Firmen-E-Mail in einem Datenleck: prüfen und richtig reagieren

Firmenadresse prüfen: die kurze Antwort

Ob eine Firmenadresse in einem Datenleck vorkommt, prüfen Sie kostenlos beim Identity Leak Checker des Hasso-Plattner-Instituts oder beim Leak Checker der Universität Bonn. Beide schicken das Ergebnis an die geprüfte Adresse und zeigen es nicht im Browser an. Alle Adressen einer Firmendomain auf einmal sehen Sie in der Domain-Suche von Have I Been Pwned, sobald Sie dort nachgewiesen haben, dass Ihnen die Domain gehört. Diese beiden Dienste führt das BSI in seinem Cybersicherheits-Lotsen zu Datenleaks als Anlaufstellen auf.

Die Universität Bonn erklärt einen Treffer so: Die Adresse war bei einem Dienst oder Webshop angemeldet, und dessen Benutzerdatenbank ist bei einem Sicherheitsvorfall abgeflossen. Zu ändern ist dann das Passwort dieses Dienstes und jedes anderen Kontos, das dasselbe Passwort nutzt, beginnend mit dem Postfach. Öffnet das geleakte Passwort das Postfach selbst, ist das ein Einbruch ins Postfach, und es gelten die Schritte unter Firmen-E-Mail gehackt. Die Angaben zu den Prüfdiensten stammen von deren eigenen Hilfeseiten und Datenschutzhinweisen, abgerufen am 14.10.2026.

Drei Prüfdienste im Vergleich

Der Zähler auf der Startseite des HPI stand am 14.10.2026 bei 19.012.552.050 erfassten Identitäten aus 2.060 Datenleaks. Das Institut sammelt solche Daten seit 2014. Für Organisationen bietet es eine Prüfung ganzer Domains an, die kostenpflichtig ist. Have I Been Pwned zeigt Domains mit bis zu zehn betroffenen Adressen kostenlos, für größere Domains verlangt der Dienst in der Regel ein Abonnement.

Dass HPI und Universität Bonn das Ergebnis an die geprüfte Adresse schicken, hat in einer Firma eine Folge. Prüft die Geschäftsführung die Adresse einer Mitarbeiterin, landet die Antwort im Postfach der Mitarbeiterin. Sagen Sie dem Team deshalb vorher, dass geprüft wird und dass Ergebnis-Mails an Sie weitergeleitet werden sollen. Bei Sammeladressen lesen alle mit, die Zugriff auf das Postfach haben. Der Dienst der Universität Bonn lehnt nach zu vielen Anfragen für dieselbe Domain weitere Prüfungen für mindestens eine Woche ab, es sei denn, Sie lassen die Domain dort freischalten. Ab wie vielen Anfragen das passiert, steht nicht auf der Seite.

Diese Adressen gehören auf die Prüfliste

• Die persönlichen Adressen aller Mitarbeiter, auch von Aushilfen und Auszubildenden.
• Sammeladressen wie info@, rechnung@ oder bestellung@. Sehen Sie dabei nach, welche Konten bei Großhändlern, Paketdiensten, Plattformen und Behördenportalen mit ihnen angelegt sind.
• Adressen ausgeschiedener Mitarbeiter, die als Weiterleitung oder zweiter Name eines Postfachs weiterlaufen. Was beim Ausscheiden sonst zu ändern ist, steht in der Checkliste Mitarbeiter verlässt die Firma.
• Die Adresse, an der Bank, Domain-Anbieter und Microsoft- oder Google-Verwaltung hängen. Ein Treffer dort hat Vorrang vor allen anderen.

Schreiben Sie zu jeder Adresse auf, wann sie geprüft wurde und mit welchem Ergebnis. Ein halbes Jahr später wissen Sie dann, ob ein neuer Treffer wirklich neu ist.

Den Treffer richtig lesen

Zu welchem Konto ein gestohlenes Passwort gehört, steht nicht immer fest. Laut HPI kann es das Kennwort jedes Kontos sein, bei dem die Adresse zur Anmeldung angegeben wurde. Die Ergebnis-Mail der Universität Bonn hilft mit dem ersten und letzten Zeichen des gefundenen Passworts, damit kann der Mitarbeiter eingrenzen, welches seiner Passwörter es war. Fällt ihm keins dazu ein, hat er es laut der Hilfe der Universität vielleicht vor langer Zeit benutzt und vergessen, oder der Datensatz enthält ein falsches Passwort, weil Kriminelle Lücken manchmal mit erfundenen Daten füllen. Gehört der Eintrag zu keinem Konto, ist nichts weiter zu tun.

Anders liegt ein Fund in sogenannten Infostealer-Logs, die das HPI ebenfalls auswertet. Dann hat Schadsoftware auf einem Gerät mitgelesen, an dem sich jemand angemeldet hat, das kann auch ein fremder Rechner im Hotel gewesen sein. Sie greift laut HPI auch die im Browser gespeicherten Passwörter ab. Hier kommt das Gerät vor den Passwörtern: Erst bereinigt der IT-Dienstleister den Rechner oder setzt ihn neu auf, danach ändert der Mitarbeiter seine Zugänge. Weil solche Listen laut HPI nicht vollständig sind, gehören auch die Konten dazu, die er in der Zeit regelmäßig benutzt hat. Wer ohne eigene IT Hilfe sucht, erreicht das Service-Center des BSI unter 0800 274 1000.

Die Warnung kann auch aus dem Browser kommen. Chrome meldet zum Beispiel „Dein Passwort wurde in einer öffentlichen Datenpanne gefunden“. Laut Google-Hilfe sollten Sie es so schnell wie möglich ändern und die anderen Websites prüfen, auf denen dasselbe Passwort gespeichert sein könnte. Liegen Firmenzugänge im Browser einzelner Mitarbeiter, sieht diese Warnung nur der eine Mitarbeiter, und die Firma erfährt davon nur, wenn er es meldet. Mehr zu diesem Risiko steht unter Passwörter in Excel oder im Browser.

Die Reihenfolge der Änderungen

1. Gerät klären. Deutet der Treffer auf Schadsoftware, bereinigt zuerst der IT-Dienstleister den Rechner. Ein neues Passwort, das jemand auf einem befallenen Gerät eintippt, kann die Schadsoftware ebenso abgreifen.
2. Postfach. Ist das geleakte Passwort auch das des Postfachs oder wurde es dort jemals benutzt, ändern Sie es dort zuerst. Über das Postfach lassen sich die Passwörter der meisten anderen Dienste zurücksetzen, darauf weist auch die Universität Bonn hin.
3. Der Dienst mit dem Leck, soweit er bekannt ist.
4. Alle Konten mit demselben Passwort oder einer Abwandlung davon, etwa mit anderer Jahreszahl am Ende. Bank, Domain-Anbieter und Verwaltungskonten zuerst, dann Lieferanten- und Plattformkonten.
5. Zweiten Faktor einschalten, wo der Dienst ihn anbietet. Das HPI rät nach einem Fund in Infostealer-Logs ausdrücklich dazu. Wie mehrere Kollegen einen Code nutzen, erklärt der Ratgeber Bestätigungscodes im Team teilen.
6. Geteilte Zugänge nachziehen. Arbeiten mehrere Leute mit dem geänderten Zugang, bekommen sie das neue Passwort über den Tresor und nicht über einen Chat, siehe Passwörter im Team teilen.
7. Festhalten, welche Adresse betroffen war, welcher Treffer gemeldet wurde und was an welchem Tag geändert wurde.

Die Adresse selbst muss die Firma laut HPI in der Regel nicht aufgeben. Das HPI rät aber, für alle Konten, die mit dieser Adresse angemeldet sind, neue und jeweils eigene Passwörter zu wählen. Wann ein Passwort außerhalb eines Treffers zu wechseln ist, behandelt die Seite Passwörter regelmäßig ändern.

Wiederverwendungen finden ohne vollständige Liste

Für Schritt 4 braucht die Firma eine Liste ihrer Konten und muss wissen, wo dasselbe Passwort noch steckt. Die Prüfdienste liefern diese Liste nicht, sie melden nur die Adresse.

Mit einem gemeinsamen Tresor gibt es diese Liste. Die Verantwortlichen beim Kunden sehen in den Passwort-Berichten über alle gemeinsamen Sammlungen, welche Einträge dasselbe oder ein schwaches Passwort haben, und die Datenleck-Prüfung gleicht die gespeicherten Passwörter mit bekannten Lecks ab. Die Berichte erfassen nur, was in den Sammlungen liegt. Ein Konto, das ein Mitarbeiter nebenher im Browser gespeichert hat, fehlt darin. Was die Berichte im Einzelnen zeigen, steht auf der Seite Funktionen.

Ein erfundenes Beispiel: Ein Weingut mit Hofladen und Versand, vier feste Leute und in der Lese bis zu zwölf Helfer, prüft im Winter seine Adressen. Für versand@ meldet der Leak Checker der Universität Bonn ein Passwort, das mit S beginnt und mit 9 endet. Die Winzerin erkennt das alte Passwort, mit dem der Hofladen vor Jahren bei einem Verpackungshändler bestellt hat. Der Eintrag für den Händler liegt im Tresor, und im Bericht über mehrfach verwendete Passwörter steht er zusammen mit dem Konto des Paketdienstes und dem Marktplatz, über den der Wein verkauft wird. Sie ändert alle drei Passwörter noch am Vormittag und notiert den Fund. Welche Zugänge ein Weingut sonst hat, zeigt die Seite für Weingüter, für den Versand ergänzt um die Seite für Onlinehändler.

Prüfen als fester Termin

Eine einmalige Prüfung zeigt nur den Stand dieses Tages. Have I Been Pwned bietet an, eine Adresse dauerhaft zu beobachten, die Benachrichtigung geht dann an die beobachtete Adresse. Für die übrigen Adressen legen Sie zwei Termine im Jahr fest, dazu eine Prüfung jeder neuen Adresse, wenn jemand anfängt.

Wer einen Phishing-Versuch erwischt hat, statt eine Leak-Meldung zu bekommen, findet die Schritte unter Passwort auf einer Phishing-Seite eingegeben. Dort hat ein Mitarbeiter das Passwort gerade selbst auf einer gefälschten Seite eingetippt.