Was passiert mit deinem Passwort nach einem Datenleck?

Ein Onlineshop meldet ein Datenleck, und dein Passwort ist dabei. Was jetzt? Binärbär erklärt mit Pförtner, Kartei und einer besonderen Mühle, wie Webseiten Passwörter speichern (Klartext, Hash, Salt), wie Angreifer geleakte Hashes mit Grafikkarten und Ratelisten knacken und warum das eigentliche Risiko an einer ganz anderen Tür lauert: beim Wiederverwenden desselben Passworts. Am Ende gibt es fünf konkrete Schritte für den Ernstfall. Kapitel: 0:00 Die Mail nach dem Leck 0:35 Was der Shop von dir speichert 1:22 Die Mühle: Hashing 2:09 Wie der Fuchs trotzdem rät 3:17 Salz und eine schwere Mühle 4:18 Die Tür nebenan 5:26 Dein Plan nach dem Leck 6:22 Auflösung und Abschied Das Wichtigste in Kürze: • Gute Dienste speichern Passwörter nicht, sondern nur einen Hash, eine Art Fingerabdruck, der sich nicht zurückrechnen lässt. Schlechte speichern Klartext (z. B. RockYou 2009). • Angreifer erraten Hashes offline: Wort hashen, vergleichen, nächstes Wort. Mit einer schnellen Hashfunktion schafft eine Grafikkarte über 100 Milliarden Versuche pro Sekunde. • Salt (eine Zufallszutat pro Konto) und absichtlich langsame Verfahren wie Argon2id, scrypt oder bcrypt bremsen das auf einige Tausend Versuche pro Sekunde. • Schwache Passwörter wie „Möhre123“ fallen trotzdem, weil sie ganz oben auf jeder Rateliste stehen. • Die größte Gefahr ist die Wiederverwendung: Gestohlene Paare aus E-Mail und Passwort werden automatisch bei anderen Diensten ausprobiert (Credential Stuffing). • Nach einem Leck: betroffen? prüfen (nur die E-Mail-Adresse eingeben), Passwort überall ändern, wo es gleich oder ähnlich war, für jeden Dienst ein eigenes Passwort (Passwort-Manager), Zwei-Faktor-Anmeldung oder Passkeys, Vorsicht bei Phishing-Mails zum Leck. Ohne Anlass musst du Passwörter nicht regelmäßig wechseln. Selbst prüfen: • HPI Identity Leak Checker – https://ilc.hpi.de/ • Have I Been Pwned – https://haveibeenpwned.com/ Quellen: • OWASP: Password Storage Cheat Sheet – https://cheatsheetseries.owasp.org/ch... • OWASP: Credential Stuffing Prevention Cheat Sheet – https://cheatsheetseries.owasp.org/ch... • NIST SP 800-63B Rev. 4 (08/2025) – https://pages.nist.gov/800-63-4/sp800... • BSI: Sichere Passwörter erstellen – https://www.bsi.bund.de/DE/Themen/Ver... • BSI: Identitätsdiebstahl – https://www.bsi.bund.de/DE/Themen/Ver... • Hashcat-Benchmark RTX 5090 – https://gist.github.com/Chick3nman/32... • BleepingComputer/Specops (04/2026): GPU-Passwortknacken – https://www.bleepingcomputer.com/news... • Hive Systems Password Table 2026 – https://www.hivesystems.com/blog/are-... • TechCrunch (14.12.2009): RockYou – https://techcrunch.com/2009/12/14/roc... • Have I Been Pwned: LinkedIn – https://haveibeenpwned.com/Breach/Lin... • LinkedIn (18.05.2016): Protecting Our Members –   / protecting-our-members   • 23andMe: Addressing Data Security Concerns – https://www.23andme.org/blog/articles... • Verizon (2025): Credential Stuffing – https://www.verizon.com/business/reso... • Cloudflare (03/2025): Password reuse – https://blog.cloudflare.com/password-... • Troy Hunt: k-Anonymity bei Pwned Passwords – https://www.troyhunt.com/understandin... • DSGVO Art. 33/34 – https://eur-lex.europa.eu/legal-conte... Hinweis: Pförtner, Kartei, Mühle, Muster und Salz sind vereinfachte Bilder für Server, gespeicherte Anmeldedaten, Hashfunktion, Hash und Salt. Der Nussladen, alle Namen, Adressen (*.example), Mails und Oberflächen im Video sind fiktive Beispiele. Geschwindigkeiten hängen von Hardware und Verfahren ab. Stand der Angaben: Oktober 2026. Musik: eigene Komposition, gerendert mit der Soundfont FluidR3 GM (MIT-Lizenz). Soundeffekte selbst erzeugt. Schriften: DejaVu und Inter (freie Lizenzen/OFL). Stimme: ElevenLabs. #Datenleck #Passwort #Cybersecurity #ITSicherheit #Binärbär