Der Sicherheits-Check prüft Ihren Tresor und sagt Ihnen, was Sie zuerst beheben sollten. Die Prüfung läuft auf Ihrem Gerät. Nur für den optionalen Abgleich mit bekannten Datenlecks geht eine Anfrage nach außen, und auch die enthält nie ein Passwort.
Was geprüft wird
| Prüfung | Bedeutung |
|---|---|
| In Datenlecks gefunden | Das Passwort steht in einer bekannten Sammlung geleakter Passwörter. Ändern Sie es sofort. |
| Website mit Datenleck | Die Website wurde gehackt, nachdem Sie das Passwort gesetzt haben. |
| Konto in einem Datenleck | Ihre E-Mail-Adresse taucht in einem Leck genau dieser Website auf. |
| Mehrfach verwendet | Dasselbe Passwort nutzen Sie bei mehreren Konten. |
| Leicht zu erraten | Das Passwort ist zu kurz oder zu bekannt. |
| Verwechselbare Website-Adresse | Die gespeicherte Adresse ahmt eine andere Website nach. |
| Ähnliche Passwörter | Passwörter mit gleichem Kern, etwa „Sommer2023!“ und „Sommer2024!“. |
| Unsichere Verbindung (http) | Die Website nutzt keine Verschlüsselung. |
| Zwei-Faktor-Anmeldung möglich | Die Website bietet Codes oder Sicherheitsschlüssel an, die Anmeldung hat aber keine. |
| Passkey möglich | Die Website unterstützt Passkeys. |
| Abgelaufen, Läuft bald ab | Karten und Dokumente mit Ablaufdatum. |
| Lange nicht geändert | Das Passwort ist älter als ein Jahr. Bei starken, einmaligen Passwörtern ist das kein Problem. |
| Doppelte Einträge, Ohne Website, Ohne Benutzernamen | Aufräumen hilft beim Ausfüllen. |
Aus den Ergebnissen berechnet Passbox einen Sicherheitswert. Bei jeder Kategorie sehen Sie, wie viele Punkte sie kostet. Das zuerst beheben zeigt die Einträge, bei denen sich eine Änderung am meisten lohnt.
Ein Passwort ändern
Bei jedem Problem gibt es Jetzt ändern. Passbox führt Sie in drei Schritten durch:
- Website öffnen und anmelden. Das alte Passwort können Sie hier kopieren.
- Neues Passwort auf der Website einfügen. Passbox hat schon ein starkes erzeugt.
- Hat es geklappt? Mit Ja, speichern übernimmt Passbox das neue Passwort. Das alte bleibt unter Frühere Passwörter.
Passt ein Hinweis für Sie nicht, blenden Sie ihn aus. Ausgeblendete Hinweise zählen nicht mehr, bleiben aber sichtbar und lassen sich wieder einblenden.
Geleakte Passwörter prüfen
Diese Prüfung starten Sie selbst. Passbox vergleicht Ihre Passwörter mit der Sammlung von Have I Been Pwned, ohne sie zu verraten:
- Passbox bildet auf Ihrem Gerät einen Hashwert jedes Passworts.
- Nur die ersten fünf Zeichen dieses Werts gehen hinaus. Jeder solche Anfang passt zu Hunderten verschiedener Passwörter.
- Die Antwort enthält alle passenden Werte. Ob Ihr Passwort darunter ist, prüft Passbox auf Ihrem Gerät.
Standardmäßig läuft die Anfrage über Ihren Passbox-Server. Have I Been Pwned sieht dann nicht Ihre IP-Adresse, sondern die des Servers. In den Einstellungen des Sicherheits-Checks können Sie auch die direkte Verbindung wählen.
Websites mit Datenleck
Passbox lädt die öffentliche Liste bekannter Datenlecks herunter und vergleicht sie auf Ihrem Gerät mit Ihren Anmeldungen. Alle Nutzer bekommen dieselbe Liste. Der Server erfährt deshalb nicht, welche Websites Sie nutzen.
Kommt ein neues Leck dazu, das eine Ihrer Anmeldungen betrifft, meldet Passbox sich: in der Web-App mit einem Hinweis und auf Wunsch einer Browser-Benachrichtigung, in der Desktop-App, der Erweiterung und den Handy-Apps mit einer Benachrichtigung.
Leak-Überwachung für E-Mail-Adressen
Wenn Ihr Server diese Funktion anbietet, überwacht Passbox Ihre E-Mail-Adressen und schreibt Ihnen, sobald eine in einem neuen Datenleck auftaucht. Jede Adresse bestätigen Sie mit einem Code, der an diese Adresse geht. So kann niemand fremde Adressen überwachen lassen.
Ihr Plan
Über den Ergebnissen ordnet Ihr Plan die Arbeit in bis zu fünf Schritte, mit Priorität und den ersten betroffenen Websites. Bei der Zwei-Faktor-Anmeldung kommen wichtige Konten wie E-Mail, Bank und Behörden zuerst.
Haben Sie die KI-Funktionen eingeschaltet, kann ein Modell Ihrer Wahl die Schritte erklären. Es bekommt dafür nur die Art der Probleme, ihre Anzahl und die Domains, nie Passwörter.
In Business-Organisationen
In einer Business-Organisation schicken die Apps der Mitglieder einmal am Tag Zahlen an den Server: den Sicherheitswert und wie viele Anmeldungen schwach, mehrfach verwendet oder ungesichert sind. Gezählt werden die Anmeldungen, die das Mitglied sieht, also auch die in seinen persönlichen Tresoren. Administratoren sehen nur diese Zahlen in den Berichten der Admin-Konsole. Passwörter und Einträge verlassen das Gerät dabei nicht.