Wie kann das sicher sein?
Der Abgleich nutzt ein Verfahren namens k-Anonymität. Dein Browser berechnet einen SHA-1-Hash deines Passworts, zum Beispiel 5BAA6…, und fragt bei Have I Been Pwned nur nach allen bekannten Hashes, die mit diesen ersten fünf Zeichen beginnen. Zurück kommt eine Liste mit einigen Hundert Einträgen. Ob deiner darunter ist, prüft dein Browser selbst. Weder wir noch Have I Been Pwned erfahren dein Passwort oder den vollständigen Hash.
Du kannst das im Netzwerk-Tab deines Browsers nachprüfen. Trotzdem gilt als Faustregel: Gib dein wichtigstes Passwort, etwa das für dein E-Mail-Postfach, nirgends ein, wo du es nicht musst.
Mein Passwort wurde gefunden. Was jetzt?
- Ändere das Passwort überall, wo du es verwendest. Fang mit E-Mail, Online-Banking und Konten mit Zahlungsdaten an.
- Verwende ab jetzt für jedes Konto ein eigenes Passwort. Ein Passwort-Manager macht das ohne Aufwand möglich.
- Schalte die Zwei-Faktor-Anmeldung ein, wo es geht. Dann reicht ein geleaktes Passwort allein nicht mehr aus.
Was ein starkes Passwort ausmacht
Die Länge zählt mehr als Sonderzeichen. Ein zufälliges Passwort mit 16 Zeichen ist praktisch nicht zu erraten. Wörter, Namen, Geburtsjahre und Tastaturmuster wie qwertz probieren Angreifer dagegen zuerst aus. Ein neues Passwort erstellst du am einfachsten mit unserem Passwort-Generator.