Wurde meine E-Mail-Adresse geleakt? So prüfen Sie es
Für eine einzelne Adresse brauchen Sie dreißig Sekunden und keinen Cent. Für alle Adressen Ihrer Firmen-Domain wird es etwas aufwendiger. Beide Wege stehen hier – ehrlich, inklusive der Stellen, an denen der kostenlose Weg an seine Grenzen kommt.
Weg 1: Einzelne Adresse kostenlos prüfen
Der bekannteste Dienst dafür ist Have I Been Pwned. Er sammelt seit Jahren veröffentlichte Datenlecks und macht sie durchsuchbar. Das Bundesamt für Sicherheit in der Informationstechnik nimmt in seinen Empfehlungen zum Umgang mit Passwörtern darauf Bezug.
So gehen Sie vor:
- Adresse in das Suchfeld eintragen und prüfen lassen.
- Bei einem Treffer wird aufgelistet, aus welchen Vorfällen die Adresse stammt – mit Datum und Angabe, welche Datenarten betroffen waren (nur Adressen, Adressen und Passwörter, teils auch Telefonnummern oder Anschriften).
- Diese Liste ist die eigentliche Information. Ein Eintrag, bei dem nur die Adresse veröffentlicht wurde, ist etwas anderes als einer mit Klartext-Passwort.
Eine deutsche Alternative ist der Identity Leak Checker des Hasso-Plattner-Instituts, der das Ergebnis per E-Mail an die geprüfte Adresse schickt.
Weg 2: Die ganze Firmen-Domain prüfen
Für Unternehmen ist die Einzelprüfung meist wertlos, denn niemand kennt alle Adressen, die im Laufe der Jahre entstanden sind – Ehemalige, Sammelpostfächer, Funktionsadressen, Weiterleitungen. Dafür gibt es die Domainsuche, die alle bekannten Treffer einer Domain auf einmal anzeigt.
Der Ablauf: Sie weisen nach, dass Sie die Domain kontrollieren – üblicherweise über einen DNS-Eintrag, eine Datei auf dem Webserver oder eine Bestätigungsmail an eine administrative Adresse. Danach sehen Sie, welche Adressen Ihrer Domain in welchen Lecks auftauchen. Ab einer gewissen Domaingröße ist dafür ein kostenpflichtiges Konto erforderlich, und die Auswertung liefert Rohdaten, keine aufbereiteten Berichte.
Das ist machbar, wenn Sie jemanden haben, der sich damit befasst. Für die meisten mittelständischen Unternehmen scheitert es nicht am Preis, sondern daran, dass niemand die Zeit hat, es aufzusetzen und danach dranzubleiben.
Die drei Grenzen jeder Selbstprüfung
Egal welchen Weg Sie wählen – drei Punkte sollten Sie kennen, bevor Sie sich in Sicherheit wiegen:
1. Eine Adresse ist nicht die Domain
Wenn Sie Ihre eigene Adresse prüfen und nichts finden, sagt das über die 40 anderen Adressen Ihres Unternehmens nichts aus. Erfahrungsgemäß sind es gerade die Sammel- und Altadressen, um die sich niemand kümmert, die betroffen sind.
2. Ein Treffer ist nur der Anfang der Arbeit
Die Prüfung sagt Ihnen, dass etwas gefunden wurde. Sie sagt Ihnen nicht, ob das betroffene Passwort heute noch im Einsatz ist, ob ein Konto bereits übernommen wurde oder ob eine Meldepflicht besteht. Diese Fragen müssen Sie selbst beantworten – wie das geht, steht in den Ratgebern E-Mail-Konto gehackt? Diese 9 Anzeichen verraten es und Firmen-E-Mail in einem Datenleck: Was tun?.
3. Eine Prüfung von heute gilt nur für heute
Das ist die wichtigste Grenze. Neue Datenlecks werden laufend veröffentlicht. Ein sauberes Ergebnis heißt: bis zu diesem Zeitpunkt nichts bekannt. Nächste Woche kann es anders aussehen, und niemand im Team wird die Prüfung Monat für Monat manuell wiederholen. In der Praxis erfahren Unternehmen deshalb meist erst dann von kompromittierten Zugangsdaten, wenn bereits etwas passiert ist.
Was Sie bei einem Treffer sofort tun sollten
Unabhängig davon, wie alt der Fund ist:
- Das betroffene Passwort überall dort ändern, wo es verwendet wurde – nicht nur beim gehackten Dienst.
- Zwei-Faktor-Authentifizierung aktivieren, zuerst bei E-Mail-Konten.
- Das betroffene Konto auf fremde Anmeldungen, Weiterleitungs- und Filterregeln prüfen.
- Betroffene Mitarbeitende sachlich informieren – ohne Schuldzuweisung, sonst bekommen Sie keine ehrlichen Antworten zur Frage, wo das Passwort noch benutzt wurde.
Wie ernst ein einzelner Fund ist, ordnet der Ratgeber E-Mail-Adresse geleakt – wie schlimm ist das wirklich? ein.
Die ganze Domain prüfen lassen – kostenlos
Wenn Sie es für alle Adressen Ihres Unternehmens wissen wollen, ohne sich selbst einzuarbeiten: Nennen Sie uns Ihre Domain, wir übernehmen die Prüfung und schicken das Ergebnis innerhalb von 24 Stunden als verständlichen Report. Keine Software, kein Zugriff auf Ihre Systeme.
Erst-Check anfordernHäufige Fragen
Ist es sicher, meine Adresse in ein Prüfportal einzugeben?
Bei etablierten Diensten ja. Vorsicht bei unbekannten Portalen, die zusätzlich das Passwort abfragen – ein seriöser Dienst verlangt Ihr Passwort niemals im Klartext.
Was, wenn nichts gefunden wird?
Das ist ein gutes Zeichen, aber kein Freibrief. Es bedeutet nur: In den erfassten, öffentlich bekannten Datenlecks taucht diese Adresse bislang nicht auf. Nicht jeder Vorfall wird bekannt, und neue kommen laufend hinzu.
Kann ich meine Daten aus einem Leak entfernen lassen?
Nein. Einmal verbreitete Datensätze lassen sich nicht zurückholen. Wirksam ist nur, sie wertlos zu machen: Passwort ändern und Zwei-Faktor-Authentifizierung aktivieren.
Wie oft sollten wir prüfen?
Punktuelle Prüfungen veralten sofort. Sinnvoll ist ein laufendes Monitoring, das sich meldet, sobald ein neuer Treffer auftaucht – manuelle Kontrollen werden im Alltag verlässlich vergessen.
Dieser Beitrag gibt allgemeine Hinweise und ersetzt keine individuelle Beratung. Bei einem konkreten Sicherheitsvorfall ziehen Sie Ihren IT-Dienstleister und – bei Betroffenheit personenbezogener Daten – Ihren Datenschutzbeauftragten hinzu.