Wegwerf-E-Mail Werkzeuge
Aktualisiert am 29. Oktober 2026
Milliarden gestohlener Zugangsdaten kursieren im Internet. Geben Sie unten ein Passwort ein, um zu erfahren, ob es darunter ist. Es verlässt Ihr Gerät nie: Nur 5 Zeichen seines Hashwerts werden übertragen.
Ihr Passwort wird nie verschickt. Ihr Browser wandelt es zuerst in einen Hashwert um, eine Folge von 40 Zeichen, die mit dem Algorithmus SHA-1 berechnet wird. Dieselbe Eingabe ergibt immer denselben Hashwert, aber aus dem Hashwert lässt sich das Passwort nicht zurückgewinnen.
Anschließend schickt das Werkzeug nur die ersten 5 Zeichen dieses Hashwerts an den Dienst Pwned Passwords von Have I Been Pwned, eine öffentliche Datenbank mit Passwörtern aus Datenlecks. Der Dienst antwortet mit der Liste aller bekannten Hashwerte, die mit diesen 5 Zeichen beginnen, oft mehr als tausend. Ihr Browser sucht dann Ihren Hashwert in dieser Liste, direkt auf Ihrem Gerät.
Dieses Verfahren heißt k-Anonymität: Der Dienst weiß nicht, welcher Hashwert der Liste Sie interessiert, und nicht einmal, ob er überhaupt darin steht. Um die Spur noch besser zu verwischen, fordert das Werkzeug Antworten an, die mit falschen Einträgen aufgefüllt sind, damit die Größe der Antwort nichts verrät.
| Ergebnis | Bedeutung | Was tun |
|---|---|---|
| N-mal gefunden | Genau dieses Passwort taucht in Datenlecks auf, insgesamt N-mal | Nicht mehr verwenden, überall ändern |
| Nicht gefunden, Stärke ordentlich oder stark | Unbekannt in Leak-Listen und schwer zu erraten | Für ein einziges Konto behalten |
| Nicht gefunden, Stärke schwach | Unbekannt in Leak-Listen, aber leicht zu erraten | Durch ein längeres Passwort ersetzen |
Die Zahl gibt an, wie oft dieses Passwort in allen Datenlecks zusammen gesehen wurde, nicht unbedingt in einem Ihrer Konten. Ein Passwort, das nur einmal gefunden wurde, kann durchaus von jemand anderem stammen. Das spielt aber keine Rolle: Sobald es auf diesen Listen steht, probieren Angreifer es automatisch auf Tausenden Websites aus. Es ist verbrannt.
Dass ein Passwort in keinem Datenleck auftaucht, beweist nur, dass es noch nicht veröffentlicht wurde. Ein kurzes oder vorhersehbares Passwort, etwa ein Vorname mit Jahreszahl, kann ein Programm, das Millionen Kombinationen durchprobiert, in wenigen Augenblicken erraten.
Deshalb schätzt das Werkzeug zusätzlich die Stärke, auf Ihrem Gerät, anhand einfacher Kriterien:
Diese Schätzung ist nur ein Anhaltspunkt. Ein Passwort kann komplex wirken und trotzdem mit Ihrem Privatleben zusammenhängen, also für jemanden, der Sie kennt, erratbar sein.
Am einfachsten zu merken ist eine Passphrase: vier oder fünf zufällig gewählte Wörter ohne Zusammenhang, zum Beispiel lampe-gewitter-geige-ziegel-salz. Sie ist lang, also sehr schwer zu erraten, und viel leichter zu behalten als eine Reihe von Sonderzeichen. Vermeiden Sie Zitate, Liedtexte oder Sprichwörter, denn die stehen in Angriffswörterbüchern.
Für Ihre übrigen Konten lassen Sie einen Passwort-Manager zufällige Passwörter mit 16 oder mehr Zeichen erzeugen. Merken müssen Sie sich dann nur noch das des Managers.
Nein. Es verlässt Ihr Gerät nicht. Nur die ersten 5 Zeichen seines SHA-1-Hashwerts gehen an den Dienst Have I Been Pwned. Damit lässt es sich weder rekonstruieren noch herausfinden, welches Passwort Sie geprüft haben. Boxo erhält nichts.
Nicht unbedingt. Das Ergebnis bedeutet, dass genau dieses Passwort in Datenlecks kursiert, vielleicht von jemand anderem genutzt. Angreifer werden es aber ausprobieren: Ändern Sie es überall, wo Sie es verwenden, und aktivieren Sie die Zwei-Faktor-Authentifizierung.
Nicht zwingend. Das beweist nur, dass es nicht veröffentlicht wurde. Ist es kurz oder vorhersehbar, kann ein Programm es erraten. Achten Sie auch auf die Stärkeschätzung und wählen Sie mindestens 12 Zeichen.
SHA-1 dient hier nicht dazu, das Passwort zu schützen, sondern dazu, es mit der Datenbank von Have I Been Pwned abzugleichen, die so indexiert ist. Da nur 5 Zeichen des Hashwerts übertragen werden, hat seine Schwäche keinen Einfluss auf Ihre Privatsphäre.