Passwort-Leak prüfen, ohne das Passwort zu übertragen
Nach einer Datenpanne gelangen Passwort-Hashes oder Klartextpasswörter häufig in Sammlungen, die für Wörterbuchangriffe und Credential Stuffing genutzt werden. Besonders gefährlich ist Wiederverwendung: Eine bei einem kleinen Forum verlorene Kombination kann den Zugang zu E-Mail, Shop oder Streamingkonto öffnen.
Ein Leak-Treffer ist unabhängig von der optischen Stärke relevant. Auch ein langes Passwort gehört gewechselt, sobald es Angreifern als bekannter Kandidat zur Verfügung steht. Ändern Sie es bei allen Diensten, die denselben Wert nutzen. Beginnen Sie mit dem E-Mail-Konto und dem Passwort-Manager, weil sie oft zur Wiederherstellung anderer Zugänge dienen.
Ein fehlender Treffer ist keine Sicherheitsbescheinigung. Der Datenbestand enthält bekannte, zusammengetragene Passwörter, aber nicht jede Datenpanne wird entdeckt oder veröffentlicht. Ein kurzes oder vorhersehbares Passwort bleibt erratbar, selbst wenn es noch nicht in dieser Sammlung auftaucht.
Für neue Konten sind einzigartige, zufällig erzeugte Passwörter und ein Passwort-Manager die verlässlichere Strategie. Wo angeboten, ergänzen Passkeys oder eine phishingresistente Mehrfaktor-Authentifizierung den Schutz.
k-Anonymität mit Pwned Passwords
Der Browser berechnet lokal den SHA-1-Hash des eingegebenen Passworts. An unseren Server werden nur die ersten fünf Hex-Zeichen gesendet. Unser Server fragt damit die Range-Schnittstelle von Pwned Passwords ab und aktiviert die dokumentierte Antwortauffüllung. Zurück kommen zahlreiche Hash-Endungen, die der Browser lokal mit der eigenen Endung vergleicht.
Weder das Klartextpasswort noch der vollständige SHA-1-Hash werden übertragen. SHA-1 ist für die sichere Speicherung neuer Passwörter ungeeignet. In diesem Verfahren dient der Hash ausschließlich als kompatibler Suchindex für den veröffentlichten Datenbestand.