Passwort geleakt? So prüfst du es, und was du dann tust

MaciPhoneAndroidWindowsAktualisiert 2026-10-31

Das kannst du in wenigen Minuten selbst prüfen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) nennt auf seinen Verbraucherseiten zwei kostenlose Leakchecker, der Universität Bonn und des Hasso-Plattner-Instituts. Außerdem gleichen die App „Passwörter“ von Apple und der Google Passwortmanager deine gespeicherten Passwörter mit bekannten Datenlecks ab. Wird ein Passwort gemeldet, ändere es dort und überall, wo du es noch verwendest.

Kurze Antwort

Prüf deine E-Mail-Adresse mit dem Leakchecker der Uni Bonn oder dem Identity Leak Checker des Hasso-Plattner-Instituts, die das BSI nennt. Auf iPhone und Mac zeigt die App „Passwörter“ unter „Sicherheit“ kompromittierte Passwörter, bei Google der Passwortcheck. Ändere jedes gemeldete Passwort, auch bei anderen Konten mit demselben Passwort, und schalte die Zwei-Faktor-Authentisierung ein.

Welche Leakchecker empfiehlt das BSI?

Das BSI listet in seinem Cybersicherheits-Lotsen zwei Angebote zur Frage, ob persönliche Daten und Passwörter im Internet offengelegt wurden: den Leakchecker der Universität Bonn (leakchecker.uni-bonn.de) und den Leakchecker des Hasso-Plattner-Instituts, der sich selbst Identity Leak Checker nennt (sec.hpi.de/ilc). Auf seiner Seite für Betroffene gehackter Konten schreibt das BSI, dass sich unter dem englischen Begriff „Identity Leak Checker“ verschiedene kostenlose Angebote deutscher und internationaler Anbieter finden.

Ruf diese Seiten auf, indem du die Adresse selbst eingibst. Nutze keinen Link aus einer E-Mail, die dir ein Datenleck meldet.

Wie prüfe ich das auf dem iPhone oder Mac?

Mit der App „Passwörter“. Laut Apple kann dein iPhone oder Mac deine Passwörter auf sichere Art überwachen und dich darauf hinweisen, wenn sie bei Datenlecks auftauchen.

Auf dem iPhone:

Öffne die App „Passwörter“.
Tipp auf „Sicherheit“. Hat ein Account ein schwaches oder kompromittiertes Passwort, erklärt eine Nachricht das Problem.
Tipp auf den Account, dann auf „Passwort ändern“, und ändere es auf der Website oder in der App.

Auf dem Mac:

Öffne die App „Passwörter“.
Klick in der Seitenleiste auf „Sicherheit“. Accounts mit schwachen oder kompromittierten Passwörtern werden aufgelistet.
Klick auf einen Account, dann auf „Passwort ändern“, und ändere es auf der Website oder in der App.

Die Prüfung lässt sich ausschalten. Auf dem iPhone findest du sie unter Einstellungen > Apps > Passwörter, Option „Kompromittierte Passwörter erkennen“. Auf dem Mac wählst du in der App „Passwörter“ > „Einstellungen“ und dann dieselbe Option.

Wie prüfe ich das mit dem Google Passwortmanager?

Mit dem Passwortcheck. Google prüft damit die Passwörter in deinem Google-Konto und zeigt drei Arten von Ergebnissen: Passwörter, die für andere sichtbar sind, schwache und in mehreren Konten verwendete.

Chrome auf dem Computer: rechts oben das Dreipunkt-Menü, dann Passwörter und Autofill > Google Passwortmanager, links Passwortcheck.
Chrome auf Android: Dreipunkt-Menü > Einstellungen > Autofill und Passwörter > Google Passwortmanager > Passwortcheck.
Andere Browser: passwords.google.com aufrufen, dann „Zum Passwortcheck“ und „Passwörter prüfen“. Eventuell musst du dich anmelden.

Google schreibt, gehackte Kombinationen aus Passwort und Nutzernamen seien unsicher, da sie online veröffentlicht wurden, und empfiehlt, sie so schnell wie möglich zu ändern.

Mein Passwort ist geleakt. Was jetzt?

Ändere es, und zwar überall, wo du es benutzt hast. Das BSI rät, für jeden Dienst ein eigenes Passwort zu verwenden: Wird dann etwa dein Social-Media-Konto gehackt, ist dein E-Mail-Konto nicht mitbetroffen.

Ändere das Passwort bei dem betroffenen Dienst. Geh über die App oder tipp die Adresse selbst ein.
Ändere es bei allen anderen Konten mit demselben Passwort. Ist dein E-Mail-Konto betroffen, beginnst du laut BSI mit dessen Zugangsdaten, damit Unbefugte darüber keine anderen Passwörter zurücksetzen können.
Beende aktive Sitzungen. Das BSI rät bei einem gehackten E-Mail-Konto, alle aktiven Sitzungen zu beenden, was meist in den Einstellungen mit einem Klick geht, und zu prüfen, ob Einstellungen wie Weiterleitungen oder eine hinterlegte Telefonnummer verändert wurden.
Nutze einen Passwort-Manager. Auch das rät das BSI, zusammen mit starken Passwörtern.
Schalte die Zwei-Faktor-Authentisierung ein. Das BSI rät: „Aktivieren Sie die Zwei-Faktor-Authentisierung, wo möglich.“ Wird ein Passwort erraten, veröffentlicht oder gehackt, erschwert das Kriminellen den Zugriff.

Kommst du nicht mehr in ein Konto, informierst du laut BSI den Anbieter und folgst dessen Hinweisen. Mehr dazu in unserem englischen Ratgeber someone else signed into your account.

Hat PHP2Shell meine Passwörter geleakt?

Das meldet keiner der offiziellen Hinweise, die dieser Ratgeber zitiert. PHP2Shell sind zwei kritische Lücken in PHP, der Sprache, mit der viele Websites laufen, behoben vom PHP-Projekt am 21. Oktober 2026. Das BSI schreibt, Angreifer könnten damit aus der Ferne Code auf Webservern mit PHP-Anwendungen ausführen. Eine Lücke auf einem Server heißt nicht, dass dort Daten abgeflossen sind. Stand 23. Oktober 2026 meldet keiner dieser Hinweise abgeflossene Kundendaten oder Passwörter. Wie du im Ernstfall informiert würdest, steht in Persönliche Daten gehackt?

Wo Failshot passt

Failshot ist für den Moment, in dem sich jemand an deinen Mac setzt und ihn entsperrt. Dein Mac-Passwort ist die erste Ebene auf deinem Mac. Failshot ist eine zweite Sicherheitsebene, die Ebene nach deinem Passwort.

Ist Failshot eingeschaltet, fotografiert es die Person, die deinen Mac entsperrt, nimmt mit Pro danach ein 5-Sekunden-Video auf, und sein Fenster sagt der Person, dass die Entsperrung fotografiert wurde. Schalte mit Pro Benachrichtigungen ein, und Failshot schickt dir eine E-Mail zu einer Entsperrung, die du nicht als deine bestätigst, zu einer falschen Failshot-PIN oder Antwort, oder wenn sein Kamerazugriff abgeschaltet wird, während es läuft. Zum Ausschalten oder Beenden über sein Menü braucht es Touch ID oder deine Failshot-PIN und deine Antwort, nie dein Mac-Passwort.

Failshot ist ein kostenloser Download für den Mac von failshot.app, ab macOS 14. Kostenlos nutzbar. Pro fügt Video, E-Mail-Warnungen und den verschlüsselten Tresor hinzu. Teste Failshot Pro für den Mac 7 Tage kostenlos auf failshot.app. Deine Karte wird bei der Anmeldung hinterlegt und am 8. Tag belastet, wenn du nicht vorher kündigst. Die App ist auf Englisch. Versionen für iPhone, Android und Windows folgen bald.

Weitere Fragen

Heißt ein gemeldetes Passwort, dass jemand in meinem Konto war?

Nicht für sich genommen. Es heißt, dass das Passwort in einem bekannten Leak auftaucht. Ändere es trotzdem. Das BSI nennt als Anzeichen für ein gehacktes Konto unter anderem: Du kommst nicht mehr hinein, du erhältst Hinweise auf Änderungen oder Anmeldungen über neue Geräte, die nicht von dir stammen, oder es gibt Nachrichten, die du nicht geschrieben hast.

Warnt mich Google, wenn ein Passwort geleakt wird?

Google schreibt, es könne dich benachrichtigen, wenn eines deiner gespeicherten Passwörter gehackt wurde. Die Passwort-Warnungen schaltest du auf passwords.google.com unter „Einstellungen“ ein oder aus. Bekommst du eine solche Nachricht, rät Google, direkt den Passwortcheck aufzurufen, um zu prüfen, ob sie wirklich von Google stammt.

Kann ich eine Warnung für ein altes Konto ausblenden?

Ja. In der App „Passwörter“ wählst du „Sicherheit“, dann den Account und „Ausblenden“. Gibt es die Website oder App nicht mehr, kannst du den Account laut Apple ganz entfernen.

Ist ein Passkey besser als ein Passwort?

Apple schreibt: Erlaubt eine Website oder App einen Passkey oder „Mit Apple anmelden“, kannst du beim Ändern eines gemeldeten Passworts darauf umsteigen.

Eine E-Mail sagt, mein Passwort sei in einem Datenleck. Stimmt das?

Vielleicht nicht. Das BSI schreibt, Cyberkriminelle griffen etwa mit Phishing-Mails Login-Daten ab, und rät, E-Mails genau zu prüfen, bevor du auf Links klickst. Prüf lieber selbst über einen Leakchecker, die App „Passwörter“ oder den Passwortcheck. Mehr in Phishing-Mails erkennen.