Passwort Datenleck prüfen: sind deine Daten geleakt?

Ein Passwort Datenleck betrifft in aller Regel Menschen, die nichts falsch gemacht haben. Der Shop, bei dem du vor sechs Jahren einmal etwas bestellt hast, wurde aufgebrochen, die Kundendatenbank wanderte in einschlägige Foren, und seither steht deine Adresse zusammen mit einem Passwort in Listen, die kopiert, gehandelt und automatisiert abgearbeitet werden. Du erfährst davon in der Regel nicht. Meldepflichten greifen, wenn der Betroffene bekannt ist und der Anbieter den Vorfall überhaupt bemerkt, und beides ist seltener der Fall, als es sein sollte.

Es gibt allerdings einen Weg, das nachzusehen, statt es zu vermuten. Man schaut sich selbst durch die Augen eines Angreifers an: Welche meiner Daten kursieren bereits? Diese Blickrichtung ist der Kern dessen, was in der Aufklärungsarbeit defensive Recherche heißt, und sie braucht weder Spezialwissen noch Werkzeuge, die etwas kosten. Zwanzig Minuten und zwei Webseiten reichen für ein belastbares Bild.

Der heikelste Teil daran ist die Passwortprüfung, und zwar aus einem guten Grund: Ein Formular, das nach einem Passwort fragt, sieht auf den ersten Blick exakt so aus wie eine Phishing-Seite. Warum das eine trotzdem unbedenklich ist und das andere nicht, hängt an einem Verfahren mit einem sperrigen Namen. Dazu weiter unten mehr, denn es ist der interessanteste Abschnitt dieses Textes.

Was ein Datenleck überhaupt ist

Ein Datenleck entsteht, wenn ein Anbieter die bei ihm gespeicherten Kundendaten verliert. Der klassische Weg führt über eine Sicherheitslücke im Webshop, über einen falsch konfigurierten Server oder über ein Mitarbeiterkonto, das jemand übernommen hat. Was dabei abfließt, ist selten spektakulär: E-Mail-Adressen, Namen, Passwörter oder deren Hashes, oft Anschriften und Telefonnummern, je nach Anbieter auch Geburtsdaten oder Bestellhistorien.

Interessant wird der Bestand durch das, was danach passiert. Die Datensätze werden aufbereitet, zu großen Sammlungen zusammengeführt und dann automatisiert weiterverwendet. Der Fachbegriff dafür lautet Credential Stuffing: Ein Programm nimmt die Kombination aus Adresse und Passwort und probiert sie bei Hunderten anderer Dienste durch. Geraten wird nichts, es wird nur nachgeschlagen. Ein Prozent Erfolgsquote genügt bei Millionen Datensätzen vollkommen.

Daran hängt die wichtigste Erkenntnis dieses ganzen Themas. Der Leak beim Fahrradhändler ist an sich harmlos, solange das dort verwendete Passwort nur dort verwendet wurde. Zum Problem wird er, wenn dieselbe Kombination auch das Postfach öffnet, und über das Postfach lässt sich per Passwort-Zurücksetzen fast jedes andere Konto aufmachen. Die Kette beginnt nicht beim Angreifer, sie beginnt bei der Bequemlichkeit, ein gut merkbares Passwort mehrfach zu verwenden.

Ein zweiter Punkt, der selten deutlich gesagt wird: Alte Leaks veralten kaum. Eine Adresse bleibt jahrelang dieselbe, und ein Passwort, das 2019 abgeflossen ist und nie geändert wurde, funktioniert heute noch. Deshalb tauchen in aktuellen Sammlungen regelmäßig Datensätze auf, die zehn Jahre auf dem Buckel haben.

E-Mail-Adresse prüfen

Der Einstieg läuft über die E-Mail-Adresse, weil sie in fast jedem Leak steht und weil sie sich, anders als ein Passwort, gefahrlos irgendwo eintippen lässt. Zwei Anlaufstellen sind etabliert, und sie ergänzen sich, statt sich zu doppeln.

Have I Been Pwned (haveibeenpwned.com) wird seit 2013 vom australischen Sicherheitsforscher Troy Hunt betrieben. Du gibst deine Adresse ein und bekommst sofort auf der Seite die Liste der bekannt gewordenen Datenpannen, in denen sie vorkommt, jeweils mit Anbieter, Datum und der Angabe, welche Datenarten betroffen waren. Genau diese letzte Spalte ist die nützlichste: Ein Vorfall, bei dem nur Adressen abgeflossen sind, verlangt eine andere Reaktion als einer, bei dem Passwörter dabei waren. Eine Ausnahme gibt es: Vorfälle, die als besonders heikel eingestuft sind, etwa das Ashley-Madison-Leak, zeigt der Dienst erst an, nachdem du die Adresse per Mail bestätigt hast.

Der Identity Leak Checker des Hasso-Plattner-Instituts (sec.hpi.de/ilc) ist die deutsche Anlaufstelle. Das Institut in Potsdam sammelt seit 2014 geleakte und öffentlich zugängliche Datensätze, auch aus dem Dark Web, und wertet sie aus. Geprüft wird nicht nur, ob die Adresse auftaucht, sondern welche Identitätsmerkmale mit ihr zusammen kursieren: Name, Anschrift, Geburtsdatum, Telefonnummer, Passwort. Angezeigt wird das Ergebnis erst nach einer Bestätigung: Das HPI schickt ein Einmalpasswort an das geprüfte Postfach, und nach dessen Eingabe erscheint das Resultat auf der Webseite.

Dieser Zwischenschritt wirkt umständlich und ist in Wahrheit der Grund, warum man dem Dienst mehr Daten anvertrauen kann. Weil die Freischaltung nur über das geprüfte Postfach läuft, kann niemand fremde Adressen durchtesten, um sich eine Zielliste zusammenzustellen. Der Unterschied zu Have I Been Pwned ist damit gradueller, als er auf den ersten Blick aussieht: Beide Dienste hängen das Ergebnis an die Kontrolle über das Postfach, das HPI grundsätzlich, Have I Been Pwned bei den als heikel eingestuften Vorfällen. Das Institut ist an die Universität Potsdam angebunden, sammelt seit 2014 Leak-Daten und stellt diese Abfrage kostenlos bereit, ohne dass am Ende ein Abonnement steht.

Passwort Datenleck prüfen, ohne das Passwort zu verraten

Jetzt zum Herzstück. Neben der Adress-Suche gibt es die Pwned-Passwords-Datenbank, und die beantwortet eine andere Frage: Kommt diese konkrete Zeichenfolge in bekannten Leaks vor? Beim ersten Kontakt fühlt sich das falsch an. Jeder vernünftige Ratgeber sagt, man solle sein Passwort nirgendwo eintippen, und hier soll man es ausgerechnet auf einer Sicherheitsseite tun.

Der Widerspruch löst sich in dem Moment auf, in dem man sich ansieht, was tatsächlich über die Leitung geht. Das Verfahren heißt k-Anonymität und läuft in vier Schritten ab.

Erstens bildet dein Browser aus dem eingegebenen Passwort lokal einen SHA-1-Hash, eine Prüfsumme fester Länge. Die Funktion selbst lässt sich nicht umkehren, aber bei einem gängigen Passwort ist der zugehörige Hash längst bekannt und nachschlagbar. Die Sicherheit dieser Abfrage kommt deshalb nicht aus dem Hash-Verfahren, sondern aus den folgenden Schritten. Aus password wird immer und überall dieselbe Zeichenfolge: 5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8.

Zweitens werden von diesem Hash nur die ersten fünf Zeichen abgeschnitten und an die Schnittstelle geschickt, im Beispiel also 5BAA6. Mehr verlässt das Gerät nicht. Weder das Passwort noch der vollständige Hash.

Drittens antwortet der Server mit allen Hash-Endungen, die er zu diesem Anfang gespeichert hat, üblicherweise rund zweitausend Einträge, jeweils mit der Angabe, wie oft sie in Leaks aufgetaucht sind.

Viertens vergleicht dein Browser diese Liste mit dem vollständigen Hash, den er die ganze Zeit behalten hat. Der Abgleich passiert also wieder lokal, auf deinem Gerät.

Das Ergebnis dieser Konstruktion: Der Server sieht fünf Zeichen, zu denen allein in seinem eigenen Bestand rund zweitausend Hashes passen, und erfährt nie, welches Passwort du geprüft hast. Er weiß nicht einmal, ob du überhaupt einen Treffer hattest, denn die Antwort ist für alle Anfragenden mit demselben Prefix identisch. Cloudflare, das die Abfrage technisch ausliefert, hat das Modell 2018 ausführlich beschrieben, und dieselbe Mechanik steckt heute in den Leak-Warnungen vieler Browser und Passwortmanager.

Genau hier verläuft die Grenze zwischen einem Werkzeug und einer Falle. Ein seriöser Dienst erklärt dieses Verfahren, und man kann es im Zweifel nachprüfen, weil die Schnittstelle offen dokumentiert ist. Ein beliebiges Web-Formular, das dein Passwort abfragt und dazu nichts sagt, ist eine Passwortsammlung mit freundlichem Gesicht. Die Regel dazu ist unbequem, aber kurz: Wenn nicht steht, dass nur ein Hash-Fragment übertragen wird, tippst du nichts ein.

Ein Treffer. Was jetzt?

Erst einmal nichts überstürzen. Ein Fund in einer Passwortdatenbank betrifft zunächst eine Zeichenfolge. Dein Konto steht darin nicht. Wenn dein Passwort Sommer2019! heißt und die Datenbank es zehntausendfach kennt, dann bedeutet das nur, dass viele Menschen auf dieselbe naheliegende Idee gekommen sind. Niemand war in deinem Postfach.

Handeln solltest du trotzdem, denn eine bekannte Zeichenfolge steht in den Wörterbüchern, mit denen automatisierte Angriffe arbeiten, und ist damit praktisch wertlos geworden. Die Reihenfolge:

1. Das betroffene Passwort ändern, zuerst dort, wo es am meisten anrichtet. E-Mail-Postfach, danach Bank, Cloud-Speicher, Apple- oder Google-Konto, dann die sozialen Netze. Jedes Konto bekommt eine eigene Zeichenfolge.
2. Ehrlich zusammentragen, wo du es sonst noch verwendet hast. Dieser Schritt ist der lästige und der entscheidende, weil Credential Stuffing genau davon lebt. Auch Varianten zählen: Wer aus Sommer2019! ein Sommer2020! macht, hat nichts gewonnen, denn diese Ableitungen stehen in den Regelsätzen der Angreifer.
3. Zweiten Faktor einschalten, wo es ihn gibt. Eine Authenticator-App oder ein Sicherheitsschlüssel sind der SMS vorzuziehen, weil eine SIM-Übernahme den SMS-Weg aushebelt. Ein gestohlenes Passwort allein reicht dann für nichts mehr, und das ist die wirksamste einzelne Maßnahme in dieser Liste.
4. Einen Passwortmanager einrichten. Er ist der Grund, warum die Punkte eins und zwei beim nächsten Mal in fünf Minuten erledigt sind. Viele Programme gleichen ihre Einträge laufend gegen dieselbe Leak-Datenbank ab und melden sich von selbst.
5. Beim betroffenen Dienst nachsehen, ob dort Sitzungen laufen, die nicht von dir stammen, ob eine fremde Wiederherstellungsadresse eingetragen ist und ob Weiterleitungsregeln existieren, die du nicht angelegt hast.

Wenn du an dieser Stelle den Verdacht hast, dass es nicht beim Leak geblieben ist, also Anmeldungen aus fremden Ländern auftauchen oder Bestätigungscodes ohne eigenen Anmeldeversuch eintrudeln, dann ist das ein anderes Thema mit einer eigenen Reihenfolge. Wir haben es getrennt aufgeschrieben: wurde ich gehackt sortiert die Anzeichen, die wirklich etwas beweisen, von denen, die nur nach Gefahr aussehen.

Was ein Checker nicht kann

Hier wird es unbequem, und der Abschnitt gehört trotzdem in jeden ehrlichen Text zu diesem Thema. Ein Leak-Checker findet ausschließlich das, was in seiner Datenbank steht. Was nie öffentlich geworden ist, was in geschlossenen Kreisen gehandelt wird oder was letzte Woche passierte, fehlt.

Ein leeres Ergebnis heißt deshalb nicht “sicher”, sondern “in diesem Bestand nicht enthalten”. Das ist ein Unterschied mit praktischen Folgen, weil ein sauberer Befund dazu verführt, den Rest sein zu lassen. Drei weitere Grenzen gehören dazu:

• Ein Passwort-Treffer misst die Verbreitung einer Zeichenfolge. Über den Zustand deines Kontos lässt sich daraus nichts ableiten. Millionenfach “geleakte” Passwörter wie die gängigen Zahlenreihen betreffen jeden, der sie verwendet, und niemanden persönlich.
• Datenlecks verschwinden nicht. Kein Dienst kann Daten aus dem Umlauf nehmen. Was einmal abgeflossen ist, bleibt kopierbar, und der einzig wirksame Hebel liegt darin, den Wert dieser Kopien zu senken, also Passwörter zu wechseln und einen zweiten Faktor davorzusetzen.
• Der Zeitpunkt der Prüfung ist ein Schnappschuss. Morgen kann ein Bestand auftauchen, der dich betrifft. Deshalb ist die automatische Benachrichtigung bei neuen Funden nützlicher als eine einmalige Abfrage.

Kurzübersicht

Was bleibt

Die Frage “sind meine Daten geleakt” hat für die allermeisten Menschen dieselbe Antwort, und sie lautet ja. Bei mehreren hundert Vorfällen allein in den öffentlich dokumentierten Sammlungen ist eine zehn Jahre alte E-Mail-Adresse ohne Treffer eher die Ausnahme. Das klingt schlimmer, als es ist, denn die entscheidende Größe ist nicht der Leak, sondern was er noch aufschließt.

Genau darauf lässt sich einwirken. Ein eigenes Passwort je Dienst begrenzt jeden künftigen Vorfall auf diesen einen Dienst, und ein zweiter Faktor macht ein gestohlenes Passwort für sich genommen unbrauchbar. Beides ist unspektakulär, kostet nichts und wirkt zuverlässiger als jedes Abonnement mit Dark-Web-Monitoring im Namen.

Und der Rest ist eine Gewohnheit: zweimal im Jahr die eigenen Adressen nachschlagen, statt zu hoffen, dass schon nichts passiert sein wird. Wer den gleichen Blick auf den größeren Datenschatten werfen will, findet ihn in unserem Text darüber, was Google über dich weiß, und die Frage, wem die eigene Identität im Netz eigentlich gehört, hängt an der digitalen Identität. Nachsehen ist in allen diesen Fällen die billigere Variante von Sicherheit.

Häufige Fragen

Ist Have I Been Pwned seriös?

Der Dienst wird seit 2013 vom australischen Sicherheitsforscher Troy Hunt betrieben und sammelt Datenlecks, die ohnehin öffentlich geworden sind. In der Sicherheitsbranche gilt er als Referenz, die Abfrage kostet nichts. Wichtig für das Vertrauen ist weniger der Name als die Bauweise: Bei der Passwortprüfung ist das Verfahren so gebaut, dass der Server gar nicht erfahren kann, welches Passwort du eingegeben hast. Diese Eigenschaft lässt sich nachlesen und nachrechnen, man muss sie niemandem glauben.

Ist es gefährlich, mein Passwort dort einzugeben?

Bei der Pwned-Passwords-Abfrage nicht, weil das Passwort das Gerät nicht verlässt. Der Browser bildet lokal einen SHA-1-Hash und schickt nur dessen erste fünf Zeichen an die Schnittstelle. Zurück kommt eine Liste aller Hash-Endungen mit diesem Anfang, und ob deine dabei ist, entscheidet sich wieder im Browser. Bei jedem anderen Formular, das ein Passwort abfragt und dieses Verfahren nicht erklärt, gilt das Gegenteil: nicht eingeben.

Mein Passwort wurde gefunden, bin ich jetzt gehackt?

Nein. Die Passwortdatenbank sagt aus, dass diese Zeichenfolge irgendwo in einem bekannt gewordenen Leak vorkommt, nicht dass dein Konto betroffen ist. Ein häufiges Passwort taucht millionenfach auf, auch wenn niemand je in deiner Nähe war. Praktisch ändert das wenig: Eine Zeichenfolge, die in den Listen der Angreifer steht, wird automatisiert durchprobiert und ist damit verbraucht. Ersetzen, überall wo du sie benutzt hast.

Was ist der HPI Identity Leak Checker?

Ein Dienst des Hasso-Plattner-Instituts in Potsdam, seit 2014 im Betrieb. Er sammelt geleakte und öffentlich zugängliche Datensätze und prüft, ob zu einer E-Mail-Adresse Identitätsdaten kursieren, also etwa Name, Anschrift, Geburtsdatum, Telefonnummer oder Passwort. Vor der Anzeige musst du die Adresse bestätigen: Das HPI schickt ein Einmalpasswort per Mail, und nach dessen Eingabe erscheint das Ergebnis auf der Webseite. Damit sieht nur derjenige das Resultat, der Zugriff auf das Postfach hat.

Wie oft sollte ich prüfen?

Zwei- bis viermal im Jahr reicht für die eigenen Hauptadressen, dazu anlassbezogen: wenn ein Anbieter, bei dem du ein Konto hast, einen Vorfall meldet, oder wenn Anmeldeversuche und Bestätigungscodes auftauchen, die nicht von dir stammen. Have I Been Pwned bietet außerdem eine Benachrichtigung an, die sich bei neuen Funden von selbst meldet. Das ist der bequemere Weg als ein Termin im Kalender.

Was ist Credential Stuffing?

Der automatisierte Wiedereinsatz geleakter Zugangsdaten. Angreifer nehmen die Kombination aus Adresse und Passwort aus einem Leak und probieren sie bei zahllosen anderen Diensten durch, von Shops über Streaming bis zur Cloud. Geraten wird dabei nichts, es wird nur wiederverwendet, was ohnehin schon bekannt ist. Deshalb ist die Wiederverwendung desselben Passworts das eigentliche Risiko, nicht der Leak selbst.

Hilft ein Passwortmanager?

Er löst genau das Problem, an dem die Kettenreaktion hängt. Weil er sich beliebig viele lange Zeichenfolgen merkt, kann jeder Dienst ein eigenes Passwort bekommen, und ein Leak bleibt dann auf diesen einen Dienst begrenzt. Viele Programme prüfen die gespeicherten Einträge zusätzlich laufend gegen bekannte Leak-Datenbanken. Der Preis ist ein starkes Hauptpasswort und ein zweiter Faktor auf dem Tresor selbst.

Was bedeutet es, wenn nichts gefunden wird?

Nur, dass die Adresse in diesem einen Datenbestand nicht enthalten ist. Leaks, die nie öffentlich wurden, die noch niemand aufbereitet hat oder die erst gestern passiert sind, fehlen in jeder Sammlung. Ein leeres Ergebnis ist also eine gute Nachricht mit begrenzter Reichweite, kein Freibrief. Die Maßnahmen, die unabhängig davon wirken, sind eigene Passwörter je Dienst und ein zweiter Faktor.