Ich habe gerade eine E-Mail bekommen, dass einer meiner alten Konten möglicherweise in einem Datenleck von vor ein paar Jahren betroffen war. Ich bin mir nicht mal sicher, auf welchen Seiten ich dieses Passwort noch verwendet habe. Gibt es eine Möglichkeit zu prüfen, ob meine echten Passwörter da draußen im Umlauf sind, oder muss ich einfach alles ändern?
Nutze einen Service wie Have I Been Pwned, um zu prüfen, ob deine E-Mail-Adresse oder dein Benutzername in bekannten Datenpannen auftaucht. Geh auf die Website, gib deine E-Mail-Adresse ein, und der Service zeigt dir, bei welchen Datenpannen dein Konto betroffen war. Das setzt dein eigentliches Passwort nicht preis - es sagt dir nur, ob diese E-Mail-Adresse Teil einer dokumentierten Datenpanne war. Falls deine E-Mail-Adresse auftaucht, weißt du, dass mit diesem Konto etwas passiert ist.
Das Knifflige ist, dass die eigentlichen Passwörter normalerweise nicht öffentlich in durchsuchbaren Datenbanken herumfliegen. Was bei Datenpannen preisgegeben wird, sind typischerweise gehashte Passwörter - verschlüsselte Versionen, die schwerer (aber nicht unmöglich) zu knacken sind. In den meisten Fällen findest du dein Passwort im Klartext also nicht da draußen. Trotzdem: War es eine wirklich alte Datenpanne und war das Hashing schwach, besteht die Chance, dass es inzwischen jemand geknackt hat - aber das kannst du nicht einfach selbst überprüfen.
Das Beste ist, das Passwort dieses Kontos sofort zu ändern. Wenn du das gleiche Passwort auch anderswo benutzt hast, ändere es auch auf diesen Seiten. Hier kommt ein Passwort-Manager wirklich handy, wenn du keinen hast - damit kannst du unterschiedliche starke Passwörter für alles generieren und verwalten, ohne dass dein Kopf explodiert beim Versuch, sie dir alle zu merken. Und wenn du ab jetzt für jede Seite ein eigenes Passwort verwendest, bedeutet eine Datenpanne nicht, dass alle deine Konten aufgeflogen sind.
Die Benachrichtigungsdienste für Datenpannen erfassen E-Mail-Adressen in geleakten Datenbanken, aber hier ist der Knackpunkt - sie können dir eigentlich nicht sagen, ob dein spezifisches Passwort dort draußen ist, sondern nur, dass dein Konto kompromittiert wurde. Wichtiger ist, ob du dieses Passwort irgendwo anders wiederverwendet hast, denn Angreifer werden geleakte Zugangsdaten auf mehreren Seiten durchprobieren.
Ich hatte vor Jahren eine alte E-Mail, die in eine Panne geriet, und habe sie tatsächlich auf diesen Checker-Seiten gefunden, aber was mir wirklich geholfen hat, war, meinen Passwort-Manager durchzugehen und zu sehen, welche Konten dasselbe Passwort hatten. Die habe ich zuerst geändert, dann bin ich die restlichen durchgegangen. Wenn du nicht mehr weißt, welche Seiten dieses Passwort verwendet haben, dann lohnt sich ehrlich gesagt wahrscheinlich ein vollständiger Reset bei allem Wichtigen - Konten mit Zahlungsinformationen, E-Mail-Wiederherstellungszugriff, so etwas eben. Die eigentlichen Klartextpasswörter werden für Angreifer ohnehin fast nie in verwertbarer Form geleakt; was gestohlen wird, sind normalerweise Hashes, also selbst wenn dein Passwort „irgendwo da draußen" ist, kostet es echte Anstrengung, es zu knacken.
Das, was dir wirklich niemand erzählt, ist dass selbst wenn deine E-Mail in einem Datenleck auftaucht, dein eigentliches Passwort fast nie einfach so lesbar rumliegt. Die meisten Seiten hashen Passwörter, das bedeutet sie werden auf eine Art verschlüsselt, die super schwer zu knacken ist. Also wenn du diese Benachrichtigung bekommst, heißt das meistens nur dass deine E-Mail und dein Benutzername geleakt wurden, nicht das Passwort selbst - es sei denn, die Seite war wirklich fahrlässig mit Sicherheit.
Das gesagt, musst du es trotzdem ernst nehmen, weil Hacker deine E-Mail + häufige Passwörter oder welche aus anderen Breaches gegen deine anderen Accounts durchprobieren. Letztes Jahr bin ich draufgekommen dass ein altes Forum, das ich vor Jahren benutzt hatte, gehackt wurde, und obwohl die eigentlichen Passwörter nicht offengelegt wurden, hat jemand versucht sich mit geleakten Anmeldedaten von einer anderen Seite in mein E-Mail-Konto einzuloggen. Ich habs durch Login-Benachrichtigungen bemerkt, aber das war ein Weckruf.
Worauf es wirklich ankommt: Wenn du das Passwort irgendwo anders benutzt hast, ändere es erst auf diesen Accounts, anfangen mit E-Mail und Banking-Sachen. Danach, ja, gib es durch Have I Been Pwned wie die früheren Antworten schon erwähnt haben - aber konzentrier dich auf die E-Mail/Benutzername-Seite, nicht darauf zu versuchen zu überprüfen ob das Passwort selbst da draußen ist. Geh künftig einfach mit einem Passwort-Manager um, dann wiederholst du nichts, und musst nicht rumliegen und dich fragen welche Seiten was bekommen haben. Das Einrichten dauert wie zwanzig Minuten und erspart dir diesen exakten Kopfschmerz auf der Straße.
Sobald du die Breach-Datenbanken überprüft hast und weißt, welche Konten betroffen sind, ist der praktische Schritt, dein Passwort auf dieser Website zu ändern, und danach überall sonst, wo du dasselbe Passwort wiederverwendet hast - wahrscheinlich genau deshalb machst du dir Sorgen. Die gute Nachricht: Selbst wenn der Breach Passwort-Hashes enthielt, sind die nicht einfach lesbar in irgendeiner txt-Datei; das echte Risiko entsteht nur, wenn jemand sie durch ein Cracking-Tool laufen lässt, aber das kostet bei älteren Breaches Zeit und Aufwand. Was wichtiger ist, ob du dieses Passwort bei kritischen Sachen wie E-Mail oder Banking wiederverwendet hast, weil die zuerst ins Visier genommen werden.
Anmeldenzum Beantworten.
