Have I Been Pwned (HIBP) ist einer der am weitesten verbreiteten Tools in der Cybersecurity. Erstellt vom Sicherheitsforscher Troy Hunt, lässt es jeden überprüfen, ob seine E-Mail-Adresse in einer bekannten Datenverletzung vorgekommen ist — kostenlos.

Für Einzelpersonen, die persönliche Konten überprüfen, ist es wirklich nützlich.

Für Unternehmen, die ihre Mitarbeiter, Kunden und Operationen schützen möchten? Es ist ein Startpunkt — aber ein gefährlich unvollständiger.

Dieser Leitfaden erklärt, was HIBP abdeckt, wo es für geschäftliche Nutzung fehlt und was Organisationen wirklich brauchen, um ihre Dark-Web-Exposition effektiv zu überwachen.

Was Have I Been Pwned tatsächlich macht

HIBP ist eine durchsuchbare Datenbank öffentlich offengelegter Datenverletzungen. Wenn eine große Verletzung auftritt — LinkedIn 2016, RockYou2021, Adobe, Dropbox und tausende andere — und diese Daten schließlich öffentlich werden, führt Troys Hunts Team sie in die HIBP-Datenbank ein.

Du gibst eine E-Mail-Adresse ein und HIBP sagt dir, in welchen bekannten Verletzungen diese E-Mail vorgekommen ist und welche Art von Daten exponiert wurde (Passwörter, Telefonnummern, Adressen usw.).

HIBP für Unternehmen (über die bezahlte Benachrichtigungs-API oder Domain-Suchfunktion) erstreckt sich auf ganze Domains — du kannst überprüfen, wie viele Mitarbeiter-E-Mail-Adressen in deinem Unternehmen in bekannten Verletzungen vorkommen.

Das ist wirklich nützliche Basis-Intelligenz. Das Problem ist, was es nicht abdeckt.

Wo HIBP für geschäftliche Nutzung fehlt

1. Es deckt nur öffentlich offengelegte Verletzungen ab

HIMBs Datenbank besteht aus Verletzungen, die öffentlich gemacht wurden — entweder von Forschern, Journalisten oder weil die Daten offen geteilt wurden. Dies repräsentiert einen kleinen Bruchteil der tatsächlichen Dark-Web-Aktivität.

Ein beträchtliches Volumen gestohlener Anmeldungen erscheint nie in öffentlichen Verletzungsoffenbarungen. Sie werden privat in geschlossenen Telegram-Gruppen gehandelt, auf Dark-Web-Marktplätzen verkauft oder direkt von den Angreifern, die sie gestohlen haben, eingesetzt. Wenn die Anmeldung eines deiner Mitarbeiter in einem privaten kriminellen Kanal ist, der nicht öffentlich offengelegt wurde, wird HIBP sie nie finden.

2. Es hat keine Stealer-Log-Abdeckung

Stealer Logs sind die gefährlichste Anmeldungsquelle 2025, und HIBP überwacht sie nicht.

Infostealer-Malware — RedLine, Vidar, Raccoon, LummaC2 — infiziert Mitarbeiter-Geräte und extrahiert stillschweigend jedes im Browser gespeicherte Passwort, jeden aktiven Sitzungs-Cookie, jede gespeicherte Anmeldung. Diese Daten werden dann in Bulk auf Telegram-Kanälen und Dark-Web-Marktplätzen wie Russian Market verkauft.

Stealer-Log-Daten sind frisch, gezielt und enthalten oft aktive Sitzungs-Tokens, die Angreifern direkten Zugang geben, ohne ein einziges Passwort knacken zu müssen. HIBP indiziert keine Stealer-Log-Marktplätze.

3. Coverage-Verzögerung kann Monate oder Jahre sein

Selbst für Verletzungen, die HIBP abdeckt, gibt es typischerweise eine bedeutende Verzögerung zwischen dem Zeitpunkt, an dem Daten gestohlen werden, wenn sie auf dem Dark Web gehandelt werden und wenn sie schließlich öffentlich gemacht und zur HIBP-Datenbank hinzugefügt werden.

Die durchschnittliche Zeit zwischen einer Verletzung und der öffentlichen Offenbarung beträgt 200+ Tage. Während dieses Fensters haben Angreifer freien Zugang zu diesen Anmeldungen. Ein Tool, das nur über öffentlich offengelegte Verletzungen berichtet, erzählt dir von Bedrohungen, die bereits alt sind.

4. Keine Telegram- oder Forum-Überwachung

Die aktivste aktuelle Threat-Intelligence kommt von Telegram-Dump-Kanälen — Communities mit Hunderttausenden von Mitgliedern, die frische Credential-Leaks, Stealer-Log-Exporte und Access-Verkäufe in Echtzeit teilen.

Diese Kanäle funktionieren völlig außerhalb des öffentlichen Internets. HIBP hat keine Sichtbarkeit auf sie.

5. Keine kontextuelle Intelligence

HIBP sagt dir, dass eine E-Mail-Adresse in einer Verletzung vorgekommen ist. Es sagt dir nicht:

• Ob diese E-Mail-Passwort-Kombination gerade jetzt aktiv verkauft wird
• Ob das Gerät des Benutzers von einem Stealer kompromittiert wurde
• Ob ein Threat Actor dein Unternehmen speziell targetiert
• Ob Phishing-Domains, die deine Marke nachahmen, registriert wurden
• Wie schwerwiegend das Risiko jeder Erkennung ist

Für ein Security-Team, das priorisieren muss, was remediert werden soll, rohe Verletzungsübereinstimmungen ohne Kontext erzeugen Rauschen, keine Signale.

HIBP vs. DarkVault: Feature-Vergleich

Also, wer ist HIBP eigentlich richtig für?

HIBP ist ausgezeichnet für:

• Einzelpersonen, die überprüfen möchten, ob persönliche Konten in bekannten Verletzungen gefangen wurden
• Security-Teams, die es als eine Datenquelle unter vielen in einem breiteren Threat-Intelligence-Programm verwenden
• Anfängliche Triage — ein schneller Check, um die Basis-Verletzungs-Exposition zu verstehen, bevor eine umfassendere Lösung bereitgestellt wird

HIBP ist nicht ausreichend als eigenständige geschäftliche Lösung für jede Organisation, die sensible Kundendaten verarbeitet, Mitarbeiter mit privilegiertem Systemzugriff hat oder in regulierten Branchen tätig ist.

Das reale Risiko der ausschließlichen Abhängigkeit von HIBP

Der SolarWinds-Breach wurde nicht durch eine öffentliche Verletzungsdatenbank entdeckt. Die Okta-Breach-Benachrichtigungen kamen nicht von HIBP. Die Lapsus$-Angriffe, die Microsoft, Okta und Samsung trafen? Sie wurden mit Anmeldungen orchestriert, die auf Telegram verkauft wurden — Daten, die in keiner öffentlichen Verletzungsoffenbarung auftauchten.

Dies sind die Bedrohungen, die für Unternehmen 2025 am wichtigsten sind, und sie sind genau das, was HIBP nicht sehen kann.

Die durchschnittliche Organisation hat 847 exponierte Anmeldungen auf dem Dark Web, die HIBP nie indiziert hat. Finde deine Nummer heraus — führe einen kostenlosen Scan deiner Domain in unter 60 Sekunden durch, keine Registrierung erforderlich.

Was Unternehmen stattdessen brauchen

Eine geschäftsgradige Dark-Web-Überwachungslösung sollte abdecken:

Alle Anmeldungsquellen — nicht nur öffentliche Verletzungsdatenbanken, sondern Stealer-Log-Märkte, Telegram-Kanäle, Paste-Seiten und Dark-Web-Foren, wo Anmeldungen aktiv gehandelt werden.

Echtzeit-Erkennung — Benachrichtigungen innerhalb von Minuten nach einer neuen Erkennung, nicht tägliche oder wöchentliche Digests von alten Daten.

Kontextuelle Risk-Bewertung — dir nicht nur sagen, dass eine Anmeldung exponiert wurde, sondern wie gefährlich diese Exposition ist und was man dagegen tun kann.

Marken- und Domain-Überwachung — weil Angreifer nicht nur Anmeldungen stehlen, sie impersonieren auch deine Marke, um mehr zu sammeln.

Stealer-Log-Intelligenz — identifizieren, welche Geräte in deiner Organisation möglicherweise aktiv kompromittiert sind.

Integration mit deinem Security-Stack — damit Benachrichtigungen automatisch in dein SIEM, SOAR oder Slack-Workspace fließen.

Verwendung beider zusammen

HIBP und eine dedizierte Dark-Web-Überwachungsplattform schließen sich nicht gegenseitig aus. HIBP ist kostenlos, gut gepflegt und nützlich als historischer Referenzpunkt. Es macht Sinn, es zusammen mit einer Echtzeit-Überwachungsplattform zu verwenden — nicht als Ersatz dafür.

Denke es so: HIBP sagt dir, welche Türen bereits eingebrochen wurden. DarkVault sagt dir, welche Türen Angreifer gerade jetzt versuchen.

Beginne mit einem kostenlosen Domain-Scan, um zu sehen, was gerade über deine Organisation auf dem Dark Web sichtbar ist — einschließlich Quellen, die HIBP nie zeigen wird.

Häufig gestellte Fragen

Ist HIBP kostenlos für Unternehmen? Die Basis-Suche ist kostenlos. Die Domain-Suche und Benachrichtigungs-API (mit der du alle E-Mail-Adressen in einer Domain überwachen kannst) erfordern ein bezahltes Abonnement. Allerdings deckt selbst der bezahlte Tier nur die gleichen öffentlichen Verletzungsdaten wie die kostenlose Version ab.

Kann HIBP einen Dark-Web-Überwachungsdienst ersetzen? Nein. HIBP deckt einen anderen und viel kleineren Bereich der Bedrohungslandschaft als eine dedizierte Dark-Web-Überwachungsplattform ab. Es ist am besten als ergänzendes Tool zu verwenden, nicht als primäre Verteidigung.

Wie überprüfe ich, ob die Daten meines Unternehmens auf dem Dark Web sind? Starte mit dem kostenlosen Domain-Scan unter DarkVault — er durchsucht gleichzeitig Dark-Web-Foren, Stealer-Log-Märkte, Telegram-Dumps und Verletzungsdatenbanken. Du siehst Ergebnisse in unter 60 Sekunden ohne Registrierung.

Was ist ein Stealer Log und warum sollte ich mich kümmern? Ein Stealer Log ist ein Anmeldungs-Dump, der durch Infostealer-Malware erstellt wurde, die das Gerät eines Mitarbeiters infizierte. Im Gegensatz zu Verletzungsdatenbank-Lecks enthalten Stealer Logs oft aktive Sitzungs-Tokens, Browser-gespeicherte Passwörter und Systeminformationen — was Angreifern sofortigen Zugang gibt, anstatt nur einen Benutzernamen und ein Passwort zu knacken. Siehe unseren vollständigen Leitfaden über Stealer Logs für mehr Details.