Kostenloses Privatsphäre-Tool
Ist dieses Passwort geleakt?
Milliarden Passwörter sind in Datenlecks aufgetaucht, und Angreifer probieren genau die zuerst. Prüf hier eins. Das Passwort selbst verlässt deinen Browser nie: Gesendet werden nur die ersten 5 Zeichen eines lokal berechneten Fingerabdrucks. Sieh unten genau zu, was passiert.
Was deinen Browser verlässt
Dein Passwort bleibt auf dieser Seite
Diese Seite sendet, speichert oder protokolliert das rohe Passwort nie. Alles Weitere arbeitet mit einem lokalen Fingerabdruck davon.
Dein Browser berechnet einen SHA-1-Fingerabdruck
Lokal, mit der eingebauten Web Crypto API:
Nur die ersten 5 Zeichen werden gesendet
Eine anonyme Anfrage geht raus. Jedes Passwort, dessen Fingerabdruck gleich beginnt, sieht genauso aus wie deins:
GET api.pwnedpasswords.com/range/
Der Abgleich passiert wieder hier
Der Dienst liefert hunderte Fingerabdruck-Endungen für dieses Präfix zurück, aufgefüllt, damit die Antwortgröße weniger verrät. Dein Browser vergleicht sie lokal.
In Datenlecks gefunden
Das heißt, Angreifer haben es bereits auf ihren Listen. Es wird zu den ersten Rateversuchen gegen jedes Konto gehören, das es nutzt. Wenn es etwas von dir schützt, ändere es dort und verwende es nirgendwo sonst wieder. Die dauerhafte Lösung: ein eigenes Passwort pro Konto, verwahrt in einem Manager, dem du vertraust.
Wo du 2FA-Backup-Codes und Wiederherstellungsschlüssel sicher aufbewahrst →In bekannten Datenlecks nicht gefunden
Es taucht in den Leak-Daten nicht auf. Das ist ein gutes Zeichen, keine Garantie. Ständig kommen neue Lecks ans Licht, und „bisher nicht geleakt“ ersetzt kein Passwort, das lang ist, nur für ein Konto gilt und durch Zwei-Faktor-Anmeldung abgesichert wird.
Wo du 2FA-Backup-Codes und Wiederherstellungsschlüssel sicher aufbewahrst →Der Prüfdienst war nicht erreichbar
Es wurde nichts geprüft, und außer dem Versuch hat nichts deinen Browser verlassen. Versuch es gleich noch einmal.
So funktioniert der k-anonymity-Trick
Die Frage „Ist dieses Passwort geleakt?“ naiv zu stellen hieße, das Passwort an jemanden zu senden, genau das, was man nie tun sollte. Der k-anonymity-Ansatz sendet das rohe Passwort nie. Der Dienst erhält ein 5 Zeichen langes Hash-Präfix, das viele Tausend mögliche Passwörter teilen, dazu die üblichen Metadaten jeder Web-Anfrage.
Dein Browser bildet mit SHA-1 einen Fingerabdruck des Passworts und sendet dann nur die ersten 5 der 40 Zeichen. Jedes Passwort, dessen Fingerabdruck gleich beginnt, Hunderttausende davon, erzeugt dieselbe Anfrage, sodass der Dienst über deins fast nichts erfährt. Er antwortet mit allen bekannten geleakten Fingerabdruck-Endungen für dieses Präfix, und dein Browser macht den eigentlichen Abgleich hier.
Diese Seite fordert außerdem aufgefüllte Antworten an. Das dämpft ab, was Antwortgrößen andeuten könnten, kann es aber nicht vollständig beseitigen. Wie bei jeder Web-Anfrage sieht der Dienst weiterhin gewöhnliche Netzwerk-Metadaten wie deine IP-Adresse. Was er nie sieht, ist das Passwort oder genug von seinem Hash, um es zu identifizieren.
Manches gehört nicht in eine Notizen-App.
2FA-Backup-Codes, Wiederherstellungsschlüssel, die Passwörter, die alles andere aufsperren. Sealby hält sie verschlüsselt auf deinem Gerät, lesbar für niemanden außer dir.
iPhone & iPad · iOS 17+ · Kostenlos