Hack-Checker Have I Been Pwned

Gelangen Passwörter in die Hände von Cyberkriminellen, werden sie häufig im Darknet weiterverkauft oder sogar frei verbreitet. Dadurch können zahlreiche Angreifer auf Ihre Zugangsdaten zugreifen und Konten übernehmen. Wissen Sie, ob Ihre Passwörter betroffen sind? Prüfen Sie es mit Have I Been Pwned.

Viele stolpern zunächst über den eigenwilligen Namen des Hack-Checkers. Auf Deutsch bedeutet "Have I Been Pwned" in etwa "Wurde ich geschlagen?". Das Wort "pwned" steht für "be owned". "Owned" ist eigentlich das Partizip von "besitzen", also "besessen". Computerspieler nutzen "be owned", wenn man von jemandem komplett fertiggemacht wurde und keine Chance hatte. Auf diese Bedeutung beziehen sich auch Hacker. "Pwned" meint daher, dass ein Hacker kompletten Zugriff auf die Konten eines Opfers hat.

Haben Hacker die Daten für den Zugang zu meinen Online-Diensten? Um Ihnen diese Frage zu beantworten, durchsucht der australische Sicherheitsexperte beständig die dunklen Ecken des Internets. Stößt er auf neue Datenleaks, übernimmt er die E-Mail-Adressen aus den geklauten Datensätzen in seinen Online-Dienst. Aktuell sind so rund 15 Milliarden gestohlene Accounts bei Have I Been Pwned abrufbar. Auf der Startseite finden Sie nach einem Klick auf Who's Been Pwned? die zuletzt hinzugefügten Datensätze.

Um herauszufinden, ob Kriminelle Ihre E-Mail-Adresse auf dubiosen Internetseiten handeln, rufen Sie zunächst Have I Been Pwned auf.

Wichtiger Hinweis: Verwenden Sie nie das gleiche Kennwort auf mehreren Webseiten. Nutzen Sie am besten einen Passwort-Manager, um sich die verschiedenen Kennwörter nicht merken zu müssen.

Zusätzlich bietet Have I Been Pwned die Option eines Kennwort-Checks: Klicken Sie auf Passwords, geben Sie ein Kennwort ein und bestätigen Sie per Klick auf Check. Der Dienst prüft daraufhin, ob das angegebene Codewort in der Datenbank ist. Wird er fündig, bedeutet das aber nicht gleich, dass Sie von einem Datenklau betroffen sind. Es kann auch sein, dass jemand anders das gleiche Geheimwort nutzt. Je gewöhnlicher Ihr Kennwort ist, desto wahrscheinlicher ist es, dass Sie es finden. In dem Fall ersetzen Sie es unbedingt durch ein neues Kennwort.

Grundsätzlich ist es keine gute Idee, sein eigenes Passwort bei einem Webdienst einzugeben. Damit Ihr Kennwort bei der Abfrage nicht gefährdet ist, setzt "Have I Been Pwned" auf einen komplexen Sicherheitsmechanismus. Der Dienst speichert nicht die eigentlichen Passwörter, sondern berechnet nach einem kryptografischen Verfahren (SHA-1) eine sogenannte Prüfsumme (Hash) des Kennworts. Das ist eine aus 40 Zeichen bestehende Kette von Zahlen und Buchstaben. Besonderheit: Die Prüfsumme ist einmalig und passt nur zu dem eingegebenen Kennwort. Andersherum lässt die Prüfsumme keinen Rückschluss auf das Passwort zu. Geben Sie nun bei dem Dienst Ihr Kennwort ein, erstellt er lokal in Ihrem Browser eine solche Prüfsumme. Anschließend werden nur die ersten fünf Stellen des Hash an den Server von Have I Been Pwned geschickt. Der wiederum schickt eine Liste aller Prüfsummen, die mit diesen fünf Zeichen beginnen. Der Browser muss die Daten dann lediglich abgleichen. Die eigentliche Prüfung findet daher auf Ihrem PC statt, und das Kennwort wird nie an die Seite geschickt.

Wer nicht immer extra auf die Seite gehen will, wenn es ein neues Datenleck gibt, kann sich auch benachrichtigen lassen. Dazu klicken Sie auf Notify Me, tippen Ihre Mail-Adresse ein und klicken auf Notify Me. Sie erhalten dann eine Mail an die Adresse; sie enthält einen Link zum Aktivieren des Alarms. Übrigens: Einige gestohlene Passwörter sind von Pornoseiten. Um die Besitzer dieser Accounts nicht öffentlich bloßzustellen, gibt es die Informationen dazu nur über den Notify-Me-Service.

Wem der Dienst zu kryptisch ist, findet zahlreiche Alternativen. Die bequemste "Have I Been Pwned"-Alternative ist der

. Vorteil: Anders als Have I Been Pwned zeigt der Dienst alle Meldungen auch auf Deutsch an. Der Account-Alarm nutzt den Datenbestand von Have I Been Pwned. Zudem haben viele Hersteller wie Google oder Mozilla einen automatischen Check, der Sie warnt, wenn Sie ein Passwort nutzen, das Datenlecks zum Opfer fiel. Auch Passwort-Manager warnen Sie davor.