So prüfen Sie, ob Ihre E-Mail-Adresse von einem Datenleck betroffen ist

Was ein Datenleck für Ihre E-Mail tatsächlich bedeutet

Wenn ein Unternehmen von einem Datenleck betroffen ist, behalten die Angreifer das Gestohlene selten für sich. Datenbanken mit E-Mail-Adressen, Passwörtern, Namen, Telefonnummern und anderen Kontodaten werden kopiert, gehandelt und irgendwann in sogenannten Breach-Dumps veröffentlicht. Mit der Zeit werden einzelne Dumps zu riesigen kombinierten Listen zusammengeführt — oft Combolists genannt -, die frei in Foren und auf Filesharing-Seiten kursieren. Ihre E-Mail-Adresse muss nicht zu einem wichtigen Konto gehören, um in einer solchen Liste zu landen. Ein Forum, in dem Sie sich 2013 registriert haben, eine Shopping-Seite, die Sie einmal genutzt haben, oder ein Dienst, den es nicht mehr gibt — all das kann die Quelle sein. Das Leck passierte auf deren Servern, aber die Offenlegung trifft Sie.

Die praktische Gefahr ist meist nicht das ursprüngliche Leck selbst, sondern das, was danach kommt. Angreifer nehmen diese Listen und starten Credential-Stuffing-Angriffe: Sie probieren jedes geleakte Paar aus E-Mail und Passwort bei Hunderten anderer Dienste aus und setzen darauf, dass Menschen Passwörter wiederverwenden. Wenn Ihr Passwort aus einem gehackten Haustierforum dasselbe ist, das Ihr primäres E-Mail-Konto schützt, wird aus dem Forenleck eine Übernahme Ihres E-Mail-Kontos. Geleakte Adressen füttern außerdem gezieltes Phishing, denn ein Angreifer, der weiß, welche Dienste Sie nutzen, kann weitaus überzeugendere gefälschte E-Mails verfassen. Deshalb ist das Wissen, ob — und wo — Ihre Adresse offengelegt wurde, wirklich nützlich und nicht bloß morbide Neugier.

Wie Dienste zur Leck-Prüfung funktionieren

Dienste zur Leck-Prüfung lösen ein simples Indexierungsproblem. Forscher besorgen sich Kopien von Breach-Dumps, sobald sie auftauchen, verifizieren die Echtheit der Daten und laden die betroffenen E-Mail-Adressen in eine durchsuchbare Datenbank. Wenn Sie Ihre Adresse eingeben, sagt Ihnen der Dienst, in welchen bekannten Lecks sie enthalten war, wann jedes Leck stattfand und welche Datenkategorien offengelegt wurden — Passwörter, Telefonnummern, Postadressen und so weiter. Der etablierteste Dienst, Have I Been Pwned, hat Milliarden kompromittierter Konten aus Hunderten Vorfällen katalogisiert und wird sowohl von Privatpersonen als auch von Unternehmen genutzt, die ihre eigenen Domains überwachen.

Ein berechtigter Einwand: Sein Passwort in eine Website einzutippen, um zu prüfen, ob es geleakt wurde, klingt nach einer schrecklichen Idee — und auf der falschen Seite eingetippt wäre es das auch. Die Passwort-Prüffunktion von Have I Been Pwned umgeht das Problem mit einer Technik namens k-Anonymität. Ihr Browser hasht das Passwort lokal und sendet dann nur die ersten fünf Zeichen dieses Hashes an den Server. Der Server antwortet mit jedem geleakten Hash, der mit diesen fünf Zeichen beginnt — typischerweise mehrere Hundert Kandidaten -, und Ihr Browser prüft lokal auf eine Übereinstimmung. Der Dienst sieht Ihr Passwort nie und nicht einmal genug vom Hash, um es zu identifizieren. Das vollständige Design wurde vom Betreiber des Dienstes öffentlich dokumentiert und seither von Passwortmanagern und Browsern für ihre eigenen Leck-Prüffunktionen übernommen.

Das k-Anonymitätsmodell hinter Pwned Passwords wird im Detail von Troy Hunt erklärt, der Have I Been Pwned betreibt: Troy Hunt — Pwned Passwords und das k-Anonymitätsmodell ↗

Ihre Adresse Schritt für Schritt prüfen

Beginnen Sie mit Have I Been Pwned auf haveibeenpwned.com. Geben Sie Ihre E-Mail-Adresse in das Suchfeld ein und senden Sie sie ab. Das Ergebnis ist entweder beruhigend leer oder eine chronologische Liste der Lecks, in denen Ihre Adresse enthalten war — jeweils mit einer kurzen Beschreibung des Vorfalls und der offengelegten Datenklassen. Lesen Sie die Datenklassen genau: Ein Leck, das nur E-Mail-Adressen preisgab, ist ein Ärgernis; eines, das Passwörter oder Passwort-Hashes preisgab, verlangt sofortiges Handeln. Wiederholen Sie die Prüfung für jede Adresse, die Sie aktiv nutzen, einschließlich alter Adressen, die noch an Sie weiterleiten — denn darunter registrierte Konten sind genauso verwundbar.

Registrieren Sie sich bei der Gelegenheit gleich für Leck-Benachrichtigungen. Bei Have I Been Pwned können Sie eine Adresse hinterlegen und erhalten eine E-Mail, sobald sie in einem neu geladenen Leck auftaucht — so wird aus einer manuellen Prüfung, die Sie vergessen könnten, ein automatischer Alarm. Der Benachrichtigungsdienst verifiziert, dass Sie die Adresse kontrollieren, bevor er Alarme aktiviert, sodass Sie keine beliebigen Adressen anderer Personen abonnieren können. Für die meisten Nutzer liefert dieser eine Schritt den größten Teil des Nutzens: Lecks werden laufend entdeckt, und die Adresse, die heute sauber ist, kann in einem nächsten Monat geladenen Dump auftauchen.

Mozilla Monitor (früher Firefox Monitor) ist eine solide zweite Option und baut auf denselben zugrunde liegenden Leck-Daten auf. Der Dienst bietet dieselbe Adresssuche plus laufende Überwachung, gekoppelt an ein kostenloses Mozilla-Konto, und präsentiert Ergebnisse mit Schritt-für-Schritt-Anleitungen zur Behebung für jedes Leck. Beide Dienste zu nutzen kostet nichts und dauert Minuten. Wenn Sie eine eigene Domain besitzen, bietet Have I Been Pwned zusätzlich eine domainweite Überwachung, die jede Adresse Ihrer Domain meldet, die in irgendeinem Leck auftaucht — nützlich, weil erratbare Adressen wie info@ oder contact@ eine Offenlegung ansammeln, die Sie nie zu Gesicht bekommen.

Sie können Ihre Adresse prüfen und die vollständige Erklärung zum Umgang mit Leck-Daten in den offiziellen FAQ nachlesen: Have I Been Pwned — Häufig gestellte Fragen ↗

Mozillas kostenloser Überwachungsdienst bietet fortlaufende Alarme und Anleitungen zur Behebung: Mozilla Monitor — kostenlose Überwachung von Datenlecks ↗

Was tun, wenn Ihre Adresse in einem Leck auftaucht

Erstens: Ändern Sie das Passwort beim betroffenen Dienst — und, ganz entscheidend, bei jedem anderen Dienst, bei dem Sie dasselbe oder ein ähnliches Passwort verwendet haben. Angreifer rechnen mit Wiederverwendung, und Variationen wie eine angehängte Ziffer oder ein Ausrufezeichen halten automatisiertem Durchprobieren nicht stand. Die Reihenfolge ist wichtig: Sichern Sie zuerst Ihr primäres E-Mail-Konto, denn es ist der Wiederherstellungsmechanismus für alles andere. Ein Angreifer, der Ihr Postfach kontrolliert, kann die Passwörter der meisten Ihrer anderen Konten nach Belieben zurücksetzen.

Zweitens: Beenden Sie das Wiederverwendungsproblem an der Wurzel, indem Sie für jedes Konto ein einzigartiges Zufallspasswort erzeugen — was in der Praxis die Nutzung eines Passwortmanagers bedeutet. Diese eine Änderung verwandelt künftige Lecks von einem kaskadierenden Notfall in einen begrenzten: Ein geleaktes Passwort öffnet genau ein Konto, und es zu rotieren dauert eine Minute. Wo Dienste Passkeys anbieten, bevorzugen Sie diese klar. Ein Passkey ist ein kryptografischer Berechtigungsnachweis, der an Ihr Gerät gebunden ist; es liegt kein gemeinsames Geheimnis in der Datenbank des Dienstes, das leaken könnte, sodass ein Leck beim Dienst nichts offenlegen kann, was ein Angreifer gegen Ihr Konto wiederverwenden könnte. Aktivieren Sie Zwei-Faktor-Authentifizierung für alles Wichtige, das noch Passwörter nutzt — idealerweise mit einer Authenticator-App statt SMS.

Drittens: Betrachten Sie die offengelegten Daten realistisch. Ein geleaktes Passwort lässt sich austauschen, eine geleakte E-Mail-Adresse nicht. Sobald Ihre Adresse im Umlauf ist, müssen Sie dauerhaft mit mehr Spam und überzeugenderem Phishing rechnen. Seien Sie besonders vorsichtig bei E-Mails, die sich auf den betroffenen Dienst beziehen, denn Angreifer nutzen Leck-Listen, um genau solche gezielten Köder zu versenden. Wenn das Leck Zahlungsdaten offengelegt hat, behalten Sie Ihre Abrechnungen im Blick und erwägen Sie, die Karte zu ersetzen. Wenn es Identitätsdaten wie eine Ausweisnummer offengelegt hat, informieren Sie sich über die in Ihrem Land verfügbaren Betrugswarn- oder Kreditsperr-Mechanismen.

Künftige Offenlegung mit Aliasen und Wegwerf-Adressen reduzieren

Alles bisher Genannte ist reaktiv. Die proaktive Variante der Leck-Hygiene besteht darin, von vornherein zu begrenzen, wie viele Datenbanken Ihre echte Adresse enthalten — denn eine Adresse, die nie erfasst wurde, kann auch nie geleakt werden. E-Mail-Aliase sind das Werkzeug für Dienste, mit denen Sie eine laufende Beziehung haben: Ein Alias-Anbieter gibt jedem Dienst eine eigene Weiterleitungsadresse, sodass ein Leck nur diesen Alias offenlegt, den Sie dann deaktivieren können. Die kompromittierte Adresse stirbt, Ihr echtes Postfach bleibt unberührt — und Sie wissen genau, wer sie geleakt hat.

Für einmalige Interaktionen — ein Whitepaper herunterladen, einen Rabattcode abgreifen, einen Dienst testen, zu dem Sie nie zurückkehren — ist eine Wegwerf-Adresse die sauberere Lösung. Ein temporäres Postfach von einem Dienst wie PureTempMail existiert Minuten oder Stunden, empfängt die Verifizierungs-Mail und läuft dann samt aller Daten ab. Wenn dieser Dienst Jahre später unweigerlich gehackt wird, enthält der Dump eine Adresse, die nicht mehr existiert und nie mit Ihnen verbunden war. Daten, die Sie nie herausgegeben haben, sind die einzigen Daten, die garantiert nie in einem Leck-Prüfergebnis auftauchen.

Was Sie nicht tun sollten

Tippen Sie niemals ein Passwort, das Sie tatsächlich verwenden, in eine beliebige „Passwort-Checker“-Website ein. Das oben beschriebene k-Anonymitätsdesign ist das, was die Passwortprüfung von Have I Been Pwned sicher macht, und seriöse Passwortmanager nutzen dasselbe Protokoll — aber eine x-beliebige Seite mit einem Formular, das nach Ihrem Passwort fragt, könnte es schlicht abgreifen. Wenn Sie Passwörter prüfen wollen, tun Sie es direkt über Have I Been Pwned oder über die Leck-Prüffunktion Ihres Passwortmanagers oder Browsers, wo die Prüfung gegen gehashte Daten erfolgt, ohne das Passwort selbst zu übertragen.

Seien Sie ebenso skeptisch bei unaufgeforderten E-Mails, die verkünden, Sie seien von einem Leck betroffen — besonders bei solchen, die auf eine Login-Seite verlinken oder Zahlung verlangen. Legitime Leck-Benachrichtigungen fragen nicht nach Ihrem Passwort, und die Alarme von Have I Been Pwned verlangen nie eine Anmeldung, um Ergebnisse einzusehen. Eine verwandte Masche behauptet, kompromittierendes Material zu besitzen, und nennt als Beweis eines Ihrer echten geleakten Passwörter; das Passwort ist echt, stammt aber aus einem alten Breach-Dump, nicht aus einem Zugriff auf Ihre Geräte. Und schließlich: Sparen Sie sich kostenpflichtige „Dark-Web-Scan“-Produkte, die dieselben öffentlichen Leck-Daten neu verpacken, die diese kostenlosen Dienste ohnehin liefern.

Eine realistische Routine

Leck-Offenlegung ist kein einmaliges Problem, das man behebt, sondern ein Dauerzustand, den man managt. Eine vernünftige Routine ist kurz: Prüfen Sie Ihre aktiven Adressen bei Have I Been Pwned, abonnieren Sie dort oder bei Mozilla Monitor Benachrichtigungen, wechseln Sie per Passwortmanager zu einzigartigen Passwörtern, nutzen Sie Passkeys, wo sie angeboten werden, und geben Sie Ihre echte Adresse nur an Dienste, die tatsächlich einen langfristigen Weg brauchen, Sie zu erreichen. Aliase decken den vertrauenswürdigen, aber segmentierten Mittelbereich ab, und Wegwerf-Adressen alles Flüchtige. Keiner dieser Schritte ist schwierig, und zusammen machen sie aus der nächsten Leck-Schlagzeile statt eines persönlichen Notfalls ein Nicht-Ereignis.

Die Zahl der Dienste zu reduzieren, die Ihre echte Adresse besitzen, ist die beste langfristige Verteidigung. Die praktischen Techniken behandeln wir in einem Begleitartikel: So schützen Sie Ihre E-Mail-Adresse vor Spam