Wenn man von einem alten Hash-Algorithmus auf einen moderneren wechselt gibt es ja zwei Wege. Einmal kann man einfach bei jedem Login prüfen, ob noch die alte Version verwendet wird und dann mit dem gerade im Klartext vorhandenen Passwort updaten oder man erklärt alle vorhandenen Passwörter für ungültig (man ersetzt sie durch Zufallscode, die schon mit dem neuen Algorithmus gehasht sind) und verschickt Emails, dass jeder ein neues Passwort eingeben soll.



Problem bei Variante 1 ist, dass inaktive Benutzer ihr altes Passwort behalten, wenn sie sich nicht neu einloggen. Bei Variante 2.. ja.. paar Hundert Emails mit Links zum Passwortwechseln, da weiß man dass es bei ein paar nicht klappen wird und ein paar einfach die Email nicht bekommen werden.

Deswegen wäre das Ideale vorgehen, 1-2 Wochen lang die Passwörter sanft zu migrieren und bei jedem Login das Passwort zu updaten. Nach dieser Zeit wird dann ein Script ausgeführt, das jedem der noch ein altes Passwort hat eine Erinnerungsemail zuschickt und das vorhandene Passwort ungültig macht.

Damit hat man insgesamt wohl am wenigstens Probleme.