Datenleck prüfen: Ist meine E-Mail-Adresse betroffen?

Fast jede E-Mail-Adresse, die älter als ein paar Jahre ist, steckt in mindestens einem Datenleck. Das ist keine Panikmache, sondern Statistik: Große Einbrüche bei Plattformen mit hunderten Millionen Konten hat es seit 2012 regelmäßig gegeben. Die interessantere Frage ist deshalb nicht ob, sondern welche Daten wo betroffen sind.

Wie ein Leak-Check funktioniert

Wenn Daten aus einem Einbruch im Netz auftauchen, etwa in einem Forum oder auf einer Tauschplattform, sammeln Sicherheitsforscher sie ein. Leak-Dienste importieren die E-Mail-Adressen daraus in eine Datenbank, oft ohne die Passwörter. Gibst du deine Adresse ein, wird nur nachgeschlagen, in welchen bekannten Sammlungen sie vorkommt.

Daraus folgen zwei Grenzen. Erstens kennt kein Dienst alle Leaks, nur die, die öffentlich geworden sind. Zweitens sagt ein Treffer nichts darüber, ob jemand dein Konto tatsächlich übernommen hat. Er sagt nur: Diese Daten sind draußen.

Seriöse Dienste zum Datenleck prüfen

Zur Einordnung: haveibeenhacked.de ist ein Ratgeber und hat mit dem gleichnamig klingenden Dienst Have I Been Pwned nichts zu tun. Wir bieten selbst keinen Leak-Check an und speichern keine Adressen.

Der HPI-Dienst hat einen Vorteil, den man leicht übersieht: Das Ergebnis geht an die geprüfte Adresse. Niemand kann also nachsehen, in welchen Leaks die Adresse deiner Kollegin steckt. Have I Been Pwned zeigt die Treffer sofort an, blendet aber bei besonders sensiblen Leaks die Ergebnisse aus, bis du die Adresse bestätigst.

Passwörter prüfen, ohne sie preiszugeben

Ein Passwort solltest du nie in ein Webformular tippen, um zu prüfen, ob es geleakt ist. Have I Been Pwned bietet dafür eine Schnittstelle mit k-Anonymität: Du schickst nur die ersten fünf Zeichen des SHA-1-Hashes und bekommst alle passenden Hash-Enden zurück. Den Abgleich machst du lokal.

$ printf '%s' 'password' | shasum -a 1
5baa61e4c9b93f3f0682250b6cf8331b7ee68fd8  -
$ curl -s https://api.pwnedpasswords.com/range/5BAA6 | grep -i 1E4C9B93F3F0682250B6CF8331B7EE68FD8
1E4C9B93F3F0682250B6CF8331B7EE68FD8:52372427

Die Zahl hinter dem Doppelpunkt sagt, wie oft dieses Passwort in Leaks aufgetaucht ist, hier über 52 Millionen Mal (Stand Oktober 2026). Die Antwort enthält knapp 2.000 Zeilen, der Server erfährt also nicht, welches davon dich interessiert. Achtung: Der Befehl landet mit Klartext-Passwort in der Shell-History. Für echte Passwörter nimm lieber den Check im Passwort-Manager, der dasselbe Verfahren nutzt.

Woran du unseriöse Leak-Checker erkennst

Mit der Angst vor Datenlecks lässt sich Geld verdienen, und nicht jeder, der einen „kostenlosen Check“ anbietet, meint es gut. Ein paar Warnzeichen, bei denen du die Seite wieder schließen solltest:

• Die Seite fragt neben der Adresse auch nach dem Passwort. Kein seriöser Dienst braucht das.
• Das Ergebnis ist immer alarmierend, und der Ausweg ist ein kostenpflichtiges Abo.
• Es gibt kein Impressum oder keinen erkennbaren Betreiber.
• Du sollst eine Browser-Erweiterung oder App installieren, um das Ergebnis zu sehen.
• Die Ergebnisse nennen keine konkreten Leaks, sondern nur „im Darknet gefunden“.

Eine Adresse bei einem unseriösen Dienst einzugeben, ist meist nur ärgerlich, weil sie danach auf einer weiteren Werbeliste landet. Ein Passwort dort einzugeben, kann dagegen genau den Schaden anrichten, vor dem der Dienst angeblich warnt. Bleib bei bekannten Betreibern wie Forschungsinstituten, etablierten Projekten oder dem Passwort-Check, der in Browser und Passwort-Manager eingebaut ist.

Was ein Treffer bedeutet

Nicht jeder Treffer ist gleich ernst. Schau dir an, welche Datenfelder betroffen waren:

Was bei einem Treffer konkret zu tun ist, Schritt für Schritt, steht in E-Mail in Datenleck: was tun.

Die eigene Domain macht Leaks nachvollziehbar

Ein Leak-Dienst sagt dir, dass deine Adresse irgendwo betroffen ist. Er sagt dir nicht immer, wer sie weitergegeben hat. Wer eine eigene Domain hat, kann das selbst herausfinden: Jeder Shop bekommt seine eigene Adresse, etwa [email protected] oder [email protected]. Kommt Spam an stadtwerke@, ist klar, woher die Adresse stammt. Wie das mit einer Catch-all-Adresse funktioniert, erklärt Catch-all-E-Mail.

Bei Freemail-Adressen geht das nur eingeschränkt. Plus-Adressen wie [email protected] funktionieren, aber das +shop wird von Datenhändlern gern abgeschnitten.

Einmal prüfen reicht nicht

Neue Leaks werden laufend bekannt, oft Jahre nach dem eigentlichen Einbruch. Have I Been Pwned bietet eine kostenlose Benachrichtigung für einzelne Adressen an, Domaininhaber können sich zusätzlich für ihre gesamte Domain benachrichtigen lassen, nachdem sie den Besitz per DNS-Eintrag oder Mail nachgewiesen haben. Für alle, die eine eigene Domain betreiben, ist das der bequemste Weg.

Und damit ein künftiger Leak möglichst wenig Schaden anrichtet, hilft vor allem eins: für jedes Konto ein eigenes Passwort, siehe Passwort-Manager, oder gleich Passkeys, die sich gar nicht erst stehlen lassen.

Falls du noch keine eigene Domain für deine Mail hast: Eine .de-Domain bei betadomain kostet 2,99 € im Jahr, auch in den Folgejahren. Ob dein Name frei ist, zeigt die Domain-Suche, und alle Endungen stehen in der Preisliste.

Schritt für Schritt

1. E-Mail-Adresse bei einem Leak-Dienst prüfenGib die Adresse beim HPI Identity Leak Checker oder bei Have I Been Pwned ein. Beim HPI kommt das Ergebnis per Mail an genau diese Adresse.
2. Treffer zuordnenNotiere für jeden Treffer den Dienst, das Datum und welche Daten betroffen waren: nur Adresse, Passwort-Hash, Telefonnummer, Anschrift.
3. Passwörter anonym prüfenNutze den Passwort-Check deines Passwort-Managers oder die Pwned-Passwords-Range-API, die nur die ersten fünf Zeichen des SHA-1-Hashes überträgt.
4. Betroffene Konten absichernÄndere das Passwort beim betroffenen Dienst und bei allen Diensten mit demselben Passwort, aktiviere Zwei-Faktor-Anmeldung oder einen Passkey.
5. Benachrichtigung einrichtenAbonniere die Benachrichtigung des Dienstes, damit du bei künftigen Leaks automatisch eine Mail bekommst.