So prüfen Sie, ob Ihr Passwort geleakt wurde

Passwörter tauchen ständig in Datenlecks auf. Die entscheidende Frage ist nicht, ob Leaks passieren, sondern ob Sie erkennen, wann eines Ihrer eigenen Passwörter bereits in Leak-Daten enthalten ist.

Ein privater Datenleck-Test beantwortet das, ohne das Passwort selbst zu senden. Lokal hashen, mit bekannten Leaks vergleichen, dann entscheiden, was rotiert werden muss – zuerst E-Mail, wenn dasselbe Geheimnis wiederverwendet wurde.

Was eine Leak-Prüfung aussagen kann

Ein Checker vergleicht Ihr Passwort sicher mit bekannten Leak-Datensätzen. Taucht es dort auf, behandeln Sie es als kompromittiert, auch wenn das ursprüngliche Leak älter ist. Angreifer spielen alte Paare weiter ab.

Ein Treffer beweist nicht, dass jemand gerade in Ihrem Konto ist. Er beweist, dass dieses Geheimnis kursiert und nirgendwo mehr vertrauenswürdig ist.

Was eine Leak-Prüfung nicht aussagen kann

• Nicht, welche Seite geleakt hat, und nicht wann.
• Nicht, ob bereits eine Anmeldung stattfand.
• „Nicht gefunden“ heißt nicht automatisch stark – nur, dass es im bekannten Korpus noch fehlt.
• Private Leaks, Malware-Logs und unveröffentlichte Brüche bleiben unsichtbar.
• Sie ersetzt keine einzigartigen Passwörter, keine MFA und keinen Passwortmanager.

So führen Sie eine private Prüfung durch

Öffnen Sie den Datenleck-Passwort-Checker. Geben Sie das zu prüfende Passwort ein und klicken Sie auf Prüfen. Nutzen Sie das für Secrets, auf die Sie sich noch verlassen: E-Mail, Banking, Apple/Google/Microsoft, Firmen-SSO und alles, von dem Sie wissen, dass Sie es wiederverwendet haben.

Senden Sie das Passwort nicht an eine beliebige Website, nicht in einen Chatbot und nicht an eine „Security“-Adresse. Verlangt ein Tool das volle Passwort, wählen Sie einen k-Anonymitäts-Checker.

Wie datenschutzfreundliche Prüfungen funktionieren

Gute Checker senden nicht das volle Passwort. Sie hashen es im Browser, senden nur die ersten fünf Zeichen des SHA-1-Hashs an Have I Been Pwned und beenden den Vergleich auf Ihrem Gerät. Das ist k-Anonymität.

Mit dem Add-Padding-Header fügt HIBP zusätzlich Suffixe mit Count 0 hinzu, damit die Antwortgröße schwerer zu deuten ist. Gepaddete Antworten enthalten eine zufällige Anzahl von Einträgen zwischen 800 und 1.000 – keine feste Größe.

Wenn das Passwort gefunden wird

Ändern Sie es auf dem betroffenen Konto, suchen Sie Wiederverwendung, beginnen Sie mit E-Mail und ersetzen Sie es durch ein einzigartiges Geheimnis. Die volle Reihenfolge steht in Mein Passwort wurde in einem Datenleck gefunden. Was soll ich tun?

• Ändern Sie das Passwort auf dem gerade geprüften Konto.
• Finden Sie jede weitere Stelle der Wiederverwendung – das ist der wichtigste Teil.
• Beginnen Sie mit E-Mail, weil sie andere Konten zurücksetzen kann.
• Erzeugen Sie ein neues Geheimnis mit unserem Passwort-Generator oder einer Passphrase.

Wenn es nicht gefunden wird

• Nutzen Sie trotzdem ein einzigartiges Passwort pro Konto.
• Prüfen Sie die Stärke extra, wenn das Passwort kurz oder einprägsam ist.
• „Nicht gefunden“ ist keine lebenslange Garantie. Wiederholen Sie die Prüfung nach großen öffentlichen Leaks und immer dann, wenn Sie unsicher sind, ob ein Secret wiederverwendet wurde.

Machen Sie die Prüfung zur Gewohnheit

Nutzen Sie einen Passwortmanager, damit Sie Passwörter nicht wiederverwenden müssen. Lassen Sie ihn Zufallspasswörter erzeugen und lange Passphrasen, wenn etwas merkbar bleiben muss.

Halten Sie den Datenleck-Passwort-Checker in Ihrer Routine für E-Mail, Banking und andere hochwertige Konten – besonders nach einer Leak-Meldung eines Dienstes, den Sie nutzen.