Zufällige Passwörter aus Buchstaben, Ziffern und Symbolen über crypto.getRandomValues.
Pwned-Passwort-Check
Netzwerk: HIBPNeu
Das Tool selbst ist auf Englisch; auf dieser Seite wird es in Ihrer Sprache erklärt.
Pwned-Passwort-Check verwenden
Was es bewirkt
Prüfen Sie ein Passwort gegen die Liste Pwned Passwords von Have I Been Pwned, ohne es zu senden: Ihr Browser hasht es mit SHA-1 und fragt nur nach dem 5-stelligen Präfix dieses Hashes.
Nur die ersten 5 Zeichen des SHA-1-Hashwerts des Passworts werden an „Have I Been Pwned“ (api.pwnedpasswords.com) gesendet; das Passwort selbst verlässt den Browser zu keinem Zeitpunkt.
So verwenden Sie Pwned-Passwort-Check
- Auswählen, was geprüft wird. Wählen Sie unter What to check die Option A password, oder Its SHA-1 hash, wenn Sie nur den 40-stelligen Hex-Hash haben.
- Eingeben. Geben Sie das Passwort in das maskierte Feld ein; Show macht es sichtbar. Tun Sie das auf einem Gerät, dem Sie vertrauen.
- Prüfung starten. Drücken Sie Check oder die Eingabetaste. Ihr Browser hasht das Passwort mit SHA-1 und fragt api.pwnedpasswords.com nur nach den ersten 5 Zeichen dieses Hashes.
- Ergebnis lesen. Das farbige Feld zeigt Found mit einer Anzahl oder Not found. Die drei Felder darunter zeigen, was gesendet wurde, wie viele Suffixe zurückkamen und ob Ihr Hash übereinstimmte.
- Handeln und leeren. Wurde das Passwort gefunden, ändern Sie es überall, wo Sie es verwenden, und schalten Sie die Zwei-Faktor-Authentifizierung ein. Drücken Sie Clear, um Feld und Ergebnis zu leeren.
Beispiel
Ein Passwort aus jeder Leak-Liste
passwordFound 52,372,427 times in the Pwned Passwords breach corpus. Do not use this password. Change it wherever you use it, give every account its own password (a password manager makes that practical) and turn on two-factor authentication.
SENT TO THE SERVICE
5BAA6 (5 of 40 characters)
SUFFIXES RETURNED
1,978 + 135 padding rows
MATCHED IN YOUR BROWSER
yesMehr als 50 Millionen Mal gefunden. Gesendet wird nur das Hash-Präfix 5BAA6; der vollständige SHA-1 5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8 wird im Browser abgeglichen.
Was dabei geprüft wird
| Signal | Was das bedeutet |
|---|---|
| Found N times | Ihr exakter Hash steht N-mal im Leak-Bestand von Pwned Passwords. Angreifer probieren solche Passwörter zuerst; verwenden Sie es daher nirgends mehr. |
| Not found | Der Hash ist nicht im Bestand. Ein kurzes oder vorhersehbares Passwort kann trotzdem erraten werden. |
| Sent to the service | Das 5-stellige Präfix: der einzige Teil des Hashes, der Ihren Browser verlässt. Die Anfrage enthält keine Cookies und keinen Referrer, aber der Dienst sieht wie bei jeder Webanfrage Ihre IP-Adresse. |
| Suffixes returned | Wie viele echte Hash-Suffixe dieses Präfix teilen, plus Füllzeilen mit der Anzahl 0, die das Tool anfordert, damit die Größe der Antwort nichts verrät. |
| Matched in your browser | yes oder no: Der Rest Ihres Hashes wurde auf Ihrem Gerät mit der zurückgegebenen Liste verglichen. |
| A SHA-1 hash has exactly 40 hex characters (0-9, a-f). | Der Hash-Modus hat die Eingabe abgelehnt, und nichts wurde gesendet. Groß- oder Kleinschreibung und Leerzeichen um den Hash herum sind kein Problem. |
| Could not reach api.pwnedpasswords.com | Sie sind offline, oder eine Erweiterung oder ein Netzwerkfilter blockiert die Anfrage. Es wurde nichts geprüft. |
| Too many requests to Pwned Passwords | Der Dienst hat mit HTTP 429 geantwortet. Warten Sie einige Sekunden, und versuchen Sie es erneut. |
Weitere Beispiele
Ein Spitzenreiter der Leak-Listen
123456Found 210,461,208 times (geprüft am 22. Oktober 2026). Sent to the service: 7C4A8. Matched in your browser: yes.
Eine berühmte Beispiel-Passphrase
correct horse battery stapleFound 391 times (geprüft am 22. Oktober 2026). Gesendet wurde nur ABF7A. Auch eine lange Phrase, die veröffentlicht wurde, steht in Leak-Listen.
Ein Hash, dem ein Zeichen fehlt
Its SHA-1 hash: 7c4a8d09ca3762af61e59520943dc26494f8941A SHA-1 hash has exactly 40 hex characters (0-9, a-f). Es wird nichts gesendet.
Häufig gestellte Fragen
Was genau wird an Have I Been Pwned gesendet?
Nur die ersten 5 Hexadezimalzeichen des SHA-1-Hashes des Passworts, zum Beispiel 5BAA6. Der Dienst antwortet mit jedem Hash-Suffix, das zu diesem Präfix gehört, plus Füllzeilen, die die tatsächliche Größe der Antwort verbergen, und Ihr Browser sucht den Rest des Hashes in dieser Liste.
Bedeutet nicht gefunden, dass das Passwort sicher ist?
Nein. Es bedeutet nur, dass das Passwort nicht im Leak-Bestand von Pwned Passwords enthalten ist; ein kurzes oder vorhersehbares Passwort kann trotzdem schnell erraten werden. Ein Treffer ist dagegen verlässlich, denn Angreifer probieren Passwörter aus Leak-Listen zuerst.
Kann ich einen Hash statt des Passworts prüfen?
Ja. Wählen Sie Its SHA-1 hash, und fügen Sie den 40-stelligen Hex-Hash ein; dasselbe 5-stellige Präfix wird gesendet. Die Seite speichert weder Passwort noch Hash, und Clear leert das Feld und das Ergebnis.
Kann Have I Been Pwned aus dem Präfix mein Passwort ableiten?
Nein. Jedes 5-stellige Präfix teilen sich viele Hashes, und die Antwort enthält immer alle davon plus Füllzeilen, daher kann der Dienst nicht erkennen, welcher Hash – wenn überhaupt – Ihrer ist.
Warum SHA-1, obwohl SHA-1 als schwach gilt?
Der Range-Dienst von Pwned Passwords ist nach SHA-1-Hashes geordnet, daher muss die Abfrage ihn verwenden. Der Hash dient hier nur als Suchschlüssel; der Datenschutz entsteht dadurch, dass nur 5 seiner 40 Zeichen gesendet werden.
Warum ist die Anzahl bei manchen Passwörtern so hoch?
Die Anzahl gibt an, wie oft das Passwort in allen Leaks des Bestands vorkommt, und gängige Passwörter wie 123456 wurden von Millionen einzelner Konten verwendet. Jede Anzahl über null bedeutet, dass das Passwort bereits in den Listen der Angreifer steht.
Prüft das Tool meine E-Mail-Adresse auf Datenlecks?
Nein. Es prüft nur Passwörter. Um zu sehen, ob eine E-Mail-Adresse in einem bekannten Datenleck vorkommt, nutzen Sie die Website von Have I Been Pwned selbst.