Kompromittiert: Was bedeutet das?
Kompromittiert bedeutet in der IT: Ein Passwort, Konto, Gerät oder System ist in fremde Hände geraten oder nicht mehr vertrauenswürdig. Hier erfährst du, was dahintersteckt, woran du es erkennst und was du sofort tun solltest.
Kompromittiert heißt: Etwas ist nicht mehr sicher, weil Unbefugte Zugriff darauf haben oder hatten. In der IT sagt man das über Passwörter, Konten, Geräte oder ganze Systeme. Ein kompromittiertes Passwort kennt also nicht mehr nur du, sondern auch jemand anderes, zum Beispiel weil es bei einem Datenleck gestohlen wurde.
Was bedeutet „kompromittieren“?
Das Wort kommt vom lateinischen „compromittere“ und bedeutet ursprünglich „bloßstellen“ oder „in eine schwierige Lage bringen“. Im Alltag sagt man etwa: „Mit dieser Aussage hat er sich kompromittiert.“ In der Computersicherheit hat sich die Bedeutung verschoben: Kompromittieren heißt, die Sicherheit von etwas zu brechen. Die Kompromittierung ist das Ergebnis davon, also der Zustand, in dem ein Passwort, ein Konto oder ein Gerät nicht mehr vertrauenswürdig ist.
Kurz gesagt
Kompromittiert = jemand Fremdes hat Zugriff. Kompromittieren = diesen Zugriff herstellen. Kompromittierung = der Vorfall selbst.
Was alles kompromittiert sein kann
- Passwort: Es ist bei einem Datenleck aufgetaucht, erraten oder per Phishing abgegriffen worden.
- Konto: Jemand hat sich mit deinen Zugangsdaten angemeldet, etwa bei E-Mail, Amazon, PayPal oder Online-Banking.
- E-Mail-Adresse: Sie steht samt Passwort in gestohlenen Datensätzen und wird für Spam, Phishing oder Anmeldeversuche benutzt.
- Gerät: Auf Computer oder Smartphone läuft Schadsoftware, die mitliest oder fernsteuert.
- Website oder Server: Angreifer haben sich Zugang verschafft und können Inhalte verändern oder Besucherdaten abgreifen.
- Daten: Vertrauliche Informationen wie Adressen, Bankdaten oder Ausweiskopien sind in fremde Hände geraten.
Kompromittiertes Passwort: Was heißt das konkret?
Fast jede Woche werden Datenbanken von Online-Diensten gestohlen und im Internet gehandelt. Darin stehen E-Mail-Adressen und Passwörter von Millionen Nutzern. Ist dein Passwort darunter, gilt es als kompromittiert, selbst wenn noch niemand damit in dein Konto eingebrochen ist. Besonders gefährlich wird es, wenn du dasselbe Passwort bei mehreren Diensten benutzt: Angreifer probieren gestohlene Zugangsdaten automatisch bei hunderten anderen Seiten aus.
Mit dem Passwort-Leak-Check kannst du anonym prüfen, ob ein Passwort in bekannten Datenlecks vorkommt. Das Passwort selbst wird dabei nicht übertragen, nur ein kleiner Teil seines Prüfwerts.
Passwort-Leak-Check
Prüfe, ob dein Passwort oder deine E-Mail in Datenlecks aufgetaucht ist
Dein Passwort verlässt nie deinen Browser
Wir senden nur die ersten 5 Zeichen eines Hashes (k-Anonymity). Weder wir noch jemand anderes kann dein Passwort sehen.
Wie funktioniert die Passwort-Prüfung?
- 1
Passwort wird gehasht
Dein Passwort wird in deinem Browser in einen SHA-1-Hash umgewandelt (z. B. „5BAA61E4…“).
- 2
Nur 5 Zeichen werden gesendet
Nur die ersten 5 Zeichen des Hashes gehen an die Datenbank. Daraus lässt sich das Passwort nicht zurückrechnen.
- 3
Vergleich in deinem Browser
Die Datenbank schickt alle Hashes mit diesem Anfang zurück. Ob deiner dabei ist, prüft dein Browser – nicht unser Server.
Die Datenbank von Have I Been Pwned enthält über 700 Millionen geleakte Passwörter aus echten Datenlecks.
Browser-Meldung „Passwort kompromittiert“
Chrome, Safari, Firefox und Passwort-Manager warnen inzwischen selbst, wenn ein gespeichertes Passwort in einem Datenleck aufgetaucht ist. Diese Warnung erscheint direkt in den Einstellungen des Browsers und ist echt. Kommt die gleiche Warnung dagegen per E-Mail oder SMS mit einem Link, ist es fast immer Phishing.
Woran du merkst, dass ein Konto kompromittiert ist
- Du bekommst Hinweise auf Anmeldungen von unbekannten Geräten oder Orten.
- Dein Passwort funktioniert plötzlich nicht mehr, obwohl du es nicht geändert hast.
- Freunde oder Kollegen erhalten Nachrichten von dir, die du nie geschrieben hast.
- Im Postfach tauchen Bestätigungen für Bestellungen, Passwortänderungen oder neue Geräte auf, die du nicht ausgelöst hast.
- E-Mails sind gelesen, verschoben oder gelöscht, ohne dass du es warst.
- Es wurden Weiterleitungsregeln oder neue Wiederherstellungsadressen eingerichtet, die du nicht kennst.
Was tun, wenn etwas kompromittiert wurde?
- Zuerst das E-Mail-Konto sichern: Passwort ändern und Zwei-Faktor-Authentifizierung aktivieren. Über die E-Mail lassen sich sonst alle anderen Passwörter zurücksetzen.
- Das kompromittierte Passwort überall ändern, wo du es ebenfalls benutzt hast. Jeder Dienst bekommt ein eigenes, neues Passwort.
- Alle aktiven Sitzungen und unbekannten Geräte in den Kontoeinstellungen abmelden.
- Weiterleitungen, Wiederherstellungsadressen und verknüpfte Apps prüfen und Fremdes entfernen.
- Bank und Zahlungsdienste informieren, wenn Zahlungsdaten betroffen sind, und Kontoauszüge im Blick behalten.
- Bei einem kompromittierten Gerät: Virenscan durchführen, im Zweifel das Gerät neu aufsetzen und erst danach Passwörter ändern.
Vorbeugen ist einfacher als aufräumen
Ein Passwort-Manager, für jeden Dienst ein eigenes Passwort und die Zwei-Faktor-Authentifizierung bei den wichtigsten Konten machen aus einem Datenleck ein Ärgernis statt einer Katastrophe.
Häufige Fragen
Gehackt meint den aktiven Einbruch, bei dem jemand gezielt in ein Konto oder System eindringt. Kompromittiert ist der weitere Begriff: Auch ein Passwort, das nur in einem Datenleck aufgetaucht ist, gilt als kompromittiert, obwohl noch niemand es benutzt hat. Jedes gehackte Konto ist kompromittiert, aber nicht jedes kompromittierte Passwort wurde schon für einen Hack genutzt.
Ja, und zwar sofort. Gestohlene Zugangsdaten werden oft erst Monate später benutzt oder weiterverkauft. Solange das Passwort gilt, bleibt die Tür offen.
Browser und Passwort-Manager gleichen gespeicherte Passwörter anonymisiert mit Listen bekannter Datenlecks ab. Dafür wird nur ein kurzer Teil eines Prüfwerts übertragen, nicht das Passwort selbst. Die Warnung bedeutet also: Dieses Passwort steht in einer öffentlich bekannten Leck-Datenbank.
Die Adresse ist zusammen mit weiteren Daten in einem Datenleck aufgetaucht. Allein die Adresse zu kennen reicht Angreifern nicht für einen Zugriff, aber sie wird für gezielte Phishing-Mails und Anmeldeversuche mit geleakten Passwörtern benutzt. Prüfe deshalb, ob das zugehörige Passwort ebenfalls betroffen ist.