Was sind Datenlecks?
Wird eine Website oder ein Dienst gehackt, können Nutzerdaten — E-Mails, Passwörter (meist gehasht), Namen, Telefonnummern, Adressen und manchmal Finanzdaten — gestohlen und im Internet veröffentlicht werden. Diese gestohlenen Datenbanken werden in Darknet-Foren gehandelt und von Kriminellen für verschiedenste Angriffe genutzt.
Kriminelle nutzen diese Informationen für Credential Stuffing (automatisches Ausprobieren derselben E-Mail-Passwort-Kombination auf Hunderten anderer Seiten), gezieltes Phishing (überzeugende E-Mails mit Ihren echten persönlichen Angaben), Identitätsdiebstahl und Finanzbetrug. Weil die meisten Menschen Passwörter wiederverwenden, kann ein einziges Leck bei einem Dienst Angreifern Zugriff auf Dutzende Ihrer anderen Konten verschaffen.
Das Ausmaß von Datenlecks ist enorm. Allein in bekannten Lecks wurden Milliarden Datensätze offengelegt, und viele weitere Lecks bleiben unentdeckt oder ungemeldet. Große Unternehmen wie Yahoo (3 Milliarden Konten), LinkedIn (700 Millionen Datensätze), Facebook (533 Millionen Datensätze) und zahllose kleinere Dienste haben erhebliche Lecks erlitten.
Wenn Sie prüfen, ob Sie betroffen sind, können Sie kompromittierte Passwörter ändern und 2FA aktivieren, bevor jemand Ihre Zugangsdaten nutzt. Es ist eine schnelle, kostenlose Prüfung, die ernsthafte Probleme verhindern kann.
Werkzeuge, um Ihre Betroffenheit zu prüfen
Have I Been Pwned (haveibeenpwned.com), erstellt vom Sicherheitsforscher Troy Hunt, ist der Maßstab für die Prüfung auf Datenlecks. Geben Sie Ihre E-Mail ein, und der Dienst zeigt, in welchen Lecks Ihre Adresse vorkommt, einschließlich der offengelegten Daten und des Zeitpunkts des Lecks.
Funktionen
- Kostenlose E-Mail-Prüfung gegen eine Datenbank mit über 13 Milliarden kompromittierten Konten
- Passwortprüfung mit k-Anonymität — Ihr vollständiges Passwort wird nie an den Server gesendet, nur ein Teil des Hash-Präfixes, sodass der Dienst Ihr tatsächliches Passwort nicht kennen kann
- Fortlaufende Überwachung: Erstellen Sie ein kostenloses Konto, um automatische E-Mail-Hinweise zu erhalten, wenn Ihre Adresse in neuen Lecks auftaucht
- Domainsuche für Organisationen, um alle E-Mails unter ihrer Domain zu prüfen
- API für Entwickler und Passwort-Manager, um die Leckprüfung einzubinden
- Ausführliche Angaben zu jedem Leck: Datum, Art der offengelegten Daten, Zahl der betroffenen Konten
So nutzen Sie es: Besuchen Sie haveibeenpwned.com, geben Sie Ihre E-Mail-Adresse ins Suchfeld ein und sehen Sie sich die Ergebnisse an. Für Passwörter nutzen Sie den Reiter „Passwörter“ — geben Sie das zu prüfende Passwort ein, und die Seite prüft, ob es in bekannten Lecks vorkommt, ohne es vollständig offenzulegen. Grün bedeutet, Sie sind sicher; Rot bedeutet, Ihre Daten wurden in einem oder mehreren Lecks gefunden.
Firefox Monitor (monitor.firefox.com) nutzt die Datenbank von Have I Been Pwned mit der eigenen Oberfläche von Mozilla und zusätzlichen Datenschutzfunktionen. Es ist eine sehr gute Alternative für Nutzer, die das Firefox-Umfeld bevorzugen oder eine stärker geführte Erfahrung wollen.
Funktionen
- Kostenlose E-Mail-Prüfung auf Datenlecks, gestützt auf die umfassende Datenbank von HIBP
- Einbindung in Firefox-Konten für fortlaufende, automatische Überwachung
- Automatische Hinweise, wenn Ihre E-Mail in neu entdeckten Lecks auftaucht
- Klare, umsetzbare Empfehlungen zu jedem Leck (Passwort ändern, 2FA aktivieren usw.)
- Übersicht Ihrer gesamten Betroffenheit über alle überwachten E-Mail-Adressen
- Mehrere E-Mail-Adressen von einem Konto aus überwachen
So nutzen Sie es: Besuchen Sie monitor.firefox.com, geben Sie Ihre E-Mail ein und klicken Sie auf „Auf Datenlecks prüfen“. Erstellen Sie ein kostenloses Firefox-Konto, um automatische Hinweise zu erhalten und mehrere E-Mail-Adressen zu überwachen. Die Übersicht zeigt Ihre Betroffenheit klar und hält fest, welche Lecks Sie bereits bearbeitet haben.
Wenn Sie Passwörter in Google Chrome speichern, prüft die eingebaute Funktion Passwort-Checkup von Google Ihre gespeicherten Passwörter automatisch gegen bekannte Lecks. Sie erkennt kompromittierte, wiederverwendete und schwache Passwörter, die aktualisiert werden sollten.
Funktionen
- Automatische Prüfung aller in Ihrem Google-Konto gespeicherten Passwörter
- Erkennt kompromittierte, wiederverwendete und schwache Passwörter in einem Durchlauf
- Direkte Links, um betroffene Passwörter auf jeder Website zu ändern
- Fortlaufende Überwachung — Sie werden benachrichtigt, wenn gespeicherte Passwörter in neuen Lecks auftauchen
So nutzen Sie es: Besuchen Sie passwords.google.com und klicken Sie auf „Zum Passwort-Checkup“ oder geben Sie „passwords.google.com/checkup“ direkt ein. Sie erreichen die Funktion auch über die Chrome-Einstellungen > Passwörter > Passwörter prüfen.
Was tun, wenn Ihre Daten geleakt wurden
Zu entdecken, dass Ihre E-Mail oder Ihr Passwort in einem Leck aufgetaucht ist, kann beunruhigen, aber geraten Sie nicht in Panik. Gehen Sie diese Schritte geordnet durch, um den Schaden zu begrenzen und Ihre Sicherheit danach zu stärken:
- Ändern Sie das Passwort sofort auf dem betroffenen Konto und auf jedem anderen Konto, auf dem Sie dasselbe Passwort verwendet haben. Ändern Sie das alte Passwort nicht nur ab — erstellen Sie für jedes Konto ein völlig neues, starkes und einzigartiges Passwort.
- Zwei-Faktor-Authentifizierung (2FA) aktivieren auf allen wichtigen Konten, besonders E-Mail, Banking, sozialen Medien und Cloud-Speicher. Nutzen Sie für den stärksten Schutz eine Authenticator-App statt SMS.
- Einen Passwort-Manager nutzen um für jeden Dienst einzigartige, starke Passwörter zu erstellen. Das beseitigt das Risiko der Passwort-Wiederverwendung — die Schwachstelle Nr. 1, die nach Datenlecks ausgenutzt wird.
- Achten Sie auf gezieltes Phishing: Kriminelle können geleakte Daten (Ihren Namen, Ihre E-Mail, Kontodaten) nutzen, um sehr persönliche Phishing-Nachrichten zu formulieren. Seien Sie bei unerwarteten E-Mails besonders wachsam, vor allem wenn sie Sie auffordern, Ihr Konto zu „bestätigen“ oder zu „aktualisieren“.
- Prüfen Sie Ihre Finanzkonten: Wenn das Leck Finanzdaten enthielt (Kreditkarten, Bankdaten), beobachten Sie Ihre Konten auf unbefugte Transaktionen und erwägen Sie eine Betrugswarnung bei Auskunfteien.
- Überwachung einrichten bei HIBP oder Firefox Monitor, damit Sie automatisch über künftige Lecks mit Ihrer E-Mail-Adresse informiert werden.
- Einen Wechsel der E-Mail-Adresse erwägen für wichtige Konten, wenn Ihre E-Mail in zahlreichen Lecks aufgetaucht ist, denn dann steht sie vermutlich auf vielen Spam- und Phishing-Listen.
Künftige Auswirkungen von Datenlecks begrenzen
Sie können nicht verhindern, dass ein Unternehmen ein Datenleck erleidet, aber Sie können die Auswirkungen verringern, wenn es geschieht:
- Überall einzigartige Passwörter: Wenn jedes Konto ein anderes Passwort hat, betrifft ein Leck bei einem Dienst kein anderes Konto.
- Datenweitergabe minimieren: Geben Sie beim Erstellen von Konten nur nötige Angaben an. Müssen Sie einem Onlineshop wirklich Telefonnummer, Geburtstag oder Wohnadresse nennen?
- E-Mail-Aliasse nutzen: Dienste wie SimpleLogin oder Apples „E-Mail-Adresse verbergen“ lassen Sie für jeden Dienst eine eigene E-Mail-Adresse anlegen. Wird eine kompromittiert, können Sie diesen Alias einfach deaktivieren.
- Konten regelmäßig aufräumen: Löschen Sie Konten, die Sie nicht mehr nutzen. Weniger Konten bedeuten weniger mögliche Betroffenheit durch Lecks.
- Informiert bleiben: Verfolgen Sie Nachrichten zur Cybersicherheit, um neue Lecks schnell zu erfahren und zu handeln, bevor Angreifer Ihre Daten ausnutzen können.