Prüfen, ob deine Daten in einem Datenleck stecken

Unternehmen werden immer wieder Ziel von Cyberangriffen, und dabei gelangen Daten ihrer Kundschaft in die Hände von Kriminellen ^[5]. Landen solche Daten etwa im Darknet, drohen gestohlene Passwörter, Spam und Betrugsversuche per Post, Telefon oder E-Mail ^[5]. Ob deine eigene Adresse in einem bekannten Leck steckt, lässt sich mit kostenlosen Diensten prüfen. Bei einem Treffer änderst du als Erstes die betroffenen Passwörter.

Was Täter mit geleakten Daten anfangen

Die Polizei nennt Datenlecks bei Unternehmen neben Phishing und zu offenen Profilen in sozialen Netzwerken als Quelle, aus der Täter persönliche Daten beziehen ^[7]. Mit Name, Geburtsdatum, Anschrift oder Finanzdaten melden sie sich bei Online-Diensten an, bestellen Waren oder schließen Verträge und Darlehen im Namen ihrer Opfer ab ^[7]. Viele Betroffene merken das erst, wenn unerwartet Rechnungen oder Mahnungen eintreffen ^[7]. Nach Angaben der Polizei können ihnen dabei sogar strafrechtliche Folgen drohen, wenn Täter in ihrem Namen handeln ^[7].

Wie viel ein Leck verrät, hängt davon ab, was der Dienst gespeichert hatte. Beim Leck eines Musikdienstes, das das Hasso-Plattner-Institut (HPI) 2022 in seine Datenbank aufnahm, enthielten die Datensätze neben E-Mail-Adressen auch Vor- und Nachname, Geburtsdatum, Benutzername, Stadt und Ländercode, soweit Nutzer sie angegeben hatten ^[3]. Wer überall dasselbe Passwort nutzt, gibt Tätern mit einem einzigen Leck den Schlüssel zu vielen Konten.

So prüfst du deine E-Mail-Adresse

Die Verbraucherzentrale verweist für die Prüfung auf zwei deutsche Angebote: den Identity Leak Checker des HPI und den Leakchecker der Universität Bonn ^[5]. Bekannt ist außerdem der englischsprachige Dienst Have I Been Pwned ^[4]. Alle drei gleichen deine Adresse mit gesammelten Datensätzen aus bekannten Lecks ab. Keiner kennt jedes Leck, deshalb ist ein Ergebnis ohne Treffer keine Garantie.

Identity Leak Checker des HPI

Das HPI in Potsdam analysiert nach eigenen Angaben Datenlecks aus öffentlichen Quellen und dem Darknet, zur Forschung und zum Schutz Betroffener ^[1]. Auf seiner Seite nennt es 19.012.704.464 erfasste Identitäten aus 2.063 Datenlecks (Abruf 29.10.2026) ^[1]. Seit 2014 haben nach Angaben des Instituts über 17,4 Millionen Menschen ihre Daten prüfen lassen, in mehr als 4,6 Millionen Fällen wurden Betroffene informiert (Stand 22.02.2023) ^[3].

Du gibst deine E-Mail-Adresse ein und lässt sie prüfen ^[3]. Die Übersicht zeigt nur, welche Art von Daten betroffen ist, etwa Passwort, Name oder Geburtsdatum. Konkrete Inhalte wie Klartextpasswörter stellt das HPI nicht zur Verfügung ^[2]. E-Mail-Adressen speichert es nach eigenen Angaben nicht im Klartext, sondern mit einer Hash-Funktion verschleiert ^[1]. Eine Warnung zu einem Passwort bleibt bestehen, auch wenn du es längst geändert hast, denn das alte Passwort steht weiterhin im Leck ^[2]. Für Unternehmen, Vereine und Behörden bietet das HPI ein eigenes Angebot an, mit dem sich Leaks zu den Domains der Organisation finden lassen ^[1].

Have I Been Pwned

Bei Have I Been Pwned gibst du eine E-Mail-Adresse oder einen Benutzernamen ein und siehst, in welchen gesammelten Datenlecks sie vorkommt ^[4]. Der Dienst unterscheidet zwischen Lecks bei Unternehmen ("breaches") und sogenannten Pastes, also Texten, die auf öffentlichen Seiten zum Teilen von Inhalten veröffentlicht wurden ^[4]. Taucht deine Adresse nur in einem Paste auf, heißt das für sich genommen noch nicht, dass es ein Leck gab ^[4]. Besonders heikle Lecks erscheinen nicht in der öffentlichen Suche; sie sieht nur, wer nachweist, dass ihm die Adresse gehört ^[4]. Du kannst eine eigene Adresse auch für eine Benachrichtigung bei künftigen Lecks eintragen; die Nachricht geht dann nur an diese Adresse ^[4]. Suchanfragen protokolliert die Seite nach eigenen Angaben nicht, sie setzt aber Google Analytics und eine Leistungsmessung ein ^[4]. Willst du nicht, dass ein Leck in der öffentlichen Suche zu deiner Adresse angezeigt wird, kannst du widersprechen ^[4].

Ein zweiter Teil des Dienstes, Pwned Passwords, prüft, ob ein bestimmtes Passwort schon in einem Leck aufgetaucht ist. Das Passwort wird dafür nach Angaben des Betreibers vor dem Senden umgewandelt und anonymisiert ^[4]. Ein Passwort, das dort gefunden wird, solltest du nicht mehr verwenden ^[4].

Wenn deine Adresse in einem Leck auftaucht

Die E-Mail-Adresse selbst musst du in der Regel nicht wechseln ^[2]. Es kommt auf die Passwörter an: Das HPI rät, für alle Konten, die diese Adresse nutzen, einzigartige neue Passwörter zu wählen ^[2]. Wurde ein Passwort zusammen mit deiner Adresse gestohlen, änderst du es bei allen Konten, bei denen du es verwendet hast ^[2]. Die Verbraucherzentrale empfiehlt dasselbe auch für Dienste mit ähnlichen Passwörtern ^[5].

1. Zuerst das E-Mail-Postfach absichern, denn wer es kontrolliert, kann über die Funktion "Passwort vergessen" die Passwörter vieler anderer Dienste zurücksetzen ^[10].
2. Dann Online-Banking, Shops, Bezahldienste und soziale Netzwerke, bei denen dieselbe Adresse hinterlegt ist ^[2].
3. Wo möglich, eine Anmeldung in zwei Schritten einschalten ^[7].

Steckt auf deinem Rechner oder Smartphone Schadsoftware, bringt ein neues Passwort wenig. Das BSI rät, das Gerät in diesem Fall erst zu bereinigen und die Passwörter danach zu ändern ^[8]. Wie ein starkes Passwort aussieht und welche Verfahren für den zweiten Faktor es gibt, erklärt der Ratgeber Sichere Passwörter und Anmeldung in zwei Schritten.

Wenn mehr als Zugangsdaten betroffen sind

Je nachdem, welche Daten im Leck stecken, reicht ein neues Passwort nicht. Die Verbraucherzentrale rät, bei unberechtigten Abbuchungen oder Belastungen der Kreditkarte sofort die Bank zu kontaktieren ^[5]. Die Polizei empfiehlt Betroffenen von Identitätsdiebstahl außerdem diese Schritte ^[7]:

• Bank und Zahlungsdienste sofort benachrichtigen.
• Verlorene oder gestohlene Ausweise und die Online-Ausweisfunktion sperren lassen.
• Eine kostenlose Selbstauskunft bei der SCHUFA anfordern und bei Bedarf einen Sperrvermerk setzen lassen.
• Anzeige bei der Polizei erstatten, auch online über die Onlinewachen der Länder.

Girocard, Kreditkarte, Online-Banking und die Online-Ausweisfunktion lassen sich rund um die Uhr über den Sperr-Notruf 116 116 sperren, aus dem Ausland über +49 116 116 oder +49 30 4050 4050 ^[9]. Kontoauszüge und Online-Konten prüfst du danach regelmäßig auf ungewöhnliche Vorgänge ^[7]. Was zu tun ist, wenn jemand bereits in deinem Namen bestellt, steht im Ratgeber Identitätsdiebstahl: erkennen und richtig reagieren. Die Sperre im Einzelnen erklärt Karte und Konto sperren, Geld zurückholen.

Damit das nächste Leck weniger anrichtet

Ein Leck bei einem Unternehmen kannst du nicht verhindern, wohl aber den Schaden begrenzen. Die Polizei rät, für Online-Konten starke, individuelle Passwörter zu verwenden und, wo möglich, eine Zwei-Faktor-Authentifizierung einzuschalten ^[7]. Persönliche Daten teilst du in sozialen Netzwerken sparsam und prüfst die Privatsphäre-Einstellungen regelmäßig ^[7]. Über öffentliche WLAN-Hotspots überträgst du keine sensiblen Daten; nutze nach Möglichkeit eine sichere Verbindung ^[7].

Ein Passwortmanager hilft dabei, für jedes Konto ein eigenes Passwort zu haben. Viele dieser Programme weisen auf schwache oder bereits genutzte Passwörter hin und warnen vor möglichem Phishing ^[10]. Je weniger Daten ein Dienst über dich speichert, desto weniger kann bei einem Leck verloren gehen. Bei Konten, die du nicht mehr brauchst, kannst du nach der DSGVO die Löschung deiner Daten verlangen; die Verbraucherzentrale stellt dafür einen Musterbrief bereit ^[5].

Nach dem Leck kommt oft das Phishing

Wer von einem Datenleck betroffen ist, sollte bei Post, E-Mails, SMS und Anrufen besonders wachsam sein, vor allem bei Aufforderungen, Daten oder Zugänge zum Online-Banking einzugeben ^[5]. Mit echten Namen, Adressen oder Kundennummern wirken Phishing-Nachrichten glaubwürdiger. Das BSI nennt eine Phishing-Mail, die deine korrekten persönlichen Daten enthält, ausdrücklich als Hinweis darauf, dass Zugangsdaten in fremde Hände gelangt sein könnten, und rät dann zum Passwortwechsel ^[8].

Melden sich Unbekannte unter Berufung auf das Datenleck, etwa mit dem Angebot, deine Daten "löschen" oder dein Geld "sichern" zu lassen, bleib misstrauisch und prüf das Anliegen über einen Weg, den du selbst herausgesucht hast. Typische Merkmale gefälschter Nachrichten beschreibt Phishing-Mails erkennen.

Was das Unternehmen dir sagen muss

Die Datenschutz-Grundverordnung (DSGVO) verpflichtet Unternehmen in bestimmten Fällen, dich selbst zu informieren. Hat eine Datenpanne voraussichtlich ein hohes Risiko für deine persönlichen Rechte und Freiheiten zur Folge, muss der Verantwortliche dich unverzüglich benachrichtigen ^[6]. Die Benachrichtigung beschreibt in klarer und einfacher Sprache, was passiert ist ^[6]. Sie kann unter anderem entfallen, wenn die Daten so verschlüsselt waren, dass Unbefugte sie nicht lesen können, oder wenn eine Einzelbenachrichtigung unverhältnismäßig aufwendig wäre; dann ist eine öffentliche Bekanntmachung nötig ^[6].

Unabhängig davon kannst du nach der DSGVO Auskunft darüber verlangen, welche Daten ein Unternehmen über dich speichert, und die Löschung fordern ^[5]. Nach Angaben der Verbraucherzentrale sind auch Schadensersatzansprüche möglich; sie stellt dafür kostenlose Musterbriefe bereit ^[5]. Ob im Einzelfall ein Anspruch besteht, klärt eine Rechtsberatung. Was die Verbraucherzentrale dabei leisten kann, steht unter Was die Verbraucherzentrale bei Betrug tun kann.

1. Organisation Identity Leak Checker. Hasso-Plattner-Institut für Digital Engineering. Stand ohne Datum. abgerufen am 29.10.2026
2. Organisation Identity Leak Checker: FAQ. Hasso-Plattner-Institut für Digital Engineering. Stand ohne Datum. abgerufen am 29.10.2026
3. Organisation Identity Leak Checker prüft Datendiebstahl. Hasso-Plattner-Institut für Digital Engineering. Stand 22.02.2023. abgerufen am 29.10.2026
4. FAQs. Have I Been Pwned. Stand ohne Datum. abgerufen am 29.10.2026
5. Organisation Datenlecks: Prüfen Sie schnell und kostenlos Ihre Ansprüche. Verbraucherzentrale Bundesverband. Stand 12.12.2024. abgerufen am 29.10.2026
6. Gesetz Art. 34 DSGVO: Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person. Verordnung (EU) 2016/679, Textausgabe dsgvo-gesetz.de. Stand ohne Datum. abgerufen am 29.10.2026
7. Behörde Identitätsdiebstahl. Polizeiliche Kriminalprävention der Länder und des Bundes. Stand ohne Datum. abgerufen am 29.10.2026
8. Behörde Umgang mit Passwörtern. Bundesamt für Sicherheit in der Informationstechnik. Stand ohne Datum. abgerufen am 29.10.2026
9. Organisation Sperr-Notruf 116 116. Sperr-Notruf 116 116 e.V.. Stand ohne Datum. abgerufen am 29.10.2026
10. Behörde Passwort-Manager. Bundesamt für Sicherheit in der Informationstechnik. Stand ohne Datum. abgerufen am 29.10.2026

Zuletzt geprüft am 30.10.2026, nächste Prüfung spätestens im Oktober 2027. Fehler entdeckt? Schreib uns.