Wurde mein Passwort geleakt? So prüfst du es mit HIBP

Ob deine E-Mail-Adresse oder ein Passwort in einem Datenleck aufgetaucht ist, prüfst du kostenlos auf haveibeenpwned.com (kurz HIBP): E-Mail-Adresse ins Suchfeld eintippen, auf „pwned?“ klicken – färbt sich die Seite rot, wurden deine Daten in mindestens einem Leck gefunden. Passwörter prüfst du auf der separaten Seite „Pwned Passwords“, die deine Eingabe dank k-Anonymität nie im Klartext überträgt.

Was HIBP prüft – und was nicht

Have I Been Pwned ist ein Dienst des Sicherheitsforschers Troy Hunt, der Milliarden von Datensätzen aus bekannten Datenlecks (auf Englisch data breaches) durchsuchbar macht. Wichtig ist die Unterscheidung zwischen zwei getrennten Funktionen:

• E-Mail-/Telefon-Prüfung: Zeigt dir, in welchen konkreten Leaks deine Adresse auftaucht – mit Name des betroffenen Dienstes, Datum und Art der offengelegten Daten (z. B. Passwörter, Adressen, Geburtsdaten).
• Passwort-Prüfung („Pwned Passwords“): Sagt dir, ob ein bestimmtes Passwort schon einmal in einem Leck aufgetaucht ist – unabhängig davon, zu welchem Konto es gehört.

Was HIBP nicht kann: dir sagen, ob genau dein Konto bei Dienst X aktuell gehackt ist. Es zeigt nur, ob deine Daten Teil eines bekannten, gesammelten Leaks sind. Ein Treffer heißt also: „Diese Daten sind im Umlauf“ – nicht zwangsläufig „jemand sitzt gerade in deinem Postfach“.

E-Mail-Adresse prüfen – Schritt für Schritt

1. Öffne haveibeenpwned.com im Browser.
2. Tippe deine E-Mail-Adresse in das große Suchfeld und klicke auf „pwned?“.
3. Grüne Seite = keine Treffer in der Datenbank. Rote Seite = deine Adresse steckt in mindestens einem Leck.
4. Scrolle nach unten zu „Breaches you were pwned in“. Dort steht jeder Vorfall mit Datum und der Zeile „Compromised data“ – also welche Datenarten betroffen waren.
5. Steht dort Passwords, gehst du von einem geleakten Passwort aus und änderst es beim betroffenen Dienst (siehe unten).

Prüfe ruhig alle Adressen, die du regelmäßig nutzt – die alte GMX-Adresse aus dem Forum von 2015 steckt erfahrungsgemäß häufiger in alten Leaks als das frische Google-Konto.

Ein konkretes Passwort prüfen – ohne es zu verraten

Viele scheuen sich zu Recht, ein echtes Passwort in ein Webformular zu tippen. Bei „Pwned Passwords“ ist das technisch entschärft, weil dein Passwort den Rechner nie im Klartext verlässt.

1. Öffne haveibeenpwned.com/Passwords.
2. Gib das zu prüfende Passwort ein und bestätige.
3. Das Ergebnis zeigt, ob und wie oft dieses Passwort bereits in Leaks aufgetaucht ist – bekannte Klassiker wie „123456″ tauchen millionenfach auf.

Findet sich dein Passwort in der Liste, ist es verbrannt: Es steht in den Wörterbüchern, die Angreifer für automatisierte Anmeldeversuche nutzen. Ändere es überall, wo du es verwendet hast – und benutze es nie wieder, auch nicht in abgewandelter Form.

Ein Sicherheitshinweis: Gib niemals gleichzeitig E-Mail und Passwort auf einer beliebigen dritten Seite ein, die eine „Leak-Prüfung“ verspricht. Seriös ist die Kombination nur dort, wo das Passwort – wie bei HIBP – nachweislich nicht im Klartext übertragen wird.

Du bist betroffen – was jetzt zu tun ist

Ein Treffer ist kein Grund zur Panik, aber ein klarer Handlungsauftrag. In dieser Reihenfolge:

1. Passwort des betroffenen Dienstes sofort ändern – ein langes, einzigartiges Passwort, das du nirgends sonst nutzt.
2. Gleiches Passwort woanders? Überall ändern. Genau hier setzt Credential Stuffing an: Angreifer probieren geleakte Zugangsdaten automatisiert bei hunderten anderen Diensten durch. Ein wiederverwendetes Passwort macht aus einem Leck ein Dutzend gekaperter Konten.
3. Zwei-Faktor-Authentifizierung (2FA) aktivieren, wo möglich. Das ist der zweite Schlüssel: Selbst mit deinem Passwort kommt niemand ohne den zweiten Faktor (App-Code, Hardware-Schlüssel) hinein.
4. Passwortmanager einsetzen. Ein Programm wie Bitwarden, KeePass oder 1Password erzeugt für jedes Konto ein eigenes, langes Passwort und merkt es sich für dich – du brauchst nur noch ein starkes Master-Passwort.

Wo verfügbar, ist die passwortlose Anmeldung per Passkey die noch robustere Variante: Statt eines Passworts hinterlegst du einen kryptografischen Schlüssel auf deinem Gerät, der gar nicht erst geleakt werden kann.

Bleib informiert: die „Notify me“-Funktion

Statt HIBP regelmäßig manuell abzufragen, kannst du dich unter „Notify me“ mit deiner E-Mail-Adresse eintragen. Taucht deine Adresse künftig in einem neuen Leak auf, bekommst du automatisch eine Benachrichtigung – so erfährst du oft schneller von einem Vorfall als über den betroffenen Anbieter selbst.

Wie relevant das bleibt, zeigt ein aktuelles Beispiel: Mitte Juni 2026 kamen bei HIBP auf einen Schlag rund 56 Millionen E-Mail-Adressen und 124 Millionen Passwörter dazu. Sie stammten aus Infostealer-Schadsoftware – Programmen, die Zugangsdaten direkt von infizierten Rechnern absaugen. Neue Leaks sind also kein Ausnahmefall, sondern Alltag.

Warum die Passwort-Prüfung sicher ist: k-Anonymität

Dass du ein Passwort prüfen kannst, ohne es preiszugeben, liegt an einem Verfahren namens k-Anonymität. Der Ablauf im Hintergrund:

1. Dein Browser berechnet lokal den SHA-1-Hash deines Passworts – eine 40 Zeichen lange Prüfsumme, aus der man das Passwort nicht zurückrechnen kann.
2. Zum Server geschickt werden nur die ersten 5 Zeichen dieses Hashes (das Präfix), niemals das Passwort und niemals der vollständige Hash.
3. Der Server antwortet mit allen in seiner Datenbank bekannten Hash-Endungen, die mit diesem Präfix beginnen – im Schnitt einige hundert Stück.
4. Erst dein Gerät vergleicht diese Liste lokal mit deinem vollständigen Hash und stellt fest, ob dein Passwort dabei ist.

Der Server sieht also immer nur ein Präfix, das auf hunderte verschiedene Passwörter passt – er kann nicht wissen, welches davon du gerade geprüft hast. Genau das meint k-Anonymität: Deine Anfrage verschwindet in einer Menge nicht unterscheidbarer Anfragen. Deshalb ist die Prüfung selbst dann unbedenklich, wenn du dem Dienst grundsätzlich misstraust.

Häufige Fragen

Ist es sicher, mein Passwort bei Have I Been Pwned einzugeben?

Ja. Bei „Pwned Passwords“ verlässt dein Passwort den Rechner nie im Klartext. Über die k-Anonymität werden nur die ersten 5 Zeichen des lokal berechneten SHA-1-Hashes gesendet – der Server erfährt dein Passwort nicht.

Was bedeutet ein roter Treffer bei HIBP?

Ein roter Treffer heißt, dass deine E-Mail-Adresse in mindestens einem bekannten Datenleck auftaucht. Es bedeutet nicht zwingend, dass dein Konto gerade gehackt ist – aber deine Daten sind im Umlauf, und betroffene Passwörter solltest du ändern.

Kostet Have I Been Pwned etwas?

Nein. Die Prüfung von E-Mail-Adressen und Passwörtern sowie die Benachrichtigungsfunktion „Notify me“ sind kostenlos. Der Dienst finanziert sich über kostenpflichtige Schnittstellen für Unternehmen und Spenden.

Mein Passwort wurde gefunden – was mache ich zuerst?

Ändere es sofort beim betroffenen Dienst und überall dort, wo du dasselbe Passwort verwendest. Aktiviere danach die Zwei-Faktor-Authentifizierung und nutze künftig einen Passwortmanager mit einzigartigen Passwörtern pro Konto.

Wie oft sollte ich meine Daten prüfen?

Statt manuell zu prüfen, trage dich bei „Notify me“ ein. Dann meldet HIBP dir automatisch, sobald deine Adresse in einem neuen Leck auftaucht – gerade weil laufend neue Datensätze hinzukommen, etwa 124 Millionen Passwörter im Juni 2026.