Passwort ändern nach einem Datenleck: Was das BSI empfiehlt

Wenn Ihre Zugangsdaten in einem Datenleck aufgetaucht sein könnten, stellt sich die Frage, ob und wie Sie Ihre Passwörter ändern sollten. Dieser Beitrag fasst zusammen, was das Bundesamt für Sicherheit in der Informationstechnik (BSI) dazu auf drei seiner Seiten schreibt.

Regelmäßig ändern oder nur bei Anlass?

Das BSI nennt den Ratschlag, Passwörter vorsorglich regelmäßig zu ändern, überholt. Seine Begründung: Regelmäßige, anlassunabhängige Passwortwechsel führen erfahrungsgemäß dazu, dass zunehmend schwächere Passwörter genutzt werden. Solche Wechsel sollten auch von Dritten, etwa von Arbeitgeberinnen und Arbeitgebern, weder gefordert noch technisch erzwungen werden.

Besteht kein begründeter Verdacht, empfiehlt das BSI stattdessen, die Zwei-Faktor-Authentisierung zu aktivieren oder gleich auf Passkeys umzusteigen.

Wann ein Passwort geändert werden sollte

Anders ist es bei einem konkreten Anlass. Laut BSI sollte ein Passwort auf jeden Fall geändert werden, wenn es einen Hinweis darauf gibt, dass es in die Hände unbefugter Dritter gelangt ist. Als Beispiele nennt das BSI:

• die direkte Aufforderung eines Diensteanbieters, das Passwort zu ändern
• die Nachricht, dass Passwörter eines Dienstleisters gestohlen wurden und im Internet aufgetaucht sind
• eine Spam- oder Phishing-E-Mail, in der korrekte persönliche Daten genutzt werden

Auch bei einem Verdacht, dass ein Passwort in einem Datenleck enthalten war, sollte es geändert werden. Weitere mögliche Anzeichen für einen Fremdzugriff sind veränderte Einstellungen oder E-Mails, die Sie nicht selbst verschickt haben.

Das BSI erklärt außerdem, warum das Tempo eine Rolle spielt: Zugangsdaten, die Cyber-Kriminelle erbeutet haben, werden oft im Internet veröffentlicht oder zum Kauf angeboten. Je länger sie nicht geändert werden, desto mehr Dritte können sie für ihre Zwecke nutzen.

Womit Sie beginnen sollten

Das BSI rät, den Accountschutz beim E-Mail-Konto zu überprüfen. Darüber lassen sich oft die Anmeldeverfahren bei anderen Konten zurücksetzen, etwa bei Social-Media-Accounts. Wer unbefugten Zugriff auf das E-Mail-Konto erlangt, dem stehen daher mitunter weitere Konten offen. Außerdem können Betrügende per E-Mail glaubwürdig mit engen Kontakten der betroffenen Person kommunizieren.

Für ein gehacktes E-Mail-Konto, auf das Sie noch zugreifen können, nennt das BSI in seinem Notfallplan diese Schritte:

• Ändern Sie Ihre Passwörter schnellstmöglich und verwenden Sie dabei unterschiedliche, starke Passwörter. Gehen Sie in einem Zug vor, damit Unbefugte Ihnen nicht zuvorkommen.
• Beginnen Sie mit den Login-Daten des betroffenen E-Mail-Kontos.
• Beenden Sie alle aktiven Sitzungen, damit auf jedem Gerät das neue Passwort eingegeben werden muss.
• Ändern Sie die Passwörter aller weiteren Konten, die dasselbe Passwort nutzen oder bei denen die betroffene E-Mail-Adresse zum Zurücksetzen hinterlegt ist.
• Kontrollieren Sie, ob Einstellungen verändert wurden, etwa automatische Weiterleitungen an fremde Adressen.
• Informieren Sie Ihre Kontakte.

Können Sie sich gar nicht mehr einloggen, empfiehlt das BSI, zuerst den Anbieter des Kontos zu informieren und dessen Hinweisen zu folgen.

Erst das Gerät bereinigen, dann das Passwort ändern

Ist Ihr Gerät mit einem Schadprogramm infiziert, ist das laut BSI ebenfalls ein Grund, Passwörter zu ändern. Manche Varianten zeichnen Zugangsdaten auf und übermitteln sie an Dritte. Deshalb muss zunächst das Gerät bereinigt werden. Erst danach sollten die Passwörter geändert und Logins wieder über das betroffene Gerät durchgeführt werden.

Ein eigenes, starkes Passwort pro Konto

Das BSI rät davon ab, ein Passwort für mehrere Konten zu verwenden, auch wenn es stark ist. Gerät das Passwort eines einzelnen Dienstes in falsche Hände, hat der Angreifer freie Bahn für alle weiteren Konten mit dem gleichen Passwort, denn er kann automatisiert durchtesten, wo es ebenfalls verwendet wird. Wichtige Passwörter, etwa für das private E-Mail-Konto, soziale Netzwerke oder häufig genutzte Online-Shops, sollten immer individuell und stark sein.

Wer viele Konten hat, für den empfiehlt das BSI einen Passwort-Manager. Er kann starke Passwörter erzeugen, und Sie müssen sich nur noch ein gutes Masterpasswort merken. Wenn Sie Passwörter notieren möchten, sollten Sie sie unter Verschluss halten oder in einer verschlüsselten Datei ablegen. Passwörter sollten nicht per E-Mail verschickt werden.

Zwei-Faktor-Authentisierung und Passkeys

Auch ein starkes Passwort bietet laut BSI allein keinen ausreichenden Schutz, denn Passwörter können etwa durch ein Datenleck oder einen Phishing-Angriff in falsche Hände geraten. Die Zwei-Faktor-Authentisierung wirkt wie ein zweites Sicherheitsschloss: Zusätzlich zum Passwort geben Sie einen Code ein, den zum Beispiel eine Authentifizierungs-App auf Ihrem Smartphone erzeugt. So wird es für Angreifende deutlich schwieriger, auf ein Konto zuzugreifen, selbst wenn sie das Passwort kennen.

Passkeys beschreibt das BSI als sichere Alternative zu Passwörtern. Statt ein Passwort einzugeben, nutzen Sie etwa Fingerabdruck, Gesichtserkennung oder eine PIN auf Ihrem Gerät. Weil kein Passwort mehr eingegeben wird, kann bei einem Phishing-Angriff oder Datenleck auch keines abgegriffen werden. Bietet ein Dienst weder Zwei-Faktor-Authentisierung noch Passkeys an, kann es sich laut BSI lohnen, nach Alternativen mit besserem Schutz zu suchen.

Prüfen, ob Zugangsdaten bekannt wurden

Das BSI nennt Portale, auf denen sich prüfen lässt, ob persönliche Zugangsdaten in einem bekannt gewordenen Datensatz enthalten sind. Ein deutschsprachiges Angebot ist der Identity Leak Checker des Hasso-Plattner-Instituts, ein internationaler Anbieter ist haveibeenpwned.com.

Das BSI weist auf Grenzen hin. Es kann keine Aussage zur Qualität und Aktualität der Daten treffen. Die Datenbanken gleichen in der Regel nur die E-Mail-Adresse ab. Eine Rückmeldung kann sich daher auf jedes Konto beziehen, bei dem diese Adresse zur Anmeldung genutzt wird, eine direkte Zuordnung ist nicht möglich.

Auch die kostenlose Analyse von Remove Me durchsucht bekannte öffentliche Datenlecks (über Have I Been Pwned), öffentlich sichtbare Webergebnisse und ein Register von Datenhändlern, ohne dass Sie ein Konto anlegen müssen. Der Bericht wird mit einem sechsstelligen Code freigeschaltet, den Remove Me per E-Mail sendet.