Passwort-Datenleck-Prüfung

Prüfen Sie, ob ein Passwort in einem bekannten Datenleck aufgetaucht ist, ohne das Passwort selbst jemals irgendwohin zu senden. Ihr Browser hasht es lokal und sendet nur die ersten 5 Zeichen dieses Hashes an eine öffentliche Datenleck-Datenbank — genug, um es unter Millionen anderer Hashes mit demselben Präfix nachzuschlagen, aber nie genug, um Ihr Passwort zu rekonstruieren.

Anleitung

Geben Sie das zu prüfende Passwort ein oder fügen Sie es ein.
Klicken Sie optional auf „Anzeigen“, um zu überprüfen, was Sie eingegeben haben.
Klicken Sie auf „Auf Datenlecks prüfen“.
Ein grünes Ergebnis bedeutet, dass es nicht in der Datenleck-Datenbank gefunden wurde; ein rotes Ergebnis zeigt, wie oft es aufgetaucht ist.

Beispiel

Eingabe

password123

Ausgabe

⚠ In 2.643.916 bekannten Datenlecks gefunden

Gängige Passwörter wie dieses tauchen millionenfach auf, weil sie auf der ersten Rateliste jedes Angreifers stehen — unabhängig davon, welche Website betroffen war.

Was ist dieses Tool?

Dieses Tool prüft ein Passwort gegen die Pwned-Passwords-Datenbank von Have I Been Pwned, die Hunderte Millionen Passwörter aus echten Datenlecks enthält. Taucht Ihr Passwort dort auf, bedeutet das, dass es bereits auf den Passwortlisten von Angreifern steht — nicht weil Ihr spezifisches Konto kompromittiert wurde, sondern weil irgendjemand irgendwo genau dieses Passwort verwendet hat und es dabei durchgesickert ist.

Die Prüfung nutzt eine Technik namens k-Anonymität, die speziell dafür entwickelt wurde, dass eine Passwortprüfung nie das vollständige Passwort sehen muss. Ihr Browser berechnet lokal den SHA-1-Hash des Passworts und sendet nur die ersten 5 Zeichen dieses Hashes an die API. Die API liefert alle geleakten Passwort-Hashes zurück, die mit denselben 5 Zeichen beginnen — üblicherweise mehrere Hundert — und Ihr Browser prüft lokal, ob Ihr vollständiger Hash darunter ist. Das vollständige Passwort und der vollständige Hash verlassen Ihr Gerät nie.

Wie k-Anonymität Ihr Passwort hier schützt

Eine naive Datenleck-Prüfung würde Ihr vollständiges Passwort (oder dessen vollständigen Hash) benötigen, um es nachzuschlagen — das würde bedeuten, einem Server genau das Geheimnis anzuvertrauen, das Sie eigentlich schützen wollen. Der k-Anonymitäts-Ansatz umgeht das: Ihr Browser hasht das Passwort mit SHA-1 und sendet dann nur die ersten 5 Hex-Zeichen dieses 40-stelligen Hashes an die API.

Die API antwortet mit allen Hash-Suffixen aus ihrer Datenbank, die dieses 5-stellige Präfix teilen — üblicherweise 300 bis 800 davon, nicht nur Ihres. Ihr Browser prüft dann lokal, ob Ihr spezifisches Suffix darunter ist. Jemand, der die Netzwerkanfrage mitliest, erfährt nur, dass irgendein Passwort mit diesem Präfix geprüft wurde — von Millionen Möglichkeiten — bei Weitem nicht genug, um zu wissen, welches.

Was mit dem Ergebnis zu tun ist

Gefunden mit hoher Anzahl: Geben Sie dieses Passwort überall sofort auf — es steht ganz oben auf der Rateliste jedes Angreifers.
Gefunden mit niedriger Anzahl: Geben Sie es trotzdem auf. Schon ein einziges früheres Leck bedeutet, dass es kompromittiert ist, unabhängig von der Anzahl.
Nicht gefunden: Diese genaue Zeichenfolge ist nicht in der Datenbank, prüfen Sie aber trotzdem separat ihre Stärke, bevor Sie ihr langfristig vertrauen.
Die Prüfung eines Passworts, das Sie gerade festlegen möchten, ist genauso nützlich wie die Prüfung eines bereits verwendeten — erkennen Sie eine schlechte Wahl, bevor sie zur Schwachstelle Ihres Kontos wird.

→ Passwortgenerator · MD5-Generator

Häufige Anwendungsfälle

Prüfung eines bestehenden Passworts, das Sie seit Jahren verwenden und nie gegen Leck-Daten überprüft haben.
Überprüfung eines neu erzeugten oder neu gewählten Passworts, bevor Sie sich darauf festlegen.
Überprüfung eines geteilten oder Standardpassworts, das von einem Team oder einer Familie verwendet wird, bevor es rotiert wird.
Entscheidung, welches von mehreren wiederverwendeten Passwörtern zuerst geändert werden sollte, basierend auf der Leck-Anzahl.

Warum sollte man es nutzen?

k-Anonymitäts-Modell: Es werden nur 5 Hash-Zeichen übertragen, nie das Passwort oder sein vollständiger Hash.

Prüfung gegen eine echte, kontinuierlich aktualisierte Datenbank mit Hunderten Millionen geleakter Passwörter.

Sofortiges Ergebnis — kein Konto, keine E-Mail erforderlich, nichts wird gespeichert.

Funktioniert mit jedem Passwort: einem, das Sie aktuell verwenden, einem, das Sie gerade festlegen möchten, oder einem alten, bei dem Sie unsicher sind.

Häufig gestellte Fragen

Sendet dieses Tool mein Passwort an einen Server?

Nein. Ihr Browser berechnet lokal einen SHA-1-Hash des Passworts und sendet nur die ersten 5 Zeichen dieses Hashes — nie das Passwort und nie den vollständigen Hash. Dies ist das k-Anonymitäts-Modell, um das die Pwned-Passwords-API von Have I Been Pwned speziell entwickelt wurde; dieselbe Technik nutzen Chrome, Firefox und 1Password für ihre integrierten Datenleck-Prüfungen.

Ist mein Passwort sicher, wenn es nicht gefunden wird?

Es bedeutet, dass genau dieses Passwort noch in keinem Leck dieser Datenbank aufgetaucht ist — das garantiert nicht, dass es stark ist. Ein Passwort kann gleichzeitig einzigartig und schwach (leicht zu erraten) sein. Nutzen Sie diese Prüfung zusätzlich zu einer Stärkeprüfung, nicht als Ersatz dafür.

Was sollte ich tun, wenn mein Passwort gefunden wird?

Ändern Sie es sofort bei jedem Konto, bei dem Sie es verwendet haben, beginnend mit E-Mail- und Finanzkonten. Erzeugen Sie für jedes ein neues, einzigartiges, zufälliges Passwort — die Wiederverwendung von Passwörtern ist genau der Grund, warum sich ein Leck auf viele kompromittierte Konten ausweitet.

Warum spielt die Leck-Anzahl bei einem selbst ausgedachten Passwort eine Rolle?

Die Anzahl verfolgt nicht Ihr spezifisches Konto — sie zeigt, wie oft genau diese Zeichenfolge jemals in einer Leck-Datenbank aufgetaucht ist, über alle hinweg, die sie jemals verwendet haben. Eine hohe Anzahl bedeutet, dass es eine gängige, vorhersehbare Wahl ist, unabhängig davon, ob Sie sie unabhängig erfunden haben.

Ist das dasselbe wie zu prüfen, ob meine E-Mail geleakt wurde?

Nein — das ist eine völlig andere Frage. Dieses Tool prüft eine Passwort-Zeichenfolge gegen bekannte Leck-Daten. Die Prüfung, ob eine bestimmte E-Mail-Adresse in einem Leck vorkam, erfordert eine separate Abfrage (das macht die Hauptseite von Have I Been Pwned) und wird von diesem Tool nicht abgedeckt.