So funktioniert es
Dieses Tool prüft, ob ein Passwort in der Leak-Datenbank von Have I Been Pwned steht. Es bildet den SHA-1-Hash des Passworts im Browser und sendet nur die ersten fünf Zeichen dieses Hashes an die API. Der Dienst liefert alle passenden Hash-Endungen zurück und Ihr Browser findet die Übereinstimmung lokal — das Passwort und sogar sein vollständiger Hash verlassen Ihr Gerät nie. Diese Technik heißt k-Anonymität.
Taucht ein Passwort hier auf, verwenden Sie es sofort überall nicht mehr: geleakte Passwörter sind das Erste, was Angreifer probieren. Ein Passwort, das nicht in der Datenbank steht, ist trotzdem unsicher, wenn es kurz oder vorhersehbar ist — nutzen Sie den Stärke-Prüfer und einen Passwortmanager.
Was tun, wenn Ihr Passwort gefunden wurde
Ein Treffer bedeutet, dass genau dieses Passwort bereits in den Listen der Angreifer steht. Handeln Sie jetzt:
- Ändern Sie es überall, wo Sie es verwendet haben, von einem vertrauenswürdigen Gerät, in dieser Reihenfolge: zuerst E-Mail (kann alles andere zurücksetzen), dann Banking und alles mit hinterlegter Karte, danach soziale Konten.
- Wenn Sie es wiederverwendet haben, gilt jedes Konto mit diesem Passwort als kompromittiert – nicht nur das geleakte.
- Vergeben Sie pro Seite ein eindeutiges erzeugtes Passwort und aktivieren Sie die Zwei-Faktor-Authentifizierung (Authenticator-App oder Hardware-Schlüssel, kein SMS).
- Suchen Sie auch Ihre E-Mail-Adresse bei Have I Been Pwned – ein Leck legt meist mehr als das Passwort offen.
- Rechnen Sie in den nächsten Wochen mit Phishing: Angreifer haben nun Ihre E-Mail und ein altes Passwort und nutzen sie als Köder. Reagieren Sie nie auf einen unerwarteten „Sicherheitswarnung“-Link.
Ein Passwort, das nicht gefunden wurde, ist trotzdem unsicher, wenn es kurz oder vorhersehbar ist – Länge und Zufall schützen es.
Ein starkes Passwort generiert? Sie brauchen einen sicheren Ort, um es aufzubewahren →
Verwandte Begriffe: Credential Stuffing · Datenleck · Hash · Salt (Salting) · Passwortmanager