Eine durchgesickerte E-Mail ist nicht dasselbe wie ein durchgesickertes Passwort. Und das geleakte Passwort ist noch kein fremder Login.

Abschnitt: Technologie & KI Autor: V Leselänge: ~27 Min Quellen und weiterführende Literatur: 22 Artikel Themen: Passwortleck, Have I Been Pwned, Pwned Passwords, K-Anonymität, Credential Stuffing, DSGVO, ÚOOÚ SEO / Arbeitstitel: Wie finden Sie heraus, ob Ihr Passwort oder Ihre E-Mail-Adresse durchgesickert ist?

Wie finden Sie heraus, ob Ihr Passwort oder Ihre E-Mail-Adresse durchgesickert ist? Die Frage klingt einfach, bis wir bemerken, dass wir eine Sache nicht vergleichen. Eine geleakte E-Mail ist kein geleaktes Passwort. Das Passwort im Korpus ist nicht „Ihr“ Passwort. Ein Fund im Index ist kein Fremd-Login. Und ein leeres Ergebnis ist kein Beweis dafür, dass kein Leck vorliegt. Der Artikel sucht daher nicht nach einem Sicherheitsknopf. Es wird gesucht, welche Schicht Sie gerade messen und was noch nicht daraus fließt.

1. Die Benachrichtigung „Have I Been Pwned“ ist keine Nachricht darüber, dass sich jemand gerade angemeldet hat

Am Morgen kommt eine E-Mail: Ihre Adresse wurde in einem neuen Have I Been Pwned-Eintrag angezeigt. Der Leser öffnet die Seite, sieht den Namen des Dienstes und die Datenkategorie. In meinem Kopf kommt es in einem Satz zusammen: Jemand hat mein Passwort und es landet in meinem Posteingang. Ein Kollege aus der IT wird Ihnen raten, nicht in Panik zu geraten und zunächst die Adresse vom Passwort zu trennen. Der Anwalt wird den Administrator an die 72-Stunden-Frist gemäß der DSGVO erinnern. Banker spricht auf anderen Websites über Credential Stuffing. Der Dienstadministrator sagt, dass er Benutzer gesendet hatBenachrichtigung.

Auf den ersten Blick handelt es sich hier um ein Leck. Tatsächlich beschreibt jeder ein anderes Problem. Der Leser liest den Fund als Live-Session. Die IT befasst sich mit dem Vorkommen von Geheimnissen im Korpus. Der Anwalt spricht über die Pflichten des Administrators gegenüber der Behörde und den betroffenen Personen. Banker bedeutet wiederholtes Passwort bei einem anderen Dienst. Der Administrator entscheidet, ob sein Vorfall ein meldepflichtiges Risiko darstellt.

Daher kann jeder teilweise Recht haben und die gemeinsame Entscheidung dennoch falsch sein. Ein Fehler führt zu Panik und einem unnötigen Zurücksetzen auf ein schwächeres Passwort. Die zweite Möglichkeit führt dazu, dass Sie beruhigt sein können, wenn das Ergebnis leer ist und Sie auf zehn Websites weiterhin dasselbe Passwort verwenden können. HIBP ist kein Alarm über eine laufende Anmeldung. Es handelt sich um einen Index bekannter Dateien und Vorfälle mit eigenen Grenzen und Datum.

2. Eine Adresse hat mindestens sechs Schichten

Das Wort „durchgesickert“ wird für einen Dump eines kompromittierten Dienstes, eine Einfügung auf einer Website, ein Stealer-Protokoll vom Computer eines Opfers, eine Stuffing-Liste und eine Administratorbenachrichtigung verwendet. Diese Wörter sind nicht austauschbar. Wenn wir sie verwechseln, reagieren wir schlecht: Wir ändern das Passwort, wo die Wiederholung an anderer Stelle ein Problem war, oder wir schreiben eine Beschwerde, wenn es im DSGVO-Regime keinen identifizierbaren Verantwortlichen gibt.

Sechs Schichten einer Adresse:

1. Rohstoff: Dump aus kompromittiertem Dienst, Stealer-Protokoll, Stuffing-Liste oder Einfügen. Jeder Typ wird anders erstellt.
2. Index: Habe ich Pwned, Sentinel, Passwort-Manager oder interne Dienstprüfung verwendet? Jeder Index hat einen anderen Korpus und eine andere Latenz.
3. Befund: Adresse, Passwort oder ein Paar aus Adresse und Passwort des Angreifers. HIBP verknüpft nicht die Adresse und das Passwort eines Bürgers.
4. Missbrauch: Credential Stuffing auf anderen Websites, Phishing für einen Reset, Verkauf eines Logos oder Anmeldung bei einem Konto.
5. Pflicht des Verwalters: Artikel 33 und 34 der DSGVO, Dokumentation des Vorfalls, Meldung an die ÚOOÚ und etwaige Meldung an Unternehmen ^[13].
6. Antwort des Kontoinhabers: Einzigartiges Passwort, Änderung bei Wiederholung, robusterer zweiter Faktor, Sitzungskontrolle und Schadensbehebung.

Ein Index ist kein Rohstoff. Ein Fund ist kein Missbrauch. Die Pflicht des Verwalters ist nicht die Pflicht des Bürgers. Und die Reaktion des Benutzers sollte proportional zu der Ebene sein, die er gerade sieht. Man muss nicht wissen, wie das Füllen erfolgt. Er muss wissen, warum ein wiederholtes Passwort einer alten Müllkippe neues Leben einhaucht.

Diese Schichtung verändert auch die Sprache. „Ich habe ein E-Mail-Leck“ ist der richtige Anfang und nicht das Ende der Diagnose. Es muss ergänzt werden, ob es sich um einen Dienst handelte, den die Person in Anspruch genommen hat, welche Kategorien von Daten aufgeführt sind, ob ein Passwort vorhanden war, ob das Passwort einmalig war und ob es irgendwo wiederholt wurde. Erst dann kommt die Reaktion. Ohne dieses Zwischenspiel wird Sicherheit zum Ritual: Klicken, ausrasten, etwas ändern, beruhigen.

Eine durchgesickerte E-Mail ist nicht dasselbe wie ein durchgesickertes Passwort. Und das geleakte Passwort ist noch kein fremder Login.

– Anderer Kontext

3. Die beste Reaktion ist die, deren Fehler Sie nicht aussperrt und die Füllung öffnet

Eine gute Sicherheitsreaktion ist nicht die lauteste. Es ist eine Reaktion, die Risiken verringert und keine neuen schafft. Das unnötige Zurücksetzen eines Dienstes ist ein billiger Fehler. Noch schlimmer ist das Zurücksetzen auf ein kurzes, wiederholtes oder vergessenes Passwort. Die Eingabe des vollständigen Passworts in einen zufälligen „Authentifikator“ ist an sich schon ein Leck. Und die Sicherheit eines leeren Index kann teuer sein, wenn das gleiche Passwort an anderer Stelle verwendet wird.

Dieses Diagramm soll keine gesunde Angst ersetzen. Er muss es genauer machen. Kontosicherheit entsteht nicht durch eine einzige Web-Antwort. Es ergibt sich aus der Tatsache, dass das Geheimnis nicht wiederholt wird, der zweite Faktor nicht nur ein leicht kopierbarer Code in jeder Situation ist, Sitzungen überprüft werden können und man weiß, wann es sich nicht mehr um einen Index, sondern um einen Verdacht auf fremde Eingaben handelt.

Die Reaktion sollte auch eine Reihenfolge haben. Zunächst wird der Zugriff auf das Konto sichergestellt, damit sich die Person nicht aussperrt. Dann wird das Passwort bei Vorliegen eines Grundes geändert. Dann wird geprüft, ob das gleiche Passwort nicht auch anderswo existierte. Schließlich werden Benachrichtigungen und der zweite Faktor aktiviert, der für den jeweiligen Dienst sinnvoll ist. Wenn die Reihenfolge umgekehrt wird, kann man den Wiederherstellungskanal verlieren, das Passwort mit einer Variante des alten überschreiben oder den historischen Index auflösen und eine Live-Sitzung offen lassen.

4. Die E-Mail im Index ist nicht das Passwort im Index

Have I Been Pwned trennt die Suche nach E-Mail-Adressen in der Sicherheitslücke vom Pwned Passwords-Dienst. Unter der Adresse sind Dienste und Datenkategorien ersichtlich. Ihr Passwort wird nicht neben der Adresse angezeigt. HIBP erklärt in den FAQ, dass Passwörter nicht so gespeichert werden, dass sie mit öffentlichen Suchadressen verknüpft werden ^[4]. Dies ist eine Sicherheitsmarge für den Service und kein kosmetisches Detail.

Mit Stand vom 1. September 2026 waren auf der HIBP-Homepage 17 796 310 183 indizierte Konten und 1 033 gepwnte Websites oder Vorfälle aufgeführt ^[1]. Bei diesen Nummern handelt es sich um globale Live-Service-Zähler. Es misst Konten oder Adressen im Index, nicht einzelne Personen und nicht die Anzahl der Opfer in der Tschechischen Republik. Eine Person kann mehrere Adressen haben. Eine Adresse kann in mehreren Vorfällen enthalten sein. Ein Vorfall kann nur E-Mails enthalten, ein anderer einen breiteren Satz an Kategorien.

Daher lautet die praktische Frage nicht: „Werde ich gehackt?“ Darin steht: Welcher Dienst ist aufgeführt, welche Datenkategorien sind dafür aufgeführt und ob ich dort ein Passwort verwendet habe, das an anderer Stelle wiederholt wurde. Wenn ja, liegt das Problem nicht nur am alten Dienst. Es liegt überall dort, wo das gleiche Geheimnis die gleiche Tür geöffnet hat.

Datenkategorien sind auch deshalb wichtig, weil E-Mails oft nur ein Identifikator für andere Angriffe sind. Sie müssen nicht selbst ein Konto eröffnen. Es kann jedoch helfen, Phishing-Angriffe zu überzeugen, die Kommunikation zurückzusetzen oder eine Verbindung zu einem anderen Leck herzustellen. Daraus folgt nicht, dass jede gefundene Adresse Schaden bedeutet. Daraus folgt, dass die Adresse im Index ein anderes Gewicht hat als das Passwort im Korpus und ein anderes Gewicht als die bestätigte Fremdsitzung.

5. Das Passwort in Pwned Passwords ist nicht „Ihr“ Passwort

Pwned Passwords misst das Vorkommen von Geheimnissen in einem Korpus bekannter, durchgesickerter Passwörter. Wenn ein Passwort gefunden wird, bedeutet das nicht, dass der Dienst weiß, dass es Ihr Passwort ist. Das bedeutet, dass das gleiche Geheimnis irgendwo im Korpus aufgetaucht ist. Wenn Sie es jemals verwendet haben, sollte es als öffentlich betrachtet werden und nicht für eine weitere Verwendung geeignet sein.

Zum 1. September 2026 meldete Pwned Passwords einen Datenverkehr von über 18 Milliarden Anfragen pro Monat, einen Cache-Treffer von über 99,9 % und 335 Edge-Standorte ^[2]. Dies misst den Betrieb des Dienstes und die Integration von Passwortmanagern, Registrierungsformularen und manuellen Überprüfungen. Es misst nicht die Anzahl neuer Sicherheitsverletzungen oder die Anzahl der Personen, deren Passwort kompromittiert wurde.

Der Unterschied zwischen „Passwort gefunden“ und „jemand angemeldet“ ist entscheidend. Der erste ist der Zustand der Geheimhaltung. Das zweite ist ein Ereignis in einem bestimmten Konto. Wir lösen den geheimen Zustand, indem wir überall dort ändern, wo das Passwort wiederholt wurde, und durch ein neues eindeutiges Passwort. Wir lösen den Vorfall im Konto mit Sitzungen, Login-Protokollen, Serviceunterstützung und im Schadensfall durch die Bank oder die Polizei. Eine Schicht sollte die andere nicht verschlucken.

6. Die Stuffing List ist nicht das Leck eines Unternehmens

Unter Credential Stuffing versteht man den Missbrauch bereits bekannter Zugangsdatenpaare gegen andere Dienste. OWASP unterscheidet es von Brute Force und Passwort-Spraying ^[17]. Es geht nicht darum, immer wieder dasselbe Passwort zu erraten. Der Kern besteht darin, alte Geheimnisse zu wiederholen, bei denen Personen dasselbe Passwort mehrmals verwendet haben.

Troy Hunt beschrieb den Korpus der im November 2025 zu HIBP hinzugefügten Synthient Credential Stuffing Threat Data. Er listet 1 957 476 021 eindeutige E-Mail-Adressen, etwa 1,3 Milliarden eindeutige Passwörter und 625 Millionen Passwörter auf, die HIBP zuvor noch nicht gesehen hatte ^[6]. Der HIBP-Eintrag für dieses Korpus beschreibt es als Stuffing-Daten und nicht als ein einziges Firmenleck ^[7].

Derselbe Text listet 32 ​​Millionen Domains und 394 Millionen Adressen in der Domain gmail.com auf, also etwa 20 % der Adressen in diesem Korpus ^[6]. Dies ist kein Gmail-Leak. Dies ist ein Zeichen dafür, dass eine große Freemail-Domain in recycelten Login-Paaren auftaucht. Wer diese Zahl als Kompromiss von Google liest, hat den Nenner verwechselt.

Daraus ergeben sich keine Anweisungen für den Angriff. Daraus ergibt sich eine Abwehrregel: Das alte Passwort darf nicht wiederholt werden. Bei Wiederholung ändert es sich überall dort, wo es genutzt wurde, nicht nur für den in der Meldung genannten Dienst. Das neue Passwort sollte keine Variante des alten sein. Ein Passwort-Manager ist kein zusätzlicher Komfort. Es ist eine Möglichkeit, das Recycling von Geheimnissen zu stoppen.

Stuffing erklärt auch, warum alte Leaks nicht verschwinden, nur weil der alte Dienst ausgefallen ist. Der Wert des Paares aus Adresse und Passwort liegt nicht nur in der ursprünglichen Website. Es besteht die Möglichkeit, dass die Person dasselbe Geheimnis anderswo genutzt hat. Daher besteht die Verteidigung nicht darin, um jeden Preis den ursprünglichen Täter zu finden. Es besteht darin, dass die Wiederholung entfernt wird und künftige Anmeldungen nicht auf demselben Geheimnis basieren.

7. Stealer-Log ist nicht dasselbe wie Operator-Leak

Ein Stealer-Protokoll wird anders erstellt als ein Leak der Datenbank des Betreibers. Malware auf dem Gerät des Opfers kann gespeicherte Anmeldeinformationen, Cookies oder andere Daten aus der Umgebung des Benutzers sammeln. Eine Kompromittierung eines Unternehmens bedeutet ein Versagen des Dienstadministrators. Beide Ergebnisse können auf demselben Datenmarkt enden. Ursache, Verantwortung und Reaktion sind jedoch unterschiedlich.

In der DBIR 2025-Ergänzung berichtet Verizon, dass kompromittierte Daten der ursprüngliche Vektor bei 22 % der Verstöße von 9.891 Vorfällen mit einem bekannten Vektor außerhalb der Kategorien „Fehler“ und „Missbrauch“ waren ^[16]. Dasselbe Material auf 14.742 Infostealer-Geräten meldet einen Median von 49 % eindeutiger Passwörter über alle Dienste hinweg, was bedeutet, dass es in dieser Population von Malware-Opfern einen Median von 51 % wiederholten Passwörtern gab ^[16]. Es handelt sich um einen Verizon-Datensatz, nicht um die tschechische Bevölkerung und nicht um alle Benutzer.

Verizon berichtet außerdem, dass Credential Stuffing bei SSO-Anmeldungen im Durchschnitt 19 % der Authentifizierungsversuche in 2.301 Organisationen ausmachte ^[16]. Dies wird in Organisationen und Logos gemessen, nicht in der Anzahl der Anmeldungen bei Ihrem Konto. Dennoch zeigt es einen Mechanismus: Ein wiederholtes Passwort verwandelt ein altes Leck in anhaltenden Druck auf andere Dienste.

Stealer-Protokoll fügt eine weitere Lektion hinzu. Manchmal reicht es nicht aus, das Passwort für den im Index angezeigten Dienst zu ändern. Wenn das Problem beim Gerät lag, muss man das Gerät beheben. Updates, Malware-Entfernung, Browser- und Sitzungsprüfung gehören zu einer anderen Ebene als die E-Mail-Erkennung. In diesem Text wird kein Verfahren zur Beschaffung oder Nutzung von Logos beschrieben. Es trennt lediglich die Ursache: Ein Ausfall beim Betreiber ist nicht dasselbe wie ein infiziertes Benutzergerät.

8. K-Anonymität misst das Präfix. Kein Vertrauen in einen Zufallsprüfer

Pwned Passwords verwendet ein k-anonymes Suchmodell. Der Client berechnet den SHA-1-Fingerabdruck des Passworts und sendet nur die ersten 5 Hex-Zeichen. Es gibt 1.048.576 mögliche Präfixe, weil 16^5 ^[5]. Der Server gibt die entsprechenden Suffixe und Vorkommenszahlen zurück. Das vollständige Passwort verlässt das Gerät nicht als Klartext oder als vollständiger Hash.

HIBP API v3 beschreibt die Bereichssuche und die Beibehaltung des Teilabfrageprinzips ^[3]. Der Server sieht also nicht das gesamte Passwort. Sie sehen nur das Fingerabdruck-Präfix. Dies bedeutet nicht, dass Sie Ihr Passwort überall dort senden sollten, wo das Wort „Checker“ vorkommt. Das bedeutet, dass es einen speziellen, sichereren Mechanismus gibt, der von offiziellen Pwned-Passwörtern und einigen Passwort-Managern verwendet wird.

NIST SP 800-63B empfiehlt, ausgewählte Passwörter anhand von Listen bekannter kompromittierter Werte zu validieren ^[8]. Dies ist eine Empfehlung für eine ordnungsgemäße Passwortverwaltung. Es besteht keine allgemeine tschechische Rechtspflicht für alle Administratoren, HIBP zu verwenden. Und es ist keine Entschuldigung dafür, vollständige Passwörter in einem zufälligen Webformular zu sammeln.

K-Anonymität spielt hier eine bescheidene Rolle. Es heißt nicht, dass das Passwort sicher ist. Es heißt nicht, dass das Konto sicher ist. Es gibt an, ob das angegebene Geheimnis im bekannten Korpus vorkommt. Ein schwaches, aber nicht durchgesickertes Passwort kann dennoch eine schlechte Wahl sein. Ein starkes und eindeutiges Passwort, sobald es im öffentlichen Korpus enthalten ist, ist veraltet. Die Leckagekontrolle ist eine Bremse, nicht das gesamte Sicherheitssystem.

So testen Sie ein Passwort, ohne das Geheimnis zu senden

Verwenden Sie die offiziellen Pwned-Passwörter oder einen Passwort-Manager, der die Prüfung mit k-Anonymität durchführt. Geben Sie nicht das vollständige Passwort auf einer unbekannten Seite ein, versenden Sie es nicht per E-Mail und testen Sie keine fremden Kombinationen. Der Zweck besteht darin, herauszufinden, ob Ihr Geheimnis kein Geheimnis mehr ist. Nicht um zu prüfen, ob es möglich ist, mit einer Fremdkombination irgendwo einzutreten.

9. Sentinel ist nicht dasselbe wie Have I Been Pwned

CZ.NIC beschrieb Sentinel View als ein Tool, das die Überprüfung von Passwörtern anhand von Daten aus dem Turris Sentinel-Netzwerk ermöglicht und das Partial-Hash-Prinzip nutzt ^[18]. Ein weiterer CZ.NIC-Text kombiniert die Regeln zum Erstellen eines Passworts mit dem Turris Sentinel Report ^[19]. Es handelt sich um eine enge Verteidigungsidee: nicht das ganze Geheimnis zu verschicken, sondern es mit einer Reihe bekannter Ereignisse zu vergleichen.

Sentinel ist jedoch kein HIBP. Es hat eine andere Datenquelle, einen anderen Umfang und eine andere Mission. Ein leeres Ergebnis in Sentinel löscht HIBP nicht. Ein leeres HIBP reinigt den Sentinel nicht. Keiner der Indizes kann garantieren, dass nie ein Passwort durchgesickert ist oder dass derzeit niemand versucht, sich anzumelden. Das Fehlen eines Befundes ist lediglich das Fehlen eines Befundes im gegebenen Korpus.

Aus diesem Grund sollten Indizes nicht als Autoritätswettbewerb verwendet werden. Der eine kann das Passwort aus seiner Umgebung erfassen, der zweite ein globaler öffentlicher Dump, der dritte eine Überprüfung im Passwort-Manager. Eine Diskrepanz zwischen ihnen bedeutet nicht unbedingt einen Fehler. Dies bedeutet oft eine andere Quelle, einen anderen Zeitpunkt und andere Einschlussregeln. Die Schlussfolgerung der Verteidigung ist einfach: Das gefundene Passwort wird verworfen, das nicht gefundene Passwort wird ohnehin nicht wiederholt.

Für den tschechischen Benutzer liegt der Wert von Sentinel darin, dass es eine andere defensive Sichtweise bietet, ohne mit Angriffslisten arbeiten zu müssen. Wenn der Dienst ein Ereignis meldet, wird das Passwort nicht verwendet. Wenn es nichts meldet, gelten weiterhin die Eindeutigkeit des Passworts und der zweite Faktor. Sicherheit darf sich nicht auf eine einzige leere Seite verlassen.

10. Die Benachrichtigung über das ÚOOÚ stellt keine Beschwerde des Unternehmens dar

Artikel 33 der DSGVO besagt, dass der Verantwortliche der Aufsichtsbehörde eine Verletzung der Sicherheit personenbezogener Daten so schnell wie möglich innerhalb von 72 Stunden nach Bekanntwerden melden muss, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen ^[13]. ÚOOÚ verfügt hierfür über eigene Informationen und Formulare ^[11]. Dieser Zeitraum liegt in der Verantwortung des Administrators. Kein Bürger.

Im Jahresbericht 2024 listet ÚOOÚ 336 Meldungen über Verstöße gegen den Schutz personenbezogener Daten auf ^[9]. In ihrem Jahresbericht 2025 listet sie 392 Ankündigungen auf, die höchste Zahl seit Inkrafttreten der DSGVO ^[10]. Diese Zahlen messen die Berichterstattung der Administratoren an die tschechische Aufsichtsbehörde. Es misst nicht die Anzahl der durchgesickerten Passwörter von Bürgern, die Anzahl der Datensätze in HIBP oder die Größe bestimmter Dumps.

Die Beschwerde des Subjekts ist eine andere Sache. Im Bericht für 2025 meldet die ÖOO 3.854 Eingaben, davon 2.514 Beschwerden und 1.340 Initiativen, 68 % mehr als im Jahr 2024 ^[10]. Es handelt sich um eine Mischung aus DSGVO-Agenden und nicht nur um Passwortlecks. Eine Beschwerde gemäß Artikel 77 erfordert eine Beziehung zu einem bestimmten Administrator und ein authentifiziertes Verfahren bei der ÚOOÚ ^{[12] [13]}. Ein HIBP-Befund allein sagt nicht unbedingt aus, wem und was die Schuld gegeben werden kann.

11. Hinweise für Probanden sind nicht dasselbe wie der HIBP-Index

Artikel 34 der DSGVO regelt die Meldung einer Verletzung der Sicherheit personenbezogener Daten der betroffenen Person, wenn die Verletzung voraussichtlich zu einem hohen Risiko für die Rechte und Freiheiten natürlicher Personen führt ^[13]. Der EDPB und die ursprüngliche WP29 haben hierzu WP250-Leitlinien herausgegeben ^[14]. Diese Benachrichtigung stammt von einem Administrator. Es soll sagen, was passiert ist, welche Informationen die Person betreffen und was zu tun ist.

HIBP ist innerhalb und außerhalb von Anführungszeichen eine andere Institution. Indiziert bekannte, öffentlich durchgesickerte Dateien und Vorfälle. Es könnte eine Adresse in einer alten Mülldeponie zeigen. Es muss kein nicht öffentlicher Vorfall sein, den der Administrator den Subjekten gemeldet hat. Und möglicherweise gibt es einen historischen Datensatz, mit dem der Administrator nicht mehr kommuniziert. In dem einen zu sein bedeutet nicht, in dem anderen zu sein.

Bevor Sie eine Beschwerde beim ÚOOÚ einreichen

Stellen Sie zunächst drei Fragen. Wer ist der Administrator? Welche Pflicht hätte verletzt werden müssen? Welches Dokument haben Sie: eine Bekanntmachung, eine Mitteilung, eine Ablehnung eines Antrags oder einfach nur ein öffentliches Verzeichnis? Artikel 78 Absatz 2 DSGVO sieht vor, dass der Beschwerdeführer innerhalb von drei Monaten über den Fortschritt oder das Ergebnis der Beschwerde informiert wird ^[13]. Es handelt sich nicht um eine Frist für die Löschung aus HIBP.

12. Das Finden im Index ist kein Beweis für die Anmeldung einer anderen Person. Ein leeres Ergebnis ist keine saubere Rechnung

Die HIBP-FAQ arbeitet explizit mit der Grenze des Fehlens von Beweisen: Das Fehlen von Beweisen ist kein Beweis für das Fehlen ^[4]. Wenn eine Adresse nicht gefunden wird, wissen wir nicht, dass sie nie durchgesickert ist. Wir wissen nur, dass es nicht in diesem Index enthalten ist. Wenn es gefunden wird, wissen wir nicht, dass sich gerade jemand angemeldet hat. Wir wissen, dass sie in einer bekannten Datei oder einem bekannten Vorfall aufgetaucht ist.

Diese doppelte Verneinung ist unangenehm, aber befreiend. Es gibt keine Gewissheit, verhindert aber falsche Schlussfolgerungen. Der Befund führt zu genauer Betrachtung, nicht zu Panik. Ein leeres Ergebnis führt dazu, gute Gewohnheiten beizubehalten und keine Passwörter zu wiederholen. Ein Index ist kein Sitzungs-Watchdog. Sie können den aktuellen Login bei der Bank, E-Mail oder dem sozialen Netzwerk nicht sehen.

Bei Verdacht auf einen fremden Login ändert sich das Vorgehen. Es werden Sitzungen, angemeldete Geräte, E-Mail-Weiterleitungsregeln, Passwortänderungen, zweiter Faktor und Dienstbenachrichtigungen überprüft. Im Falle eines Schadens oder versuchten finanziellen Missbrauchs sind die Bank, der Diensteanbieter und je nach Sachlage die Polizei verantwortlich. Dies ist kein Leak-Index-Artikel mehr.

Die Warnung des Passwort-Managers sollte mit der gleichen Vorsicht gelesen werden. Wenn ein Passwort-Manager meldet, dass ein Passwort kompromittiert wurde, heißt es normalerweise nicht, dass jemand ein bestimmtes Konto eröffnet hat. Darin heißt es, dass das Geheimnis mit einem bekanntermaßen kompromittierten Wert oder Datensatz im überwachten Dienst übereinstimmt. Es ist ein Grund, Geheimnisse auszutauschen und die Wiederverwendung zu verhindern. Es ist an sich kein Beweis für einen Schaden.

Ein leeres Ergebnis ist keine saubere Rechnung. Der Fund ist derzeit nicht angemeldet.

– Anderer Kontext

13. MFA reduziert das Stuffing. Es wird das Phishing nicht stoppen, wenn Sie das Passwort selbst eingeben

Der zweite Faktor verringert die Auswirkungen eines wiederholten Passworts. Wenn der Angreifer das alte E-Mail- und Passwortpaar kennt, kann der zweite Faktor die Anmeldung verhindern. Aus diesem Grund ist MFA auch nach jahrelangen Leaks sinnvoll. Es ist jedoch kein kugelsicherer Schutzschild gegen jeden Kanal.

Phishing, bei dem eine Person selbst ein Passwort und einen anderen Code in eine betrügerische Schnittstelle eingibt, ist ein anderer Mechanismus als das historische Vorkommen eines Passworts in einem Korpus. In diesem Text werden keine Umgehungstechniken oder ein Echtzeitangriff beschrieben. Nur ein Unterschied: HIBP zeigt einen historischen Befund in bekannten Daten. Phishing ist ein Live-Kanal, der eine gute Angewohnheit umgehen kann, wenn eine Person dem falschen Link folgt.

Daher die nüchterne Regel. Sobald das Passwort gefunden wurde, werden Wiederverwendung und MFA aufgelöst. Im Falle eines verdächtigen Links werden die Verifizierung außerhalb des Links, die direkte Eingabe der Service-Adresse und die Kontaktaufnahme über einen bekannten Kanal gelöst. Eine Verteidigung ist kein Ersatz für eine andere. Ein Passwort in Pwned Passwords ist kein Phishing-Beweis, aber ein wiederholtes Phishing-Passwort mildert die Folgen.

14. Ein sensibler Verstoß ist nicht dasselbe wie ein öffentlich durchsuchbarer Dump

HIBP unterscheidet sensible Verstöße, die nicht öffentlich durchsuchbar sind, ohne den Besitz des Postfachs zu überprüfen. In den FAQ wurden zum 1. September 2026 insgesamt 87 sensible Verstöße und 2 stillgelegte Verstöße aufgeführt ^[4]. Dies misst die Klassifizierung innerhalb von HIBP und nicht die Empfindlichkeit jedes echten Lecks auf der Welt.

Der Grund ist einfach. Bei einigen Vorfällen werden vertrauliche Informationen preisgegeben, nur weil die Person im Dienst war. Eine öffentliche Antwort „Ja, diese Adresse ist in diesem Vorfall“ könnte neuen Schaden anrichten. Daher verfügt der Dienst über einen Modus, in dem die Eigentümerschaft des Postfachs überprüft werden muss. Der Index ist also nicht nur eine Datenbank. Es ist auch eine Entscheidung darüber, was wem gezeigt werden darf.

In derselben FAQ wird Plus-Aliasing für etwa 0,03 % der Adressen erwähnt und erklärt, dass der Dienst es nicht vollständig respektiert ^[4]. Eine kleine Zahl kann große praktische Auswirkungen haben. Wenn eine Person eine Adresse vom Typ Name+Service@Domain verwendet, kann das Finden oder Nichtfinden falsch gelesen werden. Auch dies ist keine saubere Rechnung. Dies ist eine technische Indexregel.

15. ENISA: Phishing ist nicht der tschechische Anteil geleakter Passwörter

In der Threat Landscape 2025 der ENISA heißt es, dass Phishing zwischen dem 1. Juli 2024 und dem 30. Juni 2025 rund 60 % der beobachteten Fälle als Einbruchsvektor ausmachte ^[15]. Gleichzeitig heißt es in dem Material, dass es sich bei 77 % der Vorfälle im Datensatz um DDoS-Vorfälle handelte und 8,9 % der Einbrüche im Zusammenhang mit dem Diebstahl von Anmeldedaten standen ^[15]. Diese Zahlen haben unterschiedliche Nenner.

Deshalb dürfen sie nicht in den Satz über tschechische Passwörter aufgenommen werden. ENISA misst in ihrem Datensatz die europäische Bedrohungslandschaft und die Vorfallkategorien. HIBP misst bekannte Verstöße und Adressen im Index. ÚOOÚ misst die Benachrichtigung von Administratoren und Beschwerden. Verizon misst seine Vorfälle und Organisationen. Jede Zahl kann wahr sein und dennoch nicht auf eine andere Schlussfolgerung anwendbar sein.

NÚKIB kann ein nützlicher Kontext für tschechische Organisationen sein, aber die Anzahl der Vorfälle im Bericht über den Stand der Cybersicherheit ist kein Indikator für die Anzahl der Bürger mit einem Passwort in HIBP ^[21]. Europol wiederum beschreibt den Markt für kompromittierte Konten und die damit verbundene Kriminalität ^[22]. Dies hilft, die Beweggründe der Angreifer zu verstehen. Es handelt sich nicht um einen Leitfaden und es handelt sich nicht um eine Prüfung einzelner Postfächer.

16. Ein kurzer Expositionstest verspricht keine Sicherheit

Der Zweck des Tests besteht darin, die Gefährdung festzustellen, nicht darin, Daten Dritter zu erhalten und nicht zu testen, ob das Konto gehackt werden kann. Dies muss auch in kleinen Schritten sichtbar bleiben. Eigene E-Mails werden im offiziellen HIBP überprüft. Die Prüfung des eigenen Passwortes erfolgt über Pwned Passwords oder einen Passwortmanager mit k-Anonymität. Fremdkombinationen werden nicht versucht. Fülllisten werden nicht heruntergeladen.

Drei Find-Tests

Der erste Test ist die Adresse. Geben Sie Ihre eigene E-Mail-Adresse in das offizielle HIBP ein und lesen Sie die Ergebnisse nach Dienst- und Datenkategorie. Verfallen Sie nicht dem „Ich bin gehackt“-Gefühl. Suchen Sie nach E-Mail, Telefon, Passwort-Hash, Profildaten oder einer anderen Kategorie. Legen Sie Benachrichtigungen nur für Ihren eigenen Posteingang fest.

Der zweite Test ist das Passwort. Authentifizieren Sie es nur mit K-Anonymität. Wenn es im Korpus gefunden wird, betrachten Sie es als öffentlich. Ändern Sie es überall dort, wo es wiederholt wird, und verwenden Sie keine Variation des alten Passworts. Dieser Satz ist kein Angriff. Es ist die Schließung des Stopfpfades.

Der dritte Test ist die Rechnung. Wenn der Dienst überflüssige Sitzungen, unbekannte Geräte, Einstellungsänderungen oder finanzielle Schäden anzeigt, ist HIBP nicht mehr das Haupttool. Es geht um den Betrieb des Kontos. Das Ändern des Passworts, das Abmelden von Sitzungen, die Überprüfung des zweiten Faktors, die Kontaktaufnahme mit dem Service und im Schadensfall mit der Bank oder der Polizei haben Vorrang vor weiteren Suchen im Index.

Sentinel View kann optional als weiteres Korpus hinzugefügt werden ^[18]. Wenn Sie vom Administrator eine Benachrichtigung gemäß Artikel 34 der DSGVO erhalten, befolgen Sie diese. Wenn der Administrator nicht kommuniziert oder die Rechte verletzt, wird die Beschwerde gemäß Artikel 77 behandelt, nicht der Antrag an die ÚOOÚ, den öffentlichen Index zu löschen ^{[12] [13]}.

Notieren Sie das Testergebnis in drei Spalten: Adresse, Passwort, Konto. Die Adresse umfasst die Dienst- und Datenkategorie. Das Passwort enthält eine Entscheidung, wo es wiederholt und wo es geändert wird. Das Konto umfasst Sitzung, zweiten Faktor und unbekannte Änderungen. Dieser Tisch ist nichts Besonderes. Es ist jedoch besser als der vage „Ich habe es verpasst“-Satz, da er für jede Zeile einen anderen Schritt anzeigt.

17. Die Frage ist nicht, ob es durchgesickert ist. Es hört sich an, welche Schicht Sie messen

Die Kontosicherheit ist keine Eigenschaft des Index. Ein Index kann nützlich und dennoch begrenzt sein. Es wird das bekannte Vorkommen einer Adresse oder eines Passworts angezeigt. Das Konto wird nicht entsperrt, es werden keine Daten aus dem Internet gelöscht, die Live-Anmeldung wird nicht bestätigt und es kann nicht nachgewiesen werden, dass nichts durchgesickert ist. Dies ist keine Schwäche eines Dienstes. Es ist die Grenze der gemessenen Schicht.

Der versteckte Preis des Wortes „Leck“ ist der Verlust der Auflösung. Wenn eine verletzte E-Mail, ein Passwort im Korpus, eine Füllliste, ein Stealer-Protokoll, eine Admin-Benachrichtigung und eine fremde Sitzung in einem Satz zusammengefasst werden, wird die Reaktion zufällig. Er schießt einmal über das Ziel hinaus. Zum zweiten Mal. Und manchmal öffnet es genau den Weg, den es schließen sollte.

Die Auflösung hilft auch dann, wenn nichts gefunden wird. Ein leeres Ergebnis entbindet Sie nicht von der Passwortverwaltung. Es heißt lediglich, dass der angegebene Index keinen passenden Datensatz hat. Ein eindeutiges Passwort, ein Passwort-Manager, ein aussagekräftiger zweiter Faktor und Sitzungskontrolle bleiben auch ohne die rote Warnung die Regel. Sicherheit sollte nicht auf Entdeckung warten.

Ebenso sollte der Befund keine einzelne Emotion bestimmen. Es gilt, den nächsten Schritt festzulegen. Die Adresse führt zu gelesenen Datenkategorien. Das Passwort führt zur Änderung des Geheimnisses. Die Benachrichtigung des Administrators führt zu seinen Anweisungen. Die Sitzung führt zum Kontoschutz. Wer diese Schritte trennt, muss nicht raten, ob er Ruhe oder Panik empfinden soll.

Deshalb ist die richtige Frage nicht nur: „Habe ich mein Passwort vergessen?“ Die richtige Frage lautet: „Welche Ebene habe ich gerade gemessen: ein bekannter Dump, ein Passwort-Fingerabdruck, eine Stuffing-Liste, eine Admin-Ankündigung oder eine fremde Sitzung und was führt sonst noch dazu?“ Nur dann ist es sinnvoll, Ihr Passwort zu ändern, Benachrichtigungen zu lesen, Sitzungen zu überprüfen oder eine Beschwerde einzureichen. Nicht, weil Panik eine Schwäche ist. Denn eine ungenaue Reaktion ist ein weiteres Risiko.

Die gute Antwort lautet also weder „Alles ist gut“ noch „Alles ist verloren“. Eine gute Antwort ist kleiner und genauer. Eine E-Mail im Index wird als Trace in einer bekannten Datei gelesen. Ein Passwort in Pwned Passwords liest sich wie ein Geheimnis, dessen Verwendung nicht mehr angemessen ist. Die Füllliste liest sich wie eine Warnung vor Wiederholungen. Die Mitteilung des Administrators wird als rechtliche und praktische Anweisung zu einem bestimmten Vorfall gelesen. Und ausländische Sitzungen werden als Kontoverkehr behandelt, nicht als weitere SucheWebseite.

Dies bedeutet nicht, dass Indizes keinen Wert haben. Daraus folgt, dass sie nur dann einen Wert haben, wenn die richtige Schicht und die richtige Stufe mit ihnen verbunden sind. Die Benachrichtigungen „Have I Been Pwned“, „Sentinel View“ oder „ÚOOÚ“ sind dann nicht mehr nur ein roter Knopf. Sie werden zu einer Karte. Eine Karte ist kein Schloss. Doch ohne Karte verändert sich das Schloss blind.

Verwandte Texte in dieser Reihe

• Wie erkennt man eine betrügerische E-Mail, SMS oder einen betrügerischen Anruf? – Angriffskanal vs. Leakage-Index.
• Was ist ein digitaler Fußabdruck? — HIBP ist eine Schicht, nicht das gesamte Internet.