17,8 Milliarden gestohlene Konten, 1.032 dokumentierte Datenlecks, ein einziger kostenloser Suchschlitz: Have I Been Pwned ist für viele Deutsche der erste Griff nach einer Breach-Meldung in den Nachrichten. Allein in Deutschland suchen Menschen jeden Monat rund 165.000 Mal nach dem Dienst, wie aktuelle Keyword-Daten zeigen. Doch HIBP ist längst nicht mehr die einzige Anlaufstelle. Mozilla Monitor, der Identity Leak Checker des Hasso-Plattner-Instituts (HPI) und der Leak-Checker der Uni Bonn konkurrieren um dieselbe Frage: Sind meine Zugangsdaten im Netz aufgetaucht? Dieser Vergleich zeigt, wie die vier Dienste technisch arbeiten, was sie kosten, wie es um den Datenschutz steht und welcher Checker für welchen Anwendungsfall taugt.
Was Datenleck-Checker eigentlich tun
Ein Datenleck-Checker gleicht eine E-Mail-Adresse, einen Nutzernamen oder ein Passwort gegen eine Sammlung bekannter Breach-Datensätze ab. Taucht ein Treffer auf, war die Adresse Teil eines geleakten Datensatzes, etwa nach einem gehackten Onlineshop oder einem gestohlenen Kundenregister. Die Dienste unterscheiden sich aber stark darin, wie sie an diese Datensätze kommen, wie sie das Ergebnis ausliefern und wie viel Vertrauen man dem jeweiligen Betreiber entgegenbringen muss.
Have I Been Pwned (HIBP) wurde 2013 vom australischen Sicherheitsforscher Troy Hunt gegründet und ist seither zur größten öffentlich zugänglichen Sammlung dieser Art gewachsen. Mozilla Monitor ist die 2025/2026-Bezeichnung für den früheren Firefox Monitor und nutzt HIBP-Daten als Basis, ergänzt um eigene Stealer-Log-Quellen. Der HPI Identity Leak Checker aus Potsdam und der Leak-Checker der Universität Bonn sind akademische, in Deutschland gehostete Alternativen, die bewusst andere Prioritäten setzen: weniger Reichweite, dafür ein Ergebnisversand ausschließlich per E-Mail an die geprüfte Adresse selbst.
Für Privatpersonen klingt das nach Kleinkram. Für IT-Abteilungen, Sicherheitsteams und App-Entwickler, die Passwort-Hygiene automatisieren wollen, sind die Unterschiede jedoch entscheidend: Nur einer der vier Dienste bietet eine offene API mit Rate-Limits und Preisstaffel, nur einer prüft Passwörter kryptografisch anonymisiert, und nur zwei sind rechtlich vollständig der DSGVO unterstellt.
Wichtig ist dabei ein Missverständnis auszuräumen, das viele Erstnutzer haben: Keiner dieser Dienste kann ein Datenleck verhindern oder rückgängig machen. Sie liefern ausschließlich eine nachträgliche Diagnose, vergleichbar mit einem Rauchmelder, der nach dem Brand meldet, dass es gebrannt hat. Der eigentliche Schutz entsteht erst durch die Reaktion auf einen Treffer, also den Passwortwechsel, die Aktivierung einer Zwei-Faktor-Authentifizierung und im Zweifel eine Antiviren-Prüfung des genutzten Geräts. Ein Leck-Checker ersetzt also keine Sicherheitsstrategie, sondern ist ein Baustein davon, wenn auch ein besonders wichtiger, weil er oft der erste konkrete Hinweis auf ein Problem ist, das sonst unbemerkt bliebe.
Warum Datenleck-Checks 2026 wichtiger sind als je zuvor
Noch vor wenigen Jahren tauchte eine E-Mail-Adresse meist nur dann in einer Leck-Datenbank auf, wenn ein Anbieter gehackt und dessen Kundendatenbank kopiert wurde. Dieses Muster hat sich verschoben. Ein wachsender Anteil der Datensätze, die HIBP, Mozilla Monitor und ähnliche Dienste heute einpflegen, stammt aus sogenannten Stealer-Logs, also aus Malware, die auf infizierten Privatrechnern automatisch gespeicherte Passwörter, Cookies und Formulardaten direkt aus dem Browser ausliest und an Kriminelle weiterleitet. Diese Verschiebung erklärt, warum die Größenordnungen der zuletzt eingepflegten Datensätze so viel größer ausfallen als noch vor einigen Jahren, ein einzelner Stealer-Log-Datensatz kann heute mehr Konten umfassen als hundert klassische Firmen-Breaches zusammen.
Für Nutzerinnen und Nutzer in Deutschland, Österreich und der Schweiz bedeutet das: Ein Datenleck-Check ist längst keine reine Reaktion mehr auf Schlagzeilen über einzelne gehackte Firmen, sondern eine laufende Vorsichtsmaßnahme gegen ein diffuseres, aber wachsendes Risiko. Wer ein infiziertes Gerät im Haushalt hatte, ohne es zu bemerken, kann Monate später plötzlich in einem Stealer-Log-Datensatz auftauchen, unabhängig davon, ob der eigentlich genutzte Onlinedienst jemals selbst gehackt wurde. Genau deshalb setzen sowohl die deutsche Polizei als auch das BSI zunehmend auf die Empfehlung, Leck-Checker nicht nur einmalig, sondern regelmäßig und im Idealfall mit einer laufenden Benachrichtigungsfunktion zu nutzen.
Have I Been Pwned im Überblick: Die globale Referenz
HIBP zählte im August 2026 laut den Live-Zählern auf haveibeenpwned.com exakt 1.032 indizierte Breaches und rund 17,8 Milliarden kompromittierte Adressen. Die Seite funktioniert denkbar simpel: E-Mail-Adresse oder Nutzername eingeben, Ergebnis erscheint sofort im Browser, keine Registrierung nötig. Wer sich für zukünftige Treffer benachrichtigen lassen will, kann kostenlos ein Abo für die eigene Adresse anlegen.
Neben der reinen E-Mail-Suche betreibt HIBP mit Pwned Passwords eine zweite, oft unterschätzte Funktion: eine Datenbank mit Hunderten Millionen bereits geleakter Passwort-Hashes, die Entwickler in eigene Registrierungsformulare einbauen können, um schwache oder bereits kompromittierte Passwörter abzulehnen. Diese API ist komplett kostenlos, unlimitiert und ohne Authentifizierung nutzbar, was sie zum De-facto-Standard für Passwort-Hygiene-Checks in Webanwendungen gemacht hat.
Für Domain-weite Abfragen (etwa als Unternehmen alle E-Mail-Adressen der eigenen Domain überwachen) verlangt HIBP dagegen ein kostenpflichtiges Abo. Diese Trennung zwischen kostenlosem Einzel-Check und kostenpflichtigem Massen-Monitoring ist der zentrale Unterschied zu den drei anderen Diensten in diesem Vergleich, die durchgehend kostenlos bleiben, dafür aber auch keine Firmenkunden-Funktionen anbieten.
Mozilla Monitor: Der Browser-Konkurrent mit Warnfunktion
Mozilla Monitor, erreichbar unter monitor.mozilla.org, ist die konsequente Weiterentwicklung des 2018 gestarteten Firefox Monitor. Der Dienst nutzt laut Mozillas eigener Dokumentation die HIBP-Datenbasis als primäre Quelle, reichert sie aber um zusätzliche Stealer-Log-Datensätze an und bindet das Ganze fest in den Firefox- beziehungsweise Mozilla-Account ein. Der große Vorteil gegenüber der reinen HIBP-Website: Wer sich einmal registriert, bekommt automatisch eine Warnung, sobald eine der bis zu 20 hinterlegten E-Mail-Adressen in einem neuen Leck auftaucht, ganz ohne manuell nachzuschauen.
Eine wichtige Änderung für 2026: Die kostenpflichtige Zusatzstufe Monitor Plus, die seit Februar 2024 eine automatisierte Datenbroker-Löschung für US-Nutzer anbot, wurde zum 17. Dezember 2025 eingestellt. Bestehende Kundinnen und Kunden erhielten anteilige Rückerstattungen, alle bereits gesammelten Broker-Daten wurden gelöscht. Übrig geblieben ist die kostenlose Kernfunktion: Leck-Überwachung für bis zu 20 Adressen, Sofort-Check im Browser und eine deutschsprachige Oberfläche, die zuletzt im August 2026 aktualisiert wurde.
Für DACH-Nutzer ist Mozilla Monitor damit vor allem als komfortable Ergänzung zu HIBP interessant, nicht als Ersatz. Wer bereits Firefox als Browser nutzt, bekommt die Warnfunktion quasi geschenkt in die bestehende Kontoverwaltung integriert.
HPI Identity Leak Checker und Uni Bonn: Die deutschen Alternativen
Der Identity Leak Checker des Hasso-Plattner-Instituts, zu finden unter sec.hpi.de/leak-checker, verfolgt einen bewusst anderen Ansatz als HIBP. Statt das Ergebnis sofort im Browser zu zeigen, verschickt der Dienst die Trefferliste ausschließlich per E-Mail an die geprüfte Adresse selbst. Damit lässt sich keine fremde Adresse ausspionieren, ein Vorteil, den deutsche Verbraucherschutz-Ratgeber regelmäßig hervorheben. Der Leak-Checker der Universität Bonn, erreichbar über leakchecker.uni-bonn.de, arbeitet nach demselben Prinzip: Ergebnis nur per Mail, keine Möglichkeit, beliebige Drittadressen abzufragen.
Beide Dienste sind akademische Projekte, betrieben von deutschen Hochschulen und damit vollständig der DSGVO unterstellt. Das HPI weist in seiner Datenschutzerklärung explizit darauf hin, dass die zugrunde liegenden Datensätze in aller Regel keine eindeutige Zuordnung zu einer natürlichen Person im Sinne von Artikel 4 DSGVO erlauben, weshalb ein vollständiges Auskunftsrecht nach Artikel 15 DSGVO in der Praxis eingeschränkt ist. Nutzerinnen und Nutzer können aber verlangen, dass ihre Adresse als Abfrageziel gesperrt oder gelöscht wird.
Der Nachteil dieser Datensparsamkeit: Beide Checker verfügen über keine öffentliche API, kein automatisches Monitoring und in der Regel eine kleinere, stärker auf den deutschsprachigen Raum fokussierte Datenbasis als HIBP. Wer regelmäßig geprüft werden möchte, muss manuell wiederkehrend die Formulare ausfüllen, eine Alarmfunktion wie bei Mozilla Monitor gibt es nicht.
Technischer Vergleich: k-Anonymität und Datenverarbeitung
Der technisch interessanteste Unterschied liegt in der Pwned-Passwords-Funktion von HIBP, die auf dem Prinzip der k-Anonymität beruht. Statt ein Passwort im Klartext oder als vollständigen Hash an den Server zu schicken, hasht der Client das Passwort lokal per SHA-1 und sendet nur die ersten fünf Zeichen des resultierenden Hash-Werts an die API unter api.pwnedpasswords.com/range/. Der Server antwortet mit sämtlichen bekannten Hash-Endungen, die zu diesem fünfstelligen Präfix passen, typischerweise mehrere hundert bis tausend Einträge, inklusive einer Zähler-Angabe, wie oft dieses Passwort in den Quelldaten vorkam. Der Abgleich, ob der eigene vollständige Hash in der Liste steckt, passiert ausschließlich lokal auf dem Client.
Der Vorteil: Der Server sieht niemals das vollständige Passwort und niemals den vollständigen Hash, sondern nur ein Präfix, das auf hunderte andere mögliche Passwörter zutrifft. Für den Betreiber ist damit unmöglich nachzuvollziehen, welches konkrete Passwort geprüft wurde. Diese Architektur hat die Pwned-Passwords-API zum Standardbaustein für Registrierungsformulare gemacht, die schwache oder bereits kompromittierte Passwörter automatisch ablehnen wollen, ganz ohne Datenschutzrisiko für den Nutzer.
Mozilla Monitor, HPI und Uni Bonn bieten keine vergleichbare Passwort-Check-Funktion an. Sie beschränken sich auf den Abgleich von E-Mail-Adressen beziehungsweise Nutzernamen gegen Leck-Datensätze, was technisch simpler, aber auch weniger aussagekräftig für die konkrete Passwortsicherheit ist.
Neben der SHA-1-Variante für gewöhnliche Web-Logins bietet die Pwned-Passwords-API auch einen NTLM-Modus an, der sich an Windows-Umgebungen und Active-Directory-Administratoren richtet. Damit lassen sich unternehmensweite Passwortrichtlinien direkt gegen die HIBP-Datenbank abgleichen, etwa über Zusatztools, die bei jeder Passwortänderung im Active Directory automatisch eine Anfrage an die Range-API stellen und die Änderung ablehnen, sobald der Hash-Präfix einen Treffer liefert. Für Administratoren ist das ein deutlich pragmatischerer Ansatz als jede manuelle Kontrolle, da die Prüfung serverseitig im eigenen Netzwerk läuft und nur das kurze Hash-Präfix nach außen geht.
Spezifikationen im direkten Vergleich
| Merkmal | Have I Been Pwned | Mozilla Monitor | HPI Identity Leak Checker | Uni Bonn Leak-Checker |
|---|---|---|---|---|
| Betreiber | Troy Hunt (HIBP Pty Ltd), Australien | Mozilla Foundation, USA | Hasso-Plattner-Institut, Potsdam | Universität Bonn |
| Start des Dienstes | 2013 | 2018 (als Firefox Monitor) | 2014 | 2014 |
| Indizierte Breaches | 1.032 (Stand Aug. 2026) | nutzt HIBP-Basis + eigene Stealer-Logs | eigene, DACH-fokussierte Sammlung | eigene Sammlung |
| Erfasste Konten gesamt | rund 17,8 Mrd. | keine offizielle Gesamtzahl | keine offizielle Gesamtzahl | keine offizielle Gesamtzahl |
| Ergebnisausgabe | sofort im Browser | Dashboard + E-Mail-Alarm | nur per E-Mail | nur per E-Mail |
| Passwort-Check (k-Anonymität) | ja, Pwned Passwords | nein | nein | nein |
| Öffentliche API | ja, gestaffelt (Pwned 1–4) | nein | nein | nein |
| Automatisches Monitoring | ja, kostenlos | ja, bis 20 Adressen | nein, Einzelabfrage | nein, Einzelabfrage |
| Beliebige Fremdadresse prüfbar | ja | nur für Sofort-Check | nein, nur eigene Adresse | nein, nur eigene Adresse |
| Serverstandort / Rechtsrahmen | Australien, Drittlandtransfer | USA | Deutschland, DSGVO nativ | Deutschland, DSGVO nativ |
| Oberfläche auf Deutsch | Community-Übersetzung | ja | ja | ja |
| Basispreis | 0 € (Einzel-Check + Passwort-API) | 0 € | 0 € | 0 € |
Preise im Vergleich: Was kostet der Datenleck-Check wirklich?
Für Privatpersonen sind alle vier Dienste in der Grundfunktion kostenlos. Interessant wird es erst, sobald Unternehmen, Sicherheitsteams oder Entwickler größere Mengen an Adressen automatisiert überwachen wollen. Hier verlangt ausschließlich HIBP Geld, gestaffelt nach der Anzahl der zu überwachenden Adressen und dem erlaubten API-Anfragevolumen pro Minute.
| Tarif / Dienst | Preis pro Monat | Preis pro Jahr | Max. Adressen / Limit |
|---|---|---|---|
| HIBP Einzel-Suche (Web) | 0 $ | 0 $ | 1 Adresse pro Abfrage |
| HIBP Pwned Passwords API | 0 $ | 0 $ | unlimitiert, kein Rate-Limit |
| HIBP Pwned 1 | 4,50 $ | 45 $ | 25 Adressen, 10 Anfragen/Min. |
| HIBP Pwned 2 | 22 $ | 220 $ | 100 Adressen, 50 Anfragen/Min. |
| HIBP Pwned 3 | 37,50 $ | 375 $ | 500 Adressen, 100 Anfragen/Min. |
| HIBP Pwned 4 | 163 $ | 1.630 $ | unlimitiert, 500 Anfragen/Min. |
| Mozilla Monitor (frei) | 0 € | 0 € | bis zu 20 Adressen |
| Mozilla Monitor Plus | eingestellt seit 17.12.2025 | – | – |
| HPI Identity Leak Checker | 0 € | 0 € | 1 Adresse pro Abfrage |
| Uni Bonn Leak-Checker | 0 € | 0 € | 1 Adresse pro Abfrage |
Wer als Unternehmen die komplette eigene Domain überwachen will, landet bei HIBP schnell im dreistelligen Jahresbudget. Für die allermeisten Privatnutzer reicht dagegen der kostenlose Einzel-Check oder das kostenlose Monitoring von Mozilla Monitor völlig aus, eine Zahlung ist in diesem Vergleich nur für automatisierte Massenabfragen überhaupt nötig.
Die Rate-Limits der einzelnen Tarife sind dabei kein Detail am Rande, sondern entscheiden direkt darüber, wie schnell ein Unternehmen seine komplette Belegschaft prüfen kann. Mit Pwned 1 und seinen 10 Anfragen pro Minute dauert der Abgleich einer mittelgroßen Firma mit mehreren hundert Adressen entsprechend lange, während Pwned 4 mit 500 Anfragen pro Minute auch für große Konzerne praktikabel bleibt. Für die meisten kleinen und mittleren Unternehmen im DACH-Raum dürfte Pwned 2 mit 100 überwachten Adressen und 220 Dollar Jahresgebühr das sinnvollste Verhältnis aus Preis und Abdeckung bieten, sofern man nicht ohnehin unter der kostenlosen Obergrenze von Mozilla Monitor bleibt.
Abdeckung und Aktualität: Was sagen unabhängige Quellen?
Eine strenge, quantitative Benchmark-Studie, die Antwortzeiten, Trefferquote und Falsch-Negativ-Rate aller vier Dienste direkt gegenüberstellt, existiert bislang nicht öffentlich. Trotzdem lassen sich aus drei unabhängigen Quellen belastbare Einschätzungen ableiten. Erstens listet die Präventionsseite der deutschen Polizei unter polizei-beratung.de HIBP, den HPI Identity Leak Checker und Mozilla Monitor gleichrangig als empfohlene Anlaufstellen, betont aber den Unterschied bei der Ergebnisausgabe: HIBP zeigt Treffer sofort im Browser, HPI verschickt sie ausschließlich per Mail.
Zweitens verweist das Bundesamt für Sicherheit in der Informationstechnik (bsi.bund.de) in seiner Identitätsdiebstahl-Beratung explizit auf Identity-Leak-Checker-Angebote und nannte in einer Pressemitteilung zum “Collection #1”-Datensatz konkret HIBP als Prüfmöglichkeit für Bürgerinnen und Bürger. Drittens hat ein deutsches Oberlandesgericht 2025 einen HIBP-Screenshot als ausreichenden Nachweis für eine Datenschutzverletzung in einem zivilrechtlichen DSGVO-Verfahren anerkannt, was die faktische Beweiskraft der HIBP-Daten in Deutschland unterstreicht, auch wenn der Dienst selbst außerhalb der EU sitzt.
Ein wiederkehrender Kritikpunkt an HIBP betrifft die Aktualität: Datensätze zirkulieren oft wochenlang in Untergrund-Foren, bevor Troy Hunt sie verifiziert und in die Datenbank aufnimmt. Ein “kein Treffer”-Ergebnis ist deshalb kein Beweis für Sicherheit, sondern lediglich eine Aussage über bereits verifizierte und öffentlich gewordene Lecks. HPI und Uni Bonn haben mit ihrer kleineren, aber sorgfältig kuratierten Datenbasis ein ähnliches Problem, decken dafür aber teils regionale, deutschsprachige Leaks ab, die bei HIBP nicht auftauchen.
Reale Beispiele: Diese Datenlecks landeten 2025/2026 in den Datenbanken
Wie relevant die Datenbanken tatsächlich sind, zeigt ein Blick auf die zuletzt aufgenommenen Fälle. Im Februar 2025 nahm HIBP den sogenannten ALIEN-TXTBASE-Stealer-Log-Datensatz auf: 23 Milliarden Zeilen Rohdaten, daraus destilliert 284.132.969 eindeutige E-Mail-Adressen sowie 244 Millionen neue und 199 Millionen aktualisierte Passwörter für die Pwned-Passwords-Datenbank.
Im November 2025 folgte der “Synthient Credential Stuffing”-Datensatz mit fast 1,96 Milliarden eindeutigen Konten, kompiliert aus mehreren älteren Breach-Quellen. Im Oktober 2025 kam ein separater Infostealer-Datensatz mit 183 Millionen E-Mail-Adressen hinzu, von denen laut HIBP-eigener Auswertung nur rund 16,4 Millionen tatsächlich neu waren, der Rest überschnitt sich mit bereits vorhandenen Datensätzen.
Im Juni 2026 wurden weitere 56,3 Millionen E-Mail-Adressen und 124 Millionen Passwörter aus frischen Stealer-Logs eingepflegt. Auf der Seite konkreter Firmen-Breaches listet HIBP unter anderem den BreachForums-Vorfall mit 672.200 betroffenen Adressen (Breach im August 2025, aufgenommen im Januar 2026), einen Leak bei Condé Nast/WIRED mit rund 2,3 Millionen Nutzerkonten sowie einen Substack-Datensatz mit 663.100 Adressen. Im Mai 2026 kam ein Charter-Leak mit 4,9 Millionen Adressen samt Namen, Telefonnummern und Anschriften hinzu, zugeordnet der Gruppe ShinyHunters.
Weitere Beispiele runden das Bild ab: Bei der Spionage-App SpyX wurden rund 1,97 Millionen Datensätze sowie 17.000 im Klartext gespeicherte Apple-Zugangsdaten kompromittiert, ein besonders heikler Fall, da die App selbst zur heimlichen Überwachung fremder Geräte gedacht war. Beim Glücksspielanbieter 1Win wurden im Februar 2025 rund 96 Millionen Konten in die HIBP-Datenbank integriert, und beim Kommunikationsdienst RingCentral kamen etwa 1,6 Millionen Adressen samt Namen, Anschriften und Telefonnummern hinzu. Jeder dieser Fälle zeigt, wie unterschiedlich die Quellen sind, von Consumer-Apps über Glücksspielplattformen bis zu Business-Software, und warum ein einzelner Leck-Checker allein nie die komplette Angriffsfläche einer Person abdecken kann.
Diese Beispiele zeigen zweierlei: Erstens wächst die HIBP-Datenbank fast wöchentlich um mehrstellige Millionenbeträge an Adressen. Zweitens stammt ein erheblicher Teil der Daten inzwischen nicht mehr aus klassischen Firmen-Hacks, sondern aus Infostealer-Malware, die Zugangsdaten direkt von infizierten Privatrechnern absaugt, ein Trend, den weder Mozilla Monitor noch die deutschen Checker in vergleichbarem Umfang abbilden.
Stealer-Logs: Warum sich die Leck-Landschaft grundlegend verändert hat
Ein klassischer Firmen-Hack liefert Kriminellen einen sauber strukturierten Datensatz: eine Kundendatenbank mit E-Mail-Adressen, gehashten Passwörtern und manchmal weiteren Feldern wie Adresse oder Geburtsdatum. Ein Stealer-Log sieht ganz anders aus. Infostealer-Malware wie RedLine, Raccoon oder Lumma infiziert einzelne Rechner, meist über gefälschte Software-Cracks, präparierte Anhänge oder bösartige Werbeanzeigen, und liest dort systematisch alle im Browser gespeicherten Zugangsdaten aus, unabhängig davon, zu welchem Dienst sie gehören. Ein einziges infiziertes Gerät kann so gleichzeitig Zugangsdaten für den E-Mail-Account, das Online-Banking, mehrere Shopping-Portale und Social-Media-Konten liefern.
Diese Logs werden anschließend in riesigen Sammlungen zusammengeführt und in einschlägigen Foren gehandelt, oft roh und unstrukturiert, bevor Sicherheitsforscher wie Troy Hunt sie bereinigen, deduplizieren und in eine durchsuchbare Form bringen. Der ALIEN-TXTBASE-Datensatz mit 23 Milliarden Rohzeilen ist ein Beispiel für diese Größenordnung: Aus den Rohdaten mussten erst 284 Millionen eindeutige E-Mail-Adressen destilliert werden, ein Prozess, der Wochen dauern kann. Für Endnutzer bedeutet das: Ein Leck-Treffer sagt heute seltener “Dienst X wurde gehackt” und häufiger “Ihr Gerät war zu einem unbekannten Zeitpunkt mit Malware infiziert”, eine deutlich unangenehmere, aber auch handlungsrelevantere Information, weil sie einen Virenscan und eine komplette Passwort-Erneuerung nahelegt, nicht nur den Wechsel eines einzelnen Kennworts.
DSGVO und Datenschutz: EU-Server gegen Drittlandtransfer
Wer eine E-Mail-Adresse bei HIBP eingibt, schickt diese Adresse an einen australischen Anbieter außerhalb der EU, was rechtlich einen Drittlandtransfer darstellt. Für den reinen Adress-Check ist das Risiko gering, da HIBP laut eigener Dokumentation Suchanfragen nicht dauerhaft mit den Ergebnissen verknüpft speichert. Für den Passwort-Check via Pwned Passwords ist das Risiko durch die k-Anonymitäts-Architektur praktisch vernachlässigbar, da niemals ein vollständiger Hash oder gar ein Klartext-Passwort übertragen wird.
HPI und Uni Bonn positionieren sich bewusst als DSGVO-native Alternative: Beide Institutionen unterliegen direkt deutschem und europäischem Recht, beide verzichten darauf, Ergebnisse im Browser anzuzeigen, um zu verhindern, dass jemand systematisch fremde Adressen ausspioniert. Die Universität Bonn wirbt explizit damit, dass ihr Dienst den Informationsgehalt und Datenschutz gegenüber anderen Checkern verbessere, weil ausschließlich die eigene, per Mail verifizierte Adresse geprüft werden kann. Mozilla Monitor liegt dazwischen: Der Mutterkonzern sitzt in den USA, verarbeitet aber innerhalb eines nach eigenen Angaben datenschutzfreundlichen Rahmens mit klaren Löschfristen für nicht mehr benötigte Broker-Daten, ein Punkt, der nach der Einstellung von Monitor Plus ohnehin an Relevanz verloren hat.
Wie ernst deutsche Gerichte die HIBP-Daten inzwischen nehmen, zeigt ein zivilrechtliches DSGVO-Verfahren aus dem Jahr 2025: Ein Oberlandesgericht akzeptierte einen einfachen HIBP-Screenshot als ausreichenden Anfangsbeweis dafür, dass personenbezogene Daten einer klagenden Partei tatsächlich in einem Datenleck kursierten. Für Betroffene, die Schadensersatzansprüche nach Artikel 82 DSGVO gegen ein Unternehmen nach einem Datenleck geltend machen wollen, ist das ein praktisch relevanter Punkt: Ein Fund bei HIBP kann als erstes Indiz taugen, ersetzt aber keine forensische Aufklärung durch den betroffenen Anbieter selbst. Bei HPI und Uni Bonn liegt bislang keine vergleichbare gerichtliche Bewertung vor, was auch daran liegt, dass beide Dienste naturgemäß seltener öffentlich zitiert werden als der weltweit bekanntere HIBP.
Anwendungsfälle: Welcher Dienst passt zu wem?
Privatnutzer mit einer einzelnen Haupt-E-Mail-Adresse: Ein einmaliger Check auf haveibeenpwned.com reicht aus, ergänzt um eine kostenlose Registrierung für künftige Benachrichtigungen. Der Sofort-Check im Browser ist der schnellste Weg zu einer Antwort.
Firefox-Nutzer, die eine dauerhafte Überwachung wollen: Mozilla Monitor bindet die Warnfunktion direkt in den bestehenden Account ein und deckt bis zu 20 Adressen ab, praktisch für Familien mit mehreren Konten unter einem Dach.
Datenschutzbewusste Nutzer, die keine Adresse an einen US- oder Drittland-Anbieter schicken wollen: Der HPI Identity Leak Checker oder der Uni-Bonn-Checker bleiben komplett innerhalb des deutschen Rechtsrahmens und verschicken Ergebnisse ausschließlich verschlüsselt per Mail an die geprüfte Adresse.
Entwicklerteams, die Registrierungsformulare härten wollen: Die kostenlose Pwned-Passwords-API von HIBP lässt sich direkt in Signup- und Passwort-Änderungs-Flows einbauen, um bekannte, bereits kompromittierte Passwörter automatisch abzulehnen, ganz ohne dass ein Nutzerpasswort das eigene System verlässt.
Unternehmen mit eigener Domain: Wer alle Mitarbeiter-Adressen einer Domain automatisiert überwachen will, kommt an einem der kostenpflichtigen HIBP-Tarife kaum vorbei, da weder Mozilla Monitor noch die deutschen Checker eine Domain-weite API anbieten.
IT-Sicherheitsteams und Incident Responder: Für forensische Auswertungen nach einem vermuteten Vorfall lohnt sich der Abgleich über mehrere Quellen gleichzeitig, HIBP für die globale Abdeckung, HPI oder Uni Bonn für regionale, deutschsprachige Datensätze, die bei HIBP fehlen können.
Eltern, die Kinderkonten mitverwalten: Da Mozilla Monitor bis zu 20 Adressen kostenlos überwacht, lässt sich damit eine ganze Familie inklusive der E-Mail-Adressen von Kindern und Jugendlichen unter einem einzigen Account im Blick behalten, ohne für jede Adresse einzeln manuell nachschauen zu müssen.
Journalistinnen und Sicherheitsforscher: Wer über Datenlecks recherchiert oder Quellen vor Kompromittierung schützen will, profitiert von der Kombination aus HIBP für internationale Datensätze und den deutschen Checkern für lokal begrenzte Vorfälle, da beide Kategorien unterschiedliche Ausschnitte derselben kriminellen Infrastruktur abdecken.
Migrationsanleitung: Vom Einzel-Check zur systematischen Überwachung
Wer bislang nur gelegentlich manuell auf haveibeenpwned.com nachgeschaut hat, kann den eigenen Schutz mit wenigen Schritten deutlich systematisieren, ohne dafür zu bezahlen.
- Alle privat und beruflich genutzten E-Mail-Hauptadressen auflisten, typischerweise zwei bis fünf Adressen pro Haushalt.
- Jede Adresse einmalig auf haveibeenpwned.com prüfen und die Trefferliste dokumentieren, um eine Ausgangsbasis zu haben.
- Für jede Adresse die kostenlose Benachrichtigungsfunktion “Notify me” bei HIBP aktivieren.
- Parallel ein Mozilla-Konto anlegen und bis zu 20 Adressen für die automatische Monitor-Warnung hinterlegen, das deckt mehrere Familienmitglieder gleichzeitig ab.
- Für besonders sensible Adressen zusätzlich einmalig den HPI Identity Leak Checker oder den Uni-Bonn-Checker nutzen, da diese teils andere, deutschsprachige Datensätze abdecken.
- Bei jedem Treffer sofort das betroffene Passwort ändern und, falls dasselbe Passwort auch anderswo verwendet wurde, dort ebenfalls austauschen.
- Einen Passwort-Manager einführen, der bei der Passwortvergabe automatisch gegen die Pwned-Passwords-Datenbank prüft, viele moderne Manager bringen diese Prüfung bereits mit.
- Zweite-Faktor-Authentifizierung für alle Konten aktivieren, bei denen ein Treffer aufgetreten ist, damit ein gestohlenes Passwort allein nicht mehr für einen Zugriff reicht.
- Den Check alle drei bis sechs Monate wiederholen, auch wenn die Monitoring-Funktionen laufen, da neue, noch nicht indizierte Lecks erst mit Verzögerung sichtbar werden.
Für Entwicklerteams, die von manuellen Checks auf eine automatisierte API-Integration umstellen wollen, empfiehlt sich der Einstieg über die kostenlose Pwned-Passwords-API im Registrierungsformular, bevor in einem zweiten Schritt ein kostenpflichtiger Pwned-1- oder Pwned-2-Tarif für die Domain-Überwachung der Firmenadressen dazukommt.
Vor- und Nachteile im Überblick
Have I Been Pwned
Vorteile: größte Datenbasis, sofortiges Browser-Ergebnis, kostenlose und unlimitierte Passwort-API mit k-Anonymität, breite Anerkennung bis hin zu deutschen Gerichten und Behörden.
Nachteile: Serverstandort außerhalb der EU, Domain-weite Überwachung kostenpflichtig, keine automatische Löschfunktion für angezeigte historische Suchanfragen im selben Umfang wie bei den deutschen Diensten.
Mozilla Monitor
Vorteile: nahtlose Integration in bestehende Firefox-/Mozilla-Konten, kostenlose Überwachung von bis zu 20 Adressen, deutschsprachige Oberfläche, aktiv gepflegt mit Updates bis August 2026.
Nachteile: keine offene API, keine Passwort-Check-Funktion, Zusatzdienst Monitor Plus wurde eingestellt, was frühere Erwartungen an weiterführende Schutzfunktionen enttäuscht.
HPI Identity Leak Checker und Uni Bonn Leak-Checker
Vorteile: vollständig deutschem Recht unterstellt, Ergebnis ausschließlich an die geprüfte Adresse selbst, kein Ausspähen fremder Adressen möglich, von BSI und Polizei empfohlen.
Nachteile: kein Sofort-Ergebnis im Browser, keine automatische Überwachungsfunktion, kleinere Datenbasis ohne die großen internationalen Stealer-Log-Datensätze, keine API für Entwickler.
Typische Fehler nach einer Leck-Warnung
Ein Treffer in einem Datenleck-Checker löst bei vielen Nutzern zunächst Panik aus, führt aber häufig zu den falschen Reaktionen. Der häufigste Fehler: Nur das eine Passwort ändern, das zum betroffenen Dienst gehört, während dasselbe Passwort bei drei weiteren Konten weiterverwendet wird. Gerade bei Stealer-Log-Treffern ist das riskant, weil die Malware in der Regel ohnehin alle gespeicherten Zugangsdaten des Geräts erfasst hat, nicht nur die eines einzelnen Dienstes.
Ein zweiter verbreiteter Fehler ist, einen fehlenden Treffer als Entwarnung zu werten und danach keine weiteren Vorsichtsmaßnahmen zu ergreifen. Wie im Abschnitt zur Aktualität beschrieben, bilden HIBP, Mozilla Monitor, HPI und Uni Bonn nur bereits verifizierte, öffentlich gewordene Lecks ab. Ein frisch gestohlener, noch nicht weiterverkaufter Datensatz taucht dort schlicht noch nicht auf. Sicherheitsteams empfehlen deshalb, Leck-Checks als eine von mehreren Schutzschichten zu behandeln, ergänzt um Zwei-Faktor-Authentifizierung, einzigartige Passwörter pro Dienst und aktuelle Virenschutz-Software, statt sich allein auf ein “kein Treffer”-Ergebnis zu verlassen.
Ein dritter Fehler betrifft den Umgang mit E-Mail-Benachrichtigungen selbst: Kriminelle fälschen zunehmend Warn-Mails, die aussehen, als kämen sie von HIBP oder Mozilla Monitor, um Empfänger auf Phishing-Seiten zu locken. Echte Benachrichtigungen von HIBP und Mozilla Monitor enthalten niemals einen Link, der direkt zur Passworteingabe auffordert, sondern verweisen auf die offizielle Domain, die man manuell im Browser aufrufen sollte, statt auf einen Link in der Mail zu klicken.
Das Urteil: Welcher Datenleck-Checker gewinnt?
Ein einzelner Gewinner lässt sich bei diesem Vergleich nicht küren, weil die vier Dienste unterschiedliche Probleme lösen. Für die reine Frage “Bin ich in einem Datenleck?” bietet Have I Been Pwned mit 17,8 Milliarden erfassten Konten schlicht die größte Trefferwahrscheinlichkeit und ist mit einem Sofortergebnis im Browser am schnellsten. Für Entwickler, die Passwort-Hygiene technisch durchsetzen wollen, führt an der kostenlosen, k-anonymen Pwned-Passwords-API kein Weg vorbei, eine Funktion, die weder Mozilla Monitor noch die deutschen Checker anbieten.
Wer dagegen Wert auf durchgehende DSGVO-Konformität und einen deutschen Serverstandort legt, ist mit dem HPI Identity Leak Checker oder dem Uni-Bonn-Checker besser bedient, muss dafür aber auf Komfortfunktionen wie automatische Monitoring-Alarme verzichten. Mozilla Monitor schließlich ist der pragmatische Mittelweg für alle, die bereits im Firefox-Ökosystem unterwegs sind und eine kostenlose, dauerhafte Überwachung mehrerer Adressen ohne zusätzliche Kontoeinrichtung wollen. Die realistischste Empfehlung für die meisten DACH-Nutzer: HIBP für den schnellen Check und die Passwort-API, Mozilla Monitor oder HPI ergänzend für die laufende Überwachung, je nachdem, welcher Rechtsrahmen einem wichtiger ist.
In Zahlen zusammengefasst: 17,8 Milliarden erfasste Konten bei HIBP gegen null veröffentlichte Gesamtzahlen bei den drei Alternativen, 0 Euro Grundkosten bei allen vieren, aber bis zu 163 Dollar monatlich bei HIBP für Unternehmens-Domains, und ein einziger Anbieter mit kryptografisch anonymisiertem Passwort-Check. Diese Kennzahlen erklären, warum HIBP trotz Sitz außerhalb der EU von deutschen Behörden, Gerichten und der Polizei gleichermaßen als Referenz akzeptiert wird, während die deutschen Checker ihre Nische im besonders datenschutzsensiblen Privatgebrauch behaupten. Für ein rundum abgesichertes Setup lohnt sich am Ende ohnehin die Kombination mehrerer Dienste statt die Festlegung auf einen einzigen Anbieter.
Häufig gestellte Fragen
Ist Have I Been Pwned wirklich kostenlos?
Ja, die Einzelsuche im Browser und die Pwned-Passwords-API sind vollständig kostenlos und unlimitiert. Kostenpflichtig sind ausschließlich die Pwned-1-bis-4-Tarife für die automatisierte Domain-weite Überwachung mehrerer Adressen, mit Preisen zwischen 4,50 und 163 US-Dollar pro Monat.
Was ist aus Firefox Monitor geworden?
Firefox Monitor wurde in Mozilla Monitor umbenannt und ist unter monitor.mozilla.org erreichbar. Die kostenlose Kernfunktion, Leck-Check und Überwachung von bis zu 20 Adressen, besteht unverändert weiter. Die kostenpflichtige Zusatzstufe Monitor Plus mit Datenbroker-Löschung wurde zum 17. Dezember 2025 eingestellt.
Warum zeigt HIBP keinen Treffer, obwohl ich sicher bin, dass meine Daten geleakt wurden?
HIBP indiziert nur Datensätze, die Troy Hunt verifizieren konnte und die öffentlich oder in relevanten Untergrund-Kreisen zirkulieren. Neue Lecks tauchen oft erst mit Wochen Verzögerung auf, ein fehlender Treffer ist daher keine Garantie für Sicherheit, sondern nur eine Aussage über bereits bekannte, verifizierte Lecks.
Ist es sicher, meine E-Mail-Adresse bei einem australischen Dienst wie HIBP einzugeben?
Für den reinen Adress-Check ist das Risiko gering, da HIBP nach eigener Dokumentation keine dauerhafte Verknüpfung von Suchanfrage und Ergebnis speichert. Wer dennoch keine Adresse an einen Anbieter außerhalb der EU schicken möchte, kann stattdessen den HPI Identity Leak Checker oder den Uni-Bonn-Checker nutzen, die beide vollständig der DSGVO unterliegen.
Was ist der Unterschied zwischen einem E-Mail-Check und einem Passwort-Check?
Ein E-Mail-Check prüft, ob eine Adresse in einem bekannten Leck auftaucht, sagt aber nichts über die Sicherheit des aktuell genutzten Passworts aus. Ein Passwort-Check über die Pwned-Passwords-API von HIBP prüft dagegen, ob ein konkretes Passwort bereits in einem Leck aufgetaucht ist, unabhängig davon, zu welcher E-Mail-Adresse es gehörte.
Warum verschicken HPI und Uni Bonn ihre Ergebnisse nur per E-Mail?
Damit verhindern beide Institutionen, dass jemand systematisch fremde E-Mail-Adressen abfragt und so persönliche Informationen über andere Personen sammelt. Nur wer tatsächlich Zugriff auf das Postfach der geprüften Adresse hat, sieht das Ergebnis, ein bewusster Datenschutz-Kompromiss gegenüber dem sofortigen Browser-Ergebnis von HIBP.
Kann ich mit HIBP auch Telefonnummern prüfen?
Ja, HIBP unterstützt neben E-Mail-Adressen auch die Suche nach Telefonnummern, allerdings ist die Abdeckung für Rufnummern deutlich geringer als für E-Mail-Adressen, da die meisten indizierten Breaches primär E-Mail-basierte Zugangsdaten enthalten.
Lohnt sich ein kostenpflichtiger HIBP-Tarif für Privatpersonen?
In der Regel nein. Die Pwned-1-bis-4-Tarife richten sich an Unternehmen, die eine ganze Domain mit mehreren Mitarbeiter-Adressen automatisiert überwachen wollen. Für einzelne Privatadressen reichen die kostenlose Suche und die kostenlose Benachrichtigungsfunktion vollständig aus.
Können Unternehmen mehrere Datenleck-Checker gleichzeitig einsetzen?
Ja, viele Sicherheitsteams kombinieren HIBP für die automatisierte Domain-Überwachung mit der Pwned-Passwords-API für die Passwortrichtlinie im Active Directory und nutzen zusätzlich HPI oder Uni Bonn stichprobenartig für deutschsprachige Mitarbeiteradressen, um blinde Flecken einzelner Datenquellen auszugleichen.
Was tue ich konkret, wenn mein Passwort in einem Leck auftaucht?
Zuerst das betroffene Passwort beim jeweiligen Dienst sofort ändern, dann prüfen, ob dasselbe Passwort auch bei anderen Konten verwendet wurde, und es dort ebenfalls austauschen. Anschließend Zwei-Faktor-Authentifizierung aktivieren, sofern noch nicht geschehen, und bei Stealer-Log-Treffern zusätzlich einen vollständigen Virenscan des genutzten Geräts durchführen, da die Ursache meist eine Infektion und kein reiner Firmen-Hack ist.
Gibt es eigene Anlaufstellen für Österreich und die Schweiz?
Auch wenn HIBP, Mozilla Monitor, HPI und Uni Bonn länderübergreifend nutzbar sind, gibt es in Österreich und der Schweiz eigene Anlaufstellen für Beratung nach einem Datenleck. Der österreichische Verein Watchlist Internet, erreichbar unter watchlist-internet.at, informiert regelmäßig über aktuelle Betrugsmaschen im Zusammenhang mit gestohlenen Zugangsdaten. Das Schweizer Nationale Zentrum für Cybersicherheit (NCSC), zu finden unter ncsc.admin.ch, veröffentlicht ähnlich wie das deutsche BSI Warnungen und Handlungsempfehlungen für Bürgerinnen und Bürger, die von einem Datenleck betroffen sind. Die eigentliche technische Prüfung läuft aber auch dort in der Regel über dieselben vier Dienste aus diesem Vergleich.
Bleibt ein einmal geleaktes Passwort für immer als kompromittiert markiert?
Ja, ein Passwort, das einmal in einem Leck aufgetaucht ist, bleibt dauerhaft in der Pwned-Passwords-Datenbank gespeichert und gilt als kompromittiert, unabhängig davon, ob es zwischenzeitlich geändert wurde. Das ist beabsichtigt: Die Datenbank prüft nicht, ob ein bestimmtes Konto aktuell noch dieses Passwort nutzt, sondern nur, ob die Zeichenfolge selbst jemals in einem bekannten Leck vorkam. Deshalb raten Sicherheitsforscher grundsätzlich davon ab, ein einmal geleaktes Passwort für irgendein Konto erneut zu verwenden, selbst wenn es ursprünglich zu einem längst geänderten Zugang gehörte.
