Passwort geleakt prüfen: Ist mein Passwort in Datenlecks?

So verwenden Sie es

Tippen Sie das Passwort in Passwort ein. Es ist verborgen. Drücken Sie Anzeigen, um zu lesen, was Sie eingegeben haben.
Drücken Sie Prüfen. Die Seite bildet den Hash des Passworts in Ihrem Browser und sendet nur die ersten fünf Zeichen des Hashs.
Lesen Sie das Ergebnis ab: Gefunden mit einer Anzahl heißt, das Passwort steht in Datenlecks. Nicht gefunden heißt, es steht nicht in dieser Liste.
Wurde es gefunden, ändern Sie es überall, wo Sie es verwendet haben. Zum Prüfen eines neuen Passworts nutzen Sie den Passwort-Stärke-Prüfer.

Was gesendet wird und was nicht

Das Passwort wird in Ihrem Browser mit SHA-1 gehasht. Ein Hash ist eine feste Zeichenkette aus 40 hexadezimalen Zeichen, etwa 5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8 für das Passwort password, und er lässt sich nicht in das Passwort zurückverwandeln. Die Seite sendet nur die ersten fünf Zeichen des Hashs, also etwa 5BAA6, in einer Anfrage an die Bereichsadresse des Dienstes Pwned Passwords.

Der Dienst antwortet mit allen bekannten Hashes aus Datenlecks, die mit diesen fünf Zeichen beginnen. Der Rest Ihres Hashs wird dann in dieser Antwort gesucht, und zwar in Ihrem Browser. Viele verschiedene Passwörter teilen dieselben fünf Zeichen, daher kann der Dienst nicht erkennen, welches Passwort geprüft wurde. Das ist die k-Anonymität, die der Dienst beschreibt.

Gesendet: die fünf Zeichen des Hashs und der Header Add-Padding, der den Dienst bittet, seine Antwort mit leeren Einträgen aufzufüllen, damit die Größe der Antwort nicht zeigt, wie viele Hashes passten. Wie bei jeder Webanfrage sieht der Dienst die Adresse Ihrer Verbindung.
Nicht gesendet: das Passwort, der vollständige Hash, der Rest des Hashs oder die Länge des Passworts. Die Anfrage enthält keine Cookies und keinen Referrer.
Nicht gespeichert: Die Seite behält nichts. Ein Neuladen vergisst das Passwort und das Ergebnis.

Was das Ergebnis bedeutet

Gefunden heißt, dass das Passwort in Daten vorkommt, die bei einem früheren Datenleck abgeflossen sind. Die Zahl gibt an, wie oft es in der Liste steht. Angreifer probieren solche Passwörter bei Konten aus, daher ändern Sie es überall, wo Sie es verwendet haben.

Nicht gefunden heißt nur, dass das Passwort nicht in dieser Liste steht. Das zeigt nicht, dass das Passwort stark ist, und es deckt keine Lecks ab, die in der Liste fehlen. Prüfen Sie auch seine Stärke mit dem Passwort-Stärke-Prüfer.

Rechenbeispiel: password

Der SHA-1-Hash von password ist 5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8. Die Seite sendet nur die ersten fünf Zeichen, 5BAA6, und sucht die übrigen 35 Zeichen, 1E4C9B93F3F0682250B6CF8331B7EE68FD8, in der Antwort. Steht dieser Rest mit einer Anzahl über 0 darin, ist das Ergebnis Gefunden mit dieser Anzahl. Steht er nicht darin, ist das Ergebnis Nicht gefunden.

Häufig gestellte Fragen

Wird mein Passwort an den Dienst gesendet?

Nein. Gesendet werden nur die ersten fünf Zeichen des SHA-1-Hashs. Der Dienst kann daraus das Passwort nicht ermitteln, und der Rest des Hashs wird in Ihrem Browser verglichen.

Warum schickt der Dienst so viele Hashes zurück?

Er gibt jeden bekannten Hash zurück, der mit denselben fünf Zeichen beginnt, daher kann er nicht erkennen, welchen Sie geprüft haben. Das ist die k-Anonymität, und sie lässt die Prüfung ohne Preisgabe des Passworts laufen.

Was sollte ich tun, wenn das Ergebnis Gefunden lautet?

Betrachten Sie das Passwort als offengelegt. Ändern Sie es auf jeder Seite, auf der Sie es verwendet haben, und nutzen Sie es nicht noch einmal. Aktivieren Sie die Zwei-Faktor-Anmeldung, wo die Seite sie anbietet.

Heißt Nicht gefunden, dass das Passwort sicher ist?

Nein. Die Liste enthält nur Passwörter, die in den erfassten Datenlecks vorkamen. Ein schwaches Passwort kann daher trotzdem fehlen. Prüfen Sie auch seine Stärke, denn ein kurzes oder gängiges Muster ist schwach, noch bevor es abfließt.

Speichert die Seite oder protokolliert sie, was ich eingebe?

Nein. Das Passwort bleibt im Feld und im Speicher der Seite, solange die Seite offen ist. Nichts wird im Browser gespeichert oder in die Adresse geschrieben, und die Seite stellt keine andere Anfrage.

Welchen Dienst nutzt die Prüfung?

Den Bereichsdienst Pwned Passwords von Have I Been Pwned, dokumentiert auf haveibeenpwned.com. Die Seite ruft dessen Bereichsadresse direkt aus Ihrem Browser auf.

Quellen

Zahlen und Text zuletzt geprüft: Dienstag, 10. November 2026.