Ein kompromittiertes Passwort bedeutet, dass deine Zugangsdaten in fremde Hände geraten sind, meist durch ein Datenleck bei einem Anbieter, den du selbst gar nicht verdächtigt hättest. Das ist kein Grund zur Panik, aber ein Grund zum Handeln. Dieser Artikel zeigt dir, was in den ersten Minuten zählt, wie du prüfst ob du betroffen bist und wie du dafür sorgst, dass ein geknacktes Passwort dir nicht gleich mehrere Konten aufreißt.
Was ein kompromittiertes Passwort wirklich bedeutet
Kompromittiert heißt, dass ein Passwort mindestens einer Person bekannt ist, der es nicht bekannt sein sollte. In den allermeisten Fällen liegt das nicht daran, dass jemand dein Passwort erraten hat. Es liegt daran, dass ein Onlinedienst gehackt wurde und die dort gespeicherten Zugangsdaten abgeflossen sind.
Der entscheidende Punkt wird oft übersehen. Das Problem ist selten das eine Konto beim betroffenen Anbieter. Das Problem entsteht, wenn du dasselbe Passwort auch woanders benutzt. Angreifer wissen, dass Menschen Passwörter wiederverwenden, und probieren geleakte Kombinationen automatisiert bei hunderten anderen Diensten durch. Dieses Vorgehen heißt Credential Stuffing und ist heute der häufigste Weg, wie aus einem Leck ein übernommenes Konto wird.
Deshalb ist die Warnung deines Browsers oder Passwort-Managers, ein Passwort sei in einem Datenleck aufgetaucht, ernster gemeint, als sie klingt. Sie sagt nicht, dass gerade jemand in deinem Konto ist. Sie sagt, dass die Kombination aus deiner E-Mail-Adresse und diesem Passwort irgendwo zum Verkauf steht.
Die ersten Minuten: Was du sofort tun solltest
Sobald du erfährst, dass ein Passwort kompromittiert wurde, zählt die Reihenfolge. Diese Schritte gehst du am besten der Reihe nach durch, statt dich sofort in Details zu verlieren.
- Ändere das betroffene Passwort. Melde dich beim betroffenen Dienst an und vergib ein neues, langes und einzigartiges Passwort. Nutze dafür kein Muster, das du an anderer Stelle schon verwendest.
- Ändere alle Konten mit demselben Passwort. Das ist der wichtigste Schritt und der, den die meisten auslassen. Jedes andere Konto mit derselben Kombination ist genauso gefährdet wie das ursprüngliche.
- Aktiviere die Zwei-Faktor-Authentifizierung. Selbst wenn ein Angreifer dein Passwort kennt, kommt er ohne den zweiten Faktor nicht hinein. Für die wichtigsten Konten wie E-Mail und Bank ist das Pflicht.
- Prüfe die Kontoaktivität. Sieh in den Sicherheitseinstellungen nach angemeldeten Geräten und aktiven Sitzungen. Alles, was du nicht kennst, wirfst du raus und meldest dich überall neu an.
Ein Konto verdient dabei besondere Aufmerksamkeit, nämlich dein E-Mail-Postfach. Wer Zugriff auf deine E-Mails hat, kann bei fast allen anderen Diensten das Passwort zurücksetzen lassen. Das E-Mail-Konto ist der Generalschlüssel, deshalb bekommt es das stärkste Passwort und zwingend einen zweiten Faktor.
Prüfen, ob du betroffen bist
Du musst nicht raten, ob deine Daten in einem Leck stecken, denn es gibt seriöse Werkzeuge, die genau das prüfen. Sie gleichen deine E-Mail-Adresse mit bekannten Datenlecks ab und zeigen dir, wo sie aufgetaucht ist.
Im deutschsprachigen Raum ist der Identity Leak Checker des Hasso-Plattner-Instituts eine verlässliche Anlaufstelle. Du gibst deine E-Mail-Adresse ein und bekommst das Ergebnis per Mail an genau diese Adresse, was Missbrauch erschwert. International verbreitet ist der Dienst Have I Been Pwned, der zusätzlich anzeigt, aus welchem Leck die Daten stammen.
Zusätzlich haben die großen Anbieter eigene Prüfungen eingebaut. Google, Apple und die meisten Passwort-Manager warnen automatisch, wenn ein gespeichertes Passwort in einem Leck auftaucht oder mehrfach verwendet wird. Diese Warnungen solltest du nicht wegklicken. Sie sind das Frühwarnsystem, das dir die manuelle Recherche abnimmt.
Wie Passwörter überhaupt in falsche Hände geraten
Passwörter werden nur selten im Kopf eines Nutzers geknackt, sondern fast immer an anderer Stelle abgegriffen. Wer die Wege kennt, versteht auch, warum bestimmte Schutzmaßnahmen wirken und andere nur beruhigen.
Der mit Abstand häufigste Weg sind Datenlecks bei Onlinediensten. Wird deren Datenbank gehackt, liegen im schlechtesten Fall E-Mail-Adressen und Passwörter offen. Der zweite große Weg ist Phishing, bei dem du auf einer täuschend echten Fake-Seite dein Passwort selbst eingibst. Der dritte ist Schadsoftware, etwa ein Keylogger, der jede Tastatureingabe mitschneidet.
Zwei weitere Methoden treffen vor allem, wer schwache oder wiederverwendete Passwörter nutzt. Beim Brute-Force-Angriff probiert ein Programm massenhaft Kombinationen durch, was bei kurzen Passwörtern schnell gelingt. Beim schon erwähnten Credential Stuffing werden geleakte Kombinationen automatisiert bei fremden Diensten getestet. Gegen die erste Methode hilft Länge, gegen die zweite hilft, für jeden Dienst ein eigenes Passwort zu nutzen.
Richtig vorbeugen, statt ständig nachzubessern
Guter Passwortschutz besteht heute aus drei Bausteinen, und keiner davon ist das regelmäßige Wechseln aus reiner Gewohnheit. Sowohl das Bundesamt für Sicherheit in der Informationstechnik als auch internationale Standards raten inzwischen davon ab, Passwörter ohne konkreten Anlass in festen Intervallen zu ändern. Das führt erfahrungsgemäß nur zu schwächeren, leicht abgewandelten Passwörtern.
Der erste Baustein ist ein eigenes Passwort für jeden Dienst. Das begrenzt jeden Schaden auf ein einziges Konto. Der zweite Baustein ist ein Passwort-Manager, der lange Zufallspasswörter erzeugt und speichert, sodass du sie dir nicht merken musst. Ob du eine eigenständige Anwendung oder den in Browser und Betriebssystem eingebauten Manager nutzt, ist zweitrangig, Hauptsache du nutzt überhaupt einen.
Der dritte Baustein ist die Zwei-Faktor-Authentifizierung, idealerweise über eine App oder einen Hardware-Schlüssel statt per SMS. Zunehmend treten sogenannte Passkeys an die Stelle klassischer Passwörter. Sie lassen sich nicht abphishen und nicht in einem Leck erbeuten, weil kein geheimes Passwort mehr auf dem Server liegt. Wo ein Dienst Passkeys anbietet, lohnt sich der Umstieg.
Häufige Irrtümer rund um Passwörter
Rund um Passwörter halten sich einige Ratschläge, die früher sinnvoll waren und heute eher schaden. Es lohnt sich, sie einmal geradezurücken.
Der erste Irrtum ist der Glaube, ein kompliziertes Passwort mit vielen Sonderzeichen sei automatisch sicher. Für den Schutz gegen das Durchprobieren zählt vor allem die Länge, nicht die Verschachtelung. Eine lange Folge aus mehreren zufälligen Wörtern ist stärker und leichter zu tippen als „P@ssw0rt!". Der zweite Irrtum ist, das monatliche Wechseln bringe Sicherheit. Es bringt vor allem Frust und verleitet zu Mustern wie einer hochgezählten Ziffer am Ende.
Der dritte Irrtum ist die Annahme, kleine Konten seien uninteressant. Für Angreifer ist jedes Konto ein möglicher Einstieg, besonders wenn dort dasselbe Passwort liegt wie bei deiner E-Mail. Ein vergessenes Forum von vor zehn Jahren kann so zum Ausgangspunkt für die Übernahme deines wichtigsten Kontos werden. Sicherheit entscheidet sich weniger am einzelnen starken Passwort als daran, dass keines davon zweimal vorkommt.
Häufige Fragen zu kompromittierten Passwörtern
Woran erkenne ich, dass mein Passwort kompromittiert wurde?
Meist erfährst du es durch eine automatische Warnung deines Browsers, deines Passwort-Managers oder deines Google- oder Apple-Kontos. Zusätzlich kannst du selbst prüfen, indem du deine E-Mail-Adresse beim Identity Leak Checker des Hasso-Plattner-Instituts oder bei Have I Been Pwned eingibst. Beide Dienste gleichen die Adresse mit bekannten Datenlecks ab und zeigen dir, ob und wo sie aufgetaucht ist. Ungewöhnliche Login-Benachrichtigungen oder unbekannte Aktivitäten im Konto sind ein weiteres Warnsignal.
Muss ich wirklich alle Passwörter ändern, wenn nur eines betroffen ist?
Nein, aber du musst jedes Konto ändern, bei dem du dasselbe Passwort verwendet hast. Genau hier liegt die eigentliche Gefahr, weil Angreifer geleakte Kombinationen automatisiert bei anderen Diensten durchprobieren. Wenn jedes Konto ohnehin ein eigenes Passwort hat, reicht es, das eine betroffene zu wechseln. Das ist der beste Grund, von vornherein für jeden Dienst ein eigenes Passwort zu nutzen.
Sind Passwort-Manager wirklich sicher?
Ein guter Passwort-Manager erhöht deine Sicherheit deutlich, weil er lange und einzigartige Passwörter für jeden Dienst ermöglicht, ohne dass du sie dir merken musst. Das Restrisiko, dass der Manager selbst zum Ziel wird, ist real, wiegt aber die Vorteile bei Weitem nicht auf. Voraussetzung ist ein starkes Master-Passwort und ein zweiter Faktor für den Manager selbst. Der praktische Sicherheitsgewinn gegenüber wiederverwendeten Passwörtern im Kopf ist enorm.
Sollte ich mein Passwort regelmäßig ändern?
Ein regelmäßiger Wechsel ohne konkreten Anlass gilt heute als überholt. Sowohl das BSI als auch internationale Sicherheitsstandards raten davon ab, weil erzwungene Wechsel meist zu schwächeren, leicht abgewandelten Passwörtern führen. Sinnvoll ist ein Wechsel dann, wenn ein Passwort tatsächlich kompromittiert wurde, wenn es schwach ist oder wenn du es mehrfach verwendet hast. Statt fester Intervalle zählt, dass jedes Passwort lang, einzigartig und durch einen zweiten Faktor ergänzt ist.
Was ist ein Passkey und ist er besser als ein Passwort?
Ein Passkey ersetzt das klassische Passwort durch ein kryptografisches Schlüsselpaar, bei dem der geheime Teil dein Gerät nie verlässt. Dadurch lässt er sich weder abphishen noch in einem Datenleck erbeuten, weil auf dem Server kein geheimes Passwort mehr gespeichert ist. In der Praxis meldest du dich per Fingerabdruck, Gesichtserkennung oder Geräte-PIN an. Wo ein Dienst Passkeys anbietet, sind sie klassischen Passwörtern in puncto Sicherheit deutlich überlegen.