Ein kompromittiertes Passwort klingt nach einem persönlichen Problem, einem, das sich mit einer schnellen Änderung lösen lässt. In den meisten Fällen stimmt das nicht. Das Problem beginnt erst, wenn das Passwort längst in einer Datenbank steht, die du nie zu Gesicht bekommen wirst.
Was „kompromittiert" wirklich bedeutet
Ein Passwort gilt als kompromittiert, sobald es außerhalb deiner Kontrolle existiert. Das passiert meist nicht durch einen direkten Angriff auf dich, sondern durch einen Datenleck bei einem Dienst, den du irgendwann genutzt hast. Die Passwörter landen verschlüsselt oder manchmal unverschlüsselt in Datenbanken, die dann im Darknet gehandelt oder öffentlich zugänglich gemacht werden.
Diese Daten werden selten sofort für einen Angriff genutzt. Hacker kaufen und verkaufen Passwort-Listen weiter, manchmal monatelang, bevor jemand versucht, sich damit einzuloggen. Wer sein Passwort nach dem Bekanntwerden eines Lecks sofort ändert, ist längst nicht in Sicherheit, wenn dasselbe Passwort auch bei anderen Diensten verwendet wurde.
Wie Passwörter kompromittiert werden
Die häufigste Ursache sind Datenlecks bei Unternehmen. Wenn eine Plattform gehackt wird und Nutzerdaten gestohlen werden, sind alle Passwörter dieser Nutzer potenziell kompromittiert, egal wie stark sie waren. Adobe verlor 2013 über 153 Millionen Zugangsdaten, LinkedIn 2021 über 700 Millionen Datensätze. Solche Vorfälle passieren regelmäßig, und ihre Daten kursieren noch Jahre danach.
Daneben gibt es gezieltere Methoden. Phishing-Mails täuschen legitime Login-Seiten nach und erfassen Zugangsdaten direkt. Credential Stuffing nutzt automatisierte Tools, um bekannte Nutzername-Passwort-Kombinationen systematisch bei anderen Diensten auszuprobieren. Das funktioniert erschreckend gut, weil viele Nutzer identische Passwörter für mehrere Accounts verwenden. Keylogger auf infizierten Geräten zeichnen Tastatureingaben mit, lange bevor der Nutzer merkt, dass etwas nicht stimmt.
Wie du erkennst, ob dein Passwort betroffen ist
Die bekannteste Anlaufstelle ist Have I Been Pwned. Dort gibst du eine E-Mail-Adresse ein und siehst, in welchen bekannten Lecks sie aufgetaucht ist. Der Dienst ist kostenlos und listet nicht nur, ob deine Daten betroffen sind, sondern auch welcher Dienst gehackt wurde und wann.
Browser helfen inzwischen ebenfalls aktiv. Chrome, Firefox und Safari warnen, wenn gespeicherte Passwörter in bekannten Datenlecks aufgetaucht sind. Diese Warnungen erscheinen nicht immer sofort, aber wenn sie kommen, sollten sie nicht ignoriert werden.
Apple, Google und Microsoft betreiben eigene Passwort-Prüfungen im Hintergrund. Die Benachrichtigung „Dieses Passwort wurde in einem Datenleck gefunden" kommt nicht aus dem Nichts, sondern ist der Abgleich mit echten Leak-Datenbanken.
Sofortmaßnahmen nach einer Kompromittierung
Wer eine Warnung erhält oder in einer Datenpanne erwähnt wird, sollte in dieser Reihenfolge handeln: zuerst das betroffene Konto sichern, Passwort ändern, Zwei-Faktor-Authentifizierung aktivieren, aktive Sitzungen beenden. Dann prüfen, ob dasselbe Passwort bei anderen Diensten verwendet wurde. Falls ja, dort ebenfalls ändern, auch wenn kein Leck bekannt ist.
Den häufigsten Fehler nennen Sicherheitsexperten „Passwort-Recycling nach Leck": Das kompromittierte Passwort wird leicht abgewandelt, von „MeinHund2023" zu „MeinHund2024", und wiederverwendet. Angreifer nutzen genau diese Muster. Tools für Credential Stuffing testen automatisch gängige Variationen.
Ein weiteres häufiges Problem: Nutzer ändern das Passwort bei dem Dienst, bei dem das Leck bekannt wurde, aber nicht dort, wo das Passwort zuerst erstellt wurde oder anderswo aktiv ist. Der Angreifer braucht nur eine funktionierende Kombination.
Passwort-Hygiene, die wirklich schützt
Starke Passwörter sind wichtig, aber die entscheidendere Eigenschaft ist Einzigartigkeit. Ein komplexes Passwort, das für zehn Dienste genutzt wird, ist bei einem Leck bei allen zehn kompromittiert. Ein einfacheres, aber einzigartiges Passwort ist in dem Fall sicherer.
Passwort-Manager lösen das Kernproblem. Sie generieren und speichern für jeden Dienst ein einzigartiges, langes Passwort, das man sich nicht merken muss. Bitwarden (kostenlos, Open Source), 1Password und KeePassXC sind etablierte Optionen. Das Master-Passwort des Managers sollte aus einer langen Passphrase bestehen, da es der einzige verbleibende Angriffspunkt ist.
Zwei-Faktor-Authentifizierung ist die wirksamste Schutzebene zusätzlich zum Passwort. Selbst wenn ein Passwort bekannt ist, kann sich ein Angreifer ohne den zweiten Faktor nicht einloggen. Authenticator-Apps wie Authy oder der integrierte Authenticator in iOS und Android sind sicherer als SMS-basierte 2FA, bei der Codes per Textnachricht übermittelt werden und die sich durch SIM-Swapping abfangen lassen.
Passwort-Sicherheit im Unternehmenskontext
Im privaten Bereich schadet ein kompromittiertes Passwort hauptsächlich dem betroffenen Nutzer. Im Unternehmenskontext sieht das anders aus. Ein einziges Mitarbeiterpasswort, das in einem Datenleck aufgetaucht ist und noch funktioniert, kann für einen initialen Zugang ins Firmennetzwerk reichen.
Unternehmen sollten Passwort-Checks für Mitarbeiterkonten systematisch betreiben, entweder über Dienste wie Have I Been Pwned Enterprise oder durch Integration in bestehende Identity-Management-Systeme. Single Sign-On reduziert die Angriffsfläche, weil weniger Passwörter existieren, die kompromittiert werden können. Privileged-Access-Management für Administrator-Konten ist für Organisationen ab einer gewissen Größe kein Nice-to-have mehr.
Häufige Fragen zu kompromittierten Passwörtern
Was bedeutet die Meldung „Dein Passwort wurde in einem Datenleck gefunden"?
Diese Warnung zeigt, dass das gespeicherte Passwort in einer bekannten Datenbank kompromittierter Zugangsdaten auftaucht. Das heißt nicht zwingend, dass dein Konto gerade missbraucht wird, aber das Passwort ist im Umlauf und sollte sofort geändert werden. Außerdem prüfen, ob dasselbe Passwort bei anderen Diensten verwendet wurde.
Wie sicher ist Have I Been Pwned?
Have I Been Pwned wurde von Troy Hunt entwickelt, einem bekannten Sicherheitsforscher und Microsoft Regional Director. E-Mail-Adressen werden gegen Hash-Datenbanken geprüft, ohne im Klartext gespeichert zu werden. Der Dienst ist transparent dokumentiert und gilt in der Sicherheits-Community als vertrauenswürdig.
Hilft ein regelmäßiger Passwortwechsel gegen Kompromittierungen?
Nur bedingt. Wenn ein Passwort kompromittiert wurde, hilft die Änderung. Regelmäßige Wechsel ohne konkreten Anlass führen hingegen oft dazu, dass Nutzer schwächere Passwörter wählen. Die aktuelle Empfehlung von BSI und NIST lautet: Passwörter nur ändern, wenn es einen Anlass gibt, dafür einzigartige Passwörter pro Dienst verwenden.
Kann ein kompromittiertes Passwort zur Straftat führen?
Das Passwort selbst nicht, wohl aber der Missbrauch durch Dritte. Wenn jemand mit einem kompromittierten Zugangsdatensatz in deinem Namen handelt, kann das Ermittlungen nach sich ziehen, bis der tatsächliche Täter identifiziert ist. Schnelle Reaktion und Dokumentation sind in solchen Fällen wichtig.