Kurze Antwort
Ändern Sie das Passwort in jedem Konto, das es verwendet – zuerst E-Mail, Bank und alles, was anderes zurücksetzen kann. Die geleakte Website zählt weniger als die Tatsache, dass dasselbe Passwort weitere Konten öffnet.
Leak-Listen zirkulieren jahrelang, und dieselbe E-Mail-Adresse erscheint in Dutzenden davon. Kaum eine ist für sich gefährlich: Ein Passwort für ein 2019 verlassenes Forum kann niemandem schaden. Gefährlich ist Wiederverwendung — eine Zeichenfolge, die Postfach, Bank und Shop gleichzeitig öffnet.
Reihenfolge nach einem Leak
- Zuerst E-Mail. Ist das Postfach übernommen, lässt sich jedes andere Konto darüber zurücksetzen.
- Alles Finanzielle: Banking, Karten-Apps, Zahlungsdienste, dann Konten mit gespeicherter Karte.
- Konten, die anderes zurücksetzen oder Identitätsdaten halten: Behördendienste, Gesundheitsportale, Cloud-Speicher, Arbeitskonten.
- Dann der Rest, in der schnellsten Reihenfolge – diesmal generiert und pro Konto einmalig.
- Zwei-Faktor-Authentifizierung aktivieren, wo möglich per App oder Hardware-Schlüssel statt SMS.
Ein Passwort prüfen, ohne es zu senden
Die BaitScan-Passwortprüfung nutzt das k-Anonymitätsmodell: Ihr Browser berechnet den SHA-1-Hash und sendet nur die ersten fünf Zeichen an die Pwned-Passwords-Range-API. Der Server antwortet mit allen Hash-Suffixen, die mit diesen fünf Zeichen beginnen, und der Vergleich läuft auf Ihrem Gerät. Der Dienst erfährt ein Präfix, das Hunderttausende Passwörter teilen, nie das Passwort – und nichts wird protokolliert, weil die Prüfung im Browser läuft.
- Ein Treffer sagt, dass das Passwort in einem Leak auftauchte. Er sagt nicht, in welchem, und nicht, ob das Konto noch aktiv ist.
- Kein Treffer ist keine Entwarnung: Ein nie geleaktes Passwort kann trotzdem erraten werden, besonders wenn es kurz oder nach Muster gebaut ist.
- Geben Sie Ihr Passwort niemals in eine Seite ein, die das Passwort selbst verlangt, statt lokal zu prüfen – genau das ist der Unterschied, auf den es ankommt.
Besser als Passwörter zu wechseln: sie nicht merken müssen
Ein Passwortmanager macht aus einem Leak eine lästige Aufgabe: eine Liste von Konten zu aktualisieren, jedes mit eigenem Passwort, keines zum Auswendiglernen. Das Master-Passwort und die Wiederherstellungscodes werden damit zu den zwei schützenswertesten Dingen – weshalb diese Codes auf Papier gehören und nicht in dasselbe Cloud-Konto.
Häufige Fragen
Die Fragen, die zu diesem Artikel am häufigsten gestellt werden – direkt beantwortet.
Schützen fünf Zeichen das Passwort wirklich?
Sie machen die Anfrage allein unbrauchbar. Diese fünf Hex-Zeichen passen zu Hunderttausenden Passwörtern, das Antwortpaket kann ohne den Rest des Hashs keines identifizieren – und der Rest verlässt Ihr Gerät nicht. Vergleichen Sie: Eine Seite, die Ihr Passwort verlangt, kennt es.
Meine E-Mail war in einem Leak von vor Jahren. Muss ich noch handeln?
Handeln Sie, wenn dieses Passwort irgendwo noch verwendet wird. Leak-Listen werden jahrelang wiederverwendet, gerade weil alte Passwörter auf neuen Konten landen. Haben Sie es seither geändert und nie wiederverwendet, gibt es nichts zu tun.
Lohnt es, nur eine Variante zu nehmen, etwa eine Ziffer anzuhängen?
Nein. Angreifer-Wörterbücher erzeugen genau diese Varianten, und ein Werkzeug, das das alte Passwort kennt, probiert die vorhersehbaren Umformungen zuerst. Ein neues Passwort muss unabhängig sein, nicht verwandt.
Geschrieben von Die BaitScan-Redaktion
Ergebnisse sind automatische Risikoeinschätzungen auf Basis öffentlicher Indikatoren und Heuristiken.