Geleakte Passwörter prüfen

Warum ein geleaktes Passwort schlimmer ist als ein schwaches

Wird eine Website gehackt, steht die gestohlene Kontentabelle meist zum Verkauf, und eine Weile später ist sie gratis. Über die Jahre wurden diese Dumps zu Sammlungen mit Milliarden von Paaren aus E-Mail-Adresse und Passwort zusammengeführt. Angreifer haben das Raten längst aufgegeben. Sie füttern ein Skript mit den Paaren, das jedes bei Banken, E-Mail-Anbietern und Shops ausprobiert. Das heißt Credential Stuffing und klappt jedes Mal, wenn jemand ein Passwort wiederverwendet hat.

Ein Passwort, das in diesen Sammlungen steht, ist also verbrannt, egal wie lang oder kompliziert es aussieht. Tr0ub4dor&3 beeindruckt jede Stärkeanzeige und steht trotzdem in den Listen.

Diese Prüfung fragt Pwned Passwords ab, die öffentliche Datenbank des Projekts Have I Been Pwned. Sie enthält die Passwörter aus den Datenlecks, die das Projekt verarbeitet hat, jeweils mit der Anzahl, wie oft es gesehen wurde.

Prüfen, ohne das Passwort herauszugeben

Sein Passwort an eine Website zu schicken, um zu fragen, ob es sicher ist, wäre eine seltsame Art, es zu schützen. Die Prüfung umgeht das mit einem Verfahren namens k-Anonymität:

1. Ihr Browser berechnet den SHA-1-Hash dessen, was Sie eingetippt haben. Ein Hash ist ein Code fester Länge, der aus dem Text abgeleitet wird. Für Summer2024! lautet er 7E8B0A3433F1210A9699D85420E363A1B162ECAC.
2. Nur die ersten fünf Zeichen, hier 7E8B0, gehen an unseren Server, der sie an den Dienst Pwned Passwords weiterreicht.
3. Der Dienst schickt jeden geleakten Hash zurück, der mit diesen fünf Zeichen beginnt, typischerweise ein- bis zweitausend Stück, aufgefüllt mit Täuschzeilen, damit nicht einmal die Größe der Antwort etwas verrät.
4. Ihr Browser sucht in dieser Liste nach den restlichen 35 Zeichen Ihres Hashs.

Es gibt 1.048.576 mögliche Präfixe aus fünf Zeichen. Wer Ihres sieht, erfährt, dass Ihr Passwort eines der Tausenden ist, die es teilen, oder keines davon. Mehr bekommt er nicht. Die Zeile unter dem Ergebnis zeigt das gesendete Präfix und wie viele Hashes zurückkamen, Sie können den Austausch also selbst beobachten.

Die zwei möglichen Antworten lesen

In Leaks gefunden, mit einer Zahl

Die Zahl gibt an, wie oft genau dieses Passwort in den geleakten Daten vorkommt. Eine Zahl im Tausenderbereich heißt, dass viele Leute es gewählt haben und es weit oben auf jeder Angriffsliste steht. Eine Zahl von 1 oder 2 kann gut Ihr eigenes Konto aus einem alten Datenleck sein. So oder so: Betrachten Sie das Passwort als öffentlich.

Kein Leak gefunden

Das Passwort ist nicht in der Datenbank. Eine gute Nachricht, aber nur die halbe: Ein Datenleck, das noch nicht aufgetaucht ist, ist nicht erfasst, und ein kurzes Passwort lässt sich immer noch direkt erraten.

Wegen dieser zweiten Hälfte schätzt die Seite beim Tippen auch die Stärke, auf Ihrem Gerät. Die Schätzung geht von der Länge multipliziert mit der Vielfalt der verwendeten Zeichen aus (Kleinbuchstaben, Großbuchstaben, Ziffern, Symbole), ausgedrückt in Bit. Dann zieht sie Punkte für die Gewohnheiten ab, die Angreifer zuerst ausprobieren: ein sehr häufiges Wort, auch mit Ziffern statt Buchstaben; vier aufeinanderfolgende Tasten oder Buchstaben wie qwer oder 1234; dasselbe Zeichen dreimal hintereinander; eine Jahreszahl. Unter 28 Bit gilt als sehr schwach, unter 45 als schwach, unter 65 als mittel, 65 oder mehr als stark. Ein Passwort, das nicht geleakt ist, aber unter „mittel“ liegt, bekommt eine Warnung.

Was tun, wenn es auf der Liste steht

1. Ändern Sie es zuerst bei Ihrem E-Mail-Konto. Ihr Postfach empfängt die Links zum Zurücksetzen für alles andere, deshalb will ein Angreifer genau dieses Konto am meisten.
2. Ändern Sie es überall sonst, wo Sie es benutzt haben, auch in den Varianten mit einer anderen Ziffer am Ende. Skripte probieren die ebenfalls.
3. Lassen Sie einen Passwortmanager die neuen Passwörter erzeugen. Bitwarden, 1Password, KeePassXC oder der eingebaute Manager Ihres Browsers oder Handys erzeugt und merkt sich für jede Website ein anderes Zufallspasswort. Müssen Sie sich eines merken, sind vier oder fünf zusammenhanglose Wörter stärker und leichter als ein kurzer Mix aus Symbolen.
4. Schalten Sie die Zwei-Faktor-Authentifizierung ein, wo immer sie angeboten wird, am besten mit einer Authenticator-App oder einem Passkey. Danach reicht ein gestohlenes Passwort nicht mehr zum Anmelden.

Diese Prüfung behandelt ein Passwort auf einmal und weiß nicht, welche Ihrer Konten von Datenlecks betroffen sind. Um nach E-Mail-Adresse zu suchen, gehen Sie direkt auf die Website von Have I Been Pwned. Die meisten Passwortmanager können außerdem einen ganzen Tresor mit demselben k-Anonymitäts-Verfahren prüfen.