Mein Passwort wurde in einem Datenleck gefunden. Was soll ich tun?

Ein Passwort in Leak-Daten zu finden bedeutet nicht unbedingt, dass jemand auf Ihr Konto zugegriffen hat. Es bedeutet, dass diesem Passwort nicht mehr zu trauen ist.

Angreifer spielen E-Mail-Passwort-Paare auf anderen Seiten erneut ab. Das Risiko ist Wiederverwendung. Gehen Sie die Schritte der Reihe nach durch – besonders E-Mail –, bevor Sie den Vorfall als erledigt betrachten.

1. Ändern Sie das Passwort auf dem betroffenen Konto

Melden Sie sich beim gerade geprüften Konto an, wenn Sie noch können, und ersetzen Sie das Passwort sofort. Auch ohne verdächtige Mails: ein Treffer in Leak-Daten reicht.

Wenn Sie sich nicht anmelden können, nutzen Sie die offizielle Zurücksetzung. Klicken Sie nicht auf Reset-Links in unerwarteten E-Mails.

2. Finden Sie jede Stelle, an der Sie dasselbe Passwort genutzt haben

Das ist der wichtigste Teil. Credential Stuffing funktioniert, weil ein Leak viele Logins wird. Durchsuchen Sie Manager, Browser-Speicher und Ihr Gedächtnis: Shops, soziale Netze, alte Foren, Arbeitstools, WLAN-Admin.

Notieren Sie die Liste privat. Eine „kleine“ Seite ist nicht harmlos, wenn sie dasselbe Passwort wie E-Mail oder Banking hatte.

3. Ändern Sie wiederverwendete Passwörter

Ersetzen Sie das Geheimnis auf jedem Konto dieser Liste. Jedes Konto bekommt ein eigenes neues Passwort. Warten Sie nicht auf die nächste Warnung: das Paar ist bereits öffentlich.

4. Beginnen Sie mit dem E-Mail-Konto

Über E-Mail lassen sich oft andere Konten zurücksetzen. War das geleakte Passwort auch das der Mailbox, ändern Sie es zuerst.

Prüfen Sie Weiterleitungen, Wiederherstellungsadressen und App-Passwörter. Angreifer legen oft eine Forwarding-Regel an, um nach Ihrer „Reparatur“ Zugriff zu behalten.

5. Aktivieren Sie MFA oder einen Passkey

Ein neues Passwort reicht nicht, wenn das nächste Phishing-Kit weiterhin einen Code stehlen kann. Schalten Sie einen zweiten Faktor ein, am besten einen Passkey oder eine Authenticator-App. SMS ist besser als nichts, aber schwächer gegen Echtzeit-Phishing.

Zuerst E-Mail, Banking, Cloud und Arbeit. Backup-Codes offline aufbewahren, nicht in derselben Inbox.

6. Prüfen Sie aktive Sitzungen und letzte Anmeldungen

Öffnen Sie in jedem wiederhergestellten Konto die Sicherheitseinstellungen und beenden Sie unbekannte Sitzungen. Sehen Sie sich letzte Logins, neue Wiederherstellungsmails und OAuth-Apps an.

Bleibt eine Sitzung nach der Änderung offen, beenden Sie sie manuell. Ändern Sie das Passwort erneut, wenn Aktivität unerklärlich bleibt.

7. Ändern Sie das alte Passwort nicht nur leicht

Sommer2025! → Sommer2026! ist keine gute Erholung. Angreifer testen Jahreszahl, Saison und eine angehängte Ziffer, sobald sie das Original haben.

Nahe Varianten sind für Stuffing-Tools dasselbe Passwort. Der Ersatz darf der geleakten Zeichenfolge nicht ähneln.

8. Erzeugen Sie ein neues, einzigartiges Passwort

Nutzen Sie einen Passwortmanager, wenn Sie einen haben. Für ein sofortiges Geheimnis erzeugen Sie es im Browser mit unserem Passwort-Generator. Lokal erzeugen, einmal kopieren, speichern – nicht per E-Mail an sich selbst schicken.

9. Prüfen Sie andere wichtige Passwörter

Nach der Rotation testen Sie andere langlebige Geheimnisse auf dieselbe Weise. Nutzen Sie den Datenleck-Passwort-Checker. Jede Prüfung hasht das Passwort in Ihrem Browser und lädt es nicht hoch.

10. Wenn Sie das neue Passwort weitergeben müssen

Fügen Sie es nicht in Chat, E-Mail oder Ticket ein. Senden Sie es einmal über PrivateNote, lassen Sie die andere Person es im Manager speichern, und lassen Sie die Notiz verfallen.