Befürchten Sie, dass ein Passwort bereits in den Händen von Angreifern sein könnte? Geben Sie es oben ein, und wir gleichen es mit Hunderten Millionen von Passwörtern ab, die in echten Datenlecks offengelegt wurden – unter Verwendung der Have I Been Pwned-Datenbank. Die Prüfung ist datenschutzfreundlich: Ihr Passwort wird in Ihrem Browser gehasht, und nur die ersten fünf Zeichen dieses Hashs werden jemals gesendet – Ihr eigentliches Passwort verlässt niemals Ihr Gerät.

Was ist ein Datenleck?

Ein Datenleck entsteht, wenn Angreifer Informationen von einem Unternehmen oder Dienst stehlen – oft einschließlich Benutzernamen und Passwörtern. Diese Zugangsdaten werden dann zu riesigen Listen zusammengetragen und online gehandelt oder veröffentlicht. Wenn ein von Ihnen verwendetes Passwort in einer dieser Listen auftaucht, gilt es als „pwned“, und Angreifer werden es bei Ihren anderen Konten ausprobieren – was man als credential stuffing bezeichnet. Deshalb ist ein geleaktes Passwort selbst dann gefährlich, wenn das Leck nicht Sie betraf.

Wie diese Prüfung Ihre Privatsphäre schützt

Es würde dem Zweck zuwiderlaufen, Ihr Passwort an eine Website zu senden, nur um zu fragen, ob es sicher ist. Stattdessen verwendet dieses Tool eine clevere Technik namens k-anonymity:

1. Ihr Passwort wird mit SHA-1 in Ihrem Browser gehasht.
2. Nur die ersten 5 Zeichen dieses Hashs werden an die Have I Been Pwned-API gesendet.
3. Der Dienst gibt jeden geleakten Hash zurück, der diese 5 Zeichen teilt – Hunderte davon.
4. Ihr Browser gleicht den vollständigen Hash lokal mit dieser Liste ab und zeigt das Ergebnis an.

Der Dienst sieht niemals Ihr Passwort, niemals dessen vollständigen Hash und kann nicht erkennen, welcher der zurückgegebenen Einträge (falls überhaupt) Ihrer war. Auch auf unserer Seite wird nichts gespeichert.

Was zu tun ist, wenn Ihr Passwort gefunden wurde

• Verwenden Sie es nirgendwo mehr. Behandeln Sie es auf jedem Konto als kompromittiert.
• Ändern Sie es sofort bei jedem Konto, bei dem Sie es verwendet haben.
• Erzeugen Sie ein neues, einzigartiges Passwort mit unserem Passwort-Generator – ein langes, zufälliges Passwort steht nie auf diesen Listen.
• Verwenden Sie einen Passwort-Manager, damit jedes Konto sein eigenes einzigartiges Passwort erhält.
• Aktivieren Sie die Zwei-Faktor-Authentifizierung (2FA) für eine zusätzliche Schutzebene.

Was es bedeutet, wenn Ihr Passwort nicht gefunden wurde

Ein Ergebnis „nicht gefunden“ ist beruhigend – es bedeutet, dass das Passwort nicht in den Datenlecks enthalten ist, die Have I Been Pwned kennt. Es ist jedoch keine Garantie dafür, dass das Passwort stark ist. Ein kurzes oder einfaches Passwort kann auch dann geknackt werden, wenn es noch nicht geleakt wurde – prüfen Sie es daher auch mit unserem Passwort-Stärke-Prüfer.

Häufig gestellte Fragen

Ist es sicher, mein Passwort hier einzugeben?

Ja. Ihr Passwort wird lokal gehasht, und dank k-anonymity wird nur ein 5 Zeichen langes Fragment dieses Hashs gesendet. Das Passwort und sein vollständiger Hash verlassen niemals Ihren Browser, und es wird nichts gespeichert.

Woher stammen die Datenleck-Daten?

Von Have I Been Pwned, einem angesehenen Dienst, der in öffentlichen Datenlecks offengelegte Passwörter in einer durchsuchbaren, datenschutzfreundlichen Datenbank zusammenfasst.

Mein Passwort wurde gefunden – bedeutet das, dass mein Konto gehackt ist?

Nicht zwangsläufig, aber es bedeutet, dass dieses Passwort Angreifern bekannt und unsicher zu verwenden ist. Ändern Sie es überall dort, wo Sie es verwendet haben, und wechseln Sie zu einem einzigartigen, generierten Passwort.

Bedeutet ein Ergebnis „nicht gefunden“, dass mein Passwort stark ist?

Nein. Es bedeutet nur, dass das Passwort nicht in einem bekannten Datenleck aufgetaucht ist. Die Stärke hängt von Länge und Zufälligkeit ab – prüfen Sie das separat mit dem Stärke-Prüfer.