Passwort-Leak-Prüfung
Eine Passwort-Leak-Prüfung stellt eine Frage an eine Datenbank, die kein Chatbot beantworten kann: Ist dieses Passwort in einem bekannten Datenleck aufgetaucht? Tippen Sie ein Passwort ein und diese Seite hasht es in Ihrem Browser, sendet nur die ersten 5 Zeichen des Hashes an den Pwned-Passwords-Dienst von Have I Been Pwned und sagt Ihnen, wie oft das Passwort in echten Lecks gesehen wurde — das Passwort selbst verlässt diese Seite nie. Sie können auch bis zu 50 Passwörter auf einmal prüfen oder eine Datei mit SHA-1-Hashes hochladen. Der begleitende Leitfaden Ist Ihr Passwort in einem Datenleck? erklärt, was die Zahl bedeutet und was als Nächstes zu tun ist; für einen Neuanfang nutzen Sie den Passwort-Generator, und um Anmeldedaten zu finden, die auf einer Live-Site offengelegt wurden, den Leaked-Secret-Scanner.
Zuletzt aktualisiert:
Ihr Passwort verlässt diese Seite nie
Diese Seite hasht Ihr Passwort in Ihrem Browser mit SHA-1 und sendet nur die ersten 5 Zeichen des Hashes an Have I Been Pwned. Das Passwort selbst — und sogar sein vollständiger Hash — verlässt Ihr Gerät nie, wird nie gespeichert und nie protokolliert. Der Dienst antwortet mit allen Hash-Suffixen, die diese 5 Zeichen teilen, und der Abgleich geschieht hier, auf Ihrem Gerät. Wie das Modell funktioniert, lesen Sie unter haveibeenpwned.com/Passwords.
Ein Passwort prüfen
Viele auf einmal prüfen
Doppelte werden nur einmal geprüft. Die Ergebnisse zeigen nur eine Nummer (#1, #2…) — niemals das Passwort selbst. Der CSV-Export enthält nur Labels und Anzahlen.
Eine Textdatei mit einem 40-stelligen SHA-1-Hash pro Zeile, bis zu 500 Zeilen. Zeilen, die keine gültigen Hashes sind, werden als übersprungen aufgelistet, niemals stillschweigend verworfen. Die Ergebnisse zeigen einen gekürzten Hash, niemals den vollständigen.
Oder ziehen Sie die Datei an eine beliebige Stelle in diesem Feld. Limit: 2 MB. Die Datei wird nur auf diesem Gerät gelesen und nie hochgeladen.
Ergebnisse
Die ehrlichen Grenzen
Dies prüft nur den Pwned-Passwords-Leak-Korpus — Passwörter, die aus Hunderten bekannter Datenlecks gesammelt wurden. “Nicht gefunden” bedeutet “nicht in bekannten Lecks gesehen”, nicht “sicher”.
Eine E-Mail-Leak-Suche wird hier nicht angeboten: Die E-Mail-Leak-API von Have I Been Pwned ist ein kostenpflichtiger Abonnementdienst, daher verspricht diese Seite sie nicht kostenlos.
Leak-Daten: Have I Been Pwned — Pwned Passwords (haveibeenpwned.com/Passwords).
Was ein Leak-Korpus ist — und was eine Zahl bedeutet
Ein Leak-Korpus ist eine Sammlung von Passwörtern, die aus echten Datenlecks stammen: Wenn ein Dienst kompromittiert wird und seine Passwortdatenbank leckt, werden die darin enthaltenen Passwörter — meist als Hashes gespeichert — gesammelt, dedupliziert und indexiert, sodass jeder fragen kann, ob ein bestimmtes Passwort darunter ist. Der Pwned-Passwords-Korpus von Have I Been Pwned enthält über eine Milliarde solcher Passwörter aus Hunderten von Lecks und wächst weiter, sobald neue Lecks auftauchen. Diese Größenordnung ist der ganze Sinn der Prüfung: Ein Passwort, das Sie in fünf Sekunden erfunden haben, wurde sehr wahrscheinlich von Tausenden anderer Menschen in exakt derselben Form erfunden — und wenn es jemals in einer geleakten Datenbank war, haben Angreifer es bereits auf einer Liste und probieren es gegen jede Anmeldeseite, die sie erreichen können.
Die Prüfung funktioniert, ohne das Passwort je preiszugeben, dank eines Tricks namens k-Anonymität. Ihr Passwort wird im Browser mit SHA-1 gehasht und erzeugt einen 40-stelligen Fingerabdruck; nur die ersten 5 Zeichen dieses Fingerabdrucks werden an den Dienst gesendet. Der Dienst liefert alle Fingerabdruck-Suffixe zurück, die diese 5 Zeichen teilen — typischerweise etwa achthundert — und Ihr Browser sucht sein eigenes Suffix lokal in dieser Liste. Fünf Zeichen reichen, um ein Passwort unter Hunderten ähnlich aussehender zu verstecken, und sind kurz genug, dass der Dienst nie erfährt, nach welchem Passwort Sie gefragt haben. Das Passwort selbst überquert nie das Netzwerk, berührt nie ein Server-Log und erscheint nie in einer URL.
Gefunden, nicht gefunden — und was nun zu tun ist
Eine Zahl über null bedeutet, dass das Passwort so oft in Lecks gesehen wurde. Eine Zahl in Millionenhöhe — “password” wurde mehr als fünfzig Millionen Mal gesehen — bedeutet, dass es zu den ersten Vermutungen bei jedem Credential-Stuffing-Angriff gehört und überall dort geändert werden sollte, wo es verwendet wird, beginnend mit E-Mail und Banking. Auch eine kleine Zahl ist kein Freispruch: Schon ein einziges Auftreten bedeutet, dass das Passwort in der Wortliste eines Angreifers steht, und es ist wahrscheinlich auch ein Zeichen dafür, dass das Passwort einem erratbaren Muster folgt — ein Name plus ein Jahr, ein Tastaturlauf, eine gängige Phrase mit einer ausgetauschten Ziffer. Die Lösung ist in beiden Fällen dieselbe: Ersetzen Sie es durch ein einmaliges Passwort, das Sie nirgendwo sonst verwendet haben, erzeugt mit dem Passwort-Generator und aufbewahrt in einem Passwort-Manager, nicht in Ihrem Kopf oder in einer Notizdatei.
Eine Zahl von null ist eine gute Nachricht mit einer strengen Grenze: Das Passwort wurde in den Lecks, die dieser Korpus kennt, nicht gesehen. Sie sagt nichts darüber aus, ob das Passwort stark ist, erratbar ist oder bereits in einem Leck steckt, das noch nicht aufgetaucht ist. Ein kurzes, vertrautes Passwort kann im Korpus fehlen und trotzdem innerhalb von Minuten durch einen Rateangriff fallen, und ein Passwort, das auf zehn Sites wiederverwendet wird, ist ein Leck davon entfernt, alle zehn zu verlieren. Behandeln Sie “nicht gefunden” nur dann als Erlaubnis, ein Passwort zu behalten, wenn es außerdem lang, zufällig und an genau einem Ort verwendet wird. Wenn es einen dieser drei Tests nicht besteht, ändern Sie es trotzdem — die Prüfung sagt Ihnen etwas über die Exposition, nicht über die Stärke.
Fügen Sie ein Passwort niemals in einen Chatbot oder KI-Assistenten ein, um zu fragen, ob es sicher ist. Ein Chat behält ein Transkript: Ihr Passwort würde auf den Servern eines anderen gespeichert, zum Trainieren oder Feintunen von Modellen verwendet und möglicherweise in einer späteren Antwort zurückzitiert — genau das Gegenteil dessen, wozu eine Leak-Prüfung da ist. Dieselbe Regel gilt für jede Website, die Sie bittet, ein Passwort in ihr Formular einzugeben und verspricht, es zu beurteilen: Es sei denn, die Seite hasht lokal und zeigt Ihnen den Mechanismus, wie diese hier, gehen Sie davon aus, dass das Passwort gesendet und gespeichert wird. Eine Leak-Prüfung lohnt sich genau deshalb, weil sie durchgeführt werden kann, ohne das Geheimnis jemandem zu übergeben, und diese Eigenschaft ist es wert, geschützt zu werden, selbst wenn die Frage klein erscheint.
Die Prüfung in einfachen Worten
| K-Anonymität | Nur die ersten 5 Zeichen des Passwort-Hashes verlassen den Browser. Der Dienst kann nicht erkennen, nach welchem der Hunderte von Passwörtern mit diesem Präfix Sie gefragt haben. |
| SHA-1-Hash | Ein 40-stelliger Fingerabdruck des Passworts, berechnet in Ihrem Browser. Dasselbe Passwort erzeugt immer denselben Fingerabdruck, und der Fingerabdruck lässt sich nicht in das Passwort zurückverwandeln. |
| Pwned-Passwords-Korpus | Über eine Milliarde Passwörter aus Hunderten bekannter Datenlecks, gepflegt von Have I Been Pwned und aktualisiert, sobald neue Lecks auftauchen. |
| Range-API | Der öffentliche, kostenlose, schlüssellose HIBP-Endpunkt, den diese Seite aufruft: Bei einem 5-stelligen Präfix liefert er jedes passende Suffix mit seiner Leak-Anzahl zurück, eine SUFFIX:count-Zeile pro Treffer. |
| Leak-Anzahl | Wie oft das Passwort im Korpus gesehen wurde. Eine Anzahl von 1 bedeutet bereits, dass es in der Wortliste eines Angreifers steht; Millionen bedeuten, dass es zu den ersten probierten Vermutungen gehört. |
| Nicht gefunden | Das Hash-Suffix des Passworts fehlt in dem zurückgegebenen Bereich — es wurde in bekannten Lecks nicht gesehen. Es ist kein Urteil darüber, dass das Passwort stark oder sicher ist. |
| Massen-Einfügen | Bis zu 50 Passwörter, eines pro Zeile. Doppelte werden einmal geprüft, Passwörter mit demselben 5-stelligen Präfix teilen sich eine Anfrage, und die Ergebnisse zeigen nur Nummern — niemals die Passwörter. |
| Hash-Datei | Bis zu 500 SHA-1-Hashes, einer pro Zeile, zum Prüfen von Passwörtern, die Sie überhaupt nicht eintippen möchten. Ungültige Zeilen werden als übersprungen aufgelistet; die Ergebnisse zeigen einen gekürzten Hash. |
| CSV-Export | Die Massenergebnisse als Tabelle: nur maskiertes Label und Leak-Anzahl. Kein Klartext-Passwort und kein vollständiger Hash gelangt je in die heruntergeladene Datei. |
| E-Mail-Lecks | Hier nicht angeboten. Zu prüfen, ob eine E-Mail-Adresse in Lecks vorkommt, braucht die kostenpflichtige E-Mail-API von HIBP, daher verspricht diese Seite keine kostenlose E-Mail-Suche. |
Häufige Fragen
Wird mein Passwort an Have I Been Pwned gesendet?
Nein. Ihr Browser hasht das Passwort mit SHA-1 und sendet nur die ersten 5 Zeichen des Hashes. Der Dienst liefert Hunderte passender Suffixe zurück und Ihr Browser prüft sein eigenes Suffix lokal. Das Passwort selbst — und sogar sein vollständiger Hash — verlässt diese Seite nie, wird nie gespeichert und nie protokolliert.
Was bedeutet “52 Millionen Mal gefunden”?
Es bedeutet, dass genau dieses Passwort 52 Millionen Mal in geleakten Datenbanken aufgetaucht ist, über viele verschiedene Lecks und Konten hinweg. Es gehört zu den ersten Vermutungen bei jedem Credential-Stuffing-Angriff, bei dem gestohlene Passwörter automatisch gegen Anmeldeseiten probiert werden. Ändern Sie es überall dort, wo es verwendet wird, beginnend mit Ihrer E-Mail und Ihrem Banking, und verwenden Sie es nie wieder.
Mein Passwort wurde nicht gefunden. Ist es jetzt sicher?
Nicht unbedingt. “Nicht gefunden” bedeutet nur, dass es in den Lecks, die dieser Korpus kennt, nicht gesehen wurde. Ein kurzes oder vorhersagbares Passwort kann im Korpus fehlen und trotzdem innerhalb von Minuten durch Raten fallen, und ein Passwort, das auf mehreren Sites wiederverwendet wird, ist ein Leck davon entfernt, sie alle zu verlieren. Behalten Sie es nur, wenn es lang, zufällig und an genau einem Ort verwendet wird.
Warum kann ich hier keine E-Mail-Adresse prüfen?
Zu prüfen, ob eine E-Mail-Adresse in Lecks vorkommt, nutzt einen anderen HIBP-Dienst — die E-Mail-Leak-API — die ein kostenpflichtiges Abonnement ist. Diese Seite nutzt nur die kostenlose Pwned-Passwords-Range-API, die Passwörter prüft, keine E-Mail-Adressen, und es wäre unehrlich, die E-Mail-Suche kostenlos zu versprechen.
Mein Passwort wurde in einem Leck gefunden. Was tue ich zuerst?
Ändern Sie es überall dort, wo Sie es verwenden, beginnend mit den Konten, die die anderen schützen — zuerst Ihre E-Mail, dann Banking und Passwort-Wiederherstellungspfade — und verwenden Sie das alte Passwort nirgendwo wieder. Erzeugen Sie mit dem Passwort-Generator einen frischen, einmaligen Ersatz und speichern Sie ihn in einem Passwort-Manager. Wenn dasselbe Passwort mehrere Konten schützte, behandeln Sie alle als offengelegt, denn Angreifer probieren ein geleaktes Passwort gegen jeden Dienst, den sie erreichen können.