Geleaktes Passwort (Pwned).

Passwort, das in einem bekannten Datenleck aufgetaucht ist und daher gemass dem Have-I-Been-Pwned-Dienst von Troy Hunt nie als Benutzergeheimnis zugelassen werden darf. Es gehört zur Kategorie Identität und Zugriff der Cybersicherheit.

Passwort, das in einem bekannten Datenleck aufgetaucht ist und daher gemass dem Have-I-Been-Pwned-Dienst von Troy Hunt nie als Benutzergeheimnis zugelassen werden darf.

Ein 'pwned' Passwort taucht bereits in oeffentlichen Leak-Korpora auf und ist damit Teil der Worterbucher, die Angreifer fur Credential Stuffing und Password Spraying nutzen. Die Referenz ist der Pwned-Passwords-Datensatz von Have I Been Pwned (HIBP), den Troy Hunt betreibt; er enthalt aktuell mehr als eine Milliarde eindeutige SHA-1-Hashes und stellt eine k-Anonymitats-API bereit: Der Client schickt nur die ersten funf Hex-Zeichen des Hashes und erhalt die Liste passender Suffixe, sodass das Passwort den Client nie verlasst. NIST SP 800-63B Abschnitt 5.1.1.2 verlangt ausdrucklich den Abgleich neuer oder geanderter Passworter mit solchen Korpora. Cloudflare, 1Password und Okta haben die HIBP-API in ihre Flows integriert.

Schutzmaßnahmen gegen Geleaktes Passwort (Pwned) kombinieren typischerweise technische Kontrollen und operative Praktiken, wie in der Definition oben beschrieben.

Übliche alternative Bezeichnungen: Kompromittiertes Passwort, Geleaktes Passwort, HIBP-Passwort.