Datenleck prüfen: So finden Sie heraus, ob Ihre E-Mail-Adresse, Handynummer oder Passwörter geleakt wurden

Kurze Antwort

Ob Ihre E-Mail-Adresse geleakt wurde, prüfen Sie auf haveibeenpwned.com oder beim Identity Leak Checker des Hasso-Plattner-Instituts; Sie sehen, in welchen Datenlecks sie vorkommt. Gespeicherte Passwörter prüfen Sie mit dem Google Passwortcheck oder dem Sicherheitsbericht Ihres Passwortmanagers. Für Handynummern gibt es keinen zuverlässigen kostenlosen Check, gehen Sie also davon aus, dass Ihre Nummer offenliegt, wenn ein betroffenes Konto sie enthielt. Ändern Sie dann mehrfach genutzte Passwörter, aktivieren Sie Passkeys oder Zwei-Faktor-Authentifizierung per App, richten Sie eine PIN beim Mobilfunkanbieter ein und sperren Sie Ihre Kreditauskunft (USA) oder nutzen Sie die Cifas Protective Registration (Großbritannien).

Wichtige Zahlen

• 17,8 Mrd.gehackte Konten sind bei Have I Been Pwned durchsuchbar, aus mehr als 1.000 betroffenen WebsitesHave I Been Pwned
• 1,31 Mrd. US-DollarVerluste im Jahr 2025 bei 67.456 Beschwerden zu Datenlecks mit persönlichen Daten beim FBIFBI IC3 2025 Internet Crime Report
• 38 %mehr unbefugte SIM-Swaps verzeichnete die britische National Fraud Database im Jahr 2025Cifas Fraudscape 2026
• 4,46 Mio.Menschen waren 2025 beim Datenleck von TransUnion mit Namen, Sozialversicherungsnummer und Geburtsdatum betroffenSecurityWeek

Sie haben eine E-Mail bekommen, laut der ein Unternehmen, bei dem Sie Kunde waren, „von einem Sicherheitsvorfall betroffen“ ist. Oder ein Betrüger hat Ihnen eine SMS geschrieben, mit Ihrem Namen. So oder so stellt sich dieselbe Frage: Was von mir ist im Umlauf, und was kann jemand damit anfangen? Zeit, das Datenleck zu prüfen. Have I Been Pwned, der bekannteste Dienst dafür, enthält mehr als 17,8 Mrd. gehackte Konten. Die Chancen stehen hoch, dass mindestens eines von Ihnen dabei ist.

Ein Datenleck ist nicht dasselbe wie ein gehacktes Konto. Aber es liefert Kriminellen das Rohmaterial für Phishing, Kontoübernahmen und Identitätsbetrug. Das FBI verzeichnete 2025 67.456 Beschwerden zu Datenlecks mit persönlichen Daten und gemeldete Verluste von 1,31 Mrd. US-Dollar. Die folgenden Schritte dauern etwa 30 Minuten und schließen die meisten Türen, die ein Datenleck öffnet.

Wie prüfen Sie, ob Ihre E-Mail-Adresse in einem Datenleck auftaucht?

Geben Sie Ihre E-Mail-Adresse auf haveibeenpwned.com ein. Der Dienst ist kostenlos, wird vom Sicherheitsforscher Troy Hunt betrieben und listet jedes bekannte Datenleck, in dem Ihre Adresse vorkommt, mit Datum und Art der offengelegten Daten. In Deutschland ist außerdem der Identity Leak Checker des Hasso-Plattner-Instituts verbreitet, der Datenlecks aus öffentlichen Quellen und dem Darknet auswertet.

1. Prüfen Sie jede Adresse, die Sie je genutzt haben, auch alte Arbeits-, Uni- und Wegwerf-Adressen.
2. Lesen Sie jeden Eintrag. Notieren Sie, was geleakt wurde: Passwörter, Telefonnummern, Adressen, Geburtsdaten, Sicherheitsfragen.
3. Setzen Sie Prioritäten: zuerst Datenlecks mit Passwörtern oder Ausweisnummern und jedes Konto, das Sie noch nutzen.
4. Aktivieren Sie „Notify me“, damit Sie eine E-Mail bekommen, wenn Ihre Adresse in einem künftigen Datenleck auftaucht.

„Keine Datenlecks gefunden“ heißt nicht, dass Sie sicher sind. Viele Datenlecks werden nie öffentlich, und manche Daten werden privat verkauft. Nehmen Sie es als gute Nachricht, nicht als Garantie.

Wie prüfen Sie, ob Ihre Passwörter geleakt wurden?

Nutzen Sie den Google Passwortcheck auf passwords.google.com, wenn Sie Passwörter in Chrome oder Android speichern. Er zeigt, welche gespeicherten Passwörter kompromittiert und welche schwach sind. Die Passwörter-App von Apple und die meisten Passwortmanager haben einen ähnlichen Sicherheitsbericht.

Sie können ein einzelnes Passwort auch auf der Seite Pwned Passwords von Have I Been Pwned testen. Dabei wird Ihr Passwort nie übertragen: Ihr Browser bildet einen Hashwert, schickt nur die ersten fünf Zeichen davon und vergleicht die Ergebnisse auf Ihrem Gerät.

Ein geleaktes Passwort ist vor allem dann gefährlich, wenn Sie es mehrfach verwendet haben. Kriminelle nehmen geleakte Kombinationen aus E-Mail-Adresse und Passwort und probieren sie automatisch bei Banken, E-Mail-Diensten, Shops und sozialen Netzwerken aus. Das nennt sich Credential Stuffing, und deshalb kann ein altes Datenleck zehn Konten öffnen.

Woran erkennen Sie, ob Ihre Handynummer geleakt wurde?

Es gibt kein zuverlässiges kostenloses Tool, das Telefonnummern in allen Datenlecks prüft, die ehrliche Antwort lautet also: Hat ein betroffenes Konto Ihre Nummer enthalten, gehen Sie davon aus, dass sie offenliegt. Deutliche Zeichen sind plötzlich mehr Betrugsanrufe und SMS, Nachrichten mit Ihrem Namen und Einmalcodes, die Sie nicht angefordert haben.

Ihre Nummer ist wahrscheinlich auch auf anderen Wegen öffentlich. Personensuchmaschinen, alte Einträge und Social-Media-Profile verknüpfen Telefonnummern mit Namen und Adressen. Um zu sehen, was ein Fremder mit Ihnen in Verbindung bringen kann, starten Sie bei Search A-Z eine Suche „Sich selbst prüfen“. Der Bericht zeigt die öffentlichen Profile, Erwähnungen im Web und beruflichen Angaben zu Ihrem Namen und prüft, ob eine eingegebene Telefonnummer oder E-Mail-Adresse echt ist, welche Art von Anschluss es ist (Mobilfunk, Festnetz oder Internet-/VoIP-Nummer) und ob ein Betrugsrisiko besteht. Suchen in den USA können öffentliche Register wie Adressen und Telefonnummern enthalten.

Was waren die größten Datenlecks 2025 und 2026?

Die jüngsten Datenlecks haben vor allem Kontaktdaten und Identitätsdaten offengelegt, weniger Kartennummern, und genau die nutzen Betrüger für Phishing und Identitätsmissbrauch. Einige der größten:

Das Datenleck bei Carnival begann mit Social Engineering: Laut Malwarebytes brachte ein Angreifer einen Mitarbeiter dazu, ihm Zugang zu gewähren. Mitte 2025 warnten Schlagzeilen vor „16 Mrd. geleakten Passwörtern“. BleepingComputer berichtete, dass es sich um eine Sammlung alter Datenlecks und Protokolle von Infostealer-Schadsoftware handelte, nicht um ein neues Datenleck. Ein guter Grund, Passwörter nicht mehr mehrfach zu verwenden, war es trotzdem.

Was können Betrüger mit Ihren geleakten Daten anfangen?

Betrüger nutzen geleakte Daten, um ihre Kontaktversuche glaubwürdig zu machen und Sicherheitsabfragen zu überwinden. Die wichtigsten Risiken:

• Gezieltes Phishing. Eine Nachricht mit Ihrem Namen, dem betroffenen Unternehmen und Ihren echten Bestell- oder Kontodaten. Oft geben sich die Absender als das betroffene Unternehmen aus und bieten eine „Entschädigung“ oder „Kontoverifizierung“ an.
• Kontoübernahme. Geleakte Passwörter werden bei Ihrem E-Mail-Konto, Ihrer Bank und Ihren Shopping-Konten ausprobiert. Cifas verzeichnete 2025 in Großbritannien mehr als 78.000 Fälle von Kontoübernahme.
• SIM-Swapping. Mit Ihrem Namen, Ihrer Nummer und Ihrem Geburtsdatum überredet ein Krimineller Ihren Mobilfunkanbieter, Ihre Nummer auf seine SIM-Karte zu übertragen, und empfängt dann Ihre SMS-Codes. Das FBI erhielt 2025 971 Beschwerden zu SIM-Swaps mit Verlusten von 17,4 Mio. US-Dollar, und Cifas sah in Großbritannien einen Anstieg um 38 %.
• Identitätsbetrug. Kredite, Handyverträge oder Konten werden in Ihrem Namen eröffnet. Identitätsbetrug machte 2025 54 % aller Fälle in der britischen National Fraud Database aus, mehr als 242.000 Fälle.
• Jemand gibt sich als Sie aus. Nachrichten an Ihre Kontakte oder Ihren Arbeitgeber, die scheinbar von Ihnen kommen, manchmal von einer ähnlich aussehenden E-Mail-Adresse.

Eine typische Betrugsnachricht nach einem Datenleck sieht so aus:

Hallo [Ihr Name], nach dem jüngsten Datenvorfall bei [Unternehmen] wurde Ihr Konto markiert. Um Ihren Zugang zu behalten und Ihre Entschädigung zu erhalten, bestätigen Sie bitte innerhalb von 24 Stunden Ihre Daten: [Link]

Klicken Sie nie auf Links in solchen Nachrichten. Öffnen Sie die Website oder App des Unternehmens selbst. Sollen Sie bei der Arbeit einen Absender oder Zahlungsdaten bestätigen, führt Sie unser Ratgeber E-Mail-Absender überprüfen durch die Prüfungen.

Was tun nach einem Datenleck?

Wenn Ihre Daten geleakt wurden, ändern Sie alle betroffenen oder mehrfach genutzten Passwörter, sichern Sie die Anmeldung stärker ab, schützen Sie Ihre Telefonnummer und sperren Sie Ihre Kreditauskunft. Gehen Sie in dieser Reihenfolge vor:

1. Sichern Sie zuerst Ihr Haupt-E-Mail-Konto. Darüber lässt sich alles andere zurücksetzen. Neues, einmaliges Passwort, dann Zwei-Faktor-Authentifizierung.
2. Ändern Sie jedes mehrfach genutzte Passwort. Nutzen Sie einen Passwortmanager, damit jedes Konto ein eigenes bekommt. Vermuten Sie Schadsoftware auf Ihrem Computer, scannen Sie ihn zuerst, sonst können auch die neuen Passwörter gestohlen werden.
3. Wechseln Sie zu Passkeys, wo es sie gibt. Google, Apple, Microsoft, Amazon, PayPal und viele Banken unterstützen sie. Passkeys lassen sich nicht abphishen oder mehrfach verwenden.
4. Nutzen Sie eine Authenticator-App statt SMS für Zwei-Faktor-Codes bei wichtigen Konten. Beim SIM-Swapping werden SMS-Codes abgefangen.
5. Richten Sie eine PIN oder Sperre beim Mobilfunkanbieter ein. Fragen Sie Ihren Anbieter nach einer PIN oder einem Kundenkennwort für die Rufnummernmitnahme und den SIM-Tausch, damit niemand Ihre Nummer ohne diese Angabe übertragen kann.
6. Sperren Sie Ihre Kreditauskunft (USA). Das ist kostenlos, wirkt sich nicht auf Ihren Score aus und bleibt bestehen, bis Sie es aufheben. Machen Sie es bei allen drei Auskunfteien: Equifax, Experian und TransUnion. Ein kostenloser Betrugshinweis (fraud alert), den Sie bei einer Auskunftei setzen, gilt ein Jahr.
7. Behalten Sie Ihre Konten im Blick. Prüfen Sie Konto- und Kartenauszüge und Ihre Kreditauskunft auf alles, was Sie nicht kennen.

Großbritannien: Cifas Protective Registration

Wer in Großbritannien lebt und dessen Identitätsdaten geleakt wurden, kann die Cifas Protective Registration nutzen, die 30 Pfund für zwei Jahre kostet. Sie markiert Ihren Namen und Ihre Adresse in der National Fraud Database, sodass Kreditgeber und Telefonanbieter zusätzlich prüfen, bevor sie etwas in Ihrem Namen eröffnen. Echte Anträge dauern dann etwas länger, Ihre Kreditwürdigkeit bleibt unberührt. Laut Cifas ist sie in den ersten Monaten nach einem Datenleck am nützlichsten. Prüfen Sie außerdem Ihre Kreditauskunft bei Experian, Equifax oder TransUnion UK.

EU: was anders ist

In der EU gibt es kein einheitliches System zum Sperren der Kreditauskunft. Informieren Sie Ihre Bank, behalten Sie Ihre Konten im Blick und wissen Sie: Ein Unternehmen, das von einem Datenleck betroffen ist, muss es nach der DSGVO seiner Datenschutzbehörde melden und Sie bei hohem Risiko direkt informieren. In Deutschland können Sie bei der SCHUFA eine kostenlose Datenkopie nach Art. 15 DSGVO anfordern und so sehen, ob Verträge oder Anfragen in Ihrem Namen auftauchen, die Sie nicht kennen.

Woran erkennen Sie, dass jemand Ihre Identität missbraucht?

Jemand missbraucht möglicherweise Ihre Identität, wenn Sie Aktivitäten sehen, die nicht von Ihnen stammen. Achten Sie auf:

• E-Mails zum Zurücksetzen von Passwörtern oder Anmeldewarnungen, die Sie nicht ausgelöst haben
• Ihr Handy verliert plötzlich das Netz und zeigt „Kein Netz“ oder „Nur Notrufe“
• Rechnungen, Bonitätsabfragen oder Konten, die Sie nicht kennen
• Freunde bekommen seltsame Nachrichten oder Geldbitten „von Ihnen“
• Inkassofirmen melden sich wegen Schulden, die nicht Ihre sind

Verliert Ihr Handy ohne Grund das Netz, ist das dringend: Rufen Sie sofort von einem anderen Telefon Ihren Mobilfunkanbieter an, denn es kann bedeuten, dass Ihre Nummer übertragen wurde. Ein gefälschtes Social-Media-Profil mit Ihrem Namen und Ihren Fotos erkennen Sie leichter, wenn Sie wissen, was normalerweise über Sie im Netz steht. Dabei hilft unser Ratgeber Sich selbst googeln: Was weiß das Internet über mich?.

Wo melden Sie Identitätsdiebstahl oder Betrug nach einem Datenleck?

In den USA melden Sie Identitätsdiebstahl auf IdentityTheft.gov, das einen Plan zur Wiederherstellung erstellt und den Bericht liefert, den Sie für einen erweiterten Betrugshinweis über sieben Jahre brauchen. Online-Betrug melden Sie dem FBI auf ic3.gov.

Großbritannien: Melden Sie Betrug und Cyberkriminalität bei Report Fraud, dem Nachfolger von Action Fraud, auf reportfraud.police.uk oder unter 0300 123 2040. In Schottland wenden Sie sich unter 101 an Police Scotland. Betrugs-SMS leiten Sie an die 7726 weiter.

EU: Erstatten Sie Anzeige bei Ihrer örtlichen Polizei und beschweren Sie sich bei Ihrer nationalen Datenschutzbehörde, wenn ein Unternehmen mit Ihren Daten nachlässig umgegangen ist. In Deutschland geht die Anzeige online über die Onlinewache der Polizei Ihres Bundeslandes, und unerwünschte SMS und Spam-Anrufe können Sie der Bundesnetzagentur melden.

Hat das Datenleck Ihre Wohnadresse oder Telefonnummer auf öffentliche Seiten gebracht, zeigt unser Ratgeber Daten aus Personensuchmaschinen löschen lassen, wie Sie sie entfernen.

Das Wichtigste in Kürze

Prüfen Sie jede E-Mail-Adresse, die Sie je genutzt haben, bei Have I Been Pwned, kontrollieren Sie Ihre gespeicherten Passwörter und gehen Sie davon aus, dass Ihre Handynummer im Umlauf ist. Tun Sie dann das, was Kriminelle wirklich aufhält: einmalige Passwörter, Passkeys oder Zwei-Faktor-Authentifizierung per App, eine PIN beim Mobilfunkanbieter und eine Sperre der Kreditauskunft in den USA oder die Protective Registration in Großbritannien.

Häufige Fragen

Wie prüfe ich, ob meine E-Mail-Adresse geleakt wurde?

Geben Sie sie auf haveibeenpwned.com ein. Der kostenlose Dienst listet jedes bekannte Datenleck, in dem Ihre E-Mail-Adresse vorkommt, und welche Daten offengelegt wurden. Aktivieren Sie „Notify me“, um bei künftigen Datenlecks benachrichtigt zu werden, und prüfen Sie jede E-Mail-Adresse, die Sie je genutzt haben.

Ist Have I Been Pwned sicher?

Ja. Es ist ein seit Langem bestehender kostenloser Dienst des Sicherheitsforschers Troy Hunt. Die Suche nach Ihrer E-Mail-Adresse zeigt nur, in welchen Datenlecks sie vorkommt. Der Passwort-Check überträgt nie Ihr eigentliches Passwort, sondern nur einen Teil eines Hashwerts.

Kann ich prüfen, ob meine Handynummer geleakt wurde?

Nicht zuverlässig und kostenlos. Hat ein betroffenes Konto Ihre Nummer enthalten, gehen Sie davon aus, dass sie offenliegt. Mehr Betrugs-SMS, Nachrichten mit Ihrem Namen und nicht angeforderte Einmalcodes sind typische Zeichen. Schützen Sie die Nummer mit einer PIN oder Sperre beim Mobilfunkanbieter.

Was sollte ich nach einem Datenleck als Erstes tun?

Sichern Sie Ihr Haupt-E-Mail-Konto mit einem neuen, einmaligen Passwort und Zwei-Faktor-Authentifizierung, und ändern Sie dann alle mehrfach genutzten Passwörter. In den USA sperren Sie Ihre Kreditauskunft bei Equifax, Experian und TransUnion. In Großbritannien kommt die Cifas Protective Registration infrage.

Schadet eine Sperre der Kreditauskunft meinem Score?

Nein. Eine Sperre der Kreditauskunft (credit freeze) ist in den USA kostenlos, wirkt sich nicht auf Ihren Score aus und bleibt bestehen, bis Sie sie aufheben. Wenn Sie einen Kredit beantragen, können Sie sie bei der Auskunftei, die der Kreditgeber nutzt, vorübergehend aufheben.

Was ist SIM-Swapping und wie verhindere ich es?

Beim SIM-Swapping überredet ein Krimineller Ihren Mobilfunkanbieter, Ihre Nummer auf seine SIM-Karte zu übertragen, sodass er Ihre Anrufe und SMS-Codes bekommt. Verhindern Sie es mit einer PIN oder Rufnummernsperre beim Anbieter, und nutzen Sie eine Authenticator-App oder Passkeys statt SMS-Codes.

Quellen

1. Have I Been Pwned
2. Have I Been Pwned: Pwned Passwords
3. FBI IC3 2025 Internet Crime Report
4. Cifas Fraudscape 2026
5. Cifas Protective Registration
6. FTC: was Sie über Sperren der Kreditauskunft und Betrugshinweise wissen sollten
7. SecurityWeek: Datenleck bei TransUnion betrifft 4,4 Mio. Menschen
8. BleepingComputer: Co-op bestätigt Diebstahl der Daten von 6,5 Mio. Mitgliedern
9. Malwarebytes: Carnival bestätigt Datenleck mit fast 6 Mio. Betroffenen (Mai 2026)
10. TechRepublic: die größten Datenlecks des Jahres 2026 bisher
11. BleepingComputer: Das Leak mit 16 Mrd. Zugangsdaten ist kein neues Datenleck
12. techUK: Report Fraud löst Action Fraud ab

Die Zahlen sind die neuesten, die jede Quelle zum Zeitpunkt der Aktualisierung veröffentlicht hatte. Gemeldete Betrugsschäden sind eine Untergrenze: Die meisten Betrugsfälle werden nie gemeldet.