Datenleck-Prüfung
Breach Check
Prüft, ob ein Passwort in den Leak-Daten von Have I Been Pwned auftaucht, und sendet dazu nur die ersten fünf Zeichen seines SHA-1-Hashes aus dem Browser (k-Anonymität).
Ein Passwort, das in einer öffentlichen Datenleck-Sammlung auftaucht, ist nicht schwach – es ist bereits bekannt, und keine Länge und keine Entropie ändern daran etwas. Dieses Werkzeug prüft Ihres gegen die Pwned-Passwords-Sammlung von Have I Been Pwned, ohne dass das Passwort oder ein vollständiger Hash davon jemals den Tab verlässt.
Das Passwort wird in diesem Tab mit SHA-1 gehasht, und nur die ersten fünf Zeichen dieses Hashes gehen an Have I Been Pwned (k-Anonymität). Der Dienst gibt mehrere Hundert geleakte Hashes mit demselben Präfix zurück, und Ihr Browser prüft, ob Ihrer darunter ist. Unser Server hat damit an keiner Stelle zu tun.
Die Leak-Abfrage für E-Mail-Adressen gibt es hier nicht: Have I Been Pwned verlangt dafür einen kostenpflichtigen API-Schlüssel, und sie ist nicht k-anonym. Auf haveibeenpwned.com können Sie sie selbst durchführen.
So funktioniert es
Tippen Sie das Passwort ein
Es wird im Browser mit SHA-1 gehasht. Nur die ersten fünf Hex-Zeichen dieses Hashes werden gesendet.
Der Dienst liefert einen Bereich, keine Antwort
Mehrere hundert geleakte Hashes teilen dieses Präfix. Sie kommen alle zurück, und Ihr Browser sucht Ihren in der Liste – der Dienst erfährt nie, welcher es war, und auch nicht, ob er überhaupt darin stand.
Handeln Sie bei einem Treffer sofort
Eine Zahl über null bedeutet: überall ändern, wo es verwendet wurde, nicht nur dort, wo es Ihnen aufgefallen ist. Die Zahl selbst gibt an, in wie vielen Datenleck-Datensätzen es enthalten ist, nicht, wie oft Sie betroffen waren.
Häufige Fragen
Erreicht mein Passwort irgendjemandes Server?
Nein. Fünf Hex-Zeichen eines SHA-1-Hashes gehen hinaus; dieses Präfix teilen sich Hunderttausende möglicher Passwörter, und es lässt sich nicht umkehren. Die Anfrage geht von Ihrem Browser direkt an die API – der Server dieser Website liegt nicht auf dem Weg.
Kann ich eine E-Mail-Adresse auf Datenlecks prüfen?
Nicht hier. Die E-Mail-Abfrage erfordert einen kostenpflichtigen API-Schlüssel und lässt sich nicht k-anonym durchführen, deshalb wird sie lieber nicht angeboten als schlecht gemacht.
Nicht gefunden. Ist das Passwort sicher?
Es bedeutet, dass es nicht in dieser Sammlung ist. Datenlecks, die nie veröffentlicht wurden oder nie in die Sammlung gelangt sind, sind nicht abgedeckt – und ein Passwort, das in keiner Liste steht, kann trotzdem schwach sein. Lassen Sie es auch durch den Stärke-Check laufen.
Warum SHA-1, das doch gebrochen ist?
Weil die veröffentlichte Sammlung nach SHA-1 indiziert ist und das Protokoll so definiert ist. Auf Kollisionsresistenz wird hier nicht gebaut – der Hash ist ein Nachschlageschlüssel, kein Passwortspeicher.
Eingabe aus
Passwortstärke prüfen
Password Strength Meter
Schätzt, wie lange das Knacken eines Passworts dauern würde, und benennt die Muster, die es schwächen.
Wegwerf-E-Mail
Disposable Email
Gibt Ihnen ein Wegwerf-Postfach, das für begrenzte Zeit Mails empfängt, mit Anhängen, die sich direkt ansehen lassen.
Passwort-Export konvertieren
Password Export Converter
Wandelt einen CSV-Export eines Passwortmanagers zwischen den Layouts von 1Password, Bitwarden, Chrome/Edge, KeePass, KeePassXC und LastPass um, mit dokumentierter Spaltenzuordnung für jeden – ohne Upload, komplett im Browser.
Passwort-Generator
Password Generator
Erzeugt zufällige Passwörter mit Länge, Zeichensatz und Regeln für verwechselbare Zeichen, bei Bedarf in Masse – ohne Upload, komplett im Browser.
Danach
Diese Tools nehmen an, was dieses hier erzeugt, das Ergebnis kann also direkt weiter.
Passwort-Generator
Password Generator
Erzeugt zufällige Passwörter mit Länge, Zeichensatz und Regeln für verwechselbare Zeichen, bei Bedarf in Masse – ohne Upload, komplett im Browser.
Passwortstärke prüfen
Password Strength Meter
Schätzt, wie lange das Knacken eines Passworts dauern würde, und benennt die Muster, die es schwächen.
Wegwerf-E-Mail
Disposable Email
Gibt Ihnen ein Wegwerf-Postfach, das für begrenzte Zeit Mails empfängt, mit Anhängen, die sich direkt ansehen lassen.
CORS-Tester
CORS Tester
Sendet den Preflight, den ein Browser von einem gewählten Origin senden würde, plus ein GET mit diesem Origin, und erklärt nach den Regeln des Fetch-Standards genau, welcher Header blockiert hat.
Währungsrechner
Currency Converter
Rechnet zwischen rund dreißig Währungen zu den täglichen Referenzkursen der EZB um, über den Euro gekreuzt, oder zu einem Kurs, den Sie eingeben.
Datumsdifferenz
Date Difference
Zählt Tage, Wochen, Monate und Jahre zwischen zwei Daten, mit Countdown-Ansicht und Option für Arbeitstage.