Mein Passwort wurde geleakt — was tun in den nächsten 24 Stunden?
Die 6 kritischen Schritte, wenn eines deiner Passwörter in einem Datenleck auftaucht: ändern, 2FA aktivieren, Identität überwachen und Credential Stuffing verhindern.
Redakteur Technologie und Cybersicherheit
📋 Inhaltsverzeichnis
- 1.Ihr Passwort wurde geleakt. Und nun?
- 2.Schritt 1: Passwort SOFORT ändern
- 3.Schritt 2: auf ALLEN anderen Websites ändern, wo Sie dasselbe Passwort verwenden
- 4.Schritt 3: 2FA bei der Haupt-E-Mail aktivieren
- 5.Schritt 4: verdächtige Aktivitäten prüfen
- 6.Schritt 5: Ihre Identität überwachen
- 7.Schritt 6: langfristige Prävention
- 8.Häufig gestellte Fragen (FAQ)
Ihr Passwort wurde geleakt. Und nun?
Haben Sie eine E-Mail von Google oder Apple erhalten, die Sie darüber informiert, dass eines Ihrer Passwörter in einem Datenleck aufgetaucht ist? Oder haben Sie es in unserem Daten-Leck-Prüfer entdeckt? Keine Panik — aber handeln Sie schnell. Dieser Leitfaden erklärt die 6 kritischen Schritte in den nächsten 24 Stunden.
Laut dem Jahresbericht des BSI sind Millionen deutscher Konten 2025 in Datenlecks aufgetaucht. Die meisten Opfer wissen es nicht einmal — und das ist die größte Schwachstelle.
Schritt 1: Passwort SOFORT ändern
Gehen Sie auf die betroffene Website und ändern Sie das Passwort in ein neues, einzigartiges und starkes. Verwenden Sie nicht das alte oder offensichtliche Varianten (z.B. 'password123' → 'password124' — in Sekunden zu knacken).
Verwenden Sie unseren Passwort-Generator, um ein zufälliges Passwort mit 20+ Zeichen zu erstellen, und speichern Sie es in einem Passwort-Manager.
Schritt 2: auf ALLEN anderen Websites ändern, wo Sie dasselbe Passwort verwenden
Dies ist der kritische Teil. Wenn Sie das offengelegte Passwort auf anderen Websites wiederverwendet haben (E-Mail, Bank, soziale Netzwerke, Amazon), sind all diese Websites jetzt gefährdet. Angreifer automatisieren Credential Stuffing: Sie probieren das offengelegte Passwort auf Hunderten beliebter Websites aus.
Erstellen Sie eine mentale Liste der Websites, auf denen Sie dieses Passwort typischerweise verwenden. Ändern Sie es überall. Wenn Sie sich nicht erinnern können, ist genau das das Problem — verwenden Sie ab jetzt den Passwort-Manager.
Schritt 3: 2FA bei der Haupt-E-Mail aktivieren
Die E-Mail ist das Zentrum Ihres digitalen Universums — wird sie kompromittiert, können Angreifer Passwörter für fast alles andere zurücksetzen. Aktivieren Sie die Zwei-Faktor-Authentifizierung (2FA) für Ihr Gmail, Outlook oder ProtonMail sofort.
Verwenden Sie eine App wie Authy oder Google Authenticator (sicherer als SMS). Für maximale Sicherheit erwägen Sie einen physischen YubiKey-Schlüssel.
Schritt 4: verdächtige Aktivitäten prüfen
Überprüfen Sie den Login-Verlauf der betroffenen Website (falls verfügbar). Suchen Sie nach: Zugriffen aus unbekannten Ländern, nicht erkannten Geräten, Passwortänderungen, die Sie nicht vorgenommen haben, neuen mit dem Konto verknüpften E-Mail-Adressen.
Für Google-E-Mail: myaccount.google.com/device-activity. Für andere Dienste suchen Sie 'security log' oder 'Aktivitätsverlauf' in den Einstellungen.
Schritt 5: Ihre Identität überwachen
Wenn das Leck personenbezogene Daten enthielt (Steuer-ID, IBAN, Adresse, Telefon), erwägen Sie einen Identitätsüberwachungsdienst. Diese Dienste überwachen das Dark Web und alarmieren Sie, wenn Ihre Daten in Cyberkriminellen-Foren auftauchen.
In Deutschland erwägen Sie außerdem: Schufa-Selbstauskunft regelmäßig prüfen, Banktransaktionsalarme einrichten, und auf gezielte Phishing-Versuche achten (sie werden versuchen, die offengelegten Daten zu verwenden, um Sie zu täuschen).
Schritt 6: langfristige Prävention
Eine Offenlegung ist ein Weckruf. Um die nächste zu vermeiden, übernehmen Sie drei Gewohnheiten: (1) einzigartiges Passwort pro Website über Passwort-Manager; (2) 2FA auf allen wichtigen Konten; (3) monatliche Überprüfung in unserem Leck-Prüfer und konfigurieren Sie automatische Warnungen in Google ('Warnung kompromittiertes Passwort').
Und denken Sie daran: Offengelegte Passwörter zu haben, ist keine Schande. Die Unternehmen werden gehackt (LinkedIn, Adobe, MySpace, Dropbox usw.) — die Nutzer sind nur kollaterale Opfer. Die einzige Schande ist, danach nicht zu handeln.
Häufig gestellte Fragen (FAQ)
Wie weiß ich, ob mein Passwort offengelegt wurde?
Verwenden Sie unseren kostenlosen Prüfer unter /de/email-pruefen — er funktioniert mit Have I Been Pwned. Sie erhalten auch automatisch eine Warnung, wenn Sie Chrome (Password Checkup) oder iCloud Keychain (Compromised Passwords) verwenden.
Soll ich das betroffene Konto schließen?
Nicht zwingend. Passwort ändern + 2FA aktivieren reicht in 95 % der Fälle. Schließen Sie es nur, wenn: Sie den Dienst seit langem nicht nutzen oder der Dienst nachweislich tiefgreifend kompromittiert wurde (nicht nur das Passwort).
Wie oft soll ich prüfen?
Monatlich für normale Nutzer. Wöchentlich für Profis, die sensible Anmeldedaten verwalten (Anwälte, Journalisten, Führungskräfte).
Werden Hacker mein Passwort sofort verwenden?
Typischerweise ja, über automatisiertes Credential Stuffing. Daher die Dringlichkeit: in den ersten 24 h handeln reduziert den potenziellen Schaden drastisch.