Fast 2 Milliarden E-Mail-Adressen: Größter Datensatz in der Geschichte von „Have I Been Pwned“

Am 5. November 2025 hat die Sicherheitsplattform „Have I Been Pwned“ (HIBP) rund 1,96 Milliarden E-Mail-Adressen (genau 1.957.476.021) und 1,3 Milliarden Passwörter aufgenommen. Sie stammen nicht aus einem einzelnen Leck, sondern aus Credential-Stuffing-Listen, die Kriminelle an zahlreichen Stellen veröffentlicht hatten und die das Unternehmen Synthient zusammengetragen und HIBP zur Benachrichtigung der Betroffenen übergeben hat. Nach Angaben von HIBP-Betreiber Troy Hunt ist dies der mit Abstand größte Datensatz, den die Plattform je verarbeitet hat, fast dreimal so groß wie der bisher größte.

Besonders alarmierend: etwa 625 Millionen der Passwörter waren in der HIBP-Datenbank bislang nicht bekannt. Diese Dimension verdeutlicht die Dringlichkeit für Unternehmen und Privatpersonen, ihre digitalen Konten auf kompromittierte Zugangsdaten zu prüfen.

Die Daten wurden mit dem bestehenden HIBP-Bestand von rund 15 Milliarden Datensätzen aus früheren Lecks abgeglichen. Die Veröffentlichung durch den australischen Sicherheitsexperten Troy Hunt dient als Warnsignal: Zugangsdaten aus alten Lecks werden gesammelt, kombiniert und immer wieder für Angriffe genutzt.

Was heißt das konkret für Unternehmen und Mitarbeitende?

• Wenn Ihre geschäftliche oder private E-Mail-Adresse in dieser Liste enthalten ist, besteht das Risiko, dass Zugangsdaten oder andere persönliche Daten kompromittiert sind.
• Dies eröffnet Angreifern Chancen für sogenannte Credential-Stuffing-Angriffe (Wiederverwendung abgegriffener Zugangsdaten auf anderen Systemen).
• Unternehmen sollten ihre Prozesse zur Überwachung und zum Management von Zugangsdaten, zur Multi-Faktor-Authentifizierung (MFA) und zur Sensibilisierung von Mitarbeitenden evaluieren und ggf. intensivieren.
• Betroffene Konten sollten umgehend ein neues, einzigartiges Passwort erhalten, idealerweise mit MFA oder Passkey abgesichert. Regelmäßige Pflichtwechsel ohne Anlass empfehlen BSI und NIST dagegen nicht mehr.
• Zeigt sich ein tatsächlicher Missbrauch betrieblicher Konten, ist zu prüfen, ob eine Meldepflicht besteht (Art. 33 DSGVO, für NIS2-Einrichtungen zusätzlich § 32 BSIG).

Mehr zu Alternativen zum Passwort lesen Sie in unserem Beitrag „Passwort war gestern – Moderne Identitätsstrategien für mehr Sicherheit“.

Prüf- und Monitoring-Portale

Im Folgenden finden Sie eine nicht abschließende Auswahl von Websites, über die sowohl Privatpersonen als auch Unternehmen prüfen können, ob E-Mail-Adressen oder Zugangsdaten in bekannten Datenlecks enthalten sind. Nicht kommerziell betrieben bzw. von unabhängigen Stellen angeboten werden:

• „Have I Been Pwned“ (HIBP): verbreitetes Portal zur Überprüfung von E-Mail-Adressen auf Datenlecks. https://haveibeenpwned.com
• HPI Identity Leak Checker des Hasso-Plattner-Instituts. https://sec.hpi.de/ilc/search?lang=de
• Mozilla Monitor: Gratis-Checks und Benachrichtigungen, wenn Daten in Lecks gefunden werden. https://monitor.mozilla.org/

Daneben bieten kommerzielle Sicherheitsanbieter eigene Prüfdienste an, teils als Einstieg in kostenpflichtige Produkte:

• Avast Hack Check. https://www.avast.com/en-us/hackcheck
• Norton Data Breach Checker. https://uk.norton.com/breach-detection
• F-Secure Identity Theft Checker. https://www.f-secure.com/us-en/identity-theft-checker
• Surfshark Data Leak Checker. https://surfshark.com/alert/data-leak-checker
• RoboForm Data Breach Checker. https://www.roboform.com/have-i-been-hacked
• DataBreach.com. https://databreach.com/

Wichtig: Geben Sie Passwörter nie in Prüfportale ein, die nicht nachvollziehbar nach dem k-Anonymity-Verfahren arbeiten (wie die Passwortprüfung „Pwned Passwords“ von HIBP). Für eine reine E-Mail-Prüfung genügt die Adresse.

Fazit und Empfehlung

Die Aufnahme von fast 2 Milliarden E-Mail-Adressen in einem einzigen Datensatz zeigt deutlich, dass keine Organisation und keine Person völlig ausgenommen ist. Unternehmen sollten diese Entwicklung als Anlass nehmen, systematisch ihre Sicherheits-, Zugangs- und Monitoring-Prozesse auf den Prüfstand zu stellen. Die genannten Portale bieten schnelle Einstiegsmöglichkeiten zur Risikoüberprüfung, ersetzen aber keine ganzheitliche Strategie zur Zugangsdaten-Sicherheit und Cyber-Resilienz.