Warum passcheck
- HIBP und k-Anonymität. SHA-1 wird im Browser berechnet; nur ein kurzes Hash-Präfix geht an die API.
- Lokale Entropie. Stärkeschätzung aus Länge und Zeichenklassen — auf Ihrem Gerät.
- Kein Passwort auf unserem Backend. Wir empfangen und speichern Ihre Eingabe nicht.
- Klare Ergebnisse. Gefunden / nicht gefunden; bei Treffer ungefähre HIBP-Anzahl.
- Ehrliche Grenzen. Kein Versprechen absoluter Sicherheit — HIBP-Korpus plus Heuristik.
- Kostenlos und mehrsprachig. Ohne Konto; UI und SEO für jede Locale.
- Mit Generator. Neues Passwort unter passgen.dmosk.net.
So prüfen Sie ein Passwort
- Passwort eingeben (optional anzeigen oder verbergen).
- Prüfen drücken: Browser berechnet SHA-1 und fragt HIBP per Präfix ab.
- Leak-Status und lokale Stärkeschätzung lesen (Bit, Länge, Alphabet).
- Bei Treffer überall ändern, wo es noch gilt; neu mit passgen erzeugen.
Passwort-Hygiene und HIBP
Have I Been Pwned sammelt Passwort-Hashes aus bekannten Leaks. Ein Treffer heißt: Die Zeichenkette kam schon in geleakten Daten vor — nicht mehr verwenden. Die Stärkebewertung ist Heuristik, kein Ersatz für ein einzigartiges Zufallspasswort.
Tipps:
- Nutzen Sie ein einzigartiges Passwort pro Dienst.
- Speichern Sie sie in einem Passwortmanager, nicht in Notizen oder Chats.
- Länge und Vielfalt schlagen „clevere“ Wörterbuchwörter.
- Aktivieren Sie Zwei-Faktor-Authentifizierung, wo möglich.
- Wenn HIBP trifft, ändern Sie es überall, wo es noch gilt.
- „Nicht gefunden“ in HIBP heißt nicht „für immer sicher“.
- Für ein neues Passwort: passgen.
- Tippen Sie Passwörter nicht auf dubiosen Seiten — dieses Tool sendet Ihres nicht an unseren Server.
Wofür der Dienst
- schnell prüfen, ob ein Passwort in bekannten Leaks auftaucht;
- grobe Entropie vor dem Rotieren einordnen;
- Risiken schwacher oder wiederverwendeter Passwörter erklären;
- mit dem Generator auf passgen fortsetzen;
- ohne Upload des Passworts an unseren Server.
Häufige Fragen
Was ist k-Anonymität bei HIBP?
Der Browser berechnet den SHA-1 und sendet nur die ersten Hash-Zeichen. HIBP liefert Suffixe zu diesem Präfix; der Volltreffer wird lokal geprüft — das volle Passwort geht nicht an die API.
Wird das Passwort zu uns hochgeladen?
Nein. Wir empfangen und speichern es nicht. Nur ein kurzes SHA-1-Präfix geht an die HIBP-API.
Was ist Have I Been Pwned?
Projekt von Troy Hunt mit Hashes aus öffentlichen Leaks. passcheck nutzt die Range-API, ohne das volle Passwort zu senden.
Was bedeutet die Anzahl „etwa N-mal gesehen“?
Ungefähre Vorkommen in HIBP-Daten. Je höher, desto weiter verbreitet — ändern.
Was bedeutet die Entropieschätzung?
Grobe Heuristik: Länge × log2 eines geschätzten Alphabets aus Zeichenklassen. Kein Labor-Audit.
Bedeutet „nicht gefunden“ absolute Sicherheit?
Nein. HIBP ist unvollständig; das Passwort kann schwach sein oder außerhalb geleakt haben.
Wo bekomme ich ein neues Passwort?
Öffnen Sie passgen.dmosk.net — Erzeugung im Browser.
Ist der Dienst kostenlos?
Ja — ohne Registrierung und ohne Gebühr für Prüfungen.
Funktioniert es vollständig offline?
Die Stärkeschätzung ist lokal. Leak-Checks brauchen Netz zur HIBP-API.
Was, wenn HIBP ausfällt oder CORS scheitert?
Sie sehen einen Verbindungsfehler. Später erneut versuchen; die Stärkeschätzung kann weiter funktionieren.
Welcher Hash-Algorithmus?
SHA-1 des Passworts, wie von der HIBP-k-Anonymitäts-Range-API verlangt.
Speichern Sie eine Prüfhistorie?
Nein. Das eingegebene Passwort wird uns nicht gesendet und nicht in unserer DB gespeichert.