So nutzt du: Passwort-Leak-Checker
- Gib das Passwort ein oder füge es ein, das du prüfen willst. Es bleibt auf dieser Seite.
- Klicke auf Prüfen. Dein Browser berechnet den SHA-1-Hash und sendet nur die ersten 5 Zeichen an Have I Been Pwned.
- Der Dienst gibt alle geleakten Hashes mit diesem Präfix zurück; dein Browser sucht lokal nach einer vollständigen Übereinstimmung.
- Wurde es gefunden, verwende dieses Passwort nirgends mehr und wechsle zu einem einzigartigen aus einem Passwort-Manager.
Wie die Prüfung funktioniert, ohne dein Passwort zu senden
Hier wird das k-Anonymitäts-Modell des Pwned-Passwords-Dienstes von Have I Been Pwned genutzt. Dein Browser hasht das Passwort mit SHA-1 (zum Beispiel 5BAA6… für „password“) und fragt /range/5BAA6 ab. Der Dienst antwortet mit allen ~800 geleakten Hashes, die mit diesen 5 Zeichen beginnen, und der Browser prüft, ob deiner dabei ist. Niemand – weder devpack noch der Dienst – erfährt dein Passwort oder auch nur den vollständigen Hash. Anfragen werden aufgefüllt, damit die Antwortgröße nichts verrät.
Was das Ergebnis bedeutet
- Gefunden: Das Passwort steht in Leak-Listen, die Angreifer für „Credential Stuffing“ nutzen. Ändere es auf jeder Seite, auf der du es verwendet hast, auch wenn es stark wirkt.
- Nicht gefunden: Es ist in keinem bekannten Leak enthalten. Das macht es nicht automatisch stark – kurze oder leicht erratbare Passwörter lassen sich trotzdem knacken. Prüfe es mit dem Passwort-Stärke-Checker.
Gute Passwort-Gewohnheiten
Nutze für jede Seite ein eigenes Passwort (ein Passwort-Manager macht das einfach), aktiviere die Zwei-Faktor-Authentifizierung und erstelle lange, zufällige Passwörter mit dem Passwort-Generator.
Daten: Pwned Passwords von Troy Hunt, CC BY 4.0.
Auch gesucht als: wurde mein passwort geleakt, passwort datenleck prüfen, have i been pwned passwort, ist mein passwort kompromittiert, geleaktes passwort prüfen, passwort datenleck check, pwned passwords.
Passende Tools zu: Passwort-Leak-Checker
- Hash-Generator — Berechne MD5- und SHA-Hashes von beliebigem Text oder beliebiger Datei sofort, erstelle HMAC-Signaturen und füge eine erwartete Prüfsumme ein, um einen Download zu verifizieren.
- TOTP-Generator — Füge einen Base32-Schlüssel ein, um den aktuellen 6-stelligen 2FA-Code mit Live-Countdown zu sehen – genau das, was Google Authenticator, Authy oder 1Password anzeigen würden.
- Bcrypt Generator & Prüfer — Erstelle Bcrypt-Hashes für Testnutzer, Seed-Daten oder Konfigurationsdateien und prüfe, ob ein Passwort zu einem gespeicherten Hash passt – ohne etwas davon irgendwohin zu senden.
- Security Headers Prüfer — Bewerte die HTTP-Sicherheitsheader einer Website von A+ bis F, sieh, welche fehlen und warum sie wichtig sind, und kopiere fertige Konfigschnipsel für Nginx, Apache, Netlify, Vercel oder Cloudflare.