Passwort-Leak-Check

Prüft, ob ein Passwort in bekannten Datenlecks vorkommt. Dafür wird – nur wenn du zustimmst – ein Teil des Hashes an „Have I Been Pwned“ (Pwned Passwords) gesendet.

So funktioniert das (k-Anonymität)

  • Dein Passwort verlässt den Browser nie. Es wird lokal mit SHA-1 gehasht.
  • Gesendet werden nur die ersten 5 Zeichen dieses Hashes (zum Beispiel „5BAA6“) an api.pwnedpasswords.com. Darauf passen Hunderte Passwörter, der Dienst kann deines nicht erkennen.
  • Die Antwort ist eine Liste aller Hash-Endungen mit diesem Anfang. Der Vergleich findet lokal bei dir statt.
  • Dabei sieht der Dienst deine IP-Adresse und den Zeitpunkt der Anfrage. Die Anfrage enthält kein Cookie und keinen Referrer.
  • Nur diese Seite darf ins Internet verbinden (eigene Content-Security-Policy). Alle anderen Seiten dieser App senden nichts.