Leakly vs Have I Been Pwned (2026): Unterschied, Vergleich & Alternative

TL;DR: Have I Been Pwned (HIBP) ist der weltweit bekannteste Katalog für Datenlecks: Du siehst, ob deine E-Mail in bekannten Breaches und Stealer-Logs vorkommt. Leakly prüft dieselben Leak-Signale, bewertet sie aber als Risk Score (0–100) und macht daraus priorisierte To-dos — inklusive Passwort-Stärke ohne Klartext und Domain-Scan für Firmen.

Was ist Have I Been Pwned?

Have I Been Pwned ist ein öffentlicher Breach-Katalog, der E-Mail-Adressen gegen bekannte Datenlecks, Pastes und Stealer-Logs prüft.

Troy Hunt hat HIBP 2013 gestartet. Seither ist die Seite der Standard, wenn jemand googelt „wurde meine E-Mail gehackt“ oder „have i been pwned“. Du gibst eine Adresse ein und bekommst eine Trefferliste: Breach-Name, Datum, betroffene Datenklassen. Zusätzlich gibt es Pwned Passwords (Passwort-Check per k-Anonymität), Notify Me (E-Mail-Alerts) und für Organisationen eine Domain Search plus bezahlte API.

HIBP ist hervorragend als Nachweis: *Steckt diese Adresse in bekannten Leaks?* Die Seite beantwortet genau diese Frage — und sonst wenig.

Was ist Leakly?

Leakly ist ein Leak-Check mit Risk Score, Action Center und optionalem Domain-Scan für Nutzer, die nach dem Treffer wissen wollen, was sie zuerst tun sollen.

Statt nur „gefunden / nicht gefunden“ bewertet Leakly Frische, Quellen und Passwort-Stärke-Metadaten zu einem Score von 0–100. Dazu kommen abhakbare Maßnahmen, Monitoring nach Opt-in und ein B2B Domain Scan. Der optionale Passwort-Check läuft wie bei HIBP lokal im Browser über k-Anonymität — der Klartext verlässt das Gerät nicht.

Dieser Artikel stammt von Leakly. Der Vergleich bleibt trotzdem sachlich: HIBP ist der Katalog der Branche. Leakly ist die Handlungsschicht darüber.

Warum der Vergleich Leakly vs Have I Been Pwned wichtig ist

Beide Tools beantworten dieselbe Ausgangsfrage: *Ist meine E-Mail in einem Datenleck?* Die Suchintention dahinter ist aber meist eine andere. Wer HIBP öffnet, will Gewissheit. Wer danach handlungsfähig bleiben will — Passwort-Reuse stoppen, 2FA setzen, Firmenaccounts priorisieren — braucht mehr als eine Fundliste.

Genau dort unterscheiden sich die Produkte:

• HIBP maximiert Abdeckung und Vertrauen als öffentliches Archiv.
• Leakly maximiert Priorität und nächsten Schritt, inkl. DSGVO-Selbstbedienung (Export, Kontolöschung) und deutscher Oberfläche.

Wer nur wissen will, ob ein Treffer existiert, ist mit HIBP oft fertig. Wer denselben Leak-Check in einen Plan übersetzen will, braucht Leakly — oder beide.

Leakly vs Have I Been Pwned: Vergleichstabelle

Stand August 2026. HIBP-Preise laut öffentlicher API-Dokumentation; Leakly-Preise laut Preisseite.

Kurz: HIBP gewinnt als Archiv. Leakly gewinnt als Entscheidungshilfe.

Wie beide Tools funktionieren

HIBP als Breach-Katalog

HIBP speichert, welche Adressen in welchen bekannten Incidents vorkamen. Ein Treffer bedeutet: Diese E-Mail stand in einem geleakten Datensatz — Shop, Forum, Cloud-Dienst oder Stealer-Log. Du siehst den Incident, nicht automatisch, ob jemand dein Konto *jetzt* missbraucht.

Für sensible Breaches und Stealer-Logs verlangt HIBP oft einen Nachweis, dass du die Adresse kontrollierst (Notify Me / Dashboard). Organisationen verifizieren die Domain und nutzen die API. Pwned Passwords prüft nur einen Hash-Prefix — dasselbe k-Anonymitätsverfahren, das Leakly im Browser nutzt.

Das ist ehrlich und konservativ. Es erklärt auch, warum HIBP keine „du musst jetzt X tun“-Liste ausspielt: Der Katalog liefert Fakten, keine Therapie.

Leakly als Risiko- und Maßnahmen-Layer

Leakly startet beim selben Signal (Adresse in bekannten Leaks), verdichtet es aber:

1. Risk Score 0–100 aus Frische, Anzahl der Quellen und Stärke-Hinweisen.
2. Action Center mit konkreten Schritten statt einer reinen Fundliste — siehe auch den 5-Schritte-Notfallplan.
3. Passwort-Stärke ohne Unlock: Du siehst Kategorien, nie das geleakte Passwort.
4. Domain Scan: Für firma.de zuerst das Leak-Volumen, mit Premium die Aufteilung Mitarbeiter / Kunden / Drittanbieter.

Für Infostealer-Muster (viele Dienste am selben Tag) ist das relevanter als ein einzelner alter Shop-Breach. Hintergrund: Infostealer und Browser-Passwörter.

Praktische Schritte: Welches Tool wann nutzen

1. Nur Nachweis brauchen: Öffne haveibeenpwned.com, prüfe die Adresse, speichere die Breach-Namen. Das reicht für eine schnelle Antwort.
2. Handeln müssen: Starte den kostenlosen Leakly-Check. Nutze Score und To-dos, um zuerst Credential-Reuse und kritische Konten (Mail, Banking, SSO) zu schließen.
3. Passwort prüfen, ohne es hochzuladen: Beide Tools können das per k-Anonymität. Bei Leakly bleibt der Check im Browser; bei HIBP über Pwned Passwords.
4. Firma oder eigene Domain: Bei HIBP Domain verifizieren und Domain Search nutzen. Bei Leakly den Domain Security Scan starten — Gäste sehen die Leak-Zahl, Premium die Segmente und den PDF-Report.
5. Dauerhaft überwachen: HIBP Notify Me *oder* Leakly-Monitoring mit Opt-in. Beides ist legitim; Leakly bündelt Alerts mit dem Action Center.

Viele Sicherheitsverantwortliche nutzen beides: HIBP als Referenzkatalog, Leakly als operative Schicht für Nutzer und Fachabteilungen.

Häufige Fehler beim Leak-Check

• Einen Treffer mit „gehackt gerade eben“ verwechseln. Ein Leak kann Jahre alt sein. Der Score und das Datum entscheiden über die Dringlichkeit.
• Nur die private Gmail prüfen, nicht die Firmenadresse. Gerade Mitarbeiter-Leaks auf Drittanbieter-Seiten öffnen VPN und SSO — Details im Domain-Security-Artikel.
• Dasselbe Passwort nach dem Check weiterverwenden. Der Treffer ist der Hinweis; Credential Stuffing ist der eigentliche Angriff.
• HIBP und Leakly als Entweder-oder sehen. HIBP ist die beste öffentliche Liste. Leakly ist die bessere Antwort auf „und jetzt?“.
• Einen Domain-Scan ohne Kontext als „0 Accounts“ lesen. Ohne Login blendet Leakly Account-Details bewusst aus und zeigt die Leak-Zahl — das ist Redaction, kein leeres Ergebnis.

FAQ: Leakly vs Have I Been Pwned

Ist Leakly eine Have-I-Been-Pwned-Alternative?

Ja. Leakly prüft E-Mails auf bekannte Leaks wie HIBP, ergänzt aber Risk Score, Action Center, Passwort-Stärke ohne Klartext und einen Domain-Scan für Unternehmen.

Ist Have I Been Pwned kostenlos?

Der E-Mail-Check, Pwned Passwords und Notify Me sind für Privatpersonen kostenlos. Die HIBP-API für automatisierte Abfragen ist kostenpflichtig (Stand August 2026 ab ca. 4,39 US-Dollar/Monat).

Hat Have I Been Pwned einen Risk Score?

Nein. HIBP zeigt Treffer, Breach-Namen und Datenklassen. Einen gewichteten Risk Score von 0–100 und priorisierte To-dos liefert Leakly.

Welches Tool ist besser für Firmen-Domains?

HIBP bietet Domain Search nach Inhaberschaftsnachweis. Leakly zeigt Leak-Volumen und mit Premium Segmente für Mitarbeiter, Kunden und Partner plus PDF-Report.

Speichert Leakly geleakte Passwörter im Klartext?

Nein. Leakly zeigt nur Stärke-Kategorien. Der optionale Passwort-Check nutzt k-Anonymität im Browser; der Klartext verlässt das Gerät nicht.

Fazit: HIBP zum Nachschlagen, Leakly zum Handeln

Have I Been Pwned bleibt die Referenz, wenn du einen Leak nachweisen willst. Leakly ist die bessere Have-I-Been-Pwned-Alternative, wenn du denselben Check in Risiko, Reihenfolge und Maßnahmen übersetzen willst — privat und für die Firmendomain.

Starte den kostenlosen E-Mail-Check oder den Domain Scan. Für unbegrenzte Checks und Monitoring siehe Preise.