Passwort-Leak-Check
Sehen Sie nach, ob ein Passwort in einem Datenleck aufgetaucht ist. Das Passwort selbst verlässt Ihren Browser nie.
Nur die ersten 5 Zeichen des SHA-1-Hashwerts Ihres Passworts werden an Have I Been Pwned gesendet; Passwort und vollständiger Hashwert bleiben in Ihrem Browser.
So funktioniert es
Ihr Browser hasht das Passwort mit SHA-1 und sendet nur die ersten fünf Zeichen dieses Hashwerts an den Dienst Pwned Passwords von Have I Been Pwned. Der Dienst liefert die Enden aller geleakten Hashwerte, die mit diesen fünf Zeichen beginnen – meist mehrere Hundert –, plus zufällige Auffülleinträge, damit die Größe der Antwort nichts verrät. Ihr Browser sucht dann den Rest Ihres Hashwerts in dieser Liste. Dieses Verfahren heißt k-Anonymität: Weder Have I Been Pwned noch AngelForce erfahren Ihr Passwort oder seinen vollständigen Hashwert.
So lesen Sie das Ergebnis
Eine Zahl über null gibt an, wie oft das Passwort in den Daten aus Datenlecks vorkommt. Angreifer laden diese Listen in ihre Cracking-Tools; behandeln Sie daher jedes hier gefundene Passwort als öffentlich bekannt, so komplex es auch aussieht. „Nicht gefunden“ heißt nicht „stark“: Ein kurzes oder vorhersehbares Passwort lässt sich trotzdem erraten. Die Prüfung betrifft nur das Passwort. Sie sagt nicht, welche Konten oder Datenlecks betroffen waren.
Häufige Fragen
Ist es sicher, hier ein echtes Passwort einzugeben?
Nur fünf Zeichen des SHA-1-Hashwerts verlassen Ihren Browser, und Hunderte geleakter Passwörter teilen sie. Nichts wird gespeichert. Prüfen Sie im Zweifel von einem Gerät aus, dem Sie vertrauen.
Was soll ich tun, wenn mein Passwort gefunden wird?
Verwenden Sie es nicht mehr. Ändern Sie es überall, wo Sie es genutzt haben, zuerst beim E-Mail-Konto und anderen wichtigen Konten, und aktivieren Sie die Multi-Faktor-Authentifizierung. Mit einem Passwort-Manager sind eindeutige Passwörter praktikabel.
Warum SHA-1?
Das ist das Format, das der Dienst Pwned Passwords für Abfragen nutzt. SHA-1 dient hier nur als Index für die Bereichsabfrage, nicht zum Schutz des Passworts.
Woher stammen die Daten?
Von Pwned Passwords, einer Sammlung von Hunderten Millionen echter Passwörter, die bei Datenlecks offengelegt wurden. Betrieben wird sie von Have I Been Pwned, dem Dienst von Troy Hunt.
Sie brauchen mehr, als ein Tool zeigen kann?
Ein Tool prüft einen einzelnen Punkt. Unsere Berater sehen sich das Gesamtbild an.
Managed SecurityPassende Artikel
-
Incident-Response-Tabletop in zwei Stunden: diese Woche starten
Führen Sie mit einem kleinen Team ein zweistündiges Tabletop zu Ransomware oder Account Takeover durch und machen Sie aus den Lücken ein kurzes Runbook.
-
Passwörter und Passkeys – was NIST SP 800-63B-4 empfiehlt
Die aktuellen NIST-Passwortregeln: mindestens 15 Zeichen, kein erzwungener Wechsel, Abgleich mit geleakten Passwörtern – dazu MFA-Stärke und Passkeys.
-
Sicherheitsfallen bei JWT und wie Sie sie vermeiden
Häufige JWT-Fehler: alg none, RS256/HS256-Verwechslung, schwache HMAC-Secrets, fehlende Claim-Prüfung, kid-Injection, Widerruf, Speicherung – und Lösungen.