Vielleicht wurde dein Passwort längst gestohlen

Du musst nicht selbst gehackt werden

Viele Menschen denken bei einem Hack zuerst an ihren eigenen Rechner. Dabei kann dein Passwort perfekt sein und dein PC sauber. Wenn ein Dienst gehackt wird, können deine Daten trotzdem betroffen sein.

Je nach Datenleck können E-Mail-Adressen und Namen entwendet werden. Auch Telefonnummern oder Geburtsdaten können dazugehören. Bei manchen Vorfällen sind Passwort-Hashes betroffen. In schlechteren Fällen können weitere sensible Daten auftauchen.

Du hast dem Unternehmen die Daten einmal gegeben. Ab diesem Moment hängt ein Teil deiner Sicherheit davon ab, wie gut dieses Unternehmen damit umgeht.

Gestohlene Daten verschwinden nicht wieder

Nach einem Angriff kann ein Unternehmen die Sicherheitslücke schließen. Bereits kopierte Daten kann es aber nicht zurückholen. Solche Datensätze können weitergegeben und neu kombiniert werden.

Besonders gefährlich wird das bei wiederverwendeten Passwörtern. Ein gestohlenes Login wird dann automatisiert bei anderen Diensten ausprobiert. Aus einem Leak bei einem unwichtigen Forum kann so plötzlich ein Problem beim E-Mail-Account werden.

Deshalb ist ein eigenes Passwort pro Dienst für mich keine übertriebene Sicherheitsregel. Es begrenzt einfach den Schaden.

Prüf einmal deine eigene E-Mail-Adresse

Have I Been Pwned ist für so einen Check sehr praktisch. Dort kannst du prüfen, ob eine E-Mail-Adresse in bekannten Datenlecks auftaucht. Der Dienst zeigt auch an, welche Arten von Daten beim jeweiligen Vorfall betroffen waren.

Passwörter werden dort getrennt über Pwned Passwords geprüft. Der Dienst verknüpft diese Passwortsammlung nicht mit deiner E-Mail-Adresse. Ein Treffer bedeutet nicht automatisch, dass jemand gerade Zugriff auf deinen Account hat. Er bedeutet aber, dass du das betroffene Passwort nicht weiterverwenden solltest.

Auch Pentester bietet einen Leak-Check an. Mir ist bei solchen Diensten wichtig, dass ich die richtige Website öffne und vorher verstehe, was genau geprüft wird. Ich tippe sensible Daten nicht blind in irgendeinen zufälligen Leak-Checker.

Ein sauberes Ergebnis beweist fast nichts

Wenn eine Adresse bei einem Leak-Checker nicht gefunden wird, ist das natürlich gut. Es bedeutet aber nicht, dass sie garantiert niemals gestohlen wurde. Kein Dienst kennt jede gestohlene Datenbank der Welt.

Ich sehe solche Checks deshalb als Warnsystem. Ein Treffer ist ein konkreter Grund zu handeln. Kein Treffer ist kein Freifahrtschein für dasselbe Passwort auf zehn Websites.

Weniger Daten bedeuten weniger Schaden

Viele Formulare wollen mehr Informationen als für die eigentliche Funktion nötig sind. Wenn ein Feld freiwillig ist, fülle ich es nicht automatisch aus. Mein Geburtstag muss nicht in jedem Account liegen. Eine Telefonnummer braucht auch nicht jeder Shop.

Das verhindert keinen Angriff. Es verändert aber den möglichen Schaden. Daten die ein Unternehmen nie von mir hatte, können bei seinem nächsten Leak auch nicht aus genau dieser Datenbank gestohlen werden.

Meine Regeln nach einem Treffer

• prüfen welcher Dienst betroffen war und welche Daten dort geleakt wurden
• das betroffene Passwort sofort ersetzen, wenn es noch verwendet wird
• dasselbe Passwort auch bei allen anderen Accounts ersetzen
• für jeden Dienst ein eigenes Passwort im Passwortmanager nutzen
• MFA oder Passkeys aktivieren, wenn der Dienst sie anbietet
• bei sensiblen Leaks besonders aufmerksam auf Phishing und ungewöhnliche Logins achten
• unnötige alte Accounts löschen, wenn ich sie nicht mehr brauche

Ich plane lieber mit dem Fehler anderer

Ich kann nicht kontrollieren, wie gut jede Firma ihre Systeme absichert. Deshalb baue ich meine eigene Sicherheit so, dass ein einzelner Fehler nicht alles mitreißt.

Ein Passwortmanager kostet weniger Zeit als ein übernommener Account. MFA kostet ein paar Sekunden. Weniger persönliche Daten einzutragen kostet gar nichts. Mir ist das lieber als später herauszufinden, wie wertvoll dieselben Informationen für jemand anderen geworden sind.