Have I Been Pwned auf Deutsch: Leak-Check einfach erklärt

Was ist HaveIBeenPwned?

HaveIBeenPwned (HIBP) ist ein Dienst des australischen Sicherheitsforschers Troy Hunt. Er aggregiert bekannte Datenlecks und ermöglicht die kostenlose Prüfung ob eine E-Mail-Adresse oder ein Passwort kompromittiert wurde. Mit über 12 Milliarden Einträgen ist HIBP die größte öffentliche Leak-Datenbank der Welt — und für viele der erste Anlaufpunkt nach einem vermuteten Datenleck.

Für Privatpersonen ist HIBP eine wertvolle Ressource. Für Unternehmen in Deutschland entsteht jedoch ein Datenschutzproblem, sobald Mitarbeiter-E-Mails geprüft werden sollen.

Das DSGVO-Problem mit US-Diensten

HIBP wird auf Microsoft Azure betrieben — teils in US-Rechenzentren, teils in Europa. Das Problem für Unternehmenskunden:

Auftragsverarbeitung: Wer Mitarbeiter-E-Mails prüft, verarbeitet personenbezogene Daten. Ohne gültigen Auftragsverarbeitungsvertrag (AVV) mit einem DSGVO-konformen Anbieter ist das rechtlich problematisch.
Drittland-Transfer: Auch bei EU-Rechenzentren von US-Unternehmen gelten besondere Anforderungen — US-Unternehmen unterliegen dem CLOUD Act und können zur Datenweitergabe verpflichtet werden.
Keine deutschsprachige Unterstützung: Bei Datenschutzvorfällen brauchen Unternehmen einen Ansprechpartner der die deutschen Anforderungen kennt.

⚠️

Für Privatpersonen: HIBP ist eine gute Option zur Selbstprüfung. Für Unternehmen die Mitarbeiter-Daten prüfen wollen, empfehlen wir eine DSGVO-konforme Lösung mit deutschem AVV.

Vergleich: HaveIBeenPwned vs. Protecta360

Funktion	HaveIBeenPwned	Protecta360
E-Mail-Adresse prüfen	✅	✅
Passwort prüfen	✅	✅
Serverstandort	USA/EU (Microsoft Azure)	Deutschland
DSGVO-konform	Eingeschränkt	Vollständig
AVV für Unternehmenskunden	❌	✅
Deutschsprachiger Support	❌	✅
Ergebnis auf Deutsch erklärt	❌	✅
Handlungsempfehlung	Generisch	Individuell
Unternehmens-Massencheck	API (englisch)	Auf Anfrage
Kostenlos	✅	✅ Erstcheck

Was beide Dienste gemeinsam haben

Sowohl HIBP als auch unser Dienst nutzen das k-Anonymity-Verfahren: Nur ein Hash-Präfix Ihrer E-Mail-Adresse wird übertragen, nie die vollständige Adresse im Klartext. Das ist ein Mindeststandard für seriöse Leak-Check-Dienste. Daten aus denselben großen öffentlichen Leak-Kompilationen (Collection #1-5, RockYou2021 etc.) bilden die Grundlage beider Dienste.

Wann HIBP ausreicht — und wann nicht

HIBP ausreichend: Privatperson prüft eigene Adresse, schnelle Selbstauskunft, kein Unternehmenskontext
DSGVO-konforme Alternative nötig: Unternehmen prüft Mitarbeiter-Adressen, regelmäßige Monitoring-Lösung gesucht, Nachweis für Datenschutzbehörde erforderlich, deutschsprachige Beratung gewünscht

Was tun nach einem positiven Leak-Befund?

Wenn Ihre E-Mail-Adresse in einem Datenleck auftaucht, zählt Schnelligkeit. Folgen Sie diesen Schritten in der richtigen Reihenfolge:

Welches Passwort war betroffen?

Identifizieren Sie das Passwort das Sie beim betroffenen Dienst verwendet haben. Wenn Sie es noch anderswo nutzen, müssen alle betroffenen Konten geändert werden.

Passwort ändern — überall

Setzen Sie bei allen Diensten wo Sie dasselbe Passwort verwendet haben ein neues, einzigartiges Passwort. Nutzen Sie einen Passwort-Manager (1Password, Bitwarden).

Zwei-Faktor-Authentifizierung aktivieren

Aktivieren Sie 2FA bei E-Mail, Bankkonten und wichtigen Diensten — selbst wenn ein Angreifer das Passwort hat, kann er sich nicht einloggen.

Auf verdopplungsversuche achten

Nach einem Leak steigt das Risiko gezielter Phishing-Mails. Seien Sie besonders vorsichtig bei unerwarteten E-Mails zu Banking, Online-Shops oder IT-Diensten.

Die größten bekannten Datenlecks

Unternehmen / Vorfall	Jahr	Betroffene Einträge	Enthaltene Daten
RockYou2024	2024	10 Mrd.	Kompilierte Passwörter aus vielen Quellen
Yahoo	2013-2016	3 Mrd.	E-Mail, Passwort (md5/bcrypt), Sicherheitsfragen
LinkedIn	2012+2021	700 Mio.	E-Mail, Passwort, Profildaten
Facebook	2019	530 Mio.	Telefonnummer, Name, E-Mail
Adobe	2013	153 Mio.	E-Mail, verschlüsseltes Passwort, Hinweis
Collection #1	2019	773 Mio.	E-Mail + Passwort-Kombinationen

Viele dieser Lecks sind jahrelang im Umlauf — ein Passwort aus einem Adobe-Hack von 2013 kann heute noch für Credential-Stuffing-Angriffe genutzt werden, wenn es nicht geändert wurde.

Wie der k-Anonymity-Schutz beim Check funktioniert

Ein seriöser Leak-Check überträgt Ihre E-Mail-Adresse nie im Klartext. Stattdessen wird das k-Anonymity-Prinzip genutzt: Ihre Adresse wird gehasht (SHA-1), und nur die ersten 5 Zeichen des Hashes werden übertragen. Die Datenbank antwortet mit allen Hashes die mit diesen 5 Zeichen beginnen — der Abgleich passiert lokal in Ihrem Browser. Niemand — auch nicht unser Server — erhält Ihre vollständige E-Mail-Adresse.

DSGVO-konformer Leak Check für Deutschland

Deutschsprachig, auf deutschen Servern, mit AVV-Option für Unternehmenskunden. Kostenloser Erstcheck sofort.

Jetzt prüfen →Beratung anfragen

Häufige Fragen

Was ist HaveIBeenPwned?Ein kostenloser Dienst des Sicherheitsforschers Troy Hunt zur Prüfung ob eine E-Mail-Adresse in bekannten Datenlecks enthalten ist. Mit über 12 Milliarden Einträgen die größte öffentliche Leak-Datenbank. Ist HaveIBeenPwned DSGVO-konform?Für Privatpersonen in der Regel problemlos. Für Unternehmen die Mitarbeiter-Daten prüfen: es fehlt ein deutschsprachiger AVV und die Infrastruktur ist teils US-basiert. Eine EU-konforme Alternative ist für den Unternehmenseinsatz empfohlen. Was bietet eine deutsche Alternative?Dieselbe Prüf-Datenbank, aber Infrastruktur in Deutschland, DSGVO-AVV, deutschsprachiger Support und erweiterte Analyse mit konkreten Handlungsempfehlungen. Kann ich HIBP für Mitarbeiter-E-Mails nutzen?Für Unternehmenseinsatz empfehlen wir eine EU-konforme Lösung. Die Prüfung von Mitarbeiter-Adressen ist Datenverarbeitung — ohne AVV mit einem DSGVO-Anbieter kann das zu Datenschutzproblemen führen.

Passwort-Sicherheit nach einem Leak: So schützen Sie sich dauerhaft

Nach einem positiven Leak-Befund ist das Passwort ändern der erste Schritt — aber nicht der letzte. So sichern Sie sich dauerhaft ab:

Maßnahme	Schutzniveau	Aufwand
Einzigartige Passwörter pro Dienst	Hoch	Einmalig: Passwort-Manager einrichten
Passwort-Manager (Bitwarden, 1Password)	Sehr hoch	Kostenlos möglich (Bitwarden)
2FA / TOTP überall aktivieren	Sehr hoch	5 Min. je Dienst
Passkey-Anmeldung nutzen (wo verfügbar)	Maximum	Direkt in Kontoeinstellungen
Regelmäßiger Leak-Check (6-monatlich)	Frühwarnung	5 Minuten

Credential Stuffing: Warum alte Lecks noch heute gefährlich sind

Viele denken: "Das Adobe-Leak von 2013 ist doch alt — das spielt keine Rolle mehr." Das ist ein Irrtum. Credential Stuffing ist der automatisierte Einsatz gestohlener Benutzername/Passwort-Kombinationen bei anderen Diensten:

Angreifer kaufen Leak-Datenbanken und testen systematisch bei Tausenden Websites
Tools wie Sentry MBA, SNIPR oder Bullet Ogre automatisieren diesen Prozess
193 Milliarden automatisierte Login-Versuche wurden 2023 weltweit registriert
Selbst ein Passwort aus einem 10 Jahre alten Leak ist wertvoll — wenn es noch irgendwo genutzt wird

Die einzige wirksame Gegenmaßnahme: nirgendwo dasselbe Passwort verwenden. Darauf läuft auch unser Leak-Check hinaus: nicht nur prüfen, sondern handeln.

Für Unternehmen: Dark Web Monitoring

Neben dem manuellen Einzelcheck gibt es für Unternehmen die Möglichkeit des kontinuierlichen Dark Web Monitorings — ein automatischer Überwachungsdienst der benachrichtigt wenn neue Daten aus der eigenen Domain in neuen Leaks auftauchen:

Frühwarnung bei neuen Leaks (oft Tage oder Wochen bevor ein Leck öffentlich bekannt ist)
Komplettcheck aller Mitarbeiter-Adressen auf Tastendruck
Dokumentierbar für Versicherungen und ISMS/ISO-27001-Anforderungen

Auf Anfrage bietet Protecta360 Domain-Monitoring auch für Unternehmenskunden an.

Wie reagieren wenn jemand anderes meine Daten gestohlen hat?

Manchmal taucht eine E-Mail-Adresse in einem Leak auf, obwohl Sie sich bei dem betroffenen Dienst nie registriert haben — z. B. weil ein Unternehmen das Sie als Kunden hatten, Ihre Daten ohne Ihr Wissen an Dritte weitergegeben hat. In diesem Fall haben Sie DSGVO-Rechte:

Auskunftsrecht (Art. 15 DSGVO): Sie dürfen beim Unternehmen anfragen, welche Daten verarbeitet werden und woher sie stammen.
Löschungsrecht (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen wenn die Rechtsgrundlage entfällt.
Beschwerderecht: Wenn ein Unternehmen Ihre Daten ohne gültige Rechtsgrundlage verarbeitet hat, können Sie bei der zuständigen Datenschutzbehörde Beschwerde einlegen.

Welche Datenschutzbehörde zuständig ist: in Deutschland die Landesdatenschutzbehörde des Bundeslandes, in dem das Unternehmen sitzt; in Österreich die Datenschutzbehörde (DSB).

DSGVO und HaveIBeenPwned: Was das BSI sagt

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) erwähnt HaveIBeenPwned in seinen Empfehlungen, weist aber gleichzeitig auf den US-Kontext hin. Für Verbraucher ist HIBP eine nützliche Ressource. Für Behörden und öffentliche Stellen gilt: DSGVO-konforme Alternativen sind vorzuziehen.

Das BSI betreibt seit 2021 selbst einen Leak-Check unter haveibeenpwned.bsi.bund.de — eine offizielle deutsche Alternative, die auf denselben Datenbeständen basiert und auf deutschen Servern läuft. Dieser BSI-Service ist die empfohlene Lösung für Behörden und öffentliche Einrichtungen.

Für Privatpersonen und Unternehmen im privaten Sektor bietet Protecta360 eine DSGVO-konforme Alternative mit zusätzlichem deutschen Support und Unternehmensfeatures (AVV, Domain-Massencheck).

Have I Been Pwned auf Deutsch