Ist der Google Passwortcheck seriös? Was er wirklich an Google sendet

„Ist der Google Passwortcheck seriös?" ist eine berechtigte Frage, bevor man einem Sicherheitswerkzeug überhaupt etwas anvertraut. Die kurze Antwort lautet ja, es ist eine echte Google-Funktion. Doch worum es den Leuten eigentlich geht, liegt eine Ebene tiefer: Wenn er meine Passwörter mit Leak-Datenbanken abgleicht, sieht Google dann meine Passwörter?

Darauf gibt es eine präzise, dokumentierte Antwort.

Worum es geht

Der Passwortcheck vergleicht Ihre gespeicherten Zugangsdaten mit einer Menge von Zugangsdaten, die nachweislich in Datenlecks Dritter aufgetaucht sind, und meldet Ihnen, wenn eines der Ihren dabei ist. Google hat ihn im Februar 2019 im eigenen Online Security Blog vorgestellt.

Die Prämisse ist einfach. Über die Jahre sind Milliarden von Kombinationen aus Nutzername und Passwort geleakt. Wenn eine davon Ihnen gehört und Sie sie noch verwenden, kann jeder, der diese Listen durcharbeitet, in dieses Konto spazieren. Die Prüfung lohnt sich.

Das Datenschutzproblem, das gelöst werden musste

Hier liegt die Schwierigkeit, in Googles eigener Formulierung. Die Funktion muss den Kompromittierungsstatus von Nutzername und Passwort abfragen, ohne die abgefragte Information preiszugeben. Zugleich muss sie sicherstellen, dass dabei keine Informationen über andere unsichere Zugangsdaten abfließen und dass Brute-Force-Raten keine Option ist.

Diese Anforderungen ziehen gegeneinander. Eine naive Umsetzung würde Ihr Passwort oder einen einfachen Hash davon an einen Server schicken und fragen: „Steht das auf der Liste?" Damit bekäme der Server genau das, was er nie erhalten dürfte.

Wie er das Senden Ihres Passworts vermeidet

Google beschreibt den Ansatz als Einsatz von mehreren Hashing-Runden, k-Anonymitaet und private set intersection mit blinding, gewählt, um Datenschutz, Rechenaufwand und Netzwerklatenz auszubalancieren.

Jeder Baustein erfüllt eine bestimmte Aufgabe:

Mehrere Hashing-Runden sorgen dafür, dass der Rohwert Ihr Gerät nie verlässt und der abgeleitete Wert per Brute Force nur teuer anzugreifen ist.

k-Anonymitaet gruppiert Ihre Anfrage mit genügend anderen, sodass sie sich nicht speziell Ihnen zuordnen lässt. Sie verhindert außerdem, dass die Prüfung Informationen über die übrigen kompromittierten Zugangsdaten in der Datenbank preisgibt.

Private set intersection mit blinding (privater Mengenschnitt mit kryptografischer Maskierung) ist der Kern der Sache. Das Verfahren erlaubt zwei Parteien herauszufinden, ob ein Element in einer gemeinsamen Menge liegt, ohne dass eine Seite offenlegt, was sie hält. Das blinding hält den von Ihnen geprüften Wert für Google unlesbar, während der Abgleich trotzdem ein korrektes Ergebnis liefert.

Unterm Strich: Die Antwort kommt zurück, und gereist ist dabei nicht Ihr Passwort.

Was er nicht abdeckt

Hier zählt Ehrlichkeit mehr als Beruhigung.

Der Passwortcheck untersucht die Zugangsdaten, die er sehen kann, also die in Ihrem Google-Konto oder im Passwortmanager des Browsers gespeicherten. Dieser Umfang hat reale Ränder:

• Passwörter, die Sie nie bei Google gespeichert haben, sind für ihn unsichtbar
• Passwörter, die nur in einem anderen Manager liegen, sind außerhalb seiner Reichweite
• alte, vergessene Konten lassen sich nicht prüfen, weil niemand von ihrer Existenz weiß
• er meldet Lecks, die bereits im Datenbestand sind, ein noch nicht aufgetauchtes Leck erscheint also nicht

Nichts davon macht das Werkzeug schlecht. Es macht es unvollständig, und zu wissen, wo ein Werkzeug aufhört, ist der Unterschied zwischen gutem Gebrauch und blindem Vertrauen.

Was eine Warnung wirklich bedeutet

Ein Treffer sagt Ihnen, dass irgendwo in einem Leck Zugangsdaten aufgetaucht sind, die zu den Ihren passen. Er ist keine Aussage darüber, dass in genau dieses Konto eingedrungen wurde.

Die richtige Reaktion hängt von dieser Unterscheidung nicht ab:

1. Ändern Sie das Passwort dieses Kontos in ein einzigartiges, das Sie nie anderswo verwendet haben.
2. Finden Sie heraus, wo Sie es sonst noch wiederverwendet haben. Diesen Schritt überspringen die meisten, und er ist der wichtigste: Wiederverwendung ist der Mechanismus, der das Leck eines Unternehmens in fünf kompromittierte Konten von Ihnen verwandelt.
3. Aktivieren Sie die Zwei-Faktor-Authentifizierung überall dort, wo sie angeboten wird, damit ein gestohlenes Passwort allein nicht mehr ausreicht.

Wenn Schritt zwei unmöglich erscheint, weil Sie sich beim besten Willen nicht erinnern, wo ein Passwort überall gelandet ist, dann ist genau das der eigentliche Befund. Und es ist zugleich das Argument für einen dedizierten Passwortmanager: nicht weil Googles Prüfung unglaubwürdig wäre, sondern weil ein Manager jeden Ihrer Zugangsdatensätze kennt, einzigartige erzeugen kann und Sie auf Wiederverwendung hinweist, bevor ein Leck es tut.

Die Kurzfassung

Der Passwortcheck ist legitim, und die Datenschutzsorge, die Menschen nach Bestätigung suchen lässt, hat Google technisch gelöst statt ignoriert: Hashing, k-Anonymitaet und private set intersection mit blinding sorgen dafür, dass die Prüfung stattfindet, ohne dass Ihr Passwort gelesen wird.

Seine Grenze liegt im Umfang, nicht in der Ehrlichkeit. Er sieht, was Sie bei Google gespeichert haben, und sonst nichts. Nutzen Sie ihn, handeln Sie nach dem, was er findet, und denken Sie daran: Die Wiederverwendung, die er nicht sehen kann, wird Ihnen am ehesten schaden.

Die Beschreibung des Passwortchecks, einschließlich der genannten Design-Anforderung, den Kompromittierungsstatus abzufragen, ohne die abgefragte Information preiszugeben, sowie der Einsatz von mehreren Hashing-Runden, k-Anonymitaet und private set intersection mit blinding, stammt aus dem Beitrag des Google Online Security Blog, der die Funktion im Februar 2019 vorstellte. Implementierungen entwickeln sich weiter; prüfen Sie das aktuelle Verhalten in Googles eigener Dokumentation, bevor Sie sich auf ein bestimmtes Detail verlassen. Kommerzielle Links tragen das Attribut rel="sponsored nofollow"; es kann eine Affiliate-Provision anfallen, ohne Mehrkosten für Sie.