Ihr Passwort war in einem Datenleck: Was jetzt zu tun ist (Checkliste 2026)

Ihr iPhone meldet „Dieses Passwort ist in einem Datenleck aufgetaucht.“ Chrome markiert ein kompromittiertes Passwort. Oder Sie haben Ihre E-Mail-Adresse bei Have I Been Pwned eingegeben und sehen nur Rot. Durchatmen — ein geleaktes Passwort lässt sich beheben, und der größte Schaden ist vermeidbar, wenn Sie in der richtigen Reihenfolge handeln. Hier ist genau, was Sie tun sollten, Schritt für Schritt.

Zuerst: Verstehen, was tatsächlich passiert ist

Ein Datenleck bedeutet, dass ein Unternehmen, bei dem Sie ein Konto haben, gehackt und seine Nutzerdatenbank kopiert wurde. Diese Datenbanken werden verkauft und gehandelt, und die enthaltenen Passwörter werden irgendwann geknackt. Die eigentliche Gefahr ist nicht die eine betroffene Website — sondern jede andere Website, auf der Sie dasselbe Passwort verwendet haben. Angreifer führen automatisierte Credential-Stuffing-Angriffe durch: Sie nehmen die geleakte Kombination aus E-Mail und Passwort und probieren sie bei Gmail, Amazon, PayPal, Netflix, Ihrer Bank — tausende Websites in wenigen Minuten. Wenn Sie das Passwort irgendwo wiederverwendet haben, sind auch diese Konten gefährdet.

Schritt 1: Leck bestätigen und betroffene Konten herausfinden

Öffnen Sie haveibeenpwned.com und geben Sie Ihre E-Mail-Adresse ein. Die Seite listet jedes bekannte Datenleck auf, in dem Ihre Adresse enthalten war — mit Datum und Art der betroffenen Daten (Passwörter, Telefonnummern, Adressen, Kartendaten). Prüfen Sie jede E-Mail-Adresse, die Sie nutzen, auch alte.

• iPhone / iPad: Einstellungen → Passwörter → Sicherheitsempfehlungen zeigt Passwörter, die in bekannten Lecks aufgetaucht sind.
• Chrome: Google Passwortmanager → Passwortcheck markiert kompromittierte, wiederverwendete und schwache Passwörter.

Notieren Sie, welche Websites betroffen sind. Das ist Ihre To-do-Liste für den nächsten Schritt.

Schritt 2: Das geleakte Passwort ändern — und überall, wo Sie es wiederverwendet haben

Ändern Sie zuerst das Passwort auf der betroffenen Website. Dann — und diesen Teil überspringen die meisten — ändern Sie es auf jeder anderen Website, auf der Sie dasselbe Passwort oder eine ähnliche Variante verwendet haben (eine „1“ oder ein „!“ anzuhängen zählt nicht — Knack-Tools probieren das automatisch).

Jedes neue Passwort sollte lang, zufällig und nur für diese eine Website sein. Denken Sie sich keine selbst aus; nutzen Sie einen Passwortgenerator, damit jedes Konto etwas wie Tq7!vLm2#pXw9Rz bekommt, das kein Leck anderswo öffnen kann. Unsicher, ob ein bestehendes Passwort gut genug ist? Prüfen Sie es mit dem Passwortstärke-Checker. Alle Regeln finden Sie in unserem Leitfaden Ein starkes Passwort erstellen.

Priorisieren Sie in dieser Reihenfolge: E-Mail zuerst (sie ist der Wiederherstellungsschlüssel für alles andere), dann Banking- und Zahlungs-Apps, dann Shopping-Konten mit gespeicherten Karten, dann soziale Netzwerke, dann alles Übrige.

Schritt 3: Zwei-Faktor-Authentifizierung (2FA) aktivieren

Mit 2FA reicht ein geleaktes Passwort allein nicht zum Einloggen — der Angreifer braucht zusätzlich einen 6-stelligen Code, der sich alle 30 Sekunden ändert. Aktivieren Sie sie beim betroffenen Konto und bei jedem wichtigen Konto. Bevorzugen Sie eine Authentifikator-App statt SMS-Codes; SMS können per SIM-Swapping abgefangen werden.

Dafür brauchen Sie keine weitere App. DroidPass hat einen integrierten Authentifikator, der 2FA-Codes direkt neben dem Passwort erzeugt, das sie schützen — im selben verschlüsselten Tresor. QR-Code der Website scannen, fertig. So funktioniert es.

Schritt 4: Prüfen, ob der Angreifer eine Hintertür hinterlassen hat

Wenn jemand bereits in ein Konto eingedrungen ist, wirft ihn eine Passwortänderung nicht immer hinaus. Prüfen Sie bei jedem wichtigen Konto (besonders E-Mail):

• Wiederherstellungs-E-Mail und Telefonnummer — stellen Sie sicher, dass sie noch Ihre sind.
• Aktive Sitzungen / angemeldete Geräte — melden Sie alles ab, was Sie nicht kennen.
• E-Mail-Weiterleitungsregeln und Filter — Angreifer richten stille Weiterleitungen ein, um weiter mitzulesen.
• Verbundene Apps und API-Zugriffe — widerrufen Sie alles Unbekannte.
• Backup-Codes — erzeugen Sie neue, damit Kopien des Angreifers wertlos werden.

Schritt 5: Wenn Zahlungsdaten geleakt wurden, schützen Sie Ihr Geld

Wenn das Leck Kartennummern oder Bankdaten enthielt, kontaktieren Sie Ihre Bank, sperren oder ersetzen Sie die Karte und beobachten Sie Ihre Kontoauszüge in den nächsten Monaten genau. Viele Banken erlauben es, eine Karte sofort in der App zu sperren. Wenn persönliche Identifikatoren (Ausweisnummern, Geburtsdatum, Adresse) betroffen waren, seien Sie besonders wachsam — das ist das Rohmaterial für Identitätsdiebstahl.

Schritt 6: Mit Phishing rechnen — und nicht darauf hereinfallen

Nach einem Leck wissen Kriminelle, dass Sie Kunde dieses Unternehmens sind und dass Sie besorgt sind. Rechnen Sie mit überzeugenden E-Mails wie „Wir haben ein Datenleck entdeckt — bestätigen Sie jetzt Ihr Konto.“ Klicken Sie niemals auf einen Link in einer solchen E-Mail. Öffnen Sie die Website selbst, indem Sie die Adresse eingeben oder die offizielle App nutzen. Auch hier hilft ein Passwortmanager: DroidPass füllt nur auf genau der gespeicherten Website automatisch aus — eine täuschend ähnliche Domain bekommt nichts.

Schritt 7: Dafür sorgen, dass es Ihnen nie wieder schadet

Sie können nicht verhindern, dass Unternehmen gehackt werden. Sie können aber dafür sorgen, dass ein Leck immer nur ein einziges Konto betrifft:

1. Ein eindeutiges, generiertes Passwort pro Website. Das ist das ganze Geheimnis. Wenn jedes Passwort einzigartig ist, ist ein Leck ein Ein-Website-Problem statt eines Ihr-ganzes-Leben-Problems.
2. Speichern Sie sie in einem verschlüsselten Tresor — nicht in einer Notizen-App, keiner Tabelle, nicht in der Browser-Synchronisation. DroidPass verschlüsselt alles mit AES-256 auf Ihrem Gerät, nach dem Zero-Knowledge-Prinzip — darum ist das wichtig.
3. Führen Sie eine Passwortprüfung durch. DroidPass Pro enthält eine Sicherheitsprüfung für Passwörter & WLAN, die Ihren Tresor scannt und schwache, wiederverwendete und alte Passwörter markiert — damit Sie die riskanten beheben, bevor ein Leck sie offenlegt.
4. 2FA aktiviert lassen für alles, was es unterstützt — mit den Codes im selben Tresor.
5. Have I Been Pwned alle paar Monate erneut prüfen oder die kostenlosen Benachrichtigungen für Ihre E-Mail-Adresse abonnieren.