Aktuell

Die Dienstadresse im Datenleck: Was Organisationen tun sollten, bevor das Postfach übernommen wird

Taucht eine Dienstadresse in einem Datenleck auf, ist das Sache der IT, nicht des Einzelnen. Wie Kommunen und Firmen Leaks erkennen und richtig reagieren.

27. Oktober 2026

Identität & Zugang
Cyber Crime
Microsoft 365

Kernaussage

Wer prüft, ob seine private Adresse in einem Datenleck steckt, schützt sich selbst. Für Dienstadressen reicht das nicht: Ein übernommenes Postfach gefährdet die ganze Organisation und ihre Geschäftspartner. Leaks lassen sich für die eigene Domain überwachen, und für einen Treffer braucht es einen festen Ablauf.

Die Rechnung kommt aus dem echten Postfach eines Geschäftspartners, nur die Kontonummer ist falsch. So haben wir den Zahlungsbetrug in Kommunen beschrieben. Am Anfang steht oft ein Kennwort, das längst in einem Datenleck aufgetaucht ist: weil jemand sich mit der Dienstadresse bei einem Shop oder Forum angemeldet hat, vielleicht sogar mit demselben Kennwort.

Warum Dienstadressen ein eigenes Thema sind

Der Schaden trifft nicht nur den Einzelnen: Über ein übernommenes Postfach laufen gefälschte Rechnungen, Anfragen an Bürgerinnen und Bürger oder Phishing an alle Kontakte.
Mitarbeitende melden Treffer selten: aus Unwissen oder weil es peinlich ist, mit der Dienstadresse bei einem privaten Dienst angemeldet gewesen zu sein.
Leaks werden oft spät bekannt: Zwischen Diebstahl und Veröffentlichung können Jahre liegen. Ein Kennwort, das „schon immer“ funktioniert hat, ist deshalb kein Beweis, dass es sicher ist.

So erkennen Sie betroffene Dienstadressen

Werkzeug	Was es leistet	Voraussetzung
Have I Been Pwned: Domain-Suche	Zeigt, welche Adressen der eigenen Domain in bekannten Leaks auftauchen, und benachrichtigt bei neuen Leaks	Nachweis, dass die Domain Ihnen gehört; ab mehr als 10 betroffenen Adressen kostenpflichtig
Microsoft Entra ID: Erkennung geleakter Zugangsdaten	Gleicht bekannte geleakte Kennwortpaare mit den Konten der Organisation ab	Kennwort-Hash-Synchronisierung aktiv; volle Berichte und automatische Reaktion nur mit Entra ID P2
Meldungen der Mitarbeitenden	Fängt ab, was kein Werkzeug sieht, etwa Phishing mit Bezug auf einen privaten Dienst	Klarer Meldeweg ohne Schuldzuweisung

Was bei einem Treffer zu tun ist

Kennwort zurücksetzen und alle aktiven Sitzungen beenden – erst dann ist ein Angreifer wirklich ausgesperrt.
MFA prüfen: Ist sie aktiv, und sind keine fremden Geräte oder Telefonnummern hinterlegt?
Postfach prüfen: Weiterleitungs- und Posteingangsregeln, die Mails nach außen leiten oder verstecken, sind ein typisches Zeichen einer Übernahme.
Anmeldungen der letzten Wochen prüfen: ungewöhnliche Länder, Uhrzeiten oder Geräte.
Mit der Person sprechen: Wurde das Kennwort auch anderswo genutzt? Dann dort ebenfalls ändern.
Dokumentieren: Was wurde wann gefunden und getan – wichtig für Datenschutz und Versicherung.

Vorbeugen ist einfacher

Dienstadresse nur dienstlich: Für private Shops, Foren und Newsletter gehört sie nicht verwendet. Das gehört in die Nutzungsrichtlinie und in die Schulung.
Passwortmanager statt Wiederverwendung: Für jeden Dienst ein eigenes Kennwort.
MFA für alle Konten: Ein geleaktes Kennwort allein reicht dann nicht mehr.

Wie wir unterstützen

Wir richten die Überwachung für Ihre Domains ein, aktivieren die Erkennung in Microsoft 365, wo die Voraussetzungen gegeben sind, und legen mit Ihnen den Ablauf für Treffer fest. Außerdem arbeiten wir an einer automatisierten Lösung, die die Dienstadressen unserer Kunden laufend gegen bekannte Leaks prüft und Treffer direkt an die richtige Stelle meldet.

Stehen Ihre Dienstadressen in einem Datenleck?

Wir prüfen Ihre Domains, richten die Überwachung ein und legen mit Ihnen fest, was bei einem Treffer passiert.

Kontakt aufnehmen

Quellen & weiterführende Links

Recherchestand: 27. Oktober 2026.

Häufige Fragen

Sieht man bei der Domain-Suche die geleakten Kennwörter?+

Nein. Have I Been Pwned zeigt, welche Adressen in welchem Leak auftauchen und welche Datenarten betroffen waren, aber keine Kennwörter.

Ein Treffer ist Jahre alt – trotzdem handeln?+

Ja, wenn das damalige Kennwort noch irgendwo im Einsatz sein könnte. Ist es längst geändert und nirgends wiederverwendet, genügt erhöhte Wachsamkeit gegenüber Phishing.

Dürfen wir die Adressen unserer Mitarbeitenden prüfen?+

Für Dienstadressen der eigenen Domain ist das ein üblicher Teil der IT-Sicherheit. Es empfiehlt sich, Personalrat bzw. Betriebsrat und Datenschutzbeauftragte vorab zu informieren und den Zweck festzuhalten.