Prüfen Sie, ob ein Passwort in bekannten Datenlecks auftaucht — das Passwort selbst verlässt Ihren Browser nie.
Angreifer raten Passwörter nur selten einzeln. Sie nehmen die Zugangsdaten-Sammlungen aus gehackten Seiten und probieren genau diese Passwörter bei jedem anderen Dienst durch — E-Mail, Banking, Arbeitskonten. Das nennt sich Credential Stuffing, und es funktioniert, weil Passwörter mehrfach verwendet werden. Diese Seite sagt Ihnen, ob eines Ihrer Passwörter bereits in diesen Sammlungen steht. Dazu fragt sie Pwned Passwords ab, die von Have I Been Pwned gepflegte Datenbank, die Milliarden von Passwörtern aus öffentlichen Datenlecks indexiert und meldet, wie oft genau Ihr Passwort dort einzeln vorkommt.
Einen Dienst nach einem Passwort zu fragen, hieße normalerweise, es ihm auszuhändigen — genau das, was man nie tun sollte. Das k-anonymity-Verfahren beseitigt dieses Problem. Ihr Browser berechnet den SHA-1-Hash des Passworts, einen 40 Zeichen langen Code, der sich nicht in den ursprünglichen Text zurückverwandeln lässt, und sendet davon nur die ersten fünf Zeichen. Die Datenbank antwortet mit allen geleakten Hashes, die mit diesem Präfix beginnen — einige Tausend, von Passwörtern, die mit Ihrem nichts zu tun haben —, und der abschließende Vergleich findet in Ihrem Browser statt. Der Dienst kann nicht erkennen, nach welchem dieser Tausenden Sie gefragt haben. Die Anfrage trägt zusätzlich einen Padding-Header, sodass jede Antwort in einheitlicher Größe zurückkommt und nicht einmal ihre Länge etwas verrät. Zu Vai.la gelangt nichts: Die Anfrage geht von Ihrem Browser direkt an die Passwort-Datenbank, und diese Seite speichert und protokolliert nichts.
Ein Passwort, das auch nur einmal gefunden wird, sollte als verbrannt gelten: Ändern Sie es überall dort, wo Sie es verwendet haben — beginnend bei der E-Mail, dem Konto, über das sich alle anderen zurücksetzen lassen, und bei allem Finanziellen. Eine hohe Trefferzahl bedeutet, dass es nicht nur geleakt, sondern verbreitet ist und weit oben auf jeder Wortliste von Angreifern steht; „123456“ kommt zig Millionen Mal vor. Eine Zahl von null ist eine gute Nachricht, aber kein Gesundheitszeugnis: Sie bedeutet, dass genau diese Zeichenfolge nicht in der Sammlung steht, die diese Datenbank indexiert — nicht, dass sie nie geleakt wurde, und nicht, dass sie schwer zu erraten ist. Datenlecks brauchen Monate, bis sie öffentlich werden, und kurze Passwörter fallen dem reinen Durchprobieren zum Opfer, ohne je in einer Sammlung aufzutauchen. Die dauerhafte Lösung ist ein anderes, zufällig erzeugtes Passwort für jede Seite, aufbewahrt in einem Passwortmanager, mit Zwei-Faktor-Authentifizierung für die Konten, auf die es ankommt.
SHA-1 erzeugt 160 Bit, geschrieben als 40 hexadezimale Zeichen. Gesendet werden davon die ersten 5 — 20 Bit, also 1.048.576 mögliche Präfixe. Pwned Passwords indexiert Milliarden von Hashes, ein Präfix liefert derzeit also einige Tausend davon zurück, Täuschungseinträge inbegriffen. Der Dienst erfährt ein Präfix von 1.048.576 und sieht die restlichen 140 Bit nie; die genaue Zahl der zurückgegebenen Hashes wird zusammen mit dem Ergebnis angezeigt.
Nein. Ihr Browser bildet den SHA-1-Hash lokal und sendet nur die ersten fünf Zeichen dieses Hash, direkt an die API von Pwned Passwords. Das Passwort und die übrigen 35 Zeichen verlassen die Seite nie, und Vai.la erhält nichts. Sie können das im Netzwerk-Tab Ihres Browsers nachprüfen.
Sie antwortet auf das Präfix, nicht auf Ihr Passwort. Jeder geleakte Hash, der mit diesen fünf Zeichen beginnt, kommt in einer Liste zurück — einige Tausend Einträge — und Ihr Browser führt den Abgleich durch. Der Dienst sieht immer nur ein Präfix, das Tausende völlig verschiedener Passwörter gemeinsam haben.
Nein — und das ist der Teil des Ergebnisses, der am häufigsten falsch verstanden wird. Es bedeutet nur, dass genau diese Zeichenfolge nicht in den Datenlecks steht, die diese Datenbank indexiert. Sie kann an einer Stelle geleakt sein, die nie öffentlich wurde, und ein kurzes oder vorhersehbares Passwort wird durch Raten geknackt, ohne je zu leaken.
Nicht unbedingt. Die Zahl gibt an, wie oft diese Zeichenfolge über alle indexierten Datenlecks hinweg vorkommt, von beliebigen Nutzern irgendwo. Ein verbreitetes Passwort erreicht Millionen Vorkommen ohne jeden Bezug zu Ihnen — aber es steht auf jeder Wortliste von Angreifern, ändern Sie es also überall dort, wo Sie es verwenden.
Von Pwned Passwords, dem kostenlosen Dienst des Sicherheitsforschers Troy Hunt als Teil von Have I Been Pwned. Er bündelt Passwörter aus öffentlichen Datenlecks und wächst, sobald neue verarbeitet werden — ein sehr frisches Leck kann also noch fehlen. Die Prüfung läuft live, sobald Sie klicken.
Vai.la verwandelt jede URL in einen Kurzlink mit Klick-Statistiken, QR-Code und Ihrem eigenen Biolink.
Vai.la übernimmt keine Verantwortung für die Nutzung der Tools oder für Entscheidungen, die auf ihren Ergebnissen basieren.