Steckt meine E-Mail-Adresse in einem Datenleck?
In den Nachrichten liest man es immer wieder: Bei einem Online-Shop, einem Reiseportal oder einem Verein sind Kundendaten abhandengekommen. Viele fragen sich dann, ob sie selbst betroffen sind. Das lässt sich in wenigen Minuten herausfinden, kostenlos und ohne Technikwissen.
Kurz und bündig
Frage: Wie finde ich heraus, ob meine Daten bei einem Datenleck gestohlen wurden?
Antwort: Gib deine E-Mail-Adresse beim Identity Leak Checker des Hasso-Plattner-Instituts oder bei „Have I Been Pwned“ ein. Taucht sie auf, änderst du das betroffene Passwort und schaltest, wo möglich, die Zwei-Faktor-Anmeldung ein.
Was ist ein Datenleck?
Wenn du dich bei einem Online-Shop anmeldest, speichert der Anbieter deine E-Mail-Adresse und dein Passwort, damit du dich später wieder anmelden kannst. Wird dieser Anbieter angegriffen, können Kriminelle diese gespeicherten Daten kopieren. Solche Listen tauchen später oft im Internet auf. Das nennt man ein Datenleck: Deine Zugangsdaten sind dann in fremden Händen, ohne dass du etwas falsch gemacht hast. Gegen den Diebstahl beim Anbieter kannst du dich als Einzelperson kaum schützen. Du kannst aber dafür sorgen, dass die gestohlenen Daten nichts mehr nützen.
Warum ist das gefährlich?
Mit einer gestohlenen Kombination aus E-Mail-Adresse und Passwort probieren Kriminelle gern aus, ob sie damit auch woanders hineinkommen, etwa in dein E-Mail-Postfach oder bei Online-Shops. Das klappt vor allem dann, wenn du dasselbe Passwort an mehreren Stellen benutzt.
Besonders wichtig ist dein E-Mail-Konto. Über das Postfach lassen sich bei vielen anderen Diensten Passwörter zurücksetzen. Wer dein Postfach übernimmt, kommt so unter Umständen auch an weitere Konten.
So prüfst du es
Für die Prüfung gibst du nur deine E-Mail-Adresse ein, kein Passwort. Seriöse Prüfdienste fragen nie nach deinem Passwort.
Identity Leak Checker des Hasso-Plattner-Instituts (deutsch)
- Öffne ilc.hpi.de.
- Klicke auf Überprüfen und gib deine E-Mail-Adresse ein.
- Das Ergebnis bekommst du per E-Mail an genau diese Adresse. So kann niemand fremde Adressen ausforschen.
Das Institut in Potsdam sammelt und wertet nach eigenen Angaben seit 2014 Daten aus, die bei Datenlecks ins Internet gelangt sind. Aus Sicherheitsgründen zeigt es nur, welche Art von Daten betroffen war, zum Beispiel ein Passwort, aber nicht das Passwort selbst.
Have I Been Pwned (englisch)
- Öffne haveibeenpwned.com.
- Gib deine E-Mail-Adresse in das Feld ein und klicke auf Check.
- Das Ergebnis erscheint direkt auf der Seite: entweder keine bekannten Treffer oder eine Liste der Datenlecks, in denen deine Adresse aufgetaucht ist.
Mozilla Monitor (deutsch)
Auch monitor.mozilla.org prüft deine E-Mail-Adresse kostenlos. Der Dienst hieß früher „Firefox Monitor“. Für Warnungen bei künftigen Datenlecks meldest du dich dort mit einem kostenlosen Konto an.
Was du tust, wenn deine Adresse auftaucht
Erst einmal keine Sorge. Ein Treffer heißt, dass deine Daten irgendwann bei einem Dienst abhandengekommen sind. Er heißt nicht, dass jemand gerade in deinem Konto ist. Gehe dann diese Schritte durch:
- Passwort ändern: Ändere das Passwort bei dem betroffenen Dienst. Hast du dasselbe Passwort auch anderswo benutzt, ändere es dort ebenfalls, und zwar überall auf ein eigenes, anderes Passwort.
- Beim E-Mail-Konto anfangen: Ist dein E-Mail-Postfach betroffen, kümmere dich zuerst darum, weil darüber andere Konten zurückgesetzt werden können.
- Zwei-Faktor-Anmeldung einschalten: Dabei brauchst du beim Anmelden neben dem Passwort noch einen zweiten Nachweis, zum Beispiel einen Code auf dem Handy. Selbst wer dein Passwort kennt, kommt dann nicht so leicht hinein.
- Passkeys nutzen, wo es geht: Mit einem Passkey meldest du dich per Fingerabdruck, Gesichtserkennung oder PIN an, ganz ohne Passwort. Bei einem Passkey liegt der geheime Schlüssel auf deinem Gerät und nicht beim Anbieter. Wird der Anbieter gehackt, erbeuten die Täter damit kein Passwort, das sie anderswo ausprobieren könnten. Wie das funktioniert, erklären wir in Passkeys statt Passwörter.
Gut zu wissen: Das Bundesamt für Sicherheit in der Informationstechnik (BSI) rät inzwischen davon ab, Passwörter ohne Anlass regelmäßig zu wechseln, weil dabei oft schwächere Passwörter entstehen. Bei einem Verdacht, etwa nach einem Treffer im Leak-Check, solltest du das Passwort aber ändern.
Ein ausgedachtes Beispiel aus dem Alltag
Gisela prüft ihre E-Mail-Adresse beim Hasso-Plattner-Institut. In der Antwort steht, dass ihre Adresse zusammen mit einem Passwort bei einem alten Fitness-Portal aufgetaucht ist, bei dem sie sich vor Jahren angemeldet hatte. Dasselbe Passwort nutzt sie noch für ihr E-Mail-Postfach. Sie ändert zuerst das Passwort ihres Postfachs, dann das bei zwei Online-Shops, und schaltet beim Postfach die Zwei-Faktor-Anmeldung ein. Das dauert eine knappe halbe Stunde, danach nützt das alte Passwort niemandem mehr.
Was die Prüfung nicht kann
Die Prüfdienste kennen nur Datenlecks, die bekannt geworden sind. Kein Treffer heißt also nicht, dass deine Daten mit Sicherheit nirgends gelandet sind. Und ein Treffer bleibt bestehen, auch wenn du dein Passwort längst geändert hast: Die alten Daten liegen ja weiterhin in der gestohlenen Liste. Deshalb ist die beste Vorsorge, für jedes Konto ein eigenes Passwort zu verwenden. Ein Passwort-Manager kann dir dabei helfen, den Überblick zu behalten.
Wenn jemand schon in deinem Konto ist
Kommst du mit deinem richtigen Passwort nicht mehr hinein, oder hat dein Postfach E-Mails verschickt, die nicht von dir stammen, dann ist es mehr als ein alter Treffer. Was du dann in der ersten halben Stunde tust, steht in Konto übernommen: die ersten 30 Minuten richtig handeln. Auch das BSI hat einen Notfallplan für ein gehacktes E-Mail-Konto.
Häufige Fragen
Muss ich beim Leak-Check mein Passwort eingeben?
Nein. Du gibst nur deine E-Mail-Adresse ein. Eine Seite, die für diese Prüfung dein Passwort verlangt, solltest du sofort wieder schließen.
Kostet die Prüfung etwas?
Nein. Der Identity Leak Checker, Have I Been Pwned und Mozilla Monitor prüfen deine E-Mail-Adresse kostenlos.
Muss ich meine E-Mail-Adresse wechseln, wenn sie in einem Datenleck steckt?
Meist nicht. Wichtig ist, dass du die betroffenen Passwörter änderst und dein Postfach mit einer Zwei-Faktor-Anmeldung schützt. Rechne aber damit, dass du mehr Werbung und gefälschte E-Mails bekommst.
Warum zeigt die Prüfung immer noch einen Treffer, obwohl ich das Passwort geändert habe?
Die Prüfdienste zeigen, dass deine Daten in einer gestohlenen Liste stehen. Diese Liste ändert sich nicht, wenn du dein Passwort änderst. Ob das alte Passwort noch funktioniert, können sie nicht sehen.
Wie oft sollte ich prüfen?
Immer dann, wenn du von einem Datenleck bei einem Dienst hörst, den du nutzt. Wer ein Konto bei Mozilla Monitor anlegt, bekommt neue Treffer automatisch gemeldet.
Kommentar