Wissen · Tool-Anleitungen

Wurde mein Passwort geleakt? So prüfen Sie es sicher selbst

Ein einzelnes Passwort gegen Milliarden bekannter Leak-Einträge testen — ohne das Passwort jemals aus der Hand zu geben.

Jedes Jahr tauchen die Zugangsdaten aus gehackten Onlinediensten in grossen Sammlungen im Netz auf. Wer dasselbe Passwort mehrfach verwendet, ist besonders gefährdet: Angreifer probieren geleakte Kombinationen automatisiert bei anderen Diensten durch — das nennt man Credential Stuffing. Die naheliegende Frage lautet also: Steckt genau mein Passwort in einer dieser Sammlungen? Das lässt sich prüfen — und zwar ohne das Passwort an einen fremden Server zu schicken. Genau das macht der Passwort-Leak-Check.

Warum ein geleaktes Passwort gefährlich ist

Steht ein Passwort einmal in einer Leak-Datenbank, ist es faktisch öffentlich. Für sich genommen verrät es zwar nicht, zu welchem Konto es gehört — aber in Kombination mit einer E-Mail-Adresse aus demselben Leak wird es zum Generalschlüssel. Kritisch wird es vor allem, wenn Sie dasselbe oder ein sehr ähnliches Passwort an mehreren Stellen nutzen.

• Häufig verwendete Passwörter tauchen millionenfach auf und werden zuerst durchprobiert.
• Auch ein «starkes» Passwort ist wertlos, sobald es in einem Leak steht.
• Die Wiederverwendung über mehrere Dienste hinweg vervielfacht den Schaden eines einzigen Lecks.

So prüft der Leak-Check, ohne Ihr Passwort zu verraten

Das Werkzeug schickt Ihr Passwort nicht ins Internet. Stattdessen nutzt es ein Verfahren namens k-Anonymität gegen die öffentliche Datenbank von Have I Been Pwned (HIBP). Der Ablauf im Browser:

• Aus dem Passwort wird lokal ein SHA-1-Hash berechnet.
• Nur die ersten fünf Zeichen dieses Hashes werden an den Dienst gesendet.
• Der Server antwortet mit allen bekannten Hash-Endungen, die mit diesem Präfix beginnen — mehrere Hundert Stück.
• Der Abgleich, ob Ihre vollständige Hash-Endung darunter ist, passiert wieder lokal in Ihrem Browser.

Der Server erfährt also nie das Passwort und nicht einmal den vollständigen Hash — nur ein Präfix, das auf tausende verschiedene Passwörter passt. Ein Beispiel mit dem (bewusst schwachen) Passwort Sommer2024!:

Die Zahl hinter dem Doppelpunkt (hier beispielhaft 8493) gibt an, wie oft dieser Hash in gesammelten Leaks gezählt wurde — je höher, desto verbreiteter und riskanter das Passwort. Der genaue Wert ist illustrativ; entscheidend ist allein, ob ein Treffer vorliegt.

Was ein Treffer bedeutet — und was nicht

Ein Treffer heisst: Genau diese Zeichenfolge ist mindestens einmal in einem bekannten Leak aufgetaucht. Es heisst nicht, dass ausgerechnet Ihr Konto gehackt wurde — der Check kennt Sie und Ihre E-Mail-Adresse gar nicht. Umgekehrt ist «nicht gefunden» keine Unbedenklichkeitsbescheinigung: Geprüft wird nur gegen die Leaks, die HIBP gesammelt hat. Ein frisches oder nicht veröffentlichtes Leck ist nicht erfasst.