Zuruck zum Blog
VerbrauchersicherheitEmpfohlen

Bin ich gehackt worden? Wie Sie herausfinden, ob Ihre Daten gestohlen wurden – und was Sie dagegen tun können

Eine Schritt-für-Schritt-Anleitung, um zu überprüfen, ob Ihre E-Mail oder Passwörter in Datenlecks aufgetaucht sind, mithilfe von Have I Been Pwned, und was zu tun ist, wenn Ihre Daten offengelegt wurden.

Autorin
ALAisha Lalli
Veröffentlicht
11. März 2026
Lesezeit
9 Min. Lesezeit
Apps, die persönliche Daten sammeln

Irgendwo im Internet, in einem Hackerforum oder auf einem Dark-Web-Marktplatz, besteht eine gute Chance, dass Ihre E-Mail-Adresse in einer Liste zusammen mit Millionen anderer steht. Sie könnte aus einem Datenleck bei Ihrem Lieblingshändler stammen, von einer Gaming-Seite, bei der Sie sich vor einem Jahrzehnt angemeldet haben, oder von einer Social-Media-Plattform, bei der Sie vergessen haben, dass Sie überhaupt ein Konto hatten. Das Datenleck könnte vor Jahren passiert sein – und Sie haben vielleicht nie davon gehört.

Die gute Nachricht? Es gibt ein kostenloses Werkzeug, das Ihnen in Sekunden sagt, ob Sie betroffen sind. Es heißt Have I Been Pwned (haveibeenpwned.com), und wenn Sie es noch nicht benutzt haben, sollten Sie es tun — sofort, bevor Sie diesen Artikel fertig gelesen haben.

Dieser Leitfaden führt Sie durch, was die Seite ist, warum sie wichtig ist, wie man sie Schritt für Schritt benutzt und – am wichtigsten – genau, was zu tun ist, wenn Sie feststellen, dass Ihre Daten offengelegt wurden. Keine Fachbegriffe, keine Panik, nur praktische Schritte.

Was ist Have I Been Pwned?

Have I Been Pwned (oft auf HIBP abgekürzt) ist eine kostenlose Website, die 2013 vom australischen Cybersecurity-Forscher Troy Hunt erstellt wurde. Der Name stammt aus der Gamer-Sprache – „pwned“ (ausgesprochen wie „owned“) bedeutet, vollständig besiegt oder übernommen worden zu sein. In der Sicherheitswelt bedeutet es, wenn dein Konto „pwned“ wurde, dass Hacker Zugriff auf deine Daten erhalten haben.

Hunt gründete HIBP, nachdem er nach der massiven Adobe-Datenpanne an der Analyse nach Sicherheitsverletzungen gearbeitet hatte, bei der er immer wieder dieselben Konten in einer Datenpanne nach der anderen sah – oft mit denselben Passwörtern. Er wollte ein einfaches, öffentliches Werkzeug schaffen, das gewöhnlichen Menschen helfen würde zu verstehen, wann sie betroffen gewesen waren, anstatt sie im Unklaren zu lassen.

„Datenverstöße sind weit verbreitet und viele Menschen unterschätzen das Ausmaß oder die Häufigkeit, mit der sie vorkommen. Durch die Zusammenstellung der Daten hier hoffe ich, dass es nicht nur den Opfern hilft, von Kompromittierungen ihrer Konten zu erfahren, sondern auch die Schwere der Risiken von Online-Angriffen im heutigen Internet aufzeigt.“ — Troy Hunt, Gründer von Have I Been Pwned

Heute ist HIBP eines der vertrauenswürdigsten und am häufigsten empfohlenen Werkzeuge im Bereich der Cybersicherheit für Verbraucher. Consumer Reports, Mozilla Firefox und die Regierungen mehrerer Länder – einschließlich des National Cyber Security Centre des Vereinigten Königreichs und des Australian Cyber Security Centre – empfehlen es offiziell.

Wie groß ist dieses Problem wirklich?

Größer, als die meisten Menschen realisieren. Ab 2025 verfolgt HIBP Daten von über 900 gehackten Websites, mit mehr als 15 Milliarden kompromittierten Konten in seiner Datenbank. Allein im November 2025 fügte Hunt der Datenbank fast 2 Milliarden eindeutige E-Mail-Adressen und 1,3 Milliarden Passwörter hinzu – die größte einzelne Ergänzung in der Geschichte von HIBP – aus Listen von Anmeldeinformationen, die aktiv von Cyberkriminellen genutzt werden.

Und das Problem wird schlimmer, nicht besser. Laut dem Jahresbericht 2025 des Identity Theft Resource Centers ist die Zahl der Kompromittierungen persönlicher Daten im letzten Jahr um 5 % auf ein Rekordniveau von 3.322 Vorfällen gestiegen — von 3.152 im Jahr 2024. Eine Umfrage derselben Organisation ergab, dass etwa 80 % der Befragten in den vorhergehenden 12 Monaten mindestens eine Mitteilung über eine Datenpanne erhalten haben, wobei fast 40 % drei bis fünf separate Benachrichtigungen erhielten.

Einige reale Datenschutzverletzungen, die bereits in der HIBP-Datenbank enthalten sind, umfassen:

  • Canadian Tire (Oktober 2025): fast 42 Millionen Datensätze freigelegt, einschließlich Namen, Telefonnummern, physischer Adressen und teilweise Kreditkartendaten.
  • Universität von Pennsylvania (Oktober 2025): ein Ransomware-Angriff zielte auf Spendendaten ab und betraf über 1,2 Millionen Personen.
  • National Public Data (2024): ein Datenbroker für Hintergrundüberprüfungen legte Milliarden von persönlichen Datensätzen offen, einschließlich US-Sozialversicherungsnummern, und betraf schätzungsweise 134 Millionen eindeutige E-Mail-Adressen.
  • TransUnion (August 2025): fast 4,5 Millionen Kunden hatten Namen, Geburtsdaten und Sozialversicherungsnummern über eine Drittanbieteranwendung gestohlen.

Es geht nicht darum, Sie zu beunruhigen — es soll zeigen, dass Datenpannen ein normales Merkmal des modernen digitalen Lebens sind. Sie haben fast sicher Konten in mindestens einer dieser Datenbanken. Die Frage ist: Wissen Sie, in welchen?

Wie man Have I Been Pwned benutzt: Ein Schritt-für-Schritt-Leitfaden

Die Nutzung von HIBP dauert etwa 60 Sekunden. Hier ist genau, was zu tun ist:

Schritt 1: Gehen Sie auf die Website

Öffnen Sie Ihren Browser und gehen Sie zu haveibeenpwned.com. Sie werden eine saubere, einfache Startseite mit einer einzigen Suchleiste sehen. Das ist alles, was Sie brauchen.

Schritt 2: Geben Sie Ihre E-Mail-Adresse ein

Geben Sie Ihre E-Mail-Adresse in die Suchleiste ein und drücken Sie die Eingabetaste. HIBP wird sie gegen seine gesamte Datenbank mit Verletzungsdaten prüfen. Tun Sie dies für jede E-Mail-Adresse, die Sie verwenden – Menschen haben oft zwei oder drei aktive Konten bei verschiedenen Diensten.

Ist es sicher, Ihre E-Mail einzugeben? Ja. HIBP prüft nur, ob Ihre E-Mail in einem Datenleck erscheint – es speichert Ihre Suche nicht, verknüpft Ihre E-Mail nicht mit einem persönlichen Profil und protokolliert laut eigener FAQ nichts über die standardmäßige Leistungsüberwachung hinaus. Die Seite wird von den Cybersicherheitsbehörden vieler Regierungen weltweit empfohlen.

Schritt 3: Lesen Sie Ihre Ergebnisse

Du wirst eines von zwei Ergebnissen erhalten:

  • Gute Nachrichten — ein grünes Banner mit der Aufschrift „Gute Nachrichten — kein Pwnage gefunden!“ bedeutet, dass Ihre E-Mail in keiner bekannten Datenpanne in der HIBP-Datenbank aufgetaucht ist.
  • Oh nein — gehackt! — ein rotes Banner bedeutet, dass Ihre E-Mail in einer oder mehreren Datenpannen aufgetaucht ist. Scrollen Sie nach unten, um eine Liste aller Datenpannen zu sehen, einschließlich des Namens der Website, wann es passiert ist und welche Art von Daten exponiert wurden.

Keine Panik, wenn Sie ein rotes Banner sehen. Wenn Sie sehen, dass Ihre E-Mail bei einer Sicherheitsverletzung aufgetaucht ist, bedeutet das nicht, dass Ihre Konten gerade aktiv angegriffen werden. Es bedeutet, dass Ihre Daten irgendwann einmal offengelegt wurden, und jetzt können Sie Schritte unternehmen, um sich zu schützen. Das Wichtige ist, Bescheid zu wissen.

Schritt 4: Überprüfen Sie auch Ihre Passwörter

HIBP hat auch ein separates Pwned Passwords Tool unter haveibeenpwned.com/Passwörter. Sie können ein Passwort eingeben, um zu überprüfen, ob es in einem bekannten Datenleck aufgetaucht ist. Wichtig ist, dass HIBP Passwortprüfungen so verarbeitet, dass Ihr tatsächliches Passwort niemals an den Server übertragen wird – es wird eine Technik namens k-Anonymität verwendet, um die Prüfung privat zu halten. Wenn ein Passwort, das Sie derzeit verwenden, in der Datenbank erscheint, ändern Sie es sofort auf jedem Konto, auf dem Sie es verwendet haben.

Schritt 5: Richten Sie Benachrichtigungen bei Sicherheitsverletzungen ein

Sie können Ihre E-Mail-Adresse bei HIBP registrieren, um automatische Benachrichtigungen zu erhalten, falls sie in einem zukünftigen Datenleck auftaucht. Dies ist kostenlos und bedeutet, dass Sie nicht ständig manuell nachprüfen müssen — Sie werden proaktiv benachrichtigt, wenn Ihre Daten künftig offengelegt werden. Um sich anzumelden, klicken Sie auf der Startseite auf „Benachrichtigen Sie mich“ und folgen Sie den Schritten.

HIBP hat kürzlich auch Version 2.0 mit einem neuen persönlichen Dashboard veröffentlicht, was es einfacher macht, mehrere E-Mail-Adressen zu überwachen und die gesamte Verletzungshistorie an einem Ort einzusehen.

Ich wurde gehackt – und jetzt? Ihr Aktionsplan

Zu entdecken, dass Sie in einer Sicherheitsverletzung waren, kann alarmierend sein. Aber atmen Sie tief durch. Hier ist ein ruhiger, klarer Aktionsplan nach Priorität geordnet:

1. Ändern Sie die betroffenen Passwörter sofort

Schauen Sie sich an, welche Websites in Ihren Bruchergebnissen erschienen sind. Melden Sie sich bei jedem dieser Konten an und ändern Sie Ihr Passwort. Machen Sie das neue Passwort lang, einzigartig und etwas, das Sie nirgendwo sonst verwendet haben. Etwa 81 % der Datenverletzungen stehen im Zusammenhang mit schwachen oder gestohlenen Passwörtern — ein starkes, einzigartiges Passwort pro Website ist Ihre effektivste Verteidigung.

Wenn Sie dasselbe Passwort auf anderen Konten verwendet haben (und die meisten Menschen haben das), ändern Sie diese auch. Dies wird als Credential-Stuffing bezeichnet – Hacker nehmen ein geleaktes E-Mail- und Passwort-Paar und versuchen es auf Banken-, E-Mail- und Shopping-Seiten, in der Hoffnung, dass Sie es wiederverwendet haben.

2. Zwei-Faktor-Authentifizierung (2FA) einschalten

Zwei-Faktor-Authentifizierung bedeutet, dass selbst wenn jemand Ihr Passwort hat, er sich ohne einen zweiten Verifizierungsschritt nicht einloggen kann – normalerweise ein Code, der an Ihr Telefon gesendet wird oder von einer App wie Google Authenticator oder Authy generiert wird. Aktivieren Sie dies für jedes wichtige Konto: E-Mail, Bankwesen, soziale Medien und überall dort, wo finanzielle oder persönliche Daten gespeichert sind. Es ist einer der effektivsten Sicherheitsmaßnahmen, die Sie ergreifen können.

3. Verwenden Sie einen Passwort-Manager

Wenn es erschöpfend klingt, für jede Website einzigartige Passwörter zu verwalten, löst ein Passwortmanager dieses Problem vollständig. Apps wie 1Password, Bitwarden (kostenlos und Open-Source) oder Dashlane erstellen und speichern starke, einzigartige Passwörter für jede Website. Sie müssen sich nur ein Hauptpasswort merken. Viele Passwortmanager integrieren sich auch direkt in die HIBP-Datenbank, um Sie zu benachrichtigen, wenn ein gespeichertes Passwort in einer Datenpanne auftaucht.

4. Frieren Sie Ihre Kreditwürdigkeit ein, wenn sensible Daten offengelegt wurden

Wenn eine Sicherheitsverletzung Ihre Sozialversicherungsnummer, Ihr Geburtsdatum oder Finanzinformationen offengelegt hat – die Art von Daten, die verwendet werden können, um neue Konten in Ihrem Namen zu eröffnen – sollten Sie in Erwägung ziehen, eine Kreditsperre bei den drei großen Auskunfteien zu beantragen: Equifax, Experian und TransUnion. Eine Kreditsperre ist kostenlos und verhindert, dass jemand neue Kreditkonten unter Verwendung Ihrer Informationen eröffnet. Sie wirkt sich nicht auf Ihre bestehenden Konten oder Ihre Kreditwürdigkeit aus, und Sie können sie vorübergehend aufheben, wenn Sie einen Kredit beantragen müssen.

Laut dem Identity Theft Resource Center ist ein Kreditstopp der wichtigste Schritt, den Sie unternehmen können, um Identitätsdiebstahl nach einer Datenschutzverletzung zu verhindern.

5. Überwachen Sie Ihre Konten und bleiben Sie wachsam

In den Wochen nach der Entdeckung einer Sicherheitsverletzung sollten Sie Ihre Kontoauszüge, E-Mails und alle mit dem kompromittierten Dienst verbundenen Konten genauer als üblich beobachten. Achten Sie auf unerwartete Anmeldungen, Einkäufe, die Sie nicht getätigt haben, oder Passwortzurücksetzungs-E-Mails, die Sie nicht angefordert haben. Richten Sie Transaktionsbenachrichtigungen für Ihre Bankkonten ein, falls Sie dies noch nicht getan haben.

Seien Sie sich also bewusst, dass Opfer von Datenverletzungen oft kurz danach Ziel von Phishing-E-Mails werden — Kriminelle kaufen die geleakten Daten und nutzen sie, um überzeugend aussehende Nachrichten zu versenden. Wenn Sie eine E-Mail erhalten, die auf einen Dienst verweist, den Sie nutzen, gehen Sie direkt auf diese Website, anstatt auf Links in der E-Mail zu klicken.

A Hinweis zu sensiblen Verstößen

HIBP kennzeichnet bestimmte Verstöße als „sensibel“ — dabei handelt es sich um Websites, bei denen allein die Tatsache, ein Konto zu haben, peinlich oder schädlich für eine Person sein könnte, wenn sie öffentlich wird (zum Beispiel Dating-Websites oder Plattformen für Inhalte für Erwachsene). Diese sensiblen Verstöße erscheinen nicht in den standardmäßigen öffentlichen Suchergebnissen. Um zu überprüfen, ob Ihre E-Mail in einem sensiblen Verstoß enthalten war, können Sie sich mit Ihrer E-Mail-Adresse beim HIBP-Dashboard anmelden, wodurch Sie als Kontoinhaber verifiziert werden und diese Ergebnisse privat freigeschaltet werden. Derzeit gibt es 83 sensible Verstöße im System.

Warum die Software-Sicherheit beginnt, bevor ein Verstoß passiert

Werkzeuge wie Have I Been Pwned sind brillant – und jeder sollte sie benutzen. Aber sie sind von Natur aus reaktiv. Sie informieren dich, nachdem deine Daten bereits offengelegt wurden.

Die tiefere Frage ist: Warum werden überhaupt so viele Daten verletzt? Die Antwort ist in den meisten Fällen Software, die nicht mit Sicherheit als Priorität entwickelt wurde. Veraltete Abhängigkeiten, unzureichende Zugriffskontrollen, schlecht gespeicherte Passwörter und unsichere Datenverarbeitung stehen hinter der überwältigenden Mehrheit der Verstöße. Wenn Unternehmen Passwörter im Klartext speichern, bekannte Sicherheitslücken nicht patchen oder wesentlich mehr Benutzerdaten sammeln, als sie benötigen, ist ein Verstoß keine Frage des Ob, sondern des Wann.

An Evolving Cyber, unser Ansatz besteht darin, Sicherheit von Anfang an einzubauen – nicht als Compliance-Kästchen, sondern als Gestaltungsprinzip. Das bedeutet Datenminimierung (speichere nicht, was du nicht brauchst), ordnungsgemäße Verschlüsselung, sichere Entwicklungspraktiken und regelmäßige Sicherheitstests. Es bedeutet, dass, falls ein von uns gebautes System kompromittiert würde, die Auswirkungen weitaus geringer wären – weil wir niemals Daten aufbewahrt haben, die wir nicht brauchten, und die Daten, die wir aufbewahrten, ordnungsgemäß geschützt waren.

Aber es geht tiefer als nur um Technik. Wir glauben, dass Technologieunternehmen eine ethische Verantwortung gegenüber den Menschen haben, die ihre Produkte nutzen. Ihre Daten sind keine Ressource, die abgebaut werden kann. Sie sind persönlich. Sie gehören Ihnen. Wenn wir Software entwickeln, fragen wir nicht nur „funktioniert das?“ und „ist das sicher?“ – sondern auch „ist das richtig?“ Das bedeutet, transparent darüber zu sein, was wir sammeln, nur das zu sammeln, was wir wirklich brauchen, und niemals Systeme zu entwerfen, die die Lücke zwischen dem, was Nutzer verstehen, und dem, dem sie technisch „zugestimmt“ haben, ausnutzen.

Das beste Ergebnis für jeden Benutzer ist eine Zukunft, in der HIBP immer weniger Ergebnisse zurückgibt – nicht, weil die Menschen aufhören zu überprüfen, sondern weil die Software von Anfang an besser entwickelt wird.

Schnellreferenz: Ihre HIBP-Checkliste

  • Besuchen haveibeenpwned.com und durchsuchen Sie jede E-Mail-Adresse, die Sie verwenden.
  • Überprüfen Sie Ihre Passwörter bei haveibeenpwned.com/Passwörter.
  • Melden Sie sich für Sicherheitsverletzungswarnungen an, damit Sie in Zukunft automatisch benachrichtigt werden.
  • Ändern Sie die Passwörter aller Konten, die in einer Sicherheitsverletzung auftauchten — und überall dort, wo Sie dasselbe Passwort wiederverwendet haben.
  • Aktivieren Sie die Zwei-Faktor-Authentifizierung für alle wichtigen Konten.
  • Verwenden Sie einen Passwortmanager — Bitwarden (kostenlos), 1Password oder Dashlane sind alle gute Optionen.
  • Frieren Sie Ihre Kredite ein bei Equifax, Experian und TransUnion, wenn Finanz- oder Identitätsdaten offengelegt wurden.
  • Bleiben Sie aufmerksam gegenüber ungewöhnlichen Kontobewegungen und Phishing-E-Mails in den Wochen nach einer Sicherheitsverletzung.

Quellen & Weiterführende Literatur

Evolving Cyber — Wir entwickeln Software mit Blick auf Sicherheit. Für weitere Sicherheitsleitfäden für Verbraucher besuchen Sie evolvingcyber.com