Passwort in einer Datenpanne gefunden: Was die Warnung bedeutet

Meldet Google, Apple oder Microsoft ein Passwort aus einer Datenpanne, steht dieses Kennwort in einer öffentlich kursierenden Leak-Sammlung. Ihr Konto ist damit nicht automatisch gehackt, aber ab sofort ein Ziel für automatisierte Anmeldeversuche. Ändern Sie zuerst das Passwort Ihres E-Mail-Postfachs, dann das gemeldete Konto und danach jedes Konto, das dasselbe Passwort nutzt.

Die Meldung kommt meist ohne Vorwarnung: als Benachrichtigung auf dem Android-Handy, als roter Hinweis im Google Passwortmanager, als Eintrag in den Sicherheitsempfehlungen der Passwörter-App auf dem iPhone oder als Hinweis im Passwortmonitor von Microsoft Edge. Was fast alle Betroffenen irritiert: Die Warnung sagt nicht, welcher Dienst gehackt wurde und wann. Manche Treffer betreffen Konten, die seit Jahren niemand mehr benutzt, andere das Online-Banking.

Dieser Ratgeber erklärt, was hinter den Warnungen der großen Anbieter technisch steckt und warum dieselbe Meldung je nach Absender etwas anderes bedeutet. Er gibt Ihnen eine feste Reihenfolge für die erste Stunde und zeigt, woran Sie erkennen, dass nicht ein fremder Server, sondern Ihr eigener Rechner die undichte Stelle sein könnte.

Wer warnt hier eigentlich und was wird geprüft?

Alle großen Passwortmanager in Browsern und Betriebssystemen gleichen Ihre gespeicherten Zugangsdaten mit Sammlungen bekannter Leaks ab. Keiner von ihnen schickt dafür Ihr Passwort im Klartext an einen Server. Die Verfahren unterscheiden sich aber in einem Punkt, der für Ihre Einschätzung entscheidend ist: Wird nur das Passwort geprüft oder die Kombination aus Nutzername und Passwort?

Google beschreibt das Verfahren für Chrome im Google Security Blog: Chrome verschlüsselt eine gehashte Kopie von Nutzername und Passwort mit einem Schlüssel, den nur der Browser kennt, und vergleicht sie per „Private Set Intersection“ mit den ebenfalls verschlüsselten Einträgen aus Leaks. Vereinfacht gesagt legen beide Seiten ihre Listen hinter Milchglas übereinander und sehen nur, ob sich ein Eintrag deckt, aber nicht, was darauf steht. Ein Treffer bei Google heißt also: genau diese Anmeldung, also Ihre Adresse mit genau diesem Passwort, liegt in einer kursierenden Sammlung.

Apple geht laut seinen Datenschutzhinweisen zur Passwörter-App anders vor: Das Gerät erhält eine Liste gebräuchlicher, kompromittierter Passwörter, für alle anderen werden aus dem Passwort berechnete Informationen an Apple geschickt, aber weder das Passwort selbst noch das zugehörige Konto. Geprüft wird das Kennwort allein. Ein Treffer bei Apple bedeutet deshalb zunächst nur: Diese Zeichenfolge ist Angreifern bekannt. Das kann Ihr eigenes Konto betreffen oder schlicht heißen, dass ein Fremder irgendwo dasselbe Passwort verwendet hat, etwa „Sommer2024!“.

Für Ihre Entscheidung folgt daraus eine einfache Regel: Die Warnung ist immer ein Grund, das Passwort auszutauschen. Wie gründlich Sie danach nachforschen müssen, hängt am Absender. Eine Google- oder Edge-Meldung zu einem aktiven Konto rechtfertigt den vollen Prüfablauf weiter unten. Eine Apple-Meldung zu einem simplen Passwort ist meist ein Hinweis auf ein zu schwaches oder zu verbreitetes Kennwort.

Die erste Stunde: in dieser Reihenfolge absichern

Die meisten Betroffenen ändern reflexhaft das Passwort des gemeldeten Kontos und hören dann auf. Das ist der zweite Schritt, nicht der erste. Wer Ihr E-Mail-Postfach kontrolliert, setzt jedes andere Passwort per „Passwort vergessen“ in Minuten zurück und liest die Bestätigungsmails mit, bevor Sie sie sehen. Arbeiten Sie die Liste deshalb von oben nach unten ab:

• 1. E-Mail-Postfach zuerst: Neues, nirgends sonst genutztes Passwort setzen, auch wenn das Postfach selbst nicht gemeldet wurde. Danach in den Einstellungen nachsehen, ob es Weiterleitungsregeln, Filter oder Abwesenheitsnotizen gibt, die Sie nicht angelegt haben. Angreifer richten gern eine stille Weiterleitung ein, die auch nach einem Passwortwechsel weiterläuft. Ebenso prüfen: hinterlegte Ersatz-Adresse und Handynummer für die Kontowiederherstellung.
• 2. Das gemeldete Konto: Passwort ändern, anschließend die Funktion „Auf allen Geräten abmelden“ oder „Alle Sitzungen beenden“ nutzen. Ein neues Passwort wirft eine bereits eingeloggte fremde Sitzung bei vielen Diensten nämlich nicht hinaus. Die Liste der letzten Anmeldungen zeigt Ihnen, ob jemand aus einem fremden Land oder mit unbekanntem Gerät drin war.
• 3. Alle Konten mit demselben Passwort: Der Passwortcheck von Google und die Sicherheitsempfehlungen von Apple zeigen mehrfach verwendete Passwörter in einer eigenen Rubrik. Arbeiten Sie diese Rubrik vollständig ab, beginnend mit Konten, an denen Geld hängt: Banking, PayPal, Amazon, Mobilfunkkonto.
• 4. Zweiten Faktor oder Passkey einschalten: Ein Passwort, das schon einmal geleakt ist, sollte nie wieder der einzige Schutz sein. Wo es angeboten wird, ist ein Passkey die stärkste Lösung, weil er sich nicht abfangen und nicht in eine Combo-Liste schreiben lässt. Wie Sie dabei die häufigsten Stolperfallen umgehen, zeigt unsere Anleitung zum Einrichten von Passkeys bei Google, Apple und Microsoft.
• 5. Spuren eines Missbrauchs suchen: Bestellhistorie, gespeicherte Lieferadressen, hinterlegte Zahlungsmittel, verknüpfte Apps. Bei Shops und Marktplätzen ist eine neu hinzugefügte Lieferadresse das typischste Zeichen, dass jemand auf Ihre Kosten bestellen wollte.

Wer unsicher ist, ob die neuen Kennwörter wirklich noch unbekannt sind, etwa weil sie nach einem vertrauten Muster gebaut wurden, kann sie vor dem Speichern abgleichen. Der Passwort-Checker zeigt Ihnen, ob ein Kennwort bereits in Leaks steht, ohne es im Klartext zu übertragen. Das ist vor allem für Passwörter nützlich, die gar nicht im Browser gespeichert sind, etwa für den Router, die Steuer-Software oder ein altes Forum.

Einzigartiges Passwort gemeldet? Dann liegt die Quelle woanders

Hier steckt die eigentlich wertvolle Information der Warnung, und die meisten Ratgeber übergehen sie. Wenn ein Passwort gemeldet wird, das Sie nur ein einziges Mal und nur für diesen Dienst verwendet haben, etwa weil Ihr Passwortmanager es zufällig erzeugt hat, dann kommen nur drei Wege in Frage, auf denen es nach außen gelangt ist:

Der dritte Fall ist der gefährlichste, weil er den Rest dieses Ratgebers aushebelt. Ein Infostealer ist eine Schadsoftware, die nicht lange im System herumspioniert, sondern wie ein Taschendieb einmal hineingreift: Sie kopiert in Sekunden die gespeicherten Passwörter, Cookies und Sitzungsdaten aus dem Browser und schickt sie an die Täter. Typische Einfallstore sind gecrackte Programme, Spiele-Mods, gefälschte Updates und Browser-Erweiterungen aus zweifelhaften Quellen. Ändern Sie die Passwörter auf demselben, noch infizierten Rechner, liefern Sie die neuen gleich mit.

• Gerät prüfen: Vollständigen Virenscan laufen lassen, die Liste installierter Programme und Browser-Erweiterungen nach Unbekanntem durchsehen, Herkunft jeder Software hinterfragen, die Sie in den letzten Monaten außerhalb offizieller Stores installiert haben.
• Von einem sauberen Gerät aus ändern: Ein Smartphone mit aktuellem Betriebssystem ist dafür oft die schnellste Wahl. Am verdächtigen Rechner erst wieder anmelden, wenn er bereinigt oder neu aufgesetzt ist.
• Sitzungen überall beenden: Infostealer stehlen auch Anmelde-Cookies. Damit sind Täter teilweise eingeloggt, ohne das Passwort oder den zweiten Faktor zu brauchen. Erst das globale Abmelden macht diese Cookies wertlos.

„Warnung ignorieren“: wann das vertretbar ist

Der Google Passwortmanager bietet bei jedem Treffer die Schaltfläche „Warnung ignorieren“, die Meldung wandert dann in die Rubrik „Ignorierte Warnungen“. Laut BSI-Empfehlung zu sicheren Passwörtern sollte jedes Kennwort ohnehin nur für einen einzigen Zugang gelten. Daran gemessen gibt es genau einen Fall, in dem Ignorieren vertretbar ist: ein Konto, das Sie nicht mehr nutzen, mit einem Passwort, das Sie garantiert nirgends sonst verwendet haben.

Selbst dann ist Ignorieren die zweitbeste Lösung. Ein vergessenes Konto mit bekanntem Passwort ist eine offene Hintertür: Angreifer können sich einloggen, Ihre dort gespeicherte Adresse und Bestellhistorie auslesen und damit glaubwürdige Betrugsmails schreiben. Besser ist es, das Konto zu löschen und den Eintrag danach aus dem Passwortmanager zu entfernen. Wie Sie solche Altkonten systematisch aufspüren, auch die, die nicht im Browser gespeichert sind, beschreibt unser Ratgeber alte Accounts finden und löschen.

Ein wichtiges Detail für alle, die die Benachrichtigungen genervt abgeschaltet haben: Google prüft nach eigener Angabe weiter, auch wenn die Benachrichtigungen deaktiviert sind. Die Treffer sammeln sich dann still im Passwortcheck unter passwords.google.com. Ein Blick dorthin einmal im Quartal ersetzt die abgeschaltete Meldung.

Welcher Leak war es? So finden Sie den Vorfall

Die Passwortmanager vergleichen gegen riesige, über Jahre zusammengeführte Sammlungen. Die Herkunft einzelner Zeilen ist darin meist nicht mehr nachvollziehbar, deshalb nennt die Warnung keinen Dienst und kein Datum. Den Vorfall finden Sie über einen anderen Weg: Prüfen Sie Ihre E-Mail-Adresse gegen dokumentierte Datenlecks. Dort ist für jeden Vorfall verzeichnet, welcher Dienst betroffen war, wann es passiert ist und welche Datenarten abgeflossen sind, etwa Passwörter, Telefonnummern oder Anschriften.

Das hat einen praktischen Nutzen über die Neugier hinaus. Stehen in dem Leak neben dem Passwort auch Ihre Handynummer oder Postanschrift, müssen Sie mit SMS-Betrug, Anrufen falscher Bankmitarbeiter oder Briefen im Namen des Dienstes rechnen. Ein Passwortwechsel schützt davor nicht. Kostenlos nachsehen, in welchen bekannten Datenlecks Ihre E-Mail-Adresse auftaucht

Eine ehrliche Einordnung gehört dazu: Was einmal in einer Leak-Sammlung steht, lässt sich nicht mehr zurückholen. Die Dateien werden in Foren kopiert, weiterverkauft und neu zusammengestellt, und niemand kann dort eine Löschung durchsetzen. Sie können das Passwort aber überall wertlos machen und dafür sorgen, dass Sie beim nächsten Vorfall früher Bescheid wissen als die Täter. Dafür ist eine laufende Überwachung Ihrer Adresse da: Darknet-Überwachung aktivieren und bei neuen Leaks Ihrer Adresse benachrichtigt werden.

Prüfliste: Passwort-Hygiene nach dem Fund

Der Fund ist ein guter Anlass, nicht nur das eine Loch zu stopfen, sondern die Schwachstelle dahinter. Diese Punkte arbeiten Sie einmal ab, danach genügt ein kurzer Blick alle paar Monate:

• Passwortfamilien auflösen: Viele Menschen nutzen nicht ein Passwort, sondern ein Muster, etwa „Lisa1985!Amazon“ und „Lisa1985!Ebay“. Angreifer kennen das und probieren solche Abwandlungen gezielt durch. Taucht ein Mitglied der Familie in einem Leak auf, gilt die ganze Familie als bekannt.
• Einen Passwortmanager als einzige Quelle: Liegen Zugangsdaten teils im Browser, teils in einer Notiz-App und teils auf Papier, sieht keine Warnung das ganze Bild. Führen Sie alles an einer Stelle zusammen, damit der Abgleich vollständig ist.
• Wiederherstellungswege prüfen: Alte Handynummern und nicht mehr genutzte Ersatz-Adressen in Ihren wichtigsten Konten sind ein Einfallstor. Wer eine verfallene Adresse neu registriert, kann darüber Ihr Konto zurücksetzen.
• Erinnerung in vier Wochen: Öffnen Sie den Passwortcheck nach einem Monat erneut. Taucht dasselbe Konto wieder auf, obwohl Sie das Passwort geändert haben, ist das ein starkes Indiz für Schadsoftware oder einen noch laufenden Vorfall beim Anbieter.
• Auf Folgemails gefasst sein: Nach bekannten Leaks kommen oft Nachrichten, die sich auf genau diesen Vorfall berufen und zum „Bestätigen“ des Kontos auffordern. Klicken Sie nie auf den Link, sondern öffnen Sie den Dienst immer selbst über das Lesezeichen oder die App.
• Frühwarnung statt Zufallsfund: Die Browser-Warnung erscheint erst, wenn Sie das betroffene Passwort gespeichert haben und der Manager den neuen Datensatz kennt. Laufende Leak-Überwachung für Ihre E-Mail-Adressen einrichten, damit Sie auch von Vorfällen bei Diensten erfahren, deren Zugangsdaten nicht im Browser liegen.

Häufige Fragen zur Warnung „Passwort in Datenpanne gefunden“