Woher geleakte Passwörter kommen
Eine Website speichert genug Informationen, um Ihr Passwort beim Anmelden zu erkennen. Gute Seiten speichern einen langsamen, gesalzenen Hash, nicht das Passwort selbst. Leaks legen dennoch Passwortdatenbanken offen, und schlechte Umsetzungen, alte Algorithmen oder schwache Passwörter lassen Angreifer viele der ursprünglichen Werte wiederherstellen. Diese Werte landen in Knacklisten und werden anderswo ausprobiert.
Ein Treffer sagt daher etwas über das Passwort aus, nicht über den Zustand des Geräts in Ihrer Hand. Er beweist nicht, dass Schadsoftware Ihre Tastatur mitgelesen hat oder dass ausgerechnet das geprüfte Konto die betroffene Website war. Das Passwort kann vor Jahren von einem ganz anderen Dienst stammen.
Wie die Prüfung funktioniert, ohne das Passwort preiszugeben
Sealbys Prüfer berechnet in Ihrem Browser einen SHA-1-Fingerabdruck des vollständigen Passworts. SHA-1 dient hier nur als das von der Pwned-Passwords-Datenbank verlangte Suchformat, nicht zur Speicherung oder Absicherung Ihres Passworts. Die Seite sendet die ersten fünf Hexadezimalzeichen dieses Fingerabdrucks – niemals das Passwort und niemals den vollständigen Fingerabdruck.
Der Dienst liefert hunderte Fingerabdruck-Endungen mit demselben Präfix zurück, aufgefüllt, damit die Antwortgröße weniger verrät. Ihr Browser vergleicht die echte Endung lokal und ignoriert die Auffülleinträge. Das nennt man k-Anonymität: Der Server sieht eine Menge möglicher Passwörter, während Ihr Gerät weiß, welchen vollständigen Fingerabdruck es sucht.
Was ein Treffer ehrlich bedeutet
Ein Treffer bedeutet, dass genau dieser Passwort-Fingerabdruck in bekannten Daten kompromittierter Passwörter steht. Angreifer können dieses Passwort weit vorn in eine Rateliste setzen. Er sagt nicht, wer es verwendet hat, aus welchem Leak es stammt oder ob ein bestimmtes Konto bereits geöffnet wurde.
Die Gefahr ballt sich dort, wo Sie es wiederverwendet haben. Automatisierte Credential-Stuffing-Tools probieren ein geleaktes E-Mail-Passwort-Paar bei Mail, Shops, sozialen Netzwerken und Finanzdiensten aus. Aus einem alten Leak werden mehrere Kontoübernahmen, weil das Passwort weitergewandert ist.
In dieser Reihenfolge beheben
1. Die Wiederverwendung beseitigen. Ändern Sie das Passwort überall, wo es vorkommt. Beginnen Sie mit E-Mail und jedem Konto, das andere Konten zurücksetzen kann, dann Finanzdienste, Arbeit, soziale Konten und Shops. Melden Sie dabei unbekannte Sitzungen ab.
2. Jeden Ersatz einzigartig machen. Ein Passwortmanager kann zufällige Passwörter erzeugen und merken. Für Geheimnisse, die Sie tippen oder sich merken müssen, nehmen Sie mehrere zufällig gewählte Wörter aus dem Passphrasen-Generator. Erstellen Sie nicht ein einziges starkes Passwort und verwenden es erneut.
3. Eine zweite Hürde hinzufügen. Aktivieren Sie 2FA, möglichst mit Authenticator-App oder Sicherheitsschlüssel statt SMS, wenn der Dienst die Wahl lässt. Ein Passkey ist noch besser, wo unterstützt, denn er ist an die jeweilige Website gebunden und widersteht Phishing.
Was ein sauberes Ergebnis nicht beweist
Kein Leak-Korpus enthält jedes gestohlene Passwort. Eine Website weiß vielleicht nicht, dass sie kompromittiert wurde, ein Angreifer hält Daten womöglich zurück, und ein schwaches Passwort lässt sich erraten, ohne je in einem Leak aufzutauchen. „Nicht gefunden“ ist ein nützliches Signal, kein Stärkezertifikat.
Bewerten Sie das gesamte Setup: pro Website einzigartig, lang oder zufällig erzeugt, sicher verwahrt und mit 2FA oder Passkeys abgesichert. Wenn Sie sehen möchten, warum Länge und Speicheralgorithmen die Ratezeit verändern, lesen Sie, wie Brute-Force-Angriffe funktionieren.