Passwort gehackt? So prüfst du, ob es geleakt wurde

So prüft es, ohne dein Passwort zu senden

Have I Been Pwned führt eine Liste mit Hunderten Millionen Passwörtern, die bei Datenlecks aufgetaucht sind. Dein Passwort zum Nachschlagen dorthin zu schicken, wäre widersinnig. Deshalb nutzt Octoolo ein Verfahren namens k-Anonymität:

• Es macht aus dem Passwort seinen SHA-1-Fingerabdruck, 40 Zeichen lang. Der Fingerabdruck von „password“ ist 5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8.
• Es sendet nur die ersten fünf Zeichen, im Beispiel 5BAA6, an api.pwnedpasswords.com.
• Der Dienst antwortet mit allen geleakten Fingerabdrücken, die genauso beginnen, meist Hunderte, aufgefüllt mit Platzhalterzeilen, damit nicht einmal die Größe der Antwort etwas verrät.
• Octoolo sucht den Rest deines Fingerabdrucks in dieser Antwort, auf deinem PC.

Der Dienst erfährt weder das Passwort noch seinen vollständigen Fingerabdruck. Nichts, was du eintippst, wird gespeichert.

Wenn dein Passwort geleakt wurde

Eine Zahl über null heißt, dass das Passwort auf den Listen steht, die Kriminelle zuerst ausprobieren, wenn sie geleakte Passwörter bei anderen Diensten testen. Es heißt nicht, dass jemand in dein Konto eingedrungen ist, und es sagt nicht, welcher Dienst es verloren hat. Behandle es trotzdem als verbrannt:

• Ändere es überall, wo du es benutzt hast, zuerst bei deinem E-Mail-Konto, denn darüber lässt sich alles andere zurücksetzen.
• Gib jedem Dienst sein eigenes Passwort. Der Passwort-Generator oder der Würfel im Tresor erstellt eins mit einem Klick.
• Schalte die Zwei-Faktor-Anmeldung ein, wo es geht, mit einer Authenticator-App oder der eigenen Methode des Dienstes.
• Prüf das Konto auf Änderungen, die du nicht gemacht hast, etwa eine neue E-Mail-Adresse oder Telefonnummer zur Wiederherstellung.

Lies nicht zu viel in die Höhe der Zahl. Ein Passwort, das einmal gesehen wurde, ist genauso verbrannt wie eins mit einer Million Treffern: So oder so steht es auf Listen, die weitergegeben und ausprobiert werden.

Was das Ergebnis nicht sagt

In keinem bekannten Leak gefunden heißt genau das. Ein kurzes oder vorhersehbares Passwort lässt sich erraten, ohne je geleakt worden zu sein. Deshalb läuft neben der Prüfung die Stärkeanzeige, die auf dem Schätzer zxcvbn beruht. Umgekehrt kommt es auch vor: Ein langes, starkes Passwort kann trotzdem leaken, wenn ein Dienst es nachlässig gespeichert hat. Ziel ist beides: nicht gefunden und als Stark bewertet.

Die Prüfung gilt Passwörtern, nicht E-Mail-Adressen. In welchen Leaks deine E-Mail-Adresse auftaucht, findest du über die Suche auf der Website von Have I Been Pwned heraus, oder beim Identity Leak Checker des Hasso-Plattner-Instituts.

Willst du jedes gespeicherte Passwort statt nur eines prüfen, öffne im Passwort-Manager den Tab Gesundheit und drück Auf Leaks prüfen. Er markiert jeden geleakten Eintrag mit der Zahl der Treffer und listet auch schwache, mehrfach verwendete und über ein Jahr alte Passwörter auf.

Andere Wege zu prüfen, und wie sie sich unterscheiden

Die Website von Have I Been Pwned hat eine Passwortsuche, und Browser prüfen die Passwörter, die sie speichern: Der Passwortcheck von Chrome und die Kennwortüberwachung von Edge warnen dich vor geleakten. Das sind gute Gewohnheiten, mit Grenzen. Ein Browser prüft nur, was er selbst speichert, und wer ein Passwort in eine Webseite tippt, muss dieser Seite vertrauen.

Die Prüfung von Octoolo funktioniert mit jedem Passwort, das du eingibst, egal wo du es aufbewahrst, aus einem Programm auf deinem eigenen PC, das dem oben beschriebenen Verfahren folgt. Der Passwort-Manager deckt dann alles in deinem Tresor auf einmal ab. Nimm das, was du tatsächlich benutzen wirst: Entscheidend ist, dass geleakte Passwörter ersetzt werden.

Egal, was du nutzt, prüf ab und zu erneut. Neue Datenlecks kommen auf die Liste, sobald sie bekannt werden, ein Passwort, das letztes Jahr sauber war, kann also heute auftauchen.