bleibt
Have I Been Pwned dokumentiert, dass eine Adresse in einem bekannten Vorfall vorkam. Der Eintrag wird durch deinen späteren Passwortwechsel nicht erledigt oder automatisch entfernt. Ein erneuter Treffer beweist deshalb nicht, dass dein neues Passwort ebenfalls gestohlen wurde. Diese Unterscheidung erklärt der Dienst in seinen FAQ.
Fiktives Beispiel: Ein alter Shop hatte ein Datenleck. Du hast den Shop-Zugang inzwischen geändert, verwendest das damalige Passwort aber noch bei deinem Hauptpostfach. Dann ist die Wiederverwendung im Postfach dein dringender Handlungsbedarf. Hast du dort bereits ein anderes Passwort, bleibt der historische Shop-Treffer trotzdem sichtbar.
| Deine Beobachtung | Passender nächster Schritt |
|---|---|
| Alter Treffer, damaliges Passwort wird noch verwendet | Auf den betroffenen echten Diensten ersetzen und Sicherheitsmeldungen prüfen. |
| Alter Treffer, Zugang geändert und keine Wiederverwendung | Erledigte Schritte dokumentieren; kein wiederholter Passwortwechsel allein wegen desselben historischen Eintrags. |
| Neue unbekannte Anmeldung oder Kontoeinstellung verändert | Als möglichen aktuellen Vorfall behandeln und den offiziellen Sicherungsablauf des Anbieters nutzen. |
Wann du den Vorgang abschliessen kannst
Das betroffene Passwort ist ersetzt, Wiederverwendungen sind bearbeitet, die Kontosicherheit wurde kontrolliert und du hast die Anbieterhinweise gelesen. Wiederhole nicht ständig dieselbe Suche als Ersatz für diese konkreten Schritte.
Bei einem unbekannten Login oder einer verdächtigen Zahlung liegt möglicherweise ein aktueller Vorfall vor. Nutze dann den Handlungsablauf bei preisgegebenen Daten und die offiziellen Kontaktwege des betroffenen Dienstes.
Weiterlesen und Quellen
Zwei-Faktor-Authentifizierung einrichten: zuerst dein E-Mail-Konto.
Redaktionell überarbeitet: 21. Oktober 2026.
Was ist dein nächster Schritt?
Du musst nicht alles auf einmal ändern. Finde die Massnahme, die dir jetzt am meisten hilft.
Zum kostenlosen Selbstcheck ↗