Geht es nur um den Schutz davor, dass jemand die Passwortlisten stiehlt, dann sind gehashte PWs eine Möglichkeit. Nimmt man allerdings an, dass der Dienst grundsätzlich kompromittiert ist, stimmt die Aussage dann wiederum doch, denn bei jeder Abfrage, könnte man das gesendete PW speichern/weitergeben (allerdings könnte man das bereits beim Festlegen des PWs).