Wenn Ihre E-Mail-Adresse in einem Datenleck auftaucht, heißt das nicht, dass Ihr Konto gehackt wurde. Um zu erfahren, ob Ihre E-Mail-Adresse geleakt wurde, geben Sie sie bei Have I Been Pwned ein: Der kostenlose Dienst listet die bekannten Datenpannen auf, in denen sie vorkommt. Stand 28. Oktober 2026 verzeichnet die Datenbank 1.048 kompromittierte Websites und mehr als 17,8 Milliarden Adressen.
Wie prüfen Sie, ob Ihre E-Mail-Adresse geleakt wurde?
Öffnen Sie haveibeenpwned.com, tippen Sie Ihre Adresse ins Suchfeld und bestätigen Sie. Die Seite antwortet mit der Liste der Datenpannen, in denen die Adresse vorkommt, oder mit einer Meldung, dass keine Datenpanne gefunden wurde. Die Suchanfragen werden laut FAQ von HIBP nicht protokolliert.
Jede Adresse testen, die Sie nutzen
Das Ergebnis gilt nur für die eingegebene Adresse. Testen Sie also Ihre Hauptadresse, die berufliche Adresse, falls Sie sie für private Registrierungen verwendet haben, und die alten Postfächer (Gmail, Outlook, Yahoo), die Sie noch behalten. CaptainVerify bietet außerdem ein Tool zum Testen von E-Mail-Adressen, mit dem Sie prüfen können, ob eine E-Mail in einem Datenleck kompromittiert wurde.
Passwörter testen
Der Dienst „Pwned Passwords“ von HIBP gleicht ein Passwort mit denen ab, die bereits in Datenlecks offengelegt wurden. Die Passwörter werden vor dem Versand mit SHA-1 gehasht und anonymisiert. In diesem Dienst wird laut HIBP kein Passwort neben persönlichen Daten gespeichert.
Was bedeutet das Ergebnis: Ist Ihr Konto gehackt?
Nicht unbedingt. Ein Eintrag in einer Datenpanne bedeutet, dass ein Dienst, bei dem Sie diese Adresse hinterlegt hatten, Daten verloren hat. Ihr Postfach kann unversehrt bleiben. Umgekehrt garantiert ein leeres Ergebnis nur, dass keine HIBP bekannte Datenpanne die Adresse enthält. Alles hängt davon ab, was gestohlen wurde und ob Sie Passwörter mehrfach verwenden.
HIBP stuft Datenpannen nach ihrer Gewissheit ein. Eine „unverified“ (nicht verifizierte) Panne ist ein Leak, dessen Echtheit sich nicht zweifelsfrei belegen ließ. Eine „spam list“ bündelt Daten für gezielten Spam, ohne dass zwingend ein System gehackt wurde. Eine „sensitive breach“ findet sich nicht in der öffentlichen Suche: Nur der verifizierte Inhaber der Adresse sieht sie, in seinem Dashboard.
Welche Daten könnten zusammen mit Ihrer Adresse geleakt sein?
Das hängt vom betroffenen Dienst ab: manchmal nur die Adresse, manchmal viel mehr. Das Datenleck beim französischen Anbieter Free, im Oktober 2024 aufgetreten und am 27. Mai 2025 zu HIBP hinzugefügt, zeigt, wie weit es gehen kann. Laut dem Eintrag bei HIBP betraf es 14 Millionen eindeutige Adressen, das sind 13,9 Millionen Konten in der Vorschau des Eintrags. Verknüpft waren Identitätsdaten (Name, Postanschrift, Telefonnummer, Geschlecht, Geburtsdatum) und, bei vielen, eine IBAN.
Lesen Sie die Liste der Datenpannen daher mit einer Frage: Welchem Dienst habe ich welche Informationen gegeben? Bei einer Panne, in der Sie eine IBAN hinterlegt hatten, müssen Sie schneller reagieren als bei einem Forum, in dem nur ein Nickname angegeben war.
Ist eine E-Mail-Adresse allein ein Risiko?
Ja, und zwar ein reales. Eine offengelegte Adresse speist gezieltes Phishing und Credential Stuffing, bei dem gestohlene Kombinationen aus Adresse und Passwort automatisch auf anderen Websites ausprobiert werden.
Wer weiß, bei welchem Dienst Sie Kunde sind (ein Anbieter wie Free, eine Bank, ein Händler), kann eine glaubwürdige Nachricht verfassen oder sogar den Absender fälschen (siehe E-Mail-Spoofing). Ein falscher Link zur Paketverfolgung oder Rückerstattung genügt, um Ihre Zugangsdaten abzugreifen: So funktioniert Phishing. Credential Stuffing wiederum gelingt nur, wenn dasselbe Passwort anderswo verwendet wird. Mit einem eigenen Passwort pro Dienst bleibt eine Datenpanne auf diesen Dienst begrenzt.
Was tun, wenn Ihre Adresse in einem Datenleck auftaucht?
Folgen Sie der Reihenfolge des dreiseitigen Merkblatts, das die französische Datenschutzbehörde CNIL und Cybermalveillance.gouv.fr am 1. Oktober 2026 veröffentlicht haben, „Violation de données personnelles, que faire en 3 étapes clés ?“ (Was tun bei einer Verletzung des Schutzes personenbezogener Daten, in 3 Schritten): zuerst die erste Woche, dann die folgenden Wochen, schließlich der Alltag.
Die erste Woche
Bewahren Sie die Benachrichtigung der betroffenen Organisation auf, sie dient als Nachweis. Ändern Sie dann das Passwort, beginnend mit dem Postfach, denn darüber lassen sich alle anderen Konten zurücksetzen. Wählen Sie ein einzigartiges Passwort, das ein Passwortmanager für Sie speichert, und aktivieren Sie die Zwei-Faktor-Authentifizierung oder einen Passkey, sobald der Dienst ihn anbietet. Seien Sie misstrauisch bei E-Mails, SMS und Anrufen, die den betroffenen Dienst erwähnen.
Die folgenden Wochen
Öffnen Sie die Einstellungen Ihres Postfachs und prüfen Sie drei Punkte: aktive Sitzungen, Wiederherstellungsadressen und automatische Weiterleitungsregeln. Ein Angreifer richtet diese Regeln ein, um Kopien Ihrer Nachrichten zu erhalten. Ändern Sie außerdem jedes Passwort, das Sie anderswo wiederverwendet haben. In Gmail finden Sie die Weiterleitung laut Google unter Einstellungen > Alle Einstellungen aufrufen > „Weiterleitung und POP/IMAP“. Die angemeldeten Geräte prüfen Sie im Sicherheitsbereich Ihres Google-Kontos. Cybermalveillance.gouv.fr, die französische staatliche Anlaufstelle für Cybersicherheit, beschreibt diese Prüfung für ein gehacktes Postfach, einschließlich Abmeldung der Sitzungen und Zurücksetzen wiederverwendeter Passwörter.
Waren Bankdaten betroffen, informieren Sie Ihre Bank. Kontrollieren Sie anschließend Ihre Kontoauszüge und unterschreiben Sie kein verdächtiges SEPA-Mandat.
Im Alltag
Geben Sie den Diensten so wenige Informationen wie möglich. Halten Sie eine berufliche und eine private Adresse getrennt. Löschen Sie ungenutzte Konten: Eine Datenbank, die Sie verlassen haben, kann Ihre Adresse nicht mehr preisgeben.
Sollten Sie nach einem Datenleck Ihre E-Mail-Adresse wechseln?
Selten. Ihre Adresse steht bereits in den geleakten Datenbanken, und ein Postfachwechsel zwänge Sie, jedes Konto zu aktualisieren. Das Postfachpasswort zu erneuern und die Zwei-Faktor-Authentifizierung zu aktivieren schützt Sie besser.
Ein Wechsel ist sinnvoll, wenn das Postfach unter betrügerischen Nachrichten unbrauchbar wird. Für die Zukunft erlaubt ein E-Mail-Alias, Registrierungen voneinander zu trennen. Das ist eine Weiterleitungsadresse pro Dienst: Wenn der Alias einer Website geleakt wird, löschen Sie ihn, ohne Ihre Hauptadresse anzufassen.
Wen informieren und wie melden Sie ein Datenleck?
Die betroffene Organisation muss Sie über eine Datenpanne informieren. Die CNIL kann Ihnen nicht sagen, ob Sie dazugehören. Haben Sie keine Benachrichtigung erhalten, schreiben Sie dem betreffenden Dienst, um Näheres zu erfahren. Die CNIL rät zudem von unbekannten Websites ab, die behaupten, die Daten zu besitzen und Ihnen zu sagen, ob Sie betroffen sind. Have I Been Pwned, seit 2013 von Troy Hunt betrieben, zeigt lediglich die Datenpannen an, die es indexiert hat.
Die DSGVO (die europäische Verordnung von 2016) gibt Ihnen ein Recht auf Löschung: Sie können einen Dienst bitten, Ihr Konto und die zugehörigen Daten zu löschen. Bei nachgewiesenem Schaden, etwa einer betrügerischen Abbuchung oder einem Identitätsdiebstahl, wird die Anzeige in Frankreich online bei „THESEE“ erstattet. Cybermalveillance.gouv.fr nennt diesen Dienst des französischen Innenministeriums.
Eine offengelegte Adresse bleibt offengelegt: Ändern lässt sich das Schloss dahinter. Öffnen Sie den Eintrag jeder von Have I Been Pwned gelisteten Datenpanne erneut und kümmern Sie sich zuerst um diejenigen, die Ihr Postfach oder Ihre Bankdaten betreffen.
